|
互联网通讯技术的进步，不仅为生产力的提高，更为美好生活的实现创造了巨大的可能。然而，大面积个人身份信息泄露、AI换脸风波、人脸数据公开售卖、大数据公司利用爬虫技术爬取用户隐私等个人信息利益被侵犯的问题，也成为互联网信息技术赋能之下，民事权利司法保护所面临的全新课题。尽管问题是全新的，由此产生的民事纠纷也是陌生的，但法官不能因此拒绝裁判。在这种情况下，对于个人信息民事司法保护中的难点问题进行梳理，并提出可行的破解思路，就是因应上述新课题的必要之举。 起诉的案由如何确定 在民事诉讼实践中，案由常被作为案件名称的组成部分，是案件所涉民事法律关系性质的反映，也是对争议法律关系的浓缩和概括，更是法院对民事案件实施管理的重要方式。原告的个人信息利益受到侵害准备提起诉讼时，面临的第一问题就是确定案由。实践中，原告选择较多的案由是“隐私权纠纷”“名誉权纠纷”和“一般人格权纠纷”。然而，选择这些案由，可能存在如下问题。 一方面，“隐私权纠纷”和“名誉权纠纷”案由并不能涵盖所有的个人信息利益范围。个人信息包括隐私信息和非隐私信息，如个人身份证号、遗传基因信息、私人日记等都属于隐私信息，而邮箱地址、微信号、手机号、在公共网吧的上网记录等则属于非隐私信息。如果未经本人允许而将其手机号、QQ号等非隐私信息打包传输给他人，或者商家在未经个人允许的情况下，任意收集其在公开场合的各种上网记录并进行偏好分析，很难说是对隐私权的侵犯，因而很难以隐私权纠纷作为案由起诉。同理，并非所有的泄露或不当利用个人信息的行为都会使自然人的社会评价降低，从而构成对名誉权的侵犯。因此，也很难以名誉权纠纷作为案由。 另一方面，“一般人格权纠纷”的案由并不总是贴切的。理论和实务界大多认为，一般人格权具有解释和产生具体人格权的功能。因此，当出现一种现有的具体人格权难以表征的私法利益类型时，可以用一般人格权予以涵盖。正是在这个意义上，一般人格权纠纷的案由经常被作为兜底案由，来容纳那些不足以用具体人格权纠纷来表征的民事利益纠纷。于是，在一些个人信息保护的民事案件中，一般人格权纠纷的案由，往往成为原告的无奈之选。然而，个人信息的范围非常广泛，尽管一般都将其归入人格权的范畴，但不可否认的是，诸如银行账号、房产信息、虚拟货币持有情况等个人信息体现的人格因素要比性取向、身份证号、肖像、指纹等体现的人格因素更弱。因此，将既有人格权无法容纳的其他所有个人信息利益都归入一般人格权纠纷进行保护，并非完全合理。 基于上述分析，对于个人信息保护中案由的确定而言，比较好的解决路径是及时对2011年修订的《民事案件案由规定》进行补充完善，加入个人信息保护纠纷的案由。在目前情况下，暂时可将其作为四级案由；待将来个人信息保护的审判实践更为丰富时，可以考虑将其升格为三级案由，其下可统摄“个人信息更正纠纷”“个人信息删除纠纷”“个人信息泄露纠纷”等四级案由。但是，在《民事案件案由规定》修订之前，侵犯的个人信息利益可以归入具体人格权的，直接以该具体的人格权纠纷（如隐私权纠纷等）作为案由。不能归入具体人格权的，则只能继续以一般人格权纠纷作为案由。 不存在有形损害的情况下如何认定侵害是否发生 个人信息案件审判中的第二个难点是如何认定侵害是否发生，以及侵害的表现是什么。在这一问题上经常遇到的诘难是：个人信息即使泄露了，但泄露又能怎样？现在日常工作和生活中，包括购物、理财、求职、就医、入学、报班、租房等，哪个环节不需要提供个人信息？个人信息的泄露不是常态吗？即使这些个人信息真的被泄露了，如果没有被不当利用，又能怎样呢？即使真的被不当利用了，但又没有造成任何有形的财产损失或人身损害，按照传统民法中关于损害具体的差额说理论，当事人都不能证明自己的损害是什么，那究竟侵犯了什么权利呢？ 的确，遵循传统的侵权损害观念进行思考，以上疑问貌似合理。但是，在人工智能大数据背景下，在个人信息的收集、传输、分析、利用成为常态的情况下，法律观念是否也需要与时俱进，认真考虑即使没有有形损害但仍会构成权利侵害的可能呢？ 根据个人信息的敏感程度不同，可以将其分为敏感个人信息和非敏感个人信息。前者是指一旦泄露或者被不正当利用，将对信息主体的人身和财产利益产生明显不利影响的个人信息，除此之外其他信息则属于非敏感信息。对于教育背景、兴趣爱好等非敏感信息的泄露，造成明显而较大损害的可能不大。