廖麗環(huán)，俞 程

（福州大學(xué) 法學(xué)院，福建 福州 350108）

一 問題的提出

2021年8月20日頒布的《中華人民共和國個人信息保護法》（以下簡稱《個人信息保護法》）第70條規(guī)定：個人信息處理者違反本法規(guī)定處理個人信息，侵害眾多個人信息權(quán)益的，人民檢察院、法律規(guī)定的消費者組織和由國家網(wǎng)信部門確定的組織可以依法向人民法院提起訴訟。該條款為個人信息保護公益訴訟制度，為規(guī)制不法處理不特定多數(shù)人的信息從而侵犯權(quán)利的行為提供了公益訴訟的支撐［1］。但該條文只是比較粗糙的規(guī)定，與當下其他領(lǐng)域如環(huán)境公益訴訟、消費者保護公益訴訟的規(guī)定相比而言略顯簡陋，在司法實務(wù)中易產(chǎn)生不同方面的制度適用爭議。如在“保定市人民檢察院訴李某公益訴訟案件”中，法院基于不法的信息處理行為判被告人李某支付三倍的懲罰性賠償金就引得學(xué)界軒然大波，從而導(dǎo)致個人信息公益訴訟能否適用懲罰性賠償一度成為學(xué)界爭議的焦點。有學(xué)者認為，違法成本和利潤的不對稱，網(wǎng)絡(luò)運營者等組織常鋌而走險采取非法手段，是故有必要建立侵犯個人信息權(quán)利的懲罰性賠償制度［2］。而另有學(xué)者認為，如果允許在個人信息保護公益訴訟中適用懲罰性賠償，那么被告有可能因一個違法行為受到多次處罰［3］。

法律的生命在于實施，法律的權(quán)威在于執(zhí)行［4］。我國在立法上從未明確個人信息權(quán)能夠適用懲罰性賠償，但懲罰性賠償并不是一個封鎖或緊閉的體系，我國一直在理性地、合理地拓寬其適用范圍［5］。2021年8月，中共中央、國務(wù)院發(fā)布的《法治政府建設(shè)實施綱要（2021—2025年）》提出通過懲罰性賠償增強關(guān)鍵領(lǐng)域的執(zhí)法活動，加強公共衛(wèi)生、生態(tài)環(huán)境等關(guān)系群眾切身利益的關(guān)鍵領(lǐng)域執(zhí)法力度，構(gòu)筑完善嚴重違法懲罰性賠償制度。無獨有偶，2021 年11 月，國務(wù)院印發(fā)的《關(guān)于開展營商環(huán)境創(chuàng)新試點工作的意見》提出，在直接涉及公共安全與人民群眾生命財產(chǎn)安全的領(lǐng)域，探索懲罰性賠償制度。顯而易見，不特定多數(shù)人信息權(quán)利屬于“關(guān)系群眾切身利益的領(lǐng)域”以及“涉及人民群眾生命財產(chǎn)安全的領(lǐng)域”范疇，而為維護不特定多數(shù)人的個人信息權(quán)利的公益訴訟，應(yīng)當在國家探索適用懲罰性賠償?shù)姆秶畠?nèi)。因此，在目前探索適用的初期，應(yīng)解決的問題是，如何厘清個人信息公益訴訟適用懲罰性賠償?shù)暮侠硇浴Ｍ瑫r，作為一種責(zé)任形式的懲罰性賠償與個人信息公益訴訟都有著維護個人信息公益的作用，且懲罰賠償已經(jīng)超越了傳統(tǒng)民事?lián)p害所應(yīng)用的“損害填平原則”，是故，二者相結(jié)合的過程中，應(yīng)對其各要素進行嚴格限定，才能在響應(yīng)國家政策號召的同時衡平個人信息保護與經(jīng)濟協(xié)同發(fā)展，以期實現(xiàn)人民群眾對信息安全的殷切期盼。

二 個人信息保護公益訴訟適用懲罰性賠償?shù)姆ɡ碇?/h2>

個人信息公益訴訟與懲罰性賠償在價值、功能、目的上都具有較高的契合度，而這決定了二者能夠相互結(jié)合。

（一）個人信息公益訴訟與懲罰性賠償?shù)膬r值一致

在利益多元化、復(fù)雜化，利益主體多元化的當今社會，除了環(huán)境保護、食品藥品保護等領(lǐng)域外，大數(shù)據(jù)技術(shù)快速發(fā)展下的個人信息保護領(lǐng)域，也出現(xiàn)了既影響個人權(quán)益，又侵害公共利益的行為，也就是個人信息侵權(quán)的二元性，即侵權(quán)人在對信息主體造成人身、財產(chǎn)上的損害以外，還可能同時通過數(shù)據(jù)技術(shù)媒介對不特定多數(shù)人的信息權(quán)益造成損害，從而造成“普遍性侵權(quán)”和“分散性侵害”［6］。是故，由于個人信息侵權(quán)問題的日益增多，個人信息公益訴訟與私益訴訟的交集也日益明顯，為了解決此種公益與私益邊界逐漸不清晰的難題，借助司法手段以彌合行政執(zhí)法的缺陷成為“民事訴訟社會化”的關(guān)鍵內(nèi)容［7］。根據(jù)《個人信息保護法》第70 條的規(guī)定，在民事公益訴訟中，擁有請求權(quán)主體資格的是與侵權(quán)行為不存在直接利害關(guān)系的檢察機關(guān)、社會團體等，這些主體可以對信息不法行為人提起公益訴訟，以此保護不特定多數(shù)人個人信息權(quán)益。是故，可以看出，個人信息公益訴訟的模式是以私法途徑實現(xiàn)公共利益保護目標。

