个人信息保护理念：由私益保护向公益保护的转变。梳理新一轮技术革命以来我国的个人信息保护相关规范，不难发现，我国的个人信息保护正逐步从隐私信息的私益保护转向个人信息的公益保护。我国民法典首次以私法法典形式确定了对个人信息权益的保护，强化了个人信息保护的正当性基础。当该权益受侵害时，权利人自可引用侵权责任编相关规定请求救济补偿。此外，网络安全法、个人信息保护法作为兼具公法与私法性质的综合性法律，在对个人信息权益给予细化私法权利架构的同时，亦着重强调行政机关的监管职责，充分保护个人信息领域的社会公共利益，推动形成了“个人信息处理者自我约束+法定监管部门强力规制”的综合治理体系和“个人信息权益人自我救济+法定机关组织公益保护”的合力保护系统。

随后，最高检《关于积极稳妥拓展公益诉讼案件范围的指导意见》明确指出，网络侵害（个人信息保护）是公益诉讼新领域的办案重点，鼓励各地检察机关积极探索个人信息保护领域的公益诉讼可为之处。对此，检察机关开启了对个人信息保护领域的公益诉讼探索。2021年4月，最高人民检察院首次发布了11件个人信息保护公益诉讼典型案例，着力斩断个人信息侵权与电信诈骗之间的利益链条。

个人信息保护方式：由填补损失向惩罚性赔偿的转变。随着私法公法化发展，对于兼具公共利益性质的私权给予特别保护，已成为一种法律共识，其中，惩罚性赔偿便是一项重要的私权保护方式。在我国现有的个人信息保护法律体系下，民法典将个人信息置于人格权编中规定，但该编及侵权责任编并未就侵犯个人信息安全制定专门的损害赔偿规定。受侵害的个人信息权益人只能通过引用前述法律规定，请求侵权者承担停止侵害、排除侵害、消除危险、以被侵权人因此受到的损失或侵权人因此得到的利益为基础的损失赔偿及严重的精神损害赔偿等责任。同时，个人信息保护法将传统民法的填补损失原则纳入其中，以填补被侵权人受到的损害，使其恢复到未受侵害时的圆满状态。然而，在实践中，仅就个人信息权益人而言，其所受到的损害多是生活安宁受打扰、精神状况亦受到一定程度的侵扰等不可量化的侵害；再从个人信息侵权人角度看，其仅就单条的个人信息获益并不高甚至没有，但其总体受益明显，且系非法买卖大量个人信息及其电信诈骗等下游犯罪所产生。对于此类情况，单个的个人信息权益人很难从现行的侵权损害赔偿规定中获得充足的民事补偿。鉴于此，学界早已呼吁在个人信息保护领域引入惩罚性赔偿制度。司法实践中，在河北省保定市检察院诉李某侵犯消费者个人信息和权益民事公益诉讼案中，检察机关便提出了惩罚性赔偿的公益诉讼请求并获得法院支持。实际上，根据民法典第1035条第1款和个人信息保护法第5条、第6条规定，个人信息的处理必须严格遵守合法、正当、必要、诚信和公开透明原则，这既是个人信息处理者对个人信息权益人负有的私法责任，更是个人信息处理者对社会公众负有的公法责任。任何违背上述原则处理个人信息的行为，既侵犯了个人信息权益，也损害了社会公共利益。笔者认为，在个人信息保护领域，设置惩罚性赔偿实属必要，以对不法行为人加重经济责任的方式，达到制裁不法行为、保护个人信息权益目的。

个人信息保护公益诉讼实践：从消费欺诈向其他领域延伸。当前，根据相关法律规定，惩罚性赔偿主要适用于三种情形：一是故意侵犯知识产权的；二是产品存在缺陷或提供商品、服务存在欺诈的；三是故意污染环境、破坏生态造成严重后果的。因此，就个人信息侵权而言，可以根据上述侵权犯罪行为中侵犯个人信息部分探索提出惩罚性赔偿民事公益诉讼。其中，可以消费欺诈作为适用惩罚性赔偿的切入口。

在个人信息侵权案件中，除不当收集公民个人信息、不当存储泄露个人信息等单一侵权情形外，还存在以非法获取、买卖、提供公民个人信息为手段的系列下游侵权行为甚至犯罪行为，从而产生其他衍生危害，如消费欺诈、电信诈骗等。结合惩罚性赔偿的法定情形，若侵权人利用个人信息对权益人实施消费欺诈，可依据消费者权益保护法第55条主张惩罚性赔偿。在此，侵权人包括但不限于个人信息处理者、从个人信息处理者处获得个人信息的第三人。具体而言，适用惩罚性赔偿主要有以下几种情形：个人信息处理者单独进行消费欺诈的，可向个人信息处理者主张赔偿。这一做法，在前述保定市检察院诉李某侵犯消费者个人信息和权益民事公益诉讼案中已经得到司法认可；个人信息处理者与第三人共谋利用个人信息进行消费欺诈的，依据民法典第1168条，可主张个人信息处理者与第三人承担连带责任；个人信息处理者明知第三人利用个人信息进行消费欺诈，仍向其提供个人信息的，依据民法典第1169条或第1197条，主张个人信息处理者与第三人承担连带责任；个人信息处理者未尽到保护义务，致使个人信息被第三人获取并进行消费欺诈的，依据民法典第1172条，主张个人信息处理者与第三人承担按份责任。