高度可能性抑或事实自证？—从趣拿、东航泄露个人隐私信息案出发

一、纠纷简要事实与三次审理结果

二〇一四年十月庞先生委托鲁先生通过北京趣拿信息技术有限公司（以下简称趣拿公司）下辖网站去哪儿网平台（http://www.qunar.com）订购了中国东方航空股份有限公司（以下简称东航）机票1张，所选机票代理商为长沙星旅票务代理公司（以下简称星旅公司）。去哪儿网订单详情页面显示该订单登记的乘机人信息为庞理鹏姓名及身份证号，联系人信息、报销信息均为鲁超先生及其尾号手机号。之后庞先生手机号收到来源不明号码发来短信称由于机械故障，其所预订航班已经取消。该号码来源不明，且未向鲁先生发送类似短信。又隔了一日，东航客服电话向庞先生手机号码发送通知短信，告知该航班时刻调整。当晚鲁先生再次拨打东航客服电话确认航班时刻，被告知该航班已取消。

鲁先生一审出庭证明其代庞先生购买本案机票并沟通后续事宜，认可购买本案机票时未留存庞先生手机号。东航称因为庞先生可能为东航常旅客，故掌握留存的庞先生手机号码。庞先生向法院主张趣拿公司和东航泄露的隐私信息包括其姓名、手机号及行程安排（包括起落时间、地点、航班信息），要求趣拿公司和东航承担连带责任。

二〇一五年北京市海淀区人民法院一审判决庞先生败诉。二〇一七年北京市第一中级人民法院二审判决庞先生胜诉。二〇一八北京市高级人民法院裁定维持二审判决。

本件纠纷中一、二审法院对上诉人遭泄露的个人信息是否属于隐私，有重头分析，因与本文重点五涉，故不做展开。本文主要讨论一、二审判决中究竟适用了什么证据规则。

二、法院是否适用了高度可能性规则

一审、二审法院都认为本案应适用过错原则作为归责原则，认识不同之处在于适用的证据规则。

一审法院在说理中指出“庞理鹏委托鲁超通过去哪儿网购买机票时未留存庞理鹏本人尾号9949手机号，本案机票的代理商星旅公司未获得庞理鹏手机号，星旅公司向东航购买机票时亦未留存庞理鹏号码，故法院无法确认趣拿公司及东航在本案机票购买过程中接触到庞理鹏手机号。即便庞理鹏此前收到过趣拿公司或东航发送的通知短信，但现无证据显示趣拿公司和东航将庞理鹏过往信息与本案机票信息关联，且趣拿公司未向庞理鹏号码发送过本案机票信息，东航在鲁超致电客服确认庞理鹏手机号前亦未向庞理鹏号码发送过本案机票信息，故法院无法确认趣拿公司和东航将庞理鹏过往留存的手机号与本案机票信息匹配，更无法推论趣拿公司和东航存在泄露上述信息的行为。”

因此一审法院认为“当事人对自己提出的主张，有责任提供证据。如果没有证据，或者提出的证据不足以证明当事人的事实主张的，由负有举证责任的当事人承担不利后果。”

二审法院则认为，从收集证据的资金、技术等成本上看，作为普通人的庞理鹏显然不具备对东航、趣拿公司内部数据信息管理是否存在漏洞以及旅游产业链上各参与主体内部数据管理情况进行举证并说服证明的能力。一审法院适用的举证证明责任分配，严重超出庞理鹏的证明能力。趣拿公司和东航可能并非能够掌握庞理鹏姓名和手机号的唯一介体，但是庞理鹏此行的航班信息以及因机械故障导致航班取消的航班状态，却无疑属于趣拿公司和东航，特别是东航能够唯一性、排他性地获取上诉人的个人隐私信息，具有极强的指向性。

