论个人信息保护公益诉讼惩罚性赔偿.pdf

收稿日期2023-09-30基金项目2021 年司法部国家法治与法学理论研究项目“数字治理在公共法律服务中的适用研究”(21SFB4009);2021 年福建省创新战略项目“后疫情时代下福建省健康医疗大数据应用的高质量立法研究”(2021R0025)。作者简介廖丽环(1990),女,福州大学法学院副教授。俞程(1998),男,福州大学法学院硕士研究生。最高检发布检察机关个人信息保护公益诉讼典型案例EB/OL.2023-01-07.https:/ 年第 1 期总第 126 期北京化工大学学报(社会科学版)Journal of Beijing University of Chemical Technology(Social Sciences Edition)No.1.2024Total No.126论个人信息保护公益诉讼惩罚性赔偿廖丽环俞程(福州大学法学院,福建福州 350108)摘要“河北省保定市人民检察院诉李某侵害公民个人信息民事公益诉讼案”引起了学界对个人信息领域中能否适用惩罚性赔偿的讨论。从二者的目的、性质、功能等法理基础上分析,应准许原告在公益诉讼中提出惩罚性赔偿的请求,从角色定位、适用关系、适用限制三个层面出发,能够明确惩罚性赔偿的适用路径。在此基础之上,可将侵权行为人主观故意、信息处理行为具有不法性、造成严重结果以及结果与行为具有因果关系作为构成要件,并在设置惩罚性赔偿最低额度的基础之上,将“特定基数”和“乘数倍率”作为计算惩罚性赔偿金的基本模式。由于惩罚性赔偿金属于特殊的民事责任,是故可以合理地认定惩罚性赔偿金归属并适用于社会不特定受害群众。同时,若私益诉讼后于公益诉讼,则没有主张惩罚性赔偿的正当理由。关键词 公益诉讼;惩罚性赔偿;个人信息;私人执法中图分类号D922.16 D925文献标识码A文章编号1671-6639(2024)01-0065-15一、问题的提出相关法定主体对于侵害数量庞大的信息违法行为提起民事公益诉讼,意在维护公共利益1。在实务中,法院多以要求个人信息处理者承担停止侵害、消除危险等民事责任的方式解决。然在“河北省保定市人民检察院诉李某侵害公民个人信息民事公益诉讼案”(以下简称“保定市检察院诉李某案”)中,原告主张被告承担惩罚性赔偿的请求获得判决。2017 年以来,李某通过违法的手段获得个人信息超过 1290 万条,并将部分信息非法出售,同时拨打骚扰电话欺骗消费者购买假冒伪劣商品,非法收入共计 55.4605 万元。对于如此大规模的侵害权益的行为,保定市中级人民法院判处李某支付三倍惩罚性赔偿金共计 166.3815万元。本案作为个人信息公益诉讼适用惩罚性赔偿的首案,引起了学界的广泛关注。有学者认为在个人信息保护公益诉讼中应当加入惩罚性赔偿,理由在于,在大量个人信息权益受害的情形下,侵权者往往获利高,如果适用补偿性损害赔偿难以有效预防和阻遏大规模侵害个人信息的行为2。也有学者认为,惩罚性赔偿以私益诉讼为适用对象,并不适用于公益诉讼,且若适用该制度,被告有可能因为一个违法行为受到数次处罚3。诚然,“保定市检察院诉李某案”通过在个人信息民事公益诉讼中适用惩罚性赔偿维护了广泛个人信息者权益,阻遏了不法信息处理者,但学者们对于该案中适用惩罚性赔偿金的消极立场实则56北京化工大学学报(社会科学版)2024 年第 1 期体现出当前司法工作人员的困惑心态。首先,私益诉讼适用惩罚性赔偿金的目的在于提高受害人的维权积极性,实现阻遏侵权人的目标,而公益诉讼是由相关法定组织代为提起,不存在维权困难的情形,因而引入惩罚性赔偿金制度是否具有法理支撑?其次,若从法理角度可以证明惩罚性赔偿适用的合理性,那么被告有无可能因为实施一个违法行为受到多次处罚,其适用路径应如何确立?再次,个人信息保护公益诉讼区别于传统的私益诉讼,惩罚性赔偿应当如何适用、计算,被告最终承担的惩罚性赔偿金归属于何主体?最后,在个人信息保护领域中,对于侵害个人信息者的同一违法行为,既有先于公益诉讼的个体提起的个人诉讼,又有公益诉讼后个别信息主体提出的私益诉讼,是否都可以主张惩罚性赔偿?围绕以上四个角度的问题进行论述,可以明确惩罚性赔偿的合理性及适用路径,使其在信息领域中能够得到正当的适用。二、个人信息保护公益诉讼适用惩罚性赔偿的法理支撑要明确惩罚性赔偿能否适用这一问题,需要探究其背后是否存在能够证成其合理性的法理支撑,从信息保护公益诉讼和惩罚性赔偿的目的、功能和性质三个角度出发能够发现二者的契合点。