懲罰性賠償以補償性賠償為適用前提條件，通過考察個案不法行為人的主觀惡性、危害程度等各種情節(jié)，以高于實際補償數(shù)額的金額震懾、阻遏不法行為人，進而實現(xiàn)維護社會公共利益的目標。從我國法律體系來看，具有懲罰性質(zhì)的權(quán)力幾乎已經(jīng)被公法領(lǐng)域的刑法、行政法所占據(jù)，私法上的被侵權(quán)人只能以“填補損害”的原則要求侵權(quán)人進行補償。當下，我國在環(huán)境保護、知識產(chǎn)權(quán)等領(lǐng)域中已設(shè)置了懲罰性賠償?shù)囊?guī)則，旨在通過該制度的適用保護補償性賠償制度未囊括的那部分利益，從而規(guī)范刑法、行政法等公法領(lǐng)域尚未制裁到的不法行為。是故，懲罰性賠償屬于利用私法機制實現(xiàn)本應(yīng)由公法承擔(dān)的威懾功能的特殊制度［8］，其最終目標在于實現(xiàn)公共利益。所以，二者本質(zhì)上都是帶著濃厚公法色彩的私法規(guī)定，價值取向都在于維護社會公共利益，這就決定了二者相結(jié)合的正當性。

（二）個人信息公益訴訟與懲罰性賠償?shù)墓δ芷鹾?/h3>

如上文所述，個人信息公益訴訟以私法途徑實現(xiàn)公共保護目標，其適用價值高度同質(zhì)的懲罰性賠償制度不僅具有理論上的正當性支撐，更是具有阻遏、震懾潛在損害信息權(quán)利的行為、制裁惡意損害信息權(quán)利的行為、打破“同質(zhì)補償原則”的制約等多種實務(wù)作用，進而實現(xiàn)個人信息權(quán)利保護的公共目標。

第一，有利于阻遏、震懾潛在損害信息權(quán)利的行為。所謂阻遏、震懾主要是指懲罰性賠償所具備的“示范”作用，即通過案件的判決以明確顯示某些特定的危害行為所應(yīng)承擔(dān)的法律后果［9］。通過對懲罰性賠償條款的運用，使社會群體從判決中吸取教訓(xùn)，從而震懾潛在的不法行為人想犯而不敢犯，消弭以侵害個人信息權(quán)利換取高額利潤的主觀心理。除此之外，我國不少學(xué)者更是將懲罰性賠償視作一種激勵，例如將其稱作“激勵性報償”［10］，實踐過程中，高額的訴訟成本往往讓被侵權(quán)人望而卻步，而懲罰性賠償在個人信息公益訴訟中的運用將能夠激勵被侵權(quán)人在人身、財產(chǎn)遭受危害時起訴的主觀意愿，從而能夠進一步對潛在不法行為人施壓。

第二，有利于制裁惡意損害信息權(quán)利的行為。懲罰性賠償主要適用于惡意侵害、故意無視他人合法權(quán)益的嚴重不法行為，懲罰是其最基本、最主要的功能［11］。具體來講，懲罰性賠償在補償性賠償?shù)幕A(chǔ)之上，以額外的賠償數(shù)額救濟人身、財產(chǎn)損害之外的損失部分，從而加劇不法行為人的經(jīng)濟負擔(dān)，給予其更大程度的譴責(zé)與懲罰。信息侵權(quán)行為是不法信息處理者在處理或利用信息時對信息權(quán)益造成的直接損害，通常表現(xiàn)為巨大利潤的誘惑使得信息處理者罔顧法律非法利用或泄露個人信息，甚至基于違法成本的低廉多次遭受行政處罰而無動于衷［12］。個人信息公益訴訟在面對這種侵權(quán)行為時，既可以針對信息權(quán)益的損失判處承擔(dān)補償性賠償責(zé)任，也可以綜合考慮行為人的主觀惡意程度、損害結(jié)果大小等情節(jié)作出專門的懲罰賠償，充分制裁損害信息權(quán)益而又非法獲益的處理者。