二审法院进而提出“趣拿公司和东航应就自身及雇员均未实施侵犯庞理鹏隐私权的行为进行举证，因此趣拿公司和东航所提供的证据存在片面性，且趣拿公司和东航放弃了其在本诉中要求他方承担责任的权利，因此，趣拿公司和东航应承担举证不利的后果” 并认为这样论理的依据正是《最高人民法院关于适用〈中华人民共和国民事诉讼法〉的解释》第一百零八条之规定。[1] 该条并不解决谁负担举证责任的问题，法院并没有回答为什么对原告的证明要求明显低于普通侵权案件中要求原告证明被告方过失的证明要求。正因为此，在再审中，东航公司的理由就是认为二审判决仅以东航方持有涉案行程信息即当然推定其为侵权人，显属主观臆断；充斥主观论理，错误推理认定东航存在泄露信息的高度可能；并明确主张由于案件属于一般侵权纠纷，应适用过错责任原则，二审判决仅依据信息泄露的客观结果即当然认定东航具有过错，实质对东航适用了无过错原则，显属错误。

本文以为，一审法院推理过程并没有超出侵权案件的一般论理，是符合情理的，其对证据的审查判断并没有偏离普通侵权案件的常规实践。

二审法院的立场则认为：不能也不应要求庞理鹏证明东航或趣拿公司泄露了其隐私信息；而是要求东航和趣拿公司在均未证明涉案信息泄漏归因于他人时，承担没有证据时的不利证明后果。

二审法院肯定了裁判中考虑的公共政策，“在大数据时代，信息的收集和匹配成本越来越低，原来单个的、孤立的、可以公示的个人信息一旦被收集、提取和综合，就完全可以与特定的个人相匹配，从而形成某一特定个人的详细而准确的整体信息。此时，这些全方位、系统性的整体信息，就不再是单个的可以任意公示的个人信息，这些整体信息一旦被泄露扩散，任何人都将没有自己的私人空间，个人的隐私将遭受巨大威胁，人人将处于惶恐之中。因此，基于合理事由掌握上述整体信息的组织或个人应积极地、谨慎地采取有效措施防止信息泄露。任何他人未经权利人的允许，都不得扩散和不当利用能够指向特定个人的整体信息。”这显然是在用公共政策论证对信息管理人配置较高的注意义务的合理性。

二审法院的论证思路是，原告本人不太可能会有意图的泄露本人信息，第三人不太可能恰好知道所有构成泄露内容的相关信息，即同时了解到庞理鹏姓名和手机号又查询到了庞理鹏的行程信息；因此与普通的第三人相比，恰恰是趣拿公司、东航、中航信已经把上述信息掌握在手。综上，二审法院认定东航、趣拿公司存在泄露庞理鹏隐私信息的高度可能。

二审法院的结论非常可取，采取的证据规则可能是不适当的。因为，二审法院所依据的高度可能性规则并不适用于本案情形。

《民事证据规则》第七十三条第一款：双方当事人对同一事实分别举出相反的证据，但都没有足够的依据否定对方证据的，人民法院应当结合案件情况，判断一方提供证据的证明力是否明显大于另一方提供证据的证明力，并对证明力较大的证据予以确认。（高度可能性规则）[2]盖然性规则的前提是对议争点事实已举证并承担了说服负担。产生了“双方当事人对同一事实分别举出相反的证据，但都没有足够的依据否定对方证据的”情况，而本案中一审原告（二审上诉人）并没有在侵权关系中提出任何证明一审被告（二审被上诉人）有侵权行为的证据，所有的证据只是说明原告隐私受到泄露，被告掌握原告隐私、具备侵权的可能性，但没有任何证据支持、或者指向支持是由被告实施了泄露行为这样的结论，严格而言，并不符合第七十三条适用的前提，对同一事实（议争点）分别举出相反证据（原告没有举证）的前提，原告并没有把被告是否有过错带入法庭议争点上来，尚且没有走到证明有侵权行为这一步。

三、二审法院实际适用了什么证据规则

在分析这个问题前，有必要先介绍英国与美国法上的事实自证规则(res ipsa loquitur)，本文试图说明，二审法院实际适用的证据规则借鉴或者说暗合了这一制度中的部分理论主张。

