1. 问题的提出
在互联网新技术不断更迭出新的社会运作过程中，公民个人信息获取、传输、传播极为便捷，与此同时，随意收集、非法获取、过度使用和非法买卖个人信息等行为也愈加猖獗，严重威胁着公民合法权益、社会公共利益。面对此现实景观，在党的二十大报告中，专门强调要把“加强个人信息保护”作为提高公共安全治理水平的重要内容进行部署，并“完善公益诉讼制度”。
为破个人信息获取、储存和利用的环节众多，高技术手段使得侵权隐秘、处理迅速、极易删改，个人存在举证能力有限、维权成本高等困境，2021年出台的《中华人民共和国个人信息保护法》(下称《个保法》)第70条所确立的个人信息保护公益诉讼制度对此能够有效应对[1]。然则《个保法》第70条仅对相关公益诉讼的起诉条件、起诉主体作有规定，其条款本身较为疏略，且相关司法解释暂付阙如，故于司法实践中，个人信息保护民事公益诉讼制度仍较为含混，未能完全发挥出其欲达致的预防、救济与威慑功能。
笔者通过在中国裁判文书网、北大法宝上对个人信息保护民事公益诉讼的相关案例进行检索，以《个保法》第69条、第70条及《民法典》第1182条为裁判依据进行查寻，排除相同案件与行政公益诉讼案件，梳理出15例个人信息保护民事公益诉讼案件(见表1)。进而窥见法院针对个人信息保护民事公益诉讼损害赔偿请求权的司法裁判立场并未达成共识，下文将探讨损害赔偿责任是否适用于该民事公益诉讼中以及具体可适用何类型。
2. 个人信息保护民事公益诉讼案例塑造
对于类案，多数公诉机关请求了损害赔偿，然而在有非法获利的前提下，有公诉机关却未提起；对于损害赔偿的金额认定，各公诉机关做法亦有迥别，以被告非法获利金额为基准，大致分为三种情形：多于(3倍惩罚性赔偿金)、些小及等同；对于损害赔偿款分配与使用的具体处理可谓大相径庭。要而言之，在司法场域中尚存于类案中公诉人的损害赔偿请求类别不一、损害认定范围不详明、侵权人所缴纳的损害赔偿金去向不明确等一系列争拗情形。
究极出现上述争议情况的缘由，乃是对个人信息保护民事公益诉讼中损害赔偿请求权的具体适用存有疑虑，即损害赔偿请求权是否能适用于个人是信息保护民事公益诉讼中？具体适用时，“损害”应如何界定与裁度？被告缴纳损害赔偿款项尔后，赔偿款应去向何处才能发挥其最大效用？基于上述问题，本文拟明确法定诉权部门可以提出哪些损害赔偿请求权、损害如何认定与计算，以及解决赔偿金的使用、分配，以期为相关理论研究提供些许思路并推动个人信息保护民事公益诉讼制度更好地实现其价值意义。
Table 1. Combing of cases of civil public interest litigation on personal information protection
表1. 个人信息保护民事公益诉讼案件梳理1
案件名称 |
违法行为 |
诉讼请求 (与损害赔偿相关) |
赔偿款去向 |
广东省深圳市宝安区人民检察院诉付某等8人侵犯公民个人信息刑事附带民事公益诉讼案 |
非法获取、买卖公民个人信息，并非法获利人民240183.08元。 |
判令付某等8人支付其侵犯公民个人信息赔偿金240183.08元。 |
N |
三门峡市人民检察院诉朱某等六人侵犯公民个人信息保护民事公益诉讼案 |
非法获取、买卖公民个人信息，并非法获利。 |
无(请求法院判令侯某等六人在省级以上媒体公开赔礼道歉并承诺不再从事侵犯公民个人信息等违法行为) |
N |
常州市人民检察院诉田某侵犯公民个人信息保护民事公益诉讼案 |
非法获取、买卖公民个人信息，并非法获利人民币9000余元。 |
判令田某承担赔偿责任人民币9000余元。 |
常州市网信办开设的专项资金账户 |
安义县人民检察院诉郭某等5人侵犯公民个人信息刑事附带民事公益诉讼案 |
非法获取、买卖、提供公民个人信息，并非法获取人民币91490元。 |
判令郭某等5人、支付赔偿费人民币93490元。 |
N |
东莞市人民检察院诉赵某侵犯公民个人信息民事公益诉讼案 |
非法获取、售卖公民个人信息，并非法获取人民币100000元。 |
