肖 芄 | 个人信息保护民事公益诉讼损害赔偿疑难问题研究

肖芄，杭州互联网法院跨境贸易法庭庭长。

个人信息保护民事公益诉讼（以下简称个人信息公益诉讼），是顺应互联网信息时代的必然选择，是解决现代风险社会治理问题的重要举措之一。损害赔偿是我国法律体系中重要的基础性制度，身处现代风险社会当中，损害赔偿的理念和规则适用，较之传统社会已然发生重大转变，这在个人信息公益诉讼损害赔偿中体现显著。近年来，司法机关在个人信息公益诉讼损害赔偿领域已积累了一定的实践经验，但鉴于法律、司法解释的规定过于模糊甚至存有空缺，及长期固有损害赔偿理念的思维限制，司法实践还面临诸多疑难问题有待解决。

第一，损害的对象问题。损害存在是损害赔偿责任成立的必要条件。损害本质上是受法律保护对象的利益丧失状态。理论和实务界，对个人信息公益诉讼中的损害对象一直存在争议，有观点认为损害对象包括遭受个人信息权益侵害的个人；其他观点则认为，损害对象仅指众多不特定的社会主体这一抽象群体，不特指某一单个的个人。对该问题的不同认识，直接影响公益诉讼和集体诉讼（或代表人诉讼）之间分野，更将根本影响损害赔偿的范围、认定规则等问题。

第二，损害赔偿的范围问题。传统损害赔偿的范围局限于，侵权行为与发生在特定赔偿权利人具有因果关系之损害，包括所受损害和所失利益。实践中，对于个人信息公益诉讼损害赔偿的范围，从损害对象的视角出发，有司法机关认为，损害赔偿的范围仅指侵害行为对众多不特定社会抽象主体所造成的同一且不可分的损害，并不包括侵害行为直接作用于特定个体所造成的众多个体的集合性损害；从因果关系的视角出发，有司法机关认为，损害赔偿的范围仅指侵害行为做出后，当下已经实际产生，且与行为具有直接因果关系的可量化的具体损害，不包括未来可能发生的损害风险，也不包括对损害后状况进行治理、修复和预防所背负和支出的长因果链中的社会成本等。

第三，损害赔偿的性质问题。在理论界，有观点认为，个人信息公益诉讼损害赔偿为私法性质上的损害赔偿，要以填补损害为根本功能目的，预防、威慑和治理等功能并非侵权赔偿制度价值所欲，应转由刑事、行政等公法制度予以实现。在司法实践中，对该问题的不同认识也将直接影响个人信息公益诉讼损害赔偿所采认定规则和适用惩罚性赔偿的正当性问题。

第四，损害赔偿的计算问题。《民法典》第1182条、《个人信息保护法》第 69 条第2款的规定，是个人信息公益诉讼损害赔偿认定的主要法律依据。在实践中如何具体适用，却缺乏可操作性：要么对侵权获益难以查清，要么仅以侵权获益为单一标准，无法准确反映社会公益受损的实际情况（但实践中，以违法所得确定损害赔额的标准最为普遍）；对社会公共利益的实际受损则更缺乏有效方法进行量化的确定；对根据哪些实际情况、如何考量不同因素、如何采取具体的步骤进行量化确定赔偿金额，亦缺乏明确的指引。此外，在确定损害赔偿金额时，对于侵权人已承担罚金、没收违法所得等法律责任的，是否应做相应的折抵，不同的司法机关所采取的方式也不尽一致。

第五，能否适用惩罚性赔偿的问题。惩罚性赔偿在个人信息公益诉讼中适用的合法性和正当性，存在有较大争议。普遍观点认为，惩罚性赔偿缺乏明确的法律依据，但不否认其适用的正当性；也有观点认为，损害赔偿应立足于损害填平原则，公益诉讼不涉及鼓励受害人积极维权，并以较低社会成本发现并惩处违法者的情形，且预防、震慑违法行为的功能可由刑事制裁与行政处罚完成，适用惩罚性赔偿缺乏正当性。

第六，赔偿款的使用问题。严格地说赔偿款如何使用，并非传统损害赔偿制度需要考虑的问题。但在个人信息公益诉讼中赔偿款的使用问题，却直接关乎损害赔偿本身的正当性，甚至反过来构成损害赔偿计算规则的重要内容。由此可见，对于个人信息公益诉讼而言，赔偿款的使用问题实则是一个长期被忽视，却对损害赔偿制度的构建和正当性都极为重要的问题。实践中，存在将赔偿金按非税收入且未做专款区分直接上缴国库等情况，事实上混淆了赔偿金和罚款、没收和罚金等的性质，更影响了损害赔偿的正当性。

针对上述问题，本文将从理论层面进行问题归纳、整合，并尝试进行逻辑自洽的理论阐述，为规则适用提供理念、思维上的支撑。本文还将对如何在个人信息公益诉讼中适用损害赔偿规则，提出具有一定可操作性的方案，以供进一步的探索和完善。

传统损害赔偿的理论立基于工业社会中个体私益权利的救济背景，对于民事公益诉讼的损害赔偿，特别是现代风险社会中个人信息公益诉讼损害赔偿鲜少涉及，当下所面临的问题也难以全盘用传统损害赔偿的理论予以解释，确有必要根据现实的情况进行适时的发展。