(一)目的趋同:共同促进“私人执法”效果当下,环境和消费者保护等领域出现了既影响个人权益又侵害公共利益的行为,造成了公益与私益边界不清晰的难题,是故各国开始试图改变诉讼规则以解决该问题,“通过引入司法力量弥补行政执法之不足,使法官担负起保护社会福祉的责任,使诉讼担当起执行社会政策的角色,成为现 代 社 会 民 事 诉 讼 的 社 会 化 的 重 要 内容”4。该社会化的内涵主要是指受害者数量多且不特定,而执法者不积极履行职责时,法律授予无监管职权的主体以提起诉讼的方式追究违法者责任。以该理念为指导思想,各国形成了各种特殊的诉讼类型,如美国的公民诉讼、德国的团体诉讼等,而我国称之为民事公益诉讼。这种出于对公共利益保护的诉讼模式,应当定义为“私人执法”(Private Enforcement)诉讼5,即当行政妥协迁就时,相关主体提起公益诉讼以实施法律。大数据时代背景下,开放共享的社会环境促使个人信息具备公共性品格。将信息牢牢控制于个人的手中形成“信息孤岛”并非最优选择,而将个人信息投入经济的洪流中使其共享流通,凭借市场配置资源的决定性作用实现其价值的最大化,才是主流做法6。是故,基于个人信息的公共属性,大规模的信息侵权行为也同时影响了个人权益与公共利益,个人信息保护法第 70 条规定的个人信息保护公益诉讼应运而生。该公益诉讼作为一种“私人执法”,可以理解为,当信息管理部门怠于行使职责时,相关组织可以提起诉讼追究侵权者的责任,以维护广大不特定群众的信息权益。然通过大规模的信息侵害而获取利益的违法成本低、惩戒手段的震慑力缺乏是我国信息保护领域的显著难题。虽然个人信息保护法 民法典对侵害个人信息的不法行为已经设置了相应的民事责任,同时在损害认定、归责原则等方面作出了一定的规定7,但达至因果关系清晰化、损害认定规范化、过错认定规范化仍有一定的距离,加上信息主体权利意识淡薄等因素,目前在私法层面对信息权利的救济仍存在不足。具体表现在:其一,大范围个人信息侵权的违法成本与获益不对称诱惑不法行为人持续侵权;其二,维护权利所带来的收益与诉讼成本的落差,降低了信息主体维权的积极性。是故从社会整体观之,两种原因共同加剧了侵权人担责不足、受害人受偿不够的困境,信息侵权人通过大规模的侵害信息所获收益远远高于其因违法而承担的赔偿金额8。而个人信息公益诉讼仍是以民事诉讼原理为基础,给予当事人的赔偿请求权仍只是发挥损害填补的作用,也存在上述“信息权利救济不足”的难题,导致其所具有的“私人执法”效果有限,并不能实现个人信息公共利益的完整保护。显然,损害差额说理论已然无法调整个人信息领域中侵权人与受害人之间的利益落差,而这时惩罚性赔偿能够恰到好处地摆正侵权人违法成本与受害人维权获益的失衡,从而间接增强“私人执法”的效果。在我国,虽然惩罚性赔偿一开始只是作为私法责任出现,但后续在消费者权益保护、食品安全和产品责任领域中崭露头角,演化为保护公共利益的662024 年第 1 期廖丽环俞程:论个人信息保护公益诉讼惩罚性赔偿特殊责任,最终的价值目标在于实现公共利益的保护,与个人信息保护公益诉讼的价值目标相符。在此基础上,以提高维权收益的方式刺激个人信息保护公益诉讼提起的同时,提高侵权人的违法成本,即以“刺激公益诉讼的提起”与“提高违法成本”双方面的举措,与个人信息保护公益诉讼的损害填平形成互补,能够纾解“信息权利救济不足”的问题以实现个人信息公共利益的保护,进而合力追求“私人执法”的目的。(二)功能互补:共同追求预防保护目标 个人信息处理者在海量收集并智能处理信息后,通过大数据算法形成目标群体的人格画像,以此对社会成员进行分类,极易产生歧视与隐形控制的问题,进而侵犯信息主体人格权益。大数据技术的快速发展使得个人信息一旦泄露将永远暴露于互联网中而难以讨回,而某些与人格权益高度紧锁的信息在快速传播的同时,将对信息主体产生更严重的损害。有德国学者提出:“在衡量赔偿数额时应强调对媒体企业的预防功能,以防止无所顾忌的不法人格权廉价出售得不到惩戒。”9是故,个人信息保护领域的工作重心与难点在于事前预防而非事后救济,这与我国公益诉讼设立之初所坚守的立法理念相符,即个人信息公益诉讼首要聚焦的是预防功能,首要目的在于阻遏与预防10。惩罚性赔偿具有惩罚功能、震慑功能与救济功能11。惩罚功能在私人报复上形成,是对国家机关公共权利的维护;震慑功能即遏制相似行为再次发生的功能;救济指的是对原告而言,在补偿性赔偿之上的一种弥补12。