第三，有利于打破“同質(zhì)補償原則”的制約?！巴|(zhì)補償原則”意指施加民事責(zé)任時，應(yīng)注重對被侵權(quán)人的直接救濟，其強調(diào)的是“補償損害”［13］，即救濟是以被侵權(quán)人實際遭致的損害為基礎(chǔ)，從而達到基本填補損害而又避免讓被侵權(quán)人因賠償而獲益的目的。個人信息公益訴訟仍是以傳統(tǒng)民事訴訟框架為基準，同樣受到“同質(zhì)補償原則”的深刻影響，往往以“損害多少就賠償多少”的原則進行信息權(quán)益的救濟［14］，例如刪除違法泄露的信息、糾正錯誤的信息內(nèi)容等都體現(xiàn)出同質(zhì)補償?shù)乃枷?。但?shù)據(jù)時代背景下，與一般的侵權(quán)損害相比，個人信息損害具有延時性與累積性，即基于信息的電子化特征，能夠跨越時間、空間進行處理、使用，因此與當下傳統(tǒng)的人身、財產(chǎn)損害相比，信息損害一般不會及時顯露出來，通常隨著損害的累積或者時間的推移才緩慢顯現(xiàn)［15］。是故，若單單采用“同質(zhì)補償原則”進行損害救濟，容易產(chǎn)生個人信息損害往往難以計算而面臨著保護目的難以實現(xiàn)的狀況，而懲罰性賠償通過額外的賠償數(shù)額能夠使信息權(quán)益得以充分的救濟。

（三）個人信息保護公益訴訟與懲罰性賠償?shù)哪康南嗤?/h3>

當下，為保護不特定多數(shù)人個人信息權(quán)益，我國就個人信息保護領(lǐng)域形成了一套較為完善的以刑法、行政法為主的公法保護體系。然而，這些看似健全的公法規(guī)范，實則存在不同程度的“失靈”狀況。

近年來，刑法新增了非法獲取、出售或者提供公民個人信息罪等罪名，在一定程度上有力地阻遏了信息違法行為，然而只有在情節(jié)嚴重或特別嚴重的情況下才能適用刑法保護個人信息權(quán)益，但是個人信息通常以電子數(shù)據(jù)的形式存在，其損害與傳統(tǒng)人身、財產(chǎn)損害大不相同，具有無形性特征，這意味著損害并不會立即顯現(xiàn)或并不明顯，是故多數(shù)個人信息侵權(quán)行為難以被認定為“情節(jié)嚴重或特別嚴重”。此外，在數(shù)據(jù)時代背景下信息作為社會發(fā)展的“驅(qū)動力”，在未來信息將會越來越與社會生活耦合，這意味著信息侵權(quán)相比于過去越來越頻繁，而刑法謙抑性作為法治國家最基本的操守［16］，我們并不能將任何的信息侵權(quán)救濟都依靠刑法，大范圍的適用刑法救濟個人信息權(quán)益是絕無可能的。而相較于刑法，行政保護的適用范圍和頻次更加廣闊，但仍存在部分“失靈”狀況。《個人信息保護法》第60條規(guī)定：國家網(wǎng)信部門負責(zé)統(tǒng)籌協(xié)調(diào)個人信息保護工作和相關(guān)監(jiān)督管理工作。這意味著我國個人信息行政監(jiān)管組織繼續(xù)延續(xù)了過去的“條塊分割”的組織樣式［17］，即在國家網(wǎng)信部門的統(tǒng)籌下，其他相關(guān)部門在各自職權(quán)范圍內(nèi)履行信息保護職責(zé)。質(zhì)言之，當下并未形成獨立、統(tǒng)一的個人信息保護專責(zé)機構(gòu)，而人工智能、數(shù)據(jù)技術(shù)的發(fā)展使得個人信息侵權(quán)總是伴隨著跨地域性、涉及場景多樣性等特征，這增加了各部門之間的協(xié)調(diào)成本，衍生出更加繁雜冗長的行政決策流程，并無利于個人信息保護效率的最大發(fā)揮［18］。綜上所述，公法總是不可避免存在著“失靈”的狀況，使這些規(guī)則都成了無用的馬其諾防線［19］，而屬于“私人執(zhí)法”的個人信息保護公益訴訟應(yīng)運而生。

“私人執(zhí)法”的概念來自英美法，意指個人或相關(guān)組織發(fā)現(xiàn)違法行為，并對其起訴的制度［20］，主要強調(diào)當刑法、行政法退讓時，相關(guān)主體可以提起公益訴訟以實現(xiàn)法律追求的目標。在個人信息保護語境下，私人執(zhí)法具體指的是個人信息保護公益訴訟。是故，可以認為個人信息保護公益訴訟是指，當刑法、行政法不足以維護信息公益或行政管理機關(guān)怠慢不履行信息保護職責(zé)時，相關(guān)機關(guān)、團體可以通過提起訴訟的方式維護信息公共利益。個人信息保護公益訴訟是“私人執(zhí)法”在個人信息保護領(lǐng)域的重要體現(xiàn)［21］。然而，其仍然適用傳統(tǒng)的民事“損害填平原則”，無法適應(yīng)當下個人信息損害的延時性、累積性特征，侵權(quán)人所造成的損害大大超過了其所承擔(dān)的責(zé)任，因此檢察機關(guān)、社會組織等對侵權(quán)人提起公益訴訟的“私人執(zhí)法”效果并不理想［22］。懲罰性賠償能夠恰到好處地增強個人信息公益訴訟的“私人執(zhí)法”效果，其能夠?qū)η謾?quán)人主張超過實際損失的賠償金額［23］，從而能夠?qū)撛诘?、尚未行動的個人信息侵權(quán)行為進行有效的阻遏與震懾，有效緩解公權(quán)力有限造成的信息侵權(quán)行為不能扼殺在“搖籃”的問題。另外，懲罰賠償?shù)倪m用，也同時可以反向督促行政執(zhí)法機關(guān)加快提高執(zhí)法效率、更新執(zhí)法設(shè)備，時刻制止侵權(quán)行為的發(fā)生［24］。