（一）英国证据法中归属于“无证据时的事实证明” (proof of facts without evidence)下的“推定”与“事实自证”。

1.无基础事实的推定一般可以表现为：假如一类机械工具通常处于正常工作状态，那么当它们被使用时即被推定适合工作，没有相反证据提交时，法庭即可得出前述结论，寻求推翻这一推定的当事人承担证据上的负担。英国法上的判例中法院认定，测速仪、交通信号灯、酒精测试呼吸器、测量整体车重的地秤等都属于只要被使用即被推定为适合工作状态。此外，当事人提交由计算机生成的证据时，只需要提出证据证明计算机在相关时刻处于良好工作状态，即完成了举证。

2.过失侵权诉讼中的一般规则是原告承担法律与证据上的负担。但当不合乎常规的事情（意外）发生的真实原因只有被告方知道，原告无法证明被告对侵权事实负有过失、而原告只能做到证明有不常规的事情发生时，原告就可以求助事实自证规则。威廉姆·厄尔爵士在Scott v London & St Katherine Docks Co (1865)案中将该项证据法中的规则表述如下：事情处于被告或者被告的辅助人的控制与管理之下；假如控制与管理始终处于妥当的注意之下，根据事物发展的一般情形，造成原告损失的不合常规之事不会发生。此时若没有充分的相反证据，则必须假定：不合乎常规的事情就是由于被告的过失而造成的。英国法判例支持此原则的三种类别（变体）存在：即，作为一种事实推定；作为一种证据推定；作为一种有说服力的推定。

在作为事实推定适用时，证明存在基础事实即可推定被告存在过失，事实审法庭仅仅当不存在相反证据时可做此推定。此推定的不利方当事人就过失是否存在负担暂时性的举证负担。其法律后果是：当被告无法举证时，并不一定败诉，但对其而言存在一种明确的风险，即假如法庭在事实上作出有利于他的认定，该认定在上诉审中可以被反转。[3]

第二种变体是作为证据性推定使用，即，假定已经证明存在基础事实，那么在无相反证据时就必须推定存在过失，承受不利推定的当事人负有证据负担，即除非他能举证否则他会输，而当法庭看待所有证据时，假如存在过失的可能性与不存在过失的可能性相等时，推定的不利方当事人会赢，此时认定原告未能完成证明存在过失的法法定负担。即原告必须达到优势证据才会赢。

最后一种变体是将此规则看作是具有说服力的假定或者是强势推定，即，当没有相反证据时，必须推定存在过失，推定的不利方当事人负有证明不存在过失的法定负担，不仅他不能举证时会输而且当法庭面对所有证据后评估存在过失的可能性与不存在过失的可能性相等时，他同样也会输。此时，推定的不利方当事人要赢，只有主动地反驳存在过失的可能性，证明不存在过失的可能性达到优势可能。他提交的证据要么必须揭示不合常规的事情发生的真正原因并进而使得事实审法庭确信过失存在的可能性低于不存在的可能性，或者必须证明他已经采取了所有的合理注意措施。本文认为，二审法院实际运用的证据规则非常接近这种强势推定（后文详述）。

事实自证制度的适用条件。首先需要提供构成过失的表面（初步）证据，比如车辆从自己行使方向的道路一侧滑入相向车道撞倒了行人，这些事实本身就足以提出存在过失的初步推定，自动引发事实自证制度的适用，同时产生失控方的证明义务，使其负有必须向法庭提供就事件如何发生的可接受、可信的解释。

事实自证制度在过失侵权中的角色。通常情况下，是否存在过失的证明负担一开始是落在原告身上，但是在适用事实自证原理的场合下，当原告提供了发生意外事件的证据后，证明负担就移转到了被告身上，由被告提供为什么意外发生的原因解释。此类解释的目的是寻求证明被告并不存在过错。可以理解为，在适用事实自证制度的侵权场景下，是通过证据法上的事实自证制度实现了侵权法制度上的过错推定。