（一）个人信息公益诉讼损害赔偿的性质和范围

个人信息公益诉讼损害赔偿的性质和范围较之传统损害赔偿已显出明显不同的秉性，有必要先加以阐明，而损害对象与赔偿范围有相关性，故在此一并予以阐述。

1.损害赔偿的性质——基于法政策价值的选择

在大规模侵害个人信息案件中，侵害行为可能同时造成多个特定民事主体权益和众多不特定社会公众抽象群体权益的侵害，前者是典型的个体人格权益遭受侵害，后者是纯粹公共利益遭受侵害，两者性质截然不同。虽然从法律、司法解释的规定，以及司法实践中的具体做法来看，个人信息公益诉讼中损害赔偿责任的承担方式，与私益侵权案件中损害赔偿责任的承担方式在形式意义上具有相似性。但从理论上分析，个人信息领域公共利益的损害是否等同于侵权责任的损害，不无争议。实际上侵权责任中的损害赔偿与个人信息领域公共利益的损害赔偿性质上并不完全相同，前者是本于个体权益受到侵害后产生的权利，后者却包含了有别于传统私权的具有不特定集体公益属性的权益。应该说，现代风险社会中个人信息公益诉讼损害赔偿，既非纯粹的公法问题，也非纯粹的私法问题，而是处于公法和私法的边界之上。前述观点在生态环境公益诉讼损害赔偿的相关理论中亦可获得印证，例如：“《欧洲示范民法典草案》第6-2：209条则明确规定，政府或指定的主管机关因恢复生态损害而遭受的不利负担被视为侵权法上的“具有法律相关性的损害”（legally relevant damage）可以向加害人请求损害赔偿”，即通过增加损害拟制条款的方式明确生态损害是侵权法上可获得救济的损害类型。可见，个人信息公益诉讼损害固然可以通过侵权责任方式予以救济，但不可忽视该损害赔偿所具有的公法属性。实质上，个人信息公益诉讼制度本身就是为了克服个人信息领域单一的私益救济和公法保护的局限性，回应社会需求而产生的。

特别是从法政策价值的选择视角分析，人类现代社会已然进入风险社会，诚如学者所言，“在发达的现代性中，财富的生产系统地伴随着风险的社会产生，在现代化的进程中，生产力的指数增长，使危险和潜在威胁的释放达到了一个我们前所未知的程度”。个人信息的侵权救济，特别是个人信息领域公共利益的损害救济，正是数字时代风险社会中人们面临的重大挑战之一。非常明显的是，数字时代的个人信息侵害，与传统侵权形态相比已经发生了截然不同的变化，表现出大规模侵权等社会外溢性或外部性特征，其不再是单个行为对单个个体造成的影响，而往往带有社会整体性，以补偿性为主的传统侵害赔偿救济面临数字时代风险社会的巨大冲击。如何应对个人信息领域的大规模侵害行为，确实有必要从法政策价值选择的角度进行思考、做出转变。鉴于此，个人信息公益诉讼损害赔偿的法政策价值选择，应注重从个体救济转向关注群体福利的保护，更突出强调社会公共治理的功能，使得损害赔偿从对个体权利的填补性救济，转向对社会整体的系统性治理；应注重从单纯的损害填补转向合理威慑、科学修复和积极预防，基于客观现实的困境，单纯通过损害填补的救济方式，对个人信息领域的大规模侵害不仅难以实现，也没有实际的意义，大规模侵权行为的风险虽然不可预测，但合理威慑、科学修复和积极预防应该成为个人信息公益诉讼损害赔偿的价值追求。换而言之，从法政策价值选择的视角出发，个人信息公益诉讼损害赔偿的价值定位应超越单纯聚焦损害救济、损失填平的个案视野，逐步转向更为重视社会治理、风险分担或合理威慑等公共政策层面的考量，充分发挥个人信息公益诉讼损害赔偿的社会公共治理功能。

综上，基于法政策价值的选择的考量，既然个人信息公益诉讼损害赔偿在性质上既非纯粹的私法问题，也非纯粹的公法问题，而兼具私法和公法的某些特性，那么该损害赔偿理应从私法所持的“恢复原状”“损失填补”等观念更新突破为面向未来的对公共利益、公共秩序的科学修复，进而更突出公法的预防、威慑、治理，以及保护法益，建立社会共同生活所需的和平与秩序的价值追求。前述对损害赔偿性质的阐述，亦应在赔偿规则的具体适用中有所体现。

2.损害赔偿的范围——以公益修复、风险预防和公共治理为面向

个人信息公益诉讼损害赔偿的范围与损害对象相关，还涉及是否涵盖众多个体的集合性损害和风险妨害的预防、治理等问题。

第一，损害对象所涉群体。对损害对象所涉群体的认识实质上关系到对个人信息领域公共利益究竟为何的理解问题。个人信息公益诉讼中的损害对象，究竟是指众多不特定的社会主体这一抽象群体，还是指遭受特定个人信息权益侵害的个体集合，长期存在不同的认识。公共利益范畴的核心是其公共性，基本内涵是指在特定社会历史条件下，从私人利益中抽象出来能够满足共同体中全体或大多数社会成员的公共需要，经由公共程序所实现的公共价值。公共利益具有主体不特定性，利益价值具有抽象性、集合性等特征，只能被定义为一种抽象的秩序。由此可见，个人信息民事公益诉讼中的损害对象绝非个人信息权益遭受侵害的个体集合，而是“纯粹性公益”受侵害后，受该公共价值的供给满足的众多不特定的抽象、拟制的社会群体。总之，个人信息公益诉讼中的损害对象并不包括遭受特定个人信息权益侵害的个体或个体的集合。

