论个人信息侵权中的损害

朱晓峰 夏 爽

内容提要:数字时代中个人信息侵害引发的特定风险具有不可逆性、不可测性和扩散性的特点，在侵害后果发生之前将这些风险认定为法律上的损害并通过侵权法予以救济，可以将侵权行为的成本内部化，既能发挥预防作用以实现帕累托最优，又能实现侵权法的震慑作用。对此，应当以规范损害说修正差额说，将满足特定条件的风险作为损害纳入侵权法上的可赔损害范畴，与财产损失、精神损害一样获得侵权法的救济。在风险性损害的具体认定上，应建立动态的评价体系，由法官在个案中综合考虑涉案的各考量因素进行利益权衡后确定。

一、问题的提出

我们生活在个人信息可以广泛共享的时代，互联网平台将其掌握的海量兼具广度和深度的个人信息用于用户分析、精准广告投放；在虚拟货币加持下，不可控的暗网论坛等社交平台正成为信息贩卖的渠道；随处可见的身份绑定、过度索权加大了使用APP导致的个人信息泄露风险。根据《2021年App个人信息使用态势分析报告》，在近1万款活跃的APP应用当中，有56.3%的应用涉嫌非法收集和使用个人信息，64.6%的应用涉嫌“未经用户同意收集和使用个人信息”。(1)参见《2021年App个人信息使用态势分析报告》，载 https://www.donews.com/news/detail/4/3152878.html，最后访问时间：2022年4月5日。然而，与频繁发生的个人信息侵权事件形成鲜明对比的是，在个人信息侵权案件中，受害人主张侵权损害赔偿却并不容易。司法实践中，因原告无法举证证明实际损失而被驳回诉讼请求，并不鲜见。(2)参见北京市第二中级人民法院(2020)京02民终10179号民事判决书；上海市第二中级人民法院(2019)沪02民终717号民事判决书；天津市第二中级人民法院(2020)津 02 民终4520号民事判决书；浙江省嘉兴市中级人民法院(2019)浙04民终3244号民事判决书。在比较法上，美国联邦最高法院在 Clapper v.Amnesty(2013)案中明确指出，个人信息保护的诉讼请求必须证明存在客观实际的损害，“推测的”或“假设的”损害都不能得到法院支持。See Kristen Choi,Clapper v.Amnesty International USA: Balancing National Security and Individuals’ Privacy,34(2)Journal of the National Association of Administrative Law Judiciary 444,444(2014).导致这一悖论出现的重要因素之一是证成侵权责任成立所需的损害要件存在困难。(3)参见叶名怡：《个人信息的侵权法保护》，载《法学研究》2018年第4期。

在个人信息侵权案件中，受害人遭受不利益的情形既包括侵权行为人窃取个人信息后实行诈骗等行为而使受害人遭受财产损失，或者受害人隐私被非法泄露后而遭受精神损害，也包括各种难以纳入财产损失和精神损害范畴的新损害类型，例如，因个人信息泄露而引发的可能在未来转化为现实损害的风险，或担心因个人信息泄露导致不利后果而产生的焦虑等。对此，《个人信息保护法》第69条第2款只规定了确定损害赔偿额的三种方法，并没有关于个人信息泄露等情形所导致的风险是否可以纳入侵权法上损害范畴的直接规定。而《民法典》规定的侵权法上的可赔损害通常包括财产损失和精神损害，也没有将风险作为损害的明确规定。事实上，与《个人信息保护法》《民法典》规定的典型可赔损害类型相比，个人信息权益被侵害后所引发的一系列风险确实更具不确定性、难以计量性、无形性等特征，(4)参见谢鸿飞：《个人信息泄露侵权责任构成中的“损害”——兼论风险社会中损害的观念化》，载《国家检察官学院学报》2021年第5期。受害人因侵害行为而承受“风险”时，通常并没有遭受现实财产减少的不利益，而只是发生了未来财产减少的可能性。因此，如果是依据界定财产损失和精神损害的方法来认定个人信息侵害引发的风险是否属于侵权法上的可赔损害，可能无法为受害人提供充分的救济。为了解决个人信息权益侵害中损害界定难的问题，学理上有“以风险作为损害”的革新损害概念的观点，(5)参见田野：《风险作为损害：大数据时代侵权“损害”概念的革新》，载《政治与法律》2021年第10期。但是，反对观点却认为这些损害难以被传统的侵权法接受而拒绝将之纳入现行法律体系内。(6)参见陈吉栋：《个人信息的侵权救济》，载《交大法学》2019年第4期。鉴于此，本文将讨论的问题聚焦于：现行法上的损害是什么；个人信息侵权案件中哪些损害可被认定为侵权法上的可赔损害；尤其是“风险性损害”能否在现行法框架下被认定为独立于财产损失和精神损害而被纳入侵权可赔损害范畴；如果能，又应以何种标准和方式确定这种风险导致的损害。笔者期望以此来回应当前理论与实践中关于个人信息侵权中损害认定的分歧，助益于个人信息的保护。

二、现行侵权法中损害概念的界定及修正

侵权法的首要职能是填补损害。(7)参见王泽鉴：《侵权行为》，北京大学出版社2016年版，第175-176页。损害作为侵权损害赔偿责任成立的核心构成要件，一直占据基础性地位。何谓损害？如何认定损害？这些问题无论在现行法律规范的实践运用中还是在理论研究上都是一个基础性问题。如今，这一问题在层出不穷的个人信息侵权案件中又开始被重新提起，亟需重新界定。

