限定《个人信息保护法（草案二次审议稿）》中过错推定规则的建议丨威科先行

作者丨王源

北京高勤律师事务所

* 本文为威科先行丨网络安全合规模块独家文章，未经许可，请勿转载

《个人信息保护法（草案二次审议稿）》（“二次审议稿”）于2021年4月29日正式公布，对2020年10月21日公布的《个人信息保护法（草案）》（“原草案”）进行了修改，实质性地规定过错推定规则，即在侵犯个人信息权益诉讼中被告需要证明自己没有过错，如果被告无法证明自己没有故意或者过失，就被推定为有过错，需要承担侵犯个人信息权益的败诉后果和相应的法律责任。

原草案第65条规定，因个人信息处理活动侵害个人信息权益的，按照个人因此受到的损失或者个人信息处理者因此获得的利益承担赔偿责任；个人因此受到的损失和个人信息处理者因此获得的利益难以确定的，由人民法院根据实际情况确定赔偿数额。个人信息处理者能够证明自己没有过错的，可以减轻或者免除责任。

二次审议稿第68条规定，个人信息权益因个人信息处理活动受到侵害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。前款规定的损害赔偿责任按照个人因此受到的损失或者个人信息处理者因此获得的利益确定；个人因此受到的损失和个人信息处理者因此获得的利益难以确定的，根据实际情况确定赔偿数额。

原草案和二次审议稿的关键区别在于，在原告无法提出证据证明被告有过错、被告也无法提出证据证明自己无过错的情况下，按照原草案原告将败诉，而根据二次审议稿被告将败诉，“在谁也证明不了情况下”，由被告承担不利后果。同时，虽然原草案也规定了“个人信息处理者能够证明自己没有过错的，可以减轻或者免除责任。”，被告有一定的举证责任，但这种举证责任是在原告提供证据证明侵权成立的前提下，才需要由被告举证。而按照二次审议稿的修订，即使原告没有提供证明被告有过错的证据（而一般情况下这种证据是侵权成立的必要要件），被告就需要“提前”证明自己没有过错，因此在诉讼中对被告的影响是实质性的。

提起民事诉讼一般有两种依据，一种是基于合同起诉，另一种是基于侵权起诉，区别在于基于侵权的起诉不需要原被告双方存在合同关系，只要权利被侵犯，就可以提起诉讼，但是即使双方存在合同关系，原告也可以选择以侵权为由起诉被告。但无论哪一种诉讼，法律的一般要求为，原告只要提出主张就有提供证据的责任[1]，简单理解就是“不能随随便便告别人，总得能拿出一些证据支持诉求”。

在原告既提出了主张又对自己的主张提供了一定证据后，才由被告提供证据加以反驳。但是在特殊情况下，法律不要求原告对自己的主张提供证据加以证明，反而要求被告证明原告的主张在法律上不成立，在原告的主张没有证据支持的情况下就要提出反驳证据显然对被告不公平，因此法律将这种举证责任倒置的特殊规则限定在法律有明文规定的情形下才适用[2]。 

就民事合同纠纷而言，例如劳动合同中“因用人单位做出开除、除名、辞退、解除劳动合同、减少劳动报酬、计算劳动者工作年限等决定而发生劳动争议的，由用人单位负举证责任。”如果单位是原告，不发生举证责任倒置情况，因为单位需要提供证据证明自己有理由开除员工；但是通常情况是员工为原告，此时则发生举证责任倒置情况，因为员工仅需要主张单位违法开除，由单位证明并未开除员工或者开除行为不违法[3]。  

就民事侵权纠纷而言，侵权诉讼中原告需要一一证明被告有侵权行为、发生了损害后果、损害后果和侵权行为间存在因果关系、被告有过错四项问题。只有在法律有明文相反规定免除原告某项或者全部举证责任时，才需要被告“自证清白”。有时法律规定被告需要证明自己没有过错[4]，有时法律对过错体现形态规定的更加具体[5]。可以看出，过错推定是举证责任倒置在基于侵权提起的民事诉讼中免除原告对构成侵权的四要件之一“被告有过错”提出证据并且加以证明的责任，二次审议稿中“个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任”即属于这种情况。

