[摘 要]面对数据安全风险，民事司法与行政监管各有优劣，两种责任制度相互协作才能有效抵御风险。数据安全保护义务兼具公私法双重属性，违反该义务可能同时引发民事责任与行政责任。两种责任分属公私法两大领域，虽然责任手段与责任基础存在差异，但以风险预防与责任威慑为共同目标。针对同一违法行为叠加适用功能趋同的责任手段，虽能强化风险威慑，却容易导致过度惩戒。为使公私法各责任手段之间充分协作，降低管制成本，应将各责任手段纳入统一框架展开分析，在不同性质财产性责任之间、非财产性责任之间以及非财产性责任与财产性责任之间建立衔接机制。此外，由于实践中行政责任往往早于民事责任实现，若责任人的财产无法同时履行两种责任，行政罚款的优先执行将有违“民事责任优先”原则，为此应建立配套机制保障民事责任优先实现。
[关键词]数据安全保护义务；民事责任；行政责任；制度衔接；民事责任优先
一、问题的提出
数据安全事件所造成的损害具有扩散性、巨灾性的特征，这使得对数据安全的保护突破了传统私法的保护范畴，需综合采取行政监管与民事司法、刑事追责等责任机制才能实现有效风险规制。数据安全保护义务兼具公私法两种属性，违反该义务不仅会危害公共数据安全，还会侵害私主体的数据权益。根据《网络安全法》《数据安全法》《网络数据安全管理条例》等法律法规的规定，当数据权益遭受侵害后，相关主体不仅可向行政部门投诉要求违法行为人承担行政责任，还可以要求侵权人承担民事责任。
从责任内容角度观察，民事责任主要是通过填补实际损害、恢复应然权益状态或承担惩罚性赔偿等方式，保护私主体的数据权益免受损害。行政责任则是通过行政处罚、行政强制等手段威慑违法行为人，防止发生数据安全事件危害不特定多数人的利益。尽管两种责任分属不同法域，但却可能实现相似的风险规制效果。这表明两种责任制度在内容与功能层面存在一定关联。针对同一违法行为叠加适用功能趋同的责任手段，不仅会造成责任手段之间的适用冲突，还会增加规制成本并削弱权益保护实效。
从责任实现角度观察，发生数据安全事件以后，实践中行政机关的介入往往快于普通大众，如此一来，行政责任的实现将先于民事责任。如果责任人的财产无法同时履行两种财产责任，行政罚款的优先执行将有违《民法典》第187条确立的“民事责任优先”原则，因而此种情形下需要讨论的问题是：如何建立相应机制以保障民事责任优先？实践中法院和行政监管机关也常根据各自职权配置，分别基于两种程序处理同一违法行为，并未考虑两种责任制度的协调与衔接。此外，行为人违反数据安全保护义务，损害私主体利益，当事人可自由选择保护路径，那么，分别基于民事裁判和行政监管程序作出的事实认定与法律适用结论是否会相互影响？上述问题都涉及两种责任制度之间的有效衔接。因此，通过分析违反数据安全保护义务民事责任与行政责任各手段之间的关系，探究协调衔接机制的建立，不仅能使两种责任制度共同发挥作用，还可避免二者之间可能产生的功能冲突，避免责任威慑过度消耗社会资源，以公私法合作方式实现最佳保护效果。
有鉴于此，本文首先对违反数据安全保护义务的民事司法与行政监管之间的关系展开分析，廓清民事、行政责任各责任手段之间的关系，明确衔接的必要性；然后对具体的衔接路径展开探究；最后，讨论如何建立配套机制以保障民事责任优先实现。
二、违反数据安全保护义务民事责任与行政责任的关系厘定
违反数据安全保护义务可能同时引发民事责任与行政责任，由于两种责任分属不同法域，所依赖的责任手段与责任实现机制有较大差异，因此有必要根据两种责任制度的具体内容、功能，厘清两种责任制度、实现手段之间的关系，明确责任衔接的必要性。
（一）责任实现机制的互补与责任手段之间的相互协作
1.责任实现机制的互补
