个人信息保护领域民事公益诉讼损害赔偿数额的厘定

赵雷新　魏颖　刘儆硕

摘 要： 《中华人民共和国个人信息保护法》第69条規定了个人信息权益损害赔偿数额的确定方式，沿用了民法典关于人身损害赔偿的规定，即按照损失或获利、根据实际情况确定的次序确定损害赔偿数额。在信息时代，个人信息权益因可产生较大经济价值而具备普遍性的侵权基础，这对检察机关在办理此类案件中如何认定赔偿数额提出了更高要求。因此只有厘清现行法律规定的损害赔偿规则，进一步探索个人信息权益损害赔偿的诉讼路径，才能充分发挥民事公益诉讼的独特优势，助力形成在面对商业利益诱惑时个人信息使用的市场规则。

关键词：个人信息保护 诉讼请求 损害赔偿 惩罚性赔偿

一、基本案情及办理过程

2021年6月，河南省南阳市宛城区人民检察院办理两件侵犯公民个人信息刑事附带民事公益诉讼线索，经过审查分别做出立案和不立案的决定，其中立案案件提起诉讼后，诉讼请求得到法院支持。

案件一：周某为推广股票配股及网络放贷生意，花费7000元通过QQ群购买了10万余条个人信息，其中包括姓名、手机号码、贷款信息等，后安排其员工通过打电话、发短信的方式全部使用，但未从该批信息权益人获得收益。因该QQ群中销售人员案发，周某同时被查获，因涉嫌侵犯公民个人信息罪被公安机关移送审查起诉。

公益诉讼部门接到线索移送后，调取了相关刑事卷宗，听取了侦查人员的意见，证实了周某在获得信息后，有多轮使用个人信息的行为，但因其经营不善，未获得任何收益。经征求多方意见，现有鉴定措施无法对个人信息权益受损情况作出明确价值认定，遂参照购买个人信息的金额，确定赔偿数额为7000元，后检察机关向法院提起刑事附带民事公益诉讼，法院支持了该诉请，周某未上诉。

案件二：王某等三人为装修公司营销人员，其花费200元从城区新售楼盘销售人员处购买该楼盘的业主购房信息，包括姓名、房号、购房款、手机号码等，后通过联系业主的方式推销房屋装修业务，并以此达成数十笔交易，获利100余万元。事后销售人员案发，王某等三人同时被查获，因涉嫌侵犯公民个人信息罪被公安机关移送审查起诉。

公益诉讼部门接到线索移送后，调取了相关刑事卷宗，询问了犯罪嫌疑人及证人，明确了王某等三人购买楼盘业主信息的过程，进而使用业主信息营销客户并达成数笔交易从而获利。经征求刑事检察部门意见，刑事诉讼中未把该装修房屋获利认定为非法使用个人信息获取的利益。为保持民事诉讼与刑事诉讼证据认定一致，检察机关认为本案虽获利较大，但房屋装修业务获利不是因使用个人信息而取得的非法获利。经向上级检察机关请示，该案因在个人信息非法买卖过程中交易金额较少，遂未启动公益诉讼程序。

二、损害赔偿数额的认定难点

在办理上述案件时，《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》）尚未施行，该院依据《河南省人民代表大会常务委员会关于加强检察公益诉讼工作的决定》［1］，认为案件符合不特定公民个人信息保护领域线索标准，遂予以审查，为确保案件质效，在立案环节即以拟定诉讼请求作为审查要点。赔偿损失、停止侵害、消除危险等侵权责任是个人信息侵权公益诉讼案件的主要诉讼请求类型，检察机关考虑到个人信息侵权刑事附带民事公益诉讼案件应当以民事经济赔偿手段为主，若不提出明确经济赔偿的诉讼请求，即便诉求得到法院的全部支持，由于被告没有与侵权行为相当的经济损失，则对侵权人无法形成经济威慑，既不利于惩罚侵权行为，也难以达到保护个人信息公共利益的目的。