在其他法律领域也可以见到类似过错推定或者举证责任倒置的规则。例如，在刑事诉讼中，对类举证责任倒置的规则限制非常苛严，仅有“巨额财产来源不明罪” [6]等极其例外情形下才适用。刑事诉讼中因“不能自证其罪”也不用“自证清白”、举证责任几乎无法转移至具有被告地位的一方。根据最新法律规定，在行政执法中对行政相对人进行行政处罚将普遍性地适用过错推定规则，只有受处罚人可以证明自己的行政违法行为没有过错，才不应受到处罚。[7]这主要是行政处罚出于效率考虑且违法行为有一定社会危害性，且如果行政机关违法做出处罚决定受处罚人还可以提起行政诉讼等寻求二次救济，证明自身无过错的责任才普遍性转移至受处罚人。

那么，二次审议稿为什么会在个人信息民事侵权纠纷中规定过错推定？立法者可能会考虑的合理依据有哪些？二次审议稿在修改时可能充分考虑了：1. 作为原告的个人整体处于弱势地位，信息流转快，一旦被收集就“不知道被怎么利用的”，举证能力较弱；2. 作为被告的处理个人信息的平台等掌握算法等技术，不仅实际控制数据，容易说清楚“数据去哪儿了”，也更容易“说清楚如何处理数据的”；3. 从法律政策角度，如果必须“二选一有人承担败诉后果”，更倾向于保护个人；4. 立法者也考虑到了公平原则，原草案第65条实际上采取了公平责任，规定“个人信息处理者能够证明自己没有过错的，可以减轻或者免除责任。”虽然，公平责任一般理解仅是“补充”性质的规定，也是任何责任规则下自然应含有之意，但是二次审议稿删除该字面表述难免有些让更容易成为被告的一方心理感受不安。

实际上，在个人信息保护之外的其他因合同或者侵权引起的民事纠纷法律领域，也可以看到包括过错推定在内的举证责任倒置的法律明文规定，这些明文规定可以作为在合同或者侵权诉讼中免除原告举证责任的依据。例如，海商纠纷中“承运人或者承运人的受雇人、代理人除非提出反证，应当视为其有过失” [8]，反垄断纠纷中“被告应对该协议不具有排除、限制竞争的效果承担举证责任” [9]、消费者维权纠纷中“经营者提供的机动车…等耐用商品或者装饰装修…由经营者承担有关瑕疵的举证责任”[10]，债务纠纷中“…股东不能证明公司财产独立于股东自己的财产的，应当对公司债务承担连带责任” [11]，专利纠纷中被告应当证明使用不同于原告的专利方法[12]，直销引起的退换货纠纷中“直销企业…对退换货…承担举证责任”[13]，儿童“在教育机构……受到人身损害的……教育机构应当承担侵权责任；但是，能够证明尽到教育、管理职责的，不承担侵权责任。” [14]等。

放入侵权纠纷语境，实际上还可以对上述关于举证责任倒置的明文规定进行归类，例如海商纠纷为过错推定、免除原告证明被告有过错的责任，而反垄断纠纷、消费者维权、债务纠纷、专利等为免除原告证明损害后果等事实的责任。但是上述举证责任倒置的明文规定的共同点为均是在特定领域（例如高空坠物、墙体脱落等危险领域）对特定环节（例如直销中换货或者退货发生纠纷）或者特定对象（例如专利纠纷中被告需证明使用了不同于原告的专利方法）基于特定原由（例如海事纠纷中由于船舶的沉没、碰撞、搁浅、爆炸、火灾所引起或者是由于船舶的缺陷）对特定证据（例如伪卡交易中对账单、签购单、监控录像等证据材料）限定性地（例如消费者维权纠纷中仅适用于6个月内购买的商品）对特定损害（例如儿童在教育机构遭受人身损害）部分免除原告证明责任。在既往有关侵犯个人信息和隐私权的判决中，虽然有适用过错推定的先例，但是其适用场景也仅仅是在信息泄露的情况下。[15] 