(一)我国现行法中的损害概念

考虑到损害的复杂性，各国民法典对于损害的内涵及其认定给予了不同规定，如《奥地利民法典》即明确规定了损害的概念，将损害定义为受害人的财产、权利或人身遭受的不利益。与《侵权责任法》第6条第1款相比，《民法典》在损害与侵害概念之间作了区分，(8)有学者据此进一步指出，侵害权益是侵害民事权益的客观事实，损害是侵害权益的进一步法律后果。参见程啸：《侵权责任法》，法律出版社2021年版，第214页。并且在损害与赔偿之间建立了规范联系，(9)参见程啸：《中国民法典侵权责任编的创新与发展》，载《中国法律评论》2020年第3期。但其并未明确损害概念的内涵。从《民法典》及相关司法解释来看，我国现行法律体系中的损害类型包括财产损失和精神损害，后者必须达到“严重”程度才可以获得赔偿。(10)参见《民法典》第1183条。据此，我国学理与实务上普遍认为，我国现行侵权责任法上已经构建起了固定的损害类型及项目，法官只需要对具体案件中的损害类型进行判断，再适用各自的损害赔偿项目即可。(11)参见李昊：《损害概念的变迁及类型建构——以民法典侵权责任编的编纂为视角》，载《法学》2019年第2期。对此，学理上有观点指出，随着损害的计算方法日益先进，统一的损害概念及其相关的上位理论似乎已经失去了实用性。(12)参见陈聪富：《人身侵害之损害概念》，载《台大法学论丛》2006年第1期。但本文认为，现行法对于损害类型及与之相对应的赔偿项目进行详细规定的核心目的在于简化司法实践中法官认定损害及确定赔偿金额的难度，而非以此取代损害概念本身。随着社会实践的不断发展，新损害类型会不断涌现，要判断这些新的损害类型是否可以被纳入侵权法上的可赔损害范畴，并不能当然以其是否能被现行法中的损害类型所囊括作为判断标准，毕竟现行法规定不同损害类型并确定相应的可赔项目，仅仅是出于对既往经验的总结而无法充分涵括未来可能发生的情形。以个人信息侵权为例，侵害个人信息可能导致各类下游犯罪的风险提高、加重社会分选和歧视、加剧消费操纵和关系操纵，并使受害者因此引发严重焦虑与不安等。若是以现行法规定的具体损害类型为标准进行判断，很难将权利人遭受的这些不利益纳入现行法上的可赔损害范畴。因此，对于个人信息侵害中的损害认定，仍有必要回归损害概念本身，继续讨论在具体损害项目之上的损害概念，以及损害认定背后的内在法律思想，从而解决将风险作为损害的理论难题。

(二)损害概念的内核：差额说及其修正

在对损害本质的认识问题上，传统损害赔偿理论主要经历了差额说、客观损害说、规范损害说的发展演变。其中，差额说一直居于通说地位，其他学说则作为差额说的修正而存在。在差额说中，损害是指财产的实际状态与损害事件未发生时财产状态之间的差额。(13)参见徐建刚：《〈民法典〉背景下损害概念渊流论》，载《财经法学》2021年第2期。差额说基于完全赔偿的理念，坚持认为应在金钱价值层面将受害人的状态恢复到损害并未发生时的假设状态，在具体适用时也具有简便明了的优点，因此其一经提出便为学界和司法实践所接受。

然而，差额并不等同于损害本身，作为损害是否存在的认定方法，差额说具有一定的局限性，在实践中经常会遭遇如下难题：其一，当介入因素使原有侵权行为导致的损害被填补，应有的利益差额被其他因素抵消，如亲属看护未收费用和雇主持续支付工资，若按照差额说来认定损害，则难免得出并无损害的荒谬结论；(14)参见前引〔7〕，王泽鉴书，第142页。其二，财产在计算上的差额虽未发生，但却实际发生了价值上的减损，如物的商业价值的贬损将影响其未来交易所获利益，但这种不利益却未在现在发生。(15)参见徐建刚：《论使用可能性丧失的损害赔偿》，载《法商研究》2018年第2期。亦即言，在前述两种情形当中，若按照差额说的观点，既然受害人在侵害行为发生前后并未出现财产计算上的差额，自然就没有损害，因此也无法得到金钱赔偿的救济。事实上，虽然受害人遭受的前述不利益无法转化为既有财产的减少，但受害人在侵害行为前后所处的实际状态和地位却发生了实质性的变化，这种状态上的变化是确定的、可以用金钱衡量的。而差额说则将受害人于此遭受的不利益完全排除出了侵权法上的损害范畴并拒绝予以赔偿，显然有失偏颇。差额说之所以会面临如此困境，是因为损害本身具有规范属性，而差额说却是去价值化的。损害赔偿在本质上是立法者对损失进行分配的问题，其背后是对各种价值利益的衡量和取舍。(16)参见前引〔15〕，徐建刚文。差额说以侵权行为发生后的现存财产状况和应然财产状况之间的差额作为损害，这固然不失为对现实中异常复杂的损害的一种简便认定方式，并在绝大多数情形下符合立法者的规范意图和价值取舍，却难以避免在个别情形下无法承载立法者所有的价值立场，因此对差额说应予适当修正。

在此背景下，客观损害说与规范损害说在承认差额说基本立场的基础上，对其存在的缺陷作了必要修正。客观损害说并不把损害概念等同于受害人在侵害行为发生前后所享之利益的整体抽象差额，而是认为损害直接表现为对事物的损害、剥夺、身体伤害等具体形式。(17)参见曾世雄：《损害赔偿法原理》，中国政法大学出版社2001年版，第119-120页。在强调整体利益差额的差额说下，当其他介入因素的发生导致受害人的实际利益并未受到减损时，侵害行为人便可避开对受害人的赔偿，而客观损害说则可以避免差额说这一不足。规范损害赔偿理论强调损害赔偿在计算时不仅要考虑侵害行为发生前后受害人利益状态的差异，还要考虑规范目的，在损失的计算中要包括法律价值的评估。(18)参见姚辉、邱鹏：《侵权行为法上损害概念的梳理与抉择》，载陈小君主编：《私法研究》第7卷，法律出版社2009年版，第30-45页。该观点强调损害的确定是一个价值评估的过程，而不是一个简单的自然事实，据此，被害人是否受到损害的实质就是法律规范所保护的利益是否受到损害，或受法律保护的状态是否不同。(19)参见王志刚：《论民法上的损害概念的形成视角》，载《法学杂志》2008年第5期。规范损害说的提出是为了在不发生差额的例外情况下承认损害的存在，从而实现对受害人的保护。(20)参见前引〔13〕，徐建刚文。进而言之，损害的本质是当事人遭受的不利益本身，(21)参见前引〔12〕，陈聪富文。这种不利益通常可以通过差额说的认定方法来判断；对于差额说在认定中存在的问题，可以通过客观损害说和规范损害说来解决。