数据安全风险属于公共风险，具有隐蔽性高、技术性强的特点，其引发的损害后果往往呈现弥散性、不确定性、影响范围广的特征，如何对义务人予以有效监管便成为难题。为破解这一难题，立法者基于风险发生的时间节点，分别要求数据安全保护义务人履行风险监测评估、安全漏洞排查、健全内部管理制度、开展内部培训与应急处置演练等预防性义务，建立强制性的数据风险分级披露制度，引导数据安全保护义务人主动识别风险与防范风险。在具体监管实践当中，行政监管机构依托网络安全威胁情报共享、国家计算机网络应急技术处理协调等技术平台，通过年度检查与不定期专项检查的方式开展日常监管，从而建立了事中监管与事后追究的数据安全监管体系。
就数据安全保护中民事责任的实现机制而言，除少数情况下受害人能以自力救济的方式保护自身权益外，多数受害人仍依赖民事司法这一途径。该种“事后主导型”的风险规制方法有以下三项短板：（1）数据损害通常不可逆，难以事后恢复；（2）事后处置难以快速应对紧急的数据安全危险，可能使规制目的落空；（3）民事诉讼的个案化解与数据安全风险的系统性存在根本冲突，难以从整体上防控数据安全风险。与民事司法相较，行政监管在规制效率、执行力度和维护公共利益方面具有明显优势。正因如此，不少学者认为行政监管或将成为保障数据权益的“主渠道”，甚至认为行政监管几乎可以替代民事司法。这一观点值得商榷。首先，受到信息成本、执行成本、监督成本与运行成本的限制，完全依赖监管机构利用公共资源规制数据安全风险，几乎不可能。因此，我们不能忽视社会公众的作用，应将私主体利益诉求转化为公共规制的助力，提高监管效率，减轻国家管制负担。为此有关行政机关还专门出台部门规章，要求网络产品提供者、网络运营者和网络产品安全漏洞收集平台建立安全漏洞信息接收渠道，并鼓励相关组织和个人向其提供安全漏洞信息。其次，因专业能力不足，行政执法人员应对技术性问题时，作出的行政监管行为常存在“执法缺陷”。相反，通过侵权规则，民事司法能够在个案中更加精准地勾勒出数据权益的边界，更加准确地评价侵权人的行为。不难看出，在数据安全风险规制体系中，行政监管凭借其主动性与效率优势构筑数据风险预防的基本框架，民事司法凭借个案裁判保障私权助力于风险规制，行政监管与民事司法各存在优势与局限，可以互为补充，无法相互取代。
2.责任手段之间的相互协作
为规范数据处理活动，保障数据安全，《数据安全法》《网络安全法》等法律规定数据处理者负有数据安全保护义务，具体内容主要包括以下四方面：（1）建立网络数据安全管理制度体系；（2）实施常态化数据安全教育培训；（3）部署技术防护与组织管理措施；（4）履行风险动态监测、及时报告及应急处置义务。相应行政责任的制度设计也按照“风险预防—责任威慑”的逻辑展开：（1）不以实际危害结果作为行政责任的成立要件；（2）根据违法行为可能造成的风险、损害，分别提供与之相匹配的责任手段。针对违反数据安全保护义务的行为，《数据安全法》第45条设定了责令改正、警告、行政罚款、责令暂停相关业务、停业整顿、吊销相关业务许可证或吊销营业执照等形式的行政责任。就责任功能而言，责令改正的目的在于补救和纠正违法，主要针对违法程度较轻的行为。例如，数据安全保护义务人未建立数据分类分级制度、未履行数据安全风险评估义务等未造成实际损害，但又存在安全隐患，行政机关可以要求责任主体及时整改。如果行为人拒不改正或者已造成严重后果，行政机关则可处以责令暂停相关业务、停业整顿，直至数据安全风险完全消除。吊销业务许可证或者吊销营业执照，则是通过褫夺行为人参与数据处理活动资格的方式，达到预防效果。除此之外，行政罚款则可使行政相对人慑于惩罚避免再次违法，也可促使其他主体积极履行数据安全保护义务。
