作者：刘忠炫，四川大学法学院助理研究员，法学博士。
内容提要：个人信息侵权风险是介于上游现实损害和下游将来损害之间的一种抽象风险，第三人侵权损害具有明显的或然性。侵权风险与传统损害在内在特征、影响机制和治理逻辑等方面存在本质差异，司法实践亦对两者予以区分。风险作为损害的法律安排，会引发侵权责任的证明难题、体系冲击和利益失衡等多维度困境。个人信息侵权风险的规范定位是一种权益妨害，其创设了一种权益侵害的危险状态，同时妨碍信息主体对个人信息权益的行使。抽象风险必须具备严重性或紧迫性，权利主体才能通过人格权请求权获得救济，以回复个人信息权益的圆满状态。个人信息保护请求权的行使不以实际妨害发生为前提，可以弥补人格权请求权的救济不足，二者共同构成个人信息权益的预防性保护体系。
关键词：个人信息 侵权风险 权益妨害 人格权请求权 个人信息保护请求权
数字时代，网络风险与智能风险双重叠加，个人信息侵权问题日趋严峻。相较于其他民事权益，个人信息权益的侵权损害具有显著独特性，突出体现为个体损害微小、权益侵害类型复杂、损害的无形性以及不确定风险叠加等特征。违法处理个人信息，信息处理者除直接侵害主体的个人信息权益产生现实损害外，还可能导致未来潜在的第三人侵权风险，本文称之为“个人信息侵权风险”。典型情形是，信息处理者未采取合理措施保障信息安全导致个人信息泄露，继而可能引发电信诈骗、网络暴力等第三人不法侵害。尽管因个人信息泄露而导致的侵权风险具有潜在威胁性，但由于此种风险并未现实化且缺乏确定性，信息主体能否得到救济引发了广泛的争议。有学者提出了“风险性损害”的概念，主张将“风险”纳入侵权损害赔偿的评价范畴，为个人信息侵权风险的民法治理问题提出了有益的解决思路。然而，也有学者对此种抽象风险损害化的救济方案引发的侵权责任过度扩张和体系冲突等问题提出了担忧。尽管损害是经由法律价值评价后的产物，但风险嵌入损害是否具有必要性，是否会模糊并混淆两类具有规范差异的评价后果，是否会对既有的损害赔偿规则产生冲击，不无疑问。作为数字时代的全新问题，民法对个人信息侵权风险的回应确有必要，但治理路径的选择必须解决两个核心问题：其一，个人信息侵权风险的法律性质，即个人信息侵权风险在民法上的准确界定和规范评价；其二，规则设计的制度平衡，应当兼顾既有的私法救济体系，特别是避免权益保护、行为自由和信息流通之间的利益失衡。因此，本文旨在以体系化思维对前述问题予以规范审视，探讨个人信息侵权风险在民法上的应然定位，在民法框架内构建合理的权益救济路径。
一、风险与损害的规范差异
侵权风险与侵权损害均为侵害个人信息权益产生的负面后果，尽管侵权风险存在向侵权损害转化的可能性，但两者在规范层面存在本质区别和评价差异，无法实质兼容。
（一）个人信息侵权风险及损害化尝试
个人信息权益的侵权损害赔偿是个人信息保护的重要私法维度。然而，在司法实践中，个人信息侵权的情形较为复杂，往往伴随着多个行为主体的侵权行为和民事权益侵害问题。数个行为主体共同处理个人信息或故意实施个人信息权益侵害行为，应当承担连带责任，此时的责任承担问题并不复杂。学界所探讨的个人信息侵权风险问题，主要是在无意思联络的第三人介入个人信息侵权的背景下提出的，例如黑客非法侵入计算机系统窃取信息。
以是否存在第三人侵权行为介入为标准，个人信息侵权大致可分为“上游损害”和“下游损害”两个主要阶段。第一，上游损害阶段。当仅存在单一信息处理者时，该信息处理者对侵害个人信息权益产生的全部损害承担侵权赔偿责任。第二，下游损害阶段。当上游的信息处理者违法处理个人信息导致信息泄露时，若第三人利用此类个人信息实施电信诈骗或侵害他人人身权益，个人信息侵权则因第三人行为产生了下游损害或衍生损害。此时，根据数人侵权责任一般规则，信息处理者和第三人根据其过错、原因力、因果关系等承担相应的侵权责任。
然而，上游的信息处理者导致个人信息泄露时，并不必然引发第三人的不法侵害及下游损害，由此形成了另外一种特殊的负面权益状态，即个人信息侵权风险。个人信息侵权风险是指，因上游信息处理者违法处理个人信息导致信息主体在未来可能遭受第三人不法侵害，并由此引发某种将来损害的可能性。概言之，个人信息侵权风险并非当下的现实损害，而是一种将来发生侵权损害的概率。在此过程中，个人信息通常因上游信息处理者的过失而遭到泄露，下游第三人利用其获取的个人信息实施加害行为的不确定风险由此产生。尽管可归责于信息处理者，但个人信息侵权风险并非既已发生的现实损害，无法纳入上游损害之评价。与此同时，个人信息侵权风险仅为一种引发将来损害的可能性，亦无法归属于下游损害之范畴。
虽然个人信息侵权风险因尚未现实化而具有不确定性，但此种风险对权利主体构成潜在威胁，由此引发了民法应当如何应对个人信息侵权风险的问题。在此背景下，部分学者提出了“风险性损害”的制度方案，以强化对个人信息权益的私法救济，主要内容包括：第一，基于风险预防原则变革传统损害观念。人类已经进入风险社会且系统性风险不断累积，既有的损害观念无法有效应对具有潜伏性、未知性特征的侵害风险，应当基于现代风险预防原则，推动侵权损害向“观念化和抽象化”转变并降低对损害的确定性要求，以回应信息时代的风险治理趋势。第二，因应个人信息保护需求扩大损害救济范围。“风险社会的主要矛盾则是风险损害的缓解与分配”，应当将个人信息可能遭受不法侵害的风险视为一种独立的损害，要求信息处理者承担损害赔偿责任。第三，以类型化方式构造风险性损害的具体样态。风险性损害主要包括财产损害（预防风险的支出）与精神损害（风险引发的精神焦虑）两类。
风险性损害的提出有其现实意义，旨在解决传统损害赔偿制度如何有效回应个人信息侵权风险这一新兴数字问题，呈现出“数字风险—侵害应对”的功能主义面向，但也引发了一定的争议。论者指出，风险性损害的理论构造尚不成熟，部分样态与其核心特征存在内在矛盾。就其具体机制而言，存在以民事责任替代公共监管去规制个人信息处理风险的问题，容易导致治理对象与手段之间的错位。可见，风险性损害与既有的侵权法体系之间存在一定的张力。
