个人信息权益侵权法保护的动态体系论

莫杨燊

内容提要：大数据时代的到来给个人信息侵权救济在损害认定、因果关系证明、违法性判断、过错判定以及责任承担等方面均带来了前所未有的挑战，传统侵权法无法对此作出有力的回应，这严重有碍于数字社会的人权保障。动态体系论是介于固定构成要件和一般条款之间的第三条道路，既克服了“要件效果”模式“全有全无”式法律效果评价机制的僵硬呆滞，也避免了一般条款模式的不确定性，能够切实提升法律系统应对社会变迁的灵活性。鉴此，应在动态体系论的指导之下，构建个人信息侵权的动态基础性评价框架，依靠各个基础评价要素的动态协动作用，实现对个人信息侵权的责任构成与责任承担法律效果的弹性化评价，借此化解大数据时代的个人信息侵权危机，促进作为数字人权的个人信息权益的实现。

关键词：个人信息 数字人权 动态体系论 侵权构成 责任承担

一、引言

互联网、大数据以及人工智能等信息网络技术的运用彻底重塑了人们的生产方式和生活样态，有力地推动了经济发展和社会进步。但与此同时，信息科技的广泛应用也使身份盗窃、算法歧视、深度伪造以及大数据杀熟等新型侵权现象不断涌现，给建构在物理世界基础上的传统人权保护机制带来了巨大的冲击和影响，“数字人权”理念在此背景之下应运而生并愈显重要。数字社会之下，人们的社会关系建构、人格尊严维护以及个人价值实现均仰赖于信息、数据与代码的描绘与表达。个人信息保护是在数字社会之中促进和实现自然人的人格尊严与人格自由、确保自然人身份建构的自主性和完整性不被大数据技术所侵蚀的关键之所在。准此以言，个人信息权益堪称为数字人权范畴中具有引领性的一项新兴人权。但同时，个人信息权益也是数字人权之中遭受威胁与侵害最为频繁与严重的一项人权。近年来，山东徐玉玉遭受电信诈骗案等个人信息侵权案件层出叠见，引发了社会公众对自身个人信息安全的深刻忧虑。建构完善的个人信息侵权法保护规范体系，是强化个人信息保护、维护和发展作为第四代人权的数字人权的基本要求。然而传统侵权法框架在应对个人信息侵权方面显得捉襟见肘，不敷适用之势甚为明显。《民法典》与《个人信息保护法》又均未对个人信息侵权的损害认定、因果关系证明、违法性判断、非物质性损害判定等迥异于一般过错侵权之处作出特别规定，未能构建起完善的个人信息侵权法律规制体系。以上种种致使民事主体在个人信息权益受侵害之后难以获得救济，阻碍了完善的民事权利保护机制的形成，也妨碍了智慧社会之中数字人权的保障与发展。有鉴于此，本文拟在深入分析大数据技术对个人信息侵权救济的重重挑战的基础上，阐明动态体系论对于应对上述挑战的指导意义，并提出运用动态体系论构建个人信息侵权动态基础性评价框架并以之破解个人信息侵权救济困境的具体操作步骤及方法，以期能对个人信息侵权法保护的完善有所裨益，促进以个人信息权益为引领的数字人权的实现。

二、大数据时代的个人信息侵权危机及方法论应对

在大数据时代的背景下，物联网、云计算、人工智能等信息技术的应用深刻地改变了个人信息收集、使用、传输和分析的方式。个人信息收集的规模日趋庞大且方式更为隐秘，个人信息处理的速度呈指数级增长且流程愈发复杂，对个人信息的分析、挖掘在结果上具有不可预测性且在过程上具有不透明性，这给个人信息侵权救济带来了严峻挑战，严重阻碍了个人信息权益这一具有代表性和引领性的数字人权的保障与发展。

（一）大数据时代对个人信息侵权救济形成的严峻挑战

1. 对损害认定形成的挑战。就财产损害而言，传统侵权法理论倾向于以“差额说”判断其是否存在，“组织说”及“规范的损害”（Normativer Schaden）理论等为消除“差额说”的弊病而兴起的解释损害观念的学说，均不过是立足在“差额说”的基础上对后者进行的修补，未能在根本上动摇“差额说”的统治地位。就非财产损害而言，“通说认为其唯有在法律予以特别规定的情形方可请求损害赔偿”，在我国法上限于侵害自然人人身权益和因故意或者重大过失侵害自然人具有人身意义的特定物这两种情形（《民法典》第1183条），这两种情形对精神损害均在程度上提出了严重性要求。此外，无论是财产损害抑或非财产损害，理论上均要求它们是确实存在的，即已经实际发生或者有充分的证据证明在未来即将发生，而不能是过于遥远的、不确定的。在个人信息侵权案件中，用传统的侵权法理论认定损害的存在显得步履维艰。因为个人信息侵权中的损害通常并不是即时的、物理上的人身伤害或者物之毁损，而是个人信息遭到泄露、篡改或者丢失之后的未来风险和精神上的焦虑、恐惧。个人信息受侵害之后可能遭遇的身份盗用、算法歧视、关系控制甚至敲诈勒索等未来的风险，其是否发生以及如何发生具有无穷的可能性和高度的不确定性，能否被界定为损害在理论上和实务上均聚讼盈庭。即使可将这种未来的风险认定为损害，由于它本身所具有的无形性、潜伏性和未知性等特征，也很难以“差额说”加以评估和计算。自然人因个人信息权益受侵害而遭受的紧张、焦虑、不安等精神痛苦，通常仅与未来风险相交织，而不和物理上的人身伤害或者财产损失相牵连，呈现出纯粹的主观性、抽象性和无形性。而且，单个、零散的个人信息并不具有高度的经济价值，信息泄露常常只会给受害人带来垃圾短信、骚扰电话等对私生活的轻微干扰，一般不会达到严重影响正常生活的程度。再加上我国法对精神损害赔偿有严重性的程度要求，法院为避免个人信息滥诉，通常会以信息泄露的持续时间短和影响范围小为由，断定受害人声称的精神痛苦是其自身臆测的主观感受，进而否定其主张精神损害赔偿的诉讼请求。

2. 对因果关系证明形成的挑战。通说认为，侵权法上的因果关系之判断系采相当因果关系说，在判定责任成立的因果关系与责任范围的因果关系时，均应先审究行为与权益侵害（损害）之间的条件关系，再认定该条件的相当性。在证明责任的分配上，通常由受害人负责证明条件关系的存在，再由侵权人承担证明该条件不具有相当性的举证责任。由于条件关系是一种自然科学意义上的事实，经常涉及科技和证据距离等专业性问题，需要借助专业鉴定报告、经验法则、科学实证资料等加以综合判断，所以受害人在证明个人信息侵权的条件关系时通常会遭遇如下困难：某个自然人的同一个人信息可能同时被多个信息控制者通过不同的渠道进行采集。即使该自然人的某一项个人信息为某一特定的信息控制者所收集的事实是确凿无疑的，为实现信息开发和利用效益的最大化，该信息控制者通常会通过数据共享（data sharing）等方式将采集到的个人信息分享给不同的平台或者机构。当个人信息泄露、篡改或者丢失等侵权行为侵害时，信息主体常常难以证明究竟是哪一个或者哪几个信息控制者实施了侵权行为。而且，个人信息处理涉及的环节众多，即使可以锁定具体的侵权行为人，后续亦难以证明是在其所实施的信息收集、存储、加工或者传输等环节中的哪一个环节发生了侵权行为，以及该侵权行为与信息主体所遭受的损害是否存在因果关联。

