论个人信息保护公益诉讼惩罚性赔偿制度的构建

宋希宁

(中国海洋大学 法学院,山东 青岛 266100)

一、问题的提出

随着信息技术的不断发展,个人信息的利用价值与日俱增。大规模的信息收集和处理在为企业和个人带来巨大利益的同时,也出现了对个人信息违法收集、非法买卖等越来越多的侵权现象,个人信息保护迫在眉睫。

我国《中华人民共和国民事诉讼法》(以下简称“《民事诉讼法》”)第五十八条对允许进行公益诉讼的情形采取了列举性的描述方法,对环境污染和侵害不特定消费者权益两类典型的损害社会公共利益的案件提起公益诉讼做了明确的规定。同时,以“等”字作为扩展依据,以“损害公共利益”为标准,将民事公益诉讼的范围向外扩展,衍生出了多元的民事公益诉讼类型。2021年8月,《中华人民共和国个人信息保护法》(以下简称“《个人信息保护法》”)允许个人信息保护适用公益诉讼制度。梳理新一轮技术革命以来我国个人信息保护相关规范,不难发现我国的个人信息保护正逐步从隐私信息的私益保护转向个人信息的公益保护[1]。

在消费民事公益诉讼和环境民事公益诉讼中,虽然惩罚性赔偿已经成为重要诉请,但该制度在个人信息保护中能否适用却尚未明确。鉴于惩罚性赔偿的威慑功能可以有效预防并减少个人信息侵权现象的发生,所以应该在厘清惩罚性赔偿纳入个人信息保护类公益诉讼可能性的基础上,在构成要件、计算标准和赔偿金的归属及适用等方面进行理论论证和制度建构,以期对该制度的完善有所裨益。

二、惩罚性赔偿纳入个人信息保护类公益诉讼的可能性分析

王利明教授认为,惩罚性赔偿具有补偿受害人损失、惩罚和遏制不法行为等多重功能[2]。对于消费者公益诉讼而言,为了弥补私益诉讼中惩罚性赔偿不力的缺陷,防止消费者公共性损害的发生,促进消费领域公正交易秩序的形成,对消费者公益诉讼中提起惩罚性赔偿的请求予以支持是可行的[3],惩罚性赔偿制度在个人信息保护公益诉讼中具有可适用性。

(一)个人信息保护类公益诉讼中适用惩罚性赔偿的立法基础

我国《中华人民共和国民法典》(以下简称“《民法典》”)与《个人信息保护法》均未明确赋予原告在个人信息保护类公益诉讼中提起惩罚性赔偿的请求权。《个人信息保护法》仅规定对故意侵害他人个人信息权益的应负赔偿责任,但并未对赔偿的具体形式作出详尽规定。尽管我国法律尚未承认个人信息侵权的惩罚性赔偿制度,但惩罚性赔偿并不是一个静止、封闭的体系[4],《民法典》允许其他类型侵害公共利益案件的被侵权人可以提出惩罚性赔偿诉请的规定,这些规定为惩罚性赔偿制度纳入个人信息民事公益诉讼奠定了立法基础。

首先,将惩罚性赔偿案件范围扩展至个人信息保护领域具有立法基础。《民法典》第一百七十九条明确规定,“法律规定惩罚性赔偿的,依照其规定”。《民法典》第一千一百八十五条、第一千二百零七条和第一千二百三十二条允许被侵权人对侵害他人知识产权的,明知产品存在缺陷仍然生产、销售的,故意污染环境、破坏生态造成严重后果的提出惩罚性赔偿请求。个人信息保护类公益诉讼案件与上述三类案件一样,由于其买卖公民信息数量巨大,涉及不特定多数人的合法权益,会对社会公共利益造成巨大的恶劣影响。基于此,将惩罚性赔偿的适用范围扩展至个人信息保护领域,具有立法基础。

其次,《民法典》规定的惩罚性赔偿请求权可由民事公益诉讼原告行使。在个人信息保护类民事公益诉讼中,检察机关、有关机构或组织等原告担当不特定多数被侵权人提起诉讼,不仅提高了诉讼效率,还可借助公益诉讼原告更高的诉讼水平提高案件胜诉率,扩大被侵权人获得赔偿的可能性,推动个人信息保护事业的发展。因此,将公益诉讼的原告视为被侵权人的诉讼担当人,具备当事人适格条件,其提出惩罚性赔偿请求符合法律的规定。