二次审议稿规定“个人信息权益因个人信息处理活动受到侵害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。”对比在过错推定话题上讨论比较多的医疗纠纷，发现即使该规定没有要求被告证明其行为与损害后果之间不存在因果关系，仅要求被告证明自己没有过错，仍然显得比较宽泛。类似的规定曾见于医疗纠纷，普遍性地规定“因医疗行为引起的侵权诉讼，由医疗机构就医疗行为与损害结果之间不存在因果关系及不存在医疗过错承担举证责任”[16]，但是后来由于实践中医疗机构举证责任太重引发了比较激烈的争议，在医疗纠纷中不再普遍性适用过错推定规则。

个人认为，应当进一步限定侵犯个人信息权益纠纷中适用举证责任倒置或者过错推定规则的条件，这样的考虑主要基于：

1. 个人信息保护法是适用于所有主体的法律，个人、互联网平台、机构组织、政府部门等均有可能成为被告，并非所有主体均掌握“数据优势”，更容易提供证据，例如政府部门对政务数据的挖掘需要依赖有技术实力的第三方。而在目前其他适用举证责任倒置或者过错推定的法定情形中，被告均是固定特定类型主体，例如用人单位、建筑施工单位、海事承运人、商家、教育机构等。

2. 数据和土地、人口、资本、技术共同构成要素市场，是基本生产资料，为“可再生能源”，在社会生产生活中处于基础性地位，不同于目前其他适用举证责任倒置或者过错推定的情形，仅限于特定、小概率、罕见事件（例如高空坠物、海上发生火灾等），如果不对过错推定责任适用范围加以限定，相当于用过错推定特殊规则在个人信息侵权纠纷中撼动“谁主张、谁举证”的基本原则，因为凡是涉及个人信息的侵权诉讼均适用过错推定。

3. 侵权行为对个人的损害包括人身损失、财产损失、精神损失。在目前法律规定的过错推定法定情形中，绝大部分关切个人的生命与健康。而个人信息遭受侵害给个人带来的损失多为人格精神利益，目前判决实践也基本为赔礼道歉等，个人信息对个人而言是否具备财产属性及其大小法学家还未给出定论，个人信息遭受侵害带给个人的伤害严重程度远不足以与传统情形相比。为了更好地理解危险程度与侵害后果对归责原则的影响，我们可以比较一下“无论被告是否能提出没有过错的证据都需要承担责任的”严格责任规则[17]。严格责任也称无过错责任，仅适用于高度危险、饲养烈性犬等及其危险、一旦发生直接导致受害者死亡或者重伤可能性很大的情况。

4. “证明不存在的东西”本来就很难，提供多少证据才能达到完全证明“没有过错”的证明标准呢？这是一个法官自由裁量和心证的过程，由于规则本身的模糊性和依赖主观判断的成分较多，不加限制地适用容易造成裁判标准的不一致，增大“同案不同判”的概率，也可能降低竞争对手利用个人提起恶意诉讼的门槛。

那怎么具体限定过错推定规则适用的范围内呢？实际上在其他法律规定中可以看到有借鉴意义的先例。例如，从医疗纠纷举证责任演变中可以看出，取消医疗纠纷中医院无条件承担证明自己无过错的责任后，《民法典》附条件地规定医院承担证明自己无过错的责任，证明不了的，医院败诉。《民法典》首先原则性规定医院承担过错责任[18]，即原告需要证明医院有过错，但第1222条同时规定适用过错推定责任的情形：“患者在诊疗活动中受到损害，有下列情形之一的，推定医疗机构有过错：（一）违反法律、行政法规、规章以及其他有关诊疗规范的规定；（二）隐匿或者拒绝提供与纠纷有关的病历资料；（三）遗失、伪造、篡改或者违法销毁病历资料。”

再如，《全国法院民商事审判工作会议纪要》第75条规定：“在案件审理过程中，金融消费者应当对购买产品（或者接受服务）、遭受的损失等事实承担举证责任。卖方机构对其是否履行了适当性义务承担举证责任。卖方机构不能提供其已经建立了金融产品（或者服务）的风险评估及相应管理制度、对金融消费者的风险认知、风险偏好和风险承受能力进行了测试、向金融消费者告知产品（或者服务）的收益和主要风险因素等相关证据的，应当承担举证不能的法律后果。”

