個人信息泄露的民事救濟的域外法研究

摘 要 互聯網時代意味著信息共享，但是我們享受著信息共享的便利，也遭受著個人信息泄露的重創。個人信息泄露就等于將一個普通人暴露在公眾的視野下，我們很可能下一秒就會遭受定向推銷、詐騙、隱私權受侵害等各種損害。受有損害就應該尋求救濟，本文主要針對個人信息泄露的相關問題及其救濟機制進行研究。針對英美等域外法的相關規定進行研究，探討對我國的借鑒價值。

關鍵詞 個人信息 泄露 民事救濟 違約責任 侵權責任

作者簡介：王雅男，北京航空航天大學法學院。

中圖分類號：D920.4 文獻標識碼：A DOI：10.19387/j.cnki.1009-0592.2018.10.032

2017年3月頒布的《中華人民共和國民法總則》第一百一十一條規定“自然人的個人信息受法律保護。任何組織和個人需要獲取他人個人信息的，應當依法取得并確保信息安全，不得非法收集、使用、加工、傳輸他人個人信息，不得非法買賣、提供或者公開他人個人信息。” 首次在民法條文中對個人信息進行保護。但是總則僅僅作為原則試用，暫無細則出臺。本文初探域外法的相關規定，希望對以后個人信息保護有所裨益。

一、歐洲個人信息泄露民事救濟機制

歐盟頒布的《數據保護指令》與英國的《數據保護法》均確定了個人信息保護的基本原則，在原則的指導下對個人信息予以保護。在其立法中明文規定，在個人信息被進行不合理處理時擁有救濟權。信息主體由于非法信息處理行為或者違反依照指令所采取的國家的行為而遭受損害時，有權從信息處理控制人處獲得賠償。 本條對于個人信息泄露中的救濟提供了明確的請求權基礎。除此之外，歐盟還通過《隱私與電子通訊指令》，《數據留存指令》對于通訊行業、互聯網企業對于個人信息保護及處理進行明確的規定，確定其義務范圍，對于配合國家相關部門工作主要是刑事偵查工作與保護公民個人信息不被侵犯進行了協調。英國原作為歐盟國家也根據歐盟立法頒布了1998年數據保護法案，作為普通法國家在個人信息保護中運用大陸法系國家的立法方式予以保護，并且以判例作為支撐。英國在個人信息保護中與其他國家相比，比較有國家特色的一點為其預先保護個人信息機制，比如在其公司企業均設有數據保護專門職位，負責對數據的保護不被泄露，在事前防范中起到了關鍵的作用。英國相關判例一般都是數據查詢權的判例，在個人信息泄露救濟的層面并不多見。

二、美國個人信息泄露民事救濟機制

個人信息泄露在美國的立法與實踐中一般與信息隱私法有關，美國在民事救濟方面也是以侵犯隱私權為主進行救濟。

（一）美國個人信息泄露的立法現狀

在美國，沒有規制收集、傳播、使用個人信息的綜合性立法。《隱私法》只規制美國聯邦政府各個機構對他人私人信息的收集和使用等行為。在《信息自由法》規定了十余種例外情形，行為人在公開他人私人信息前并不需要獲得信息所有者的同意。 《兒童網絡隱私保護法》、《電子通訊隱私法》是現今對于互聯網中信息性隱私權做出的法律。《電子通訊隱私法》制定的目的就是為了保護隱私電子通訊免受政府、個人和第三方的侵犯。根據《美國聯邦貿易委員會法》，美國聯邦貿易委員會在調查不公平的商業行為享有廣泛的權利，此規定中不公平的商業行為只能對在商業行為中利用他人泄露的個人信息達到不公平競爭、欺騙消費者、侵犯隱私權等。

在學理層面，美國存在財產權論和人格權論兩方面的爭論。人格權理論的認同者從隱私權首先是一個基本人權出發，認為其是個人人格中的重要因素，因此消費者等的個人信息的收集是違背道義和倫理的，將個人信息作為個人隱私從而使人們對個人信息享有信息自決權。個人信息財產化的理論，認為要對個人信息進行保護的原因和驅動力，但個人信息作為財產缺少勞動創造價值這一環節，也對于個人信息泄露使人們的個人安寧造成干擾沒有很好的救濟作用。因此這兩種模式均有利弊，需權衡使用。

（二）美國個人信息泄露民事救濟的典型案例

在美國現有個人信息泄露的民事救濟中，訴因主要集中在合同、侵權、不當得利以及不正當競爭幾方面。主要依據美國FTC規則、隱私法、合同法、不正當競爭法、公平信用報告法（FCRA）、存儲通訊法（Stored Communications Act）等進行了訴訟。從不同訴因的構成要件方面，在實務中的主要爭議焦點集中在如何確定損害、近因、可賠償損失的認定、格式條款問題等。

