一、问题的提出：个人信息保护公益诉讼的“热运行”与“冷思考”

数字时代的个人信息保护面临“个体维权失灵”与“公法监管困局”的双重挑战，为公益诉讼的制度介入提供了功能需求。

2021年8月，《中华人民共和国个人信息保护法》（以下简称《个保法》）正式颁布，其第70条明确规定：“个人信息处理者违反本法规定处理个人信息，侵害众多个人的权益的，人民检察院、法律规定的消费者组织和由国家网信部门确定的组织可以依法向人民法院提起公益诉讼。”这一条款标志着个人信息保护公益诉讼制度在我国法律层面的正式确立。此后，最高人民检察院先后发布多批典型案例，各地检察机关也积极开展实践探索，案件数量迅速增长，仅2022年至2024年间，全国检察机关就个人信息保护公益诉讼立案超过2万件。

然而，与制度实践的“热度”形成鲜明对比的是，该制度在规范层面仍存在诸多模糊之处。“侵害众多个人的权益”应如何理解？是要求实际损害的发生，还是仅需存在侵害风险？检察机关与社会组织之间的关系如何协调？损害赔偿的计算标准与归属机制如何确定？这些问题在《个保法》及相关司法解释中均缺乏清晰回应，导致实践中各地法院裁判标准不统一，制度功能的有效发挥受到制约。

本文认为，该制度的法理基础应从“公法监管的补充工具”转向“多元共治的治理平台”，并在规范层面构建“风险预防—损害救济—协同治理”的三阶递进体系。具体而言，应通过类型化界分“抽象风险”与“具体损害”来明确诉讼启动门槛，通过区分“惩罚性赔偿”与“补偿性赔偿”来完善责任承担方式，通过构建“检察公益诉讼+社会组织补充诉讼”的双轨制来优化起诉主体格局。

二、功能溯源：个人信息保护公益诉讼的制度逻辑

（一）“个体维权失灵”与公益诉讼的介入逻辑

传统侵权诉讼模式以“损害—救济”为基本框架，要求原告证明具体损害的发生、因果关系的存在以及损害数额的可计算性。然而，在数字时代的大规模个人信息处理场景中，这一救济模式遭遇了结构性困境。

其一，损害的“非显性化”导致维权动力不足。 单一主体的个人信息被泄露或滥用，往往不会立即产生可感知的财产损失，更多表现为隐私侵扰、信息骚扰等“无形损害”。个体即便察觉自身权益受损，基于诉讼成本与预期收益的权衡，也往往选择放弃救济。这正是所谓“大规模的微小损害”困境。

其二，信息不对称造成举证障碍。 个人信息处理活动具有高度的隐蔽性和技术复杂性，普通个体既难以知晓其信息被如何处理，更难以获取证明违法处理的证据。尽管《个保法》规定了处理者的举证责任，但个体的举证能力依然严重不足。

（二）“公法监管困局”与公益诉讼的补充逻辑

与私法救济路径并行的，是公法监管路径。我国已建立了以网信部门为核心、多部门分工负责的个人信息保护监管体制，《个保法》第六章专设“法律责任”部分，规定了行政处罚、信用惩戒等多种公法责任形式。

然而，公法监管同样面临深层困局。一是监管资源的有限性与监管对象的无限性之间的矛盾。 在“万物互联”的数字生态中，个人信息处理者数以千万计，监管部门的执法能力远远无法覆盖所有违法行为。二是行政处罚的“威慑失灵”问题。 对于大型科技平台而言，法定最高罚款（五千万元或上一年度营业额百分之五）虽数额巨大，但相较于其从数据利用中获取的商业利益，未必能够形成充分的威慑。三是监管主体的“碎片化”困境。

（三）从“工具补充”到“平台治理”：理论范式的反思与转向

以上两种分析路径——私法救济失灵论与公法监管补充论——虽然在功能层面解释了公益诉讼的制度需求，但均隐含了一个共同的前提：将公益诉讼定位为既有制度的“补丁”。这一“工具论”范式存在根本性的局限。

首先，“工具论”无法解释公益诉讼的独立制度价值。如果公益诉讼仅仅是个体维权失败后的替代方案或行政监管失灵后的补充手段，那么当私法救济与公法监管不断完善时，公益诉讼是否就应当退出历史舞台？显然，各国立法实践并未呈现这一趋势。

其次，“工具论”掩盖了公益诉讼的“治理”功能。现代社会治理理论强调，复杂的公共问题难以单纯依赖政府或市场的单一路径解决，而需要构建多元主体参与的协同治理格局。在这一理论视野下，公益诉讼恰恰提供了这样一种制度平台：它使检察机关、社会组织、监管部门、市场主体和公众得以在一个法律程序中对话、博弈和协商，从而实现从“单向执法”向“多元共治”的转变。