除此以外,我国不少学者更是将惩罚性赔偿视作一种激励,将其称作“激励性报偿”13或者“奖励”14。私益诉讼中,惩罚性赔偿的确能够发挥上述激励、震慑、救济的作用,但在公益诉讼中其首先发挥的是预防、震慑作用。预防功能包括结果意义上的预防功能和行为意义上的预防功能。结果意义上的预防目的在于防止不法侵害结果的产生或者继续扩大,行为意义上的预防目的在于对侵害行为人再犯以及相同侵权行为再次发生的预防15。根据个人信息保护法的规定,个人信息保护公益诉讼的败方当事人除了应当履行赔偿损失的责任外,还应当承担停止侵害、排除妨害和消除危险的责任,这些能够发挥结果意义上的预防功能,即个人信息保护公益诉讼使败方当事人承担责任防止侵害结果的产生或者继续扩大。但这些责任并不能发挥行为意义上的预防功能,个人信息保护公益诉讼在行为意义上的预防功能存在欠缺,而适用惩罚性赔偿能够恰如其分地弥补其在这方面的弱势。参考刑罚预防理论16,可以将对于他人再次实施类似的行为的预防称作一般预防,对于行为人再犯的预防称作特殊预防。就一般预防而言,惩罚性赔偿超出违法收益的高额赔偿责任,对潜在个人信息处理者起到一种警示作用;就特殊预防而言,在信息主体实际损失之外再对信息侵害的行为施以额外的惩罚性赔偿责任17,能够制止不法行为人再次实施类似的行为。此外,相较于过失侵权来说,故意侵权有较高的可规避性与预防性,法律也应构建特别的制度以实现对故意侵权的预防18。首先,从侵权意志的角度出发,对于故意的解释有着两种不同的观点。第一种是“观念主义”,指的是行为人意识到损害结果会发生,而不问损害后果是行为人意识到后积极追求还是放任而导致的;第二种是“意思主义”,指的是损害后果是行为人想要造成的19。显然,“意思主义”指的是直接故意,而“观念主义”还囊括了间接故意。直接故意与间接故意在法理上主要呈现出“明知+积极追求”与“明知+放任”的范式,不法行为人主观方面需同时具有认识因素与意志因素,行为人可以完全由自身决定故意侵权行为是否发生,因此加强预防措施即可高度盖然地实现震慑功能。而过失侵权虽然也能够通过增强预防措施起到一定的预防作用,但仍然存在由于行为人先天驽钝或情绪不稳定等原因导致的过失侵权。而从经济开支的角度出发,过失侵权发生的场合具有多样性与难以预测性,是故也难以实施有效的针对性的预防措施,其所需经济成本相较于故意侵权而言也更高。当下,实证研究表明,个人信息公益诉讼中大规模地收集、使用、买卖个人信息或者利用信息从事商业活动从而侵害公共利益的行为,一般系信息处理者明知自己的行为以及结果而主动实施的,其主观心理76北京化工大学学报(社会科学版)2024 年第 1 期系故意,过失的主观心理状态基本不存在,是故,个人信息公益诉讼中应当设置特殊的制度以实现故意侵权的预防。而从单纯的技术意义上来说,个人信息公益诉讼中不法行为人能够大范围、跨时空地域地侵犯信息权益足以表明补偿性赔偿已经不具备震慑力,亟需从赔偿额度上设置特殊的制度以实现预防效果。因此,惩罚性赔偿在个人信息公益诉讼中的适用能够扩展法律对于这种大规模信息侵权行为的打击面,有效抑制个人信息侵权对公共利益的危害。总而言之,天生具有预防功能的惩罚性赔偿,使得个人信息保护公益诉讼在结果预防功能的基础上,又能达到“一般预防”与“特殊预防”的效果,同时其贴合个人信息公益诉讼中大规模的故意侵权行为,能够起到更大限度的预防作用。二者之间天然的优势互补,正符合现下个人信息保护公益诉讼对“预防保护”目标的追求,为适用惩罚性赔偿提供有力支撑。(三)本质相符:共同具备“公法私法化”特征惩罚性赔偿是一种超出实际损害数额的赔偿,其以补偿性赔偿为适用先决条件,通过考察个案不法行为人的损害结果、责任承担能力等各种情节,以高于实际补偿数额的赔偿金震慑潜在不法行为人,进而实现维护受害人个体权益与社会公共利益的目标。从我国法律体系来看,惩罚性的刑罚权几乎已经被刑法完全占据,私法上的受害者只能通过“同质补偿”原则要求不法行为人进行补偿,是故惩罚性赔偿与传统损害赔偿不同,其是存在于平等地位之间的一方当事人向另一方当事人进行的惩罚,并不是损害赔偿制度中的平等权利义务关系。当下,我国在环境保护、产品责任、知识产权等领域都已设置了惩罚性赔偿的规则,旨在保护私益诉讼未囊括的那部分利益,进一步规范刑法尚未制裁到的不法行为。是故,惩罚性赔偿本质上属于“利用私法机制实现本应由公法担当的惩罚与威慑目的的特殊惩罚制度”。这就是“公法私法化”,即最终目标是实现公法目的,而实施的方法与渠道又倾向于私法,即通过私法手段实现“公共”目标20。