在FTC規則項下，美國聯邦貿易委員會對于企業不公平競爭行為具有廣泛的調查權利，因此在實務中存在美國聯邦貿易委員會基于FTC 規則對于企業的訴訟。在現有判例中，法院對美國聯邦貿易委員會基于FTC規則起訴相關企業給予了肯定，通過F.T.C. v. Wyndham Worldwide Corp一案對于美國聯邦貿易委員會起訴企業泄露用戶個人信息進行了規范，主要表現在以下幾方面：一是美國聯邦委員會具有基于FTC規則對企業泄露個人信息行為起訴的權利；二是美國聯邦委員會起訴相關企業不需要事前通知 ；三是可以基于《美國聯邦貿易委員會法》第5條a條認定消費者遭遇重大損失；四是可以由與該公司有關的母公司等承擔共同在責任。

美國相關案例討論了幾種被訴的實際損害認定的問題。其中，認定緩解由于個人信息泄露造成損害的費用屬于實際損害認定的部分，在非訴訟與減輕個人信息泄露相關的費用、未經授權的費用不屬于可以賠償的范圍。而信用監控的時間和費用增加了未來身份盜用的風險不是法律準備補救的損害。在索尼與其客戶的數據泄露的訴訟中，法院確定了認定該訴訟賠償的構成要件為個人信息泄露的行為、可證明的損害、因果關系，而在實務中往往會因為缺乏因果關系的證明而駁回原告的訴訟請求。

在美國的判例中大多數是以美國憲法第三條作為依據，以侵犯隱私權作為訴因。Galaria v Nationwide Mut一案中，保險公司疏忽造成客戶信息泄露，消費者指稱，當他們的個人信息被盜時，他們遭受了隱私的損失，足以事實上造成傷害。部分案件的原告訴稱其個人信息泄露，其面對未來身份盜竊、欺詐的風險增加，為了預防此現象造成的損失，其需要支付大量的費用。法院認為其非實際發生的費用不能作為損失的認定，但是可以判令禁令救濟等方式來彌補其未來造成的損失。

部分案件中涉及基于違反合同或者隱含合同對個人信息泄露進行訴訟。在此類案件中的爭議焦點為是否有證據證明實際的損害，由合同是否可以推斷隱含個人信息泄露損害賠償的條款。判例中法院認為，企業負有保護客戶信息的附隨義務，由于企業疏忽造成的客戶個人信息泄露需要賠償。在純粹經濟損失的彌補方面，法院存在爭議。例如索尼與其客戶的集體訴訟案中，法院認為對于過失造成的經濟損失僅限于身體損害賠償，經濟損失是不被允許的。而內華達州最高法院曾表示，經濟損失原則不應該對過失的失實陳述提出索賠：但是例如由于誹謗，故意造成損害，對財務事項的疏忽的錯報和財團的損失。是不被經濟損失原則所禁止的。

三、域外相關經驗對我國的借鑒意義

我國屬于大陸法系國家，制定成文法解決社會亟待解決的問題是立法的主要思路。在《民法總則》頒布后，其中對于保護個人信息作為新的條文加入具有開創意義。與之相對應的需要在具體法規中加以完善。我國可以借鑒歐盟的立法方式，對于個人信息保護中的問題進行詳盡的立法，明確個人信息泄露中的救濟權利，對于處置個人信息過程中的問題，企業的相關權利義務進行規定。

美國社會存在著很多種類的個人信息泄露的訴訟案件，其中案件的請求權也呈現多樣化，對于我國的實務有一定的借鑒意義。在違約與侵權兩方面，需要注重構成要件的符合性，在實務中的認定與傳統法律問題有一定的區別。在處理個人信息泄露的民事救濟過程中，美國采取集體訴訟、公益訴訟等方式解決案件爭議數額過小，裁判認定損失難度大等問題。在相關案件中，缺乏證據是沒有支持訴訟的主要理由，是否可以采用舉證責任倒置的方式將舉證不能的后果交由企業也是需要討論的重要問題。美國聯邦貿易委員會在個人信息泄露造成企業不公平競爭的案件處理過程中的作用，也是我國可以通過行業監督的方式來借鑒經驗的。對于美國經驗的借鑒需要針對我國國情和現實生活中存在問題的特殊性全面的考量借鑒，從而為我國個人信息泄露的民事救濟機制提供一個合理的構建方式。

注釋：

陳飛，等譯.張新寶審校.個人數據保護——歐盟指令及成員國法律、經合組織指導方針.法律出版社.2006年版.第45頁.

阿爾貝特·林著.黃淑芳譯.憲法對信息性隱私權的法律保護//張民安主編.信息性隱私權研究.中山大學出版社.2014年版.第403頁.

“Liability of Businesses to Governments and Consumers for Breach of Data Security for Consumers' Information”，1 A.L.R.7th 2.

F.T.C. v. Wyndham Worldwide Corp.， 10 F. Supp. 3d 602， 2014-1 Trade Cas. （CCH） P 78763 （D.N.J. 2014）.

In re Sony Gaming Networks and Customer Data Sec. Breach Litigation， 903 F. Supp. 2d 942 （S.D. Cal. 2012）.

參考文獻：

[1]格哈德·瓦格納.損害賠償法的未來.中國法制出版社.2012年版.

[2]保羅·M·施瓦茲著.黃淑芳譯.隱私權和“可以識別個人身份的信息”.中山大學出版社.2012年版.

[3]帕梅拉·薩繆爾森著.張雨譯.作為知識性財產性的隱私權.中山大學出版社.2012年版.