在我国现行法框架下，受害人因侵害行为所遭受的不利益既可以是财产损失，也可以是精神损害。其中，财产损失主要通过差额说的方法来确定，主要赔偿实际损失；精神损害虽然是无形的、难以确定的，无法用财产上的差额进行评价，但这种难以用金钱评价的特性并不影响其可赔性，因为在差额说的修正观点即规范损害说中，损害在本质上也是规范的概念，损害的确定是“质性评价”，所以《民法典》侵权责任编在承认精神损害存在的基础上，将精神损害赔偿数额难以确定的问题交由法官酌定。另外，即使在人身权益侵害导致的财产损失认定问题上，《民法典》第1182条等也规定了在实际损失、侵权人获利均无法确定时，由法院根据实际情况酌定赔偿额。这实质上表明，我国现行法框架下对损害的基本认识是围绕法律保护的地位或状态是否因侵害行为遭受不利益展开：当受害人遭受了可以用财产的一般等价物货币进行衡量的不利益时，若此种不利益具有确定性，应以侵害行为前后的财产利益差额即实际损失为标准确定可予赔偿的损害；若此种不利益具有不确定性，但属于法律明确应予赔偿的范围，则可依据实际损失的替代标准如侵权人获益或者法官酌定方法确定可予赔偿的损害；当受害人遭受了不可用货币衡量的不利益时，若此种不利益属于法律明确应予保护的范围，则由法官在个案中综合考量涉案因素确定可予赔偿的损害。在第一种情形下，侵权法上可予赔偿的损害可以依差额说认定，在第二种与第三种情形下，侵权法上可予赔偿的损害应依客观损害说或规范损害说作为差额说的补充来认定。在此意义上，将个人信息侵害中受害人遭受的不利益，特别是实际财产损失和严重精神损害之外的其他不利益纳入现行法上的可赔损害类型范围，存在着可以解释的理论基础和规范空间。

三、个人信息侵权中的损害类型及风险性损害的引入

个人信息权益侵害案件中受害人可能遭受财产损失或精神损害，最常见的情况是通过购买互联网平台用户的个人信息进行诈骗导致受害人财产损失，或者通过发送垃圾信息破坏个人生活安宁，使其遭受精神损害。在这两种情形中，受害人所遭受的损害及对这些损害的侵权法上的救济，与一般侵权案件相同。除此之外，个人信息侵权案件中受害人还可能遭受新型损害。对这些新型损害，无论是在司法裁判中，(22)参见“北京蓝娃娃教育科技有限公司与吴文雯因服务合同纠纷案”，北京市第一中级人民法院(2017)京01民终579号民事判决书。还是在域内外学理讨论上，相应的分歧均集中在因个人信息侵害导致的风险是否属于侵权法上的损害及其认定问题上。对于这些风险，可以归纳为如下几种类型：

一是个人信息泄露导致未来下游犯罪的风险剧增。如今各大网络平台掌握海量个人信息，这些个人信息往往在平台知情或不知情的情形下被攻破、盗用、收买、交易。一旦这些数据脱离合法处理者的控制范围而被不法分子利用，个人信息权人即可能会遭受他人敲诈勒索、网络攻击等风险。(23)参见前引〔4〕，谢鸿飞文。

二是社会分选与歧视，即社会上的特定组织、个人可能根据个人信息中的年龄、经济实力等将自然人进行分类，并在此基础上对自然人进行区别对待或者歧视对待。(24)See David Lyon,Surveillance as Social Sorting: Computer Codes and Mobile Bodies,in David Lyon ed.,Surveillance as Social Sorting: Privacy,Risk and Digital Discrimination,Routledge,2002,p.13.例如，低收入者必须承受更高的贷款利率，特定性别、婚育状况的求职者本应将自身状况作为隐私而不予透露，而雇主却非法获取了这些个人信息从而造成了就业市场的不当歧视，等等。

三是消费操纵和关系控制，如商家精准投放广告给特定受众，从而操纵购买者的消费冲动。有些平台和组织甚至通过对个人信息的精确控制来操纵其自主作出的决定，对受害者造成潜在的、甚至通常情形下无法被其认识到的伤害。(25)参见前引〔3〕，叶名怡文。

四是受害人因个人信息泄露导致人身、财产权益遭受不确定的风险而产生焦虑与不安全感。受害人可能因为个人信息被泄露后无法掌控风险，从而处于无法摆脱的精神焦虑之中，这种精神焦虑并非基于财产或者人身权益被侵害而遭受的现实损害，而仅仅是对于未来风险的担忧，这能否被认定为现行法中的“严重的精神损害”，尚需进一步讨论。

前述风险在传统的侵权场景中并不常见，但随着个人信息被泄露和不法利用的情形逐渐加剧，这些不利益却很可能降临到社会中的任何一个人身上。受害人遭受的这些不利益通常并不表现为现实的财产减少，而仅仅表现为可能会发生的风险，但这些风险又会现实地影响每个受害人的生活，使受害人的利益状态发生显著的改变。在此背景下，这样的风险有无必要纳入侵权法的调整范畴？

(一)将风险作为损害的必要性

我们生活在信息技术向纵深发展的数字时代，自然人个人信息泄露事件频发，侵害个人信息权益的风险已经呈现出逐渐加剧的态势，风险社会理论也随之复兴。该理论认为，后工业时代人类社会的风险来源已由自然风险转变为人为风险。(26)参见〔德〕乌尔里希·贝克、约翰内斯·威尔姆斯：《自由与资本主义——与著名社会学家乌尔里希·贝克对话》，路国林译，浙江人民出版社2001年版，第119页。其中，最重要的表现就是随着科学技术的迅猛发展，个人信息安全处于越来越多的风险与不确定性之中。与其他风险相比，个人信息受损中的风险具有如下特殊性：第一，某些极具识别性的信息如基因信息等一旦泄露即具有不可挽回性，无法通过销毁、重置等手段使此类个人信息恢复到隐秘的状态，因而是一种不可逆的风险；第二，扩散性，以暗网为例，暗网上交易、转卖的个人信息正以极高的频率、极广的范围传播，如据江苏南通和如东公安机关调查，暗网上超过5000万份公民个人信息被出售；(27)参见苏锦安、戴红亮：《5000多万条个人信息在“暗网”倒卖》，载https://baijiahao.baidu.com/s?id=1666342996935526862&wfr=spider&for=pc，最后访问时间：2022年4月5日。第三，不可测性，一旦个人信息泄露，无法通过追踪、停止侵害等方式使个人信息重归于可控范围。

亦即言，数字时代的自然人，其个人信息泄露后可能以不可知的方式无限次地传播，从而使相应的自然人深受其害。若法律对此置之不理，而是坐等一切风险全部转化为不可逆的损害之后才予以救济，难免过于消极，并不利于法律充分保护民事主体合法权益之目的的实现。事实上，风险社会理论在数字时代复兴，其中蕴含的是一种在不可挽回的悲剧发生之前尝试避免的努力。为此，对于个人信息侵害导致前述风险的法律规制，最有效的途径之一便是将现实损害发生前已存在的特定风险纳入侵权法的调整范畴，通过侵权法上的责任认定与承担机制将最终的不利益转移到信息处理者一方，督促信息处理者提前规避个人信息侵害行为发生，从根源上加大保护个人信息的力度。事实上，通过承认特定风险在侵权法上的可赔性，从而将引发特定风险发生的不利益由受害人转移给信息处理者承受，在侵权法上亦具有充分的正当性基础：第一，个人信息泄露后导致的种种风险均由信息处理者的行为产生，由开启危险源的人承担责任，符合侵权法的基本法理；第二，信息处理者通常比个人具有更强的风险规避能力；第三，信息处理者通过搜集海量个人信息从中获利，根据报偿理论，也应由信息处理者承担个人信息侵害导致的风险。(28)参见刘水林：《风险社会大规模损害责任法的范式重构——从侵权赔偿到成本分担》，载《法学研究》2014年第3期。