3. 对违法性判断形成的挑战。违法性的功能在于界定侵权法保护的权益之范围，以在权益维护和行为自由之间勾勒出清晰的边界。《民法典》人格权编规定的个人信息权益，并不是侵权法视角下的绝对权，而是一项框架性权益。因此，侵害个人信息权益的行为，无法如侵害绝对权的行为一般，采用“结果不法说”来判定不法，即根据权益侵害的事实构成符合性直接征引违法性。而且，虽然个人信息的民法保护模式采用的是行为规制模式，该模式依靠《民法典》《个人信息保护法》《网络安全法》等法律法规，构筑起一个涵盖个人信息收集、存储、使用、传输以及销毁等全生命流程的个人信息处理规范体系，但我们不能通过处理行为违反个人信息保护法律规范这一事实即推定该行为存在违法性。因为个人信息之上附载着信息主体的个人信息权益、信息控制者的合理使用利益以及公共利益等三重利益，体现着个人信息权益维护和信息自由流通两大价值理念的对峙。为妥当地协调上述三方利益，实现个人信息权益保障和信息自由流动的二元平衡，《民法典》第998条、第999条及第1036条和《个人信息保护法》第13条规定了一系列个人信息处理的合法性基础。在判定信息处理行为是否具有违法性时，需要坚持个案考察的立场，在详尽地考察该行为是否具备个人信息处理的合法性基础并经过比较复杂的法益衡量之后方能得出妥当的结论。以上情况使得个人信息侵权的违法性判断尤为复杂。

4. 对过错判定形成的挑战。个人信息处理的流程复杂而且环节众多，信息传输和扩散的渠道呈现出多元化的趋势，自动化信息处理技术的运行也常具有不透明性和不可解释性。这致使信息主体一般并不知晓其个人信息被处理的具体流程，也不理解相关信息处理技术的运作机理，甚至无法确定个人信息被泄露、篡改或丢失的具体环节。相反，通常作为数据企业的信息控制者较能充分掌握个人信息流转的轨迹、个人信息处理的技术原理以及合规情况。信息控制者和信息主体之间所存在的严重的信息不对称使得前者具备远胜于后者的证明能力。为缓解个人信息侵权中过错证明的困难，《个人信息保护法》第69条规定个人信息侵权采用过错推定责任。但是，即使采行过错推定责任，信息主体仍须就信息控制者具有过错承担一个初步的证明责任。而且，在证据偏在状态之下，信息控制者可以用多种方式证明其采取了符合法律法规以及强制性标准的保障个人信息安全的必要措施。此时，证明责任转移到了信息主体一方，若信息主体一方提出的反证无法达到足以模糊法官心证的程度，其仍将承受败诉的风险。职是之故，在个人信息侵权方面采行过错推定责任依然无法在根本上改善对受害人救济不周的局面，难以实现加强保障受害人个人信息权益这一数字人权的目的。

5. 对损害赔偿形成的挑战。就财产损害赔偿而言，由于个人信息的价值密度与信息总量之间成正比，单个个人信息的经济价值并不高，而且个人信息无形无质，不会因为被反复使用而有所磨损、消耗，因此评估信息主体因个人信息权益遭受侵害之后的实际财产损失较为困难。再者，数据企业通常运用大数据技术将采集、存储的大量个人信息作为一个整体进行分析、挖掘，然后把分析、统计的结果用于精准广告推送等商业用途，借此谋取商业利润。单个、零散的个人信息产生的经济利润无法被精确地析分出来，故而信息处理者非法使用个人信息所获得的利益也常常无法确定。个人信息侵权的财产损害赔偿数额一般需要法院根据实际情况酌定。就精神损害而言，个人信息被泄露、篡改或者丢失之后，信息主体往往会产生紧张、焦虑、恐惧等精神痛苦。这些精神痛苦通常是因担心自己未来可能会遭受身份盗用、算法歧视或者敲诈勒索等风险而产生的，不依附于任何人身伤害和精神性人格权受损而存在，具有极强的主观性和抽象性，较之一般的精神损害更难被直观地感知，也更不易计量。就非金钱赔偿而言，个人信息泄露是个人信息侵权中最普遍也最典型的一类案型，此类案型多由个人敏感信息、个人隐私信息被外泄而引发，此时若判决侵权人承担消除影响、恢复名誉、赔礼道歉等非金钱赔偿责任，需要在综合考量侵权情节、受侵害的个人信息类型等多种因素的基础上审慎地确定责任实现的具体形式及实施的范围，否则可能造成损害结果的不当扩大。

（二）动态体系论对个人信息侵权救济的指导意义

动态体系论旨在确定在一定的法律领域内发挥作用力的要素，并通过这些要素的动态协动作用来阐释法律规范的变迁并正当化其法律效果。动态体系论将隐藏在法律规则背后的法原理予以显形化，赋予法官在抽象层面依靠要素的协动作用而判定法律效果之发生与否以及程度之高低的评价权限。动态协动机能的发挥以要素之间的互补性和可交换性为前置性条件，在个案中并不要求全部要素均已齐备，或者每一个要素在程度上均已得到充分实现，而是将各要素在位阶上予以编排形成所谓的价值序列，通过同质性要素之间的相互补强和异质性要素之间的相互制约，促使法律效果能够在与要素数量和强度对应的协动作用之下得以弹性地实现。同时，为避免弹性评价框架赋予法官过大的自由裁量权而可能对法秩序的安定性造成戕害，动态体系论一方面限定了据以评价的要素的数量，且利用基础评价及原则性示例确定了它们彼此之间的权重，为自由裁量权的行使划定了边界；另一方面将据以作为裁量基准的法原理以要素的形式予以外在化及确定化，为裁判者在个案中的论证推理提供了方向上的指引。借此，动态体系论一方面避免了固定构成要件模式的机械涵摄对多元生活事实的割裂；另一方面克服了一般条款模式的空灵宽泛对实定法拘束力的消解，实现了法秩序的安定性和开放性的二元衡平。有鉴于此，笔者认为，将动态体系论充分运用到个人信息侵权救济之中，可有助于应对大数据时代对个人信息侵权救济提出的诸多挑战，进而完善对自然人的个人信息权益这一数字人权的私法保障机制，理由如下。

首先，运用动态体系论可破解个人信息侵权成立判定所面临的困境。在个人信息侵权成立判定上运用动态体系论，揭示出隐藏在法律条文背后实质性决定侵权责任构成的法原理，通过诸原理的相互协力、相互补足来弹性地判定侵权责任的成立，能够避免要求逐一评判各个侵权构成要件的固定构成要件模式的僵化呆滞，破解个人信息侵权成立判定所面临的困境。

