要点提读

　　公民个人信息作为数字经济时代的重要社会资源，不仅是政府实现现代化社会治理的重要手段，同时也事关公共安全和国家大数据安全，因此公民个人信息本身就具有公共利益属性。

　　对于个人信息保护公益诉讼，可以适用民法典规定提出赔偿财产损失的诉讼请求，赔偿数额既可以按照受害者因侵权行为受到的损失来计算，也可以按照侵权人因侵权行为获得的利益来计算。

　　随着个人信息保护法制定实施，个人信息保护成为检察公益诉讼又一个新的法定领域。此前，各地检察机关就有诸多个人信息保护公益诉讼的司法实践和探索，但由于属于公益诉讼新领域，一些理论和实践问题亟须澄清。

　　一、个人信息保护公益诉讼的基础：公共利益的体现

　　公益诉讼的目的是为了维护社会公共利益，只有属于公共利益范畴的法益，才是公益诉讼救济的对象。在民事权益体系中，个人信息属于私权领域的人格权范畴，用检察公权力对属于私权领域的民事权益提起诉讼，首先需要解决的问题就是侵害公民个人信息行为侵害了怎样的公共利益。

　　首先，公民个人信息本身具有公共利益属性。个人信息保护法第1条规定“为了保护个人信息权益，规范个人信息处理活动，促进个人信息合理利用，根据宪法，制定本法”。因此，保护和利用是个人信息保护法的两大目的，不能只注重个人信息的保护而忽视对个人信息的有效利用，也不能为了个人信息的利用而忽视对个人信息的保护，而是要进行协调，实现二者之间的动态平衡。民法典之所以未将个人信息明确为一项具体的人格权，就是考虑到采用“个人信息权”的概念会不利于对个人信息的积极利用，也体现出立法机关兼顾个人信息保护与利用两大价值的考量。从这一角度出发，公民个人信息作为数字经济时代的重要社会资源，不仅是政府实现现代化社会治理的重要手段，同时也事关公共安全和国家大数据安全，因此公民个人信息本身就具有公共利益属性。

　　其次，众多不特定人的利益，是公共利益的本质体现。要对侵害公民个人信息行为提起公益诉讼，其侵害对象应当是众多不特定的公民。如果侵害的只是个别特定主体的民事权益，则不能提起公益诉讼。侵犯公民个人信息案件，侵害的对象包括两个方面，一是已经受到侵害的现实的受害者，这部分受害者的信息已经被泄露，但其个人信息仍有再次被非法买卖或传播的危险；二是潜在的受害者，这部分人尚未受到侵害，但具有被侵害的可能性，且他们是不特定的人群，更符合公共利益“不特定的多数人利益”的特征。

　　二、侵害个人信息侵权责任的构成：损害要件的把握

　　损害是侵权责任构成的一个重要要件。对损害如何理解，是个人信息保护公益诉讼案件中争议较大的一个问题。

　　侵权责任以损害为构成要件，但绝不能把损害等同于“现实的损害”。首先，损害不仅包括“现实的损害”，还包括“损害的危险”。也就是说，侵权责任的损害并不要求必须是现实的损害，尚未形成的未来的损害，即存在损害的危险，也可以成立侵权责任。民法典第1205条就明确规定“因产品缺陷危及他人人身、财产安全的，被侵权人有权请求生产者、销售者承担停止侵害、排除妨碍、消除危险等侵权责任”，该条中“危及”“消除危险”都说明这种损害并未实际发生，只是存在损害的危险。其次，对于人格权而言，侵害行为本身就是“损害”。损害可以分解为两个方面，一是针对财产权的损害，表现为财产利益的减少，即财产损失；二是针对非财产权的损害，表现为伤害，这种伤害是无法客观计算的，但不能因此否认伤害的存在。对于处于人格权范畴的个人信息而言，侵害行为一旦实施，伤害即已形成，损害就已产生。再次，随着人格权商业化利用的兴起，个人信息中包含财产利益，对个人信息实施侵权行为，比如某人的个人信息被非法买卖，买卖行为实施的同时就侵害了权利人合法的信息收益权，损害就已经产生。

