1. 问题的提出
在《中华人民共和国个人信息保护法》(以下简称《个人信息保护法》)颁布实施以前，侵害个人信息权益所致损害赔偿责任的归责原则适用的是《民法典》第1165条第1款规定的过错责任原则，其中涉及的精神损害赔偿适用的是《民法典》第1183条以及相关司法解释。在《个人信息保护法》出台之后，第69第1款明确了个人信息处理者侵害他人个人信息权益的损害赔偿责任适用的是过错推定责任，第2款设置了具体计算赔偿数额的方式。以上条款并未对“损害”的涵盖范畴加以明晰，以至于其是否包括精神损害仍存较大争议。然而，在许多个人信息权益受侵害的案件中，受害者往往会处于精神上的痛苦状态之中，如产生恐惧、焦虑等情绪，财产损失相对来说较少且容易计算。在此类案件中，精神损害无疑是更加值得讨论的问题。此外，学界对于个人信息权益受侵害时主张精神损害赔偿的请求权基础、精神损害赔偿的认定要件、赔偿数额的计算等也存在争议。
针对以上问题，本文首先拟对侵害个人信息权益所致精神损害赔偿的适用困境进行分析；其次，论证个人信息权益受侵害时可以适用精神损害赔偿的正当性；最后，探析适用精神损害赔偿的完善路径，以期使侵害个人信息权益案件中精神损害赔偿制度的适用更加清晰化和规范化。
2. 侵害个人信息权益所致精神损害赔偿的适用困境
《民法典》和《个人信息保护法》对于侵害个人信息权益造成的损害均设置了救济条款，然二者对于精神损害赔偿的规定存在模糊性，造成了学界的诸多分歧和司法实践中的适用乱象。个人信息遭受侵害后主张精神损害赔偿的请求权基础是什么？精神损害如何认定？赔偿数额如何确定？这些亟待解决的难题都使精神损害赔偿制度的适用陷入困境。
2.1. 请求权基础争议
请求权基础，指的是一方当事人得向他方当事人有所主张的法律规范[1]。具体到侵害个人信息权益的案件中，就是因个人信息权益受到侵害而导致精神状况受损的当事人向加害者主张精神损害赔偿的法规依据。针对该问题学界主要存在两种观点：一种观点认为，个人信息遭受侵害的主体请求精神损害赔偿适用的依据是《民法典》第1183条的相关规定。另一种观点认为受侵害信息主体主张精神损害赔偿的请求权基础来源于《个人信息保护法》第69条。持第一种观点的学者认为《个人信息保护法》并未明确规定个人信息权益的精神损害赔偿[2]，故第69条不能直接作为请求精神损害赔偿的法律依据，而是应该适用《民法典》的路径来寻求救济。持第二种观点的学者则认为《个人信息保护法》第69条并未对损害进行区分，其囊括精神损害是应有之义，且该条之所以没有使用“财产损失”而是使用“损失”一词，是因为此处的“损失”包括财产损失(财产损害)和精神损失(精神损害)，可以直接作为请求精神损害赔偿的法律依据[3]。因此，《个人信息保护法》第69条是个人信息主体诉请精神损害赔偿的法律依据。
这两种观点虽对精神损害赔偿的请求权基础存在分歧，但都肯定了个人信息受侵害可以适用精神损害赔偿。二者依据的请求权基础不同，可能会造成以下三个方面的差异：第一，是否以“造成严重精神损害”为要件。依据《民法典》第1183条的规定，精神损害赔偿的成立以造成“严重精神损害”为必要，而《个人信息保护法》第69条未对损害程度予以规定。第二，在归责原则上，基于《个人信息保护法》第69条第1款之规定，毋庸置疑，财产损失赔偿责任应适用过错推定责任原则。然而，对于精神损害赔偿责任能否被纳入该条的适用范畴之中，仍有待进一步探讨。而精神损害按照《民法典》第1183条第1款之规定，必须满足“严重精神损害”这一前提条件，故仍应适用过错责任原则。第三，在精神损害赔偿数额的确定方式上，以《个人信息保护法》第69条作为请求权依据的，该条第2款直接规定了赔偿数额的确定方法，即精神损失的赔偿金额既可以按照个人信息主体的受损来确定，也可以按照个人信息处理者的获利来确定。我国《民法典》中并未对精神损害赔偿数额的确定作出明确规定，司法实践中通常参考最高人民法院修改后的《精神损害赔偿解释》第5条的规定来确定精神损害赔偿的数额[4]，由法官综合考虑各项因素后确定具体赔偿数额。