第二，损害赔偿的范围不涉及特定个体的集合性损害。凭借现代互联网、大数据、算法等新技术的运用，行为人实施一个违法行为即可产生大规模侵害个人信息的损害后果。前述大规模侵害个人信息的违法行为与传统意义上的单一违法行为不同，它的危害性首当其冲的不仅是遭受侵害的单个个体人身、财产权益，更是个人信息领域的公共秩序和安全环境，以及由此而产生的社会失序风险，即社会公共利益。这种公共利益，不属于特定的个体或组织机构，具有整体性的特征，它亦非私人利益的线性叠加，而是由不特定之多数主体所共享的一种抽象利益状态，其源于抽象社会共同利益，而非私益的集约性整合。所以，该公益目标的实现取决于面临危险之抽象社会共同利益状态的维护和已经受损之抽象社会共同利益状态的修复，而无需（亦不可能）将其还原为私益并实施“个体性分配”。因此，个人信息公益诉讼的赔偿对象不包括受侵害的个体或个体的集合，后者应转由私益诉讼或代表人诉讼寻求个体权益受损的救济。个人信息公益诉讼制度的根本目的，是治理被侵害的公共秩序和受破坏的安全环境，预防可能出现的社会风险，修复并改善不特定社会公众所需要的个人信息社会环境质量状况。

第三，损失赔偿的范围包括对个人信息领域公共秩序、社会安全、发展环境的风险预防、修复和治理等额外支出的损失。在传统的损害赔偿观念中，损害的现实发生、确定性（包括损害结果的确定性和因果关系的确定性）是损害赔偿的基础，甚至早期法律规定只对有形、直接人身、财产损失进行赔偿。但伴随人类社会的快速变革和科技应用的迅猛发展，人类社会自身所产生的风险不断扩大，且呈现出潜伏性、扩散性和不可逆性等特点。与之相适，法律领域的损害赔偿观念也发生了极大的更新，主要体现在两个方面：损害的确定性要求大大降低，损害在一定程度上出现观念化和抽象化的趋势，损害未必现时发生，风险即可界定为损害；因果关系的理论呈现出多元的样态，不再单一恪守相当因果关系，在特定领域根据实际情况，采用更具有灵活性的法规目的说进行替代。以上趋势在个人信息公益诉讼损害赔偿中体现的更为显著。大规模个人信息侵害行为往往涉及数百万条个人信息记录，涉大型平台企业的个人信息侵害甚至可以造成千万亿级别的个人信息泄露，前述侵害行为发生时“直接”“有形”的确定性的损害后果，很可能不会立即显现或被精准、全面的探知，但如此量级的个人信息被违法进行处理，该侵害行为所导致的巨大社会风险，及潜在对未来社会公共利益造成的损害风险是客观存在的，不能因这种损害的无形性、难以计量性、不确定性而否定其存在本身的客观性。同时，前述法规目的说亦能解决个人信息公益诉讼损害赔偿中因果关系的链条过长、隐蔽及介入因素等问题。法规目的说认为，行为人对于行为引发的损害是否应负责任，非探究行为与损害间有无相当因果关系，而是要考察相关法规的意义和目的，探究该法规旨在保护何种利益。据《个人信息保护法》第1条、第9条及第11条等规定可知，法律所保护的个人信息领域的公共利益应当是规范处理、合理应用、保护有力、风险可控的个人信息保护、应用的良好环境。由此，侵害个人信息保护、应用的良好环境所造成的损害，采法规目的说，均属于社会公共利益损害赔偿的范围。

综上，个人信息公益诉讼损害赔偿范围，既包括现时已经产生的损害，还包括未来将发生的风险和为预防而提前采取的保护措施：一是对个人信息领域公共秩序、社会安全、发展环境已经到来的、可预见的具体危险，采取修复、预防措施，降低危险而支出的合理成本所产生的损失；二是对因个人信息领域公共秩序、社会安全、发展环境遭受损害，增加的合理社会交往成本、市场交易成本、制度成本等社会资本的消耗视为风险损失；三是对个人信息保护、利用的良好社会环境采取的额外预先保护措施及治理所支出的成本视为风险损失，主动和提前介入我们所处“风险社会”的个人信息“风险源”治理当中，针对风险、面向未来做出防御，目的在于风险最小化，促成利用和安全的平衡。

（二）个人信息公益诉讼损害赔偿的核心价值理念是科学修复

司法实践中，个人信息公益诉讼提出各种形式的损害赔偿请求似已成为一种主流趋势，但获得赔偿本身并不是公益诉讼的终极目的，应重申个人信息公益诉讼损害赔偿的基本理念是要追求科学修复受损的公共秩序和良好的安全、发展社会环境。

1.损害赔偿的目的和正当性在于“恢复原状”

传统侵权损害赔偿，以恢复原状为基本观念和价值追求，亦是其根本目的。有学者甚至认为：“损害赔偿之最高指导原则在于赔偿被害人所受之损害，俾于赔偿之结果，有如损害事故未曾发生者然”。可见，损害赔偿一方面在于填补受害人因损害而减少的财产，更为重要的一方面在于通过赔偿的方式回复到未曾遭受损害之前的原初状态。现实中并非所有损害后果均能在物理或功能意义上恢复原初状态，故转而通过价值衡量的方式，以金额赔偿填补价值差额这种较为便捷的方法代行恢复原状的初衷。金钱赔偿固然便捷，但损害赔偿的目的在于恢复原状。

