数据泄露的民事责任：如何计算集体与个人精神损害赔偿

本页为葡萄牙语原文的译文，仅供参考，内容涉及巴西法律。如有出入，以葡萄牙语版本为准。 阅读葡萄牙语原文

在适用《通用数据保护法》（Lei Geral de Proteção de Dados）的过程中，数据泄露案件中精神损害赔偿的量化已成为最具争议的问题之一：法院时而认可推定损害，时而要求受害人证明存在具体损失，立场摇摆不定。

推定损害，还是必须提供具体证据的损害

关于安全事件的司法实践，第一道裂痕就出在损害本身是否存在这个问题上。一种观点认为，个人数据只要被不当暴露，就已构成对人格权的侵害，无需证明损失即可获得赔偿。这就是推定损害说，也称为 dano in re ipsa（即损害源于侵权事实本身，无需另行举证），其理由是损害本身就来自侵权行为这一事实。

另一种观点则更为严格，并已在高级法院中占据主流。按照这一观点，姓名、电话或地址等一般登记信息的泄露，并不当然构成应予赔偿的精神损害。受害人必须证明已经出现具体后果，例如被欺诈、被冒开账户、遭遇金融诈骗，或者确实受到了心理上的伤害。

这一区别对案件结果具有决定性影响。法官若采推定损害说，只需证明数据发生泄露且数据属于原告即可。若要求证明损失，举证责任就落在被泄露信息的一方身上，而如果拿不出数据被不当使用的证据，个人的赔偿请求往往会被驳回。

在近期的裁判中，有一种折中观点正逐渐获得认可。依照这种解读，是否推定损害取决于被泄露信息的类别。一般登记信息需要证明损失；敏感数据由于更容易引发歧视和严重伤害，仅凭暴露这一事实即可认定存在侵害，信息主体无需再作额外证明。

ANPD的角色，以及行政处罚与损害赔偿的区别

人们常常把两个彼此并不直接衔接的领域混为一谈。国家数据保护局（ANPD，Autoridade Nacional de Proteção de Dados）在行政层面开展工作，监督数据处理活动，并对违反法律的处理者实施处罚。而民事赔偿则由司法机关裁判，由受损害的信息主体或具有集体诉讼资格的主体提起诉讼。

在行政层面，2018年第13.709号法律规定的处罚措施，从警告直至最高为企业营业额2%的罚款，且每项违法行为的罚款上限为5000万雷亚尔。此外还可以公开处罚情况，并对涉事数据采取封存和删除措施。这些措施旨在惩戒并遏制违法行为，但并不会把款项直接支付给受害人。

精神损害赔偿则是另一回事。它是对信息主体所受侵害的补偿，遵循民事责任的逻辑。不过，行政机关的处理结果可以成为司法程序中的重要证据，因为它认定了安全漏洞的存在以及控制者对该事件应负的责任。

正因为这两个领域各自独立，同一家企业才可能一边被主管机关罚款，一边还要应对成千上万的个人诉讼或一起集体诉讼。行政、民事乃至刑事责任可以针对同一事实同时适用，互不排斥。

需要指出的是，控制者的民事责任在很多情形下并不以过错为前提。法律要求处理数据的人采取适当的安全措施，而事件的发生本身就表明这项义务没有得到履行。处理者需要证明自己并未违反法律，或者损害完全是由第三人或受害人自己的行为造成的。

此外还可以公开处罚情况，并对涉事数据采取封存和删除措施。

法院如何确定赔偿金额

确定了赔偿义务之后，接下来的难题就是如何计算金额。精神损害赔偿的酌定没有法定的标准表，而是依据学说和判例中确立的几项参数：损害的程度、侵权人的经济能力、被泄露数据的性质，以及判决的教育警示作用。

在涉及一般登记信息的个人案件中，即使认定存在损害，赔偿金额往往也比较克制，大致在几千雷亚尔的范围内。其逻辑在于避免信息主体不当得利，防止所谓的“精神损害赔偿产业”，这在涉及低敏感度信息暴露的判决中经常被明确提及。

到了集体诉讼，情形就不同了。当事件波及数千乃至数百万信息主体时，重心就转向集体精神损害赔偿，其目的是弥补对全体受影响人群造成的扩散性侵害。计算方法会考虑责任主体的规模、安全漏洞的严重程度以及受暴露的人数。

这类案件由检察院、公设辩护署或协会通过公益民事诉讼提起，判决通常会把赔偿款划入保护扩散性权利的赔偿基金，而不是支付给每一位信息主体。这一模式接近于消费者集体保护制度中规定的“流动性赔偿”（reparação fluida，即由基金统一接收和使用赔偿款），具有预防和威慑功能。

集体赔偿的计算方法还会考虑再犯情形以及责任主体的态度。曾经发生过类似事件的企业，或者对内部发出的漏洞警示置之不理的企业，往往会面临更重的赔偿金额。其公开宣示的目标，是让制裁在经济上产生切实的压力，使加大信息安全投入比承担集体赔偿的成本更低。

加重赔偿的标准

有些因素会显著提高酌定的赔偿金额。首先是数据的性质。敏感数据包括种族或民族出身、宗教信仰、政治观点、健康数据、性生活和生物识别信息，这类数据的泄露会受到更严格的对待。这些信息一旦暴露，引发歧视和损害人格尊严的可能性更大。

第二个因素是信息主体的弱势地位。儿童和青少年的数据受到加强保护，依据的是未成年人最大利益原则。这一群体的信息被暴露，通常会加重数据处理者的责任，因为这种失误被认为更为严重，而且信息主体本人也无法自我保护。

第三个因素是不当使用的目的。当泄露的数据被用于欺诈、诈骗、身份盗用或金融骗局时，赔偿金额往往会上升，因为损失不再是假设性的，而是已经转化为具体的财产损害和心理损害。能够证明数据被用于犯罪，会增强赔偿请求的说服力，也能排除“仅是一点烦扰”的说法。

事件发生后控制者的行为同样重要。未及时通知主管机关和信息主体、试图掩盖漏洞，以及没有采取合理的安全措施，都属于加重情节。相反，保持透明并采取遏制措施，则可以在酌定赔偿金额时作为有利于处理者的因素予以考虑。

常见问题

所有数据泄露都有权获得精神损害赔偿吗？

不一定。对于一般登记信息，高级法院的倾向是要求证明具体损失，例如因信息暴露而遭遇的欺诈或诈骗。如果只有侵权行为本身，而无法证明后果，往往会被视为仅仅是一点烦扰。而敏感数据的泄露，通常会受到更严格的评价，被认定存在损害的可能性也更大。

ANPD的行政处理与提起赔偿诉讼有什么区别？

行政机关负责监督并处罚数据处理者，所采取的制裁从警告到罚款不等，但不会把款项转给受害人。精神损害赔偿由司法机关裁判，是对信息主体所受侵害的补偿。二者是相互独立的领域，行政处罚可以成为民事诉讼中的重要证据。

哪些因素会使数据泄露的赔偿金额更高？

通常有三个因素会提高金额：被暴露数据的敏感性、信息主体的弱势地位（尤其是儿童和青少年），以及数据被用于犯罪目的，例如欺诈和诈骗。控制者在事件发生后的行为也会产生影响，因为未履行通知义务以及缺乏安全措施，在酌定金额时属于加重情节。

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.