判令被告赵某承担侵犯公民个人信息及公共利益损害赔偿款人民币30000元。 |
N |
盘锦市人民检察院诉张某侵犯公民个人信息保护民事公益诉讼案 |
非法获取、提供公民个人信息(与他人相互交换) |
判令被告张某支付其侵犯公民个人信息的赔偿金人民币4000元。 |
N |
井研县人民检察院诉曾某、王某侵犯公民个人信息刑事附带民事公益诉讼案件 |
非法获取公民个人信息，接收他人返利，一个手机号码获利3至9元不等，共计获利13005.30元。 |
判令被告按照非法获利金额承担民事赔偿责任。 |
上缴国库 |
保定市人民检察院诉李某侵犯公民个人信息保护民事公益诉讼案 |
非法获取消费者信息，诱骗消费者购买纪念册、纪念币等商品，获利共计人民币55.4605万元。 |
判令被告李某支付三倍惩罚性赔偿金共计人民币166.3815万元。 |
N |
献县人民检察院诉张某侵犯公民个人信息保护民事公益诉讼案 |
非法买卖、提供公民个人信息，并非法获利人民币3646元。 |
判令被告承担3646元人民币的民事赔偿责任。 |
献县人民检察院指定专户 |
辽源市人民检察院诉范某某、李某某侵犯公民个人信息保护民事公益诉讼案 |
非法获取、买卖、提供公民个人信息，并非法获利13974.33元人民币。 |
判令被告范某某、李某某对非法贩卖公民个人信息所造成的损害，赔偿损失人民币13974.33元。 |
上缴国库 |
杭州市下城区人民检察院诉孙某侵犯公民个人信息保护民事公益诉讼案 |
非法获取、买卖公民个人信息，并非法获利以34000元人民币。 |
判令孙某承担34000元人民币的民事赔偿责任。 |
专门用于信息安全保护或个人信息保护等公益事项 |
杭州市余杭区人民检察院诉某短视频公司侵犯儿童个人信息民事公益诉讼案 |
擅自收集、存储儿童个人信息，通过算法向具有相关浏览喜好的用户大量推送含有儿童个人信息的短视频。 |
判令被告因侵权行为造成的社会公共利益损失人民币150万元。 |
交与相关儿童公益保护组织 |
安顺市西秀区人民检察院诉熊某某等人侵犯公民个人信息保护民事公益诉讼案 |
非法获取、买卖公民个人信息，并非法获利以70余万元人民币。 |
判令被告支付赔偿金共计人民币70余万元。 |
存入检察机关与财政部门共同建立的公益诉讼专项资金账户 |
苏州市人民检察院诉曾某侵犯公民个人信息民事公益诉讼案 |
非法买卖公民个人信息，并非法获利共计10000元人民币。 |
判令被告承担10000元人民币的赔偿责任。 |
上缴国库 |
陕西省西安市长安区人民检察院诉郭某侵犯公民个人信息刑事附带民事公益诉讼案 |
非法出售公民个人信息，并非法获利共计2000元人民币。 |
判令被告支付五倍惩罚性赔偿金共计人民币10000元。 |
N |
3. 个人信息保护民事公益诉讼损害赔偿请求权基础
在所梳理的判决书中，在被告人有确定的非法获利的前提下，非所有诉权机关都提起了损害赔偿请求权，矧有学者以实务操作性不强等理由对法定诉权机关是否提起损害赔偿请求持观望态度[2]。对此不免产生疑问：损害赔偿请求权能否适用于该类公益诉讼中？
在理论维度，损害赔偿请求权的适用契合个人信息保护民事公益诉讼制度的功能定位。一方面，虽民事公益诉讼制度自确立以来，其功能定位至今仍未有清晰的共识，但民事公益诉讼既包括以纯粹维护社会公共利益为目的，也包括以维护私人利益与社会公共利益为共同目的的“混合型”诉讼目的，[3]从而推知，民事公益诉讼应具有预防、补偿及惩罚功能以期达成其维护目的，最高人民检察院的检察官们亦认可此说法。个人信息保护民事公益诉讼作为民事公益诉讼的分项，补偿和惩罚亦属于其功能定位。另一方面，民事损害赔偿是指因违反法令或约定义务，致他人受损害，应予赔偿，以恢复原状，包括侵权行为及债务不履行损害赔偿责任，其目的为填补损害、损害预防以及惩罚制裁，[4]此便与个人信息保护民事公益诉讼给功能定位耦合。