其次，运用动态体系论可实现对个人信息侵权中非物质性损害的充分救济。个人信息遭泄露、篡改或丢失之后可能引发的未来风险和受害人因之承受的紧张、焦虑、恐惧等精神痛苦这两种非物质性损害是个人信息侵权中最难救济的损害类型。非物质性损害无形无相也不可计量，无法用差额说进行估算并以完全赔偿原则施加救济。运用动态体系论可有助于构建一个弹性的、联通责任基础和责任效果的侵权损害赔偿基础性评价框架，打破责任基础和责任效果之间的隔绝状态，使法官可在此框架之下综合考量过错、违法性、因果关系等各个责任构成要素，妥当地确定个人信息侵权的未来风险与精神痛苦等非物质性损害的赔偿范围，进而实现对非物质性损害的充分救济。

最后，运用动态体系论可为个人信息侵权案件中法官的综合考量提供明确的指引。如前所述，个人信息侵权案件中，未来风险与精神焦虑等新型损害的认定、违法性的判断、侵权责任具体实现形式及实施范围的确定等方面均严重依赖法官在个案中的综合衡量。这一方面给法官科加了极大的论证成本和思维负担，另一方面赋予了法官广阔的自由裁量余地，可能会造成恣意裁判。以动态体系论指导个人信息侵权案件的司法裁量，一方面限定了法官据以权衡的要素及框架，限制了自由裁量权的行使；另一方面可给予法官一定的指引，可以有效地减轻法官的论证负担。

综上，动态体系论对于化解大数据时代的个人信息侵权危机具有重要的指导作用，有助于强化对个人信息权益这一具有引领性的数字人权的保障。

三、个人信息侵权的动态基础性评价框架之构建

2021年通过的《个人信息保护法》是我国首部系统、全面地保护自然人个人信息权益的专门性法律，堪称维护个人数字人权的标志性法律。《个人信息保护法》第69条第1款规定在个人信息侵权上采行过错推定责任。但是，过错推定责任并非独立的归责原则，原则上仍属于过错责任的范畴。因此，运用动态体系论构建个人信息侵权的动态基础性评价框架，第一步宜先明确一般过错侵权的动态基础性评价框架，第二步再在此基础上根据个人信息侵权的特点予以具体化。

（一）一般过错侵权的动态基础性评价框架

《民法典》颁布之后，学理研究上有观点认为，《民法典》第998条在侵害非物质性人格权民事责任认定方面运用了动态体系论，在判定非物质性人格权侵权责任是否成立时，不能根据一般的过错侵权固定构成要件进行判断，而是要依照该条列举的诸多考量因素作出一种综合的、动态的评价。《民法典》施行之后的司法裁判也出现了相同的见解。鉴于个人信息权益亦属非物质性人格权的范畴，若前述论点成立，则个人信息侵权的动态基础性评价框架应在《民法典》第998条所列举诸要素的基础上构建，而非在一般过错侵权责任动态基础性评价框架的基础上细化而成。反对观点则认为，《民法典》第998条是《民法典》第1165条的辅助性规定，侵害非物质性人格权是否构成侵权仍须依照一般侵权的构成要件进行判断。笔者赞同后一观点，理由如下。首先，《民法典》第998条仅规定了行为模式，而未规定与之相对应的法律效果，在法律规则的逻辑构成上不完整，并非是兼具构成要件与法律效果的完全法条，无法单独作为请求权基础使用，尚需和其他法律规范相配合方能发挥作用。其次，《民法典》第998条罗列的各个要素除过错程度之外，均主要指向行为的违法性判断。如果仅依靠对过错和违法性这两个要件的综合考量即得出侵权与否的结论，显然会对一般的侵权构成原理造成过大的冲击，也不利于合理地控制侵权责任的泛化。最后，在司法实践中，《民法典》第998条更多地被运用在责任承担层面而不是责任构成层面，即使该条被用于责任构成的判断上，通常也是在坚守一般过错侵权构成要件的基础上，作为过错与违法性要件更为精细、更具体化的判断标准来使用。由此可见，该条作为《民法典》第1165条辅助条款的观点更符合实践状况和裁判思维。综上，侵害包括个人信息权益在内的非物质性人格权的侵权责任是否成立，仍要根据一般过错侵权构成加以判断。因此，明确过错侵权责任的动态基础性评价框架应为构建个人信息侵权动态基础性评价框架的基础和前提。

我国的过错责任一般条款在解释论走向上应当以实现动态体系化为依归，构建一般过错侵权的动态基础性评价框架。虽然学界历来有观点认为，应将过错责任一般条款解释为导向德国式的区分保护权利和利益的三个小一般条款的模式，但是，权利和利益在本质上是相同的，两者相互对照、相互流动，应在侵权法上予以平等保护。摒弃对利益保护不周的德国模式，以动态体系论为方法论基础，将侵权责任的各构成要件予以要素化，打破各要件之间相互隔绝的状态，使各个要件可以相互流动、相互补足、相互制约；与之相对应，在法律效果上“全有全无”式的“要件—效果”模式亦不再被沿用，取而代之的是“或多或少”式的弹性化评价模式，可以更妥当地筛选出应受保护的社会生活利益，更合理地限制加害人承担的损害赔偿责任，进而使过错侵权一般条款能够用更柔软的姿态应对变动不居的社会生活。

要件的要素化是动态基础性评价框架构建的关键，审究一般侵权构成的四要件，其中损害要件和因果关系要件中的条件性部分均欠缺动态的性格特征，不适合作为要素。详言之，就损害而言，侵权法上的损害兼具要件和效果双重色彩，由事实上的损害在经过错、违法性及因果关系等要件从价值判断的视角予以裁减之后所形成，因此作为被塑造对象本身的损害不可能再反作用于塑造其之诸要件。就因果关系的条件性而言，其考察的是加害行为在实际上是否对损害发生具有原因力，是否构成损害发生必不可少的条件，是较为纯粹的事实性问题，掺杂的主观判断色彩极少。这一特性使其在成立上仅可作有或无的二元逻辑判断，而不可作多或少的程度判断，也使其与其他诸要件在成立判断上呈现出互不干涉、互不影响的关系。综上，可要素化的侵权构成要件经删减之后剩下了过错、违法性和因果关系中的相当性部分，三者之间相互补足、相互制约的动态关系可展开阐释如下：

过错与违法性之间呈现出紧密的交融互动关系。行为人实施侵权行为时在主观上的过错程度会影响对行为的违法性判断，两者是正相关的关系，亦即过错程度越高，行为的违法性越强。现代侵权法在过错判定上采客观化标准之后，过错与违法性的判断标准也经常是一致的，甚至会有过错吸收了违法性的论断。

过错与因果关系的相当性可以相互观照、相互借鉴，彼此为各自的成立判定提供支持和补充。因为过错概念的建构以可预见性为核心，而因果关系的相当性与过错的可预见性均以事物的通常发展进程为参照，两者在本质上具有相似性，经常相互交错，所以两者在成立判断上可以相互借鉴、相互补充。

违法性与因果关系的相当性展现出相互影响、相互制约的关系。侵害民事权益的行为所具有的违法性越强，在侵权构成上对该行为与损害之间的因果关系相当性要求便可放得越低，反之亦然。例如，分别就侵害具有蛋壳脑袋等特殊体质的受害人与侵害本身具有脆弱易碎性质物品而言，前者的违法性极强而后者的违法性较弱，在前一情形中侵权行为与损害的因果关系相当性常被承认，而在后一情形中则常遭到否定。