总结

《个人信息保护法（草案二次审议稿）》增加了“个人信息权益因个人信息处理活动受到侵害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。”的过错推定规则，是举证责任倒置规则在侵权诉讼中的一种体现。过错是侵权成立的重要要件，在该规则框架下的个人信息权益侵权纠纷中，原告不需要证明被告有过错，被告需要证明自己没有过错，均无法提供证据或者均无法加以证明的时候，被告需要承担败诉等不利后果。当然，即使在过错推定框架下，原告仍然需要提出证据证明基础事实，包括侵权行为发生、损害后果以及侵权行为和损害后果之间的因果关系。

过错推定规则的初衷在于防止大数据平台利用其优势地位侵害个人信息权益后个人因难以举证无法保护自身权益，但是从可能成为被告的主体的广泛性、侵害个人权益引发纠纷的普遍性、证明标准以及裁判的主观性、损害后果多为人格精神利益来看，建议在个人信息侵权纠纷中对适用过错推定规则的条件进行限定，仅作为“谁主张、谁举证”一般原则的特例。

国内立法或者权威司法文件均有限定过错推定或者将举证责任倒置限制在特定范围的先例，例如仅在医疗机构拒绝提供医疗资料时适用过错推定规则，仅在金融机构不能证明其履行了风险评估及相应管理制度等适当义务时才由金融机构承担不利诉讼后果。总的来讲，因为过错推定本质上是“有罪推定”的规制思路，因此需要严格限制其适用范围，可以考虑增设诸如“在信息泄露造成严重后果、个人信息处理者无正当理由拒绝解释说明信息处理方式、无法证明采取了适当个人信息保护措施”等条件，在个人信息侵权纠纷中限定并且细化过错推定规则的适用范围。

向上滑动阅览

* 注释：

[1] 《民事诉讼法》第64条，当事人对自己提出的主张，有责任提供证据。

[2] “最高人民法院关于适用《中华人民共和国民事诉讼法》的解释(2020修正)”第90条，当事人对自己提出的诉讼请求所依据的事实或者反驳对方诉讼请求所依据的事实，应当提供证据加以证明，但法律另有规定的除外。

[3] “最高人民法院关于审理劳动争议案件适用法律若干问题的解释”（2008）第13条，因用人单位作出的开除、除名、辞退、解除劳动合同、减少劳动报酬、计算劳动者工作年限等决定而发生的劳动争议，用人单位负举证责任。《劳动争议调解仲裁法》第6条，发生劳动争议，当事人对自己提出的主张，有责任提供证据。与争议事项有关的证据属于用人单位掌握管理的，用人单位应当提供；用人单位不提供的，应当承担不利后果。

[4] 《民法典》第1165条，行为人因过错侵害他人民事权益造成损害的，应当承担侵权责任。依照法律规定推定行为人有过错，其不能证明自己没有过错的，应当承担侵权责任。《民法典》第1253条，建筑物、构筑物或者其他设施及其搁置物、悬挂物发生脱落、坠落造成他人损害，所有人、管理人或者使用人不能证明自己没有过错的，应当承担侵权责任。《民法典》第1254条，禁止从建筑物中抛掷物品。从建筑物中抛掷物品或者从建筑物上坠落的物品造成他人损害的，由侵权人依法承担侵权责任；经调查难以确定具体侵权人的，除能够证明自己不是侵权人的外，由可能加害的建筑物使用人给予补偿。《民法典》第1255条，堆放物倒塌、滚落或者滑落造成他人损害，堆放人不能证明自己没有过错的，应当承担侵权责任。《民法典》第1257条，因林木折断、倾倒或者果实坠落等造成他人损害，林木的所有人或者管理人不能证明自己没有过错的，应当承担侵权责任。