2.2. “严重精神损害”证明困难
由于我国立法对于精神损害赔偿的态度过于谨慎，从而导致很多个人信息受侵害案件中的精神损害赔偿无法得到法院的支持，退一步讲，纵使精神损害赔偿的请求获得了法院的支持，赔偿数额往往也难以达到原告的心理预期。也可以说，能够成功获得精神损害赔偿的往往是诉请赔偿的数额较低的案件。在我国司法实践当中，关于认定是否构成“严重精神损害”，只有损害后果较为明显的物质性人格权、或者与人格利益密切相关的精神性人格权受到侵犯时，法院才会对其予以认可[5]。根据《民法典》第1183条第1款之规定，受害人意欲取得精神损害赔偿须满足以下两个要件：其一，侵害客体必须是人身权益。个人信息保护的核心在于维护个人信息的自决，尊重及保障人格尊严自由发展[6]。个人信息之上兼具人格利益与财产利益双重属性。虽然《民法典》未将个人信息规定为一种权利，但在总则编第五章中，人格权益保护位于该章节首位，在价值位次上优先于财产性权益[7]，且《民法典》将个人信息与隐私权一起列入第六章，也是对个人信息的人格权益属性进行确认。其二，精神损害必须达到“严重”的程度。“严重”一词具有较强的模糊性，难以用一个纯粹客观的标准对其进行衡量，只能在特定的案件中做出解释。《民法典》第1183条将“严重精神损害”作为诉请精神损害赔偿的必备要件。故而受害人要想获得精神损害赔偿抚慰金，就需证明精神损害存在且损害达到严重程度这两项事实，但在实践中被侵权人往往难以证明损害后果的严重程度。
2.3. 赔偿金额难以计算
我国《个人信息保护法》第69条第2款就损害赔偿数额规定了三种计算方式，分别是被侵权人的损失、侵权人的获益以及法院酌定赔偿。就被侵权人的损失而言，个人信息侵权领域中的精神损害本身是否存在以及是否达到“严重性”要件便已经是难以认定的问题，赔偿数额更是无从谈起。个人信息区别于其它权利客体，其具有无体化的特性；而精神损害往往表现为内心的痛苦焦虑等，亦不外露。加之侵害个人信息的行为通常发生于线上网络环境之中，具有隐匿性。种种原因下导致其损失无法精确有效地用数额计算出来。就侵权人获益而言，精神损害赔偿往往只能由受到侵害的个人提起诉讼予以主张，而在信息洪流之中要想获取经济利益往往需要大量的信息，单一的个人信息不具备较大经济价值。因此单个人的信息被侵害时所能获益多少也难以计算。
《民法典》中也未对赔偿数额的计算方法作出明确规定。因此，司法实践中关于精神损害赔偿数额的认定往往由法官自由裁量。自由裁量是司法实务中一个永恒的议题，有利有弊。我国立法上和司法上均未对精神损害赔偿设置最高限额和最低限额，没有一个范围参照，自由裁量很有可能存在恣意的风险。由于各个法院所在地区的平均生活水平存在差异，对于精神损害赔偿存在着不同的标准，鉴于其所具备的主观性、数额不确定性、“完全赔偿原则”不完全适用性等独特属性，种种计算方法接连涌现，如完全酌定、固定赔偿、比例赔偿、最高限额赔偿等，但尚未找到统一的、普适的标准[8]。缺乏相关的规定和参考，无法确定具体数额的幅度或限额，司法实践中法官的主观随意性较大，可能会对司法的公正性和权威性造成一定的影响。
3. 侵害个人信息权益适用精神损害赔偿的正当性
尽管侵害个人信息所致精神损害赔偿在适用上存在请求权争议、“严重性损害”证明困难、赔偿数额难以确定等诸多困境，但我们不能以此否认个人信息权益受损时可以适用精神损害赔偿制度。在大数据时代背景下，我们在互联网上可以称之为“透明人”，个人信息尤其是隐私信息的泄露通常给我们带来的并非直接的经济利益损失，而是精神方面的损害。现实的救济需要及法框架内的依据均可作为侵害个人信息案件中精神损害赔偿制度适用的正当性来源。
3.1. 理论基础：损害可救济