在侵权法上，让加害人对其造成的损害进行赔偿，实质上是将其侵权行为带来的成本内部化，从而迫使行为人的行为符合社会预期，同时也能实现对他人利益的保护。(29)参见前引〔12〕，陈聪富文。在风险社会背景下，对侵权损害赔偿的相关理论进行适时调整，适当地将个人信息侵害引发的特定风险纳入侵权法上的可赔范畴，在现实的损害发生之前即予以调整，既能发挥预防损害发生的作用，实现帕累托最优，又能实现侵权法的震慑作用，从而更好地发挥侵权法本身的保护作用，实现其规范目的。

(二)将风险作为损害的理论分歧及评析

对于前述个人信息侵害引发的特定风险应否纳入我国侵权法上的可赔损害范畴，我国学理上存在较大分歧。持否定说的学者以损害须具有“确定性”为理由，认为个人信息被泄露只会带来未来发生损害的风险，而这种风险本身不具有“确定性”，因此不能被认定为侵权法上的损害。在否定论者看来，赔偿责任只有在个人信息被非法利用导致现实的人身、财产侵害时才会发生。(30)参见程啸：《论大数据时代的个人数据权利》，载《中国社会科学》2018年第3期。

持肯定说的学者则重申了损害概念需要革新这一命题，其立足于数字时代的风险社会这一背景，认为应将满足一定条件的风险认定为侵权法上的损害，这相当于将信息泄露而导致其他现实损害发生的风险由受害人转移给信息处理者承担。在肯定说看来，由信息处理者承担这种风险是风险社会分配风险的一种具体方式。至于风险性损害与损害的“确定性”之间的矛盾并非不可调和，其可以通过对“确定性”作进一步的开放性解释获得解决，而不是自始将“确定性”等同于“已发生”。(31)参见前引〔5〕，田野文。以此为基础，肯定说认为，对于将个人信息侵害引发的特定风险纳入侵权法上可赔偿损害范畴所面临的难题，应从对差额说的修正出发，将侵权行为导致的状态差额作为认定损害存否的标准，(32)参见前引〔11〕，李昊文。然后建立起动态的评价体系，按照此标准对个案中发生的风险进行判断，予以灵活确定。(33)参见张建文、时诚：《个人信息的新型侵权形态及其救济》，载《法学杂志》2021年第4期。

在否定说和肯定说之间还存在折中立场。持此立场的学者一方面并未承认将风险本身视为一种损害，另一方面又认为个人信息泄露造成的风险本身也会带来现实的财产减损，在某些情况下会造成严重的精神损害，而这些不利益可以纳入侵权法的损害范畴并得到相应的救济。如受害人为了预防个人信息泄露导致的风险现实化而支出的预防费用，可以被认定为与侵权行为具有因果关系的财产损失。(34)参见前引〔4〕，谢鸿飞文。此外，考虑到实践中精神损害的严重程度本身难以判断，折中说对个人信息侵害中承受风险的受害人是否存在严重精神损害进行推定。在其看来，只要是严重侵权，那么相应的精神损害即可以推定为具有严重性。亦即言，在承认个人信息侵权行为属于“严重侵权行为”的基础上，也应承认这样的侵权行为会导致具有“严重性”的精神损害。因此，个人信息侵权本身也可能会造成财产损失与严重的精神损害从而得到赔偿。(35)参见前引〔4〕，谢鸿飞文。

从前述学理讨论可知，否定说和折中说均对于个人信息泄露导致的风险本身被认定为损害这一问题持否定态度，只有肯定说承认了个人信息泄露本身产生的风险可能被认定为损害。否定说和折中说对风险作为损害的否认是基于风险不具有确定性这一理由，而肯定说对确定性作出了不同的解释，从而得出一定的风险也可以具有确定性的结论。对此，本文认为，将风险作为损害认定问题上的分歧，根源在于对损害概念理解上的不同。持否定说的学者之所以否认风险作为损害，是基于对差额说的坚持，认为无现实的财产差额则不可能存在财产损失。因而对于损害本质的理解就成为理解这一问题的关键，本文认为，损害概念本身不应狭义地理解为差额，差额说仅为财产损失的一种认定方式，尽管其一直以来占据主流的地位，然而在个人信息侵权领域仍有对其修正适用的必要性。

(三)将风险作为损害的理论基础

如前所述，虽然差额说一直是侵权法上认定财产损失的基础理论，但不能将损害直接等同于差额，差额仅仅是损害的认定方式之一，去价值化的特性导致其在特殊情形下难以认定损害是否发生。以个人信息侵权中的损害为例，受害人除了遭受现实损害之外，还可能遭受个人信息泄露导致的一系列风险，如下游犯罪剧增、社会分选与歧视、消费操纵和关系控制，虽然信息泄露导致的这类风险并不直接体现为现实的财产差额，但是受害人所处的利益状态本身事实上已发生了实质变化，比如身份信息被盗窃后可能导致不良个人信用记录，或者隐私信息被雇主非法获取后变成“透明人”，在就业市场上的竞争力下降，获得雇主青睐的能力降低，等等。在差额说下，受害人这些状态的恶化均难以被认定为侵权法上的损害而获得赔偿，难免有失偏颇。

