一、问题的提出
个人信息保护法施行之后，个人信息侵权案件的数量大幅上升。被泄露的信息，可能是姓名与手机号，可能是身份证号与家庭住址，可能是行踪轨迹与消费记录，也可能是人脸、指纹、病历等敏感信息。权利人在请求停止侵害、删除信息的同时，往往一并主张精神损害赔偿。
法院对此类请求的处理，极不统一。第一种做法是驳回。理由是个人信息泄露未造成实际损害，权利人的焦虑、不安属于主观感受，不属于法律上的损害。第二种做法是酌定支持。理由是信息泄露本身即构成对人格利益的侵害，可以酌定数千元至数万元。第三种做法是高额支持。理由是敏感信息泄露可能导致诈骗、骚扰、歧视，后果严重，应当高额赔偿。
三种做法的差异，不在于事实认定的不同，而在于法律适用的分歧。分歧的根源，在于三个层面的认识不清。性质层面，个人信息权益究竟是人格权、财产权还是新型框架权，其精神损害的可赔性依据何在。要件层面，民法典第一千一百八十三条要求严重精神损害，个人信息的泄露在何种情形下达到严重，条文未设标准。裁量层面，赔偿数额的考量因素、计算方法与上下限，缺乏统一规则。
分歧的后果是明显的。对权利人而言，同样的损害得不到同样的救济，维权的预期无从建立；对信息处理者而言，赔偿的不确定性使其难以评估合规成本，守法激励不足；对司法而言，同案不同判损害了裁判的公信力。
本文的任务，即在既有规范的基础上，为这三个层面提供一套解释方案。文章先厘清个人信息权益的性质，再讨论精神损害的可赔性，继而构造严重性的判断标准，然后处理举证责任与数额裁量，最后讨论与相关责任的聚合。方法上，以教义学解释为主，辅以实践考察与比较法参照。
二、个人信息权益的性质与可赔性
个人信息权益的性质，学理上有三种学说。第一种是人格权说，认为个人信息是人格的组成部分，其保护的是人格尊严与人格自由。第二种是财产权说，认为个人信息具有经济价值，其保护的是信息主体的财产利益。第三种是框架权说，认为个人信息权益是介于人格权与财产权之间的新型权利，兼具两种属性。
本文倾向于人格权说，但须作两点限定。其一，个人信息权益不是具体人格权，而是人格权益。民法典第九百九十条第二款规定，除具体人格权外，自然人享有基于人身自由、人格尊严产生的其他人格权益。个人信息权益，正属于这一开放的类型。其二，个人信息权益兼具财产属性，但其财产属性是人格权的衍生，不改变其人格权的本质。
从权利内容上看，个人信息权益包含三项权能。第一项是知情权能，即信息主体有权知悉其信息被收集、使用、处理的情况。第二项是决定权能，即信息主体有权决定其信息是否被处理、如何处理。第三项是安全权能，即信息主体有权要求处理者采取必要措施保障信息安全。三项权能中，安全权能的违反，是精神损害赔偿最常见的起因。
从义务主体上看，个人信息处理者包括国家机关、企业事业单位、社会组织与个人。不同主体的义务标准不同：国家机关的义务最严，其处理信息须有法律、行政法规的依据；企业的义务次之，须遵循合法、正当、必要与诚信原则；个人的义务最宽，仅须遵循一般规定。义务标准的差异，直接影响过错认定的宽严。
从保护强度上看，敏感个人信息与一般个人信息的保护不同。敏感个人信息的处理，须有特定目的与充分必要性，须取得单独同意，须进行个人信息保护影响评估，须采取更严格的安全措施。违反上述义务的，过错更为明显，赔偿数额也应当相应提高。
从保护阶段上看，信息处理包括收集、存储、使用、加工、传输、提供、公开、删除八个环节。不同环节的风险不同，责任的分配也不同。收集环节的风险在于过度收集与欺骗收集；存储环节的风险在于安全措施不足导致泄露；使用环节的风险在于超出目的范围使用；提供与公开环节的风险在于未经同意向第三方提供。裁判时，应当明确侵害发生在哪个环节，据此认定过错。