（二）侵权风险与传统损害的理论界分
自罗马法以降，无损害即无赔偿，此为侵权归责的一般原理。“阿奎利亚法之诉”针对的是财产损害，要求存在实际损害结果，而“侵辱之诉”是针对身体、名誉、尊严等人格利益，虽然不要求实物损害，但要考虑侮辱行为对城邦善良风俗的破坏程度。学说上，损害通常系指“法益所受之不利益”，并以“差额说”作为损害认定的基本标准，即当前实际财产状况与若侵害事件未发生时的财产状况间的差额。为满足侵权归责之需要，损害应当是客观存在和确定的，并可以通过一定方式加以计算。
风险这一概念直到15世纪前后才较多出现，最早是指未知水域的航行，而后用以指代各种不确定情况，特别是用来评价将来可能关系中的某种危险程度，并直接推动了保险和保险法的形成。保险和经济学领域的风险通常是指损失发生的不确定程度（degree of uncertainty），主要体现于外部世界的事件进程中的不确定性。国际标准化组织（ISO）于2018年发布《风险管理指南》专项报告，其将风险定义为“不确定性对目标的影响”，这里的影响强调的是“与预期结果的偏差”，它可以是积极的、消极的，或者两者兼而有之，具有某种中立性色彩。
尽管风险与损害在法律层面均指向权益的某种负面状态，但两者之间存在本质差异。
其一，风险与损害的内在特征具有显著区别。不确定性是风险的核心特质，这是因为风险是面向事物未来维度的一种预估，在侵权责任领域通常指向损害发生的潜在概率和严重程度，尽管可以通过计算工具对风险的不确定性进行量化，但风险评估不可避免地包含主观推测和假设。值得注意的是，风险的不确定性不仅源于评估的复杂性，更为根本的原因在于风险所指涉的对象本身尚未实际发生。损害是风险的现实化，是既已发生或将来必然发生的客观事实，具有客观性、确定性和具体性，构成特定不利益状态的终局性结果。
其二，风险与损害对侵权法的影响机制存在差异。风险治理理念已经逐步嵌入现代法律体系，尤其是对侵权法的内在价值体系产生了重要影响。风险已成为现代侵权责任的重要归责事由，即“将损害因而转嫁由原因者承担之法律价值判断因素”，两大法系中危险责任和严格责任的出现，以危险控制和风险防范为主要规范目的的安全保障义务的发展，都是典型例证。损害则是侵权责任外在规则体系的直接表达，是损害赔偿责任的构成要件。社会生产和交往过程中不可避免存在各类风险，但侵权法作为损害赔偿法，赔偿必须以满足归责要件为前提，否则受害人损害自担。
其三，风险与损害对应的法律治理逻辑不同。风险侧重于事前的预防性规制，例如个人信息保护影响评估制度的核心目的就在于对个人信息处理过程中的风险进行事前评估与监测；而损害以事后救济为常态，是对既已造成的不利益状态的一种恢复与填补。风险作为损害发生的概率，其仅仅是一种预期损害（expected harm），只有当特定风险转化为实际损害时才产生损害救济问题。法经济学分析框架下，尽管侵权责任和安全监管均为控制事故风险的手段，但侵权责任本质上是私人的和间接的，损害发生后支付赔偿金的威慑机制起到决定性作用；而安全监管则具有公共性质，它们是在损害实际发生之前，或至少独立于损害发生而对行为及其风险施加的要求。
由此可见，侵权风险与损害在理论层面存在显著差异，两者的本质特征和法律定位截然不同，与之对应的法律治理逻辑和具体机制也大相径庭。风险的抽象性、或然性和不确定性决定了，法律主要是从预防角度对特定主体设定规制义务，以防止风险的现实化。在风险尚未转化为具体的损害结果前，尚不具备充分的归责基础，损害赔偿难以直接适用。将风险视为损害并进行赔偿救济，存在理论评价上的困境，不仅模糊了两者在规范层面的区分，也可能对既有的损害赔偿体系造成冲击。究其根本，法律概念承载着规范价值且具有体系效应，法律解释及其制度建构不能忽视最低限度的价值共识。就个人信息侵权而言，这一共识具体体现为侵权法理论长期以来对风险与损害的二元区分。因此，基于风险与损害的规范性质和定位差异，不应当将两者等同视之，也不应将损害赔偿机制简单套用于侵权风险的治理之中。
（三）个人信息侵权风险与损害的司法区分
基于风险与损害的规范区分，《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》）第69条明确规定，只有处理个人信息“侵害”个人信息权益造成“损害”的，才满足个人信息侵权的客观构成要件。概言之，侵害个人信息权益只是产生风险，强调的是行为的违法性，但并不必然造成损害。杭州互联网法院在“杜某诉某网络公司个人信息保护纠纷案”中明确，在个人信息权益遭受侵害时，是否造成实际损害是区分不同请求权的基本适用条件，损害赔偿请求权的行使以实际损害发生为前提。在“朱某与北京百度网讯科技公司隐私权纠纷案”中，法院认为，“公开行为”和“造成损害”是隐私和个人信息侵权的构成要件，而个性化推荐服务本身不能证明对原告造成了事实上的实质性损害。在“王某、深圳市腾讯计算机系统有限公司个人信息保护纠纷案”中，法院指出，app未经授权获取他人微信好友关系虽不符合正当性要求，但并未造成严重后果，不满足《个人信息保护法》要求的“损害”要件。
因数据泄露等引发的损害赔偿纠纷已成为各国司法实践面临的普遍问题。欧盟的《通用数据保护条例》（GDPR）第82条第1款是对数据侵权损害赔偿的一般规定，“任何人因违反本条例而遭受物质或非物质损害，均有权从控制者或处理者处获得损害赔偿”。然而，由于GDPR未对第82条所列术语的含义和范围予以明确，各成员国在理解何为“损害”时存在实质分歧。为解决欧盟层面法律适用的统一性，欧盟法院（CJEU）在2023年的“奥地利邮政公司案”中就GDPR的法律解释和适用问题作出了权威裁定，其核心要旨是，“仅仅违反该条例的规定不足以赋予受害人获得赔偿的权利。”原因在于：首先，损害是侵权赔偿的必备要件，GDPR第82条分别提及“侵害（infringement）”和“损害（damage）”两个独立概念，这表明了两者之间的事实性差异；其次，GDPR“鉴于”部分第75、85和146条中“个人数据处理可能导致……损害的风险”等规定也可以印证，不法侵害行为仅具有潜在的致害风险而不必然产生损害；最后，GDPR第八章为保护数据主体权利提供了各种补救措施，监管投诉（77条）或行政处罚（83条）等公共执法机制不以存在实际损害为前提，措辞上的差异表明了“损害”在侵权赔偿诉讼中的独特性。该判决具有里程碑式意义，这是欧盟法院首次对GDPR第82条，甚至可以说是对欧洲数据保护法律中的责任规则进行解释，该判决为违反GDPR的民事责任配置提供了初步但关键性的澄清。