侵害个人信息权益能请求精神损害赔偿的一个重要原因是个人信息权益具有人格属性。个人信息权益不仅承载着现实社会的人格价值，也蕴含着线上网络环境中个人的人格价值，这与我们所认为的传统人格权要素不同。在大数据时代背景下，网络信息的传播速度之快是我们都能体会到的，个人信息的利用、泄露、传播往往只发生于片刻之前，却能给我们带来不可逆转的伤害。常常听到网民们调侃“你的生活没有那么多观众”“互联网没有记忆”，然而事实上是哪怕信息数据只出现了一秒，也会留下痕迹或被人保存。担心社会评价的降低、担心被敲诈勒索或被诈骗、担心信息泄露后经济利益的损失，都会令当事人产生不良的精神或者心理反应。这种信息侵害给精神利益造成的损害若是得不到救济，那么人格尊严与人格自由也就无从谈起了。
可救济性损害是指客观存在的、且法律认可的能够予以救济的损害[9]。如上所述，个人信息受侵害造成的精神损害无疑是客观存在的。在法律认可方面，《民法典》在人格权编对个人信息予以规定，并规定了侵权责任的承担方式，《精神损害赔偿司法解释》也将具有人格权属性的个人信息权益纳入必要补救的精神损害范围之内。因此，可救济性损害理论为构建个人信息侵权精神损害赔偿制度提供了重要理论基础。
3.2. 现行法规定：有法可依
《民法典》第1183条和《个人信息保护法》第69条都可以作为个人信息权益遭受侵害的当事人主张精神损害赔偿的现行法依据。精神损害赔偿适用《民法典》第1183是毋庸置疑的，而能否适用《个人信息保护法》第69条存在争议，前文在请求权基础争议部分已经作出阐述，在此不再赘述。从条文内容上看，二者适用的主体有所差别。《个人信息保护法》第69条第1款所规定的是个人信息处理者侵害个人信息权益的行为，而《民法典》第1183条第1款规定的是普通民事主体侵害包括个人信息权益在内的自然人人身权益的行为。当被侵权人主张的是人身或财产损失时，侵权人身份的不同对于请求权基础的选择具有关键性意义，当侵权人为个人信息处理者时，被侵权人应当依据《个人信息保护法》第69条第1款主张损害赔偿；当侵权人非为个人信息处理者时，被侵权人应当依据《民法典》第1183条第1款主张损害赔偿[10]。然而当被侵权人主张的是精神损害赔偿时，由于《个人信息保护法》第69条对于“损害”规定的不明确性，能否适用《个人信息保护法》第69条存在争议。
4. 侵害个人信息权益适用精神损害赔偿的路径探析
4.1. 不同主体适用不同的规则
我国《民法典》第1183条对于主体身份并没有具体的限定，其包括所有民事主体侵害自然人人身权益的行为。《个人信息保护法》主要调整的是个人信息主体与个人信息处理者之间的法律关系。个人信息处理者相较于非个人信息处理者而言在技术方面处于优势地位，所以其侵害个人信息权益的损害赔偿适用《个人信息保护法》，采取举证责任倒置的证明规则更具有合理性，能够稍加平衡两者强弱不同的地位。而非个人信息处理者由于欠缺专业性和技术性，举证困难，应以《民法典》中的相关规定为请求权基础诉请赔偿。
4.2. 确保对精神损害的合理认定
关于精神损害的认定，《民法典》侵权责任编中做了非常严苛的明确规定。精神损害认定之所以设置严苛是因为可能会导致精神损害赔偿的滥用。但是，法律规定中的“严重”这一限制条件使得受害人在提供证据证明时更加困难。从我国立法角度来看，既然是精神损害赔偿，更应当以精神损害程度为基础，而不以具体损失为计量起点。在侵害个人信息权益案件中，被侵权人的精神损伤往往与身体损伤不成比例，但《民法典》中的精神损害门槛过高，只有精神痛苦程度到达严重程度才能主张精神损害赔偿，对于许多轻度的精神损害无法实现精神损害赔偿的填补损害的功能。由此可见在个人信息受侵害的案件中，过高或过低的精神损害赔偿均无法实现对个人信息的保护，若遭受轻度的精神损害如接到骚扰电话就可以主张精神损害赔偿，则可能会导致精神损害赔偿制度的滥用[11]；若要求只有遭受严重的精神损害才能主张精神损害赔偿则使得遭受精神损害程度较轻的被侵权人很难获得救济，同时也造成了被侵权人的证明难题。