人格权说的实益，在于解决可赔性依据的问题。若认为个人信息权益是人格权益，则其精神损害赔偿可以径行适用民法典第一千一百八十三条第一款，无须借助名誉权、隐私权等具体人格权。这一点，在实务中尤为重要：许多信息泄露案件，既不构成名誉权侵害，也不构成隐私权侵害，若一律要求借助具体人格权，将使权利人无从救济。
关于精神损害的可赔性，还有一种反对意见值得回应。该意见认为，个人信息侵权多为大规模、轻微化的侵害，若一概支持精神损害赔偿，将引发海量诉讼，挤占司法资源。这一担忧有其现实基础，但不足以否定可赔性。应对之道，不在于关闭救济之门，而在于设置合理的门槛与程序：以严重性要件过滤轻微侵害，以示范诉讼处理批量案件，以公益诉讼承接分散损害。
批量案件的处理，可以借鉴消费维权的经验。同一侵权行为涉及众多权利人的，可以由消费者组织或者检察机关提起公益诉讼，所得赔偿用于公益；个别权利人的损害，可以通过代表人诉讼或者示范判决处理。如此，既保障了救济，又控制了成本。
另一个反对意见认为，精神损害难以量化，赔偿数额全凭法官恣意。这一批评指出了裁量的风险，但忽视了裁量的必要性。精神损害本质上无法精确计量，任何数额都是估定。关键在于，通过要素化、量表化的方法，将恣意限制在合理的范围内。本文提出的五项要素与分级量表，正是为此而努力。
从审判管理的角度看，统一裁判尺度需要三项配套。其一，建立类案检索机制，要求法官在裁判前检索同类案件，参考既有标准。其二，建立裁判要旨提炼机制，由高级人民法院定期发布信息侵权案件的裁判要旨。其三，建立案件质量评查机制，对数额畸高畸低的案件进行重点评查。
从当事人角度看，诉讼成本也是必须考虑的因素。信息侵权案件的标的额通常不大，若诉讼成本高于赔偿数额，权利人将放弃诉讼。为此，可以适用小额诉讼程序，简化审理流程，降低诉讼费用；也可以支持律师费的转付，由败诉方承担胜诉方的合理支出。
还有一个实践问题：信息的删除与赔偿的关系。权利人主张赔偿的同时，往往请求删除信息。删除是停止侵害的措施，赔偿是填补损害的措施，两者可以并用。但若处理者已主动删除、已采取补救措施，可以作为减轻赔偿的情节予以考量。这一规则，鼓励处理者及时纠错。
道歉的适用，也须讨论。信息侵权造成人格利益损害的，权利人可以请求赔礼道歉。道歉的方式，应当与侵权的范围相当：全国性传播的，应当在全国性媒体道歉；限于特定群体的，可以在相应范围道歉。道歉的内容，须经法院审核，不得敷衍或者二次侵害。
最后，应当强调裁判的说理。信息侵权案件的判决，不能仅写酌定若干元，而应当说明考量了哪些因素、各因素的权重如何、为何得出该数额。充分的说理，既能约束法官的裁量，也能为当事人提供预期，还能为类案提供参考。
从规范依据上看，个人信息保护法第六十九条规定，处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。该条确立了过错推定责任，但未区分财产损害与精神损害。解释上，应当认为该条同时涵盖两种损害：财产损害按实际损失计算，精神损害按严重程度酌定。
从比较法上看，各国对信息侵权的精神损害赔偿态度不一。有的国家将信息侵权纳入隐私权保护，精神损害赔偿较为常见；有的国家以实际损害为限，精神损害须有明显症状；有的国家则设立法定赔偿，无须证明损害。我国的做法，介于第一种与第二种之间：以严重精神损害为要件，但可以通过推定减轻证明。
另有一种损害形态值得讨论，即信息主体因担心信息被滥用而产生的持续不安。这种不安，没有具体的症状，也难以量化，却真实存在。有的法院以无实际损害为由驳回，有的法院则将其纳入精神损害的范围。本文认为，应当纳入，但须以信息类型敏感、泄露范围广泛为前提，避免泛化。
还有一种损害形态，是因信息泄露导致的社会评价降低。例如，病历泄露导致患者被单位区别对待，消费记录泄露导致个人被贴上标签。此类损害，介于名誉权侵害与个人信息侵害之间。若社会评价降低达到名誉权侵害的程度，可以同时主张名誉权保护；未达到的，仍可作为个人信息侵害的损害后果予以考量。
