违反民事法律的规定应当承担什么责任(侵害众多个人信息该如何承担民事责任)

来源:检察日报

侵犯众多个人信息如何承担民事责任？

在司法实践中，对于网络背景下众多个人信息侵权行为如何全面合理地追究责任，一直存在争议。长期以来，由于制度治理形成不完整、适用范围不同、判断标准不同等原因，存在做法不一、民事责任不到位等问题。《个人信息保护法》实施后，对相关行为的规定更加严格，对法律责任的规定也更加严格。

贯彻民事责任优先原则的必要性

在立法层面，明确、科学地设置法律责任是保证执法有效性的必要前提，也是实现立法目的的最有效手段。在网络背景下，对侵犯众多个人信息的行为进行规制，在法律上对违法行为给予否定的评价和谴责，对合法权益进行保护、补偿或赔偿，实现惩罚、救济和预防的功能，显得十分重要。在立法和司法实践中，根据法律责任的类型对其进行分类是常见的。网络背景下侵犯众多个人信息，应依法承担相应的民事责任、行政责任和刑事责任。其中，民事责任具有基础性和前置性，在问责过程中应首先提倡。只有在违反法律规定、危害性大、需要追究时，才承担行政和刑事责任，并受到严格的程序规定。首先，法律明确规定了责任和财产给付顺序，遵循民事责任优先的原则。其次，刑法二次评价原则也遵循法律责任的层级性，主张民事责任优先的原则。再次，在司法实践中，法律责任的承担并不理想，需要贯彻民事责任优先的原则。

网络环境下大量个人信息侵权的民事责任承担方式

需要进一步研究的是网络环境下众多个人信息侵权的民事责任方式。《个人信息保护法》第69条将相关责任表述为“损害赔偿等侵权责任”，《消费者权益保护法》第5条规定“经营者侵害消费者的人格尊严、消费者的人身自由或者依法受保护的消费者个人信息权的，应当停止侵害、恢复名誉、消除影响、赔礼道歉、赔偿损失”，对司法实践具有重要指导意义。但是，由于涉及私人利益诉讼和公益诉讼等学术和实践问题，对司法实践具有重要意义。在司法实践中，要明确相应的边界，防止重复问责，但也要加强协调，防止问责不到位。

考虑到网络环境下众多个人信息被侵权的特点和现状，实践中通过公益诉讼追究相应责任更为合适，但不影响同一侵权行为的受害人依据《民事诉讼法》第一百一十九条提起诉讼。当然，私益诉讼可以从公益诉讼中获得诉讼便利和适当的赔偿。公益诉讼制度在个人信息安全领域被赋予了更多的期待，需要加强以下具体的诉讼工作。

首先，要加强损害赔偿责任的追究。个人信息兼具人格属性和财产属性。一旦泄露或者使用不当，实际上会对个人造成损害，或者给人和财产带来很大的风险。个人信息容易被复制和转移，个人往往意识不到被侵犯，这使得潜在风险长期存在。需要注意的是，有些损失不容易量化，也不是没有损失。对于网络环境下大规模非法处理个人信息行为，存在受害人多、举证难、侵权行为隐形化、损失难以量化等实际情况，客观上不可能也没有必要查清被侵权人的具体损失，可以根据利益情况依法判决，也可以由司法机关考虑案件情况决定。在侵犯个人信息案件中，存在通过交换、使用虚拟货币等手段逃避民事责任，导致“账面”利益较少的情况，赔偿数额应由司法机关确定。至于实际危害的具体证据，从实践上看，由于人数众多，不可能全部列举，而且实际上侵犯个人信息造成的损害是众所周知的问题，《个人信息保护法》明确采用过错责任推定。学术界和实务界可以吸收环保、食品、医药等案例中的鉴定评估方法。，并研究侵权方式、持续时间、影响区域、侵权信息类型、敏感度、来源途径、侵权人和受害人职业等个人信息安全领域因素的影响，探索相应损失的认定、鉴定或评估方法；也可以做另类的分析研究。比如《反垄断法》第五十条规定:经营者从事垄断行为，给他人造成损失的，应当依法承担民事责任。垄断对经济秩序和其他经营者、消费者的损害是显而易见的。有研究者用经济学和数学来研究分析，值得借鉴。

二是要落实消除危险、停止侵害、赔礼道歉等责任。根据《民法》第995条规定，侵害人格权的，受害人有权要求加害人依法承担民事责任。诉讼时效不适用于受害人停止侵害、消除妨害、消除危险、消除影响、恢复名誉、赔礼道歉的权利。网络环境下大规模非法处理个人信息，涉案个人信息无法通过传统的查封、没收等方式解决，即使行政机关等积极作为，由于司法成本、技术等因素，无法穷尽保护手段，侵权人仍有消除危险、停止侵权等义务。在具体刑事案件中，刑事责任追究后，大量涉案个人信息仍残留在服务器、网盘或未经验证的存储介质中，相应信息未被删除，可能被进一步处理或泄露。仍然需要要求侵权人采取相应措施消除风险。

三是依法追究相关单位和其他自然人的民事责任。侵犯个人信息刑事案件中，被告一般为自然人，部分涉案单位和其他自然人受刑事责任追究标准等因素影响，可能不追究刑事责任。但相关单位与其他自然人在侵权行为中有共同侵权行为的，仍应依据民法承担连带责任。比如，网络用户利用网络服务实施侵权行为的，权利人应当通知网络服务提供者采取删除、屏蔽、断开链接等必要措施。网络服务提供者收到通知后，应当根据构成侵权的初步证据和服务类型，及时将通知转发给相关网络用户并采取必要措施；未及时采取必要措施的，损害扩大部分与网络用户承担连带责任。在民事诉讼中，可以依法追加相应的单位和自然人作为被告，与刑事案件的被告不一定一致。即使单位没有过错，也需要在一些特殊情况下承担民事责任，比如替代责任。用人单位承担替代责任的依据在于，劳动者实施的违法行为与用人单位授权的行为之间的关联性是否足够接近，能够将劳动者实施的违法行为公平、适当地视为其在履行职责过程中通常实施的行为，用人单位应当对劳动者在职责范围内和履行职责过程中的行为负责。企业未尽到相应保护义务的，直接承担连带责任。金融、地产、快递、科技等行业都需要加强企业的合规管理，防止客户信息泄露或违规处理。未尽到相应的谨慎义务的，单位或者相应的责任人员除承担相应的行政责任外，还应当承担相应的民事责任。

此外，在追究民事责任时，认定的侵权事实可以不同于刑事、行政案件中认定的侵权事实。因为办理刑事、行政案件有更严格的证据要求和标准，甚至大部分举证责任都由相关机关承担。在民事案件中，“极有可能”的证据标准不同于“事实清楚，证据不足”的刑事证据标准。《个人信息保护法》第69条第1款也确立了侵犯个人信息的责任推定。

综上所述，针对网络背景下众多个人信息的侵权行为，在追究相应法律责任时，应以民事责任为主。这种优先并不是否定刑事打击和行政控制，而是构建法律责任的基础，特别是明确相应法律责任的层级，并通过适当的诉讼制度来实现。

(作者单位:上海市人民检察院)