（二）美国法上对于推定与事实自证的看法，但有别于英国。

1.美国法上的推定如何产生：

（1）建立基础事实。（基础事实就是客户网站在订机票时被泄露了）

（2）建立合乎理性的关联。已经被证明成立的基础事实与被最终推定的事实之间存在“合乎理性的关联”。（信息泄露和信息接触人，个人不会无缘无故泄露自己隐私）

美国法上，当制定法创造出推定时，一般表现为已经被证明成立的基础事实与被最终推定的事实之间存在“合乎理性的关联”。Mobile, Jackson & Kansas City Railroad v. Turnipseed, 219 U.S. 35 (1910)]。在民事案件中，推定仅仅改变提交证据的负担，一般只有立法机关有权力决定这类程序规则。

关于推定的性质争议，即，推定本身是不是证据？少数派观点认为推定本身就构成证据，即假定相反证据提交时，审理事实的法院有权衡量推定与相冲突证据之间的证明力分量Mutual Life Insurance Co. v. Maddox, 128 So. 383 (Ala. 1930)。对此观点的批评主要是，这就要求陪审团承担掂量并形成法律结论的这样一项智识上不可能的任务，即便一方当事人提交的是优势证明力证据，包含驳斥推定之内容，此时告知陪审团依然必须衡量权重推论的分量，这样做就赋予了推定过度的效力。多数派理论认为：推定并不是证据。推定是事实审理者在未出现相反证据时必须形成的推论(deduction) United States v. Ahrens, 530 F.2d 781(8th Cir. 1976)。当出现相反证据时推定的效力可能有三种情形：（一）多数法院观点认为此时推定被驱除。这一派观点主张推定仅仅是对事实的初步假定，在引入的证据足以抗衡（无需取得优势程度）相反的事实认定后，就某一事实确实存在的说服负担就回到了该负担初始的位置，即适用证据规则中的普通举证规则。（本件纠纷一审法院的态度）美国多数法院采取这一观点Bongiovi v. Jamison,718 P.2d 1172 (Idaho 1986)]。（二）也有部分先例认为，推定并没有被驱除。他们的观点是，当相反证据出现时推定并没有立即消失，而是继续留在案件审理中，直到对方提出的证据其能量足以说服事实裁判者得出结论：相反证据是真实的；推定不真实。换而言之，推定的效力足以要求否定它的一方必须就不存在推定所宣称的事实提出优势证据(preponderance of evidence)；即转移了说服负担。（三）特定的部分推定被驱除而其余部分不受影响。这种观点认为，相反证据的效力取决于涉及的推定的种类：其一，当出现相反证据时，如推定的设立目的在于实施公共政策时，推定继续保留。这种认定承认，推定的成立是为了实施特定的独立公共政策。此时，仅仅出现反向证据这一事实并不是可忽视推定的充分理由。推定继续在案件中得以保留，由陪审团决定反向证据时候构成优势证据。Cal. Evid. Code §605—“presumptions affecting the burden of proof”[4] 其二，当出现相反证据时，不是出于实施公共政策目的而设立的推定会被消除。足以支持相反的事实认定的证据被提交后，不是用以实施公共政策的推定将会被驱除。陪审团判断案件时，将推定置于从未产生过的状态不予考虑（当然陪审团依然可完全自由地从事实中形成推论）[Cal. Evid. Code §604—“presumptions affecting burden of producing evidence”][5]

2.美国法上的事实自证

关于事实自证的性质。少数派观点，事实自证是可推翻的推定，即可推翻的场合仅仅限于被告提出优势证据表明并不存在过失。多数派观点的是，事实自证属于可得出的推论。其权重取决于案件的情势。Sweeney v. Erving, 228 U.S. 233 (1913)。折中观点是《加利福尼亚证据法典》将事实自证(California Evidence Code section 646)归结为“对提出证据负担具有影响的推定”，即事实自证推定的涵义是：事实自证制度意味着必须得出存在过失的推论。（本件纠纷二审法院的态度与此接近）但是，其真正的法律效果是将本由其承担的提出充分证据支持存在过失这一事实的负担，从己方移转到由对方承担证明不存在过失的负担。一旦被告方提出证据，不需要达到形成优势证据，即可驱除推定。（本件纠纷一审法院的态度与此接近）同样，陪审团因此可自由接受或者驳斥任何从建立在推定基础上的事实中形成的关于是否存在过失的推断。