损害的持续性，也须关注。信息一旦泄露，便难以收回，其影响可能持续数年。裁判时，应当考虑侵害的持续时间，对持续侵害的，可以酌定较高的赔偿；对已经停止侵害、已经删除信息的，可以酌定较低的赔偿。这一考量，体现了对损害动态性的尊重。
个人信息权益与隐私权的关系，须予厘清。两者有交叉，但不重合。隐私权保护的是私密信息与私人生活安宁，个人信息权益保护的是信息的自主决定与安全。私密信息同时受两者保护，适用隐私权的规定；非私密信息仅受个人信息权益保护，适用个人信息保护的规定。这一区分，决定了可赔性的路径。
平台泄露用户信息之后，权利人能否索赔、索赔的项目有哪些、需要准备哪些证据，实务中已有较为具体的梳理，可参见个人信息被平台泄露，可以索赔吗一文所作的归纳。该文所列的索赔路径，正是本文讨论赔偿数额的前提。
实务中，法院往往将信息侵权等同于隐私侵权，进而适用隐私权的裁判规则。这一做法，在私密信息泄露的场合尚可，在非私密信息泄露的场合则不妥。例如，姓名与手机号的泄露，不涉及私密信息，但仍可能造成骚扰、诈骗，侵害人格利益。此时，应当直接适用个人信息保护的规定，而非勉强套用隐私权。
三、严重性的判断标准
民法典第一千一百八十三条第一款规定，侵害自然人人身权益造成严重精神损害的，被侵权人有权请求精神损害赔偿。这一要件，构成了信息侵权精神损害赔偿的门槛。问题的关键是，何种程度的损害构成严重。
实务中有三种判断路径。第一种是结果路径，以是否发生实际后果为标准，例如是否遭遇诈骗、是否被骚扰、是否被歧视。有后果的，认定严重；无后果的，不予支持。第二种是情节路径，以侵权行为的情节为标准，例如信息类型是否敏感、泄露数量是否巨大、传播范围是否广泛。情节恶劣的，认定严重。第三种是混合路径，兼顾后果与情节。
本文倾向于混合路径。单纯的结果路径，对权利人过于苛刻：信息泄露的后果往往具有滞后性与不确定性，要求权利人证明实际损失，等于让其承担信息处理者的过错。单纯的情节路径，又可能使赔偿泛化：任何信息泄露都可以主张精神损害，导致责任过重。混合路径在两者之间取得平衡：以情节为基础推定严重，以后果为调整因素。
具体而言，严重性的判断，应当综合五项要素。第一项是信息类型。敏感个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹，以及不满十四周岁未成年人的信息，泄露后一经认定，通常推定严重。一般个人信息，须结合其他要素判断。
第二项是泄露范围。泄露的信息数量、涉及的人数、传播的地域，均是考量因素。数量巨大、涉及众多、跨地域传播的，推定严重。仅有少量信息、限于特定范围的，一般不认定严重，但可以通过其他要素补强。
第三项是传播后果。信息是否被公开在网络上、是否被用于诈骗或者骚扰、是否被用于精准营销、是否被用于人肉搜索，均是考量因素。已被公开传播、已造成骚扰或者诈骗的，认定严重；仅在内部流转、未对外传播的，一般不认定严重。
第四项是识别风险。信息是否足以识别特定自然人，是判断损害的基础。姓名加身份证号、姓名加住址加电话，足以识别；单独的浏览记录、单独的消费金额，不足以识别。识别风险越高，损害越重；识别风险越低，损害越轻。
第五项是持续状态。侵害是否已经停止、信息是否已经删除、影响是否已经消除，均是考量因素。持续泄露、拒不删除、影响长期存在的，认定严重；已经停止、已经删除、影响已经消除的，可以从轻。
严重性的判断，还须避免两个极端。一个极端是唯结果论，要求权利人证明实际损失，导致绝大多数案件被驳回。另一个极端是唯情节论，只要有泄露就认定严重，导致赔偿泛化。两个极端，都不符合立法的本意。立法的本意，是在保护权利与防止滥诉之间取得平衡，这一平衡，只能通过要素的综合判断实现。
