个人信息泄露的合同法规制

关键词 个人信息泄露 违约责任 优势 局限 防范路径

作者简介：许航，中国科学院大学公共政策与管理学院2017级硕士研究生，研究方向：经济法学。

中图分类号：D923.6                                                        文献标识码：A                       DOI：10.19387/j.cnki.1009-0592.2020.04.335

一、问题的提出

可识别性作为个人信息最重要的特征已被我国以及欧盟、德国等国家和地区的立法予以确认。个人信息泄露的治理也成为了大数据背景下全球治理的一个重要议题，它事关我们每一个人的切身利益。在这个背景下，一旦个人信息发生泄露，所造成的侵害将不可估量。个人信息发生泄露之后，信息主体通过何种途径寻求救济，是值得研究的问题。我国部门法分别提供了民法保护、行政保护和刑法保护。具体到民法保护，信息主体可主张侵权救济，也可主张合同救济。通过考察个人信息泄露保护的司法实践，笔者发现信息主体多提出违约之诉。但是，法院在审理个人信息泄露的合同纠纷案件，判案标准不一，宽严失据，举证责任分配的任意性较强。因此，深入研究个人信息泄露保护的司法实践，完善对个人信息泄露的合同法规制，意义重大。

二、我国合同法规制个人信息泄露的司法实践

截止2019年12月31日，笔者以“个人信息泄露”“用户数据泄露”“个人数据泄露”为关键词在中国裁判文书网上进行案例检索，共搜索到案例337个，进过筛选，共得到信息主体追究网络运营者违约责任的案例108个。这些个案例具有如下特点：

（一）案情

在网络运营者和信息主体的服务合同存续过程中，个人信息泄露导致信息主体财产遭受损失。信息主体遂向网络运营者提出违约之诉。这些案件均没明确个人信息泄露的真正原因，所以，法官均是根据现有的证据材料，并基于自由心证原则进行裁判。

（二）法律适用

除了合同法本身的规定外，其中有12个案例援引了其他部门法，作为认定网络运营者是否履行义务的依据。

（三）裁判思路

第一，网络运营者是否尽到了对信息主体个人信息的安全保障义务。第二，个人信息主体是否履行了对个人信息的妥善保管义务或者对个人信息的泄露是否存在故意或过失。

（四）裁判结果

可将这108个案件分为四类：一是信息主体胜诉。案件占比为19.4%。这些胜诉的案件中，法院无一例外将举证责任分配给网络运营者，由其证明自己完成了对信息主体个人信息的安全保障义务。若网络运营者无法举证，将承担不利后果。二是信息主体败诉。案件占比为50%。信息主体败诉的案件中，根据“主张积极事实者举证”的原则，信息主体需证明网络运营者未尽到保障信息主体信息安全的义务，否则其主张就得不到法院的支持。三是双方承担公平责任。案件占比为9.3%。这类案件中，法官认为个人信息泄露是双方的原因，而在原因不明的情况下应当适用公平责任。四是主次责任。案件占比为21.3%。法院认定双方责任的分配有主次之分。其中大约八成的案件由网络运营者承担主要责任，两成左右的案件由信息主体承担主要责任。

三、合同法规制个人信息泄露的优势与局限性

（一）合同法解决个人信息泄露的优势

1. 可回避个人信息的法律属性争议

对于个人信息的法律属性，现有文献提出了7种学说，可以归为四类，即基本人权理论、人格权理论、财产权理论 、复合权利理论。不同的学说支持不同的救济路径，尤其在侵权法救济中体现得最为明显。在合同法中，只要合同成立并生效，一方违反合同约定的，另一方就能寻求合同法救济，至于个人信息的法律属性，在所不问。

2. 可实现权利义务的个性化与多样化

合同权利义务以双方的合意为准，违约责任规则基于法律规定、市场条件和缔约双方的谈判地位而确定。根据不同行业对个人信息保护的不同需求，在合同中赋予缔约双方不同的权利与义务，由双方共同恪守。网络运营者和个人信息主体可以根据交易习惯，在法律的边界范围内确定符合自身条件的安全条款及相应的保密机制，从而克服个人信息保护需要监管的僵化思维。

（二）合同法规制个人信息泄露的局限

1.合同相对性的局限

合同相对性主要体现为缔约主体、权利义务以及责任的相对性，也就是说网络运营者和信息主体之间的合同效力止于二者。但是，考察近5年在国内外影响力比较大的个人信息泄露案件，有55%左右的案件个人信息泄露是因为第三人入侵导致的。在这种情况下，如果根据合同法寻求救济，信息主体也只能向网络运营者主张权利，可能最终就得不到救济。

现实中，计算业务外包也成为已经成为常态，许多与IT相关的公司在收集和積累数据信息后，将与IT相关的业务委托给第三方处理，也就是说原本的法律关系中介入了信息处理者。在这种状态下，信息主体只能知道网络运营者控制了自己的信息，但不知道真正的信息处理主体和处理方式，从而加剧了个人信息的失控状态。当个人信息从信息处理者处泄露时，基于合同相对性也只能向网络运营者主张权利。最终，信息主体仅能获得有限的甚至无法获得救济。