而根据个人信息保护法第 70 条的规定,个人信息保护公益诉讼以民事诉讼为基准,在主体方面,原告适格主体剥离了私益诉讼规定的“直接利害关系人”这一要件,由检察院等组织行使诉权;在诉讼标的方面,其指向侵害不特定多数人个人信息权益的侵权法律关系,即检察院、公益组织等适格主体可以就侵害个人信息公共利益的不法行为提起诉讼,以实现公共利益作为价值导向,突出“一种具有公共责任、法定责任、执法责任特性的公法责任”21。换句话说,个人信息保护民事公益诉讼已经重塑过去民事诉讼的固有机理,以公共利益为主要内容而展开,故而具备公法属性,其是一种依靠私法诉讼程序而实现公共目的、维护个人信息公益的特别制度,与惩罚性赔偿金一同具备“公法私法化”特征。由此可见,二者具备本质特征的同质性,决定了二者相结合具备理论正当性。三、个人信息保护公益诉讼惩罚性赔偿的功能定位与适用关系当下的信息法律保障制度将惩罚性赔偿定位为一种公法规制手段,是故,基于其拥有与刑事罚金、行政罚款相同的公法属性特征,在司法实践中有可能产生三种金钱赔偿责任竞合的情形,因此明晰该三者之间的适用关系尤为重要。(一)功能定位:作为个人信息保护的公法规制手段目前,对于个人信息,我国形 成 了 一 套 以 刑法、行政法为主的法律规范制度,主要运用公法规制的手段对其予以多维度的保护。然而公法规制手段存在不可避免的缺陷,使“这些规则都成了无用的马其诺防线”22。近年来刑法新增了非法获取、出售或者提供公民个人信息罪等罪名,在一定程度上震慑了信息违法行为,但刑法适用条件的严苛以及谦抑性的理念使得其无法作为个人信息保护的主导手段。首先,刑法的适用条件严格,而大部分的个人信息违法行为都无法达至所要求的标准。例如向他人提供个人信息,情节严重或特别严重的才构成犯罪,然而实践中个人信息损害与传统的人身损害或财产损害不同,个人信息通常以电子数据的形式存在,其损害通常具有无形性23,这意味着损害不会即刻显现或者并不明显,因此,许多信息862024 年第 1 期廖丽环俞程:论个人信息保护公益诉讼惩罚性赔偿违法行为都难以界定为“情节严重”。实践研究也同样表明,“损害”的认定已经成为当下个人信息难以救济的主要原因之一24。其次,刑法的谦抑性也要求其只能适用于严重至极的信息违法行为。大数据时代,信息已成为各个生产环节的“命脉”,信息争夺战势必愈演愈烈,这就决定了未来信息侵权将会越来越频繁,而刑法谦抑性作为法治国家最基本的操守25,使得我们不能倚靠刑罚来救济所有的信息侵权,其大范围地适用于信息保护领域也不可能成为现实。与刑法相比,行政保护对于大部分侵害信息的行为适用率更高,成效更明显。个人信息保护法第 66 条规定对于违法处理个人信息者给予相对应的行政责任,且惩罚力度十足,最高可达五千万元或者上一年度营业额百分之五以下罚款。虽然这些行政处罚的规定能够对不法信息处理者起到一定震慑作用,但同样难以达到最优状态。首先,个人信息保护法 将相关具有保护职责的部门统称为“履行个人信息保护职责的部门”,同时设置了信息保护义务,但并未明确相关职责具体由其中的哪一部门行使。当产生个人信息争议时,相关的部门有可能互相推诿,导致行政效率低下。其次,个人信息保护法 将信息划分为一般个人信息与敏感个人信息,具有保护职责的相关部门在资源有限的情况下,往往侧重于敏感个人信息的监管,对于次要的个人信息则容易疏忽。最后,企业的生产活动往往能够给政府带来本地经济效益,在本能的利益驱动下,生产者有可能与执法者达成“共谋”,使得违法成本低于守法成本。在这种巨额利益的诱惑下,行为人往往乐于接受处罚而规避个人信息保护责任,导致公众个人信息持续遭受损害26。综上所述,公法规制手段理应成为保护个人信息的第一道防线,但是不可避免地会存在“失灵”的情况,亟需进行一定程度上的补足。个人信息公益诉讼作为“私人执法”诉讼,当公法执法未能实现公共利益时,相关主体可以通过私法渠道来实现。换句话说,个人信息公益诉讼通过判决的形式给予被告谴责,主要功能在于弥补公法懈怠时的不足,而惩罚性赔偿的震慑、惩罚等功能可以更好地巩固个人信息公益诉讼补足公法的效果。质言之,惩罚性赔偿在补偿性赔偿的基础之上,要求不法行为人负担超过个人信息权益实际损害的赔偿数额,有的甚至要求不法行为人付出多倍赔偿,大大提高了其损害个人信息权益的违法成本,以此突出其侵害个人信息行为的负面评价。