实务中，法院对敏感信息的认定，往往过于狭窄。有的法院认为，只有生物识别信息才是敏感信息，病历、金融账户不属于敏感信息。这一理解，与个人信息保护法第二十八条的规定不符。该条明确列举了生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹，以及不满十四周岁未成年人的信息，均属敏感个人信息。
另有一种情形，是信息的组合。单独看，姓名、电话、住址均属一般信息；组合起来，却足以精准识别并定位特定自然人，其风险不亚于敏感信息。本文主张，应当采组合认定：若干一般信息组合后形成高度识别性的，按敏感信息对待。这一规则，符合信息风险的实际，也符合国际通行的做法。
五项要素的关系，不是并列而是递进。先看信息类型，敏感信息推定严重，一般信息继续审查；再看识别风险与泄露范围，足以识别且范围广泛的，推定严重；最后看传播后果与持续状态，作为调整因素。这一递进结构，既避免了机械适用，又保证了裁判的可预期性。
需要强调的是，严重性不等于实际损害。严重性是损害程度的评价，实际损害是损害存在的证明。权利人无须证明具体的经济损失，只须证明损害达到严重的程度。这一点，是精神损害赔偿与财产损害赔偿的根本区别，也是实务中最易混淆之处。
四、举证责任的结构与证明减轻
举证责任，是信息侵权案件的难点。信息处理者掌握技术、掌握数据、掌握流程，权利人处于明显的信息弱势。若严格适用谁主张谁举证，权利人几乎无法胜诉。为此，法律设置了双重减轻：过错推定与损害推定。
过错推定，规定于个人信息保护法第六十九条。处理个人信息侵害个人信息权益造成损害，处理者不能证明自己没有过错的，应当承担赔偿责任。这一规定，将过错的举证责任倒置给处理者。处理者须证明自己已履行告知义务、已取得同意、已采取安全措施、已及时补救，否则推定有过错。
过错推定的适用，须以损害的存在为前提。权利人仍须证明损害的发生，只是无须证明处理者的过错。这一点，实务中常被误解：有的法院认为，过错推定意味着连损害也无须证明，这是错误的。过错推定减轻的是过错的证明，不是损害的证明。
损害的证明，可以通过推定的方式减轻。本文主张，在下列情形下，可以推定严重精神损害的存在：其一，敏感个人信息被泄露，且已被公开传播；其二，信息被用于诈骗、骚扰、威胁，权利人已报案或者已收到相关记录；其三，信息被用于人肉搜索，权利人的社会评价明显降低；其四，信息被持续泄露，权利人多次要求删除而未果。四种情形，权利人的举证负担仅为证明基础事实，无须证明精神痛苦的具体程度。
推定的正当性，在于经验法则。敏感信息泄露后被公开传播，任何一个理性人都会感到不安与恐惧，这种不安无须证明。信息被用于诈骗，权利人的恐惧与焦虑是必然的，也无须证明。推定，不过是将这种经验法则制度化，避免权利人陷入证明不能的困境。
处理者的反证，也须有明确的范围。处理者可以证明：泄露并非因其过错，而是因权利人自身的原因或者第三人的犯罪行为；泄露的信息未被传播，且已及时删除；权利人未遭受实际影响。三项反证成立，可以推翻推定。但处理者仅证明已采取一般安全措施，不足以推翻推定，因为一般措施是法定义务，履行法定义务不等于无过错。
证明减轻的边界，须予把握。减轻不等于免除，权利人仍须证明基础事实：信息为其所有、处理者持有该信息、信息发生了泄露或者被滥用。三项基础事实具备，方可适用推定。若权利人连基础事实都无法证明，则不能适用推定，只能承担败诉的后果。
处理者的抗辩事由，也须类型化。第一类是合法处理，即处理者已取得同意或者有其他合法性基础。第二类是无过错，即处理者已履行法定安全义务，泄露系第三人犯罪所致。第三类是损害轻微，即泄露的信息未被传播，且已及时删除。三类事由的举证责任，均在处理者。