需要特别指出，在私益诉讼中就财产损失而言，不管是恢复原状所需费用的金钱赔偿，还是不能恢复或难以恢复的金钱（价值）赔偿，都是一种法律规范意义上拟制原状恢复的价值转化。通过金钱赔偿弥补法益价值的差额，旨在保障受害人的价值利益。这种金钱赔偿，在民事主体意思自治原则的背景下，赔偿权利人可选择用于原状恢复相关的事项，也可选择用于与原状恢复毫不相干的其他事项，赔偿所获金钱如何使用完全由民事主体自主决定。可见，私益诉讼的损害赔偿制度在获得赔偿时既已终了，赔偿的使用与损害赔偿的正当性并无关联。私益诉讼的损害赔偿经法律拟制后，金钱赔偿和恢复原状在功能意义上大致等同。

然而，这种情形在个人信息公益诉讼损害赔偿中已显现出截然不同的特性。公益诉讼和私益诉讼的损害赔偿从宏观层面虽然都以“恢复原状”，重建被损害的利益，实现法益状态的完整性为目的。但两者对“恢复原状”的内涵界定却明显不同，私益诉讼的金钱赔偿是对过去发生的损害状况不可修复或难以修复之后的价值利益转化，公益诉讼的赔偿则是面向未来的修复、预防、治理受损公共秩序、环境需支出的费用。私益诉讼的金钱赔偿，当事人可以自由支配，决定使用用途，而公益诉讼的赔偿只能用于受损公共秩序、环境的修复、预防和治理，不得用于其他任何于此不相关的事项。本质上而言，私益诉讼损害赔偿追求的“恢复原状”聚焦于个案中个体行为、权利的侵害矫正、损害填平，但个人信息公益诉讼损害赔偿是基于公共治理层面考量的“科学修复”，通过修复实现面向未来的风险预防、达到新的有序的公共治理秩序。

究其原因在于：一方面，个人信息领域公共利益是众多不特定社会群体的抽象性集合利益，不能通过私法意思自治的方式对赔偿进行自主决定；另一方面，个人信息公益诉讼损害赔偿是修复、预防、治理受损公共秩序、环境的费用，具有公共治理的价值追求，并不是拟制后单纯以金钱填补的价值利益保障。

综上，个人信息公益诉讼损害赔偿的价值追求是面向未来科学修复受损公共利益相关的生态、秩序，其正当性是将赔偿用之于受损公共秩序、环境的修复、预防和治理，申而言之，在确定构成损害的情况下，一定意义上如何修复，决定了如何赔偿。

2.获益剥夺规则、差额填补规则的局限性

第一，关于获益剥夺规则。获益剥夺规则也称为以违法所得计算损害赔偿规则，该规则是不当得利理论在侵权损害赔偿中的应用，基本思路是侵害人不能因违法行为而获益，该违法获益可视为受害人遭受侵害而损失的利益。可见，获益剥夺规则认定损害赔偿本质上是损害价值差额补偿的一种简化变形，即无须对受害人侵害结果前后的财产状况进行比较以得出需填补的差额，而直接通过法律规定将侵害人的获益视为损害。在个人信息公益诉讼的司法实践中，社会公共利益自身具有不确定性，获益剥夺规则极大简化了损害赔偿的认定，使得损害赔偿有了便捷、可量化的认定标准，被广泛地采用，不可否认该规则对实践操作有其合理性。

然而，获益剥夺规则的局限性也是显而易见的：

一是无法真实反映社会公共利益的受损状况。大规模个人信息侵害行为对个人信息领域公共利益造成的损害往往具有长期性、潜在性、复杂性等特点，仅通过法律拟制将侵害人的获益作为损害认定的单一标准，事实上难以确切地反映公共利益的受损情况。

二是难以涵盖合理的公共利益损害修复、治理的费用支出。如前所述，不论是获益剥夺规则还是差额填补规则实质上都是对原状恢复的金钱赔偿转化，是对受害人的价值利益保障，而不是恢复原状本身，但个人信息公益诉讼的损害赔偿是修复、治理受损公共秩序、环境的费用，仅以侵害人的获益难以涵盖修复、治理需支出的费用。

三是可能造成公益诉讼赔偿和私益诉讼赔偿性质认识的混同。前已论及，个人信息公益诉讼损害赔偿不是个体权益赔偿的集合，如公益诉讼完全采用获益剥夺规则认定损害赔偿，而与私益侵权诉讼没有区别，会对公益诉讼损害赔偿的性质认知产生混淆，也直接影响公益诉讼损害赔偿的正当性。

四是难以公平体现不同侵害行为需承担的损害赔偿责任。个人信息侵权人的主观状况有过失、故意甚至恶意，侵害方式、场景、所采用的技术手段不同，侵害对象、客体等亦有不同，以上因素都会对公共利益造成范围、程度不同的损害，仅通过侵害人的获益情况，难以公平体现需承担的损害赔偿责任。

第二，关于差额填补规则。差额填补规则是指，通过侵害事故发生后的财产状况与没有发生该侵害事故所应有的财产状态进行差额比较，而认定损害赔偿的规则。差额填补规则，一直是私益诉讼中被普遍采用，行之有效的损害赔偿认定规则。但该规则在个人信息公益诉讼损害赔偿中，不仅在技术层面缺乏实际可操作性，且从理论和客观层面均难以进行合理阐述和有效应用，导致司法实践中缺乏足够的锚点对损害赔偿进行量化认定。