三、规范检视：现行制度的结构性缺陷

（一）“众多个人的权益”之惑：启动门槛的规范模糊

《个保法》第70条将公益诉讼的适用条件限定为“侵害众多个人的权益”，但这一要件的规范内涵并不清晰。

“众多”应如何量化？ 现行法律及司法解释未作明确规定。有观点主张参照最高人民法院关于代表人诉讼的司法解释，将“十人以上”作为认定标准；也有观点认为，个人信息保护公益诉讼的提起不应受具体人数的机械约束，而应以“不特定多数人”为标准。从实践来看，检察机关提起的公益诉讼案件中，有的以“涉及公民个人信息数量”作为认定标准（如“涉及公民个人信息五万条以上”），有的以“受害人数的推定可能性”为依据，标准并不统一。

“权益侵害”是抽象风险还是具体损害？ 这一问题更为棘手。从文义解释，“侵害……权益”似乎要求实际损害的发生。但如果在损害实际发生后方可提起公益诉讼，则公益诉讼的事前预防功能将大打折扣。在数字时代，大规模个人信息泄露的风险本身就是一种亟需规制的“公害”，若要求等待损害结果的出现，无异于“亡羊补牢”。然而，若将公益诉讼的启动门槛降低为“抽象风险”，又可能引发滥诉风险和司法资源的过度消耗。这一两难困境需要精细化的制度设计。

（二）诉权配置的“双轨制”难题

《个保法》第70条将公益诉讼的起诉主体规定为三类：人民检察院、法律规定的消费者组织和由国家网信部门确定的组织。这一“多元主体”格局在制度设计上符合协同治理理念，但在规范层面留下了若干未解难题。

检察机关与社会组织的起诉顺位如何确定？ 从文义来看，法律并未规定起诉主体的优先次序，但实践中检察机关事实上占据主导地位。据统计，已提起的个人信息保护公益诉讼案件中，由检察机关提起的占比超过95%，消费者组织和网信部门确定的组织提起的案件极为鲜见。这一格局的形成，既与社会组织诉讼能力不足有关，也与检察公益诉讼的制度惯性有关。但问题在于：如果检察机关“垄断”了公益诉讼的启动权，那么社会组织的诉权是否形同虚设？当检察机关决定不起诉时，社会组织是否拥有独立的起诉资格？

（三）责任形式与损害赔偿的“规范真空”

《个保法》第70条仅授权提起公益诉讼，但并未明确公益诉讼中可以主张何种民事责任形式。参照《民法典》侵权责任编的一般规定，停止侵害、消除影响、赔礼道歉、赔偿损失等责任形式均可适用。但在公益诉讼语境中，这些责任形式的适用面临特殊问题。

损害赔偿的计算标准如何确定？ 公益诉讼不同于普通民事诉讼，其保护的是“公共利益”而非特定个体的私益。因此，公益诉讼中的损害赔偿并非“个体损失的总和”，而是对公共利益损害的“整体性衡量”。但现行法律未就计算标准作出规定，司法实践中存在较大的裁量空间。有观点主张参照《消费者权益保护法》第55条的“惩罚性赔偿”思路，以违法所得的倍数或营业额的一定比例确定赔偿数额；也有观点主张以“综合裁量”为原则，考量违法行为的性质、持续时间、影响范围等因素综合确定。

（四）公益诉讼与其他法律程序的衔接障碍

公益诉讼并非孤立的法律程序，其与行政处罚、刑事追诉之间存在复杂的衔接关系。现行制度的突出问题有二：

一是“一事不再罚”原则的适用困境。 同一个人信息违法行为，可能同时引发行政处罚、刑事制裁和公益诉讼三种法律后果。这三者之间是否构成“一事不再罚”意义上的“重复评价”？理论上存在不同理解：有观点认为公益诉讼的损害赔偿属于民事责任，与公法责任性质不同，不适用“一事不再罚”；也有观点认为，超出补偿功能的惩罚性赔偿部分具有制裁性质，应当与行政处罚、刑事罚金进行折抵。该问题在“惩罚性赔偿”主张日益获得支持的背景下，尤需明确的回应。

二是“行刑衔接”与“诉审衔接”的双重不畅。 实践中，检察机关往往在刑事公诉之外另行启动民事公益诉讼，形成“刑事追诉+民事追责”的双轨并行。但二者在事实认定、证据标准、责任衡量等方面的差异，容易导致裁判结果的冲突。更棘手的是，当行政处罚已经作出、罚款已经执行后，公益诉讼中是否还可以主张惩罚性赔偿？不同法院的处理方式并不统一。

四、制度因应：功能校正与规范续造

（一）类型化重构：构建“风险预防—损害救济—协同治理”三阶体系

针对启动门槛模糊的问题，本文主张通过类型化的方式构建递进式的适用条件体系。

第一阶：“风险预防型”公益诉讼。 针对大规模个人信息泄露、违法处理敏感个人信息等具有重大公共风险但尚未发生具体损害的情形，允许检察机关以“风险预防”为由提起公益诉讼。此时的诉讼请求应限定为“停止侵害”“消除危险”“采取补救措施”等防御性责任，不涉及损害赔偿。这一模式的正当性基础在于风险社会的预防原则—当风险达到一定量级时，公权力的提前介入具有正当性。