但对于基因信息、健康检查信息、身份证号、银行卡密码等敏感个人信息的泄露，则可能造成明显而较大的损害。比如，某人携带乙肝病毒的信息如果被泄露，则其就业、恋爱、社交等诸多方面都极有可能受到歧视。如果非要等到这些泄露的敏感信息被他人恶意利用，造成现实的物质损害时才可认定为权益侵害，则未免太过机械。并且，这样的观念也没有考虑到信息主体个人因其敏感信息被泄露而产生的恐惧、焦虑等非物质损害。因此，确认敏感信息的泄露本身即构成权益侵害，无疑是法律因应信息科技和大数据社会到来的一种理性选择。 同时，在民事司法实务中，将敏感个人信息的泄露作为一种新的侵害类型，还可与刑事司法实务形成无缝衔接，严密地织好个人信息司法保护之网。根据《最高人民法院 最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第五条，在刑事司法实务中，故意向他人提供个人信息达到一定数量即可构成刑事犯罪。与此相应，过失向他人泄露个人信息即应构成侵权。二者正好衔接起来，合乎比例地对不同危害程度的侵犯个人信息行为进行追责，形成个人信息保护的系统应对。 此外，还有两种较新的侵害类型有必要在司法实践中予以认可。一是对个人信息的错误记载。由于个人信息收集的常态化，即使是经过自然人允许的信息收集行为，也难免在收集、记载、转录等各个环节发生错误，从而使关于自然人的错误信息存储于网络空间。在此种情况下，如果该自然人请求网络服务提供者更正其个人信息而遭到拒绝的，应认可其个人信息利益遭到侵害，允许其提起民事侵权之诉。二是针对用户的歧视性（区别对待）算法决策。网络服务提供者的后台算法往往可以通过对其掌握的用户海量数据的分析、综合，形成对特定用户性格、种族、教育、职业、行为偏好等的推测，为其描绘数据画像。后台算法可能以这一未必准确的数据画像为基础进行自动化的筛选，对目标人群进行划分，产生歧视性后果。比如，短租平台对曾经愿意出高价的用户给出高于其他用户的租住价格。这种情况，应视为对个人信息利益的侵害，并为其提供救济。 如何认定因果关系是否成立 因果关系是指行为和权益侵害之间存在因果关系（责任成立的因果关系）。当存在有形损害或严重精神痛苦时，因果关系还包括权利侵害与损害之间的因果关系（责任范围的因果关系）。一般认为，侵权责任承担中的因果关系，是相当因果关系，即某一行为仅于现在情形之下发生某一结果，还不能认定为有因果关系；必须在一般情况下，按照人们的一般认识，也认为能发生这种结果的时候，才能认定有因果关系。在最常见的泄露个人信息的民事案件中，按照相当因果关系的要求，原告必须要证明如下两点：一是原告的个人信息是被告泄露的；二是被告的泄露行为一般情况下会造成原告的权益侵害。然而，恰恰是这两点的证明难度非常之大。 如前所述，在日常工作生活中，普遍存在个人信息的收集、存储和利用主体，数量之多以至于一旦发生信息泄露，几乎无法确定是哪个环节由谁泄露的。即使能够证明是谁泄露的，也能确定个人信息被他人不当利用，但如何能够确定被不当利用的信息就是被告此前泄露的呢？二者之间的因果关系有太多可能，原告很难一一证明。另外，即使能够明确个人信息被泄露，权利人仅仅是自己对于信息可能被恶用而担忧和焦虑。但从概率上看，很多人可能并不为此感到忧虑。那么，此时又在多大程度上可以确定信息泄露和权益侵害之间的因果关系呢？ 面对上述难题，已有不少专家提出在立法上构建因果关系的推定规则，直接由法律规定行为人的泄露、信息记录错误等行为与损害结果之间的因果关系。然而，现实的案件审判不可能坐等立法的完善。并且，即使立法可以在建立因果关系推定规则方面有所作为，但实践中，经常存在可能泄露个人信息的主体达数十个甚至更多的情况。此时，是否要推定所有可能泄露的主体都是侵权行为人呢？该问题需要谨慎对待，这不仅是理论探讨的问题，更涉及落实层面的现实问题。如果每一起个人信息保护案件都需要起诉数十名甚至更多的被告，作为普通消费者的原告是否吃得消？审判资源非常紧张的法院能否承受得了？有人建议在个人信息保护领域建立公益诉讼机制，这样可以解决原告势单力薄或没有动力起诉的问题。笔者以为，这是一个具有广阔前景的思路，应该大力推动，但却并不能解决因果关系证明的难题。 从长远来看，立法上建立因果关系推定规则是一个重要的解决步骤。同时，司法实务中的应对方法有三：一是缓和相当因果关系中“相当性”的判断。