侵害个人信息权益精神损害赔偿的法律适用

李翠萍，崔汪卫

（1.安徽大学江淮学院 文法系，安徽 合肥 230031；2.安庆师范大学 法学院，安徽 安庆 246133）

作为一种新型权益类型，个人信息权益业已在我国民法典总则编（第111条）和人格权编（第1 034条—1 039条）相关条款中进行了较为原则性规定，这些规定是个人信息权益保护必须遵循的基本规则，然而，缺少侵害个人信息权益的赔偿责任规则等救济措施的特别规定。2021年施行的个人信息保护法第69条对个人信息侵权损害赔偿责任规则予以明确规定，即个人信息侵权责任适用过错推定原则，此条还对损害赔偿数额的计算方法予以明确规定。此条的不足在于“损害”的具体范围并未明确界定，个人信息权益精神损害赔偿是否落入其中，更是难以确定。学界对在个人信息侵权案件中原告主张精神损害赔偿的请求权基础是什么、请求精神损害赔偿的证明要件、赔偿数额的计算标准等，均存在较大争议，亟待从法律制度层面予以更为明确的规制，本文拟对这些问题进行研究。

一、个人信息受侵害可以请求精神损害赔偿

2021年施行的个人信息保护法规定个人信息侵权损害赔偿适用特殊的认定规则，但是否对个人信息侵权的精神损害赔偿责任进行规定不甚明确，学术界对此存在两种不同的看法。否定说认为个人信息保护法并未规定个人信息侵权者需要承担精神损害赔偿责任[1]，抑或此法尚未明确规定个人信息侵权精神损害赔偿问题[2]；肯定说则认为个人信息权益受到侵害依据个人信息保护法不仅可以获得财产损害赔偿，还可以获得精神损害赔偿[3]。基于上述争议观点，主要是由于个人信息保护法对精神损害赔偿规则未予以明确规定引起的。但是，对于个人信息受到不法侵害，是否可以主张精神损害赔偿，大多数学者对此持肯定态度。例如，杨立新教授认为权利人可以依据民法典第1 183条规定请求精神损害赔偿[4]。程啸教授认为权利人可以依据个人信息保护法第69条获得精神损害赔偿[5]。彭诚信教授和许素敏博士也尝试对个人信息侵权精神损害赔偿在制度上进行构建[6]。

精神损害赔偿是因人身权益遭受侵害造成精神损害可以获得赔偿金的一项制度[7]。民法典第1 183条规定，请求精神损害赔偿应当具备事实和后果两个构成要件，即“人身权益侵害之事实”和“严重精神损害之后果”。可见，精神损害赔偿是保护自然人人身权益的一种赔偿制度，是自然人因人身权益受侵害而产生的精神损害可以要求物质赔偿的一种制度。个人信息权益规定于民法典总则编第111条，置于具体人格权的规定（第110条）之后，身份权、财产权（第112条）的规定之前，并在人格权编中与隐私权一起作为独立的一章进行规定，虽然人格权编没有将个人对其个人信息所享有的权益明确规定为个人信息权益，但是民法典已将其作为自然人的人格权益予以保护。作为保护人身权益的精神损害赔偿制度当然应将个人信息权益纳入其保护范围。而且在个人信息侵权案件中，被侵权人由于个人信息被泄露或不当使用等侵权行为，往往会产生担心、焦虑、害怕、恐惧等不良的精神后果。本文认为，侵权人实施侵犯他人个人信息权益且造成严重精神损害后果的，权利人可以向侵权人请求精神损害赔偿。

二、个人信息侵权请求精神损害赔偿的法律适用困境

（一）请求权基础争议

精神损害赔偿的请求权基础是“一方当事人得向他方当事人有所主张的法律规范”[8]。即权利人基于个人信息权益被侵害可以请求精神损害赔偿的法规依据。学界主要有两种观点：一种观点认为，个人信息侵权案件中权利人主张精神损害赔偿的请求权基础是民法典第1 183条。鉴于个人信息保护法并未规定精神损害赔偿问题，权利人只能诉诸于民法典第1 183条之规定，并将其作为请求权基础向侵权者主张精神损害赔偿[1]。另一种观点则主张权利人可依据个人信息保护法第69条之规定请求精神损害赔偿。如程啸教授认为个人信息保护法第69条之所以没有使用“财产损失”而是使用“损失”一词，是因为此处的“损失”包括财产损失（财产损害）和精神损失（精神损害），因此可以直接作为请求精神损害赔偿的法律依据[3]。