美国部分隐私法学者主张，数据泄露造成的损害具有无形性、风险导向性和分散性，应当将数据泄露引发的未来伤害风险和精神焦虑作为一种可救济的损害。然而，美国联邦最高法院在近年来的一系列经典判例中奠定了“风险≠损害”的基本司法论调。根据《美国联邦宪法》第3条的规定，当事人在联邦法院提起诉讼必须具备诉讼资格（standing），核心要求是原告必须证明其遭受了“事实上的损害（injury in fact）”。在“Clapper v. Amnesty International USA”案中，联邦最高法院指出，原告主张的损害必须具体（concrete）和特定（particularized），且已经存在或迫在眉睫（actual or imminent），基于高度臆测和假设的个人通信受到监控的未来威胁和风险不构成损害。在“Spokeo， Inc. v. Robins”案中，联邦最高法院明确，具体损害必须是真实（real）发生的，无形的损害也可以是具体的，但仅仅违反《公平信用报告法》的某项程序性要求并不必然造成损害或带来实质性的损害风险。2021年“TransUnion LLC v. Ramirez”案的判决更是强调，除非证明个人信息披露的未来伤害风险已经现实化（materialized），或因暴露于风险本身而遭受独立损害（independently harmed），否则原告无法得到救济。
整体而言，从各国的典型司法实践看，法院在个人信息侵权案件的审理中，很少将风险直接认定为损害并判决损害赔偿，风险性损害这一救济方案亦缺乏实证法上的现实基础。我国法院明确要求，个人信息侵权赔偿责任建立在损害结果之上，并以此区分不同请求权的行使条件。2023年，欧盟法院首次对欧盟数据保护法上的侵权责任规则进行法律释义，其核心结论是，仅有违法行为而未造成现实损害的，当事人无权主张损害赔偿。美国联邦最高法院在近年来的一系列个人信息侵权案件中，均保持了审慎的司法态度，其严格贯彻美国宪法对当事人诉讼资格的要求，拒绝为仅面临潜在侵权风险的当事人提供损害赔偿救济。因此，将风险作为损害对待，与当前的司法审判实践难以契合，而理论构建不应脱离司法实践需求，这也导致风险性损害方案在司法层面的合理性有所欠缺。
二、风险作为损害的制度适用困境
损害与损害风险在概念上截然不同，前者是事物本身（thing itself），后者是事物发生的可能性（likelihood of that thing）。信息本质上是无形的，信息损害同样可以构成无形的实际损害。然而，基本的逻辑前提是此种损害必须现实发生且客观存在，不能仅为一种描述性的概率、可能性甚至是假设和推测。将个人信息侵权风险与侵权损害混淆，会引发系统性的法律适用困境。
（一）风险性损害带来的证明难题
风险通常只能借助特定的评估工具进行大致估测，将不同概率和程度的风险纳入可救济损害之范畴，会引发计算与证明上的操作难题。“风险的核心是对预期损害大小、发生概率的评价，通过这一概念可以形成一个对潜在威胁性质判断的连续光谱。”在个人信息处理中，风险更多是作为一种管理方法被引入的。风险管理涉及两个层面：一是根据统计概率的方法展开风险评估；二是根据风险评估的结果采取风险规制措施。风险评估虽然包含对风险的量化评价，但与作为侵权赔偿数额认定依据的损害鉴定在性质上和功能上存在本质区别。一方面，风险评估是一种事实发现工具，其目的是通过量化方法，建立概率性的因果关系，为制定管理政策提供知识基础。另一方面，风险评估受到科技知识有限、数据有限、风险随机性、风险受体或保护目标的差异性等因素影响存在偏差问题。这意味着，在规范层面，当事人很难通过具体的金钱数额对风险进行精确量化。因此，即使将风险拟制为一种损害，风险不确定性与损害确定性之间的评价矛盾依然存在，若无法解决风险认定的核心问题，反而会使损害赔偿的证明趋于复杂化。
将“风险”引入“损害”概念后，侵权责任中因果关系的认定难度也将随之增加。在事实层面，当事人首先需要就加害行为与权益侵害之间的客观联系予以举证。当前，个人信息处理具有相当程度的技术性、隐蔽性和组织化特点，随着信息处理链条日益复杂，当事人往往难以对信息泄露的具体环节及责任主体进行有效证明。在“庞某某与北京趣拿信息技术有限公司等隐私权纠纷案”中，原告购买机票后收到诈骗短信，由于存在多个信息处理环节且当事人难以确定具体的加害人，法院只能通过“存在泄露隐私信息的高度可能”等法律推定的方式，解决侵权行为人的证明问题。即使能够确定具体的泄露主体，当事人还必须证明，被泄露的个人信息与第三人实施下游侵害所使用的信息具有同一性。在规范层面，根据相当因果关系理论，当事人必须证明该信息泄露行为通常足以引发某种将来损害。但是，第三人是否实施加害行为，利用哪些信息实施侵害，实施何种不法侵害，造成何种损害结果，均具有高度不确定性。在“Beck v. McDonald”案中，原告为证明将来损害的发生概率提供了一项统计数据：在笔记本电脑失窃事件中，33%的受害者将遭遇身份盗用，且所有受害者遭遇身份盗用的风险将增加9.5倍，但法院依然以缺乏足以引发未来损害的实质性风险（substantial risk）为由驳回了原告的诉求。此外，个人信息泄露案件还需要考虑下游损害中可能出现的异常介入因素，以及信息处理者的预见能力，这都将增加当事人的举证负担。
（二）风险性损害造成的体系冲击