(二)个人信息保护类公益诉讼中适用惩罚性赔偿的司法基础

在具体的司法实践中,个人信息保护类公益诉讼适用惩罚性赔偿具有一定的可行性。在2019年12月31日前可检索到49份消费民事公益诉讼判决中,有34件判决被告支付惩罚性赔偿金,比例达到69.39%。剩余15份未判决惩罚性赔偿金的案件则是以惩罚性赔偿金与刑事罚金、行政罚款发生了折抵为由驳回相关诉请[5]。支持消费民事公益诉讼惩罚性赔偿的案件比例也很高,且在样本中并未明确否认惩罚性赔偿适用,以惩罚性赔偿与刑事罚金、行政处罚相抵为由驳回诉请,其实也是变相肯定了惩罚性赔偿具有一定的合理性。从最高人民法院和地方人民法院的典型案例看,个人信息保护类公益诉讼中适用惩罚性赔偿具有一定的可行性。2021年,最高人民检察院发布了11件典型案例,其中两例为侵害个人信息的民事公益诉讼案件,另外三例为侵犯个人信息刑事附带民事公益诉讼案。虽然上述判决并未明确使用“惩罚性赔偿”的说法,但确因损害公益而获得非补偿性赔偿的支持,判决结果对该笔赔偿费用的用途也做了明确规定。综上,我们不难发现,最高法院对个人信息保护类公益诉讼适用惩罚性赔偿持积极态度。同时,地方人民法院也在谨慎探索惩罚性赔偿的适用领域,在公益诉讼起步较早、发展较快的广东省,广东检察机关共提起食品药品安全及个人信息保护领域公益诉讼270件,法院判决支持惩罚性赔偿金1.6亿元[6]。在我国个人信息保护类公益诉讼领域引入惩罚性赔偿制度,具有司法基础,具备一定的可行性。

三、个人信息保护类公益诉讼惩罚性赔偿制度的构建

鉴于个人信息保护类公益诉讼中适用惩罚性赔偿具有立法基础和司法基础,系统建构个人信息保护民事公益诉讼惩罚性赔偿制度很有必要。具体而言,应从如下三个方面展开。

(一)明确个人信息保护类公益诉讼惩罚性赔偿制度的构成要件

1.明确请求主体

《个人信息保护法》第七十条规定检察院、法定消费者组织和网信部门确定的机构有权提起个人信息保护类公益诉讼。基于法律适用应遵循“特别法优于一般法”的原则,请求主体的确定应遵守《个人信息保护法》的规定,因此,依照《民事诉讼法》第五十五条规定,检察院应当在没有规定的机关或组织起诉时才可以提起公益诉讼。在个人信息保护类公益诉讼中,请求主体的确定,应当遵循一定的顺序,即按照法定消费者组织、网信部门确定的机构、检察院。尽管《民法典》规定只有“被侵权人”才享有惩罚性赔偿的请求权,但检察机关、符合规定的各类机关和组织作为众多不特定“被侵权人”的诉讼担当人,也有权提起惩罚性赔偿请求,成为提出惩罚性赔偿请求的适格主体。

2.明确主观要件

《民法典》第一千一百八十五条、第一千二百零七条和第一千二百三十二条对三类案件中适用惩罚性赔偿制度均规定了“明知”“故意”等主观要件。由此可见,惩罚性赔偿的适用,侵权者在主观上必须具有明显的主观恶意,个人信息保护类公益诉讼中适用惩罚性赔偿也不应当例外。为了发挥《侵权行为法》的惩戒和预防作用,有必要考虑侵权者的主观恶劣程度,施加惩罚性赔偿[7]。一般而言,具有主观故意的侵权者通常会对被侵权人的财产和人身安全带来更大的风险,造成更严重的损害结果,具有承担惩罚性赔偿责任的必要性。在个人信息侵权行为中,侵权人故意的类型大致可分为非法收集个人信息、非法使用个人信息、非法买卖个人信息、非法公开或泄露个人信息、其他侵害个人信息权益的行为等五大类[6]。在个人信息侵权案件中,侵权者通常会为获取利益而故意将不特定多数人的信息打包出售给他人,非法获取信息的犯罪嫌疑人则根据个人信息的内容实施精准诈骗,诈骗成功的概率和涉案金额都会更大,也会给受害人带来更多的财产损失和精神损害。基于此,在个人信息保护类公益诉讼中要求被告承担惩罚性赔偿责任时,应当满足被告在侵害个人信息权益时具有主观故意的基本要件。