總而言之，懲罰性賠償通過突破“損害填平原則”，能夠?qū)矆?zhí)法進行有益的補充，其最終目的是在增強“私人執(zhí)法”的效果，這與個人信息保護公益訴訟所要追求的目標不謀而合，這無疑是給二者的相互結(jié)合提供了理論正當性。

三 個人信息保護公益訴訟泛化適用懲罰性賠償?shù)谋锥?/h2>

雖然上文證明了兩種制度相結(jié)合的正當性，但這并不意味著在任何情況下、案件中都毫無限制地適用懲罰性賠償，而這種泛化適用也違反了其內(nèi)在價值。

（一）泛化適用懲罰性賠償易導(dǎo)致多種法律責(zé)任的累加

泛化適用懲罰性賠償極易產(chǎn)生危害影響。若個人信息侵權(quán)行為同時滿足了行政違法，甚至構(gòu)成了刑事犯罪，那么就出現(xiàn)了公、私益的相融合，且并存著民事、行政、刑事多重法律關(guān)系，當不法行為人面對補償性、懲罰性賠償、行政罰款、刑事罰金多重累加的財產(chǎn)性負擔(dān)時，將極易超出其責(zé)任承擔(dān)能力的范圍，極大影響其行為自由。

救濟受害人所受的損害與兼顧侵權(quán)人行為自由是不可偏廢的“天平兩端”。如上文所述，可以將懲罰性賠償視作一種“私人執(zhí)法”，其是存在于平等地位之間的一方當事人向另一方當事人進行的懲罰，起著與行政罰款、刑事罰金一樣的懲罰、威懾作用。是故，在考量是否需要適用懲罰性賠償時，應(yīng)準確厘清它與補償性賠償、行政罰款、刑事罰金的順位問題、適用條件，等等，防止侵權(quán)人承擔(dān)過于沉重的責(zé)任。譬如，補償性賠償應(yīng)當具有先決性的作用［25］，不能舍本逐末地認為侵權(quán)人不承擔(dān)補償性賠償責(zé)任，卻泛化地適用懲罰性賠償。換句話說，對懲罰性賠償?shù)氖褂?，不能僅從經(jīng)濟角度出發(fā)“消亡”被侵權(quán)人，不能單純從經(jīng)濟思維追求訴訟效益［26］。當然，由于規(guī)范目的與歸屬不同，當幾者共同存在時，不能當然地認為它們之間可以進行互相抵扣。但審判機關(guān)在考慮是否適用懲罰性賠償或者其具體數(shù)額時，可以將其他幾項責(zé)任作為考量因素。譬如，在最高檢等關(guān)于《探索建立食品安全民事公益訴訟懲罰性賠償制度座談會會議紀要》中，行政、刑事處罰被作為考量懲罰性賠償是否適用的關(guān)鍵因素。

懲罰性賠償具備“公法私法化”特征，即最終目標是實現(xiàn)公法目的，而實施的方法與渠道又傾向于私法，即通過司法手段對不法行為人施加懲罰，以實現(xiàn)公共利益［27］。其具備公法的威厲性卻缺少公法上較為嚴苛的實體法與程序法的多重規(guī)制。是故，適用該項制度時應(yīng)著力注重不法行為人所面對的“一事多罰”的風(fēng)險［28］。因此，既要充分發(fā)揮該項制度的震懾、懲罰功能，又要重視該種功能的適度性與科學(xué)性［29］，而由于其擁有私法機制的靈活性，可以從適用條件、適用該制度的考量情節(jié)等多角度進行規(guī)制，以防止泛化適用的情形。

（二）泛化適用懲罰性賠償與訴訟啟動的個案性發(fā)生沖突

個人信息懲罰性賠償以民事責(zé)任的形式顯現(xiàn)，這意味著該制度的適用依賴于公益訴訟人對訴訟的啟動以及訴訟請求的提出。檢察機關(guān)《公益訴訟辦案規(guī)則》雖規(guī)定了“對于符合起訴條件的公益訴訟案件，應(yīng)當依法向人民法院提起訴訟”，但事實是在訴訟審查以前，要通過立案與調(diào)查兩個程序。由于大規(guī)模的個人信息侵權(quán)十分復(fù)雜，牽涉范圍面廣，跨時間、地域程度較大，牽涉行政機關(guān)人員眾多，同時檢察機關(guān)考慮案件還應(yīng)增加對當下政策的具體考量。調(diào)查后所產(chǎn)生的《起訴審查報告》也需要在集體討論以后由檢察長決定，若是遇到重大疑難問題時，則應(yīng)請示最高人民檢察院以及向上級黨組織匯報［30］。是故，個人信息保護公益訴訟的提起都具備了自身所獨有的特征，即個案特征，由復(fù)雜、多元化的程序構(gòu)成，并未形成反復(fù)如一的統(tǒng)一內(nèi)在標準，而這與泛化適用懲罰賠償有著極大的沖突。不同的公益訴訟啟動程序，能夠成為案件是否復(fù)雜、嚴重的個案參考標準，應(yīng)當成為是否適用懲罰性賠償?shù)目剂恳蛩?。依賴于公益訴訟的啟動，卻不顧及程序的推進構(gòu)造，泛化、“甚至有濫用之虞”的適用懲罰賠償［31］，無利于實現(xiàn)法律公平的最終目標。