损害概念的本质是受法律保护的状态或地位遭受不利益，若这些状态的变化已具有相当的确定性，也足以用金钱衡量，那么自然应肯定相应损害的存在。若差额说无力解决这一问题，那么不应缘木求鱼，而是有必要引用学理上对差额说进行修正的其他学说来认定损害。如规范损害说主张，即使并无特定物或人身权益被侵害或者并不存在财产总额之价值变动，只要权利主体受法律保护的地位被侵害或者存在纳入法律规范评价领域的损害，那么这些侵害或者损害就属于侵权法上的可赔损害范畴。学理上存在对规范损害说的批判，认为其只是一种思维方式，难以避免缺乏客观标准导致的司法自由裁量权滥用等问题。(36)参见朱晓峰：《侵权可赔损害类型论》，法律出版社2017年版，第70页。对此，本文认为，规范损害说虽然不能取代差额说的位置，但在差额说并不能解决的特殊问题上，可以通过引入规范损害说而赋予法官以自由裁量权，从而克服差额说之弊端，更好地服务于法律保护个人信息之目的。事实上，我国司法实践中已有法院采取了这样的观点。例如，在“孙长宝与北京搜狐互联网信息服务有限公司等人格权纠纷案”中，北京市互联网法院认为“个人信息在互联网经济的商业利用下，已呈现出一定的财产价值属性”，并且信息处理者从获取个人信息中获益，因此也应当承担相应风险导致的不利益，对被侵权人的损失和利益没有证据的，应当根据实际情况确定赔偿数额。(37)参见北京互联网法院(2019)京0491民初10989号民事判决书。

(四)将风险作为损害的比较法经验及启示

对于风险能否被认定为损害的争论并不仅存在于我国。在比较法上，如美国的司法实践中风险是否应作为侵权法上的损害而可以通过金钱赔偿的方式予以救济，也颇具争议。支持将特定风险作为损害的观点认为，在原告能初步证明未来发生损害的可能性非常高的情况下，应当承认原告有资格以这种风险作为损害起诉，并有资格获得赔偿。在Remijas v.Neiman Marcus Grp.LLC 案中，法院便在原告并未受欺诈而仅仅存在风险的情形下认定原告遭遇了现实的损害。(38)See Remijas v.Neiman Marcus Grp.LLC,794 F.3d 688(7th Cir.2015).在 Lewert v.P.F.Chang’s China Bistro,Inc.案中，法院更进一步指出，两名被黑客窃取信用卡信息的原告，虽然其中一名已经遭受欺诈而另一名没有，但两名原告都因为得知自己的信用卡信息被泄露而费时费力地监控其账户，因此原告所主张的损害已然发生，(39)See Lewert v.P.F.Chang’s China Bistro,Inc,819 F.3d 963(7th Cir.2016).亦即应将风险出现后受害人为了防范风险而付出的预防费用也认定为损害予以赔偿。与之相反，持否定立场的法院则认为风险本身并不具有实质性、确定性，因此不应纳入可以获得侵权赔偿的损害范畴。在Clapper v.Amnesty International USA.案中，原告质疑美国《外国情报监视法》中允许监控境外非美国公民的通信的相关规定，原告认为这增大了自己的隐私或其他个人信息被泄露的风险，不但会使其一直处于不安全的焦虑状态，还会使其为了防止自己的隐私泄露而付出时间和金钱的成本，这已然构成损害。然而这一诉求被美国联邦最高法院拒绝。(40)参见前引〔2〕,Kristen Choi文，第444页。这一案例被很多法院在支持否定说时加以引用。因此，在许多被黑客攻击后个人信息泄露的案件中，法院并不支持仅仅以风险作为损害而起诉的做法，拒绝承认“实质性风险”的说法，比如Key v.DSW Inc.案(41)See Key v.DSW Inc,454 F.Supp.2d 684(S.D.Ohio 2006).与Beck v.McDonald案。(42)See Beck v.McDonald,848 F.3d 262(4th Cir.2017).

相比之下，欧盟对个人信息保护力度更大，因而对新型损害的认定也持有与美国法院的否定说不同的态度。欧盟的《通用数据保护条例》即反映了放宽损害要件认定标准的立场，从而加大了个人信息的保护力度，以回应个人信息侵权愈演愈烈背景下保护个人信息权益的现实需求。例如，《通用数据保护条例》第82条将可以主张损害赔偿请求的范围扩大到了“遭受重大或非重大损害的人”，放弃了损害具有重大性才可主张赔偿的要求。另外，该条例第146条有更为明确地表示：“损害应根据欧盟法院的判例法作广义解释，并充分反映本条例的目标。”此条直接地为个人信息侵权所可能带来的社会分选与歧视、精神损害等被纳入新型损害的范畴，提供了可能性。

为追随欧盟《通用数据保护条例》保护个人信息的规范目的，德国法也降低了损害认定门槛，缓和了对“实际金钱损害”“精神损害之严重性”等要件的强调，以加大对个人信息的保护力度。这具体表现在两个方面：一是就风险本身是否具有经济价值、受害人是否可以因此主张赔偿而言，德国开始将“歧视、身份盗窃或欺诈、财务损失、声誉损害、数据泄露”等不利益纳入损害的行列，并承认此类不利益可能带来财产损失；二是就风险是否会导致精神损害而可主张精神损害赔偿而言，2018年新修订的《德国数据保护法》已经将精神损害索赔门槛明显降低，删除了原本的“严重侵害人格权”这一要件。(43)参见前引〔3〕，叶名怡文。

当然，各国对个人信息的保护力度存在明显差异，因为对个人信息采取何种保护本身就属于价值判断的问题。个人信息除了承载着个人受法律保护的利益之外，同时也承载着公共利益。一些学者甚至提出，个人信息对当代经济的重要性就像石油对工业革命的重要性一样。(44)See Sam Jossen,The World’s Most Valuable Resource is No Longer Oil,But Data,The Economist,May 6,2017.将个人信息加以合理利用、整合，已经成为提高政府治理水平、提高生产力发展速度和质量必不可少的要素之一。因此，在个人信息权人的合法利益与社会公共利益保护的天平上，立法者如何进行价值取舍与权衡，将直接决定法律实践对个人信息的保护力度。典型的弱保护模式是美国模式，它几乎不保护一般的非隐私信息。(45)See Shawn A.Johnson,A Law and Economics Approach to Privacy Policy Misstatements: Considering the Need for a Cost Benefits Analysis in the FTC’s Deception Framework,18(1)Columbia Science and Technology Law Review 79,79-138(2016).与此相对应，美国法院对于风险作为损害的态度以否定说为主即不足为奇。相比之下，欧盟及其成员国对个人信息的保护明显更强。因此，在借鉴域外经验时也应将此背景纳入考虑，结合我国立法对个人信息保护的态度进行取舍、有选择性地借鉴相应的有益经验。本文认为：一方面，我们不能不考虑个人信息侵权愈演愈烈、受害人主张侵权法上的损害赔偿却极难得到支持的司法现状，以及比较法上放宽损害要件、降低证明难度等以达到加强个人信息保护力度的趋势；另一方面，又不能在风险作为损害这一问题上捕风捉影，一概支持将风险认定为损害，以此造成对个人信息的过度保护进而抑制利用个人信息所内含的公共利益的保护。因此，对于哪些风险能被认定为侵权法上的损害予以赔偿这一问题不能采取“全有全无”的判断策略，而应该建立动态评价体系，在个案中结合规范目的具体判断，被予以承认的风险性损害应是客观的、合理的，而非主观臆测的、捕风捉影的。

