公民个人信息作为数字时代的重要生产要素，是国家发展、社会治理、企业创新的战略资源。侵犯公民个人信息刑事案件产生的危害后果兼具公共性、叠加性与严重性于一体，在侵犯公民个人权益的同时，具有侵害社会公共利益的高度可能，单独通过刑事处罚或普通民事诉讼难以实现惩治的全面性、有效性和协同性。2021年11月施行的个人信息保护法第七十条明确规定，个人信息处理者违反本法规定处理个人信息，侵害众多个人的权益的，人民检察院、法律规定的消费者组织和由国家网信部门确定的组织可以依法向人民法院提起诉讼。由此，民事公益诉讼范围由破坏生态环境、资源保护、食品药品安全等领域拓展至个人信息保护领域。作为弥补普通民事诉讼和行政执法在社会公益保障方面不足而形成的一种特殊司法体制，刑事附带民事公益诉讼可在惩治犯罪的同时，最大化地修复受损网络生态与弥补公共利益损失。

    然而，司法实践中此类案件存在的突出问题在于赔偿数额如何确定，可否适用惩罚性赔偿及其与罚金的关系。鉴于现有立法及规范性文件尚未明确，实践中存在诸多争议。

    一、刑事附带民事公益诉讼赔偿数额的确定

    个人信息保护法第六十九条第二款规定，损害赔偿责任按照个人因此受到的损失或者个人信息处理者因此获得的利益确定；个人因此受到的损失和个人信息处理者因此获得的利益难以确定的，根据实际情况确定赔偿数额。民法典第一千一百八十二条同样规定，侵害他人人身权益造成财产损失的，按照被侵权人因此受到的损失或者侵权人因此获得的利益赔偿。普通民事诉讼侵权赔偿数额的标准，对于刑事附带民事公益诉讼损害赔偿数额的确定而言，具有重要参照意义。实践中，鉴于被侵权人极为分散，且通过网络等形式实施的侵犯公民个人信息行为具有虚拟性、隐蔽性，导致被侵权人的实际损失难以查清。因此，违法所得数额成为确定惩罚性赔偿的重要依据。违法所得在刑事领域反映行为的社会危害性，在民事领域则体现出相关主体民事权益受损的程度和公共利益破坏的程度。将其确定为民事公益诉讼损害赔偿数额，兼具实体法律依据和理论正当性。

    二、民事公益诉讼损害赔偿金与刑事罚金的关系

    实践中，鉴于两者具有规范构造上的相似性，其能否同时适用？有观点认为，两者属于重叠判罚，同时科处违反一事不二罚原则。但笔者认为，民事公益诉讼损害赔偿金与刑事罚金不属于重叠判罚，在执行时亦不应予以抵扣。其一，二者功能不同。公益诉讼损害赔偿的核心在于补偿因侵权造成的公共利益损失，是对民事主体无法通过民事诉讼实现权利救济的补充性措施，而罚金重在惩罚与震慑，通常适用于贪利性犯罪，通过剥夺行为人一定额度的财产利益，增加其犯罪成本，震慑其不再从事犯罪活动。其二，二者性质不同。公益诉讼损害赔偿依据民事法律规范，其需遵守民事公益诉讼提起的程序条件，且在损害赔偿的证据收集、举证质证和证明标准等实体层面亦严格遵循民事诉讼的相关规范。相反，罚金作为刑罚种类之一，其裁量空间受到严格的约束和限制。理论上的一事不二罚原则，不影响不同性质责任的共同承担。其三，二者用途不同。公益诉讼损害赔偿可以视为众多受害者权利的集体诉求，主要致力于恢复公共利益受损状态。而罚金的最终去向是上缴国库，作为一般性财政资金加以使用。

    三、侵犯公民个人信息民事公益诉讼可否适用惩罚性赔偿？

    笔者认为，不但具有适用必要，而且具有可行性。其一，适用惩罚性赔偿具有现实需求。侵犯公民个人信息案件涉及众多被害人，单个被害人的损害金额可能十分有限，但在数字时代，个人信息蕴藏着巨大的经济价值。侵权人非法获取信息后，极可能将其用于电信诈骗、精准传销等犯罪活动，若不通过惩罚性赔偿予以规制，将难以有效遏制其愈演愈烈的发展态势。其二，有效弥补刑民责任承担之不足。公益诉讼惩罚性赔偿的适用超越对个体的利益保护，更多凸显出对于社会公共利益的维护。实践中，对社会群体利益的保护，法律具有滞后性，故在私益诉讼无法寻求实体以及程序正义时，公益诉讼之惩罚、威慑及救济功能更为明显，可有效规制已经产生的危害，并将潜在风险扼杀在摇篮中，破解私益救济社会整体利益保护乏力的困境。其三，司法机关已经开始探索适用。我国民法典以及相关司法解释，对生态环境、食品安全领域等民事公益诉讼适用惩罚性赔偿已有明确规定，现阶段对个人信息可否适用惩罚性赔偿虽缺乏明确，但包含个人信息规制内容的反电信网络诈骗法明确规定，对侵害国家利益和社会公共利益的电信网络诈骗案件，可以提起公益诉讼。《法治中国建设规划（2020—2025年）》亦提出，“完善公益诉讼法律制度，探索建立民事公益诉讼惩罚性赔偿制度”，鼓励各地开展实践探索。目前，全国各地司法机关已纷纷开始探索适用惩罚性赔偿，并取得良好的社会效果。因此，在侵犯公民个人信息民事公益诉讼中适用惩罚性赔偿已经具备相应的现实基础，应进一步深化探索、形成经验，进而推动法律规则的完善。