（三）泛化適用懲罰性賠償易增加濫訴的風(fēng)險

懲罰性賠償制度與“不得因被侵權(quán)而獲利”的原則背道而馳，是故，該制度的泛化適用可能會造成過度激勵，增加濫訴的風(fēng)險［32］。正如有學(xué)者認為：受害人因為受到損害，而使自己的財產(chǎn)利益實現(xiàn)了“增值”，由于自己受到損害而使自己增加了財富，因而會鼓勵貪念思想［33］。甚至，某些沒有遭致?lián)p害的民事主體，出于“貪念”，將該制度異化為自己賺錢的工具，對司法秩序造成破壞。譬如，《中華人民共和國消費者權(quán)益保護法》第55條對懲罰性賠償?shù)囊?guī)定，以及最高院指導(dǎo)案例“孫銀山訴南京歐尚超市有限公司江寧店買賣合同糾紛案”確定了“知假買假”可獲得相應(yīng)賠償，是故出現(xiàn)了許多“知假買假”的行為并從中獲利，加劇了司法環(huán)境的不穩(wěn)定。又如，在2015 年《中華人民共和國食品安全法》尚未修訂之前，一些打著“職業(yè)打假人”稱號的群體以商品裝潢、成分列表不滿足國家標準為由向經(jīng)銷商主張十倍賠償，其自身未受損失的同時還從中獲利，而這種做法的出現(xiàn)在當時已被許多人效仿［34］。是故，在后續(xù)2015年修訂中，法條將“食品的標簽、說明書存在不影響食品安全且不會對消費者造成誤導(dǎo)的瑕疵”視為不可請求懲罰性賠償?shù)那闆r?？梢砸姷茫撝贫鹊姆夯m用導(dǎo)致的濫訴問題，一方面容易將財富分配給惡意訴訟人，另一方面將污染司法環(huán)境，消耗司法資源以解決“濫訴”問題，難以實現(xiàn)立法者對懲罰性賠償制度的預(yù)期效果。映射于個人信息保護公益訴訟中，以不特定個人信息權(quán)損害為基數(shù)適用的懲罰性賠償，其金額之高，容易吸引原告主體濫訴，而審判機關(guān)還要浪費精力、財力、物力對該惡意索賠進行審查。

總之，懲罰性賠償制度的泛化適用，有可能導(dǎo)致訴訟的土壤之中衍生貪利理念，從而產(chǎn)生“釣魚執(zhí)法”等多種惡意索賠模式，助推濫訴的不良風(fēng)氣，而這并非懲罰性賠償?shù)牧⒎ū疽狻?/p>

四 個人信息保護公益訴訟適用懲罰性賠償?shù)囊?guī)制

為防止泛化適用懲罰性賠償制度，有必要對該制度的適用條件、數(shù)額確定的考量因素、應(yīng)遵循過罰相當原則進行梳理。

（一）個人信息公益訴訟適用懲罰性賠償?shù)臈l件

1.行為人主觀方面體現(xiàn)為“故意”

故意侵權(quán)體現(xiàn)為行為人內(nèi)心實施侵權(quán)行為的意志較強、人為性更加明顯，因此相較于過失侵權(quán)來說，故意侵權(quán)有較高的可規(guī)避性與預(yù)防性，法律也應(yīng)構(gòu)建特別的制度以實現(xiàn)故意侵權(quán)的預(yù)防［35］。而《中華人民共和國民法典》（以下簡稱《民法典》）在第1185條、第1207條、第1232條也正意識到故意侵權(quán)行為人主觀惡性較大而適用補償性賠償制度之外的懲罰性賠償制度才有利于實現(xiàn)震懾與阻遏效果，是故以“故意”作為懲罰性賠償適用的主觀要件。而從預(yù)算開支的角度出發(fā)，過失侵權(quán)行為發(fā)生的情形相對而言更具情景多樣性與難以預(yù)測性，是故也難以實施有效的針對性預(yù)防措施，并且行為人主觀方面也并不存在積極追求危害結(jié)果的發(fā)生，是故，補償性賠償就已能夠?qū)崿F(xiàn)威懾作用，不需要再適用懲罰性賠償制度進行阻遏。