两种观点都肯定了被侵权人可以请求精神损害赔偿，但因为其依据法律不同，使得精神损害赔偿请求权在行使中有以下两个主要区别：一是是否必须证明“严重精神损害”的后果。依据民法典第1 183条之规定，权利人主张精神损害赔偿必须要证明作为构成要件之一的“严重精神损害”，而以个人信息保护法第69条作为请求权基础只需证明“造成损害”，无须达到严重的程度。二是精神损害赔偿数额的确定因素存在差异。如何计算精神损害赔偿数额，民法典并未明确规定，司法实践中通常参考相关的司法解释的规定，即最高人民法院最新修改的精神损害赔偿解释第5条[9]。适用个人信息保护法第69条提出的精神损害赔偿请求权，该条第2款即规定了计算精神损害赔偿数额需要考虑的因素，即按照“个人因侵权而受到的损失数额”或者“个人信息处理者因侵权而获利数额”来确定赔偿数额，一般来说，按此二者确定赔偿数额更有利于被侵权人。当二者难以确定的，再“根据实际情况确定赔偿数额”。很显然，不同赔偿数额的确定因素会导致不同的赔偿数额。

（二）司法适用困境

在侵害个人信息权益案件中，原告往往很难证明自己遭受精神损害，更难以证明造成严重精神损害，导致精神损害赔偿的诉讼请求很难得到法院的支持。例如，“周某诉广东快客公司网络侵权案”，周某因电信诈骗造成近五万余元损失，周某的物质损失赔偿请求得到了法院支持，精神损害赔偿请求却因无法证明信息持有人遭受“实质性”的精神损害而得不到法院的支持①参见（2019）粤03民终3954号民事判决书。。民法典第1 183条以“严重精神损害”作为请求精神损害赔偿的必备要件。在司法实践中，证明“严重精神损害”需要证明有严重后果的产生，往往是指侵害人身权益且致伤致残致死或者造成社会一般人难以承受的精神痛苦和肉体痛苦[10]。而在个人信息权益侵权案件中，被侵权人的精神损害通常表现为精神上的焦虑、担心、害怕、恐惧等，或者由于骚扰电话等造成生活上的不便，往往达不到“严重后果”的程度，满足不了“严重精神损害”的构成要件，因此以民法典第1 183条为请求权基础主张精神损害赔偿在司法实践中诉求很难满足。例如，在凌某诉抖音案中，凌某举证其受到精神损害请求精神损害赔偿两万元。但法院认为凌某某提供的证据不能证明“造成严重后果”，不是严重精神损害，因此对其精神损害赔偿请求不予支持②参见（2019）京0491民初第6694号民事判决书。。

由于无法证明“严重精神损害”，在个人信息权益侵权案件中，多数侵权人只需承担赔礼道歉、停止侵害、消除影响等侵权责任。这显然不利于自然人个人信息权益的有效保护，也无法对侵权人者形成有效的威慑，预防侵权行为的发生。

三、个人信息侵权请求精神损害赔偿困境的解决路径

（一）区分不同的侵权主体适用不同的规则

个人信息保护法第3条第1款明确规定本法主要适用于“处理自然人个人信息的活动”，与此同时能够，此法第72条第1款从反面排除了“自然人因个人或者家庭事务处理个人信息”适用该法的情形。从上述规定可以看出，“处理自然人个人信息的活动”的主体是个人信息处理者，那么侵犯个人信息权益的主体分为个人信息处理者和非个人信息处理者。法律进行区别规定的原因在于个人信息处理者具有很强的专业性和技术性，相比于个人信息权益主体（自然人）处于显著优势地位，应予以特别规范[11]。因此，个人信息处理者侵权是一种发生于处理个人信息活动过程中实施的特殊侵权行为，应适用个人信息保护法中侵权规则的规定，该法中如果有关于精神损害赔偿的规定自然也适用该法。而非个人信息处理者侵权由于是“因个人或者家庭事务处理个人信息”，不属于个人信息处理活动中产生的侵权行为，不适用个人信息保护法，应属于一般侵权行为，应适用民法典中一般侵权规则的规定。