四、个人信息侵权中的损害认定方法

个人信息侵权案件中的损害认定相较其他侵权案件更为复杂。一是损害的类型更为复杂；二是损害可能发生在收集信息、处理信息、散布信息以及后续传播等各个环节，可能发生二次损害甚至多次损害。本文认为，发生个人信息泄露或其他个人信息侵权事件时，受害人可以主张的损害可以区分为现实损害与风险性损害。现实损害又可以进一步区分为财产损失和精神损害，至于风险性损害，法官需在个案中分别进行利益衡量，满足一定条件的风险性损害应纳入侵权法上的损害范畴而获得相应的赔偿。

(一)财产损失

个人信息侵权导致的财产损失按照其产生原因不同，可大致分为三类：其一，个人信息权益作为可被商业化利用的人格权益，其本身具有财产利益的属性，在个人信息权益被侵害时，权利主体可主张对个人信息所具有的财产价值减损的赔偿；其二，侵权行为人在侵害个人信息权益的同时，很可能导致其他财产权益受损；其三，个人权益受到侵害时可能导致各类风险，受害人为了防范这类风险的现实化可能付出风险防范费用，这在一定条件下也可能成为受害人可主张的财产损失。

1.个人信息权益本身的财产价值损失

尽管我国民法学界对个人信息权益属于权利抑或利益存在分歧，但这并不影响主流观点在个人信息属于独立的人格权益这一问题上达成共识。(46)参见张新宝：《论个人信息权益的构造》，载《中外法学》2021年第5期；彭诚信：《论个人信息的双重法律属性》，载《清华法学》2021年第6期；付新华：《个人信息权的权利证成》，载《法制与社会发展》2021年第5期。即自然人享有的个人信息权益可归入《民法典》第990条第2款规定的人格权益范畴。

个人信息权益作为一种独立的人格权益不仅仅承载着权利主体的精神利益，还承载着经济利益。(47)参见向秦、高富平：《论个人信息权益的财产属性》，载《南京社会科学》2022年第2期。比如权利主体通过将个人信息授权于他人使用或转让给他人进行商业化利用，实现对其个人信息权益的经济利益。当个人信息权益受侵害时，其本身的财产价值可能发生减损因而产生财产损失，这种财产损失是因个人信息权益作为一种人身权益被侵害而导致的，有别于财产权益直接受损而导致的财产损失。我国的法律实践坚持人格权一元保护模式，当受害人基于其人格权受损害而受到财产损失或精神损害时，无需分别主张财产利益和人格权利益受到侵害而获得赔偿，而是通过人格权制度对财产、精神利益同时予以保护。(48)参见程啸：《论我国民法典中个人信息权益的性质》，载《政治与法律》2020年第8期。《民法典》第1182条中规定，侵害人身权益造成财产损失的，赔偿数额的确定可以根据实际损害、侵权人获益确定，或者由法院酌定，这一规定也是为了适应人格权益受侵害导致财产损失的情形，即人格权益本身受损时也可直接主张财产损失。将财产性的考虑引入人格权的损害纠纷中，其目的是突破人格权损害以精神损害赔偿为主的藩篱，为权利人提供更为全面的权利救济。(49)参见姚辉：《关于人格权商业化利用的若干问题》，载《法学论坛》2011年第6期。

2.下游财产损失

个人信息被信息处理者收集后，可能被第三人窃取或利用，第三人利用个人信息进一步实施侵权行为，最常见的有窃取个人信息实施诈骗或盗窃，此类情形下，受害人直接遭受财产损失，因而对侵权责任损害要件的认定并无太大争议。理论和司法实践中的争议主要集中在信息泄露造成的财产损失结果是否应当由信息收集平台承担、在多大程度上应当由其承担责任，以及不同责任人之间如何分担侵权损害赔偿责任。(50)参见谢鸿飞：《个人信息处理者对信息侵权下游损害的侵权责任》，载《法律适用》2022年第1期。至于财产损失的数额认定，可直接采差额说的界定标准，计算侵权行为发生后的实际情况与假设侵权行为未发生的应然情况之间的财产差额，以此作为赔偿金额。

3.风险的预防费用

个人信息被信息处理者泄露后却并未被第三人立即进一步利用实施侵权行为，在这种情形下，虽然受害人财产并未发生现实的减少，但是由于其个人信息已经处于随时可能为第三人非法利用的状态，可能引发下游犯罪、社会分选和歧视、消费操纵和关系控制等等。这些情形均不能直接认定为受害人财产状况现实的削减，而仅仅是未来可能产生财产损失或其他不利益的风险。受害人可能为了防止前述风险的实现，不得不采取一定措施将自己的状况保持在风险不会发生的状况。比如被黑客攻击电脑系统后，为防范数据为第三人不法利用而安装防火墙或更换系统并自费安装防护软件；又比如信用卡信息被非法盗取后挂失信用卡等措施均会带来一定的金钱成本，这些费用虽然区别于一般意义上的财产损失，但其支出目的在于防范第三人非法利用已泄露的个人信息对其权益造成侵害、避免将来可能的损害风险，是为了排除对权益的妨害，(51)参见前引〔8〕，程啸书，第170页。与加害人侵害个人信息的行为之间具有因果关系，可以认定为损害而获得赔偿。

此外，个人信息侵权的司法解释也明确规定，为防止人身伤害的发生而采取的某些必要措施的合理费用也构成财产损失。(52)参见《最高人民法院关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》第18条；《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》第8条。虽然司法解释中仅仅列举了律师费、调查取证的成本作为排除人身权益妨害的预防费用，可以作为损害而获得赔偿，但不排除其他的预防费用也可以通过类推解释的方法获得赔偿的可能性。

至于赔偿数额的问题，并非任何预防费用均可获得全额的赔偿，比如在美国Polanco v.Omnicell,Inc.案中，预防费用的可赔性受到严格的限制，在不存在法律上的因果关系的情形下，或者预防费用并非合理必要而仅仅是受害人故意“制造”的情形下，预防费用不可认定为损害而获得赔偿。(53)See Polanco v.Omnicell Inc,988 F.Supp.2d 451,470-71(D.N.J.2013).因此，在划定预防费用的可赔范围时，本文认为可以在比例原则下审视：此项预防费用的支出是否具有合理性、必要性和相称性，仅仅在合理范围内符合比例原则的预防费用可以获赔，以此防范受害人通过恶意“制造”预防费用引发的道德风险事件，以维护“禁止从损害中获益”这一法理。