第二阶：“损害救济型”公益诉讼。针对已经造成可衡量损害的违法行为，可以在防御性责任之外主张损害赔偿。此时的损害并非个体损害的简单加总，而是对公共利益的整体损害。可参照环境公益诉讼的实践，引入“虚拟治理成本法”或“综合裁量法”计算赔偿数额。

第三阶：“协同治理型”公益诉讼。将合规整改纳入公益诉讼的制度功能。检察机关在提起公益诉讼时，可以同时提出“建立数据合规体系”“完善个人信息保护影响评估制度”“引入第三方独立监督”等治理性诉求。法院在判决中可采纳这些诉求，并设置整改期限和验收机制。通过司法裁判推动企业内部治理结构的优化，才是公益诉讼“治本”功能的真正实现。

（二）诉权配置的优化：检察主导下的多元协作

在诉权配置问题上，本文主张维持“多元主体”的法律框架，但通过解释论和配套制度设计实现有序协作。

检察机关应承担“兜底性”和“引领性”功能。 一方面，在社会组织因各种原因无法或不愿起诉时，检察机关应发挥兜底作用，确保公共利益不因起诉主体的缺位而陷入无保护状态。另一方面，检察机关应发挥典型案例的引领作用，通过办理具有标杆意义的案件，为社会组织提起公益诉讼提供参照。

社会组织的起诉资格应予激活。 建议通过司法解释明确“法律规定的消费者组织”包括省级以上消费者协会以及经依法登记、专门从事个人信息保护公益活动的社会组织。同时，建立公益诉讼起诉主体资格认定机制，由省级以上网信部门会同民政部门定期公布具有起诉资格的社会组织名录。对于网信部门确定的组织，应尽快启动认定程序，将符合条件的社会组织纳入起诉主体范围。

（三）责任体系的完善：惩罚性赔偿与补偿性赔偿的区分与协调

在责任形式方面，最核心的问题是损害赔偿制度的设计。本文主张区分“惩罚性赔偿”与“补偿性赔偿”，构建二元结构的损害赔偿体系。

补偿性赔偿适用“损害救济型”公益诉讼。 其功能在于填补公共利益遭受的损害，计算标准可参照违法所得的数额、处理个人信息的数量、违法行为的持续时间等因素综合确定。补偿性赔偿金应纳入个人信息保护专项基金，用于个人信息保护公益目的。

惩罚性赔偿适用“恶意违法且情节严重”的情形。 当处理者存在故意违法、多次违法、造成严重后果等情节时，可在补偿性赔偿之外另行主张惩罚性赔偿。惩罚性赔偿的数额可以补偿性赔偿的一定倍数（如一倍至三倍）或违法营业额的一定比例（如百分之一至百分之五）为基准，由法院酌情确定。惩罚性赔偿金应上缴国库，体现其惩罚与威慑功能。

这一区分方案的意义在于：补偿性赔偿着眼于“填平损害”，惩罚性赔偿着眼于“惩戒威慑”，二者功能互补但不可相互替代。同时，惩罚性赔偿的上缴国库机制，使其与行政处罚罚款在功能上具有一定同质性，因而在适用时应考量行政处罚已作出的情况，避免过度惩罚。

五、结语

个人信息保护公益诉讼是数字法治建设的重要制度创新。然而，制度的确立不等于制度的成熟，《个保法》第70条确立的公益诉讼制度在启动条件、诉权配置、责任形式和程序衔接等方面均存在显著的规范模糊，这些问题如果不能得到及时回应，将严重影响制度功能的发挥。

走出困境的关键，不在于对具体条文的零散修补，而在于制度逻辑的根本校正—将公益诉讼从“公法监管的补充工具”重新定位为“多元共治的治理平台”。在这一范式转换的指引下，通过构建“风险预防—损害救济—协同治理”的三阶递进体系、优化多元主体的诉权配置、完善惩罚性赔偿与补偿性赔偿并行的责任机制、打通公益诉讼与合规整改的程序衔接，个人信息保护公益诉讼方能摆脱“象征性治理”的困境，真正成为数字时代个人信息保护的关键制度支柱。

当然，本文提出的制度方案仍有待实践检验。特别是，合规整改与公益诉讼的结合如何避免“纸面合规”的陷阱？惩罚性赔偿的适用如何与行政处罚相协调而不导致过度惩罚？这些问题需要在未来的司法实践和理论探讨中进一步深化。唯有秉持问题意识和规范精神，在理论与实践的互动中不断推动制度的完善，个人信息保护公益诉讼才能不负数字时代法治建设的制度期待。