就违反数据安全保护义务的民事责任而言，《数据安全法》第52条属于宣示性规定，民事责任的承担问题还应回归《民法典》第179条予以解决。从功能主义角度来看，民事责任可被分为防御性责任、补偿性责任、返还性责任以及惩罚性责任四种类型。停止侵害、排除妨碍、消除危险等预防性民事责任聚焦于从源头防范数据安全风险。作为补偿性责任的核心手段，赔偿损失主要用以填补因恢复数据产生的费用、维权费用等直接损失与其他间接损失；而消除影响、恢复名誉、赔礼道歉等责任形式则主要用于修复因数据安全事件导致受害人社会评价降低和信用贬损。惩罚性赔偿、得利剥夺等惩罚性民事责任则适用于严重侵害他人数据权益的行为。从民事责任的内容与功能来看，责任承担方式涵盖了风险预防、损害填补、权益恢复、责任威慑这一完整规制链条。此外，违反保护性法律规范的行为本身即可推定行为人具有过错。数据安全保护相关法律规范属于保护性规范，也应适用过错推定规则，义务人需自证对损害的发生没有过错方能免责。这也强化了民事责任的威慑作用与风险预防作用。
如前所述，行政监管与民事司法彼此之间相互支援，互为补充，规制数据安全风险需要两种责任实现机制的相互协作。面对数据安全保护义务，既然两种责任规范的共同目标是利用责任威慑，预防数据安全风险，就应将各责任手段纳入统一分析框架展开讨论。
为控制数据安全风险，民事责任与行政责任上存在形式多样、刚柔并济的责任手段。根据责任威慑的强度，理论上可将各种责任手段分为三个层次，即一般威慑机制、加强威慑机制和特殊威慑机制。依此分类，预防性民事责任、补偿性损害赔偿、责令改正、行政警告属于一般威慑机制。该类责任形式的特点是内容较为明确，威慑强度不高，难以对义务人形成有效约束，故需借助行政罚款、惩罚性赔偿与得利剥夺等责任手段提高责任威慑强度。这一责任威慑机制不仅会促使行为人积极落实数据合规，还能强化市场主体的价值认同。不过单纯依靠财产性责任手段，责任主体难免会陷入“成本—收益”的计算与权衡，忽视行为对公共利益造成的危险，也难以完全有效预防数据安全风险。因数据安全保护包含社会规制因素，防止公共利益受损，需要援引更严厉的责任手段完成风险规制。于是，以“行政管制”为代表的特殊威慑机制具有了适用空间，责令暂停相关业务、停业整顿、吊销相关业务许可证以及吊销营业执照就属此类。上述行政措施通过“命令—控制”的方式直接作用于数据安全风险，但会使责任主体付出较高的代价。基于过罚相当原则，《数据安全法》第45条也以“拒不改正”或“造成严重后果”作为适用要件。不难看出，在数据安全保护语境下，民事责任与行政责任并非相互替代，而是通过相互协作的方式共同抵御数据安全风险。
纵观民事责任与行政责任的各种责任手段，补偿性民事责任重心在于填补私人损害、恢复民事权益，行政责任则以规范数据利用秩序、防范数据安全风险、维护公共利益为核心，二者责任理念与制度功能存在差异。从功能角度分析，停止侵害、排除妨碍、消除危险等民事禁令，与责令整改、停业整顿等行政责任，皆能及时制止违法行为、遏制数据安全风险；行政罚款与惩罚性赔偿、得利剥夺皆通过经济制裁形成威慑，可见上述责任手段之间在规范功能上存在交叉和重叠，应对预防性民事责任、惩罚性民事责任与相应行政责任手段之间的关系展开讨论。
（二）民事责任与行政责任的功能重叠与相互制约
尽管行政责任与民事责任的规范理念存有差异，但面对数据安全风险，二者通过协同作用共同致力于降低风险转化概率与损害严重程度，这也导致了两种责任的规范功能形成了交错和重叠。
1.预防性责任手段的功能重叠