第三人犯罪的抗辩，须严格审查。处理者主张泄露系黑客攻击所致的，应当证明其已采取符合国家标准的安全措施，且在发现后及时补救、及时告知。仅证明已安装防火墙或者已签订安全服务合同，不足以免责。这一严格标准，旨在督促处理者持续提升安全水平。
证据的取得，是权利人的现实困难。信息处理的过程，全部在处理的系统内完成，权利人无从获取。为此，可以运用三种手段。第一，申请法院调查取证，要求处理者提供处理记录。第二，申请证据保全，防止处理者删除记录。第三，运用举证妨碍规则，处理者无正当理由拒不提供的，可以推定权利人的主张成立。
因果关系证明的减轻，也值得讨论。信息泄露与损害之间的因果关系，往往难以证明：权利人的骚扰电话，可能来自多个渠道；权利人的财产损失，可能源于其他原因。本文主张，采相当因果关系说，只须证明泄露通常可能导致该类损害，无须证明具体因果链。这一标准，符合信息侵权的特点。
五、赔偿数额的裁量
赔偿数额的裁量，是信息侵权案件中最具争议的环节。实务中，从数百元到数万元不等，差异悬殊。差异的根源，在于缺乏统一的裁量规则。本文主张，应当以抚慰与预防双重功能为指引，建立以信息类型为基础的分级量表，辅以侵权人的获利与过错程度进行调整。
抚慰功能，着眼于填补权利人的精神痛苦。精神痛苦无法精确计量，只能通过金钱的方式给予替代性的满足。抚慰的数额，应当与痛苦的程度相当：痛苦越重，数额越高；痛苦越轻，数额越低。这一功能，决定了赔偿数额的下限。
预防功能，着眼于遏制侵权行为。信息侵权往往具有规模化、产业化的特点，单个权利人的损害虽小，侵权人的获利却可能巨大。若赔偿数额过低，侵权成本低于侵权收益，侵权行为将无法遏制。这一功能，决定了赔偿数额的上限。
分级量表的构造，可以按信息类型分为三档。第一档是敏感个人信息，包括生物识别、医疗健康、金融账户、行踪轨迹、十四周岁以下未成年人信息。泄露且传播的，基准数额可以确定在五千元至二万元。第二档是一般个人信息中识别性较强者，包括姓名加身份证号、姓名加住址加电话。泄露且传播的，基准数额可以确定在一千元至五千元。第三档是识别性较弱的信息，包括单独的浏览记录、单独的消费记录。泄露的，基准数额可以确定在五百元至一千元。
基准数额的调整，须考虑四项因素。第一项是过错程度。故意泄露的，可以上浮至基准数额的二倍；重大过失的，上浮百分之五十；一般过失的，按基准数额；轻微过失的，下浮百分之五十。第二项是侵权人的获利。获利巨大的，可以按获利的一定比例确定，但不得超过基准数额的五倍。
第三项是传播范围。全国性传播的，上浮百分之五十；区域性传播的，按基准数额；限于特定群体的，下浮百分之三十。第四项是权利人的特殊情形。权利人是未成年人、残疾人、公众人物的，可以酌情调整：未成年人上浮，公众人物下浮，残疾人视情形而定。
数额裁量的方法，可以引入区间量表。将信息类型、过错程度、传播范围三个维度分别赋值，相乘得出基准数额，再按其他因素调整。这一方法，虽不能保证绝对精确，却可以提高裁判的一致性，减少同案不同判。
数额裁量还须考虑地域差异。一线城市与中小城市的经济水平不同，同样的精神痛苦，其抚慰成本不同。本文主张，可以参照上年度当地居民人均可支配收入的一定比例确定基准，避免全国一刀切带来的不适。
数额裁量还须考虑侵权人的规模。大型平台与小微企业的赔偿能力不同，同样的过错，其预防效果不同。对大型平台，可以适当提高赔偿，以实现威慑；对小微企业，可以适当降低，以避免过度惩罚导致经营困难。这一考量，体现了比例原则。
数额裁量还须考虑诉讼的经济性。权利人为维权支出的律师费、公证费、差旅费，属于合理的维权成本，应当由侵权人承担。但维权成本不应计入精神损害赔偿，而应单独列项，避免重复计算。
批量诉讼的处理，须有特别规则。同一处理者因同一事件侵害众多权利人的，可以合并审理或者示范诉讼。示范判决的赔偿标准，可以适用于其他案件，既提高效率，又保证一致。这一机制，在信息侵权领域尤为必要。
