内容
我国立法对损害的概念没有正面界定。传统侵权法理论上，主流学说认为，损害是指侵权行为没有发生的假想情况下原告应当享有的利益状态和侵权行为已经发生的现实情况下原告实际享有的利益状态之差额。损害通常有三个条件：(1)损害是侵害合法民事权益的结果；(2)可补救性；(3)确定性。其中，“确定性”是损害最核心的要素，要求损害原则上应是已经发生的客观事实，或有充分的依据证明未来将会发生，不能是主观臆测。然而由于个人信息损害的无形性、未知性等特征，能否满足确定性的要求存疑。
损害的传统界定在个人信息侵权领域面临困境，难点在于信息泄露后尚未有现实损害结果发生的情况。个人信息侵权的损害具有无形性、潜伏性、未知性、评估和计算困难等特征，在信息主体遭受现实侵害前，未来遭受侵害的风险看似是对损害的猜测，是否满足确定性存疑。
就个人信息泄露带来的风险可否适用损害赔偿的责任方式，比较法上大概形成了两种相反的观点。一种观点认为，鉴于时代背景及个人信息侵权的特殊性，应对损害概念作扩张解释，承认未来风险作为损害的可赔偿性；一种观点固守确定性标准，认为个人信息的未来风险只是一种主观臆测。个人信息侵权案件损害认定困难，是世界各国共同面临的挑战。美国法上关于个人信息损害认定的困境，主要集中于数据泄露的未来损害与“事实上损害”的解释适用问题。我国同样存在个人信息侵权案件损害认定难的问题。只不过，鉴于我国对个人信息损害的赔偿方式主要是精神损害赔偿，所以损害认定的困境主要体现在个人信息精神损害赔偿的适用。为防止滥用，精神损害赔偿的适用以精神损害“严重”为先决条件，且解释时持严格立场，法院常以不能证明精神损害或者精神损害不够严重为由拒绝支持精神损害赔偿的诉讼请求。
（一）现实基础：风险社会背景下的信息风险分配
承认针对个人信息的风险性损害是因应风险社会的现实需要。风险社会的特征大概为以下几方面：第一，风险社会是现代化和科学技术进步的产物，环境污染等风险与科技进步如影随形；第二，风险社会中的风险具有人为性；第三，风险社会的主要矛盾是风险的缓解与分配。大数据时代是风险社会的“新版本”。具体到个人信息保护领域，尽管信息泄露事件频繁见诸于报端，人们也不可能因为风险存在就放弃个人信息处理，风险分配问题成为关键。从风险来源、风控能力、获益情况等考虑，信息处理者应承担更多的风险。将满足一定条件的风险视为可赔偿的损害，是风险分配的具体实现方式。
（二）损害概念扩张的国际趋势
侵权损害概念的扩张在国际上已成趋势，作为对大数据时代挑战的回应，一些国家和地区正在司法实践中实行着这一主张，甚至已经在法律条文中明确宣示这一精神。
(三)承认风险性损害的既有实践
风险能否作为损害的讨论很早就在私法领域中存在。在医疗损害领域，不当诊疗行为往往会增加患者在未来遭受严重健康损害的风险，在现实危害发生前，风险性损害表现为在未来患病的概率，司法层面存在一些支持风险构成损害的案例。在环境侵权领域，加害行为对生态环境造成的负面影响通常不会立即显现，但生态风险一旦转化成现实的生态损害就具有不可逆性。在“云南绿孔雀案”等预防性公益诉讼案件中，法院认为被告建设行为对濒危珍稀动植物原栖息地造成了影响其生存的潜在风险，判决被告中止工程建设。在毒物侵权领域，原告多主张因接触有毒有害物质而遭受健康损害，不过在现实的损害发生之前接触这些物质只是带来了患病的风险。域外法上，部分法院支持将此种风险作为损害。
(四)风险与“确定性”矛盾之解释论调和
风险概念与损害确定性标准的冲突并非在根本上不可调和，损害的确定性不能与损害已发生画等号，满足一定条件的风险仍可能符合确定性要求。大数据时代对个人信息损害作开放性解释是可能的，也是必要的。司法实践中，开放性解释的立场正在被越来越多的法院采纳。当然，并非所有的未来风险都当然符合确定性标准，只有有据可循的“实质性风险”才可被认为满足确定性标准。
个人信息侵权案件中风险损害的认定大概可从两个大的面向展开：一是寻找利益差额；二是明确风险是否满足确定性要求的具体判断标准。