2.隐私声明的反面效益

尽管隐私声明和选择一直被视为用户个人信息保护的重要方面，很多隐私声明却无法有效地传达给信息主体。网络运营者通过使用复杂并且冗长的文字来展示自己的隐私保护政策，以应付内部和外部合规性评估。隐私声明中所描述的个人信息处理方法通常过于宽泛，以至信息主体无法了解特定服务收集哪些信息、公司的其他服务将如何使用个人信息。信息主体需要具备较高的理解能力，才能理解其所表达的意思。这种情况下，隐私声明不仅不能帮助信息主体做出适合的隐私决定，而且很大程度上极容易被忽略。

这些冗长而抽象的隐私声明可能还包含了免责声明，如果想要享受网络运营者提供服务，用户必须选择勾选“同意”选项。一旦勾选，就表示承诺网络运营者的免责声明。当损害发生时，信息主体的权益就极有可能得不到保障。

3.信息主体举证难

在主张网络运营者违约责任的案件中，一般由信息主体举证。但是由于网络侵权本身隐蔽性强、速度快、面积广的特点，信息主体在绝大部分情况下难以发现信息泄露的具体原因。当损害结果出现时，信息主体才能意识到自己的信息被泄露。事实上，在这个法律关系中双方的地位是不平等的，无论从技术、财力或是诉讼能力，信息主体均处于弱势地位。关于网络运营者是否尽到了安全保障义务这一事实主要由网络运营者掌握，信息主体搜集证据有很强的壁垒。对涉及到对方商业秘密的技术措施，信息主体更是无法获取。以上不平等加剧了信息主体败诉的风险。

4.安全保障义务的不明确性和滞后性

不明确性：网络运营者对个人信息安全保障义务的依据来自于法律规定和合同约定。在以《网络安全法》为代表的法律和其他规范性文件中，义务大多以提公因式的方法明确了所有行业或领域需要遵守的事项，但是没有具体的操作规则。因此对义务的履行情况认定也比较难。事实上，网络运营者在与信息主体缔约时可根据掌握的技术进一步强化或是细化自己的义务，但是从成本收益角度而言，较少的网络运营者会采取这种做法。法律对安全保障义务的粗线条式规定，以及合同对相应条款的模糊规定，导致发生纠纷时网络运营者对自己的安全保障义务有很大的解释空间。安全保障义务的不确定性直接决定了案件举证要素的不确定性，进而导致了法官对相同案情的案件无法作出大体一致的判決，也使这类案件中法官的自由裁量对案件的走向起到了决定性作用。

滞后性：网络技术的发展，使侵权和防御的对抗模式也在变化，安防义务也应当随之变化。在不更新用户协议和隐私条款的情形下，只要网络运营者达到了约定的安防要求，就可认定其履行了安权保障义务。将安全保障义务固定下来还存在一定的风险，即网络运营者可能会为了侧重自身利益，在合同中约定较基础或落后的安防措施。当信息主体因信息被泄露而主张救济时，网络运营者就可以以自己履行了义务作为抗辩理由。

5.精神利益求偿性的局限

个人信息泄露带来的侵害包括物质损失和精神损害。因此个人信息泄露的案件是存在请求权竞合的。但是信息主体只能选其一寻求救济。现行合同法支持的赔偿范围包括既有的和预期的损失，而未把精神损害赔偿纳入赔偿范围之中。如果信息主体选择了违约责任的救济，就意味着无法得到精神损害赔偿。

6.行政合同之排除

控制信息主体个人信息的不仅仅是私权主体，有时也包含公权力主体。公权力机关造成的用户个人信息泄露不在少数，但是公权力机关基于行政目的而收集处理使用用户信息的行为并不能用合同法来调整，当信息主体权利受到侵害时，他们只能通过行政法或侵权法寻求救济。

四、合同法防范个人信息泄露的路径之完善

（一）完善格式合同制度

网络运营者的用户协议和隐私政策是个人信息主体与网络运营者之间成立法律关系的重要媒介，有效的用户协议和隐私政策是保护双方权益的基础。因此网络运营者提供的格式文本必须与所提供的服务具有紧密关系;同时，用户的“同意”应基于最大程度的意思自由，而不应基于网络运营者作出的假定条件。为了增加格式文本的可读性，可以在隐私策略中添加多个简短且特定的隐私声明，这样的隐私声明不会一次性显示，而是可以针对特定的交易环境、系统功能和受众进行量身定制。这意味着每个单独地通知都可以专注于与各自上下文相关的数据的实践和选择。 也可以尝试探索基于大数据的个性化分析功能，在网络环境中建立一套个性化违约责任规则，通过大数据分析用户的特点、交易习惯等要素，生成不同的违约规则，最终由用户接受或放弃。 将上述措施作为在进行隐私政策的合规性审查和企业网络安全系数评估时重点考察的因素，以削弱格式合同带来的不公平性，也激励网络运营者提升自身的网络安全防卫能力。

