个人信息侵权责任中过错的认定与证明责任

原标题：个人信息侵权责任中过错的认定与证明责任

个人信息权益属于民事权益中的人格权益，受到民法典的保护，因此在个人信息权益遭受侵害时，被侵权人有权请求侵权人承担侵权责任。对于侵害个人信息权益的侵权损害赔偿责任，在个人信息保护法颁布前，我国民法典没有规定适用无过错责任或过错推定责任等特殊的归责原则，故此应当适用的是过错责任原则。个人信息保护法第六十九条第1款针对侵害个人信息权益的侵权赔偿责任规定了过错推定责任。同时，个人信息保护法第七十二条第1款将“自然人因个人或者家庭事务处理个人信息的”情形排除在该法的适用范围之外。如此，在个人信息侵权责任的归责原则中形成了这样一种状态：一方面，大多数的个人信息侵权赔偿责任适用过错推定责任；另一方面，自然人因个人或家庭事务处理个人信息的过程中侵害个人信息权益的侵权赔偿责任则适用过错责任原则。显然，无论何种情形下，过错的认定和证明责任都是非常重要的。就当事人而言，大多数情形下作为侵权人的个人信息处理者要通过举证来推翻对自己过错的推定，才能免于承担赔偿责任；少数时候，须由作为被侵权人的个人来证明侵权人存在过错，方能要求其承担赔偿责任。

在适用个人信息保护法第六十九条第1款规定的过错推定责任时，个人无需证明个人信息处理者的过错，而是由个人信息处理者证明自己没有过错。那么，个人信息处理者究竟要证明哪些事实才算推翻了法律上对其过错的推定呢？一种观点认为，个人信息处理者能够举证证明个人信息处理活动符合法律、行政法规规定的个人信息处理规则、履行了个人信息处理者的义务并依法满足了个人行使权利的请求的，就可以推翻对其过错的推定，即法院应当认定个人信息处理者没有过错。另一种观点认为，个人信息处理者证明个人信息处理活动合法并不是当然可以推翻对其过错的推定，因为法律不可能将对个人信息处理活动的所有要求都规定下来，况且，网络信息社会的发展一日千里，法律法规本身也常常会存在落后社会发展的情况，笔者倾向于第一种观点。

首先，个人信息保护法主要是通过确立科学合理、清晰稳定的个人处理的基本原则、具体规则，明确个人信息处理者与个人之间的具体权利义务关系，以平衡在信息、财力等能力上严重不对等的个人与个人信息处理者之间的关系，最终实现个人信息权益的保护与合理利用相互协调的立法目的。正因如此，个人信息保护法除了在总则部分明确规定了个人信息处理的基本原则如合法、正当、必要、目的限制、诚实信用外，还在第二章、第三章采用31个条文对个人信息处理规则作出了详尽的规定，同时又在第四章对个人在个人信息处理活动中的权利以及在第五章对个人信息处理者的义务作出了具体规定。这些法律规定既是履行个人信息保护职责的部门进行个人信息监管和执法的重要依据，也是个人信息侵权纠纷中的根本判断标准。具体来说，关于个人信息处理规则的规范、个人在个人信息处理中的权利的法律规范、保护个人信息安全的义务规范以及个人信息保护影响评估义务的规范属于个人信息保护法中的保护性规范，其中，个人信息处理者违反了个人信息处理规则的行为就是过错行为，无法举证推翻，如果个人信息处理者违反了其他的三类保护性规范，则适用违法推定过失，能够被推翻。因此，个人信息处理者要证明自己没有过错，就必须要提出证据证明发生纠纷的个人信息处理活动符合上述四类保护性规范的要求。

其次，个人信息保护法第六十九条第1款之所以对侵害个人信息权益的侵权赔偿责任适用过错推定责任，主要是考虑：在个人信息处理活动中，相对于个人信息处理者来说，个人处于弱势地位，个人信息处理情况和相关证据通常只有个人信息处理者掌握，个人作为被侵权人很难获得，因此要求个人证明个人信息处理者存在过错非常困难。个人信息处理者通过提出证据来证明案涉的个人信息处理活动符合个人信息处理的基本原则与具体规则、履行了个人信息处理者的义务、尊重了个人的权利等，实际上就是在披露个人信息处理的情况和提供相关证据，它有助于减弱个人与个人信息处理者之间的信息不对等程度，便于法官查明案情。同时，这只是初步推翻对其过错的推定而已，并不等于个人信息处理者的侵权赔偿责任不成立。因为，个人还可以提出新的证据来证明个人信息处理者存在过错。所以，不会对个人的合法权益造成不利影响。

最后，承认个人信息处理者通过提出证据证明自己在处理个人信息时遵循了个人信息处理的基本原则和规则，履行了相应的义务并保障了个人在个人信息处理活动中的权利，就可以初步推翻对自己过错的推定，有助于形成一个良好的激励机制和稳定的预期，使得个人信息处理者在实践中更好遵循法律法规的要求进行个人信息保护合规，保护个人信息权益，也能够降低合规成本，促进个人信息的合理利用。

在自然人因个人或者家庭事务处理个人信息侵害个人信息权益造成损害的场合，应当适用的是民法典第一千一百六十五条第1款规定的过错责任原则。此时，个人需要证明个人信息处理者具有过错，否则个人信息处理者无需承担侵权赔偿责任。由于自然人因个人或者家庭事务处理个人信息的活动不适用个人信息保护法，因此，该法关于个人信息处理的规则、个人在个人信息处理活动中享有的权利及个人信息处理者的义务等规定不能适用。不过，民法典、网络安全法等法律关于个人信息保护的法律规范仍然可以适用。例如，依据民法典第一千零三十五条，处理个人信息应当遵循合法、正当、必要原则，不得过度处理，同时要符合相应的条件，包括征得该自然人或者其监护人同意，但是法律、行政法规另有规定的除外；公开处理信息的规则；明示处理信息的目的、方式和范围以及不违反法律、行政法规的规定和双方的约定。如果个人可以证明个人信息处理者违反了合法、正当、必要原则或者其个人信息处理的法律根据欠缺等，就可以证明个人信息处理者的过错。当然，个人也可以通过证明个人信息处理者没有尽到合理的注意义务来确定其过错。（程熙玥）

来源：法治日报