《个人信息保护法》第69条沿用了民法典第1182条人身损害赔偿的规定，即按照损失或获利、根据实际情况确定的次序确定赔偿数额。个人信息作为无形权益，其损失数额一般难以量化。笔者检索裁判文书网大量案例，未发现有明确的个人信息权益受损价值的鉴定结论。个人信息权益保护的价值在于一旦个人信息遭到泄露或者非法使用，易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害，而非其本身的交易价值。同时，个人信息权益侵权行为往往是链条式，单看其中一个环节，虽没有造成量化的财产损害，但其造成的信息流动是下游实际损害发生的来源。因此，在司法实践中，以损失确定赔偿数额的认定方式往往难以实现。

（一）个人信息侵权造成的损失难以查明

以案件一为例，案情的基本逻辑是周某花费7000元非法购买大量个人信息并用于其经营业务。该类型的案件较为普遍，如房产销售、保险销售业务甚至是电信诈骗行为等。在此类案件中，单一的个人信息只有聚集形成大量的信息集合才能体现其财产价值，侵害后果主要表现为对不特定公民群体个人安宁生活的打扰。周某购买、使用信息的行为并没有对单个自然人造成直观的财产性损失，因而司法机关也无法认定因个人信息侵权受到的经济损失。在案件一的调查核实中，检察机关查明侵权人信息来源存在多个上游违法者，这也是个人信息侵权案件的特征之一，即信息流通往往涉及多个销售环节，流通次数增加会导致更大信息泄露的可能，亦会造成更大损害后果发生的可能性。是否要向每个销售环节索赔也是办案中的难题，如同无法准确认定非法使用个人信息造成的损害后果一样，司法机关更无法准确界定每次信息流通的损害后果。与一般财产权侵权行为造成的损害结果不同，个人信息的每个销售环节都具有易放大性、非消耗性特点，虽然案发当时未造成直接损失，但每销售一环其损害发生的可能就被不断放大一分，但不论流通多少次，对信息权利人来说，其信息含量是固定的，若对每个环节索赔又可能导致违背填平原则。

（二）个人信息处理者获得的利益界定存在难题

“因此获得的利益”同为法定索赔规则的第一梯度，在实际办案中，“因此获得的利益”分为两类，一是出售个人信息获得的直接利益，二是使用个人信息获得的间接利益。在第一种情况中，个人信息交易往往发生于线上，销售金额流转亦通过线上支付工具，该类案件的获利数额极易获取。在第二种情况中，使用个人信息获得的间接利益，这又需要区分合法经营获利和非法经营获利。数字化浪潮下，信息在日常交易中的商业价值较大，但获利与信息价值之间的因果关系不具有排他性，往往会出现购买该信息价格与间接获利数额差异过大的情形。

在合法经营获利案件类型中，案件二则较为典型。王某等三人为装修公司营销人员，其利用非法购买的个人信息拓展客户，并以此达成数笔交易，装修房屋数套。显然该案获利为合法装修房屋所得，且数额较大，若检察机关机械适用该条款，把装修房屋获利作为赔偿数额的计算依据，则会造成情理难题，且在该案的刑事程序中，侦查机关和公诉部门亦未把装修房屋金额认定为违法所得。因此在该获利为合法收入的情况下，合法获利和个人信息买卖之间的因果关系难以确定，则不宜把合法获利情况确定为赔偿数额。在此情形中，可以参照非法购买个人信息的价格要求赔偿，因购买信息的金额最终会通过后续经营的获利予以核减成本，即便是后续经营行为合法，但核减的成本为非法购买信息而产生的成本，因此以购买个人信息的数额确定赔偿数额亦是可行的。