（二）完善最低安全水平条款

责任会改变一切。今天，加强网络安全和减轻网络攻击的能力掌握在私营部门手中。由于开发和维护强大的网络安全基础设施需要成本，因此必须存在足够的激励，即通过法律责任机制激励整个行业努力实现高水平的网络安全。 由此可见，明确并细化网络运营者的安全保障义务规则十分必要。可根据网络发展需要将部分要求写入将来的《个人信息保护法》等与个人信息保护相关的法律，或是在法律制定时增加授权性规范，明确网络运营者的义务。这是解决个人信息泄露问题不可或缺的重要环节，也是提升个人信息使用和处理的透明度的必然要求。在现有的合同法框架下，为解决网络运营者与信息主体之间的纠纷，片面追求举证责任倒置事实上是不现实的，容易造成牵一发而动全身的局面，对待任何问题都要打破现有法律框架的想法并不可取。而完善最低安全水平条款从规范层面明确各个主体的行为，使相关问题的解决更加规范。将与之有关的不确定因素加以固定实际上就是解决问题的最好方式。我们强调网络运营者是个人信息保护的第一责任人， 而这种责任应当贯彻在法律关系建立的始终，并不仅仅是事后归责。强调完善最低安全水平条款就是将网络运营者的首要责任贯彻于法律关系始终的表现。对网络领域问题的解决采用自由主义和家长制的混合模式，即“轻推”——不过分干预，才能有希望处理好利益之间的平衡。根据“轻推”原则有必要制定最低限度的法规，那将是如何处理不公平的合同条款最好的手段，也是解决两个主体之间面临问题最折中的方式。

（三）探索安全评估及行業自律模式

《网络安全法》鼓励、支持网络运营者开展自我以及行业内的安全评估活动，建立相应的行业标准。这是美国隐私保护模式的良好借鉴。美国对于相应问题的保护虽然没有在成文法中作出细化规定，但是美国严格的评估机制和行业自律模式支撑了不同行业对隐私的保护。自我监管优于政府监管，尤其是借鉴到计算机行业在没有任何政府干预的情况下成功成长的现象。 笔者建议评估应当是双重的，对网络运营者对信息安全保障能力的评估以及信息主体面临的风险及因侵权遭受的损失的评估，这样不仅有助于减少风险，而且在网络信息安全事件发生时能够明确责任，从而实现社会公平。行业自律模式下行业可以发布行业内所应遵从的安全性规则，这可以很大程度上可以督促领域内的网络运营者不断完善防御系统建设，统一相应的标准，对行业内安防能力较低的企业也起到激励作用。

（四）统一归则原则

有学者强调在合同的归责原则应遵从二元制归责原则，即过错责任原则和无过错责任原则并行。 在笔者看来二元制的归责原则并不能改变网络运营者和信息主体的地位不对等状态，反而在某种程度上来说会降低网络运营者的违约成本。所以合同法解决个人信息泄露的问题应当采以严格责任为原则，过错责任为例外的一元归责模式，即严格责任原则并不排斥过错责任的适用。 严格责任能够在一定程度上约束网络运营者提出的抗辩，从而更有益于保护信息主体的权益。只要违约事实成立，网络运营者不能举证信息主体对信息泄露存在故意或重大过失，就不能免于承担责任。这也是从法律层面纠正双方主体事实上地位不平等，造成不公判决的一种方式。对于这种原则，应在合同法中予以确认。

注释：

Schaub F ， Balebako R ， Cranor L F . Designing Effective Privacy Notices and Controls[J].IEEE Internet Computing， 2017， 21（3）：70-77.

Porat A ， Strahilevitz L . Personalizing Default Rules and Disclosure with Big Data[J].Social Science Electronic Publishing， 2014， 112（8）：1417-1478.

Montagnani，Maria Lill？CavalloM A.Cybersecurity and Liability in a Big Data World[J].Social Science Electronic Publishing.

王春晖.网络运营者是个人信息保护的第一责任人[J].中国电信业，2017（6）：48-51.

Kalyanaram G . Nudge： Improving Decisions about Health， Wealth， and Happiness[J].International Journal of Pharmaceutical and Healthcare Marketing， 2011， 5（4）：349-352.

Hayashi K . Social Issues of Big Data and Cloud： Privacy， Confidentiality， and Public Utility[C]// Eighth International Conference on Availability. IEEE， 2013.

杨立新.中国合同责任研究（上）[J].河南省政法管理干部学院学报，2000（1）：23-35.

杨晓娇.个人信息控制者违约赔偿责任研究[J].图书情报工作，2015，59（2）：17-24+43.