理论上来说,行政执法与刑法已经足够有效地制止并预防了信息不法行为,但如上文所述,执法资源有限与执法不力的状况使得这些公法手段一定程度上“失灵”,个人信息侵权事件仍频发。因此,惩罚性赔偿的适用能够作为公法规制手段弥补当下公共执法的不足,换句话说,个人信息保护公益诉讼的设置主要针对财产救助的方面,只要构成损害,就能够追究侵权责任,主要在行为纠错方面产生作用;而惩罚性赔偿凭借其惩罚、制裁的功效能够进一步增强个人信息保护公益诉讼的损害填补功能,达到威慑效果,能够有效覆盖公法未规制到的信息领域,从而解决公法“失灵”的问题。(二)顺位明晰:惩罚性赔偿金和刑事罚金、行政罚款之间的适用关系在具体的个人信息案件中,有可能出现同一信息违法行为同时满足民事、刑事、行政责任构成要件的情形。司法实践中,若行为人被判处承担惩罚性赔偿、刑事罚金、行政罚款三种不同的金钱赔偿义务,且同时在不同的诉讼程序中,那么需要明晰其之间的关系。需要说明的是,这里仅探究个人信息公益诉讼中惩罚性赔偿的问题。有学者认为,惩罚性赔偿与刑事、行政责任下的金钱赔偿义务相同,都有着处罚贪利性违法行为的特征,客观上具有同质性,当三者同时适用时,应当采用互相折抵的办法。该学者认为这三种金钱赔偿义务具有相同的属性,从而得出一概适用折抵原则的观点具有局限性27。虽惩罚性赔偿金、刑事罚金、行政罚款都具有惩罚并威慑不法行为人的作用,但三者有着明显差异,不存在冲突。理由如下:首先,惩罚性赔偿与刑事罚金、行政罚款之间并不存在冲突。第一,依据的法律关系不同。虽然惩罚性赔偿与刑事罚金、行政罚款相同,都具有惩罚、威慑功能,但依据的是不同的法律关系。惩罚性赔偿所依据的法律关系是民事法律关系,解96北京化工大学学报(社会科学版)2024 年第 1 期决民事法律纠纷,是一方当事人向另一方当事人所施加的惩罚,并且当事人中并无公权力机关的介入。而刑事罚金与行政罚款涉及的是刑事法律关系与行政法律关系,且当事人中通常涉及国家公权力机关。第二,并不存在归属冲突。惩罚性赔偿由个人信息侵权人承担,应当由社会广泛的受害个人信息主体所享有;刑事罚金是由法院综合考量具体案件中的各种情节,判处罪犯向国家缴纳相应赔偿数额;而行政罚款通常是由履行个人信息保护职责部门的公职人员,剥夺违法行为人的财产以弥补经济损失,通常数额不大,与刑事罚款同属于国家所有28。因此,最终的归属不同决定了惩罚性赔偿与刑事罚金、行政罚款在责任承担方面不存在冲突。在“保定市检察院诉李某案”中,李某在承担惩罚性赔偿之前,已经因侵害个人信息被判处侵犯公民个人信息罪而承担刑事罚金,可见司法实务中,同时适用惩罚性赔偿与刑事罚金并不存在实际冲突,反而能够对个人信息处理者起到更大的警示作用。其次,惩罚性赔偿与刑事罚金、行政罚款之间是否存在金额折抵,则看相关规范目标的达成状况。如上所述,惩罚性赔偿可以视作一种公法规制手段,弥补公共执法的不足,是对刑事处罚与行政处罚的补充,若刑事处罚与行政处罚的金额不足以维护公共利益以及制裁和惩罚不法行为人,那么惩罚性赔偿金与罚款、罚金可以同时适用,不存在折抵的情形;反之,若行政处罚与刑事处罚已经能够维护广大不特定主体的信息权益的,则不再适用惩罚性赔偿金,应适用金额折抵。四、个人信息保护公益诉讼惩罚性赔偿的适用限制基于惩罚性赔偿的威慑与惩罚性,法官在适用该制度时应保持审慎、保守的态度,是故,应引入比例原则对该制度的适用提供指引。(一)民事司法审判引入比例原则的正当性分析比例原则诞生于 19 世纪的德国,最初被用于限制国家警察权力以避免威胁公民基本权利的场合中,而后 1882 年的“十字架山案”以及 1958 年的“药房案”进一步使该原则囊括了适当性、必要性以及均衡性三个子原则。学界普遍将其视为限制公权力自由裁量的基本原则,以避免公权力在限制公民基本权利时超过必要尺度,因此该原则主要应用于行政法、宪法领域29。由于我国民事法律规范并没有比例原则的相关规定,是故,近年来,该原则是否可以在民事司法审判中适用,以及能否成为民事法律体系中的一员,引起了学界的广泛讨论。持否定观点的学者认为,“比例原则是对限制公民权利的国家权力的限制”,“比例原则具有独特的内涵和价值功能,没有必要也不应当在民法、刑法等部门法中普遍适用,理应回归行政法这一固有领地”30。而持赞成观点的学者认为,“将比例原则作为民法基本原则的规范化手段,使其发挥具体化、精致化民法基本原则的功能,符合比例原则的工具性原则本质,有助于发挥比例原则的效用,是比例原则民法适用的适当路径”31。