对私主体而言，数据安全保护义务的作用在于防止数据权益遭受外界的不当侵害，维持数据的完整性、可用性及保密性。不同于其他财产性权益损害通常可修复，数据安全事件一旦发生，其所导致的损害通常不可逆。对私主体而言，事先制止侵害行为的责任手段不仅有利于及时地减少数据损害的发生，还能降低诉讼成本。根据侵害行为的表现形式，违反数据安全保护义务的行为可分为积极的作为与消极的不作为。积极侵害行为包括非法盗取、买卖、帮助第三人非法利用数据侵害他人利益或其他滥用数据行为等；消极侵害行为则表现为不履行法定数据安全义务，导致数据泄露、丢失或被他人窃取、篡改非法利用。私主体可援用的预防性民事责任主要包括停止侵害、排除妨碍、消除危险等三种形式。具体而言，当权利人发现数据安全存在风险并提出请求后，义务人应当积极地履行数据安全管理义务，采取技术性措施，加强风险监测以及履行风险评估义务，如采取访问控制、数据加密、脱敏与匿名化、漏洞管理、多重身份认证等技术措施，及时切断危险源，防止损害扩大或者避免数据安全事件发生。
相较于其他责任形式，责令改正、给予警告未增加数据安全保护义务人额外负担，不具有制裁性，仅适用于违法程度较低的情形。责令改正主要目的在于去除不法状态，以防数据安全风险持续暴露，兼具纠正违法与恢复原状的功能。给予警告作用则在于督促行为人去除不法状态。在日常监管或受理举报过程中，行政机关发现数据安全保护义务人的违法行为，并责令改正，给予警告。如责任主体能落实整改要求，及时采取技术升级、权限重构等方式消除安全隐患，也未损害他人的数据利益，那么，行政机关的监管行为在维护公共利益的同时，客观上也有助于预防性民事责任的实现。与此同时，若私主体发现数据安全保护系统存在技术漏洞，向责任主体行使防御性请求权要求其及时消除风险，后者积极响应采取相应技术手段消除数据安全风险。此种情形下，行政机关就不必重复介入，以免浪费行政资源。
此外，从责任构成视角观察，预防性民事责任的成立不以实际损害的存在作为成立条件，只需要具备损害的发生危险与迫近的损害即可。违反数据安全保护义务的行政责任亦不以实害结果作为成立条件，二者在责任构成层面形成了同构。从规范构造角度分析，预防性民事责任与责令改正、给予警告的构成要件、规范目的及实施效果较为相似。若当某一责任机制能有效实施时，客观上亦能实现另一责任机制的规范效果，则两类责任的功能即形成重叠。此时应避免重复对数据安全保护义务人施加负担，若民事主体通过行使民事防御性请求权促使义务人完成风险处置，或者行政机关已通过责令改正、行政警告等监管措施实现风险防控目标，则应免除义务人在另外一种制度下的相应义务。
2.惩罚性财产责任数额之间的相互制约
民事责任以补偿性损害赔偿作为核心救济手段，其规范目标在于使受害人的利益状态恢复至遭受侵害之前，效力边界也受限于侵权行为所造成的实际损害。为预防风险，由于该种责任手段，在保护私权或预防不法行为上存在先天缺陷，应利用私法的手段对行为人予以制裁。私法意义上的制裁性手段包括惩罚性赔偿和得利剥夺两种形式。作为私法制裁手段，惩罚性赔偿既能实现侵权行为法的威慑功能，又能更好地保护受害人，因而被广泛用以规制公共风险。不过，惩罚性赔偿要求责任人承担超额赔偿，由于欠缺私法救济的正当性，其适用范围应被法律严格限制。在法定主义下，对违反数据安全保护义务行为能否适用惩罚性赔偿仍需讨论。首先，惩罚性赔偿能够提高责任威慑强度，促使义务人更加积极地采取技术措施控制数据安全风险。根据《网络数据安全管理条例》，数据安全保护义务人一般为数据处理者、网络平台服务提供者、第三方产品和服务提供者以及预装应用程序的智能终端等设备生产者。相较于数据权益主体，上述主体具有更为明显的专业优势。为追求利益最大化，他们往往会选择以成本最低的方式来实施违法行为。责任威慑的基本逻辑是使从事违法行为需要承担的成本高于收益。数据安全保护义务人若利用其所保护的他人数据谋取商业利益，其获利往往远超数据主体遭受的实际损失。为防止形成不当激励，有必要对恶意侵权人课以加重责任。在现行实证法中这一规则亦有依据：为惩戒后果严重的侵权行为和预防风险，对恶意利用他人无形财产权益开展营利活动的行为人，知识产权相关法律均要求其应承担加重责任。其次，由于数据处于义务人控制之下，其侵权成本极低，数据权益主体的预防成本极高。