(二)精神损害

根据《民法典》1183条第1款，受害人因人身权益被侵害而遭受的精神损害只有满足“严重性”要件时才可获得赔偿。在司法实践中，因个人信息泄露导致的精神损害往往因为达不到“严重性”要件而难以获得法官支持，比如“黄某诉腾讯科技(深圳)有限公司等隐私权、个人信息权益网络侵权责任纠纷案”中，受害人因其个人信息被泄露而主张精神赔偿，但却由于泄露的范围限于其微信好友，故原告主张的精神损害因达不到“严重性”标准而不被支持。(54)参见北京互联网法院(2019)京0491民初16142号民事判决书。

事实上，精神损害是否满足“严重性”要件这一问题并不单单是在个人信息侵权中特有的问题，而是所有主张精神损害赔偿的案件中固有的问题，由于“严重”一词固有的模糊性和空洞性，学理上对其的认定标准缺乏共识甚至相互矛盾，导致无法对司法裁判起到有效的指导作用。因此，在司法实践中，法官往往滥用自由裁量权，难以对类似案件实现类似处理。(55)参见朱震：《论侵害人格权精神损害赔偿中的“严重”》，载《法制与社会发展》2022年第2期。实际上，“严重性”作为法律条文中的表述，对其解释应该成为评价社会事实的一种应然价值标准，“精神损害是否具有严重性”这一问题绝非仅仅是事实的判断，更是根据社会一般观念、立法者的规范目的而进行一系列价值衡量的结果。

因此，在个人信息侵权中受害者主张的精神损害是否具有“严重性”，也有赖于法官在个案中综合考量各种涉案因素的基础上进行价值衡量来确定。针对受害人因个人信息泄露导致的风险而产生的“焦虑”这一情形，首先，法官应该考虑社会中风险分配的问题，即哪些风险应该由处理者承担，哪些精神负担和心理压力应该由受害人自己负责。其次，法官也应该视被侵害的个人信息属于私密信息抑或非私密信息区分不同的保护力度，比如在隐私权受到侵害时，相比一般的个人信息被泄露的情形，受害人正常的生活安宁、平静和不受侵扰的状态往往受到更大的冲击，此时其主张的精神痛苦严重程度也就更高。最后，受害人主张的精神损害可能是基于个人信息受损，也可能是基于其他人格权益受损，比如因个人信息泄露导致的名誉权受损而产生的精神损害。《民法典》对于不同人身权益类型进行区分保护，这也会影响精神损害“严重性”要件的判定。《民法典》第998条中将生命权、身体权、健康权区别于其他人格权，可见其作为自然人赖以生存的基本人格权地位，因此对其保护程度也应相应最高。(56)参见黄薇主编：《中华人民共和国民法典人格权编解读》，中国法制出版社2020年版，第47页。对于第998条生命权、身体权、健康权之外的精神性人格权，立法者持有开放的态度而将相应的利益衡量授权给法官，在判断侵害精神性人格权的民事责任时，法官可以根据第998条中列举的因素自由裁量，这当然也适用于精神损害的“严重性”要件的判断。(57)参见前引〔55〕，朱震文。

(三)风险性损害

根据规范损害理论，损害的认定应以“受害人受法律保护的状态或地位是否发生变动”作为标准。就个人信息领域的损害认定而言，个人信息泄露带来的风险状态与零风险或低风险状态相比较，是否存在客观真实的利益差额？这种利益差额在立法者的价值立场上，究竟是由受害人自己承担还是由信息处理者承担？对此，法官在个案中应该围绕状态差额进行价值衡量，具体判断哪些风险可被认定为损害。为了约束法官的自由裁量权，法官在进行价值衡量时应在如下考虑因素框架下进行动态评价。

1.被侵害的个人信息类型

法官在进行利益衡量时，应首先考虑我国现行法律框架下立法者所持的价值立场以及追求的规范目的，损害的认定也应与现行法的规范目的和秩序相匹配。根据《民法典》第1032条第2款和第1034条第3款，个人信息中的私密信息属于隐私范畴，侵害私密信息后应优先适用关于隐私权的保护规定，这表明立法者对于私密个人信息和一般个人信息事实上进行区别保护。在侵犯隐私的情况下，由于损害的范围已经扩展到无形损害，侵犯私密信息本身即可以认定为损害。(58)参见徐明：《大数据时代的隐私危机及其侵权法应对》，载《中国法学》2017年第1期。《民法典》第1226条对此即作了明确规定。依据该条规定，医疗机构及其医务人员对披露患者病历承担侵权责任，该条隐去了损害要件，事实上表明立法者承认于此情形下私密信息披露本身就可以构成损害，而无需其他现实的损害结果。(59)参见前引〔5〕，田野文。在司法判决中，法官也持对隐私权进行绝对保护的立场，隐私权本身的侵害即可被认定为损害。(60)参见贵州省贵阳市中级人民法院(2021)黔01民终975号民事判决书；北京市房山区人民法院(2020)京0111民初12513号民事判决书。

因此，如果被泄露的信息是私密信息，则可以适用对隐私权进行绝对保护的规定，无论这种信息泄露是否导致现实的财产损失或精神损害，无论会导致何种风险，这种泄露本身都可以直接被认定为损害，而不再需要法官对风险展开进一步的考察。然而，个人信息应因其私密程度差异而受到不同程度的保护，否则难免会抑制个人信息被传播、利用创造的社会价值。因此除了私密信息以外的个人信息被泄露导致的风险，需要进一步讨论是否构成损害。