从比例原则所秉持的基本理念出发,其强调的是只有在相应的条件下,才能干涉私人自由及私法自治,同时此种干涉是为了达成更高的利益,这种利益是有必要实现的,干涉所运用的手段也是最缓和的,即其核心聚焦于干预的适度性。而这种基本理念早已蕴含于民法制度中。譬如,司法实务中法院在判定某行为是否属于正当防卫时,必须综合考量这些要素:该行为必须有助于且保护某一正当利益;该行为对相对人所造成的损害最小;该 行 为 所 造 成 的 损 害 没 有 超 过 必 要 限度32。而考察的这些要素正是与比例原则中的三个子原则一一对应。此外,个人信息民事公益诉讼案件中,法院也正是基于比例原则的基本理念对强势信息处理者的不法行为进行审判。大规模的信息侵权案件中,信息处理者正是凭借其在经济基础、数据技术、人工智能等方面的优势,对弱势主体形成隐匿性的支配,这种支配关系在社会中主要体现为商家与消费者之间的关系(如商家收集个人信息以分析消费者的消费喜好)、互联网平台与用户之间的关系(如 APP 应用后台窃取用户信息)等。甚至有学者直接将这种支配力称为数据权力、算法权力、平台权力,认为其是主体间地位不平等的根源所在33。而法院正是以比例原则理念防止这种数据权力对人们信息权益的不当限制。072024 年第 1 期廖丽环俞程:论个人信息保护公益诉讼惩罚性赔偿那么,为何我们如此期盼在民事领域引入比例原则呢?如上所述,比例原则强调的是适度性,这一理念不应仅仅局限并适用于公法领域,虽然国家权力威胁程度最高,但私权利主体之间力量的悬殊也不容小觑。对私法进行合理的干涉,并非意味着放弃私法自治,而是为了避免私法自治野蛮生长。在社会关系复杂化、利益诉求多元化的今天,利益衡量是瓦解冲突的重要手段。如何平衡私权利主体之间的利益天平,特别是在当下某些私益如个人信息权已经延伸至公益的情况下,正确地行使自由裁量权是关键所在。然人们并不能仅根据哲学理念将众多受法律保护的利益排出普遍认可的位列顺序34,是故,比例原则的适用能够使主观上的利益权衡内容具体化以及权衡过程合理化,不仅仅是因为民法制度中囊括了该原则的基本理念,更是因为将比例原则作为案件裁判中利益衡量的参考标准,不但可以制约法官在民事案件中的自由裁量权,还能够为法官与各方当事人提供较为明确的预期,而这些就是民法乃至民事审判领域适用比例原则的关键原因。(二)比例原则对个人信息公益诉讼惩罚性赔偿制度的限制由于个人信息损害的无形性与难以测量性,在适用惩罚性赔偿时有些法院容易产生过度追求“惩罚性判决”的心理而忽略适用的必要性与正当性要求,从而使侵权人承担过重的赔偿责任,甚至导致市场占比份额较小的企业因为巨额赔偿而破产,无利于经济平稳发展与个人信息保护的携手并进。相反,若惩罚性赔偿数额过低,那么该制度在个人信息保护领域势必会沦为摆设,不利于个人信息的保护。惩罚性赔偿的适用是否合理正当,本质上需要法院对个案各方利益进行权衡判断,因此,结合上文所述,比例原则可以为个人信息公益诉讼惩罚性赔偿的适用提供指引,可以体现在以下三个方面:第一,惩罚性赔偿适用的必要性要求。必要性原则也被称为“最小损害原则”,即要求采用的措施应当是基于实现公共利益所绝对必须的,在面对数种办法时,所采取的措施应是负面效果最少的35。映射于个人信息公益诉讼的惩罚性赔偿适用过程中,一方面要求适用该制度的前提是针对侵权人恶劣的行为,以实现公共利益,即只有在违法行为人主观恶性大、侵害个人信息权益的范围广或者补偿性赔偿无法实现公共利益的补救等严重情形时,才可以适用惩罚性赔偿。另一方面要求法院在适用的过程中没有畸高处罚侵权人,维护了侵权人基本权益,即在综合考量案件情节的基础上,同时兼顾行为人责任能力的范围。对于不同的行为人而言,惩罚性赔偿的效果也有差异,同样的赔偿数额对于富人而言威慑力往往欠缺,而对于穷人而言可能过度36。只有将惩罚数额置于行为人责任承担能力范畴内,预防、阻遏的作用才能达到最大值,如果超过必要限度,将使行为人承担过重的责任,失去惩罚作用的同时,也危害到了经济发展。因此法院在行使自由裁量权时,应当将不法行为人的财富状况、个人承受能力作为惩罚性赔偿数额大小的考量因素37,杜绝滥用惩罚性赔偿,避免因普通的侵害行为而要求信息侵权人承担过重的惩罚。第二,惩罚性赔偿的适当性要求。适当性原则意指权力的行使需与目的紧密联系,必须适合于法律所追求目标的实现38。是故,比例原则以“实现目的”为出发点与落脚点。就个人信息保护公益诉讼而言,其作为“私人执法”诉讼,主要目的在于弥补公法规制手段执行动力的不足以实现公共利益,而惩罚性赔偿的适用目的也正是为了助力“私人执法”效果。