探索建立个人信息保护公益诉讼惩罚性赔偿制度

　　党的二十大报告强调，“加强个人信息保护。”信息资源已成为驱动社会运行的基础性资源，无论是个人社交、商业发展还是政府管理，都离不开对海量个人信息的处理与利用。与此同时，针对个人信息的侵权和违法犯罪行为也日趋严重，非法获取、非法出售、非法泄露、超范围收集或使用个人信息等行为屡见不鲜。2020-2022年，全国检察机关起诉侵犯公民个人信息犯罪超2.5万人，2024年，全国公安机关共侦办侵犯公民个人信息案件7000余件。2025年，山东省消费者协会调查报告显示，超过85%的消费者遭遇过个人信息泄露，这与2018年中国消费者协会的调查结果类似。

　　个人信息保护不仅关乎公民个人的切身利益，与社会公共利益也密切相关。根据个人信息保护法第70条规定，对违法处理个人信息、侵害众多个人权益的行为，人民检察院可以提起公益诉讼。此后，全国检察机关办理的个人信息保护公益诉讼案件数量持续高位运行，2022-2024年分别办理6000余件、6383件、5061件。在个人信息保护公益诉讼案件中，补偿性侵权损害赔偿普遍不足以对被侵权人形成有效救济，与侵权行为造成的后果也不相匹配。为有效应对当前个人信息侵权和违法犯罪行为，应当探索建立个人信息保护公益诉讼惩罚性赔偿制度。

　　

　　

　　赔偿与损失不相称。按照传统民法学理论，侵权损害赔偿适用补偿原则，侵权赔偿的数额应与实际损失相当，不能超过实际的损失范围。根据民法典第1182条和个人信息保护法第69条，侵权损害赔偿责任，按照被侵权人因此受到的损失或者侵权人因此获得的利益赔偿。实践中，由于被侵权人因个人信息权益遭受侵害受到的损失往往较难确定，检察机关一般按照侵权人的获利金额主张赔偿。如最高人民检察院发布的上海市浦东新区人民检察院诉张某侵犯公民个人信息刑事附带民事公益诉讼典型案例中，张某非法侵入某公司计算机信息系统获取个人信息6万余条并出售，获利38760元，上海市浦东新区人民检察院据此认定张某应赔偿38760元。网络时代，个人信息侵权行为往往并非针对单个信息主体实施，而是以大规模、不特定的侵权行为出现。个人信息侵权行为给侵权人带来的利益可能是极少的，也可能是巨大的，不论侵权人获利多少，都可能出现侵权获利金额与侵权行为所造成的损失不相匹配的情形。如在张某、潘某侵犯公民个人信息一案中，张某、潘某违法出售个人信息300余万条，但获利仅2000余元。此时如按照侵权获利确定赔偿金额，明显与侵权行为造成的损失不符。正是基于上述考量，江苏省南京市秦淮区人民检察院最终诉请张某、潘某赔偿10万元并获法院支持。司法实践中，有时单纯的补偿性赔偿不足以对被侵权人形成有效救济。

　　公共利益保护不到位。在大规模个人信息侵权形态下，侵权行为往往会造成不特定的众多信息主体合法权益受损，并可能危及公众的社会安全感，影响整体社会秩序。众多、不特定主体的个人信息被非法收集、处理和使用，将引发公众对个人信息安全的担忧，导致公众对个人信息受保护的信赖利益受损。众多消费者的个人信息被泄露、扩散、传播，既影响个人信息价值的实现，也打破了公众对安全消费环境的预期和信赖,导致积极、安全、稳定、有序的市场秩序受到影响,对社会经济发展产生负面影响。在此情形下，主张诉讼赔偿时，应当适当考虑侵权行为对社会公共利益造成的危害和影响。如果仅仅按照补偿性赔偿规则诉请损害赔偿，无法将上述后果和社会影响涵括在内，受损的社会公共利益很可能无法得到有效恢复。

　　

　　