风险性损害理论强调将风险作为独立的损害类型予以救济，但存在规范对象混淆的问题。个人信息处理过程中不可避免地伴随着各种风险因素（risk factor），这些风险因素会引发相应的风险（risk），而风险现实化才会导致损害（harm），风险因素、风险与损害之间呈现出清晰的因果逻辑链条。一旦对这些概念进行错位评价，将不可避免地导致理论上的混乱与制度设计上的叠床架屋。
将风险视为损害还可能打破传统损害赔偿的界限并引发侵权责任的不当扩张。在当代，私法的确已不再是所谓中立（neutral）的法律，民法典同样具有“规制功能（regulatory function）”，能以显著的方式形塑社会公共政策。随着风险社会的发展，风险的预防和分配也成为现代侵权制度的重要变革方向。然而，侵权责任法以损害填补为目标的基本定位在此过程中并没有改变。损害赔偿始终被认为是侵权法的主要功能，而预防功能仅为“次要”的期待目的。赔偿的实质是损害的移转（loss shifting），其必须以实际损害的发生为前提。将风险作为损害对待，实质是对侵权责任构成中损害要件的一种剥离，是一种以违法行为为中心的侵权责任构造。长此以往，个人信息侵权责任的不确定性将不断累积，而当事人对自身行为及其后果的可预期性却不断降低，最终可能导致侵权责任的泛化与不合理扩张。
此外，侵权责任构成要件的弱化，还可能引发个人信息侵权的“诉讼洪流”，加重司法机关的审判负担。法院的主要职能在于，通过对被侵权人提供损害赔偿救济等方式，约束偏离市场规范的个别行为，而非纠正更系统性的市场失序现象。司法审判也无法替代行政监管机制和公共执法部门在风险预防方面的制度优势。更为重要的是，自民法典制定以来，经过民事理论研究与司法实践的反思与推动，我国的侵权责任制度已逐步实现向传统债法体系的理性回归。风险损害化的个人信息权益救济方案，还可能导致以损害赔偿为核心的侵权责任制度再度陷入混乱，并可能模糊损害赔偿与其它民事责任承担方式之间的界限。
（三）风险性损害引发的利益失衡
数字时代，个人信息充分体现了尊严性和资源性、个体性与社会性的交互特点，信息的共享开放也成为数字经济发展的底层驱动力。风险损害化救济方案的局限性在于容易引发不同主体间的利益冲突：一方面，风险性损害过度关注违法行为而非损害后果，并以此作为侵权责任承担的基础，会不合理加重信息处理者的法律责任与合规成本；另一方面，过高的法律负担可能引发防御性的经营行为，抑制数据资源的合理利用与流通，不利于形成包容创新的数字生态。风险性损害背后隐含着“双重责任”的悖论，即不论损害是否实际发生，信息处理者均需承担损害赔偿责任：在仅有侵权风险时，信息处理者需承担风险性损害赔偿责任；当侵权风险现实化后，信息处理者还必须就将来损害继续承担赔偿责任。此种损害赔偿的人为割裂，不仅颠覆了传统的损害填平原则与公平分配理念，更易引发自由与安全的利益失衡。现实层面，信息泄露往往涉及的受害者众多，一旦将风险确定为损害赔偿的对象，信息处理者可能完全不具备相应的赔偿能力，此种赔偿方案在实践中也将难以有效实施。
风险性损害还可能导致部门法之间的利益失衡问题。个人信息保护法属于典型的领域法，具有公私法融合的特点，单一部门法的责任机制无法单独解决个人信息保护问题。法律意义上的风险是一个评价潜在损害可能性与严重性的概念，其主要与预防观念及其制度安排相关。侵权法是典型的事后责任法，其功能重心在于补偿受害人；与此相反，在风险防范责任制度中，是以预防为主而补救为辅，因此对风险主要以规制法予以事前防范。随着私法过度介入风险规制之中，侵权责任制度的传统价值目标和功能预设恐将落空，侵权法甚至可能异化为一种单纯的“风险处罚工具”，从而挤占本应由行政法与刑法承担的管控职能。此外，我国学界多引用美国隐私法学者丹尼尔·索洛夫（Daniel J. Solove）关于扩大隐私损害范围的观点，却往往忽视了学说背后的制度因素。这类研究主要是围绕美国司法背景下个人信息救济不足的问题而展开。这是因为，除非有实际损害，美国法上不允许个人针对其信息权利侵害直接向法院寻求救济，救济的权利主要被赋予了监管机构或州检察长。我国的司法诉讼不以损害为前提，也不限制损害赔偿之外的其他民事责任类型，进而不存在必须将风险纳入损害才能获得司法救济的问题。因此，即使要对侵权风险予以预防和救济，也非必须依赖民法中的损害赔偿制度，应当充分发挥多元治理机制的协同作用，避免对民法体系造成过重的制度负担。
综上所述，将风险作为损害并予以侵权赔偿救济，与既有的损害赔偿体系不相兼容，并且会引发系统性的制度困境。风险性损害的制度初衷在于加强对受害人的权益救济，然而风险自身的不确定性，却客观上增加了当事人在损害计算、因果关系证明等方面的举证负担。此外，一旦舍弃客观损害这一实质要件，采取以风险为基础的救济模式，可能导致侵权责任的不当扩张甚至是泛化，这将加重信息处理者的合规负担，影响个人信息的流通与利用。不仅如此，侵权法过度介入风险规制之中，还会模糊私法本身的定位，并对公共监管与执法机制产生替代效应。整体上，风险性损害方案自身存在固有缺陷，其引发的制度弊端在一定程度上超过了权利主体获得救济所产生的制度收益，因此并非合理的个人信息权益救济方案。
三、作为不法妨害的个人信息侵权风险
风险与损害的区分并非仅具有概念辨析的意义，概念背后隐含着法律性质上的根本差异，这种差异决定了民法应当如何对风险进行规范评价，并配置适当的应对措施。由此，对信息主体救济的前提是，深入剖析个人信息侵权风险的制度逻辑，并明确其在民法上的基本定位。
（一）个人信息侵权风险引发的权益妨害
个人信息侵权风险并非直接产生了一种需要填补的现实损害，其实质是对个人信息权益造成了不法妨害或有妨害之虞，导致信息主体无法完整圆满地享有和行使个人信息权益。当权利人受法律保护的法益受到威胁，或者法益遭受他人的不当干涉，妨害即已产生。