根據(jù)《個人信息保護法》第4 條，個人信息的處理包括個人信息的收集、存儲、使用、加工、傳輸、提供、公開、刪除等，結(jié)合實務(wù)經(jīng)驗可以將故意侵犯信息的行為歸納為兩類。第一類，以個人信息為侵犯對象的行為，該行為的主要實施目的以及后果都直接指向個人信息，主要體現(xiàn)為侵犯信息主體信息自決權(quán)的行為，即行為人尚未經(jīng)過信息主體的同意收集其個人信息并進行處理的行為［36］。這類行為主要包括非法使用、公開、泄露信息而拒不改正等行為。第二類，將侵害個人信息作為侵權(quán)手段的行為，即損害個人信息權(quán)利并不是最終目的，最終目的在于通過侵害個人信息而實現(xiàn)侵害其他個人權(quán)益的目標。例如，通過披露他人個人信息而侵害他人名譽權(quán)的行為、使用非法獲取的個人信息進行電信詐騙等等［37］。

2.危害信息的行為造成“嚴重后果”

借鑒《民法典》第1207條、第1232條和《中華人民共和國消費者權(quán)益保護法》第55條的規(guī)定可以見得，當下侵權(quán)行為造成后果的嚴重性應(yīng)是適用懲罰性賠償?shù)那疤嵋Ｓ成涞絺€人信息公益訴訟中，主要體現(xiàn)為“侵犯個人信息造成嚴重后果”。

“后果的嚴重性”應(yīng)當如何進行界定？對此，可以根據(jù)信息侵權(quán)行為所持續(xù)的時間、輻射的范圍、破壞程度的大小、后續(xù)救濟的費用成本等進行綜合考量。個人信息損害的衡量對數(shù)據(jù)技術(shù)、計算機技術(shù)等技能的要求非常高，往往需要從專業(yè)技術(shù)角度進行評判，必要時可以由專門技術(shù)機構(gòu)對其進行鑒定，由審判機關(guān)在個案中進行判定。此外，懲罰性賠償應(yīng)遵守?zé)o損害不救濟的觀念［38］，意味著這種嚴重的后果只能是客觀發(fā)生，而不能是將要發(fā)生而尚未發(fā)生的狀態(tài)。

3.危害信息的行為具有“違法性”

這里信息行為的違法性，指的是對《個人信息保護法》相關(guān)規(guī)定的違反。這和補償性損害賠償是不同的，后者并不要求具備行為的違法性要件。這是因為二者所具有的不同制度機理。若信息處理者依據(jù)合法且有效的隱私政策所作出的信息處理行為，但仍然造成損害的，那么行為人仍然應(yīng)當承擔(dān)補償性損害賠償責(zé)任，而這并不能適用懲罰性賠償，因為行為具備合法性?？梢钥闯觯瑧土P性賠償主要突出對非法行為的譴責(zé)，其根源在于對這類行為的懲罰，而補償性賠償強調(diào)的是對損害結(jié)果的填補與救濟。

4.原告應(yīng)對懲罰性賠償?shù)囊撆e證責(zé)任

個人信息公益訴訟適用懲罰性賠償應(yīng)當堅持“誰主張，誰舉證”這一原理。而根據(jù)《個人信息保護法》第69 條，處理個人信息侵害個人信息權(quán)益造成損害，個人信息處理者不能證明自己沒有過錯的，應(yīng)當承擔(dān)損害賠償?shù)惹謾?quán)責(zé)任。即信息保護領(lǐng)域采用的是“過錯推定責(zé)任”，應(yīng)由被告證明自己沒有過錯。而這種對原告具有傾向保護性的規(guī)定在個人信息公益訴訟懲罰性賠償?shù)倪m用過程中有失公允。在個人信息私益訴訟中所延伸出的“原告弱勢、被告強勢”以及所配套的舉證責(zé)任，已經(jīng)無法囊括公益訴訟適用懲罰性賠償時的場景，極易導(dǎo)致當事人地位失衡。因此，根據(jù)收益和風(fēng)險的綜合考量，在提出懲罰性賠償?shù)那闆r下，由受害人承擔(dān)過錯的證明責(zé)任較為符合公平責(zé)任［39］。

是故，個人信息公益訴訟中原告請求適用懲罰性賠償時，一般需要證明以下事實：其一，證明侵權(quán)人主觀具有過錯方面的故意；其二，證明侵權(quán)人所實施的行為具有不法性；其三，所造成的結(jié)果具有嚴重性。而這應(yīng)當在將來立法中進行明確，使私益與公益訴訟所適用的規(guī)則得以區(qū)分。

（二）個人信息公益訴訟懲罰性賠償金額的具體確定

1.個人信息公益訴訟懲罰性數(shù)額的考量因素

懲罰性賠償?shù)慕痤~一般交由審判機關(guān)綜合考量具體案件情節(jié)予以裁量，但不能把這種裁量權(quán)毫無基準或毫無限制地交由法官任其發(fā)揮，畢竟，若懲罰數(shù)額過高，那么會過分增加侵權(quán)人負擔(dān)，導(dǎo)致社會生產(chǎn)積極性降低，而數(shù)額過低，那么懲罰效能不夠則無法達至震懾的效果。諸如食品安全法對違反食品安全標準的懲罰性賠償、消費者權(quán)益保護法規(guī)定的懲罰性賠償?shù)榷荚O(shè)置了倍數(shù)與金額的限制。