在非法经营获利案件类型中，2021年4月最高检公布的检察机关个人信息保护公益诉讼典型案例中案例8具有典型意义。该案中李某利用非法获取的公民个人信息，雇佣电话客服批量、随机拨打营销骚扰电话，并以收藏品公司名义，采用夸大收藏品价值和升值空间等方式，诱骗消费者购买肾宝片、纪念册、纪念币等商品，销售价款共计人民币55.4605万元。保定市人民检察院把损害赔偿的诉讼请求确定为依法判令被告李某支付3倍惩罚性赔偿金共计人民币166.3815万元，并获得法院的全部支持。［2］因此在利用个人信息非法获利的案件类型中，该违法所得可以认定为因此获利的数额作为赔偿数额的计算依据。除此之外，在刑事附带民事公益诉讼案件中，线索来自于刑事案件，提起公诉的同时提起附带民事公益诉讼诉请赔偿，在此类案件中，追缴违法所得、损害赔偿、罚金刑如何同时适用也是应当考量的问题，这三种法定责任性质不同，相互竞合但不能互相代替。根据《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第12条规定，侵犯公民个人信息犯罪的罚金数额一般在违法所得的1倍以上5倍以下。在案件的实际办理中，罚金和损害赔偿数额均是以违法所得为计算依据，存在同质性，因此在认定损害赔偿数额时也应当考虑到没收违法所得和罚金的情况，适当予以折抵。

（三）兜底条款的适用：如何把握按照实际情况确定的标准

实践中有大量案件未造成实际经济损失、亦未获得经济利益。同样以案件一为例，周某购买的个人信息包含身份信息、手机号码等，在公安机关查获时，现有证据显示所购个人信息均已被周某通过拨打、短信等方式使用，但周某使用上述信息并未获得任何经济收益，即行为人违法购买、使用个人信息，未造成现实经济损失，亦未获得经济利益。在这种情形下，适用《个人信息保护法》第69条第2款规定的第一梯度已无法调整个人信息侵权中侵权人与受害者群体之间的利益落差，即非法获取、非法使用已构成对个人信息权益的侵害，但在无损失、未获利的情况下，检察机关在诉讼请求中如何认定赔偿数额。《个人信息保护法》第69条第2款明确了兜底条款，即根据实际情况确定赔偿数额。在此之前，民法典第1182条对人身权益赔偿的兜底规定是先协商，协商不一致的由法院根据实际情况决定。该两条规定均未能进一步明确个人信息的价值认定方式，在实在无法明确的情况下，以立法技术为司法机关留下了较大的自由裁量权。在案件一办理中，检法两院一致认为周某非法获取并使用个人信息的行为，虽未造成明确的损失且未获得收益，但该行为确实侵犯了个人信息权益，依据民法典第1182条规定，参照其购买金额，确定赔偿数额为7000元则较为妥当。

三、办案引发的思考及建议

（一）进一步明确检察机关的自由裁量权

除了存在侵权行为未造成实际损失、亦未获得利益的实际情况外，在涉及包括个人信息要素的商业行为中，因个人信息在经济活动中承担角色的不确定性，导致在个案中因个人信息获利的因果关系亦难以确定，结合实际情况确定的兜底规定将会成为个人信息权益侵害案件的主要赔偿数额认定方式。在私权利受损的私益诉讼中，会因自由裁量的不同造成个案的差异，但检察机关提起公益訴讼兼具惩前毖后的司法属性，应当有明确的赔偿数额诉讼依据。当然，行使自由裁量权确定诉请赔偿金额时，也应当考虑案件的各方面要素，如根据侵权行为的主观故意程度、违法严重程度等情节，分类分级确定数额。2021年8月最高检下发《关于贯彻执行个人信息保护法推进个人信息保护公益诉讼检察工作的通知》（以下简称《通知》）指出，“各级检察机关在履行公益诉讼检察职责时应当突出重点、从严把握以下方面：生物识别、宗教信仰、特殊身份、医疗健康、金融账号、行踪轨迹等敏感个人信息应当严格保护；儿童、妇女、残疾人、老年人、军人等特殊群体的个人信息需要特别保护；教育、医疗、就业、养老、消费等重点领域处理的个人信息，以及处理 100 万人以上的大规模个人信息应当重点保护；对因时间、空间等联结形成的特定对象的个人信息加强精准保护”。该《通知》为检察机关办理个人信息保护领域公益诉讼案件明确了办案重点，同时也为检察机关在审查起诉中确定赔偿金额时明确了自由裁量要素。因此，亟待进一步规范赔偿数额的自由裁量细则出台，进而避免“同案不同诉”的问题出现。