一方面，个人信息侵权风险制造了一种权益侵害的危险状态。从司法实践样态看，个人信息侵权主要分为两种类型，一是单纯地侵害个人信息权益。例如，网络平台未经同意收集用户画像信息，构成对个人信息权益的侵害。二是以非法处理个人信息为手段实施其他侵权行为。典型情形是，行为人非法获取个人信息后，借此实施财产诈骗、身份盗用或侵扰私人生活安宁等不法行为。个人信息上承载了主体的各种法益，个人信息权益的特殊性在于，它与其他人格权益相互交叉重叠，例如肖像和姓名既是标表型人格权的客体，同时也构成具有可识别性的个人信息，落入个人信息权益的保护范围。此外，医疗健康、金融账户、行踪轨迹等敏感个人信息更与主体的人身、财产权益密切关联，个人信息泄露将间接威胁民事主体的人身或财产安全。个人信息的可识别性和关联性特征，使其成为链接多种民事权益的“导管”。基于个人信息与个人权利的关联关系，第三人非法处理个人信息，不仅直接侵害个人信息权益本身，还可能对其他重要民事权益造成威胁。例如，银行卡信息的泄露可能导致储蓄卡内的存款被盗刷。由此，个人信息侵权风险本质上是将民事主体的个人信息及其他相关权益置于一种潜在的侵权危险状态之中。
另一方面，个人信息侵权风险妨碍信息主体对个人信息权益的行使。在人格权的行使中，可以将权利行使类型化为商业化利用与非商业化行使两大类，前者以人格权中财产利益的支配和利用为目的，后者涉及对人格权精神利益的享有和行使。
个人信息具有“外在于主体”和“经济价值”等特征，具备商业化利用的基础。数字时代，“信息驱动型交易”逐渐产生，个人信息甚至作为一种对待给付，成为经营者追求的给付（商品）本身。个人信息泄露以及潜在的侵权行为会引发商业交易风险，从而限制信息主体对其个人信息的利用。特定个人信息可能蕴含一定的经济价值，个人信息上承载的商业流量价值会因第三人侵权而被削弱甚至被不法窃取，个人将难以有效支配其人格权上的财产性利益。此种不确定性风险也将导致交易成本上升甚至潜在交易机会的减少，并影响信息主体作出合理的市场化决策。从经济学角度看，风险的不确定性本身就是负效用（disutility）的根源。如果第三人可以任意使用某名人的信息，那么该名人特许的任何信息都是没有价值的。不仅如此，在个人信息商业化利用合同中，通常要求信息主体保证作为合同标的之个人信息无质量或权利瑕疵，第三人侵权风险还可能导致信息主体无法履行合同中约定的给付义务，进而提升主体的履约负担。
在非商业化利用场景下，个人信息作为主体参与社会交往的重要载体，发挥着人格表现的功能，个人信息侵权风险会妨碍信息主体对其个人信息流转范围、传播方式和信息形象的有效控制。美国学者艾伦·威斯汀（Alan Westin）将隐私权定义为是，“个人、团体或机构自主决定何时、如何以及在何种程度上向他人传播自己信息的权利。”个人信息的泄露导致信息主体难以通过自主性和选择性的信息披露方式实现对自我社会交往形象的有效控制，而第三人的潜在侵权行为会加剧个人对其信息化形象被他人操控和扭曲的恐慌。个体人格的建构在一定程度上依赖于他人对自己的认识，信息主体一旦无法有效控制信息的完整性、真实性和传播路径，并保持其外在信息形象和内在真实人格的一致性，他的合理社会预期就会遭受挫败，最终影响主体的人格尊严和人格自由发展。
除个体层面的权益妨害外，个人信息侵权风险还会对社会公共秩序构成威胁。数字时代，个人信息的处理目的、方式、结果均体现出显著的社会化特征，个人信息也呈现出超越私人利益秩序的公共性。正是由于个人信息处理法律关系已逐渐超越传统的私法主体间简单的平行结构，信息主体和信息处理者也仅成为整个数字化网络中的一个环节。进而，个人信息处理所具有的复杂公共性结构和制度功能，可能引发超出个体权利影响的系统化和组织化风险。从司法实践的样态看，个人信息泄露往往与大规模侵权相关，个人信息侵权风险并非局限于单一的个体权利侵害，大规模侵害个人信息引发的不确定性与不可预期性，使得社会风险日益成为更为严峻的个人信息保护问题。大规模的个人信息泄露和非法传播不仅会扰乱网络管理秩序，还会催生个人信息倒卖黑灰产业链，诱发电信网络诈骗等违法犯罪活动，这会加重行政执法成本并持续消耗公共行政资源。涉及不特定自然人的私密信息的扩散还可能引发公众对隐私泄露的普遍担忧，削弱公民的社会安全感，算法操控也可能对弱势群体形成歧视性对待，部分敏感数据的跨境流动更会危及国家安全。因此，个人信息泄露引发的侵权风险具有双重面向，既对个人信息权益的圆满状态产生了不法妨害，又基于个体风险的规模化聚集对社会秩序和公共利益造成了实质性危害。
（二）我国民法上的预防性责任承担方式
在传统民法救济体系中，损害事实的客观存在是侵权损害赔偿法律关系发生的根据，仅有违法行为而无损害结果，侵权损害赔偿责任无从产生。对于尚未现实化的侵权风险而言，损害赔偿并非合理的应对方式。
个人信息权益属于人格权，《中华人民共和国民法典》（以下简称《民法典》）第995条前句规定，“人格权受到侵害的，受害人有权依照本法和其他法律的规定请求行为人承担民事责任。”基于所依据的请求权的性质和制度功能的不同，可以将前述民事责任分为两大类：一是预防性民事责任，其以人格权请求权为基础，强调在损害尚未发生之前通过预防措施排除或防止不法妨害，以维护人格权的圆满状态；二是补偿性民事责任，其以侵权损害赔偿请求权为依据，旨在通过事后的金钱赔偿等手段填补受害人已经遭受的损害。如前分析，个人信息侵权风险实质是影响了人格权的圆满状态，而不是产生了实际损害。针对现实发生的妨害和将来可能发生的妨害，信息主体的权益救济目标是排除和预防此种妨害，而不是请求损害赔偿。原因在于，绝对权请求权的目的是消除权利僭越状态，取消权利状态和事实状态的不一致，终止他人对主体权利的不当干涉。正因如此，与个人信息侵权风险相对应的民法救济措施应当是停止侵害、排除妨碍和消除危险等以人格权请求权为基础的预防性民事责任。
人格权请求权作为一种手段性权利，主要发挥着防御和保全等服务功能，使得权利主体能够反对特定的干扰者，重新恢复人格权的相应状态。就个人信息泄露而言，相应的侵害行为已经发生，由此引发的第三人侵权风险对个人信息权益的行使和利用造成了现实妨碍，且加剧了主体的合法权益在未来进一步遭受侵害的可能性，由此产生一种权益危险状态，这都表明需要通过人格权请求权予以事前救济，以预防未来损害的发生。学者强调，绝对权妨害应当更加关注法律关系所蕴含的规范秩序，绝对权制度承载着对外在客体进行分配的功能，不法侵害行为和状态都将破坏这种权利秩序，进而构成妨害。