1.个人信息处理者侵权适用个人信息保护法

个人信息保护法第69条没有像民法典第1 182条使用“财产损失”一词，而是使用了“损失”一词，此时可以对个人信息保护法第69条的“损失”进行宽泛解释，其既包括财产损害，也包括精神损害，权利人可以据此请求精神损害赔偿。理由如下：

第一，对“损失”进行宽泛解释有先例可循

早期民法理论普遍认为人格自由和尊严是不能用金钱衡量的，因此很长一段时间内，我国民法理论和司法实践都不承认精神损害赔偿，民法中也没有关于精神损害赔偿制度的明确规定。一般认为民法通则第120条是精神损害赔偿规则的规定，此条没有直接使用“精神损害赔偿”，使用的是“赔偿损失”一词，而侵害此条列举的诸如姓名、名誉、肖像、名誉、荣誉等权利大多不会造成直接的财产损失，因此在理论和实践中渐渐达成共识，对第120条的“损失”多进行了宽泛解释，既包括财产损失，也包括精神损失，权利人可以此条文为依据请求侵权人给予精神损害赔偿[12]。最高人民法院在后来的一系列司法解释中也对这一宽泛解释进行了确认，通过对精神损害赔偿制度的确认和完善，在司法实践中取得了很好的效果，更有力地保护了自然人的人身权益。

第二，经验借鉴：放宽侵害个人信息权益精神损害赔偿的适用条件

从国外立法与司法实践看，也在不断放宽侵害个人信息权益精神损害赔偿的适用条件。1995年的《欧盟数据保护指令》规定了侵害个人信息权益要承担损害赔偿责任（第23条第1款），但没有明确这里的“损害”是否包括精神损害。许多国家在个人信息侵权案件中，只承认财产损害赔偿，否认了精神损害赔偿。2018年欧盟出台的《通用数据保护条例》（GDPR）对此进行了修改，规定任何“物质损害或者非物质损害”都有权获得赔偿（第82条第1款），从而明确“非物质损害”是可以赔偿的，且不以“严重精神损害”为要件，这里的“非物质损害”即为我国民法中的“精神损害赔偿”[13]。司法实践中也纷纷出现支持权利人精神损害赔偿的案例。例如德国慕尼黑第一地区法院2021年12月9日审理的一起案件（案件编号31 O 16606/20）支持了原告“非物质损失”2 500欧元，该案因某金融服务公司泄露客户的数据而发生争议，尽管没有证据证明原告（客户）因数据泄露而遭受“严重精神损害”，只是存在因数据泄露产生风险的担心和焦虑，如担心身份被盗用被用于其他欺诈活动等，但法院仍然根据GDPR第82条给予原告非物质损害赔偿。英国、美国等国家也纷纷通过修订立法承认非物质损害赔偿或精神损害赔偿，并且放宽其适用条件。

第三，放宽精神损害赔偿的适用条件更符合立法目的。

随着信息社会的深入发展，个人信息作为一种数据资源利用价值越来越高，越多的利用也带了越多的侵害，现实中个人信息被侵害现象层出不穷，个人信息保护亟待加强，国家也出台了多部相关法律法规，但法院处理的个人信息侵权案件却偏少，且原告往往遇到举证困难不能获得法院支持，即使获得支持获得的赔偿数额也不大。笔者在中国裁判文书网以“个人信息保护纠纷”为案由进行检索，共检索到206篇结果，从案件的处理结果上看，大多数案件当事人撤诉，法院支持原告全部或部分诉讼请求的仅约占10%,案件大多数被驳回或者调解结案，原告方败诉的主要原因为证据不充分、举证困难。获得法院支持的案件，被告承担责任的方式主要为赔礼道歉，停止侵害，没有过多的经济上的赔偿，为数不多的赔偿损失多集中在万元左右，这与现实生活中个人信息被肆意滥用的状况严重不符，个人信息保护法所规定的“保护个人信息权益”的立法宗旨也难以实现[14]。因此，对个人信息保护法69条的“损失”进行宽泛解释，“损失”也包括精神损害，可以此条款作为请求权基础请求精神损害赔偿，依据该条款请求精神损害赔偿不要求达到民法典所规定的严重精神损害的程度，只要求“造成损害”即可，放宽了精神损害赔偿的适用条件，从而权利人更有积极性利用民事诉讼途径保护自己的个人信息权益，有利于立法目的的实现。