因此,适当性原则要求惩罚性赔偿的适用应有助于公共利益目的的达成。结合上文所述,惩罚性赔偿在个案中主要起到弥补公共执法的作用,是故,若刑法或者行政保护已经足够实现信息公益救济,公共目标已经达成,那么就不应当适用惩罚性赔偿;相反,在刑法、行政法等公法手段“失灵”的情况下,公共利益的目标尚未实现,这个时候适用惩罚性赔偿就具有正当性。相同的,对于公法规制手段执行动力的补充而言,惩罚性赔偿仅是在对现有公法手段未能涵盖的非法利益进行惩罚,其惩罚的数额不宜超过刑事罚金、行政罚款所认定的数额。第三,惩罚性赔偿的均衡性要求。该原则是比例原则的核心,强调基于权力所实施的措施应当与所欲实现的目标之间相称,意味着在个人信息公益诉讼中的惩罚性赔偿与将要维护的公共利17北京化工大学学报(社会科学版)2024 年第 1 期益相一致。超过限度地行使合法权利即是违法,惩罚性赔偿的适用本身就是私益与公益权衡的过程,即“干涉的严苛程度”和“理由的充分程度”应相对称,并非任何时候公益都高于私益,否则就毫无权衡可言。是故,法院在决定是否适用惩罚性赔偿以及计算具体数额之前,应综合考量侵权行为的目的、动机以及对公益造成损害的程度作出整体判断39。同时,个人信息保护法旨在实现信息主体对自身信息的控制以及个人信息需求与社会利益之间的平衡,是故,均衡性原则也要求惩罚性赔偿的适用并不能阻碍信息在社会间的正常流转。如上述的“保定市检察院诉李某案”中,李某侵害的信息高达 1290 万条并从中获利 55 万元左右,从行为的恶劣程度与获利数额来看,法院判处其承担 3 倍的惩罚性赔偿不无道理。而 3 倍的惩罚性赔偿也在侵权人的责任承担能力范围内,在维护不特定群众的个人信息权(公共利益)的基础上,又不会使侵权人陷入生活难以为继的尴尬境地。五、个人信息保护公益诉讼惩罚性赔偿的制度建构在阐述完适用的大体方针后,应着手对惩罚性赔偿的具体制度进行构思。基于其惩罚与制裁性,在个人信息公益诉讼中应当谨慎、谦抑地适用,具体包括:构成要件,即惩罚性赔偿适用的先决条件;数额规则,即惩罚性赔偿的数额的厘定与计算;归属规则与使用规则,即惩罚性赔偿的最终去向以及通过具体制度以充分发挥其功效。(一)个人信息保护公益诉讼中惩罚性赔偿的构成要件满足构成要件是科处信息违法者承担惩罚性赔偿的前提。以“保定市检察院诉李某案”作为参考,可以将惩罚性赔偿构成要件归结为:行为人“故意”实施了侵害个人信息行为、信息处理行为的违法性、造成了严重后果、不法行为与损害后果之间具备因果关系四个要件。第一,行为人“故意”实施了侵害个人信息的行为。在“保定市检察院诉李某案”中,李某非法获取个人信息进行消费欺诈,主观上具备故意,适用惩罚性赔偿应当具有合理性。将“主观故意”视作个人信息公益诉讼中惩罚性赔偿的构成要件,原因在于,作为一种具有惩罚性质的手段,惩罚性赔偿只能适用于那些主观恶性强、具有道德上可责难性的信息侵权行为。同时,我国立法者对于惩罚性赔偿采取较为谨慎且保守的态度,在消费者保护、环境破坏等领域中都要求将“故意”作为惩罚性赔偿的前提要件之一。此外,大陆法系国家的民法,在行为人故意侵权的情况下,都将其无合理原由而蓄意伤害他人或者恃强凌弱使他人遭受欺凌等故意侵犯他人的行为,视作严重偏离法律价值的行为,进行处罚并制止40。是故,个人信息惩罚性赔偿应严格以侵权人具有“主观故意”作为构成要件,符合当前立法理念。关于“故意”,结合司法实践,可以归纳出下列情形:第一,明知侵权行为会侵害公民个人信息,造成受害者人身、财产损害而仍然实施的。李某非法处理个人信息并积极追求危害结果的行为就属于此种故意。第二,明知侵权行为会侵害公民个人信息,造成受害者人身、财产损害的结果而放任不管,任由损害结果的发生。第二,信息处理行为必须具有违法性。这里信息行为的违法性,指的是对个人信息保护法相关规定的违反。结合上述的主观“故意”要件,可以认为信息违法行为主要包括违反信息保护程序性规则或泄露、披露个人信息且拒不改正的情况。信息处理行为的违法性是适用惩罚性赔偿的核心要件之一,其与惩罚性赔偿的惩罚功能相契合,换言之,若企业在合法有效的隐私政策规定范围内合法处理信息,却仍然造成损害的,便不宜再适用惩罚性赔偿。第三,应造成严重损害后果。个人信息权通常被视作一种主动性的、积极的权利41,即个人信息权除了能够防御第三人的侵害行为外,还可以对其进行积极利用,如在他人未经权利人同意收集、使用个人信息或者对个人信息的使用将带来一定风险时,权利人有权要求其纠正或者删除其个人信息,以排除非法行为、消除风险或者使个人信息回复至正常状态。