在确定过错、违法性和因果关系相当性等侵权责任构成要件的可要素化的基础上，可将其等再予以细化，分解出更为具体化的要素，藉以构筑更精细化的动态基础性评价框架。过错包括故意和过失，过失由重至轻又可分为重大过失、具体轻过失和抽象轻过失。从抽象轻过失到故意之间是一种延绵不绝的、持续上升的线性状态，而不是被命名为不同高度的、相互之间不存在牵连的数个点。故而，过错可以用过错程度这一更为精细化的要素来度量。侵害行为的违法性是通过综合考量被侵害民事权益受法律保护的力度与侵害行为样态的相互关联进而推导出来的，可将违法性要件细化分解为民事权益受法律保护的力度和侵害行为的样态（包括行为的正当性和违法性两个相对立的面向）两个要素。因果关系相当性的判断基准是，侵害行为提高了损害发生的可能性，而且损害的发生符合一般事件的通常发展进程。侵害行为的危险性程度越高，对损害发生可能性的提升程度就越高，也越能抵御其他外来独立原因的介入，侵害行为和损害结果发生之间的因果历程越通畅和自然。因此，可将因果关系相当性要件具体化为侵害行为的危险性程度这一要素。综上，笔者认为动态基础性评价框架可由过错程度、民事权益受法律保护的力度、侵害行为的正当化（违法性）程度、侵害行为的危险性程度等四个要素构成。过错程度、民事权益受法律保护的力度、侵害行为的危险性程度以及当侵害行为的样态展现为违法性面向时，诸要素在功能上是同质的，可以相互支持、相互补足，共同合力证成侵权责任的成立。当侵害行为的样态展现为正当化面向时，其与其他三个要素在功能上是异质的，是相互背离、相互制约的关系，侵权责任是否成立取决于它们之间相互角力的结果。这一动态基础性评价框架相较于传统的侵权判断模式，可以一种更灵活的姿态妥当地界定侵权责任，进而为提高民事权利的侵权法救济力度、完善人权的私法保障机制提供强劲的法律技术支撑。

（二）个人信息侵权的动态基础性评价框架

在已确定一般侵权构成的动态基础性评价框架之后，将前述评价框架依据个人信息侵权的特点进行相应的调适，可勾勒出个人信息侵权的动态基础性评价框架（以下简称动态评价框架）。循此思路，可将形构动态评价框架的诸要素胪列如下：

1. 个人信息处理者的过错程度。此要素是过错程度在个人信息侵权领域的具体化。是否判令行为人承担侵权责任是在对行为自由和权益保障这两个相对峙的价值理念进行权衡之后得出的结果。行为人的主观过错一方面为限制其行为自由提供理据，另一方面为把受害人的权益损害向其转移提供归责基础。不止于此，过错还和违法性、因果关系两要件相勾连，与它们在功能上具有同质性，可以相互补足。在加害人的过错程度极高时，即使加害行为的违法性较小，行为与损害的因果关系关联性较弱，亦有可能成立侵权。因此，个人信息处理者的过错程度越高，其蔑视受害人基于人权所享有的作为人之价值的程度或者预见并避免损害发生的可能性就更高；在伦理道德层面的可谴责性就越强，对其行为自由进行限制而令其承担侵权责任的正当性也越充分。例如，在个人信息泄露导致信息主体遭受算法歧视、电信诈骗等下游损害的事件中，如果信息泄露是由非法出售等故意行为所引发的，则克服损害的潜伏性、因果关系的不确定性等阻碍，将损害后果归责于致使信息泄露的信息处理者的法律可能性就越高。而若信息泄露是由于信息处理者未善尽安全保障义务，未采取充分的安全技术措施保障收集的个人信息安全等过失行为而引发，则下游损害与信息处理者过失行为之间的因果关系相当性以及信息处理者行为的违法性等均比故意侵权的情形更难认定。而且，信息处理者的过失越轻微，在侵权构成上将下游损害归责于其就越艰难。个人信息处理者的过错程度从高到低可以分为故意、重大过失、具体轻过失和抽象轻过失等。判断个人信息处理者的过错等级应当在考量信息处理行为的目的及方式、信息处理者的违法记录历史、信息处理行为对于法律法规以及国家标准确立的行为标准的偏离程度、信息处理系统存在的安全漏洞数量以及总体风险大小等客观因素的基础上进行综合权衡。

2. 受侵害个人信息的敏感程度。此要素是民事权益受保护程度在个人信息侵权领域的具体化。敏感个人信息相对于一般个人信息的最主要区别在于，敏感个人信息一旦泄露或者被非法使用，容易引发对自然人的歧视和不平等对待，妨害自然人的人格尊严，也极可能对自然人的人身、财产安全造成严重威胁，将严重危及自然人基本人权的实现。而一般个人信息在法律上要更侧重于充分发挥其自由流动价值和经济效用。但个人信息并非可截然二分为一般个人信息和敏感个人信息，两者之间存在着模糊地带。况且，即使同为敏感个人信息，在敏感程度上也会存在差别。例如，在现代社会中，同为个人生物识别信息的指纹、虹膜、面部特征等比之声纹、耳廓等在泄露之后更容易使自然人的人身、财产安全受到严重负面影响。因此，用程度的考量而不是类型的划分来评测个人信息的敏感性无疑更为合理。前已述及，被侵害民事权益受保护的程度越高，越容易推导出侵权行为的违法性。而个人信息的敏感程度则与该信息应受法律保护的程度呈正相关关系。因为个人信息的敏感程度越高，其一旦泄露或被非法使用对自然人的人格尊严以及人身、财产安全可能肇致的损害后果就越严重，故而越是敏感的个人信息应受法律保护的程度就越高。也因此，信息处理行为侵害的个人信息敏感程度越高，该行为的违法性便越高，对于促成侵权责任成立的作用力也就越大。个人信息的敏感程度应依据以下衡量标准进行判定：一是个人信息泄露或者被非法使用可能造成的损害后果严重程度；二是个人信息泄露或者被非法使用导致损害发生的可能性，这一标准主要受通过该信息识别信息主体的技术难度、该信息是否存在于特殊信任关系之间、该信息被犯罪利用的可能性等三个要素影响；三是在文化观念和社会心理中对个人信息敏感度的认知。

3. 个人信息处理行为的正当化程度。此要素是侵害行为的正当化程度在个人信息保护领域的具体化。侵害行为的正当化程度是侵害行为样态的正面面向，可以发挥违法阻却功能，冲抵其肇致民事权益受损而产生的违法性，进而起到减轻或者免除侵权责任的法律效果。例如，当侵害行为符合正当防卫、紧急避险、自助行为等正当化事由的构成要件时，行为本身的正当性即足以消解其因侵害民事权益而附载的违法性，阻却侵权责任的发生。侵害行为的正当化程度越高，对违法性的阻却力度就越强。具体到个人信息侵权领域，信息处理行为的正当性也对违法性起着抵消作用。为调和信息流通和个人信息权益维护之间的矛盾，实现公共利益、个人信息权益和其他主体的合法利益之间的平衡，在知情同意之外另行设置诸多事由作为个人信息处理的正当性基础已是各国个人信息保护立法的潮流。例如，在域外法上，具有代表性的欧盟《一般数据保护条例》（以下简称GDPR）就以其第6. 1条、第9. 2条、第23. 1条以及第89条为核心建构了基于正当利益而非个人同意的个人信息处理体系。在我国法上，《民法典》第999条、第1036条第3项以及《个人信息保护法》第13条亦对不以同意为基础的可合理使用个人信息的情形进行了规定。非基于同意的个人信息处理行为本属于侵害个人信息权益的侵权行为，但在构成基于正当利益而合理使用个人信息的情形时，行为本身的正当性抵消了违法性，从而阻却了侵权责任的成立。