2.非个人信息处理者侵权承担精神损害赔偿适用民法典

个人信息保护法第3条规定该法适用于“个人信息处理者处理自然人个人信息的活动”，第72条第1款排除了“自然人因个人或者家庭事务处理个人信息”对个人信息保护法的适用。侵犯个人信息权益的主体分为个人信息处理者和非个人信息处理者，“非个人信息处理者”主要是“因个人或者家庭事务处理个人信息”的自然人。此类人员处理个人信息不具有很强的专业性和技术性，与个人信息处理者相比，其不具备显著优势地位，没有必要进行特殊规范。因此，非个人信息处理者侵害个人信息权益应归于一般侵权，应适用于民法典第1 165条第1款的一般侵权规则，适用过错责任原则。侵权中造成严重精神损害的，被侵权人可以依据民法典1 183条请求精神损害赔偿，但需要证明该条要求的“严重精神损害”的程度。

综上，关于个人信息侵权的规则，个人信息保护法相较于民法典，其处于特别法地位[15]。个人信息保护法所调整的法律关系是个人信息处理者（技术、信息、资金、规模等能力上具有显著优势）与个人信息权益主体（自然人）之间的关系，个人信息处理者侵权属于特殊侵权行为，造成精神损害承担精神损害赔偿责任适用个人信息保护法第69条。而非个人信息处理者侵害个人信息权益构成一般侵权，其承担精神损害赔偿应适用民法典1 183条。

（二）数额的确定要达到抚慰受害人和惩戒加害人的目的

按照前文解释，个人信息保护法第69条的“损失”不仅包括财产损害还包括精神损害，那么69条第2款规定的确定赔偿数额的方法也适用精神损害赔偿，其赔偿数额按照下列次序进行确定：首先根据“个人信息权益人因侵权行为造成的实际损失数额”或者“个人信息处理者因侵权获利的数额”确定赔偿数额，一般来说，按这两个因素确定赔偿数额能让权利人获得更多赔偿，当这两个因素不能确定时，再“根据实际情况确定赔偿数额”。具体的“实际情况”可以借鉴《精神损害赔偿司法解释》第5条的规定。综上，同时结合个人信息侵权的特殊性，可以将下列几点作为计算个人信息侵权精神损害赔偿数额的参考：侵权者的主观过错程度；受害者的个人信息敏感程度；侵权行为的严重程度；损害的可补救程度；受诉法院所在地的平均生活水平等[16]。

侵权法中精神损害赔偿的功能不同于财产损失赔偿，财产损失赔偿是为了填补财产损失，而精神损害赔偿是为了减轻受害人的精神伤害，抚慰受害人受伤的心灵，同时还要有惩戒加害人的作用。因此，精神损害赔偿的数额过低或过高都是不适当的，过低（如有的案件中判决1元的精神损害赔偿）既不能抚慰受害者，也不能惩戒加害人，过高则违背了侵权法中“赔偿不是中彩票”的法谚。要综合考量各种因素，确定一个合适的赔偿数额，使得赔偿数额能达到抚慰受害人、惩戒侵权人以及警示大众的目的。

四、结论

自然人的个人信息作为一种新型人格权益，是信息社会极易被滥用及侵害的权益。为了加强个人信息的保护，使被侵权人受到精神损害更易获得精神损害赔偿，可以区分不同的侵权主体。根据上文分析，非个人信息处理者利用他人个人信息实施侵权行为应当承担精神损害赔偿的，适用民法典第1 183条，且以造成严重精神损害的后果为必备要件，而个人信息处理者他人个人信息实施侵权行为，并应当承担精神损害赔偿的，适用个人信息保护法第69条，且不以严重精神损害作为构成要件。同时，对于精神损害赔偿数额的确定，应当适用不同的认定规则。通过区分不同的个人信息侵权类型，更精细地处理个人信息侵权案件，使个人信息处理者活动中处于弱势地位的信息权益主体（自然人）更易获得精神损害赔偿并获得更多的赔偿，从而更好保护自然人的个人信息权益。