（三）违法行为与损害之间存在因果关系
因果关系是指侵害个人信息行为与个人信息损害事实之间的引起与被引起的关系。侵权行为法中的因果关系，目前仍是一个未解决的难题，理论上说法不一。归纳起来主要有两种对立学说。一种是必然因果关系说。这种学说认为，只有当行为人的行为与损害结果之间具有内在的、本质的、必然的联系时，才具有法律上的因果关系。为了正确地确定责任，应当区别原因和条件，原因是必然引起结果发生的因素，而条件仅为结果的发生提供了可能性，原因则为结果的发生提供了现实性。如果把条件当作原因就是根本不应当负民事责任的人也要负民事责任，同时，若把原因当作条件，就会使本来应该负民事责任的人逃脱了责任。
另一种是相当因果关系说。该学说认为，造成损害的所有条件都具有同等价值，由于缺乏任何一个条件损害都不会发生，因此，各种条件都是法律的原因。该学说还认为，不应要求行为与损害结果之间具有直接因果关系，只要行为人的行为对损害结果构成适当条件，行为人就应当负责。
笔者认为相当因果关系说较可取。所谓相当因果关系，是指在必要条件中，根据一般人的经验能认定条件对于发生的结果相当时，条件与结果间即存在因果关系，行为人无须为不相当之后果负责，因为不相当之后果不能够被合理地认为受人的控制，因而无法追溯至自由和自治的人的选择。如学校因在网上公布了学生的个人邮箱，学生邮箱被发送大量的垃圾邮件，学生不得不花费时间删除这些垃圾邮件，并因而导致某用手机上网的学生的手机费用激增，那么学校的行为与学生手机上网费用上涨之间即存在因果关系。
相当因果关系的作用实质上是通过限制因果关系链条的无限延伸实现对完全赔偿原则的责任范围的限制，一定程度上避免了对受害人的保护变成矫枉过正。同时，相当因果关系基于适当条件和客观可能性导致损害，而不问损害是由通常情事还是由异常情事所生，也不问行为人对损害是否预见，因此较好地平衡了行为人与受害人双方的利益。在实践中，确定个人信息行为侵权构成要件时，只需根据一般人的经验认为损害是由违法行为引起的，即可认为具备相当因果关系，可以确定责任范围。
（四）主观过错
行为人的主观过错有两种形态，即故意和过失。故意是行为人能预见行为的结果，仍然希望它发生或听任发生的心理状态。高校在管理中在明知侵害学生个人信息，却希望这种后果出现的情况很少，但有些时候学校可能会预知这种后果，而放任这种结果发生，如学校知道公布贫困助学学生名单会使学生自尊心受损，却予以公布，此种行为即为“放任”。过失包括疏忽与懈怠：行为人对自己行为的结果应当预见或者能够预见而没有预见，为疏忽；行为人对自己行为的结果虽然预见了却轻信可以避免，为懈怠。疏忽与懈怠都是过失，都是行为人对应负注意义务的违反。前者如学校收集、储存学生的个人信息并放于网上，却不设任何防火墙，导致学生个人信息被他人窃取；后者如学校在收集学生就业信息后，随处乱放，致使学生就业信息被不法分子收集、使用等。
如前所述，由于笔者主张对个人信息侵权行为适用过错推定责任归责，因此，受害人不需对行为人的过错承担举证责任。如果行为人不能够证明存在法定的抗辩事由，进而证明自己没有过错，即推定行为人有过错，应承担侵权责任。
四、高校对学生个人信息的利用