究其原因在于：一是个人信息领域的公共利益自身具有不确定性、无形性、流变性等特点，是一个难以量化的“混沌体”，客观上既无法对事故前进行量化测定，也无法对事故后进行量化测定，更无法进行差额比较。二是大规模个人信息侵害较之普通侵权行为具有复杂性，侵害行为做出后并未实时终了，侵害对象、链路和影响辐射的范围等并不单一、固定、线性，往往存在侵害行为发生时间和结果出现时间分离，单一侵害行为造成长期、潜在的扩散式、长链条式的多发损害后果。差额填补规则往往需要以侵害行为所造成的损害结果发生的时间节点为界限，对此时间节点前后的不同状态进行比较，以得出损害赔偿的差额。显然，差额填补规则难以适应大规模个人信息侵害造成公共利益损害下复杂情形。

3.作为受损公共利益状态修复、治理费用的损害赔偿

第一，个人信息公益诉讼损害赔偿，是受损公共利益修复、治理的费用，不是价值转化后的金钱补偿。对个人信息公益诉讼损害赔偿而言，金钱赔偿和科学修复在功能意义上是不能等同的，获得了金钱赔偿不等于对受损公共利益状态进行了修复，法律也未对两者进行价值转化的拟制。也就是说，私益诉讼的损害赔偿，基于私法自治等原则，是通过概况性的弥补法益价值的差额，保障受害人整体价值利益的实现，而个人信息公益诉讼损害赔偿只能是对受损公共利益状态修复、治理费用，在功能意义上是对“恢复原状”的一种重构。

第二，修复、治理构成个人信息公益诉讼损害赔偿正当性来源。个人信息公益诉讼损害赔偿的正当性，不仅取决于个人信息领域公共利益确遭损失，更取决于如何对受损的公共秩序、环境进行修复、预防和治理，即如何进行社会公共利益的科学修复，只有合理的提出修复、治理方案，恰当的付诸实施、使用赔偿，才能证明损害赔偿本身的必要性和价值，才达到了个人信息公益诉讼损害赔偿所追求的科学修复的最高指导原则。同时，如何对修复、预防和治理的费用进行规划、评估，即对受损公共利益科学修复的治理方案，反过来将构成决定损害赔偿金额的重要依据。

第三，个人信息公益诉讼损害赔偿追求的公益秩序、环境的修复、治理有其自身的特点。从科学修复的标准来看，个人信息领域公共利益的修复，是对良好公共秩序、社会生态环境的复原，但它作为一个无形的“混沌体”本身就随时处在动态的变化过程当中。所以，对良好公共秩序、社会生态环境修复，不是像普通物品和人身健康一样通过修补、康复回复到原来的状态，实际上也无法还原，而是有其自身独特的修复标准，这就有赖于探索建立一套与个人信息领域公共利益相关的修复、治理方法、技术手段和评估标准。从科学修复的主体和方式来看，个人信息领域公共利益的修复是一个系统的社会工程，不是由侵害人或者公益诉讼的起诉主体单独能够完成的，这个修复过程需要社会方方面面，特别是与个人信息保护相关的公权主体、公共机构、社会团体、基层组织、技术开发机构、市场经营主体和个人等的协同参与、共同作用。

（三）个人信息公益诉讼损害赔偿应具有威慑、预防和治理的功能

既然从法政策价值选择的视角考量，个人信息公益诉讼损害赔偿应注重从个体救济转向关注群体福利的保护，更突出强调通过个人信息公益诉讼损害赔偿实现社会公共治理的功能，使得损害赔偿从对个体权利的填补性救济，转向对社会整体的系统性治理，这就决定损害赔偿应具有公法所追求的威慑、预防及治理的功能面向。惩罚性赔偿正是发挥其威慑、预防功能的制度关键。问题在于，如何恰当地将两者进行有机的整合、统一，使其发挥应有的功效。

1.惩罚性赔偿适法依据存在争议，但具有正当、合理性

首先，关于惩罚性赔偿的法律依据。《民法典》中有4个条文提及惩罚性赔偿，其中第179条第2款对惩罚性赔偿做出了总括性规定，即惩罚性赔偿作为一种责任承担方式，仅在法律规定的情况下有其适用；此外，《民法典》第1186条、第1207条、第1232条，分别规定了知产领域、产品责任领域和生态环境领域的惩罚性赔偿。除此之外，在消保法、食安法、旅游法等单行法中也对惩罚性赔偿做出了相应规定。目前，《个人信息保护法》没有出现与惩罚性赔偿相关的条款，其他法律规范中也没有对个人信息的侵害行为规定惩罚性赔偿责任。这是当下个人信息公益诉讼适用惩罚性赔偿的法律争议所在。

其次，关于惩罚性赔偿的正当性和合理性。从制度定位看，惩罚性赔偿意在解决“执法缺口”，以预防为主要目标，惩罚和激励是实现填补与预防的手段和客观效果。惩罚性赔偿实质上是在侵权损害赔偿的领域引入公共治理的要素考虑，以应对补偿性赔偿不能有效遏制风险社会大规模侵权行为的必然之举。可见，惩罚性赔偿的根本目的是对未来侵害行为的预防、遏制和治理，同时它也是作为公权“执法缺口”的一种补充性制度产生的，惩罚和激励是实现其目的的手段。个人信息公益诉讼损害赔偿与惩罚性赔偿的价值追求是完全吻合的，理由如下：

