唐墨华 苏昊 胡贤君

大数据时代的到来能够将人的行为、选择及特征信息化，为人类的生产生活提供便利。同时随着个人信息的数据化和网络化，个人信息被泄露、篡改、丢失的风险也随之增加，威胁着信息权利人的人身、财产安全。司法实践中信息权利人因发现个人信息遭到泄露而起诉信息处理者要求承担侵权责任的案件屡见不鲜。因缺乏相应的法律规范，法官在处理该类案件时呈现出尺度不一和说理不清等问题。《民法典》第1038条规定了信息处理者的安全保障义务，但条文仅为概念性的规定，对于该义务的具体内涵、侵权构成要件、证明责任、证明标准、责任形态等问题均未提及。本文通过对近十年相关案例的梳理，结合《民法典》以及《网络安全法》等法律法规的相关规定，对《民法典》第1038条的司法适用规则如何完善进行研究，以期为相关立法和司法提供一些参考。

一、信息处理者安全保障义务的实证考察

对于信息处理者安全保障义务的实证考察，应以数据分析为中心的经验性归纳作为方法上的指引，本文借助“无讼案例”搜索软件，以“个人信息”“信息泄露”“民事判决书”为共同关键词，①将关键词“信息泄露”替换为“信息篡改”或“信息丢失”，未找到相关民事案件。以2010年至2019年为时间区间进行搜索，在结果中排除无相关性的案例后，共搜索到1007份民事判决书。通过对1007份民事判决书进行统计分析，相关案件的司法裁判呈现如下特征：

（一）案件类型多元化

根据个人信息侵权行为的具体表现形式可大致区分为两种情形：一是信息处理者因故意或过失导致个人信息泄露，即信息处理者的积极侵权；……