数额的上限，须有明确规则。本文主张，单个权利人的精神损害赔偿，一般不超过五万元；情节特别严重的，例如大规模泄露导致权利人自杀、被诈骗巨额财产、社会评价严重降低的，可以突破，但不超过十万元。这一上限，既考虑了我国的经济水平，也避免了赔偿的过度惩罚化。
数额的下限，也须有规则。本文主张，认定构成严重精神损害的，赔偿数额不低于五百元。这一下限，旨在避免象征性赔偿：赔偿数额过低，既不能抚慰权利人，也不能威慑侵权人，反而使诉讼失去意义。
共同侵权的情形，数额的分配须有规则。多个处理者共同造成损害的，应当承担连带责任；内部份额，按过错程度与原因力大小确定。难以确定的，平均承担。这一规则，与民法典第一千一百七十二条的规定一致。
公益诉讼的情形，赔偿的性质不同。人民检察院、法律规定的消费者组织提起公益诉讼的，请求的不是个别权利人的精神损害赔偿，而是公共利益损害的赔偿。此类赔偿，应当上缴国库或者用于个人信息保护的公益事业，不分配于个人。这一点，须在裁判中明确，避免混淆。
六、与相关责任的聚合
信息侵权往往同时构成多种责任，发生聚合。最常见的聚合，是与违约责任、与隐私权侵权责任、与不正当竞争责任的聚合。聚合的规则，直接影响权利人的救济。
与违约责任的聚合，发生在权利人与处理者之间存在合同关系的情形。例如，用户与平台签订服务协议，平台泄露用户信息，既构成违约，也构成侵权。此时，权利人可以选择行使违约请求权或者侵权请求权。选择违约的，可以主张违约金；选择侵权的，可以主张精神损害赔偿。两者各有优势，由权利人选择。
与隐私权侵权责任的聚合，发生在泄露的信息属于私密信息的情形。例如，病历、行踪轨迹的泄露，既侵害个人信息权益，也侵害隐私权。此时，权利人可以选择援引个人信息保护的规定，也可以援引隐私权的规定。两条路径的构成要件与赔偿标准不同，选择哪一条，应当以对权利人有利为原则。
与不正当竞争责任的聚合，发生在处理者是不正当竞争者的情形。例如，经营者非法获取竞争对手的客户信息，既侵害个人信息权益，也构成不正当竞争。此时，权利人可以先主张个人信息侵权，再主张不正当竞争；也可以一并主张。两项请求的赔偿范围不得重复，避免双重获利。
责任聚合时的请求顺序，也须明确。权利人先主张违约的，此后仍可以就精神损害另行主张侵权，但须扣减已获赔偿的部分。权利人先主张侵权的，不得再主张违约金，但可以主张继续履行。这一规则，旨在避免双重获利，也保障权利人的选择自由。
平台责任的认定，须区分直接侵权与间接侵权。平台自行收集、使用、泄露信息的，构成直接侵权，承担全部责任。平台上的第三方经营者泄露信息的，平台未尽到审核、管理义务的，构成间接侵权，承担相应的补充责任。补充责任的范围，以其过错程度为限。
国家机关侵权的赔偿，适用国家赔偿法。国家机关处理个人信息造成损害的，权利人可以通过国家赔偿程序主张，但国家赔偿的范围不包括精神损害抚慰金，仅在特定情形下支付精神损害抚慰金。这一限制，与民事赔偿不同，须在裁判中释明。
与刑事责任的聚合，发生在信息侵权构成犯罪的情形。侵犯公民个人信息罪，是常见的罪名。刑事责任的承担，不影响民事责任的承担；权利人可以在刑事诉讼中提起附带民事诉讼，也可以另行提起民事诉讼。但精神损害赔偿，附带民事诉讼一般不予支持，须另行起诉。
与行政处罚的聚合，发生在处理者违反行政管理规定的情形。监管部门可以罚款、责令停业、吊销许可。行政处罚与民事赔偿，性质不同，可以并行。但罚款的数额，可以作为民事赔偿裁量的参考：罚款较重，说明情节严重，赔偿可以相应提高。
七、裁判规则与立法完善
综合上述分析，可以提炼出若干裁判规则，供实务参考。
规则一，个人信息权益属于人格权益，其精神损害赔偿可以径行适用民法典第一千一百八十三条第一款，无须借助名誉权、隐私权等具体人格权。