一是个人信息公益诉讼损害赔偿具有公共治理的价值预设，该损害赔偿的公法治理功能决定它作为一种公权执法的补充存在，在价值追求上具有与惩罚性赔偿一致的预防、遏制和治理等诉求。

二是大规模个人信息侵害行为往往具有极强的外溢性和外部性社会影响，而个人信息公益诉讼损害赔偿作为恢复良好公共秩序和环境的费用支出，其恢复良好公共秩序和环境是面向未来的，重要的标准是达成个人信息侵害预防、遏制和治理的效果，这与惩罚性赔偿要到达的效果一致。

三是个人信息公益诉讼损害赔偿赋予惩罚性赔偿的效果，在客观上可以产生激励结果（提高救济效率），提高违法成本，遏制违法动力。大规模个人信息侵害具有侵害行为隐蔽、因果传递链条长、损害发生时间不确定、地域散布和个体损害小等特点，这都决定了侵害人违法成本低、收益大、侵害行为难以被发现，普遍存在侥幸心理；以及被侵害人举证难度大、维权成本高、获益低，普遍缺乏维权动力，由此导致追诉概率低，出现“执法缺口”，存在个人信息领域侵害行为多发、复发的状况。基于这些情形，对个人信息领域的受损公益赋予多倍赔偿，在客观上可以产生激励结果，提高违法成本，遏制违法动力。

2.惩罚性赔偿的适用限度

首先，关于个人信息公益诉讼适用惩罚性赔偿的范围。惩罚性赔偿有其严格的适用标准和范围，个人信息公益诉讼亦不能不分情形地普遍适用惩罚性赔偿。从理论层面而言，惩罚性赔偿的适用标准有主、客观两个方面：从主观而言，行为人的主观状态是故意、恶意，或具有严重疏忽、明显不考虑他人的安全和重大过失；从客观而言，行为人的行为应具有严重的违法性，已经超过了社会容忍的限度，造成较为严重的损害后果，或存在发生严重损害风险的可能。

同理，对个人信息公益诉讼的惩罚性赔偿也应适用前述标准，综合考量是否存在以下因素，从严控制惩罚性赔偿的适用范围：一是行为人主观上要具有侵害众多不特定社会主体个人信息的故意、恶意，或要具有放任（毫不顾及）、有意漠不关心、鲁莽而轻率，致使个人信息遭受侵害的间接故意、重大过失。二是行为人客观上实施了违法处理众多不特定社会主体个人信息的行为，且行为严重违反个人信息权益保护的相关法律规定。三是存在情节严重、恶劣的特殊因素，例如：行为人侵害个人信息的数量规模巨大；侵害个人信息的类型涉及生物识别、人身财产安全等敏感个人信息；侵害场景涉及信息跨境流动、群众高度关注领域等与国家安全、社会安全及社会良善风俗息息相关的情形，等。四是侵害行为造成个人信息领域公共利益严重损害后果，或存在发生严重损害风险的较大可能。

其次，关于惩罚性赔偿与其他刑事、行政责任的协调问题。对于个人信息侵害人已经承担刑事、行政的罚金、罚没或罚款等责任的，在没有适用惩罚性赔偿情况下，个人信息公益诉讼损害赔偿责任与前述刑事、行政责任在性质、功能上完全不同，根据《民法典》第187条的规定，原则上两者并行适用，不存在折抵的问题。如果将惩罚性赔偿的因素、计算方法融入到个人信息公益诉讼赔偿之中，因惩罚性赔偿的性质、功能和刑事、行政责任的罚金、罚没或罚款等具有类似性，故此时应该考虑将已承担的罚金、罚没或罚款等，从惩罚性赔偿的倍数中予以相应抵扣或扣除，以防止重复评价的问题。

3.损害赔偿和惩罚性赔偿在功能性上的融合、统一

个人信息公益诉讼损害赔偿，有必要将“填补性”赔偿和惩罚性赔偿在功能效果上进行恰当的融合、统一，即在符合惩罚性赔偿适用标准的前提下，将惩罚性赔偿的效果、倍数计算方法纳入到个人信息公益诉讼损害赔偿认定体系当中，作为可供量化认定损害赔偿金额的锚点之一。关于损害赔偿和惩罚性赔偿在功能性上进行融合、统一的必要性和可能性：

一是将惩罚性赔偿与代表修复、预防和治理费用的赔偿进行融合、统一，是个人信息公益诉讼科学修复和预防、治理，两个方面价值预设的必然要求，兼顾公法和私法的属性，共同服务于科学修复和预防、治理的两大目标。

二是将惩罚性赔偿与代表修复、预防和治理费用的赔偿进行融合、统一，是无损害无赔偿及损害与赔偿正相关两大理念的必然要求，代表修复、预防和治理费用的损害赔偿是对科学修复方案所需支出费用的一种预估，本身并不是事实意义上的全部赔偿，在行为人恶意侵权、违法行为、损害后果（风险）严重等特殊因素的介入下，常规预估的修复、预防和治理费用可能无法覆盖应然的科学修复费用，更难以达到面向未来的预防、遏制和治理的修复标准要求，通过惩罚性赔偿进行补足，具有正当、必要性。