在网络环境下，侵害人格权的损害后果具有不可逆性和易扩散性，损害一旦发生就难以恢复原状。正因如此，法律对风险活动的规制主要以风险预防为基本原则，其主要着眼于对未来损害的规避与防免，以实现防患于未然之目的。尽管个人信息在我国《民法典》中的体系定位中属于人格利益，但这主要是为了平衡处理者和信息主体之间的利益关系，并不妨碍个人信息权益仍具有一定程度的排他性和支配性。在德国和日本等未在民法典中规定人格权请求权的国家，基于人格权的绝对权性质，司法实践也通过类推适用物权请求权的方式认可了对人格权的预防性保护，权利人可以主张妨害防止请求权与妨害排除请求权。德国学界通说认为，所有侵权法保护的绝对权利、权益或者其他法律上受保护的利益被侵害或者有被侵害之虞时被侵害人都可以行使防御请求权。英美法系由于未发展出大陆法系中的请求权理论体系，相应的禁令制度实际发挥着人格权请求权的预防作用。
从更宏观的制度层面而言，针对个人信息侵权风险的治理，人格权请求权相较于侵权损害赔偿也更具制度优势。第一，人格权请求权能有效降低维权成本从而实现诉讼激励。损害认定和举证问题是个人信息泄露案件中信息主体获得司法救济的主要障碍。人格权请求权旨在预防和保全人格权益，权利主体无需对损害结果及赔偿范围承担证明责任，其仅需证明不法行为对个人信息权益存在严重妨害即可，这将显著降低举证负担。此外，信息主体为制止侵权行为所支出的包括调查、取证、公证、诉讼等合理费用，可最终由侵权方承担，这将进一步降低当事人的诉讼成本，进而形成良性的维权激励。第二，人格权请求权能推动权益保护和信息利用之间的利益平衡。权益妨害和侵权损害是两类截然不同的法律事实状态。风险损害化的方案，初衷在于为信息主体提供更充分的救济，但存在矫枉过正和过度保护之嫌。损害赔偿旨在填补被侵权人所受损害，若损害尚未发生而获得赔偿，权利主体可能违反禁止获利原则。将侵权风险纳入损害赔偿的调整范围，更可能导致信息处理者承担与其个人信息处理活动产生的实际影响所不相称的法律负担。正因如此，在仅有妨害而无损害的情况下，人格权请求权既能有效维护信息主体个人信息权益的圆满状态，又可避免对信息处理者施加过重的法律责任，是实现利益平衡的更优路径。第三，人格权请求权能发挥私法救济与行政监管之间的协同效应。个人信息泄露产生的侵权风险不仅具有私益性，还涉及个人信息保护中的社会秩序与公共安全。针对此种风险，信息主体除了寻求司法救济外，亦可通过投诉、举报等方式推动行政监管程序的启动。公共执法机构因其职能定位无法介入私主体间的损害赔偿纠纷，但可凭借其专业优势，对涉及系统性风险的个人信息处理活动进行公法制裁和行为纠偏。此外，法院通常只能就个案的权利救济进行审查，行政机关则能借助个案监管和丰富的执法手段，对其他同类型违法行为进行防治。
四、个人信息侵权风险治理的规则体系
“个人资料（信息）的法律规范并非自始基于一个预先设计的规划，而是因应侵害形态、科技进步、保护必要性及人民的权利意识而形成，处于一种快速变动的发展过程。”根据个人信息侵权风险的类型及其所引发的权益妨害程度的不同，信息主体存在人格权请求权与个人信息保护请求权两种救济机制，二者共同构成了个人信息权益的预防性保护体系。
（一）个人信息侵权风险的类型区分
风险社会背景下，所有人必须承担一般性的交往风险，否则整个社会就可能陷入动辄则咎的“责任泥潭”。由于人格权请求权具有强大的法律效力，其不以过错和实际损害为要件，若不加限定而恣意行使，会极大地影响他人行为自由和社会秩序。学者认为，防御性请求权是在有可能发生不法损害的情况下被认定的，所以妨害必须是重大的，并且危险必须考虑其发生的盖然性。
《欧洲示范民法典草案（DCFR）》规定，“在判断赋予请求赔偿的权利或者请求防止损害的权利是否公平合理时，必须权衡的因素包括归责基础、损害或者迫近的损害的性质与实质性原因、遭受或者将会遭受损害的人的合理期待以及对公共政策的考量。”其中，“迫近的损害的性质与实质性原因”就是要求对潜在的致害因素进行性质和程度上的区分，进而判断所采取的保护措施是否与风险程度相适应。因此，即使是通过人格权请求权对个人信息权益进行预防性救济，也应当区分侵权产生的一般风险与重大风险，因为只有当个人信息侵权风险足够严重或紧迫，才能对主体的合法权益造成妨碍和威胁，一般性的侵权风险通常难以满足人格权请求权的成立条件。若要通过传统民法上的人格权请求权对个人信息侵权风险进行规制，权利人就必须证明个案中妨害的严重程度和未来损害发生的高度可能性。
在我国司法实践中，法院也对侵害行为进行了程度上的区分，不法行为只有具有较高妨碍程度和侵害可能性时，才足以认定对他人合法权益构成了妨害。法院指出，相邻关系人之间超出合理界限的摄像头安装行为，只有在有较大可能性获取他人的住宅和活动轨迹信息的情况下，才构成对隐私权和个人信息权益的现实妨害。在另一起个人信息保护案件中，被告虽非法获取原告电话号码并进行学历营销，但由于被告仅向原告拨打过一次电话，并且没有将原告的电话号码外散，法院认为该行为尚不足以构成妨害及危险。无独有偶，在前述“Clapper v. Amnesty International USA”这一经典判例中，美国联邦最高法院强调，潜在威胁仅具有客观合理性（objectively reasonable likelihood）尚不充分，未来伤害必须达到确定紧迫（certainly impending）的程度才能获得司法救济。
（二）民法人格权请求权的行使规则
法律上的风险是抽象、延迟与不确定的，为一中性概念；只有当风险相对确定且具有紧迫性时，才需要法秩序马上采取有效措施进行应对。如前分析，个人信息侵权风险作为一种对个人权益的不法妨害，其对应的传统民法治理工具应当是以事前预防为主要功能的人格权请求权，具体包括停止侵害、排除妨碍与消除危险等预防性民事责任承担方式。