在实践维度，损害赔偿请求权的适用具有现实必要性与可行性。其一，在个人信息保护民事公益诉讼案件中，法定诉权机关会要求被告赔礼道歉，法院亦会肯定这一诉求，无一例外。虽赔礼道歉这一“不作为之诉”在一定程度上实现了对被侵权人的补偿，但由于个人信息保护民事公益诉讼的特殊性，其受害者往往是不特定多数人，即使道歉信刊登在国家级媒体上，也极有可能存有受害者未关注的情形，此时赔礼道歉这一补偿方式的实效性便会减弱，进而不能完全发挥出补偿功能，惩罚功能的实现更是微乎其微。面对大量个人信息泄露、违规使用且非法获利等严重威胁个人合法权益和社会公共利益的行为提出损害赔偿请求，不仅是对受损利益的补偿亦是对施害者的惩罚制裁。其二，一则在《民事诉讼法》第 55条管辖事项内，鉴于保护对象都包含社会公共利益，我国环境保护、消费者保护公益诉讼与个人信息保护公益诉讼之间有共通性，[5]因此相关制度可供参考2。此外，2021年开始施行的最高检所公布的《人民检察院公益诉讼办案规则》第98条亦肯定了公益诉讼原告可提起损害赔偿之诉求3。
4. 个人信息保护民事公益诉讼损害赔偿类型
损害赔偿在广义上分为填补性损害赔偿与惩罚性赔偿，且有学者认为除补偿性损害赔偿请求权和惩罚性损害赔偿请求权外，少量学者提出公益诉讼起诉主体也可向对方当事人提起撇去不法收益请求[6]。出于填补性损害赔偿请求权在实务中已广泛应用且已有相关规定，本文不再赘述，下文将侧重讨论惩罚性赔偿请求权与撇去不法收益请求权在个人信息保护民事公益诉讼中的适用问题。
(一) 惩罚性赔偿请求权
惩罚性赔偿金作为损害赔偿金的一种，在《元照英美法词典》中，意为当被告以恶意、故意、欺诈或放任之方式实施行为而致原告受损时，原告可以获得的除实际损害赔偿金(actual damages)外的损害赔偿金，该旨在惩罚被告，而非用于补偿原告的，其目的为威慑(deterrence)和报复(retribution)。就惩罚性赔偿请求权而言，其在司法实务中已得到认可，但仍有学者臆见该做法欠缺事实与法律依据。其一，惩罚性赔偿的严厉性高于一般损害赔偿责任，《民法典》第179条对其适用进行了严格限制，即适用惩罚性赔偿需要有法律的明确规定，学理解释上不宜突破；其二，在实务中，个人信息保护民事公益诉讼主要通过刑事附带民事方式展开，而被告几乎被处以罚金，若再适用惩罚性赔偿，这恐怕引致对侵权人的惩罚过为已甚；其三，惩罚性赔偿还旨在激励受害人积极行使权利，通过受害人积极行使权利，确保侵权人承担其本应承担的责任。而公益诉讼的诉权机关具有公益性，个人信息主体的激励对于其而言实属无必要，且赔偿款面向受害人损害的填补功能实现渺不足道[7]。
在客观角度上，学者疑虑不无道理，但根据行为功利主义，只要惩罚行为给社会带来的善的总和将大于惩罚给社会带来的恶，该惩罚行为便具有正当性，[8]且鉴于个人民事公益诉讼所保护的是不特定多数人权益与公共利益，惩罚性赔偿请求权的存在不可或缺。首先，虽惩罚性赔偿的适用须有法律明确规定，然则通过《民法典》第1185条、第1207条、第1232条关于惩罚性赔偿的具体制度规范，可以洞见适用惩罚性赔偿的要求主要包括行为人具有主观恶性以及发生了严重的损害后果，目的是通过国家干预来维护社会公共利益。在个人信息大规模侵权案件中，个人信息处理者侵权恶性大、获利高，往往造成严重的损害后果，符合惩罚性赔偿制度的原理要求[9]。其次，故可将公益诉讼中的惩罚性赔偿制度看作是一种司法领域的补充执法方式，以达到“完全填补损害”的效果。最后，惩罚性赔偿有惩罚、吓阻的功能。例如，在新西兰A v. Bottrill一案中，法院认为让被告承担惩罚性赔偿不仅是为了惩罚被告，也是为了阻止未来的不当行为。
(二) 撇去不法侵害请求权
撇去不法侵害请求权(Abschöpfungsanspruch)亦称为利润收缴(Skimming-off Actions)，存在于德国法律中的团体诉讼。该制度初现于德国《反不正当竞争法》第10条，即自然人或法人如果故意违反公平竞争的法律规定，就要承担交出违法经济利润的责任，此为德国立法者在侵权法和不当得利法之间确定的新请求权，是在解决小额分散损害赔偿案件方面迈出的重要一步[10]。通过其规定，不难发现该请求权与填补性损害赔偿请求权有相似之处，从客观结果来看均为剥夺不法行为人的非法收益。然而，撇去不法侵害请求权的目的不在于补偿个人的金钱损失，其超越了传统请求权类型，具有预防的特性，即为了预防小额分散性损害赔偿案件发生之目的而褫夺自然人或法人的不合法收入，此项请求权不仅撇去违法者因不法行为所获财产增益，还进而对不法行为产生威慑效应[11]。