　　反之，如果把损害等同于“现实的损害”，要求侵权行为造成既有的损害后果才承担侵权责任，这与法律规定对侵害人格权的行为适用“停止侵害、消除危险”就是自相矛盾的。民法典第995条规定“人格权受到侵害的，受害人有权依照本法和其他法律的规定请求行为人承担民事责任。受害人的停止侵害、排除妨碍、消除危险、消除影响、恢复名誉、赔礼道歉请求权，不适用诉讼时效的规定”。根据该条，对于侵害人格权，权利人可以主张停止侵害、消除危险。既然是主张停止侵害、消除危险，那么说明损害结果肯定尚未发生，如果结果已经发生了，还谈何“停止侵害、消除危险”？事实上，对于权利保护，法律也不能等到有了损害结果才去救济。民法典第997条规定“民事主体有证据证明行为人正在实施或者即将实施侵害其人格权的违法行为，不及时制止将使其合法权益受到难以弥补的损害的，有权依法向人民法院申请采取责令行为人停止有关行为的措施”，该条法律不仅调整正在实施的违法行为，甚至还针对即将实施的违法行为。因此，侵权责任法虽然侧重于事后“填补”损失，但绝对不能因此否认侵权责任法的事前预防功能，否则“停止侵害、消除危险”这样的侵权责任，就没有意义。

　　三、个人信息保护公益诉讼的提起：诉讼请求的确定

　　对于个人信息保护公益诉讼，常见的诉讼请求除了消除危险、赔礼道歉外，最重要的当属赔偿损失。对于公益诉讼来说，自然不能主张精神损害赔偿，因此赔偿损失就只能是赔偿财产损失。

　　民法典第1182条规定“侵害他人人身权益造成财产损失的，按照被侵权人因此受到的损失或者侵权人因此获得的利益赔偿；被侵权人因此受到的损失以及侵权人因此获得的利益难以确定，被侵权人和侵权人就赔偿数额协商不一致，向人民法院提起诉讼的，由人民法院根据实际情况确定赔偿数额。”该条对侵害人格权等人格利益如何提出财产损失赔偿作出了规定。对于个人信息保护公益诉讼来说，要适用该条提出财产损失赔偿请求，前提就是要论证侵害个人信息造成了权利人的财产损失。这里，就需要运用“人格权的商业化利用”理论。

　　人格权的商业化利用，也称为人格权的经济利用，是指市场经济社会，人格权的某些权能可以依法转让或者授权他人使用，这些人格权也因此具有了经济价值和财产属性。传统观念上，人格权不能像财产权那样自由地利用、处分、转让，也不适用财产法的一些基本原则。但随着市场经济的发展，某些人格权以及一些人格利益因具有一定的可利用价值，其价值可以用金钱来衡量，因而成为商业利用的对象。这导致一些人格权内涵的不断扩张，逐步包含有经济利益、具有了财产属性。在如今的数字经济时代，对个人信息的利用就是人格权的商业化利用的重要体现。

　　人格权的属性从传统的人格利益性质变成了兼具人格和财产利益的性质，这种属性的变化也带来了保护手段的变化。传统模式下，人格权在遭受侵害时，权利人只能主张精神损害赔偿，无权请求赔偿财产损失。但随着人格权商业化利用的兴起，人格权中的经济价值得到肯定，部分人格权兼具财产属性，因而可以对人格权采用赔偿财产损失的方式进行保护。基于此，对于个人信息保护公益诉讼，可以适用民法典第1182条，提出赔偿财产损失的诉讼请求；同时，根据该条规定，既可以按照受害者因侵权行为受到的损失来计算赔偿数额，也可以按照侵权人因侵权行为获得的利益来计算赔偿数额。实践中，个人信息保护公益诉讼案件一般难以计算受害者受到的损失，因而通常以侵权人获得的非法所得来计算赔偿数额。