在人格权的保护中，停止侵害主要针对的是持续性的侵害行为，若个人信息泄露行为尚在继续，则权利主体可要求信息处理者立即停止该行为。妨碍是权利人行使权利的障碍，尤其表现为阻碍权利人对人格权益的积极利用。不论是行为妨害抑或状态妨害均须具备违法性，且权利人对此不负有容忍义务。因此，只有当违法行为对他人的人格权行使造成了超过一般理性人的合理容忍限度的妨害时，权利人才可以主张排除妨碍请求权。就个人信息等部分人格权而言，“其主要是针对涉及人格要素的利用行为加以描述和规定的，权利人对其仅享有有限排他的地位，只有他人行为或者状态符合法律的禁止规定时，才构成人格权妨害。”在个人信息泄露的具体场景下，信息处理者虽然违反了个人信息的安全保障义务，但并非一概构成对信息权益的妨害。原因在于，一些不具有直接识别性而仅与信息主体间接关联的信息，或者类似办公电话、工作邮箱等可从其他公开渠道查询的信息，即使发生了少量泄露，也难以认定其对个人信息权益的圆满状态造成了妨害。因此，需要在个案中具体判断个人信息侵权的风险程度。
“人格权因其为绝对权，其有被侵害之虞者，亦得请求防止之。”消除危险请求权的行使前提是存在权益侵害的紧迫危险。例如，信息处理者未经同意擅自公开他人敏感个人信息，且未采取匿名化或者去标识化等措施，这将会导致承载更高人格尊严和自由价值、关涉信息主体人身与财产安全的特殊信息暴露于不特定公众之下。在此情形下，信息处理者实质性地制造了一种紧迫的危险状态，引发了极高概率的权益受侵害可能性。危险是一种未来权益侵害的威胁，在具体的证明上，应当区分“首次危险”和“重复危险”。对于首次危险，权利人应当证明该危险具有发生损害的极大可能性；对于重复危险，由于侵权人制造的危险已经造成过一次损害，且该危险可能会继续造成相同类型的损害，已经发生的损害足以推定危险的存在。
人格权请求权是绝对权请求权的一种类型，其行使的前提是侵害行为足以对人格权的圆满状态产生妨害。就个人信息泄露引发的侵权风险而言，美国法院通常考虑如下主要因素来判断其严重或紧迫性，具有一定的参考价值：（1）原告的个人信息是否因有针对性地获取该信息的行为而被泄露；（2）部分个人信息是否已被滥用，即使原告本人尚未遭受任何损害；（3）被泄露的信息是否属于敏感个人信息，从而存在较高的身份盗窃或欺诈风险。原因在于，具有明确人群目标和专门针对特定信息进行非法获取的行为，通常比无差别的个人信息泄露具有更强的主观恶性和更高的危害性，当部分个人信息已被滥用或者信息本身具有敏感性时，同样表明了信息主体可能遭受不法侵害的高度可能性。此外，在评估个人信息泄露引发的侵权风险时，还应当综合考量以下相关因素：其一，个人信息的泄露规模，即涉及的个人信息类型和数量；其二，个人信息泄露后的传播路径与扩散范围，网络公开传播往往引发的侵权风险更加紧迫；其三，信息主体的身份，未成年人等弱势群体因其风险识别和预防能力有限，面临更高的侵权损害风险；其四，信息与主体之间的关联紧密度，被泄露的个人信息若能直接识别到特定个人，则更容易引发针对该主体的不法侵害。
当个人信息侵权风险造成对个人信息权益圆满状态之妨害时，信息主体可主张人格权请求权，要求信息处理者采取如账户监管、数据追踪、漏洞修复等必要措施，以防止下游侵害的发生。具体措施应当与不法妨害的性质和程度相适应，以合理排除和防止不法妨害为必要。绝对权请求权的主要目的在于预防，其在法律效果上弱于损害赔偿请求权，因此妨害人仅仅负担排除妨害所发生的费用，而无须承担较大的结果损害，也不负担恢复到原有状态的义务。需要说明的是，若信息主体自行采取前述措施，并产生了合理的费用支出，例如调查费、服务费、律师费、诉讼费等，则该费用具有可赔偿性，构成一种积极损害。原因在于，不法妨害已经对民事权益构成了实质影响和紧迫威胁，具有引发未来权益侵害或损害的高度可能性，此时权利主体的防御行为具有权利保护的迫切性与充分必要性，这与建立在主观推测和假设基础上的预防性支出有本质区别。
尽管信息主体可直接向信息处理者主张人格权请求权，但此种权利行使本身不具备强制力。在许多情况下，权利主体仍需通过提起民事诉讼乃至强制执行的方式，才能实现人格权请求权所具有的妨害排除功能。然而，人格权请求权的行使若依赖于普通诉讼程序，不可避免存在程序繁琐、效率低下、救济滞后等局限性。面对个人信息泄露以及潜在的网络暴力、人肉搜索、电信诈骗等即时性强且扩散范围广的侵害行为，传统人格权请求权的实现方式往往难以达到将来损害的预防效果。正因如此，我国《民法典》第997条确立了实体法层面的人格权禁令制度，“民事主体有证据证明行为人正在实施或者即将实施侵害其人格权的违法行为，不及时制止将使其合法权益受到难以弥补的损害的，有权依法向人民法院申请采取责令行为人停止有关行为的措施。”人格权禁令作为一种事前预防性的人格权保护措施，其旨在通过禁令方式要求行为人为或者不为一定的行为，避免紧迫严重、不可修复和不可逆转的人格权侵害结果的发生。正因如此，人格权禁令被认为是人格权防御性的外化形式，属于人格权请求权的特殊实现方式和程序保障，为人格权提供了更为全面和高效的保护手段。
在个人信息泄露案件中，当事人可依法向人民法院申请人格权禁令，以迅速制止侵权行为、排除权利妨碍并消除潜在危险，从而有效预防未来可能发生的损害。首先，人格权禁令案件适用非诉程序进行审理，其并非旨在解决个人信息侵权的实体纠纷，而是通过法院颁发禁令的强制方式，责令信息处理者等相关主体立即停止个人信息的非法泄露和传播等行为，从而阻断个人信息的进一步扩散。其次，鉴于个人信息泄露引发的权益侵害的紧迫性，较长的审查期限既不利于当事人权益的保护，亦无法充分发挥人格权禁令的预防效果。因此，人民法院在接受申请后可以参照人身安全保护令的相关规定及时作出裁定。《中华人民共和国反家庭暴力法》第28条明确规定，“人民法院受理申请后，应当在七十二小时内作出人身安全保护令或者驳回申请；情况紧急的，应当在二十四小时内作出。”再次，在个人信息泄露案件中，信息主体在申请人格权禁令时，应当承担存在严重不法妨害和紧迫危险的证明责任；法院则应当适用优势证据规则，当申请人的合法权益将受到难以弥补的损害的可能性较大时，即可依法作出人格权禁令。最后，人格权禁令属于实体法上的独立法律救济措施，不以事后提起诉讼为必要，这也在制度层面进一步降低了信息主体的诉讼负担。
