【案情简介】2019年10月始，张某甲通过网络发布个人信息售卖广告，并使用QQ、微信等聊天工具与买家谈妥价格，将存储在U盘内的个人信息发送给买家。经查，U盘内包含姓名和手机号码等个人信息32809条，张某甲非法获利2.2万余元。同时，张某甲明知张某乙会倒卖获利，仍无偿提供案涉个人信息给张某乙，张某乙出售后非法获利1.2万余元。2020年5月20日，法院以侵犯公民个人信息罪判处张某甲、张某乙缓刑，并各处罚金。

　　2021年9月13日，江苏省扬州市检察院公益诉讼部门发现本案线索并立案，次日即依法进行公告。由于该类案件具有受害群体广泛、证据链较难形成闭环等特点，该院检察官远赴广东就违法行为人的主观故意及危害有无消除等开展取证调查，组织信息安全专家就公益损害开展论证会3次，查阅卷宗10余件。在此基础上，该院提起民事公益诉讼。

　　2021年12月9日，该院参加庭前会议，与被告方就公开审理、证据“三性”、有无提交新证据、抗辩理由等交换意见，确保开庭审理突出重点。12月10日，市中级法院对本案进行公开庭审。庭审中，公益诉讼起诉人综合运用文稿展示、专家辅助人出庭论证等方式，围绕被告在退缴获利及承担刑事罚金后是否仍须承担公益损害赔偿民事责任等争议焦点发表出庭意见，发出全社会重视、多部门齐抓共管的呼吁。

　　本案当庭宣判，检察机关要求被告承担3.4万余元公益损害赔偿金、公开赔礼道歉及立即彻底删除存储信息的三项诉求得到法院判决支持。

　　（杨湘君张唯伟）

　　【评析】个人信息保护具有网信安全、公共秩序及众多个人生活安宁等合法权益保护的社会公共利益属性。本案中，检察机关适用个人信息保护法提起民事公益诉讼，并推动胜诉判决的生效后及时全部履行，确立了由违法行为人全面承担法律责任、过错推定以及公益损害赔偿金按照非法获利金额进行计算等裁判规则。

　　一是违法行为人已经承担刑事责任，还应当就其损害公益的侵权行为再承担相应民事责任。本案中，张某甲、张某乙因侵犯公民个人信息犯罪已受到刑事追究（退缴获利及缴纳罚金等），但仍应承担赔偿损失、消除危险及赔礼道歉的民事责任。上述规则是法律的强制性规定。刑法第36条规定，“承担民事赔偿责任的犯罪分子，同时被判处罚金，其财产不足以全部支付的，或者被判处没收财产的，应当先承担对被害人的民事赔偿责任”。民法典第187条规定，“民事主体因同一行为应当承担民事责任、行政责任和刑事责任的，承担行政责任或者刑事责任不影响承担民事责任；民事主体的财产不足以支付的，优先用于承担民事责任”。本案中，对张某甲、张某乙提起民事公益诉讼，是保障公益损害赔偿金专款专用，实现预防并制裁侵权行为的立法目的的必然要求。

　　二是侵害个人信息的侵权行为适用过错推定责任原则。过错推定是过错责任原则的一种特殊表现形式，即依据法律的规定，无须举证证明，直接从损害事实推定行为人具有过错。如行为人不能证明自己没有过错的，应当承担侵权责任。根据个人信息保护法第69条的规定，“处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任”。之所以采取过错推定原则，很大程度上是因为在实践中，由个人信息受侵害者进行举证专业性较强，举证的成本和难度较大。因此，采用过错推定有利于减轻起诉人的举证负担，强化信息处理者的举证义务，从而提供有效的救济。本案中，法院结合张某甲、张某乙谋取不当利益的动机、未经个人信息主体同意的事实以及对销售个人信息性质认识的常识，在上述二人不能举证证明无过错的情况下，直接认定二人存在过错，构成民事侵权。

　　三是公益损害赔偿应按照非法获利金额计算，共同侵害个人信息应承担连带责任。个人信息保护法第69条规定，侵害个人信息的损害赔偿责任按照个人因此受到的损失或者个人信息处理者因此获得的利益确定；个人因此受到的损失和个人信息处理者因此获得的利益难以确定的，根据实际情况确定赔偿数额。本案中，鉴于侵害个人信息所造成的实际损失难以确定，法院依法按照张某甲非法获利的2.2万余元、张某乙非法获利的1.2万余元计算二人的公益损害赔偿金。个人信息保护法第20条第2款规定，“个人信息处理者共同处理个人信息，侵害个人信息权益造成损害的，应当依法承担连带责任”。由于张某甲明知张某乙意图售卖获利，仍无偿提供其掌握的案涉个人信息给张某乙非法出售，所以法院判令张某甲对张某乙1.2万余元损害赔偿金额依法承担连带责任。

　　四是从有利于保护民事主体合法权益等法意考量，结合案涉个人信息尚未彻底删除的危害持续状态，可以依法适用民法典、个人信息保护法等新法作出实体判决。《最高人民法院关于适用〈中华人民共和国民法典〉时间效力的若干规定》第2条规定，“民法典施行前的法律事实引起的民事纠纷案件，当时的法律、司法解释有规定，适用当时的法律、司法解释的规定，但是适用民法典的规定更有利于保护民事主体合法权益，更有利于维护社会和经济秩序，更有利于弘扬社会主义核心价值观的除外”。本案侵权行为虽然发生在民法典实施前，但民法典将个人信息保护纳入人格权保护范畴，加大了保护力度，适用民法典判决符合上述规定的“更有利于”特别情形。同时，由于案涉个人信息尚未彻底删除的危害状态自侵权行为发生时至本案宣判持续未间断，根据法律适用原则和具体规定，可以适用个人信息保护法对案涉侵权法律关系进行调整。（杨湘君、张唯伟）