《民法典》第998条列举的除过错程度之外的行为人和受害人的职业、影响范围，以及行为的目的、方式、后果等因素均指向行为违法性的判断。违法与合法是一体两面的关系，区别仅在于选取的观察视角的不同，故而判断行为违法性的因素也可用于行为正当性的考察。因此，评估个人信息处理行为的正当化程度时，要综合考量信息处理者和信息主体的职业，信息处理行为的影响范围、目的、方式、后果等因素。实施信息处理行为的信息处理者的职业与国家安全、公共卫生、新闻报道、舆论监督等公共利益关联性越紧密，受侵害信息主体的职业具有的公共属性越浓厚，信息处理行为的不当影响范围越小，信息处理行为之目的所为促进与实现的公共利益或者第三人合法利益的位阶越高，信息处理行为的方式越是符合比例性，信息处理行为在后果上损害的个人信息权益越小而实现的正当利益越大，则个人信息处理行为的正当化程度越高，对于构成侵权的阻却力度就越大。

4. 个人信息处理行为违反法规以及悖俗的程度。此要素是侵害行为的违法性程度在个人信息侵权领域的具体化。侵害行为的违法性是侵害行为样态的负面面向。侵害行为的违法性程度与民事权益受法律保护的程度相辅相成、相互协动，共同导向违法性的证立。而侵害行为违反法规以及悖俗的程度等情况则是衡量侵害行为违法性程度更为具体化的因素。同理，个人信息处理行为的违法性程度亦可依靠信息处理行为违反法规以及悖俗的程度等更为具象化的因素进行衡量。信息处理行为违反法规的程度可从所违反法规的层级（被违反的法规是法律、行政法规还是地方政府规章），所违反法规的性质（被违反的法规是刑事法规、效力性强制性规定还是管理性强制性规定等），以及所违反法规的数量等维度进行详细考察。至于信息处理行为的悖俗程度，因为悖俗性是一个需要价值补充的不确定性概念，同时行为悖俗性也是行为违法性的重要组成部分，因此可以根据《民法典》第998条列举的行为人和受害人的职业、影响范围，以及行为的目的、方式、后果等与行为违法性判断有关的因素将行为的悖俗性予以具体化，在综合考量这些因素的基础上判断信息处理行为的悖俗程度。将信息处理行为违反法规的程度和信息处理行为的悖俗程度进行综合考量即可得知信息处理行为违法性的程度。评估而得的个人信息处理行为的违法性越强，对于个人信息侵权违法性要件的证立作用便越强，也就越容易促成个人信息侵权责任的成立。

5. 个人信息处理技术的风险度。此要素是侵害行为的危险性程度在个人信息侵权领域的具体化。个人信息处理技术的风险度是衡量个人信息处理者在组织建设、制度流程、技术工具以及人员能力等方面对于个人信息安全保障水平高低的指标。个人信息处理技术的风险度越高，意味着个人信息因此遭受非法侵害的可能性便越高，信息处理者所实施的信息处理行为与损害结果之间的联结对可能中断因果关系的外来介入因素的抗干涉能力也越高，损害的发生亦因此愈发契合事物发展的通常进程，进而使得信息处理行为与个人信息侵权损害之间的因果关系相当性程度尤为明显，也就越容易促成侵权责任的构成。个人信息处理技术的风险维度由组织建设、制度流程、技术工具和人员能力等四个方面构成。组织建设关注的是，信息处理者内部关于信息安全的职能分工、人员安排和运行协调的科学性、有效性；制度流程注重的是，信息处理者制定并实施的内部安全管理制度和操作规程的规范性、明确性和有效性；技术工具聚焦的是，信息处理者采用的技术措施对于防范个人信息在全生命周期所可能面临的被篡改、泄露、丢失等风险的能力；人员能力强调的是，信息处理者内部负责信息安全的人员具备的安全意识和专业技能等素质。对前述四项指标进行综合考量可评估出个人信息处理技术的风险度。《信息安全技术——数据安全能力成熟度模型》(GB/T 37988—2019)、《信息安全技术——网络安全等级保护定级指南》(GB/T 22240—2020)等国家标准可以作为评估个人信息处理技术的风险度的重要参考。

以上诸要素在数量、强度以及彼此组合的形式等方面相互协动，可以实现对个人信息侵权成立判定的弹性化评价。不止如此，动态评价框架还能够实现对完全赔偿原则“要么全赔，要么不赔”式的法律效果评价机制的超越，击破横亘在责任基础和责任效果之间的重重阻隔，使影响个人信息侵权责任构成的诸要素也顺畅无碍地作用于个人信息侵权责任效果的评价之上，进而充分调和法的安定性和个案妥当性之间的紧张关系，使侵权法以更为柔软的姿态面对变动不居的社会生活在个人信息保护上提出的纷繁复杂的挑战，充分提高对个人信息权益这一重要的数字人权的保护水平。

四、个人信息侵权的动态基础性评价框架之运用

个人信息侵权的动态基础性评价框架兼顾法的安定性与个案灵活性，将其应用到司法实践中，可有效地破解个人信息侵权案件面临的诸多困境，同时可以为其他数字人权私法保障机制的完善提供有益借鉴。

（一）在个人信息侵权责任构成方面的运用

在动态评价框架之内判断个人信息侵权责任的成立，并非是要逐一地对各个要素的满足度作机械的“全有全无”式的判断，也并非要求在各要素均被充分满足时方能认定侵权责任的发生。鉴于各要素之间具有可交换性、可互补性或者相互限制性，应在综合考量各要素的数量、强度及其相互作用的基础上，依据各要素发挥之协动作用建构的整体图景，灵活地判定个人信息侵权责任的成立与否。在需要损害、因果关系、违法性以及过错等四个要件均满足，方能成立侵权责任的固定构成要件模式之下，个人信息侵权在责任构成方面面临的认定无形损害、破解因果关系不确定性难题、简化违法性判断以及化解过错判定的信息不对称鸿沟等难题，在动态基础性评价框架之中，依靠诸要素相互促进、相互补足的动态协动作用，可得到消解。举例而言，针对个人信息侵权中的因果关系不确定性难题，凭借既有的专业水平、技术能力及经验法则，极难肯认也无法彻底否定因果关系的存在，在固定构成要件模式之下，当因果关系的存在处于真伪不明状态时，承担举证责任的受害人要承担证明责任风险，因果关系要件视为不满足，侵权责任无法成立；而在动态基础性评价框架下，因果关系要件被转化为信息处理技术的风险度这一要素，对此要素仅作程度上多或少的考量，而不作满足与否的二元逻辑判断。虽然现有证据无法证明信息处理技术风险度的高低，或者仅能证明信息处理技术的风险度较低，但若案件事实表明信息处理者存在重大过错，受侵害个人信息的敏感程度与信息处理者的行为违反法规以及悖俗的程度均较高，则综合衡量之下仍可以认定侵权责任的成立，反之亦然。例如，在“林某某与四川航空股份有限公司侵权责任纠纷案”中，林某某未能开示证据指出四川航空公司的信息系统存在重大安全漏洞，进而证明四川航空所使用的信息处理技术具有较高的风险性，但既有证据可以证明该航空公司未尽到保障个人信息安全的法定义务，在泄露事件发生之后也未积极采取补救措施，且林某某因个人信息泄露遭受了经济损失，由此可以知晓四川航空的过错程度、违反法规及悖俗的程度，还有受侵害个人信息的敏感程度均较高。综合权衡之下，这三个要素的饱满度可以弥补信息处理技术风险性这一要素的不充足，推定四川航空使用的信息处理技术风险性也较高，进而证成侵权责任的成立。