3.明确客观要件

《民法典》第一千一百八十五条、第一千二百零七条和第一千二百三十二条在规定惩罚性赔偿适用的三种情形中分别使用了“情节严重的”“造成他人死亡或严重损害的”和“造成严重后果的”来描述惩罚性赔偿适用的客观前提。《中华人民共和国侵权责任法》(以下简称“《侵权责任法》”)第四十七条也规定,造成死亡或严重损害的,可请求承担惩罚性赔偿责任。可见,立法对惩罚性赔偿的适用持较为审慎的态度,防止出现“滥诉”扰乱司法审判的正常秩序。司法实践中,财产损失可通过计算差额证明,惩罚性赔偿的适用较为容易,但对于精神损害与人身损害,难以通过简单的计算确定赔偿数额,故惩罚性赔偿的适用存在一定的障碍。在个人信息保护过程中,应遵循“折衷主义”,对被侵权人精神明显造成严重损害,应当允许公益诉讼原告直接请求惩罚性赔偿金,而无需对侵权者的侵权行为造成严重后果承担证明责任;对被侵权人并未造成极大精神损害的案件,应满足侵权者已经造成一定严重后果的条件,作为适用惩罚性赔偿的要件之一,只能对其请求补偿性赔偿。

(二)明确赔偿金的计算标准

依据《侵权责任法》第四十七条,被侵权人可主张惩罚性赔偿的简单规定与《个人信息保护法》的不完善,导致司法审判请求主体难以提出确定的诉讼请求数额,法院进行裁判时亦无标准可参照。关于惩罚性赔偿的计算的基数与倍数,最为常见的观点是法院可支持双倍价金的惩罚性赔偿、不超过三倍的惩罚性赔偿金和全部损失额的一倍至三倍三种观点。对于惩罚性赔偿金额的计算,不同部门法有不同的规定,《中华人民共和国消费者权益保护法》第五十五条规定,受害者有权要求所受损失三倍的惩罚性赔偿;《中华人民共和国食品安全法》第一百四十八条则规定,除要求赔偿损失外,还可要求被告支付价款十倍或损失三倍的赔偿金。

对于个人信息保护案件而言,由于目前个人信息流通的价格并不高,双倍价金的惩罚性赔偿不足以对侵权者的不法行为产生威慑和预防作用。以经济损失额为计算基数的计算方式亦不适合个人信息保护,除可能带来经济损失外更多可能带来的是精神损害。而补偿性赔偿应当包括经济损失、人身与精神损失,以具体数额对侵权者造成的损害进行衡量,更客观地表现违法行为的危害性。因此,以补偿性赔偿金额作为计算基数,将一至三倍的区间作为计算倍数较为合理。司法实践中,对于惩罚性赔偿金计算倍数的确定,还应参考案件中过错程度、侵权情节、侵权后果、获益情况、经济能力、主观态度、原告数量及侵权人已承担和将承担的其他财产性责任等实体性因素[9]。而对于个人信息保护类案件而言,侵权者的主观过错程度、造成的严重后果和侵权者的获利应当是最重要的三大因素。基于上述理由,惩罚性赔偿金的计算,应结合案件实际情况并参考上述三个重要因素,以补偿性赔偿额为基数,将惩罚性赔偿金控制在案件补偿性赔偿金额的一至三倍。

(三)明确赔偿金的归属及管理

我国法律明确规定具有惩罚性赔偿金请求权的主体为被侵权人,即使民事公益诉讼的原告以诉讼担当形式提起诉讼,惩罚性赔偿金也应当包括对个人信息受侵害主体的赔偿。但由于个人信息保护案件的特殊性,受侵害主体通常难以发现侵权现象的发生且受害主体数量巨大。因此,除补偿受害主体外,惩罚性赔偿金也可以用作其他公益用途。参考环境民事公益诉讼和消费民事公益诉讼中惩罚性赔偿金的相关管理制度,个人信息保护类公益诉讼惩罚性赔偿金的管理和使用,应当明确以下几个方面:第一,应设立个人信息保护基金账户,在惩罚性赔偿金缴纳后立即存入基金账户,基金可以用于补偿提出申请的受害者,实现惩罚性赔偿金的补偿功能;第二,惩罚性赔偿金可用于个人信息保护其他相关事项的开支;第三,惩罚性赔偿金可用于个人信息保护公益诉讼案件的其他费用,以减轻有关部门和检察院的诉讼负担;第四,确保惩罚性赔偿金专款专用,惩罚性赔偿金基金账户的归属主体应当为检察院或有关公益性组织,但无论由谁管理,各方都应当确保该账户的专款专用,对资金的使用进行全面监督。

四、结语

将惩罚性赔偿制度纳入个人信息保护类公益诉讼,无疑会推动个人信息收集行业的健康有序发展。但无论是《民事诉讼法》《侵权责任法》,还是《个人信息保护法》都未对个人信息保护公益诉讼案件适用惩罚性赔偿制度做出明确规定。尽管当前该问题的必要性和可行性都得到一定程度的证明,但仍缺乏一套明晰的体系为个人信息保护公益诉讼的原告主体提供诉请的理由和司法审判者裁定准许诉请的依据。尽快归纳在个人信息保护公益诉讼中难以适用惩罚性赔偿的原因,建立完善的法律体系,回应大数据时代对个人信息保护的需求。