是故,损害与风险均属于个人信息民事公益诉讼的范畴中。风险是危险和剩余风险之间的概念,其中,危险意味着可预知的某段时间内的持续过程中,某一事实状态经过验272024 年第 1 期廖丽环俞程:论个人信息保护公益诉讼惩罚性赔偿证具备高度盖然性将造成损害发生42,而剩余风险指的是某一事实发生仅仅只是假定可能,一般无需进行预防,否则将会阻碍技术创新43。风险是指某一事实发生损害的概率较低,却无法像剩余风险一样排除于司法实践中,又尚未满足危险发生的盖然性程度,因此,风险的发生带有不确定性。是故,基于惩罚性赔偿的惩罚功能,若是对科学上存在不确定性的个人信息风险进行惩罚性赔偿,那么就有违上述的比例原则。因此对于个人信息公益诉讼中的惩罚性赔偿,适用的前提也必然包含严重的损害结果。同时,由于信息收集、处理的隐蔽性与快捷性,法官往往无法得知侵权人在实施违法行为时的主观恶性,而损害事实后果在一定程度上可以反映心理状态,法官可以通过个人信息遭受损害的时间长短、范围大小、数量多少来认定是否适用惩罚性赔偿。如“保定市检察院诉李某案”中,李某侵犯的个人信息高达 1290万余条,这就决定了对其适用惩罚性赔偿的合理性。损害后果达到严重的程度才能适用惩罚性赔偿,这与其惩罚性质相关,意味着并非任何的人身、财产的损失均可以提起惩罚性赔偿。第四,行为人之行为与损害结果之间具有因果关系。当判定“某人是否由于已经发生的危害而要受到责难或者惩罚,或者对他人进行赔偿”时,法官需明晰“适宜地说是他造成了这个结果”是否合理44。鉴于惩罚性赔偿具备公法上的惩罚性功能,在个人信息保护公益诉讼中,法官需在案件审理过程中积极发挥司法能动性,加强因果关系的认定,综合判断导致结果发生的各种原因。但由于个人信息侵权所造成的损害具有长期性、潜伏性和广泛性等特点,加之个人信息通常是由个人信息控制者单方储存和控制,若遭受指控,控制者易迅速修改和删除信息。因此,理论界主流观点认为,考虑到个人信息保护公益诉讼中原告的举证能力,故在该诉讼中,可以适当地实行举证责任倒置,以减轻原告的举证负担。但是,若原告提出惩罚性赔偿,仍运用举证责任倒置原则来确定因果关系是否存在,有可能进一步加重侵权者的赔偿责任。基于收益和风险相当的考量,在提出惩罚性赔偿的情况下,由受害人承担因果关系的证明责任更加符合公平原则45。在“保定市检察院诉李某案”中,检察院通过审查电子数据、询问被调查人和证人等,证实了李某的违法行为和信息的损害结果具有因果关系,并让其依法承担惩罚性赔偿,表明了由原告承担因果关系的证明责任具有可行性。(二)个人信息保护公益诉讼中惩罚性赔偿的数额规则惩罚性赔偿金的数额大小直接影响到其威慑功能的发挥,过高的数额将会抑制社会生产的积极性,而过低则不利于个人信息的保护,因此科学合理地设置数额规则具有重要意义。对于个人信息保护公益诉讼的惩罚性赔偿而言,在数额规则上应设置最低赔偿额度,以被侵权人的损失金额为基准,在此基础上,以倍率式数额作为个人信息惩罚性赔偿的计算方式较为合理,即在法官对侵权人的主观恶意程度、获利大小等裁量因素综合考虑后,规定数倍于该损失的惩罚性赔偿46。此外,应注重比例原则的理念,综合考量案件各种因素以正确公平地适用该项制度。1.惩罚性赔偿最低额度的设置有学者认为个人信息保护和消费者权益保护所面临的难题有着较高的相似性,是故可以借鉴消费者权益保护领域的做法,设立个人信息微额损害的最低赔偿制度47。消费者保护惩罚性赔偿通常在合同层面发挥效用,虽不属于侵权范畴,但和个人信息侵权相似,主要表现在:第一,受害者数量多且牵涉范围广泛。第二,单个侵权获益不高。消费品的价格通常不高,是故一般商品价格的 3 倍或者食品、药品价格 10 倍的惩罚性赔偿也仍比较低,未能充分发挥震慑功能,因此消费者保护惩罚性赔偿以及食品、药品惩罚性赔偿各自以500 及 1000 元作为最低赔偿额度。而单个信息的价值也较小,从公安部发布的典型案例中可知,当下单个信息的售价通常仅为 0.52 元,即便在此基础上以违法收益或者损害数额的数十倍计算惩罚性赔偿也过低,是故需要参考消费者保护惩罚37 个人信息损害程度达到严重可能涉嫌刑事犯罪,最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释第五条关于“情节严重”“情节特别