三是在相关法律未做出修改之前，将惩罚性赔偿的效果和倍数计算方法纳入到个人信息公益诉讼损害赔偿之中，可以避免惩罚性赔偿的合法性争议，是合法性要求的现实需要。即便法律一直维持现状，也不妨碍通过此种方式在实然层面实现个人信息公益诉讼损害赔偿全部预设价值追求。

综上，惩罚性赔偿在个人信息公益诉讼中具有正当性和合理性，可以通过损害赔偿和惩罚性赔偿融合、统一的方式解决其合法性问题，但应严格遵守可罚性、过罚相当和禁止重复评价等原则，保持应有的克制。

（一）以恢复受损公益状况为核心的“双层”损害赔偿认定架构

《民法典》第1182条、《个人信息保护法》第69条第2款总括性的对个人信息侵害造成的损害赔偿进行了规定，但鉴于个人信息侵害具有无形性、非物质性等特点，在缺乏明确、具体、可操作性的损害赔偿认定规则的情况下，司法机关仅能凭借自身经验和朴素正义观念对损害赔偿进行“酌情”判定。公益诉讼损害赔偿，较之个体侵害的损害赔偿更为复杂，司法实践普遍将侵害人的获益作为损害赔偿认定，在遇到特殊情况如获益与损害后果相差悬殊，明显不成比例时，则会考虑在法定赔偿的限额内进行裁量酌定。理论界为对前述法条中“根据实际情况确定赔偿数额”的自由裁量进行规范和限定，将动态系统论引入到个人信息损害赔偿的认定之中，提出应综合考量“个人信息侵害人的主观状态、侵权的情节、影响后果、获利情况、维护和恢复公共秩序的合理开支及侵权人经济生活能力等因素，对损害赔偿数额进行计算。”上述方案，一方面难以兼顾个人信息公益诉讼损害赔偿科学修复的核心理念以及预防、治理的基本面向；另一方面在实践操作中也缺乏进一步对损害赔偿量化测定的锚点。

鉴于此，可考虑探索建立以恢复受损公益状况为核心的“双层”损害赔偿认定架构，以不断完善损害赔偿的适用规则：个人信息公益诉讼损害赔偿的认定可由相互嵌套的两个层次构成。第一个层次由三个可量化的锚点构成，即最低赔偿限额、基准赔偿值和最高赔偿限额。第一个锚点最低赔偿额，指侵权人的非法获益金额；第二个锚点是基准赔偿值，指修复、治理受损公共秩序、社会环境需支出的预估费用；第三个锚点是最高赔偿限额，指当符合惩罚性赔偿标准时，以惩罚性倍数计算后的金额。第二个层次是在此前确定的损害赔偿基数上，根据案件本身的其他特殊情况，结合动态系统论对未考虑到的个案因素进行最终拾遗补缺式的评估，视情做必要修正，最终得出既能达到修复效果，又能体现预防、治理功能，还能兼顾个案公平的损害赔偿金额。

（二）损害赔偿规则的具体适用

1.最低赔偿限额

所谓最低赔偿限额，即指通常情形下损害赔偿不低于非法获益金额。之所以将非法获益金额作为损害赔偿的下限标准，理由是侵害人不能从侵害社会公共利益的行为中获利，至少应剥夺其非法收益所得的金额。通常情形下，因侵害行为所获之利益，往往不及所造成的社会公共利益损失，故将其作为下限标准，以对预估、评估的修复、治理费用进行底线限制。当然，在特殊情况下，如非法获益金额极高，修复、治理的评估方案异常复杂且成本很高，也可从权决定以非法获益金额作为损害赔偿的金额。

2.基准赔偿值

基准赔偿值，是确定损害赔偿最通常采用的中间标准值。损害赔偿的目的和正当性，是对受损公共秩序、社会环境进行修复和治理，以使其回复到未曾发生损害前应然的良好状态，这是整个个人信息公益诉讼损害赔偿制度的根本着眼点和出发点。可以认为，如何对受损公共秩序、社会环境进行有效的修复、治理决定了如何损害赔偿，如何合理、有效、规范地使用赔偿又决定了损害赔偿的正当性和损害赔偿本身。所以，通常情形下对受损公共秩序、社会环境进行修复和治理预估支出的费用就应认定为损害赔偿的金额。法院对修复和治理预估费用的必要性、可覆盖性和合理性的审查，本身就是对损害赔偿的认定。

问题的关键是，如何建立起一套科学、规范、系统的用于修复和治理的评估、实施机制，能够为司法机关提供修复方案及费用评估。从长远来看，随着人类社会的生活空间从自然物质环境空间逐步向赛博虚拟数字空间转化，赛博虚拟数字空间对人类、人类社会的生活、发展的重要性将越来越凸显，对以个人信息、数据等为重要内容的数字社会生态环境破坏所造成的影响，并不亚于对自然生态环境破坏所造成的影响。故而，应仿效《生态环境损害赔偿制度改革试点方案》中生态环境损害鉴定评估机制，探索建立数字生态环境损害鉴定评估机制，培育专业的鉴定机构对数字领域发生的个人信息、虚拟财产、数据和信息安全等的私益和公益损害，进行修复方案制定和费用评估。以此确定损害赔偿后，委托具备修复能力的社会第三方机构进行修复、治理。从当下来看，在缺乏专门机构的情况下，有赖公益诉讼起诉方根据具体案件中侵害行为涉及的信息数量、类型，采取的方式、目的和持续时间，波及的行业领域、地域范围，已造成的影响程度和可能的潜在风险等因素，引入第三方社会机构、科研机构力量及专业人士共同协作，拟定修复、治理方案，进行费用预估，由此确定损害赔偿金额。由法院对前述方案和预估费用进行必要性、合理性和可覆盖性的审查。特别需要提出的是，目前情形下公益诉讼起诉方只需提出概况性修复、治理方案和大致费用预估，而无须过于细致、精确。即便如此，也能为后续酌定赔偿数额提供相对客观、确定的参考标准。同时，起诉方聘请专业人员、机构等所支出的费用，可以作为修复、治理成本在损害赔偿中一并提出。