（三）个人信息保护请求权的行使规则
鉴于传统民法上人格权请求权的行使要件存在一定限制，难以充分应对个人信息侵权所引发的一般性风险，我国《民法典》在具体人格权中专门增设了其他类型的请求权。例如，第1028条规定权利人对内容失实的媒体报道享有“更正、删除权”，第1029条规定权利人对信用评价享有“查询、异议、更正、删除权”。《民法典》第1037条规定了“个人信息保护请求权”，这些请求权在《个人信息保护法》制定时被进一步拓展和细化为该法第四章中的“个人在个人信息处理活动中的权利”，包括知情、决定、查阅、复制、更正、补充、删除、解释、可携带等在内的权利集合。这些特殊类型的请求权极大地强化了具体人格权的保护需求。
个人信息保护请求权源于20世纪70年代美国的“公平信息实践”，其核心在于对个体进行信息赋权以对抗信息处理过程中产生的权益侵害风险。个人信息权益的内部构造由“本权权益”与保护“本权权益”的权利构成。在法律性质上，个人信息权利是在个人信息处理法律关系中，由立法赋予信息主体对个人信息进行合理控制并可向信息处理者主张的一种请求权，这些权利的行使依赖于信息处理者的积极作为。因此，个人信息保护请求权并非独立的实体权利，而是作为实体利益实现方式或保护方法的一种程序性权利，其实质是信息主体对个人信息处理风险进行控制的手段。
在具体机制上，个人信息保护请求权与人格权请求权具有类似的风险预防功能，但两者的体系定位和适用要件仍有显著差异。一方面，人格权请求权具有对世性，而个人信息保护请求权则具有明显的对人属性，其适用具有场景限制，权利主体仅可在非个人或者家庭事务场景下向信息处理者主张此种权利。并且，人格权请求权多适用于私法领域，个人信息保护请求权则跨越公私法域，适用范围更为广泛。另一方面，个人信息保护请求权是基于个人信息处理风险控制的需要，为个人提供的对抗个人信息处理者及其处理行为的保护性手段。个人信息处理即使未对个人权益构成妨害或造成损害，信息主体亦可依法行使前述权利。这主要考虑到，个人信息处理场景下处理者与信息主体之间的非对称权力结构和实质不平等法律地位，进而赋予信息主体“优位性权利”。因此，即便个人信息处理过程中仅产生了一般性的抽象风险，信息主体也可向信息处理者主张个人信息保护请求权。具体而言，信息主体可通过知情权和查询权的行使，了解个人信息处理过程中的风险与安全措施。当个人信息发生泄露时，信息主体有权要求信息处理者予以解释说明，了解泄露的信息种类、原因、潜在危害和采取的补救措施。此外，信息主体有权撤回其个人信息处理同意，拒绝信息处理者进一步处理其个人信息。其中，删除权作为一种典型的防御性权利，是个人信息在遭受侵害时所采取的一项重要救济措施，以维护个人信息的准确、完整和有效支配。个人信息处理者违反法律、行政法规或者违反约定处理个人信息导致个人信息泄露的，信息主体有权请求信息处理者删除其个人信息，从而退出个人信息处理中的风险状态。
在权利行使方式上，个人信息保护请求权与人格权请求权亦存在明显不同。人格权请求权既可以直接向信息处理者主张，也可以通过提起民事诉讼的方式行使，两种方式并行不悖。然而，个人信息保护请求权不能直接以诉讼方式主张，个人诉权的行使必须以信息处理者拒绝信息主体的权利请求为前提。《个人信息保护法》第50条第2款明确规定，“个人信息处理者拒绝个人行使权利的请求的，个人可以依法向人民法院提起诉讼。”这意味着，信息主体行使个人信息保护请求权，应当首先向信息处理者主张，只有当信息处理者拒绝个人行使权利的请求时，才能提起司法诉讼。前述规定实质是对信息主体行使个人信息保护请求权的民事诉权进行了必要的限制，为个人通过诉讼途径行使个人信息权利设定了前置条件。此种做法的正当性在于，建立便捷的个人行使权利的申请受理和处理机制是个人信息处理者的法定义务，信息主体直接向信息处理者主张个人信息保护请求权往往更为高效和便捷，也能最快实现个人信息处理风险控制的目的。在现实生活中，查阅、复制、更正、补充、删除等个人信息保护请求权的行使较为频繁，相关权利的行使无需满足严苛的法律要件，且行使过程中通常不会遇到实质性障碍。若一概允许当事人直接通过司法途径主张个人信息保护请求权，既会增加权利行使的时间周期与诉讼成本，还可能加重法院的案件审理负担，甚至诱发恶意诉讼及滥诉等问题。
在权利行使过程中，人格权请求权所涉及的具体预防性保护措施，可能与更正、删除等个人信息保护请求权的内容存在一定程度的交叉重叠。然而，不能简单地将个人信息保护请求权仅理解为是人格权请求权的具体化，其背后还体现了个人信息保护的规制秩序，兼具公法与私法的双重面向。整体而言，个人信息保护请求权立足于对信息处理行为本身的规制，它提供的行为干预机制无需以实际妨害的发生为前提，只需存在违法处理行为即可启动。因此，针对因个人信息泄露而引发的非严重和非紧迫的一般性风险，个人信息保护请求权可以弥补人格权请求权的救济不足。于此，个人信息保护请求权与作为传统民法救济机制的人格权请求权形成有序的制度互补，从而能有效规制个人信息侵权产生的各类风险。
结语
个人信息侵权风险对传统民法救济机制带来了数字化挑战，但制度创新需要兼顾既有的理论体系、价值共识以及多元主体间的利益平衡。将风险作为损害对待，不仅混淆了两者的法律定位，也导致法律救济手段的适配错位。既有的民法体系可以为个人信息侵权风险提供合理救济，只有实现救济措施与救济对象的精准匹配，才能保障法律的规范适用。个人信息侵权风险的本质是一种妨害而非损害，其主要对应的是人格权请求权和个人信息保护请求权等预防型救济机制。除非此类风险引发了独立的现实损害，或者转化为某种将来损害，否则无需通过损害赔偿的方式予以救济。
来源：《当代法学》2026年第4期（第98—113页）。