為此，應(yīng)當有以下幾點考量因素。第一，基于懲罰性賠償?shù)膽土P性、譴責(zé)性，應(yīng)考量侵權(quán)人的主觀惡意程度，使具體金額與主觀惡意、不法行為相匹配。第二，具體的金額數(shù)應(yīng)當綜合考量個案事實、侵權(quán)行為的種類、侵權(quán)行為違法的性質(zhì)、破壞信息權(quán)益的情節(jié)、損害信息權(quán)益的程度、信息權(quán)益恢復(fù)需要的成本、侵權(quán)人因此而獲得的收益、侵權(quán)人承擔(dān)責(zé)任的能力、是否采取一定的補救措施，等等。第三，要特別重視與行政罰款、刑事罰金之間的銜接。在個案中應(yīng)當將行政罰款、刑事罰金作為考量因素，既不能以懲罰性賠償作為替代行政罰款、刑事罰金的變相手段，也不能重復(fù)追責(zé)給予侵權(quán)人過度責(zé)任。通常情況下，只有在適用行政罰款、刑事罰金后仍然不能維護不特定多數(shù)人的信息權(quán)益或者沒有適用行政罰款、刑事罰金的情況下，才能夠適用懲罰性賠償對責(zé)任予以補充。最后，借鑒當下消費者保護領(lǐng)域、環(huán)境侵權(quán)領(lǐng)域等懲罰性賠償?shù)闹髁髯龇?，?yīng)以侵權(quán)人造成的損害作為基數(shù)，同時根據(jù)信息損害的無形性、延時性的特征，當損害數(shù)額難以確定時，可以侵權(quán)人非法獲利作為衡量的基數(shù)，以此來限制審判機關(guān)裁量權(quán)。

2.個人信息公益訴訟懲罰性賠償?shù)挠嬎慊鶖?shù)及承擔(dān)方式

在確定懲罰性賠償金數(shù)額時，應(yīng)先計算出相對明確的基數(shù)，應(yīng)先主要限定于對不特定多數(shù)人信息權(quán)益帶來的損害或侵權(quán)人因侵權(quán)行為所獲得的收益。而這需要準確區(qū)分私益訴訟與公益訴訟的交織部分。在個人信息侵權(quán)中，往往會產(chǎn)生同時涉及公益訴訟與私益訴訟的情況，如何正確厘定懲罰性賠償?shù)姆秶?，成為無法回避的問題。例如，在黑客侵犯信息權(quán)益的案件中，往往有因黑客盜取并利用個人信息從事非法犯罪活動提起損害賠償?shù)乃揭嬖V訟，又有基于黑客販賣廣大不特定群眾信息而提起的公益訴訟［40］。此時，應(yīng)當將個人信息公益訴訟懲罰性賠償與私益訴訟進行區(qū)分，后者的懲罰性賠償應(yīng)當以非法行為造成其個人人身損害、財產(chǎn)損害作為基數(shù)，而前者屬于個人信息權(quán)益的公益損害，應(yīng)當以不特定多數(shù)人單條個人信息價值加起來的總額或者侵權(quán)人販賣信息所獲得的收益作為懲罰性賠償?shù)幕鶞省?/p>

實踐中還會出現(xiàn)侵權(quán)人因經(jīng)濟不允許難以支付高額的懲罰性賠償?shù)那闆r，那么這時懲罰的目的就難以實現(xiàn)。環(huán)境侵權(quán)領(lǐng)域中侵權(quán)人對懲罰性賠償不能及時支付時，可以公益勞動替代履行生態(tài)修復(fù)的責(zé)任或替代懲罰性賠償金，這種做法值得借鑒。譬如，可以由信息侵權(quán)人提供信息安全保障服務(wù)等公益勞動以抵消全部或者部分的懲罰性賠償，從而發(fā)揮懲罰、震懾的功能。

3.設(shè)立個人信息公益訴訟懲罰性賠償?shù)膮^(qū)間倍數(shù)

為防止法官肆意行使裁量權(quán)，在懲罰性賠償金基數(shù)確定的基礎(chǔ)上，應(yīng)明確合理的區(qū)間倍數(shù)。當下各制定法中的具體懲罰性賠償倍數(shù)的確定，主要以阻遏、懲罰力度與相應(yīng)侵權(quán)行為被抑制的緊急程度聯(lián)系起來［41］。是故，不應(yīng)設(shè)置統(tǒng)一的懲罰性賠償區(qū)間倍數(shù)，而應(yīng)考量個人信息的具體情況以選擇不同的區(qū)間倍數(shù)。

個人信息保護公益訴訟是一個上位概念（屬概念），其下還包括了一般個人信息、敏感個人信息、私密信息、未成年人個人信息等下位概念（種概念）。在確定區(qū)間倍數(shù)時，應(yīng)綜合考量被侵害客體的具體種類，通常而言，對敏感個人信息、私密信息與未成年人個人信息的侵害更為嚴重，應(yīng)采用較高的倍數(shù)。在此基礎(chǔ)之上，根據(jù)案件類型、侵權(quán)人惡意程度、實施手段的惡劣程度、違法次數(shù)等進一步確定區(qū)間倍數(shù)［42］。譬如，產(chǎn)品責(zé)任領(lǐng)域的懲罰性賠償，對于普通商品或者服務(wù)商品設(shè)置商品價款或服務(wù)費用的3 倍，而對于食品這類涉及生命安全健康的特殊產(chǎn)品則設(shè)置價款的10倍或損失的3倍。