3.最高赔偿限额

符合惩罚性赔偿标准的前提下，可在最低赔偿额或基准赔偿值的基础上按照惩罚性倍数计算赔偿金额，以此为最高赔偿限额。适用惩罚性赔偿，具体涉及两个问题：一个是损害基数的确定；一个是倍数确定。

关于损害基数的确定。确定损害基数的基本原则是，在计算惩罚性赔偿金额时，应当以受害人实际受损害的数额作为计算基础。即惩罚性赔偿应当以实际损失作为倍数计算的基准。在个人信息公益诉讼中，实际损失在应然价值上是指对受损公共秩序、社会环境进行修复和治理应支出的费用。故，从应然价值追求的层面而言，应该以此作为惩罚性赔偿的计算基数。同时，考虑到个人信息领域公共利益的修复、治理鉴定评估尚未起步，出于减轻起诉方的负担，避免社会成本增加等因素考虑，可以将侵害人的非法获益金额作为拟制损失，确定为赔偿基数。但是，以非法获益金额为基数计算的损害赔偿金，若明显无法实现公共利益修复、社会环境治理的目的，起诉方也可以举证修复、治理的大致方案及费用的概况评估，以要求按此基数标准计算惩罚性赔偿。

关于倍数确定。法律规定的倍数限度体现了惩罚的比例原则和谦抑原则，倍数越高越能体现出立法政策上的必要性。倍数可以是固定的，也可以是不确定的倍数；可以不是整数，只要能满足惩罚目的即可。考虑到大规模个人信息侵害造成的损害情形较为复杂，且惩罚性赔偿是以功能效果实现的方式融入个人信息公益诉讼损害赔偿中，在确定惩罚性赔偿的倍数时应具有一定的裁量空间，同时基于目前个人信息领域侵害行为多发的现状，可根据具体情况将倍数合理确定在所受损害的一至五倍之间。

4.第二层次动态系统论的再修正

损害赔偿的第二个层次，是对前述规则确定的损害赔偿金额，基于动态系统论，针对未考虑的个案特殊因素，进行再评估，以视情做出修正。动态系统论是指，对待法律评价问题，不是预先确定评价的内容，而是试图给评价的方法提供一个框架；进行利益裁量时，规范指引需要考虑的多种因素，并灵活、弹性地确定各种因素的角色和权重，以追求公正和经得起推敲的裁量结果。本文提出“双层”损害赔偿认定架构，是结合个人信息公益诉讼损害赔偿的自身特点，对动态系统论的一种具体应用。笔者将认定损害赔偿应考量的各种因素，基于科学恢复和预防、治理的两个面向，规范置入三个量化测定锚点之中，以进一步理顺各种考量因素之间的适用关系。进行第二层动态系统的修正，也是希望通过具体个案的特殊因素再评估，尽可能地提炼所有相关事实因素，并针对各种相关的因素加以全面裁量，以避免出现僵化适用，导致个案利益失衡的情况，例如，对侵害人经济和生活状况因素的考量，若严格贯彻完全赔偿原则，可能会导致部分加害人陷入生存困难，同时也会偏离社会公平之理念，就有进行酌减修正的必要。又如，在损害后果较小，且通过私益诉讼赔偿已剥夺侵害人非法获益的情况下，公益诉讼赔偿也可酌情突破非法获益金额下限的限制。

损害赔偿是个人信息公益诉讼最为重要的核心问题，损害赔偿的妥当性直接决定了个人信息公益诉讼本身的正当性。作为一个全新的领域，个人信息公益诉讼损害赔偿仍处在最初的萌发阶段，未来有必要从以下方面进一步探索和规范：一是明确个人信息公益诉讼损害赔偿的法律定位，建议新增《个人信息保护法》第70条第2款规定：“个人信息处理者侵害众多个人的权益造成公共利益损失的，前款规定的主体可以依照本法第六十九条第二款的规定，向个人信息处理者提出损害赔偿请求”。二是赋予惩罚性赔偿探索的合法授权、明确损害赔偿款的管理和使用，建议将“人民检察院可以在检察公益诉讼中依法提出惩罚性赔偿请求”和“最高人民检察院协调有关部门推进检察公益诉讼损害赔偿款的规范管理工作”的内容写入《检察公益诉讼法（稿）》。三是推动数字生态环境损害鉴定评估机制的试点探索，培育专业机构对数字领域发生的个人信息、虚拟财产和数据的私益或公益损害，进行修复方案制定和费用评估。四是建议通过司法解释或两高联合其他部委共同出台规范性文件的方式，重申个人信息公益诉讼损害赔偿是修复、预防和治理需支出的费用，对早期的治理方案、费用评估提出指引，特别对损害赔偿款的妥善管理和专款专用做出具体规范。