出于精神损害赔偿的立法目的，防止滥用赔偿权利，又要考虑填补损害和安慰被侵权人，那么就要在二者中间找到一种平衡——适当降低精神损害赔偿的要件。首先可以针对不同个人信息分类，是一般个人信息还是敏感信息；再从程度上分辨轻微和一般、较轻、严重精神损害分别讨论。其次，适当扩大精神损害赔偿的范围，在现实生活中，不同权利主体的经济条件、社会地位、精神状态等对不同损害的感知能力不同，所遭受的精神痛苦状态也不尽相同。在具体的精神损害验证中，难免需要考虑这些因素，但为了精神损害赔偿的统一性和法律的权威性，对个人信息精神损害赔偿的认定需要更加全面，对于轻微和较轻的精神损害要与严重的精神损害区别开来，采用多层次的精神损害赔偿。
4.3. 保证对赔偿数额的妥当确立
在精神损害领域，“损失”与“获利”无法用一个精细化的数字进行计算。因此在个人信息侵权案件中，由法官酌定裁量精神损害赔偿数额是普遍的做法。法官在个案中确定赔偿数额时有一定的考量因素，若能将考量因素固定，可以很大程度上降低自由裁量的主观性、随意性，为赔偿数额的确定提供一个统一的参照。《最高人民法院关于确定民事侵权精神损害赔偿责任若干问题的司法解释》第5条规定了精神损害的赔偿数额确定的考量因素。借助构建动态系统论的方式，结合相关司法解释的既有规定，或可将下列因素作为精神损害赔偿数额认定的考量范畴之中：
一是个人信息的私密性程度。通常情况下，个人信息越重要、越敏感、私密性程度越高，其被侵害后构成损害的概率则越大[12]。应当认为私密性越高的个人信息被侵害时受到的精神损害更严重，同时所应获得的精神损害赔偿数额也会更高。因此，“分而治之”是应对个人信息保护问题的最佳手段：普通信息强调利用，私密信息则重在保护[13]。个人信息的私密性程度是我们在确定精神损害赔偿数额时最先应当考量的因素，它也更能体现个人信息的特性。
二是个人信息侵权人的主观过错。个人信息侵权人的主观过错可以分为故意和过失。相较于过失，故意的主观恶行更深。若侵权人明知自己未获得被侵权人的认可和同意或推知同意的意思表示，仍然擅自搜集、使用、加工、储存和利用被侵权人个人信息，或怠于行使个人信息保护义务，导致被侵权人因个人信息被泄露、盗取、滥用而产生侵害，法官应当酌定比过失更多的赔偿数额。反之，若侵权人是因疏忽大意而未履行对个人信息的保护义务导致个人信息权利人利益受损，则可以酌情考虑相对来说较低的金额。
三是侵权人的侵权方式及场合。个人信息侵权主要发生于互联网，具有传播速度快、覆盖范围广、存续时间长的特性，故而延长了私密信息披露的存续时间，也扩大了其受众范围，更加剧了对个人情感、声誉等精神方面的损伤。由此可见，个人信息侵权所造成的损害后果具有持续性的特征，遭受侵权的信息主体要长期承受该侵权行为对自己带来的不良影响，故更易给信息主体造成更为严重的精神损害后果。
四是损害后果的严重性。具体来说可以考虑个人信息侵权行为产生的损害后果给被侵权人的正常生活造成了多大的影响，被侵权人精神状态的受损程度以及是否产生心理疾病等综合判断。
5. 结语
大数据时代背景下，每个人都置身于庞大信息流的裹挟之中，不可避免地融入信息的浪潮。互联网技术的进步提高了我们对于数据算法的需求，同时也使得个人信息遭致不法侵害的风险升高，侵害个人信息权益的行为屡见不鲜。个人信息内涵丰富，不仅是人格评议的重要指标，更与人格自由以及人格尊严之间密切相关。为了真正实现信息主体对个人信息的“掌控”，确保在受到精神损害后，可以及时获取相应救济，理应从个人信息侵权中精神损害赔偿的适用困境出发，对请求权依据的选择、精神损害的认定标准以及精神损害赔偿数额的计算等方面予以进一步完善，以期能够对侵害个人信息权益所致精神损害的救济问题作出更具针对性的解读和回应。
基金项目
2024年江苏省研究生科研与实践创新计划项目，项目名称：大数据时代个人信息权益的私法保护研究，项目编号：SJCX24-2172。