2.风险发生的盖然性

在私密信息以外的个人信息被泄露的情形下，各类风险需要进一步予以考察以认定是否能构成损害。对此，风险的界定有两个精细化方向：一方面，它包含了特定危害后果发生的可能性，即概率；另一方面，它包含了危害的结果及其影响的范围。(61)参见赵鹏：《风险社会的行政法回应：以健康、环境风险规制为中心》，中国政法大学出版社2018年版，第10页。美国联邦最高法院在Spokeo,Inc.v.Robins案中指出，满足一定盖然性条件的无形风险也能被认定为确定、具体的损害。(62)See Daniel J.Solove,Danielle Keats Citron,Risk and Anxiety: A Theory of Data Breach Harms(December 14,2016),GWU Law School Public Law Research Paper No.2017-2,GWU Legal Studies Resarch Paper No.2017-2,p.1244.只有具有较高盖然性的风险才会给受害人带来现实而紧迫的威胁，如不及时制止和排除，则很可能带来不可逆转的后果，因而有必要认定为损害并予以救济。有学者将不同盖然性的风险分为三类，即“危险”“风险”和“剩余风险”。(63)参见秦天宝、陆阳：《从损害预防到风险应对：预防性环境公益诉讼的适用基准和发展方向》，载《法律适用》2022年第3期。其中，“危险”的盖然性最高，社会一般人通过直观经验即可感受到权益受到侵害的威胁；“风险”的盖然性相较更低，但仍然在客观上对受害人带来威胁，与剩余风险的“几乎不可能发生”的状态相比，“风险”仍有救济的必要。对于什么样的风险值得保护，有不同的观点。有观点认为，应该证明伤害几乎肯定会发生，只有在因果关系不能充分证明的情况下才能预防；还有观点认为，只要有伤害发生的可能性，这种风险就应该提前预防。(64)1987年保护北海第二次会议部长级宣言指出：为保护北海免受危险物质损害的可能，采用预防措施十分有必要，要求在损害因果关系得到充分科学证据确认之前控制危险物质的注入。尽管存在分歧，但这两种观点均认为：“风险”要求的证据充分程度应低于采取危险排除行为的证据要求，也即除了“危险”可以通过消除危险请求权加以救济之外，给受害人带来损害的盖然性达到一定标准的“风险”也可以认定为损害，受害人有权主张恢复原状或赔偿予以救济。(65)参见前引〔61〕，赵鹏文。

判断个人信息泄露导致的风险发生的盖然性，可以结合以下几点具体判断：

第一，信息泄露的范围是否足够广泛。在通过网络侵害个人信息时，可以根据点击率、转载率、持续时间、传播范围等因素来评估影响范围。(66)参见前引〔33〕，张建文、时诚文。如果个人信息在披露后的传播仍在可预见和可控范围内，不属于向不明人群或不明地区的传播，则风险转化为实际损害的可能性一般较小。(67)参见“张某某等与俞某等隐私权纠纷上诉案”，浙江省杭州市中级人民法院(2017)浙01民终3053号民事判决书。反之，如果影响范围足够大，则受害人受法律保护的财产、人身安全状况则会发生实质的变化，风险发生的盖然性则更大。

第二，结合信息出于何种目的被收集，又以何种方式被泄露、窃取等相关因素考察。从行为目的来看，第三人出于黑客攻击的目的获取个人信息，和商家出于精准投放广告、营销的目的非法获取个人信息相比，显然前者的行为利用个人信息从事违法犯罪的可能性更大。从行为方式来看，如果第三人仅仅是盗窃有形财产比如电脑、手机等，行为人在将有形财产据为己有的同时，很可能通过解锁而获知手机里和电脑里的相关个人信息，但是这种非法获取个人信息的方式和黑客直接精准攻击大量的网络用户系统、定向获取特定数据相比，显然后者更具有直接的攻击性和危害性，其所引发的风险转化为现实损害的可能性更大。

第三，在诉讼程序中，受害人也可以在举证中通过类似的信息泄露事件中风险是否发生来证明风险的盖然性。例如，“庞理鹏与北京趣拿信息技术有限公司等隐私权纠纷案”中，原告收到虚假的航班信息取消短信，其通过列举出东航公司多次被媒体曝光存在泄露他人个人信息的风险先例，(68)参见北京市第一中级人民法院(2017)京01民终509号民事判决书。加之近年来航班信息的诈骗事件多发的社会背景，以此证明自己个人信息被盗窃后被诈骗之风险的盖然性，该主张最终被法院采纳。通过列举类案中风险发生之盖然性之高，可以对受害人所遭受的风险发生之盖然性起到佐证的作用，因此也可以作为法院在认定风险性损害时的考量因素。

3.风险可能导致的危害及其影响范围

正如上文所言，风险的另一个精细化方向为风险可能导致的危害及其影响范围，只有对于可能引发不可逆转的重大损失的风险才有必要提前采取预防措施。风险之所以有被认定为损害的必要性，也是基于个人信息领域某些信息泄露导致的风险将产生不可逆转的损害，而不得不提前采取预防措施。在环境法领域，《里约环境与发展宣言》第15条明确指出，那些严重的或者不可逆转损害的威胁属于需预防的风险。(69)《里约环境与发展宣言》第15条规定：“为了保护环境，各国应该根据它们的能力广泛采取预防性措施。凡有可能造成严重的或不可挽回的损害的地方，不能把缺乏充分的科学肯定性作为推迟采取防止环境退化的费用低廉的措施的理由。”这一规定对于哪些风险是值得预防的判断标准来说具有借鉴意义。因此，本文认为，要认定为损害的风险应首先满足损害后果不可补救或者事后补救将带来巨大的成本这一条件，否则将损害与赔偿的认定提前到实际损害发生之前便失去其必要性。就不能补救而言，如某些个人信息一旦泄露便难以通过更改个人信息的方式消除被泄露的风险，如生物识别信息或者基因信息，如果对于这些风险都采取一定的预防措施，即提前认定为损害而予以赔偿，那么便可消除信息处理者的侥幸心理，督促收集、保管生物基因信息的处理者更加谨慎行事，以免发生不可逆转的后果，从而发挥损害赔偿的预防作用。就补救所需成本巨大而言，被泄露的个人信息在“暗网”被倒卖后，无数下游处理者将随时都可以反复利用这些个人信息实施不法侵害活动，使可能的损害将在未来不定期地反复发生。受害人若是等到具体的损害结果发生后才能主张赔偿，将不得不在长期的不确定性状态中等待数月甚至数年才能得到救济，受害人为维权付出的时间成本和金钱成本也会随之增多。

五、结 论

整体而言，在数字时代，通过重新审视损害概念而在引入规范损害说修正差额说之不足的基础上，可以将特定条件下个人信息侵害引发的风险纳入侵权法上的可赔损害范畴，从而更好地落实法律充分保护自然人合法权益的目的。至于哪些风险可被认定为损害，应着重考虑的方向是：其一，我国现行法对私密信息和其他个人信息实行区别保护，因此在认定特定风险可否作为损害时，应区分个人信息私密程度不同而有所差异；其二，对于非私密信息的侵害，应从风险发生的盖然性和风险可能导致危害的影响范围两个维度考察风险是否具有被认定为损害的特质。法官在认定风险性损害和确定损害数额时，应在个案中综合以上考量因素进行利益衡量、动态评价。