目前在个人信息保护领域，学者对撇去不法侵害请求权的研究较少，笔者认为，此类请求权在我国有宜适用的法律土壤，可尝试将其引入至个人信息保护民事公益诉讼中。首先，相较大规模侵害而言，个人信息侵权案件的标的额较小，被侵权主体提起私益诉讼的动力不足。采取与“不作为之诉”一致的另赋实体权模式将撇去不法收益请求权赋予检察机关，符合公益诉讼的本质目的。其次，小额分散性(Streuschäden)损害赔偿案件是指于案件中均涉及广众所遭受的微不足道的损失，这对整个社会或社会中的特定群体的损害可能是巨大的，且微不足道的损失的另一面很可能是不法行为者获得相当大的总利润[12]。而个人信息保护领域的小额分散性损害赔偿案件在我国并不少见，在此类案件中，不正当的使用个人信息的行为会让大量的信息所有者遭受损失，但他们各自的损失皆较细微，而违法的信息处理者却从中获取了大量的金钱利益。面对小额分散性侵害，单个损害数额与追诉成本、风险极其不对等的情况，撇去不法侵害请求权便是可选路径。再次，个人信息处理者非法处理个人信息的行为在违反《个保法》的同时亦可能触犯《反不正当竞争法》，故以不法行为内容为视角，两者具有一定程度的相通。如在互联网领域个人信息爬取法律纠纷中，被告的爬取行为亦会根据《反不正当竞争法》第2条构成不正当竞争[13]。在撇去不法收益请求权的框架下，对于不法企业而言，要发挥出对其行为的预防与惩戒作用，只要违法行为人的财产状况因为违法行为而有所改善，便是需撇去之“收益”(Gewinn)，即除实际收入项目之外，通过不法行为减少支出亦属于[14]。一言以蔽之，出于撇去不法收益的目的，一个行为只要包含了违法要素，就将在整体上视作违法，而“经由(hierdurch)”任一不法行为所获收益均为被撇去的收益。
5. 结论
在互联网时代，网络空间个人信息安全保护已成为社会各界高度关注且急需解决的重大时代课题，这个问题不但涉及个人利益保护，也事关社会经济安全有序发展和国家的长治久安。随着《个保法》的施行，个人信息保护民事公益诉讼因其优势在侵害众多个人权益的案件中被重点适用。囿于《个保法》第70条的粗放及相关司法解释尚付阙如，不论在司法场域抑或学术领域，与法定机关损害赔偿诉求相关的损害赔偿的适用以及适用类型，同类案件司法裁判结果多样甚至冲突。故笔者通过对司法实务探究与相关学术理论研究，以期对实践发展和制度完善有所助益，现归结如下：损害赔偿请求权的适用契合个人信息保护民事公益诉讼制度的功能定位且具有现实必要性与可行性，法定诉权机关可提起损害赔偿诉求。根据行为功利主义理论、惩罚性赔偿本身负有的威慑功能及能弥补补偿性赔偿金在使侵权行为的外部成本内部化方面的不足，故惩罚性赔偿请求权能作为诉求。对于小额分散性个人信息保护民事公益诉讼案件，滥觞德国法中的撇去不法收益请求权乃为机宜之策。
基金项目
本文是江苏省研究生科研与实践创新计划项目《个人信息保护民事公益诉讼损害赔偿请求权研究》(KYCX23₋3782)阶段性研究结果。
NOTES
1在所收集整理的案例中，对于法定诉权机关的诉求，法院均予以支持，本表亦再未赘述。因此在探究过程中，可将诉讼请求内容视为法院的司法裁判立场。此外，表格中“N”表示法院在判决书中未表明、确定损害赔偿款的去向。
2《最高人民法院关于审理生态环境损害赔偿案件的若干规定(试行)》《最该人民法院关于审理环境民事公益诉讼案件适用法律若干问题的解释》第18条规定享有法律规定的起诉资格的原告可以提出赔偿损失的诉讼请求。
3《人民检察院公益诉讼办案规则》第九十八条：人民检察院可以向人民法院提出要求被告停止侵害、排除妨碍、消除危险、恢复原状、赔偿损失等诉讼请求。