此外，在確定具體的懲罰數(shù)額時，應(yīng)同時考量侵權(quán)人基于同一行為是否遭致行政罰款與刑事罰金，以防止過罰失當?shù)那闆r發(fā)生。畢竟，公益訴訟的勝率一直很高，甚至在某些地方檢察院提出的公益訴訟，能夠達至100%的勝率［43］。懲罰性賠償應(yīng)當作為一種公法手段的補充，因為這幾個制度強調(diào)的同樣是懲戒作用并非補償損害的作用，若侵權(quán)人已經(jīng)遭致行政處罰或者刑事罰金且數(shù)額較大，那么就應(yīng)適用相對較低的懲罰賠償，反之，應(yīng)適用相對較高的懲罰賠償。

（三）個人信息公益訴訟適用懲罰性賠償應(yīng)遵循過罰相當原則

認定的賠償數(shù)額大于所造成的損害數(shù)額，這就決定了懲罰性賠償?shù)倪m用涉及較多的不確定因素，過高或者過低的數(shù)額既影響企業(yè)的發(fā)展，也影響個人信息的保護。由于個人信息損害的無形性與難以測量性，在適用懲罰性賠償時容易造成過度保護個人信息權(quán)益而導(dǎo)致不法行為人承擔(dān)過重責(zé)任的情形，甚至導(dǎo)致市場占比份額較小的企業(yè)因為巨額賠償而破產(chǎn)，不利于經(jīng)濟平穩(wěn)發(fā)展與個人信息保護的攜手并進。相反，若懲罰性賠償過低，那么該制度在個人信息保護領(lǐng)域勢必會淪為擺設(shè)，不利于個人信息的保護，因此，探究懲罰性賠償?shù)南拗七m用乃重中之重。

過罰相當原則作為一種限制公法手段的原則，對于同樣具備公法性質(zhì)的懲罰性賠償，能夠提供適用思路。過罰相當原則是指判令處罰時應(yīng)以事實為根據(jù)，與違法行為情節(jié)和社會危害程度基本相當［44］。將該原則適用于懲罰性賠償中，可以體現(xiàn)為以下三方面內(nèi)容。

第一，非必要情況下不得適用懲罰性賠償。在個人信息保護公益訴訟中，只有在違法行為人主觀惡性大、施加侵害的范圍廣或者補償性賠償無法實現(xiàn)公共利益的補救等嚴重情形時，才可以適用懲罰性賠償。該賠償金的功能在于補強個人信息保護公益訴訟的懲罰與威懾水平，從而阻遏潛在侵害信息的行為，實現(xiàn)預(yù)防效果，如果懲罰與威懾水平超過必要限度，會產(chǎn)生過度的震懾效果，降低社會生產(chǎn)積極性和整體效率。換句話說，應(yīng)當綜合考量個案中侵權(quán)過程的各個情節(jié)，阻遏因普通的不法行為而要求信息侵權(quán)人承擔(dān)過重的懲罰，從而杜絕濫用懲罰性賠償?shù)淖龇ā?/p>

第二，懲罰性賠償需要結(jié)合刑法等公法保護手段進行考慮。個人信息保護公益訴訟作為“私人執(zhí)法”訴訟，其主要目的在于彌補公法規(guī)制手段執(zhí)行動力的不足，而懲罰性賠償金的適用正是為了更好地促進“私人執(zhí)法”效果。因此，對于個案來說，若刑法或者行政保護已經(jīng)足夠?qū)崿F(xiàn)信息公益救濟時，那么就不應(yīng)當適用懲罰性賠償金。同樣對于公法規(guī)制手段執(zhí)行動力的補充而言，懲罰性賠償僅是在對現(xiàn)有公法措施未能涵蓋的非法利益進行懲罰，其懲罰的數(shù)額不宜超過刑事罰金、行政罰款所認定的數(shù)額。

第三，懲罰性賠償應(yīng)當以最小必要數(shù)額為限制。一般情況下，在確定具體的額度之前，應(yīng)當考慮行為人責(zé)任能力的范圍。對于貧富不同的行為人而言，懲罰性賠償?shù)男Ч灿胁町?。同樣的賠償數(shù)額對于富人而言威懾力往往欠缺，而對于窮人而言可能過度［45］。只有將懲罰數(shù)額置于行為人責(zé)任承擔(dān)能力范疇內(nèi)，預(yù)防、阻遏的作用才能達到最大值，如果超過必要限度，將造成行為人過重的責(zé)任，失去懲罰作用的同時，也危害到經(jīng)濟發(fā)展。因此法院在實行自由裁量權(quán)時，應(yīng)當將不法行為人的財富狀況、個人承受能力作為懲罰性賠償數(shù)額大小的考量因素［46］。