（二）适当引入个人信息权益的惩罚性赔偿

虽然我国法律尚未承认个人信息侵权惩罚性赔偿，但惩罚性赔偿并不是一个静止和封闭的体系。［3］基于个人信息权益的前述特征，不论立法技术对此如何细化，皆难以证实因信息权益侵权而产生的经济价值的变化。个人信息权益一旦遭受侵害，难以通过救济恢复原状，更应当强调对损害的预防效果，因此在诉讼中引入惩罚性赔偿就显得尤为必要。同时司法实践中亦存在侵犯个人信息数量巨大但获利极少的情况。在这种情形下，若仅按照遭受损失或侵权人获利情况认定赔偿数额，不但不能有效弥补被侵权人的损失，更是难以对侵犯个人信息行为形成有效威慑。如案例二中，刘某将其掌握的包含业主信息的数据包仅以200元的价格卖出，刘某在该行为中获利200元。如果按照上述索赔路径，刘某只用承担200元的损害赔偿，但该案件中非法售卖的信息极为精准，且又有经过多次交易的可能，造成的社会危害更是难以确定。因此，建议有必要在侵犯个人信息行为的民事赔偿中增加惩罚性赔偿规则。

惩罚性赔偿具有明确的法定性特点，目前有法律依据可以适用惩罚性赔偿的有经营者欺诈、生产或销售不符合安全标准的食品、知识产权侵权等。这其中以知识产权领域较为典型，作为一种人身属性极强的财产权，民法典已将严重侵害他人知识产权的行为纳入到惩罚性赔偿的适用范畴，那么个人信息权益作为一个财产属性极强的人身权益，也同样具备惩罚性赔偿保护的制度基础。首先，个人信息一旦被非法收集、非法使用后，若未继续发生明确的下游侵害，则很难计算出实际的损害数额。其次，个人信息侵权行为具有不可逆的特征，在网络环境中，被泄露的个人信息基本上无法恢复至被泄露之前的状态，类似于著作权中的发表权，一次即用尽，事后无法救济。自然人姓名、身份证号码、家庭住址等这些难以更改的个人信息一旦非法公开，则很难恢复至最初状态。即便判决消除危险，恢复原状，穷尽行为人自身的手段删除现有信息、撤销发布网页、登报赔礼道歉，但在损害事实发生后，基于互联网记忆和扩散性，这些信息的再次获取也会变得极为容易。

总之，进一步明确和探索个人信息保护领域公益诉讼案件诉请赔偿数额的诉讼路径，充分发挥检察公益诉讼中民事赔偿的作用，方能更好规范个人信息处理者在面对市场利益诱惑时的商业规则，进而促进个人信息的合理利用，以回应人民群众在数字化时代对信息安全感的迫切需要。

*河南省南阳市宛城区人民检察院党组成员、一级检察官［473000］

**河南省南阳市宛城区人民检察院政治部副主任、二级检察官［473000］

***河南省南阳市宛城区人民检察院第四檢察部副主任、三级检察官助理［473000］

［1］ 2019年9月27日，河南省第十三届人大常委会第十二次会议审议通过《河南省人民代表大会常务委员会关于加强检察公益诉讼工作的决定》规定，检察机关可以在生产安全、产品质量安全、公共交通安全、文物和文化遗产保护、不特定公民个人信息保护等领域探索开展公益诉讼工作。

［2］ 参见《检察机关个人信息保护公益诉讼典型案例》，最高人民检察院网https：//www.spp.gov.cn/xwfbh/wsfbt/202104/t20210422_516357.shtml#2，最后访问日期：2022年12月19日。

［3］ 参见孙鹏、杨再会：《个人信息侵权惩罚性赔偿制度之构建》，《北方法学》 2022年第5期。