　　在公益诉讼中适用惩罚性赔偿具有必要性。有学者认为，惩罚性赔偿制度只能适用于私益诉讼，因而不赞成构建个人信息保护公益诉讼惩罚性赔偿制度。从我国惩罚性赔偿立法的历史发展来看，无论是消费者权益保护、知识产权保护或是生态环境保护，这些适用惩罚性赔偿的领域都与社会公共利益紧密相连，而不仅仅只涉及被侵权人的个人利益。在单个的消费者权益保护或食品安全案件背后，通过惩罚性赔偿要实现的是社会公众对消费者权益保护和食品安全的信赖利益，以及对消费者权益和食品安全的预防性保护，从而实现对社会整体利益的保护。可见，认为惩罚性赔偿制度只能适用于私益诉讼的观点过于绝对。2019年5月，中共中央、国务院发布《关于深化改革加强食品安全工作的意见》指出，食品安全关系人民群众身体健康和生命安全，关系中华民族的未来。我国食品安全形势依然复杂严峻，应当实行最严厉的处罚，要求探索建立食品安全民事公益诉讼惩罚性赔偿制度。2021年3月，最高人民检察院、最高人民法院等七部门联合印发《探索建立食品安全民事公益诉讼惩罚性赔偿制度座谈会会议纪要》，要求“通过对侵权人提起民事公益诉讼惩罚性赔偿，加大其违法成本，对侵权人及潜在违法者产生震慑与警示作用”。上述规定为公益诉讼惩罚性赔偿奠定了坚实的政策基础。近年来，在公益诉讼中适用惩罚性赔偿的案例逐渐增多，笔者检索中国裁判文书网公开的相关案件，2018-2024年分别为95个、192个、249个、327个、170个、182个、208个。在公益诉讼中主张惩罚性赔偿，有被法院驳回的情形，如在闫某销售假冒碘盐侵害消费者权益民事公益诉讼案中，山西省朔州市中级人民法院认为，山西省消费者协会在公益诉讼中主张惩罚性赔偿欠缺法律依据。但也存在法院支持相关惩罚性赔偿的案件，如李某某民事公益诉讼一案中，广东省高级人民法院二审支持检察机关的惩罚性赔偿请求。在公益诉讼中主张惩罚性赔偿已有大量成功经验，这些逐渐增多的案例，成为公益诉讼惩罚性赔偿的实践基础。总而言之，在公益诉讼中主张惩罚性赔偿是必要的。

　　在个人信息保护领域适用惩罚性赔偿具有合理性。相对于生产者和销售者，消费者作为弱势一方需要特殊保护；食品安全、产品责任影响生命健康，需要实行最严厉的处罚；知识产权事关创新发展，生态环境则关系人类未来。这些领域的侵权行为不仅仅会损害被侵权人的私人利益，更会对社会公共利益造成较大损害。在这些特定领域适用惩罚性赔偿，是应对侵权行为及其危害后果特殊性的需要。与上述情形相类似，个人信息保护的重要性不言而喻，为了应对个人信息侵权形势，有必要在个人信息保护领域适用惩罚性赔偿。从国外立法来看，欧盟《通用数据保护条例》被普遍认为是史上最严的个人数据保护法，违反该法规定，最高会面临2000万欧元或侵权企业上年度全球营业额4%的罚款。如2023年爱尔兰数据保护委员会对某公司因违反该条例开出12亿欧元的罚单。《通用数据保护条例》所规定的巨额罚款并不是直接与侵权行为造成的损失相对应的，而是带有明显的惩罚性质。除了补偿侵权造成的损失，惩罚性赔偿更主要的功能是惩罚和遏制不法行为、保护社会公共利益。在很多个人信息保护公益诉讼案件中，单纯的补偿性赔偿不足以对个人信息侵权行为人形成威慑，不足以对被侵权人形成有效救济，也不足以使受损的社会公共利益得到有效恢复。正因为如此，对个人信息侵权行为施以惩罚性赔偿具有合理性。

　　

　　