信息处理者的过错程度、受侵害个人信息的敏感程度、信息处理行为违反法规以及悖俗的程度以及信息处理技术的风险度等要素在功能上具有同质性，可以相互补足、相互支持，共同推动个人信息侵权责任的发生。即使其中某一或某些要素的满足度比较低，只要其他要素的满足度足够高，也就可以弥补弱势要素的不足，促使经过综合权衡之后得出的各要素的总体权重仍等于或者高于足以决定侵权法律效果发生的标准值，进而证成个人信息侵权责任的成立。以上诸要素的协动关系具体表现如下：

其一，信息处理行为违反法规以及悖俗的程度和受侵害个人信息的敏感程度呈现出相互支撑的态势，两者相辅相成、相得益彰，共同造就信息处理行为的违法性，且对个人信息侵权的成立起促进作用。例如，在“樊某某与曾某某隐私权纠纷案”中，作为业主委员会主任的曾某某，在小区业主微信群中公布樊某某起诉小区业委会的民事起诉状时，未注意对樊某某的姓名、家庭住址、身份证号等个人信息作匿名化处理，造成了后者的个人信息泄露。曾某某的行为虽是为了保障小区业主的知情权，行为目的具有一定的正当性，在主观上不存在重大过错，且公布的范围也仅限于业主群内，公开的人群范围有限，但由于其披露的是樊某某的身份证号、家庭住址等敏感程度极高的个人信息，且已经造成其他业主根据披露的信息进一步搜索到樊某某的工作单位、任职情况等关联信息的不当后果，因此法院在综合权衡之下仍认定曾某某的行为构成侵权。在此案中，曾某某处理樊某某个人信息的行为违反法规以及悖俗的程度较低，然而其侵害的个人信息敏感程度比较高，后者弥补了前者的不足，促成了违法性要件的满足，致使侵权责任成立。

其二，信息处理者的过错程度与信息处理行为违反法规以及悖俗的程度具有规范评价上的同质性，两者呈现出共进退之势，一者的满足度较高往往意味着另一者也较为饱满，反之亦然。例如，在“付某某与北京三快信息科技有限公司等网络侵权责任纠纷案”中，被告三快科技公司违反了《网络安全法》第21条及第42条等强制性规定，未能采取必要技术措施确保其收集的个人信息的安全，法院便据此认为三快科技公司在履行保护信息安全义务方面存在过失。与之形成鲜明对比的是，在“杨某某、崔某某等与津燃华润燃气有限公司隐私权纠纷案”中，被告将载有原告个人信息的法律文书仅在民事诉讼中作为证据使用，且未肆意扩散，该使用行为是不带有违反法规、悖离公序良俗色彩的正当行为，法院亦因此认为被告不具有主观过错。这充分印证了信息处理者的过错程度与信息处理行为的违法性程度在规范评价上的同质性。

其三，信息处理者的过错程度与信息处理技术的风险度具有互补性，可以互相弥补对方的不足，共同推动侵权责任的发生。信息处理技术的风险度与信息处理者是否在信息的收集、存储、传输、使用及销毁等个人信息全生命周期善尽安全保障义务紧密相关，而信息处理者的过错认定也以其是否违反信息安全保障义务以及违反幅度为重要判断依据，故而信息处理技术的风险度与信息处理者的过错程度亦有同频共振般的牵连性。例如，在“申某与上海携程商务有限公司、支付宝（中国）网络技术有限公司等侵权责任纠纷案”中，法院正是根据携程公司无法证明其内部员工授权进行访问涉案订单的人员范围、访问敏感信息的授权记录、监控情况、操作记录、内外部传输审批情况，且在媒体报道了大量机票退改签诈骗案之后，对于订单信息的保护反而从2014年的二级加密保护降低为20198年的一级不加密传输等信息处理技术的风险度较高的事实，推断携程公司在信息安全管理上存在漏洞，未能善尽对申瑾个人信息应承担的安全保障义务，进而认定携程公司主观上存在过错。

其四，信息处理行为的违规、悖俗程度极高时通常可据此推断信息处理技术的风险度相对较高。例如，在“庞某某与东航、趣拿公司个人信息泄露纠纷案”中，东航与趣拿公司在案涉事件发生前后被多家媒体质疑存在个人信息泄露的情况，还被国家民航局发文要求将亚安全模式提升为安全模式，却仍不采取防范措施弥补在信息安全管理方面存在的漏洞，其行为显然违反了《民法典》第1038条第2款、《个人信息保护法》第51条以及《网络安全法》第21条等法律法规，违反法规的数量多、层级高，违法程度较强。法院正是在此基础上确认东航与趣拿公司的信息处理技术的风险度较高，在信息安全管理上存在漏洞，仍有较大提升空间，进而推定东航与趣拿公司的信息处理行为具有泄露庞某某个人信息的高度可能，并最终判决其承担侵权责任。