加之侵权损害认定非常困难，要求侵权人承担补偿性责任通常难以完全填补权利人所遭受的损害，惩罚性赔偿对实现充分补偿具有一定作用。最后，因民事责任规范不带有任何特殊公共政策目的，违反数据安全保护义务所引发的惩罚性赔偿不仅需要满足私法上损害赔偿制度的基本要求，还需要将公法上惩罚制度奉行的原则作为立足点。惩罚性赔偿仅适用于恶意侵害或有意无视他人权益的严重不法行为，且应满足“过罚相当”。照此法理，符合上述条件的情形主要有以下两种：（1）数据安全保护义务人利用身份便利盗窃他人数据，或与第三人串通盗取他人数据用以牟利；（2）明知已经存在严重数据安全风险或者已经发生数据安全事件，仍视而不见，导致他人遭受严重损害。在上述两种情形中，行为人主观意图的可责程度较大，损害后果通常较为严重，为惩罚不法行为人并威慑其他可能实施类似不法行为的人，可适用惩罚性赔偿。鉴于数据侵权行为后果的严重性和扩散性，数据安全风险的隐蔽性，适用惩罚性赔偿将有助于提高普通民众维权积极性，在保护民众权益的同时，还可降低行政机关的执法成本。由此，将惩罚性赔偿引入违反数据安全保护义务的民事责任之中应能证立。
除惩罚性赔偿之外，得利剥夺也具有制裁侵权人的效果。实践中一般将侵害数据权益认定为不正当竞争行为，依据《反不正当竞争法》相关条款处理。根据上述规定，侵害数据权益的损害赔偿可以适用实际损失与得利剥夺两种计算标准。数据本是一种资源，通常情形下，行为人需要投入大量成本才能获益。义务人“监守自盗”，故意非法利用他人数据获益属于严重背信行为。为强化制裁效果，不仅应将违法行为人利用数据所得利益全部予以剥夺，对行为人为获取利益所产生的成本支出请求权也应予以否定。若将利润全部剥夺，行为人所应承担的责任范围不仅包括违法行为人获得的净利润，还包括其投入成本。对受害人而言，当得利剥夺与实际损失相关时，就仅具补偿性；当得利剥夺大于实际损失时，就兼具补偿性与惩罚性。由此，适用得利剥夺的损害赔偿标准也会产生私法制裁效果。
惩罚性赔偿与行政罚款的成立要件相比，存在两点不同：（1）行为人具有明知的故意；（2）损害后果严重。数据安全事件具有巨灾性，上述两种情形中行为人也显属故意，此时两种财产性责任的成立要件形成同构，功能也完全重叠。如前所述，行政罚款与惩罚性民事责任的威慑效果属于同一层次，上述两种责任承担方式均体现对恶意侵权人的非难，其性质、功能、规制意图、价值立场几乎完全一致。若对违反数据安全保护义务的行为人处以行政罚款的同时，又处以惩罚性赔偿或得利剥夺，将使义务人负担过重，有违反“禁止双重处罚”原则之嫌。曾有学者提出对违法行为人处以超高额行政罚款，以遏制侵权行为。理论上，该措施既能震慑违法行为，又可管制行为人。然而，我们应警惕过度威慑的负面效应：由于数据安全风险的不确定性，义务人难以准确评估数据安全风险的危害程度，为规避遭受严苛的处罚，其将被迫采取超出实际需求的技术手段。例如，按照重要数据的防护标准，对普通数据部署高强度加密系统。安全防护等级的提高将导致软件许可费、技术运维支出及硬件采购成本的抬升，迫使企业通过服务定价上浮或隐性收费等方式，将成本转嫁给社会大众。这一做法既不合理，也不经济。恰当的做法应是财产性责任的总体强度应维持在合理区间，促使义务人采取合适的风险控制手段，避免责任威慑过度，消耗社会资源。因此，若同一违法行为引发两种财产性责任，行政罚款与民事惩罚性责任之间应是相互制约的关系。
综上可知，面对数据安全风险，虽然民事责任与行政责任各具意义，但不能偏废其一，规范作用亦无法相互区隔。数据安全风险的预防也有赖于两种责任机制的充分协作，同一违反数据安全保护义务行为可能同时引发民事责任与行政责任，此时两种责任的功能产生了部分重叠。是故，我们既不能混淆公法与私法的界限，也不能完全割裂二者之间的联系，必须站在公私法相衔接的立场思考两种责任制度衔接的具体路径。