　　民法典第179条第2款规定，“法律规定惩罚性赔偿的，依照其规定。”从这个角度来说，当前不宜直接在个人信息保护公益诉讼中适用惩罚性赔偿，因为民法典、个人信息保护法等单行法，都尚未直接规定在个人信息保护侵权案件中可以适用惩罚性赔偿。但这并不意味着惩罚性赔偿在个人信息保护公益诉讼案件中无适用空间。具体来说，可以先行探索交叉领域的个人信息保护公益诉讼惩罚性赔偿，即在涉及个人信息侵权，同时也涉及消费者权益保护等明确可适用惩罚性赔偿的案件中探索适用。比如，2021年4月，最高人民检察院发布检察机关个人信息保护公益诉讼典型案例，河北省保定市人民检察院诉李某侵害消费者个人信息和权益民事公益诉讼一案，既涉及个人信息保护，也涉及消费者权益保护，针对侵权人非法获取消费者个人信息并进行消费欺诈的行为，检察机关提出惩罚性赔偿诉讼请求，保定市中级人民法院判决支持。该案具有一定代表性，说明在交叉领域先行探索个人信息保护公益诉讼惩罚性赔偿具有可行性。当前，检察公益诉讼法正在制定过程中，建议在该法中明确规定个人信息保护公益诉讼惩罚性赔偿制度，除原则性的赋权条款外，要重点规定以下四方面内容：

　　适当控制适用的案件范围。在个人信息保护公益诉讼中，并非对所有个人信息侵权行为都要施以惩罚性赔偿，惩罚性赔偿主要适用于严重侵犯公民个人信息的案件。就侵权行为的严重程度而言，应当从个人信息侵权规模、侵权后果、对社会公众造成的影响等角度予以衡量。

　　合理确定惩罚性赔偿数额。对于惩罚性赔偿的适用，《最高人民法院关于审理侵害知识产权民事案件适用惩罚性赔偿的解释》《最高人民法院关于审理生态环境侵权纠纷案件适用惩罚性赔偿的解释》已经建立了较为明确的规则，个人信息保护公益诉讼中，可以参照上述司法解释的规定，结合个人信息侵权和个人信息保护公益诉讼的自身特征，从侵权行为人的主观过错与恶意程度、侵权行为情节、侵权后果的严重程度、侵权获利情况、侵权行为造成的社会影响和对公共利益的减损等因素，合理确定惩罚性赔偿数额。

　　明确赔偿款的归属与利用。在私益诉讼中，惩罚性赔偿主要归属于提起诉讼的被侵权人。但在个人信息保护公益诉讼中，惩罚性赔偿并非归属于公益诉讼起诉人。在检察机关提起的个人信息保护公益诉讼中，检察机关并非受害的消费者或其直接利害关系人，不是接受赔偿的适格主体。但这并不代表检察机关不能主张惩罚性赔偿，在个人信息保护公益诉讼中主张惩罚性赔偿，目的之一是恢复受损的社会公共利益，因此，检察机关可以作为公共利益的代表提出惩罚性赔偿要求。实践中，一些地方将公益诉讼惩罚性赔偿款项直接缴入地方财政账户，这种做法可能较为顺畅、方便，但也存在缺陷，这样做无法确保专款专用，不利于个人信息保护公益诉讼的开展。从保障个人信息公益诉讼有效运转的角度来看，一种比较可行的方式是设立专门的个人信息保护公益基金，惩罚性赔偿归属于该基金，并专门用于个人信息公益诉讼事项。

　　与行政、刑事责任的妥善协调。对于公益诉讼惩罚性赔偿金与行政罚款、刑事罚金竞合时的处理，存在不同观点。从司法实践来看，在一些案件特别是刑事附带民事公益诉讼中，如果刑事判决中已经判处了罚金，后续在公益诉讼中判处惩罚性赔偿时，前期已经判处的罚金可以予以折抵。如闫某侵权责任纠纷案中，内蒙古自治区赤峰市中级人民法院认为，刑事责任与民事侵权责任并不冲突，性质相同的金钱罚，即行政罚款和刑事罚金竞合时，一般采用轻罚在重罚中折抵的原则处理，故对闫某被判处的4000元罚金在234000元的民事惩罚性赔偿金中予以抵扣。建立个人信息保护公益诉讼惩罚性赔偿制度，应充分吸收司法实践中的成功经验，遵循惩罚的谦抑原则，实现惩罚性赔偿责任与侵权人应当承担的行政、刑事责任的有效协调。

　　（吴强林系上海大学博士研究生，全国检察机关民事检察人才；李凤章系上海大学法学院院长、教授）

　　● 责任编辑：高瀚伟