信息处理行为的正当化程度与其他要素在功能上是异质的，体现为相互背离、相互限制的关系。若信息处理行为的正当化程度在强度上可以胜过其他诸要素的合力，则可导向阻却侵权责任发生的法律效果；反之，则产生侵权责任成立的法律效果。例如，在“王某、简阳市国有资产监督管理和金融工作局隐私权纠纷案”中，法院就认为，被告虽然查询调取了原告的病历资料这一极具敏感性的个人私密信息，并将原告的病例资料移交给了其用人单位，但由于被告的行为是在行使其作为国家机关的职权，且原告的用人单位也享有知悉其病情的合法权利，所以被告的行为不构成侵权。前述情形之所以不构成侵权，是因为信息处理行为构成了基于正当利益的合理使用，行为本身的正当性抵消了违法性；而不是如部分裁判观点所认为的，基于正当事由而实施信息处理行为的被诉侵权人在主观上不具有过错。正当利益的范围包括公共利益和信息主体的其他重大利益。例如，在“施某某、张某某、桂某某诉徐某某肖像权、名誉权、隐私权纠纷案”中，法院认为，徐锦尧披露施某某个人信息的行为是为了揭露施某某可能被虐待的犯罪事实，符合社会公共利益原则和儿童利益最大化原则，不构成侵权。在此就认可了基于公共利益与信息主体其他重要利益的个人信息合理使用。信息处理者或者第三方主体的合法利益（商业利益也涵盖在内）亦属于正当利益的范畴。例如，在“欧阳某与张某某隐私权纠纷案”中，法院就以原告的行为构成基于维护自身合法利益而对被告个人信息的合理使用为由，免除了被告的侵权责任。因为在此案中，虽然被告未取得原告的同意就在其出租给原告的房屋门口张贴了载有原告姓名、身份证号等个人信息的公告，侵害了原告的个人信息权益，但原告实施该行为的目的是明确租赁合同解除的相关事宜，且之前其曾通过自行协商等方式解决房屋腾退等后续问题而未果，完全符合比例原则的要求。又如，在“凌某某诉北京微播视界科技有限公司隐私权、个人信息权益网络侵权责任纠纷案”中，法院认为，被告作为抖音APP的运营者，虽然存在未经原告同意即读取其姓名、电话号码等个人信息并借此向其推荐、匹配好友的行为，但原告的行为乃是推动抖音APP满足用户建立社交关系的需求所必须的，构成自身为追求提供优质的社交服务进而提高企业竞争力的商业利益而对个人信息的合理使用。在此案中，法院认可了个人信息的合理使用也可基于实现商业利益的目的。

（二）在个人信息侵权责任承担方面的运用

动态评价框架可以打破责任基础和责任效果之间的相互隔绝状态，使责任基础的充足程度能够充分作用到责任效果的评价之上，不仅为个人信息侵权案件中对责任效果的综合考量提供了确定性指引，也让责任效果安排可以更为契合个案情境，从而促进自然人基于数字人权所享有的个人信息权益的实现。

1. 在损害赔偿范围确定中的运用

自然人因个人信息权益被侵害所遭受的事实上的损害，无论是自然意义上的财产损害抑或精神损害（又称非物质损害），并非均可被评价为法律上可赔偿的损害，而是要经过动态评价框架这一价值体系的过滤，裁剪部分经价值判断和利益取舍之后认为不应予以赔偿的损害，方能最终确定应予赔偿的法律上损害之范围。具言之，要综合权衡信息处理者的过错程度等构筑动态评价框架的诸要素各自的饱满程度及它们之间相互补足、相互限制的协动关系，并在此基础上厘定个人信息侵权的责任基础的量度，进而根据责任基础的饱满度来调节应予赔偿的损害范围。借此，可实现个人信息侵权的责任基础与责任效果在逻辑构成和价值评判层面的一致性，更充分地救济个人信息权益。对于个人信息侵权中的财产损害赔偿和精神损害赔偿问题，本文运用动态评价框架提出解决思路如下：

在个人信息侵权财产损害赔偿的情形中，主要面临两个难题：一是如何确定风险性损害是否应当赔偿以及赔偿范围的大小，二是酌定赔偿的范围应当如何合理地确定。就风险性损害而言，虽然其具有无形性、抽象性、难以估测也不可计量等特点，不符合传统损害观念对损害提出的具体性、真实性的要求，亦无法使用“差额说”加以度量，但为了充分震慑和预防个人信息侵权事件的发生，合理地分配大数据技术肇致的风险，变革传统的损害观念，适当降低损害的确定性要求，将具有客观合理可能性的个人信息侵权风险承认为损害，业已成为学界的共识。其中疑难也是分歧重重之处在于，以何种标准确定个人信息侵权中风险性损害的存在及赔偿数额。本文认为，这可以在动态评价框架之下获致圆满的解决，即在评价信息处理者的过错程度、受侵害个人信息的敏感程度等诸要素动态协动作用的基础上，确定风险性损害是否应赔偿以及损害赔偿的数额多少。首先，动态评价框架联通了个人信息侵权的责任基础和责任效果，通过责任基础的量度来决定责任效果的发生与否及其幅度。风险性损害的可赔偿性及赔偿范围的大小属于责任承担层面的问题，将其纳入动态评价框架的涵摄范围加以调整，是制度逻辑的必然要求。其次，学界观点基本认为，认定风险性损害要采用甄选出若干关键性因素进行综合评价的思路，但筛选出的要素不尽相同。有观点认为，应考量个人信息的类型、信息处理的方式和目的、信息误用的迹象等因素；有观点认为，应抽取的因素是个人信息的类别、个人信息的暴露程度及泄露范围、预防措施的合理性和有效性等；还有观点认为，应综合评价被侵害的个人信息类型、风险发生的盖然性以及风险可能导致的危害及其影响范围等因素。动态评价框架列举的诸要素在内涵上基本可以将前述因素囊括在内，而且在表达上显得更为精细化和具体化。再次，相对于学界既有的以场景化为导向、在对抽取的各个关键性因素进行综合评价的基础上认定风险性损害的思路，运用动态评价框架认定风险性损害的路径，有动态体系论作为方法论指导，更具有可预见性和可操作性。最后，风险性损害具有潜伏性、不可预测性，受害人难以提出一个精确的损害赔偿数额并提供证据加以证明，由法院在个案情境中运用动态评价框架加以酌定最为适宜。因此，动态评价框架也应当作为认定风险性损害具体赔偿数额的标准使用。这也使得认定风险性损害是否存在的标准，与判定损害赔偿数额的标准相一致，有利于逻辑上的融洽和体系上的和谐。就酌定赔偿的范围应当如何合理地确定这个问题而言，动态评价框架为法官进行酌定赔偿提供了应予考量的要素和开展综合考量的具体指引，是合理确定酌定赔偿数额的有力技术工具，应运用动态评价框架来合理地确定酌定赔偿的范围。

针对个人信息侵权精神损害赔偿的情形，根据《民法典》第1183条的规定，精神损害必须具备“严重”要件方能获得赔偿。如前所述，“严重”要件的存在业已成为导致信息主体要求精神损害赔偿的诉讼请求遭到法院否定的主要原因。与之相反，在比较法上，宽泛地解释个人信息侵权中的损害，缓和精神损害的严重性要件，进而降低精神损害赔偿的门槛已经成为趋势与潮流。例如，GDPR第82条第1款和德国《联邦数据保护法》（2018年版）第83条第2款均未要求个人信息侵权中的精神损害须达到严重程度方可获得赔偿。在我国学界，主张不拘泥于精神损害的“严重性”程度，而是秉持更弹性、灵活的立场在个案情境中评估精神损害的合理性的观点也渐趋主流。有鉴于此，同时也是为了顺应强化对数字人权保障的时代精神和现实需要，笔者认为，应当取消“严重”要件，个人信息侵权中的精神损害是否应予赔偿以及赔偿的范围可径行运用动态评价框架加以确定。《最高人民法院关于审理国家赔偿案件确定精神损害赔偿责任适用法律若干问题的解释》（以下简称《精神损害赔偿解释》）第5条列举了确定精神损害赔偿数额应当考虑的相关因素，该条列举的“侵权人的过错程度”因素显然已为动态评价框架所囊括，而“侵权行为的目的、方式、场合等具体情节”以及“侵权行为所造成的后果”这两个因素一如前述，是判断行为反秩序性程度的重要评价对象，可在考量信息处理行为的反秩序程度时加以斟酌。“侵权人的获利情况”“侵权人承担责任的经济能力”“受理诉讼法院所在地的平均生活水平”等三个因素无法为动态评价框架所涵盖，可作为依动态评价框架初步确定精神损害赔偿范围之后，进一步调节损害赔偿额的额外因素进行考虑。借此可协调动态评价框架与《精神损害赔偿解释》第5条的关系，使两者不至于发生冲突。