在现实生活中，不少利益都是相互矛盾和冲突的，而法律的一个主要功能就是协调与平衡各种相互矛盾的利益。大学生作为社会人，同时又作为高校人，其个人信息权要受到高校教育行政管理权、高校知情权的约束和限制。学校作为国家教育权的实施者，可以依法对学生进行学籍管理、授予学位、依法奖惩等管理，这一管理过程必然涉及对学生个人信息的收集和利用，从而导致学校管理权与学生的个人信息权利产生矛盾。因此，高校管理权与学生个人信息权之间是一种对立统一关系。一方面，权力是权利实现的基本保障。高校管理权是学生个人信息权得以实现的有效保障，其依法行使的价值在于保护大学生的根本利益。另一方面，权力或权利的行使应受到一定的制约，否则，权力有时会侵犯权利；权利有时也会被滥用。所以，个人信息权并不是“绝对”的权利，也要受到他人利益和公共利益的双重限制。此种限制，一般将其称之为“合理利用”。但高校教育行政管理权和知情权行使永远也不能以牺牲大学生的人格尊严为代价。高校行使管理权过程中，高校与学生在主体地位上并不对称，面对强大的高校公共权利，学生个人权利是渺小的，甚至被忽视。这种情况的结果就是学生个人信息权利受损，公权利扩张。因此为了防止高校公共权利的过度扩张，我们必须在高校管理与学生个人信息权利之间寻求一个平衡点，防止学生个人信息权利受到过多的限制或损害。
如前所述，大学生个人信息权是大学生的一项基本权利，与大学生的精神自由密切相关。以对大学生信息权的限制不可滥用，必须依法行使，把握分寸和界限，控制范围，必须在一定的原则框架内进行，保持二者利益平衡，笔者认为保持二者平衡应从以下两个方面予以把握。
首先，当学生的个人信息涉及学校教育管理公共利益时，学校的管理权具有优先性。从权利的本质上看，个人信息权是一项民事权利，是涉及人格尊严的人身权利。学校的管理权从其产生的过程和性质看，它不是一项民事权利，而是政府授权学校独立行使的行政权，是具有公权力性质的行政管理职权，是国家教育权的重要组成部分。“学校教育是规模性教育，为保障每个学生都能够最大限度地在教育活动中受益，必须维持良好的教学生活秩序，这种秩序维持权就是教育管理权的一个重要组成部分”。因而高校管理权是为了实现教育目的而存在，是实现教育目的不可或缺的权力。而个人信息权所体现的则完全是个人的利益，其属性是个人的，与公共利益、群体利益无关。在现实生活中，在利益相互矛盾和冲突时，法律一般采用利益衡量的方法来调和两种利益的矛盾，其结果只能是牺牲或者舍弃一个具有较少合理性的利益。因此，当学生个人信息的收集使用涉及学校管理公共利益时，牺牲学生个人信息利益则成为必然的选择，这也是我国公民权利与公共利益发生冲突时的一般处理规则。但是学校不能因为享有权利而就可以滥用权利，必须在“需要知道”的情形下，即不收集、分享、公开、利用学生的个人信息不能达到相应的教育教学及管理目的的情形下才可以收集使用学生的个人信息。“需要知道”应由以下几个方面决定：第一，个人信息只能提供给大学的高级管理人员、雇员、咨询师或者代理机构；第二，仅仅因为工作的需要而获得学生个人记录；第三，在实现大学功能的要求下，公开是必须和正确的。
其次，当学生个人信息与学校教育管理公共利益无关时，法律应特别强调保护学生的信息权利。当利益冲突时，学校管理权的优先并不意味着对学生个人信息权利的漠视，而只是一种平衡。当个人信息的收集利用与学校教育管理公共利益无关时，学生个人的信息权利作为一种人格权，应受到法律的特别保护，可以对抗学校的管理权。从权力(利)所表现的特性看，学校管理权是一种积极能动的权力，而个人信息权作为一种人身权利在一定程度上则是消极的、静态的权利，这一特性使学生信息权较易遭受学校管理权的侵犯而处于“被动挨打”的地位。因此，对于学校管理公共利益无关的个人信息的收集利用，法律应予以特别保护，防止学校侵权行为的发生，实现学生这种人身权利与学校管理权的和谐共存。
