谭吉：个人信息保护公益诉讼可适用惩罚性赔偿

数据化、网络化背景下,侵害个人信息主要表现为“侵害众多不特定个人信息”,由于涉及受害人及信息数量往往十分巨大,已经成为我国网络与信息安全领域亟待解决的重要问题。为了更好地应对司法实践面临的挑战,应结合此类侵害个人信息行为的特征,在相关民事公益诉讼中完善惩罚性赔偿规则的适用。

适用惩罚性赔偿的必要性。与补偿性赔偿相比,惩罚性赔偿更多侧重对侵权行为人的惩罚、制裁与预防。学术界将惩罚性赔偿的这三种功能作为将其引入侵害众多不特定个人信息案件中的理由。在此类案件中适用惩罚性赔偿具有重要意义。

首先,惩罚性赔偿为被侵权人提供了更多救济机会。按照民法典要求,侵权人承担与其侵权行为存在直接因果关系的损害的赔偿责任,在侵害众多不特定个人信息的情况下,如果仅适用补偿性赔偿,难以充分保护被侵权人的合法权益,也不利于维护社会公共利益。在此类案件中适用惩罚性赔偿,目的在于提供更多的救济手段,在给予个体受害人充分救济的同时,降低受害人采取极端行为的可能性,在民事领域和刑事领域之间的公共空间内,最大程度救济受害人。

其次,惩罚性赔偿可以发挥网络生态修复功能。惩罚性赔偿本身除具有对侵权行为人的惩罚、制裁与预防功能之外,还可发挥网络生态修复功能。由于技术门槛较高,公民个人很难发现侵犯个人信息行为并进行取证,而惩罚性赔偿可以为此提供资金支持。惩罚性赔偿不仅可以用于单一案件中被侵权人的补偿救济,还可用于查明相关侵犯个人信息的行为,并提出对应的技术性补救措施。在此类案件中获得的惩罚性赔偿,可以由网络生态基金会等社会组织管理,主要用于研究、鉴别、宣传、预警和预防可能出现的侵害众多不特定个人信息的行为,并为其他类似民事公益诉讼提供必要的资金和专业支持。在此意义上,适用惩罚性赔偿的直接功能是为个案中被侵权人提供救济,对侵权人进行惩罚和制裁,间接功能是有助于以社会化的方式维护网络生态安全,提升网络空间治理水平。

惩罚性赔偿的适用条件。对侵害众多不特定个人信息行为适用惩罚性赔偿的主观要件是侵权人主观上有故意。学术界普遍认为,适用惩罚性赔偿的主观要件方面要求侵权人主观上存在故意。当侵权人对实施侵害众多不特定个人信息的行为持积极或放任的态度,说明其主观恶性较大。而当侵权人主观上属于过失时,则可不适用惩罚性赔偿。因大数据应用技术仍在快速发展中,对个人信息的利用规则也正在形成中,法律规定应保留一定灵活性。

对侵害众多不特定个人信息行为适用惩罚性赔偿的客观要件是侵权人实施了侵权行为并造成可预见的危险。在此类案件中,侵权行为与侵权结果往往同步发生,一旦出现现实的损害后果则往往会导致无法挽回的损失。在此,可借鉴环境侵权案件中侵权责任的认定标准,侵害众多不特定个人信息行为与环境污染侵权行为的相似之处,都在于一旦出现损害结果,则造成的损失难以补救。因此,为了提前防范侵害众多不特定个人信息行为可能导致的无法估量的后果,应将适用惩罚性赔偿的客观要件规定为侵权人实施了侵权行为并造成可预见的危险。

惩罚性赔偿的计算依据。在侵害众多不特定个人信息行为案件中,惩罚性赔偿的量化标准应该是众多不特定个人信息的商业价值。由于数据的很多价值目前是潜在性的,而且要经过二次利用才能体现,给数据估值存在许多困难。笔者认为,目前可以将众多不特定个人信息的商业价值认定为信息在数据分析市场中的市场价格。有两个要点需要注意:一是强调侵害的是个人信息的集合价值,而非单条信息累加后的价值;二是强调个人信息在数据分析中的价格,而非个人信息的价格。

当以上可量化标准无法查明时,可选择直接规定赔偿金额的上下限,具体金额则需要综合各种因素加以确定。例如,专利法第65条规定,“权利人的损失、侵权人获得的利益和专利许可使用费均难以确定的,人民法院可以根据专利权的类型、侵权行为的性质和情节等因素,确定给予一万元以上一百万元以下的赔偿。”商标法第63条规定,“权利人因被侵权所受到的实际损失、侵权人因侵权所获得的利益、注册商标许可使用费难以确定的,由人民法院根据侵权行为的情节判决给予五百万元以下的赔偿。”侵犯众多不特定个人信息民事公益诉讼案件中的惩罚性赔偿,同样可以采用这种计算顺序和标准,即首先确定被侵权人损失或侵权人获益;如果无法确定,则按照倍数计算;如果无量化标准,则规定赔偿额的上下限,由法院在该幅度内酌情确定惩罚性赔偿额。至于确定赔偿额的参考因素,则主要包括侵权行为的性质、情节等。

惩罚性赔偿的管理与使用。民事公益诉讼赔偿金的管理和使用问题目前仍未得到有效解决。笔者认为,为了提高惩罚性赔偿的使用效率,设立损害赔偿基金是可行的方法之一。一般而言,侵害众多不特定个人信息损害赔偿基金是指专项用于救济此类侵权事件的被侵权人权益损失的基金。该基金的性质属于公益目的的社会团体法人。除了救济和赔偿功能外,此类惩罚赔偿金还可发挥网络生态修复功能,故该基金在管理和使用过程中,还应考虑如何将资金用于研究、鉴别、宣传、预警和预防未来可能出现的侵害众多不特定个人信息行为等事务上。

(作者为西南政法大学创新型国家建设法治研究院研究员)