如果依据这种观点，趣拿与东航只要提出了自己的信息处理经过了认证，产业链上其他市场主体也有可能接触掌握信息，即可推翻推定（事实上他们也提出了自己通过PCIDSS（支付卡产业数据安全标准）资格认证，不会泄露用户隐私）。显然，二审法院并不持有这种认识。

在Strabag Construction (Nig.) Ltd. v. Ogarekpe案[6]，法庭对事实自证原理作出了加强版的说明：事实自证的涵义是指，就特定案件的具体情势看，存在着部分可信的有合理理由支持、而非像变魔术一样凭空出现的不可靠证据，更有高度可能相信就已显露并且无争议的事实中确实存在着某些过失。事实就出现在那里无法合理解释，从对这些事实的自然而合理绝非凭空冒出的推论中可以表明已经发生的事情可以合情理地归咎于某些人做出的具有过失的行为。事实自证并不是说，因为在旅途结束时发现乘骑受了伤或者发现某人在大街上受到了伤害，仅仅因为有这一事实就隐含了存在过失，这样理解显然是荒谬的。

这条法谚是一条影响举证负担的证据法规则，当展现为因果关系的事实以及体现在被告尽的注意义务在一开始并不为原告所知或者应当为被告所知之时，依据常识实现公正。[7]进而言之，事实自证理论的法律效果是说明事态是在被告一方的管理控制之下，倘若管理者尽了合理的注意义务的话，事情按照其常规的情况发展就不会产生意外。在被告没有提供解释与说明的情况下，这一制度提供了如下合理证明，即意外的产生确是因为没有尽到注意义务。[8]再重复一遍，原告必须首先满足二个关键点的证明，然后就能依据此项制度提出事实主张。（1）原告方必须证明引起人身损害的情形或者物体处于被告的控制之下。（2）如果被告方不存在过失，那么此类意外不会在事物常规发展进程中出现。其效果相当于将证明负担从原告方转向被告方，需要被告方证明二者之一（反驳推定[9]）：要么意外事件的发生是由于与被告方的过失无关的原因引起的，要么被告已经尽了合理的注意义务。[10]

二审法院在裁判中提到“庞理鹏在一审中所提供的证据符合基本的形式及实质要件，已经形成了完整的证据链条”，本文认为，这是二审法院论理的不足之处，显然这里并没有什么证据链。庞先生只是证实了自己隐私受到泄露（受侵权）、趣拿与东航接触、控制自己隐私这些恰好足够适用事实自证制度的基础事实，庞先生证明的是泄露状态而非泄露源，因此庞先生根本没有完成证明被上诉人实施了“泄露”这一动作举证与说服负担；是二审法院通过公共政策的判断，自行适用了推定，并对趣拿与东航适用了恰好与英国法上强势推定相同的证据规则标准，从而形成被上诉人应接受不利推定，且无法证明自己没有过错，应承担举证不能带来的不利后果的结论。二审法院的结论并非不可取，但认为本案形成了完整证据链条则属于牵强。

二审法院认为“趣拿公司和东航必然掌握庞理鹏的姓名、手机号码、航班信息以及因机械故障导致航班取消的航班状态等外界无法获知的个人隐私信息。因此，庞理鹏的举证行为已经达到民事诉讼高度盖然性的证明标准。”本文认为这是对高度盖然性标准的误解，二审法院囿于当前证据法规则的限制，为了得出正确结果只能使用能寻找到的工具，从而形成牵强的论述。