规则二，严重性的判断，应当综合信息类型、泄露范围、传播后果、识别风险与持续状态五项要素。敏感个人信息泄露且传播的，推定严重；一般个人信息，须结合其他要素判断。
规则三，过错与损害的证明，应当双重减轻。处理者须证明自己无过错；权利人在特定情形下，只须证明基础事实，无须证明精神痛苦的具体程度。
规则四，赔偿数额的裁量，应当以信息类型为基础确定基准数额，再按过错程度、获利情况、传播范围与权利人特殊情形调整。单个权利人的赔偿，一般不超过五万元；情节特别严重的，不超过十万元。
规则五，违约责任与侵权责任聚合的，由权利人选择；选择侵权的，可以主张精神损害赔偿；选择违约的，不得主张精神损害赔偿，但可以主张违约金。
比较法上，欧盟的做法值得关注。其一般数据保护条例规定，信息主体有权就非物质损害获得赔偿，且赔偿须有效、相称、具有威慑力。各成员国的实践，从数百欧元到数万欧元不等，差异较大。这一经验表明，即便在法制成熟地区，数额的统一仍是难题。
我国台湾地区的做法，则以法定赔偿为主。其个人资料保护法规定，损害赔偿以实际损害为限，但被害人不易证明损害数额时，可以请求法院依侵害情节酌定，每人每事件为五百元以上二万元以下。这一立法例，为大陆提供了参考：在损害难以证明时，以法定赔偿替代实际赔偿。
从经济分析的角度看，赔偿数额的高低，影响信息的保护水平与产业的发展速度。数额过低，保护不足，信息泄露频发；数额过高，企业负担过重，数字产业受阻。合理的数额，应当使侵权的社会成本内部化，即让侵权人承担其行为给社会带来的全部成本。这一标准，为数额裁量提供了经济学的基础。
从立法论上看，现行规定尚有三处可以完善。其一，在个人信息保护法中明确精神损害赔偿的适用规则，包括严重性的判断要素与数额的裁量因素。其二，建立法定赔偿制度，在损害难以证明时，由法院在法定幅度内酌定。其三，明确公益诉讼中赔偿金的使用规则，避免赔偿金闲置或者挪用。
制度配套方面，须建立三项机制。第一项是案例指导机制，由最高人民法院发布典型案例，统一裁判尺度。第二项是评估机制，建立信息类型的分级目录，为数额裁量提供依据。第三项是执行机制，确保判决的赔偿得到实际履行，避免胜诉而不能获赔。
实务中，还有一个细节常被忽略：判决的执行。信息侵权案件的被告多为大型平台，具有较强的履行能力，但有的被告通过注销、转移资产等方式逃避执行。为此，可以在判决中同时判令停止侵害、删除信息、赔礼道歉，并明确不履行的后果，以提高执行的实效。
判决的公开，也具有预防功能。信息侵权案件的判决，可以依法公开，使公众知悉侵权行为的后果，形成社会监督。但公开时应当隐去权利人的身份信息，避免二次伤害。这一平衡，须在裁判中把握。
最后须强调，精神损害赔偿只是救济手段之一，不能替代事前保护。真正的信息保护，依赖于处理者的合规经营、监管部门的有效执法与信息主体的权利意识。司法裁判，是最后一道防线，而非唯一防线。
从更宏观的视角看，信息侵权精神损害赔偿的难点，折射出数字时代人格权保护的深层困境：损害无形，因果模糊，数额难定。传统的侵权法工具，在面对大规模、分散化的信息侵权时，显得力不从心。解决之道，既需要教义学的精细化，也需要制度设计的创新。
八、结语
个人信息是数字时代的身份凭证，也是人格的延伸。信息被泄露、被滥用，损害的不是钱包，而是安全感与尊严。精神损害赔偿，正是对这种无形损害的法律回应。
本文的基本主张是：个人信息权益在性质上属于人格权益，其精神损害的可赔性无须借助其他人格权；严重性的判断应当综合五项要素，并采较低的证明标准；赔偿数额的裁量应当以抚慰与预防双重功能为指引，建立分级量表；举证上应当采过错推定与损害推定的双重减轻。这些主张，未必成熟，但至少提供了一个可以讨论的框架。
一个手机号，一段行踪，一份病历，看似微不足道，却是人之为人的边界。规则的清明，裁量的克制，救济的可及，三者兼备，个人信息保护才不致停留在纸面。