所谓“相当性”判断，即若有该行为，通常是否会产生该损害的判断。在个人信息保护案件中，缓和“相当性”的证明负担，意味着从宽理解“若有该行为，通常是否会产生该损害”，只要原告证明侵权行为与侵害结果存在引起和被引起的条件关系，即应认定存在因果关系。二是降低因果关系的证明标准。根据《最高人民法院关于适用〈中华人民共和国民事诉讼法〉的解释》第一百零八条的“高度盖然性”证明标准，只要法官内心确信被告的侵权行为与信息被不当利用、心情焦虑等损害存在因果关系的高度可能，即可认定存在因果关系。三是认可上文所述的新型侵害类型。认可敏感个人信息的泄露本身就是侵害之后，加害行为（泄露行为）与权益侵害（泄露行为）合而为一，其责任成立的因果关系不再需要证明。 如何认定行为人的过错 发生在物理空间的常见侵权案件，侵权行为有明确的外形，如侵犯他人身体权的，会有身体接触等直观的行为表象，原告可以留存这些直观行为的相关证据来证明被告的侵权行为和过错。发生在网络空间的常见侵权案件，侵权行为一般也有可感知的形态。如存在于互联网上的诋毁或侮辱他人的言论，原告可以截取侵权言论的图片，或者通过证据保全，从而证明被告的侵权行为和过错。但是，在个人信息被侵犯的案件中，如最常见的个人信息泄露的场合，泄露行为往往是原告根据个人信息被扩散及被告曾掌握原告个人信息这些事实元素所作的推测，泄露行为本身没有任何可感知的外形。在这种情况下，原告很可能都不知道有泄露行为的发生，因而很难提供证据证明被告的过错。而在没有任何法律规定侵犯个人信息适用无过错责任原则的情况下，应将其作为一般侵权行为。根据《中华人民共和国侵权责任法》第六条规定，一般侵权行为以过错为要件。因此，个人信息侵权案件恰恰需要认定被告是否有过错。 为解决上述过错的证明难题，理论界不少人提出，对于个人信息侵权案件，应作为特殊侵权行为，确立无过错责任原则。如此，发生个人信息侵权行为的，不考虑行为人的过错，因而也就免除了原告对被告过错的证明责任。另外，也有人主张应区分行为主体的性质及处理个人信息的方式，确立不同的归责原则。对于公权机关而言，因利用海量个人信息进行算法自动化决策而侵权的，应适用无过错责任；对于其他组织或企业而言，因利用海量个人信息进行算法自动化决策而侵权的，应适用过错推定责任；对于其他没有利用个人信息进行算法自动化决策而侵权的组织或个人，则适用过错责任。以上建议中，笔者认为，第二种建议考虑了不同情况，更具有科学性，将来立法中应予充分考虑。 在目前立法不能及时跟进的情况下，司法实务中可从如下方面着手解决过错证明和认定的问题。一方面，在宏观的裁判理念上，坚持过失认定的客观化。在传统侵权法理论中，行为人的过失可以分为主观过失和客观过失。主观过失要求，只有当行为人自己主观上能够预见到行为的结果但却没有尽到这一注意义务时，才可认定过失。而客观过失则要求，行为人所要恪守的注意义务是一个“理性人”应有的注意义务。这一注意义务不受具体行为人的主观能力影响，只要行为人违反了一个“理性人”的注意义务对他人个人信息造成侵害的，就可认定过失。 另一方面，在微观的裁判思路上，应首先确定行为人所处的群体，进而抽象该群体的“理性人”原型。在此基础上，认定行为人是否存在过失。在个人信息侵权案件中，被告往往是对于海量个人信息和数据具有高超运算处理能力的公司或组织，他们是一个高度专业化的专家群体或系统。对于这种高度专业化的群体，“理性人”的标准要远高于一般人的标准。一般主体对他人个人信息的泄露，可能不好认定为过失。但对于这种高度专业化的群体而言，对他人个人信息的泄露，完全可以因为他们没有尽到与其“理性人”标准相适应的注意义务而认定其违反《中华人民共和国民法总则》第一百一十一条规定，认定为存在过失。在这样的裁判思路下，被告过错认定的难题，就可在很大程度上解决。 以上的分析，虽然也关注了立法在解决个人信息保护方面的作为空间，但重点还是聚焦于司法实践中的应对。个人信息侵害的实践样态是无限多样的，再完备的立法也难以完全涵盖。就此而言，不仅是个人信息保护问题，实际上可能是所有的权利保护问题，都需要在司法实践中持续梳理、总结和类型化。唯有如此，法律才能不断进步，法治才能不断彰显。 《中国审判》杂志开始征订啦！ 最精美的版式 最精彩的案例 最前沿的庭审 订一本生动权威的法制新闻半月刊相当于交了一群高品位的法官朋友 |
|
|
