（三）侵犯公民个人信息必须承担法律责任

　　《个人信息保护法》第六十九条第一款规定，个人信息处理者在处置公民个人信息的时候，只要是侵害了信息权利人“个人信息权益”且造成损害的，如果侵害人不能证明自己的行为没有过错，就“应当承担损害赔偿等侵权责任”。与之相配套的还有《个人信息保护法》第二十条第二款的规定，凡属于个人信息处理者“共同处理”他人个人信息，侵害个人信息权益且造成损害的，应当依法承担连带责任。这里需要指出的是《个人信息保护法》第二十条第二款的规定，属于《个人信息保护法》第七十条规定的“侵害众多个人的权益”的群体诉讼规范。近十多年来，我国个人信息保护法治建设取得了长足发展，《关于加强网络信息保护的决定》《消费者权益保护法》《刑法修正案（七）》《刑法修正案（九）》《电子商务法》《电信和互联网用户个人信息保护规定》等单行法律法规及部门规章，都对个人信息保护事项作出了明确的规定。“数字司法”是司法审判工作的数字化体现，随着数字案件审理的发展进程，法院可以依职权或依诉讼当事人申请进一步调查收集证据。涉及能够查明案件事实的证据，调取范围几乎涵盖个人信息在内的所有数据。最高人民法院在《民法典》颁布实施后，对“数据侵权案由”进行了及时调整，如在涉及“人格权纠纷”的案由下，增加了“个人信息保护纠纷”，进一步明晰“隐私”和“个人信息”的区分，目的就是为了方便法官更好地适用法律。因线下个人信息侵权所造成的财产损害，可以根据实际损失确定具体赔偿数额；对于线上因网络侵害个人信息所造成的财产损害，则可依据2014年6月23日最高人民法院审判委员会第1621次会议通过的“司法解释”第12条规定确定赔偿范围和损失金额。对于隐私权、名誉权、个人信息等遭受的损害，难于用财产进行衡量和评价的，可按照2020年12月23日最高人民法院审判委员会第1823次会议通过的“司法解释”第5条规定确定精神损害赔偿数额。在个人信息侵权纠纷案件审理中，“酌定损害赔偿”已成为法院裁判的主要路径和方式。传统侵权法中的“损害填平原则”与新型数字权益保护需求之间均保持一定的张力，《民法典》与《个人信息保护法》在个人信息保护上也存在着一定的竞合，法院尚未形成清晰的法律适用顺位。在缺乏具体可操作“酌定规则”的前提下，加之“酌定赔偿”尚无适配的程序规则，法官的裁判往往面临着“价值排序”与“利益平衡”的双重焦虑。伴随着个人信息侵权行为的规模化、隐蔽化，个人信息侵权损害呈现出风险性、潜在性和不确定性等特征。为保护个人信息权益、规范信息处理活动，当下和未来在实体法层面，需要在厘清个人信息权属的基础上，把“实质性风险损害”纳入法院酌定赔偿的范围；尤其要针对不同类型的个人信息和不同侵权行为，建构分类分层的动态酌定赔偿标准，使法院和审理法官在“酌定”处理时有法可依。在程序法层面，需要强化信息主体的初步证据提出义务，在降低证明标准的同时保持必要的证明责任约束，并强化法院对“酌定赔偿”的说理义务。

　　三、个人信息多重保护的法治路径

　　（一）把个人数据财产权益纳入可执行财产保护范围

　　把个人数据财产权益纳入可执行财产保护范围，是适应数字经济发展趋势需要的必然要求，但是需要在法律框架内明确其具体边界与执行方式。譬如，2022年6月公开向全国征求修改意见的《中华人民共和国民事强制执行法（草案）》，第一百条就把“网络虚拟财产”纳入可执行财产范围。“数字资产”的概念比“网络虚拟财产”更为宽泛，涵盖范围包括但不限于虚拟货币、游戏账号、数据产品等。‌随着数据经济的快速发展，个人数据经匿名化、脱敏处理后形成的“‌衍生数据产品‌”，因其具备独立的商业价值和可交易性，事实上已具备财产属性，因而理论上应当将其纳入可执行财产的范畴。新时代新阶段的数字经济，既是创新经济、更是法治经济，建设“数字中国”是构筑国家竞争新优势的有力支撑。既然国家已经为个人信息数据立法，那么，“数据权利保护期限”就必然成为一个绕不开的话题。尽管《民法典》规定的“民事权利”，从一般意义上说，它是不受时效限制的。但是如果设置过长的法定期限，对于数据的有效流通与价值的更大释放来说，也是有违“民事权利”初衷和基本原则的。因为它可能会导致原本具有公定力的“法定期限”，由于得不到市场的正反馈而丧失法的安定性。然而就“数据权利保护期限”而言，它并不是一个规范的法律术语，说到底只是一个追求的“功能主义”，而非理论上的“逻辑自洽”问题。随着数字法律规则体系愈来愈健全和完善，数字化转型是所有单位组织的必然趋势，各行各业的市场主体既是数字治理的参与方，更是数字合规治理的主体。数字“全周期管理”“全周期合规”的要求，是一切单位组织合规治理的必然选择，保护个人信息、维护个人数据安全，是一切单位组织的法律义务。为了保护数据权利人的追溯效力，用“使用频次”替代原来的“时间周期”是值得尝试的一种选择。在使用频次上设置法律意义上的保护周期，更符合新时代数据使用特性和数据流通的需求。用时间单位来衡量事物的未来价值，本身就是一件既不科学也不合理的事情。信息数据的资源价值和财产属性已被全社会所共识，从数据财产属性、市场可流通性、维护当事人权益和促进数据治理方面审视，数据财产权益能否被执行？事实上关乎当事人胜诉权利实现和司法公信力的维护。党的二十届三中全会提出要“加快建立数据产权归属认定、市场交易、权益分配、利益保护制度”，提升数据安全治理监管能力，证明数据权益是一种新型、内容具有复合型的民事权益，包含着“人格权益”和“财产权益”等。依据数据“权利束”理论和“数据二十条”中的“数据三权分置原则”，公民个人数据财产权益可以数据“合法持有”作为执行责任财产认定和权益归属的判断基准，其所具有的数据基础性权能和功能，使其具备执行查控、价值评估、处置交付等程序的适格性。个人数据财产权益执行具有法律规范上的正当性和必要性，未来应当突破传统规则的束缚，将其纳入可执行财产的保护范围。