一句话回答：《个人信息保护法》第七十条明确规定，个人信息处理者违反本法处理个人信息、侵害众多个人的权益的，人民检察院、法律规定的消费者组织和由国家网信部门确定的组织，可以依法向人民法院提起公益诉讼——也就是说，一旦企业的违规处理行为侵害众多个人的权益，即便没有单个用户主动起诉，也可能被检察院或消协告上法庭，赔偿则按该法第六十九条的损害赔偿规则确定。

一、法律依据：谁有权提起个人信息公益诉讼

个人信息保护法第七十条：个人信息处理者违反本法规定处理个人信息，侵害众多个人的权益的，人民检察院、法律规定的消费者组织和由国家网信部门确定的组织可以依法向人民法院提起诉讼。可以提起诉讼的主体有三类：检察院、法律规定的消费者组织，以及国家网信部门确定的组织。这和普通用户个人起诉最大的不同是，公益诉讼不要求提起人自己是直接受害者，只要侵害的是众多个人权益就可以提起。

赔偿怎么算？按第六十九条，处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任；赔偿数额按照个人因此受到的损失或者处理者因此获得的利益确定，两者都难以确定的，根据实际情况确定。注意这里的关键词是过错推定，举证责任在企业一方。

二、哪些行为容易触发公益诉讼

实务中，容易落入公益诉讼射程的，通常不是某一个人被侵权，而是规模化、批量的违规处理，比如：App 违规收集、过度索取权限、强制人脸识别；未经同意向第三方共享或者买卖个人信息；数据泄露后不采取补救、不告知用户；利用算法对用户进行不合理差别待遇等。共同特征是侵害众多个人的权益——涉及人数越多、越系统性，越可能被盯上。相反，单个用户的一次投诉，一般走的是个人诉讼或者行政投诉渠道。

三、企业要承担的后果

第一是民事赔偿：按第六十九条，企业要证明自己没有过错，否则要赔；损失和获利都算不清的，由法院根据实际情况确定。第二是行政处罚：按第六十六条，违规处理个人信息或者未履行保护义务的，责令改正、警告、没收违法所得，拒不改正的并处一百万元以下罚款；情节严重的，处五千万元以下或者上一年度营业额百分之五以下罚款，并可责令暂停业务、吊销许可，对直接负责的主管人员处十万元以上一百万元以下罚款并可以禁业。第三是信用记录与舆情损失。实务中提醒一句：公益诉讼常与行政监管联动，先被网信部门约谈、再被起诉是常见路径，别等到收到法院传票才补合规。

四、案例分析

以下为示意情景，非真实案件：某款生活服务类应用在用户仅使用查看优惠券功能时，强制要求授权通讯录和位置信息，否则无法使用，涉及用户上百万。检察机关在日常履职中发现线索并立案调查，认为该行为侵害众多个人的权益，在发出诉前检察建议、企业未整改到位的情况下，依法向法院提起个人信息保护公益诉讼。按上述规则，企业不仅要停止违规收集，还可能承担赔偿，并面临网信部门依第六十六条作出的行政处罚。现实中，最高人民检察院曾发布个人信息保护公益诉讼典型案例，涉及违规收集人脸信息、应用超范围索权等情形，处理路径与此类似（具体案件以官方发布为准）。

五、常见问题（FAQ）

问：个人信息公益诉讼是谁提起的？

答：按第七十条，是人民检察院、法律规定的消费者组织和国家网信部门确定的组织这三类主体。

问：普通用户能提起公益诉讼吗？

答：公益诉讼的提起主体是法定的，个人一般走个人侵权诉讼或向监管部门投诉举报；个人的投诉往往是公益诉讼的线索来源。

问：企业违规处理个人信息要赔多少？

答：按第六十九条，先看个人损失或企业获利，无法确定的由法院根据实际情况确定；此外还可能被处最高五千万元或上一年度营业额百分之五以下的行政罚款。

问：侵害多少人才算众多个人？

答：法律没有给出统一数字，实务中通常结合涉及人数、影响范围、是否系统性违规来判断，涉众越广风险越高。

问：被提起公益诉讼前有什么信号？

答：常见前兆是网信部门约谈、责令整改，或者检察机关发出诉前检察建议，收到这些就应当立刻整改并留存证据。

问：企业怎么降低风险？

相关阅读

答：把告知同意、最小必要、权限管理、数据泄露应急这些基础合规做扎实，定期自查，避免默认勾选、强制授权这类高发雷点。

王冠律师｜北京浩略律师事务所联合创始人｜咨询电话：17813108512