关于反证（反驳推定）在本案中的效果。二审法院认为：在已经确认东航、趣拿公司存在泄露原告隐私信息的高度可能的情况下，东航和趣拿公司并未举证证明本案中原告信息泄露的确是归因于他人；也并未举证证明本案中原告信息泄露可能是因为难以预料的黑客攻击；同时也未举证证明原告信息泄露可能是其自身或鲁超所为。在这种情况下，东航、趣拿公司存在泄露原告隐私信息的高度可能很难被推翻。这实际上是适用了事实自证中的强规则，即，反驳要说明事实真相或者达到优势证据。

小结：三次审理的法院都认为本案仍然适用过错原则，并没有着力于发展不同的侵权法归责原则，而是实际上适用了事实自证规则，尽管并没有使用英美法中成熟的证据法规则与术语。法院创造之处主要在于承认了司法实践中应当解决“没有证据时的证明问题”这件事情。

[1] 该条的表述是：“对负有举证证明责任的当事人提供的证据，人民法院经审查并结合相关事实，确信待证事实的存在具有高度可能性的，应当认定该事实存在。对一方当事人为反驳负有举证证明责任的当事人所主张事实而提供的证据，人民法院经审查并结合相关事实，认为待证事实真伪不明的，应当认定该事实不存在。”[2]亦即证据的证明力需要达到明显高于50%强。应该说，高度可能性的判断标准要复杂一些，它不仅仅是指证据本身的证明力，而是指待证事实的发生概率。对于后者，不单是由证据来证明的，而是由法官对该类事实在现实社会生活中发生的可能性进行的内心判断予以佐证。[3] Greer LJ in Langham v Welling borough School Governors and Fryer (1932) 101 LJKB 513 at 518; Goddard LJ in Easson v London & North Eastern Rly Co [1944] KB 421[4]情况一，举办过婚礼的人被推定为结婚具有法律效力；情况二，未曾得到消息满五年者被推定为死亡；情况三，推定人是意图接受因自己的自主行为产生的普通后果的；情况四，推定官员按照常规履行职责。[5]情况一，推定占有即所有；情况二，推定一人向他人交付的金钱或者财产是正当流转的；情况三，推定收到的投邮信件是经过邮政的常规程序；情况四，书面生效时间是按照其记载上呈现的期日。[6] (1991)1 NWLR (Pt. 179) 733[7] Per Adefarasin Ag. C.J. in Akintola v. Guffanti & Co. Ltd. (1974) 5 CCHC 671 at 673[8] Wacc Ltd. v. Caroline Poultry Farms (2000) 2 NWLR P. 205[9] 反驳推定的程度。被告方通常会试图反驳存在过失的推论，他们会主张意外是由其不能控制的因素造成的，诸如在机动车上发生的打滑、爆胎或者潜在的未显现的瑕疵等。事实场景一Kuti v. Tugbobo(1967) 1 All NLR 311案，驾驶员被告依据大货车在湿滑的道路上滑行这一事实反驳其存在过失的推论，他向法院提出他完全没有过错因为当时他不能控制车辆。路易斯大法官在判决中指出，假定被告需要对初步成立的过失案件作出答辩，被告仅仅答辩称意外是由于打滑造成的，理由并不足够充分。他必须进一步证明打滑并不是由于他的过失造成的。事实场景二Jibowu v. Kuti (1972) 2 UILR 36案，被告车辆由于爆胎而失控撞到了相向对车道行使的原告车辆，被告认为爆胎属于意外事件，法庭依据事实自证规则认定，被告如果想要免责，就必须证明爆胎并不是由于他的过失引起的。事实场景三Aniechebe v. Onyekwe (1955) NMLR 108案，被告主张他的机动车上的U型螺栓由于潜在的未显现的质量瑕疵突然断裂，被告的主张未获成功。法庭认为，被告的主张要成立，就必须进一步证明他已经采取了所有合理的防护措施确保U型螺栓处于令人满意的状态，车辆也出于机械维护良好适合上道路的状态。[10] Moore v. Fox & Sons Ltd. (1956) 1 QB 596.