[5] 《民法典》第1258条，在公共场所或者道路上挖掘、修缮安装地下设施等造成他人损害，施工人不能证明已经设置明显标志和采取安全措施的，应当承担侵权责任。

[6] 《刑法》第395条，国家工作人员的财产、支出明显超过合法收入，差额巨大的，可以责令该国家工作人员说明来源，不能说明来源的，差额部分以非法所得论，处五年以下有期徒刑或者拘役；差额特别巨大的，处五年以上十年以下有期徒刑。财产的差额部分予以追缴。

[7] 《行政处罚法》第33条，违法行为轻微并及时改正，没有造成危害后果的，不予行政处罚。初次违法且危害后果轻微并及时改正的，可以不予行政处罚。当事人有证据足以证明没有主观过错的，不予行政处罚。法律、行政法规另有规定的，从其规定。

[8] 《海商法》114条第3款，旅客的人身伤亡或者自带行李的灭失、损坏，是由于船舶的沉没、碰撞、搁浅、爆炸、火灾所引起或者是由于船舶的缺陷所引起的，承运人或者承运人的受雇人、代理人除非提出反证，应当视为其有过失。《海商法》114条第4款，旅客自带行李以外的其他行李的灭失或者损坏，不论由于何种事故所引起，承运人或者承运人的受雇人、代理人除非提出反证，应当视为其有过失。

[9]  “最高人民法院关于审理因垄断行为引发的民事纠纷案件应用法律若干问题的规定”第7条，被诉垄断行为属于反垄断法第十三条第一款第一项至第五项规定的垄断协议的，被告应对该协议不具有排除、限制竞争的效果承担举证责任。

[10] 《消费者权益保护法》第23条第3款，经营者提供的机动车、计算机、电视机、电冰箱、空调器、洗衣机等耐用商品或者装饰装修等服务，消费者自接受商品或者服务之日起六个月内发现瑕疵，发生争议的，由经营者承担有关瑕疵的举证责任。

[11] 《公司法》第63条，一人有限责任公司的股东不能证明公司财产独立于股东自己的财产的，应当对公司债务承担连带责任。

[12]《专利法》第66条，专利侵权纠纷涉及新产品制造方法的发明专利的，制造同样产品的单位或者个人应当提供其产品制造方法不同于专利方法的证明。

[13]《直销管理条例》第26条，直销企业与直销员、直销企业及其直销员与消费者因换货或者退货发生纠纷的，由前者承担举证责任。

[14] 《民法典》第1199条，无民事行为能力人在幼儿园、学校或者其他教育机构学习、生活期间受到人身损害的，幼儿园、学校或者其他教育机构应当承担侵权责任；但是，能够证明尽到教育、管理职责的，不承担侵权责任。

[15] 庞某诉中国东方航空股份有限公司、北京趣拿信息技术有限公司隐私权纠纷案（北京市第一中级人民法院（2017）京01民终509号），法院认为：作为普通人的庞某根本不具备对被告公司内部数据信息管理是否存在漏洞等情况进行举证证明的能力，法院结合本案证据认定上述两公司存在过错。

[16]《最高人民法院关于民事诉讼证据的若干规定》（2008）第4条第（八）项

[17]《民法典》第1241条规定，从事高空、高压、地下挖掘活动或者使用高速轨道运输工具造成他人损害的，经营者应当承担侵权责任。

[18]《民法典》第1218条，患者在诊疗活动中受到损害，医疗机构或者其医务人员有过错的，由医疗机构承担赔偿责任。

作者简介

王源 

北京高勤律师事务所  合伙人

王源律师在中国提供法律咨询近20年，自2012年开始提供网络安全和数据保护法律服务，从业以来一直专注于高科技和网络领域合规与一般公司业务。曾就职于中国、美国和英国的律师事务所和担任美国思科公司与日本恩梯梯数据公司法律顾问。

威科先行丨网络安全合规模块

集合法规案例查询、更新信息接收、实务问题解决，为您提供全方位实务资源支持，助力您洞悉网络安全精髓，自信决策，合规经营。

申请试用

威科先行丨网络安全合规模块

长按并识别左侧二维码

WHEN YOU HAVE TO BE RIGHT.

想了解更多关于「威科先行」的产品和信息

欢迎长按下方图片，添加「小威」为微信好友