（一）寻找利益差额：风险性损害的态样
甄别损害的基本方法是对待认定损害发生前后的利益状态进行比较。
1.个人信息暴露导致的风险升高
个人信息暴露之后，信息主体遭受侵害的风险陡升。将升高后的风险与暴露前的零风险或低风险相比较，就可窥见利益差额。信息暴露带来的风险升高除体现在身份窃取和诈骗上外，还体现在人格权益方面，如基因信息泄露导致的个人隐私受损。
2.预防风险的支出
在个人信息被泄露以后，信息主体需要采取一些预防措施以抵御风险，为此花费的时间、精力、金钱及其他支出，可被视为一种特殊类型的损害。我国法院对预防性支出应当持开放立场，在未来风险满足实质性标准时支持此类损害赔偿的主张。
3.风险引发的焦虑
当信息主体因个人信息的泄露而陷入焦虑不安中时，焦虑的损害救济主要寄希望于被纳入精神损害赔偿。解释论上，个人信息风险引发的焦虑能否构成《民法典》所称的“严重精神损害”，可从两个方面加以判断。
第一，风险性焦虑能否被解释为精神损害的一个子类型。焦虑与不安要成为损害，最大的瓶颈仍在于其所赖以建立的未来风险的确定性程度。焦虑不安究竟是信息主体凭空制造的心理压力，还是有理有据的担忧，是判断精神损害是否成立的关键。
第二，焦虑型精神损害是否足够严重。对此，如苛求个人信息侵权案件中精神损害的严重性，则对于信息主体的保护构成障碍。可将“严重性”解释为损害概念中本来具有的损害救济必要性要素，而非额外限制。
（二）认定风险性损害的考量因素
1.个人信息的类型
个人信息越重要、越敏感，其被侵害后成立风险损害的可能性就越高。在数据开发利用的视角下，自然人对一般个人信息被处理有更高的容忍义务，私密信息和敏感信息则受到更高层级的特别保护。私密信息的泄露或非法处理将给自然人造成严重后果，故其损害成立的门槛理应更低。
私密信息的暴露本身即是损害。私密信息的特质就在于隐私属性，而加害行为使本来的私密状态丧失，必然使信息主体的尊严受损，其损害的确定性是明显的。我国若要承认风险性损害，可率先从敏感个人信息入手，针对一般个人信息的风险暂不认可其成立损害，借以平衡个人保护与数据利用的关系。
2.信息处理的方式和目的
信息误用是否会发生，与加害行为人获取数据的目的息息相关。在找到实际加害人并查实其获取数据的目的之前，该目的只能通过间接方式推知。
在有形财产失窃导致的信息风险中，加害行为直接针对的对象是有形的财产而非信息，偷窃者实施该行为的目的究竟是获得财产，还是窃取其中的个人信息并冒用，尚难从行为本身进行判断。此类场景下，将未来风险认定为损害的难度较大。
泛网络化时代，更多的数据泄露事件发生于无形的网络空间。典型场景是，未知的第三方通过技术手段非法侵入存有海量个人信息的数据库，瞄准的对象就是数据本身。这种情况下，通常可以对个人信息被误用的风险作出肯定性推断，进而支撑损害的认定。
3.信息误用的迹象
数据泄露发生后，随着时间的推移，个人信息误用的端倪会逐渐显现，这对损害认定有佐证意义。重大数据泄露事件中，受害者往往人数众多。如果部分受害者已遭遇身份窃取或欺诈，可表明对未来风险的担忧并非空穴来风。如果随着时间的经过没有出现泄露的信息被非法使用的迹象，对于损害的认定就起到消减作用。
侵害个人信息造成的不利后果常表现为未来遭受侵害的风险，与损害的“确定性”标准抵触。要扫清个人信息侵权的认定障碍，须对传统的损害概念及认定标准加以反思，通过解释论对其进行重新解读。损害的确定性不能被僵化地解释为已发生，个人信息风险客观上也存在符合确定性标准之可能。个人信息暴露带来的风险升高、预防风险的成本支出和风险引发的焦虑皆可成立损害，但这些风险须属于“实质性”风险。实质性认定应当在个案场景下进行，综合考量个人信息的类型、信息处理方式目的和信息误用迹象等因素进行判断。
（本文文字编辑王常阳。本文未经原文作者审核。本文为中国民商法律网“原创标识”作品。凡未在“中国民商法律网”微信公众号正式发布的文章，一律不得转载。）