2. 在判断非金钱赔偿相当性中的运用

个人信息权益以人格利益为主要保护对象，法律保护个人信息的目的在于确保自然人对其个人信息的自主支配和利用，维护其人格尊严与人格自由。当个人信息权益受到侵害之时，通常会妨碍个人对其人格画像的自主建构，引发对个人的歧视及不平等待遇，干扰个人的私人生活安宁，这些都会严重损害个人的人格尊严和人格自由发展，损及其作为人所应享有的自主性和独立性。为抚平受侵害信息主体的精神创伤，恢复他们的尊严，消弭他们内心的愤懑、仇恨心理，消除影响、恢复名誉、赔礼道歉等非金钱赔偿责任在个人信息侵权案件中经常得到适用，其中尤以赔礼道歉适用得最为广泛。《民法典》第1000条第1款规定，判决侵权行为人承担赔礼道歉、消除影响、恢复名誉等侵权责任的，应当与侵权行为的具体方式和造成的影响范围相当。对此，不应狭隘地理解为，非金钱赔偿在具体实现上仅受侵权行为的具体方式和造成的影响范围的作用，而应认为关涉侵权责任构成的诸要素均可对非金钱赔偿的适用产生影响。换言之，动态评价框架所提倡的责任基础之于责任效果的作用力，也充分存在于对非金钱赔偿相当性的判断之中。在判决信息处理者承担赔礼道歉、消除影响、恢复名誉等非金钱赔偿责任时，需要综合考量信息处理者的过错程度等构筑动态评价框架的诸要素，令非金钱赔偿的具体实现形式和作用范围等责任效果与个人信息侵权的责任基础相联动，使得两者具备相当性。以赔礼道歉为例，个人信息侵权中赔礼道歉责任的具体实现方式、实施范围以及持续时间等通常需要在综合考量信息处理者的过错程度、受侵害个人信息的敏感程度、信息处理行为的正当化程度、信息处理行为的违法及悖俗程度等要素的基础上判定，借此实现责任基础和责任效果的相当。例如，在“李某某与陈某某等隐私权纠纷案”中，被告是因疏忽大意泄露了原告的财产信息，且当庭对原告进行了道歉，法院因此不再支持原告要求被告在省级以上报刊登报道歉的诉讼请求。再如，在“广东格兰仕集团有限公司与钟某隐私权纠纷案”中，鉴于格兰仕公司获取钟某的电子邮箱账号是为了履行发放电子延保卡的义务，该行为具有一定的正当性，且该行为对钟某并未造成较大的影响，故而法院未支持钟某要求格兰仕公司在其官网上公示七日书面赔礼道歉内容的诉讼请求，认为格兰仕公司书面道歉即可。值得注意的是，若受侵害的个人信息敏感程度、私密程度较高，为防止遭泄露的个人信息进一步扩散，不当地扩大侵权影响，有时需要降低赔礼道歉本应有的规格，缩小其本应实施的范围，方能实现相当性。例如，在“何某、南浦海滨花园业主委员会等隐私权纠纷案”中，鉴于业主委员会发布的材料中包含有何某不愿公开的个人信息，法院认为业主委员会向何某道歉不适合采取何某所主张的在小区公告栏张贴赔礼公告、在微信群及微信公众号道歉的形式，而应以书面形式向何某赔礼道歉。综上，通过用动态评价框架对具有开放性评价结构的“相当性”这一不确定法律概念进行价值填补作业，动态评价框架在非金钱赔偿责任的承担上也得到了有力的运用。

五、结语

信息技术的高速发展与广泛应用深刻地改变了人们的生活现状与社会的运行机制，也肇致了巨大的个人信息安全风险，给旨在填补损害和防免风险现实化的侵权法形成了前所未有的挑战。身处一个信息化、智能化、网络化的时代，“个人信息受保护”是我们自主地塑造“他人眼中的自己”、维护自身人格尊严与人格自由的基本权利诉求，是保障以数据信息作为表现形式和价值根基的数字人权的关键。因此，在传统的侵权法框架无法有力地回应信息化场景之下发生的新型侵权行为的情况下，基于“个人信息受保护”这一法律理念和价值判断的要求，我们有必要改进与革新侵权法的理论体系与制度架构，以化解大数据时代带来的个人信息侵权法律难题，为消解数据技术对自然人数字化人格的威胁，推动数字人权的形成与发展提供制度支撑。动态体系论是介于固定构成要件和一般条款之间的第三条道路，既克服了“要件效果”模式“全有全无”式法律效果评价机制的僵硬呆滞，也避免了一般条款模式的不确定性，能够切实提升法律体系的弹性，使之以更灵活的姿态应对社会变迁。因此，在既有的侵权法框架内引入动态体系论可以为应对大数据时代的个人信息侵权危机提供妥当的方法论路径。在动态体系论的指导之下，构建个人信息侵权的动态评价框架，依靠个人信息处理者的过错程度、个人信息处理行为的正当化程度、个人信息处理行为的违规及悖俗程度、受侵害个人信息的敏感程度以及个人信息处理技术的风险度等诸要素的动态协动作用，可实现对个人信息侵权责任构成与责任承担的法律效果的弹性化评价，为处理个人信息侵权问题提供圆满的法律解决方案。同时，这也可以为除个人信息权益之外的其他数字人权私法保护机制的完善提供有益借鉴。

（莫杨燊，中国政法大学民商经济法学院博士研究生。）

【本文为2022年中国法学会民法学研究会青年学者研究项目“《民法典》非物质性人格权侵权责任认定中动态体系论的运用”（项目批准号：2022MFXH006）的阶段性成果。】

Abstract：The advent of the big data era presents unprecedented challenges to remedies for personal information infringement in areas such as damage assessment，proof of causation，determination of illegality，fault assessment，and liability. Traditional tort law is unable to provide a robust response to these challenges，which severely hinders human rights protection in the digital society. Dynamic system theory represents a third path between fixed constitutive elements and general clauses.It overcomes the rigidity of the“all-or-nothing”legal effect evaluation mechanism of the“element-based effect”model and avoids the uncertainty of the general clause model. It can effectively enhance the flexibility of the legal system in responding to social changes.In light of this，it is necessary to construct a dynamic foundational evaluation framework for personal information infringement under the guidance of dynamic system theory. By relying on the dynamic interplay effect of various foundational evaluation elements，this framework can achieve a flexible evaluation of the constitutive elements of liability and the legal effects of liability for personal information infringement. Through this approach，the crisis of personal information infringement in the era of big data can be mitigated，and the realization of personal information rights as digital human rights can be promoted.

Keywords：Personal Information；Digital Human Rights；Dynamic System Theory；Constitutive Elements of Torts；Liability

（责任编辑 曹 炜）