三、民事责任与行政责任相衔接的具体路径
虽然民事责任与行政责任的规范原理存在差异，但它们都可以被视为控制数据安全风险的工具，两种责任价值取向的最大公约数在于维护数据利用秩序，预防数据安全风险。为使两种责任能够有效衔接，就需从整体视角出发，寻求规范技术的缝合。
（一）不同财产性责任的协调与衔接
在数据安全治理体系中，财产性责任的交错重叠，既体现出多元责任手段协同治理的优势，也凸显了不同责任手段间协调衔接的制度需求。若排除追责概率与实现程序的差异，相同功能的财产性责任总额之间应是相互制约的关系。因而，如何实现不同性质财产性责任的协调与有效衔接，应详细讨论。
1.行政罚款与惩罚性赔偿之间的协调与衔接
私法上的惩罚性赔偿与公法上的行政罚款同属财产性责任，都具有制裁违法行为人的功能。针对违反数据安全保护义务的惩罚性赔偿和行政罚款的决定将由不同的机关依据不同程序独立作出，可能会引发过度威慑的法律效果。那么可能出现的问题是：先行课处的财产罚款数额是否会影响另外一个法律责任课处的数额？如果行政罚款已经充分缴纳，法院能否降低违法行为人的惩罚性赔偿金？对此，根据行政处罚决定书与民事判决作出的先后顺序，可分为两种情况展开讨论。
从责任实现效果来看，惩罚性赔偿服务于私益，而行政罚款则服务于公益。由于法律制裁原则上应当服务于公益，即使民事判决的作出早于行政处罚决定书，惩罚性赔偿成立在先，通常也不会排除行政责任的成立。但由于惩罚性赔偿与行政罚款功能相似，其责任数额却会影响行政罚款的数额。因此，为避免过度威慑，若惩罚性民事责任对违法行为人的威慑力度已经足够，行政机关不必处以行政罚款；只有当惩罚性赔偿责任的威慑力度不足时，行政罚款才应被考虑。反之，行政处罚决定书的作出早于民事判决，行政罚款成立在先是否会影响惩罚性赔偿的责任承担以及惩罚性赔偿额度的高低？这一问题尚需讨论。惩罚性赔偿金归属于个人的正当性在于：个人对于惩罚违法和制裁违法行为作出了贡献，提供了有益的社会服务，应由社会向其支付成本和必要报酬。由于数据安全事件具有隐蔽性和技术性，惩罚性责任的适用无疑将激励普通民众积极发现线索并向行政机关举报、投诉或者提起民事诉讼，在保护其自身权益的同时，也可实现社会公益。在这个意义上，如果违法行为由行为人主动发现，且受害人提起诉讼并向行政机关举报，为实现制度激励同时也为节省监管成本，由其提出的惩罚性赔偿请求应当得到支持，但数额应当受到限制。如果违法行为先由行政机关发现，行为人缴纳的罚款也足以保障社会公益，在此种情形下就难以要求行为人就同一违法行为承担惩罚性赔偿。同时，为满足司法裁判弹性化的需求，确定惩罚性赔偿金额时，法院应综合考虑可责程度、可能造成的损害后果、获利状况以及财产状况确定惩罚性赔偿额。
2.行政罚款与损害赔偿之间的协调与衔接
根据《反不正当竞争法》相关条款，侵害数据权益的损害赔偿计算标准有两种，即实际损失与得利剥夺。在以实际损失为损害赔偿标准时，赔偿以填补受害人的损害为目的。对受害人的损害赔偿主要包括数据市场价值的贬损，以及对违法行为进行调查、取证所支出的合理费用。例如，因过失违反数据安全保护义务，导致数据被第三人窃取或者偶然取得后，又被第三人利用，给他人造成损害的情形。义务人仅需对受害人所遭受的损失承担补偿性责任。上述情形下，损害赔偿用以填补当事人所受损害，行政罚款用于制裁与惩戒当事人，两类财产性责任相互独立。
如前所述，在数据安全保护义务人恶意盗取或故意非法利用他人数据获益的情形下，赔偿将以得利剥夺作为损害赔偿标准。违法行为人的责任范围不限于违法行为人获得的净利润，还包括其投入成本。此时得利剥夺与行政罚款均具有惩罚性，需要处理的问题是：民事损害赔偿是否会影响行政罚款的金额？反之如何？为防止过度威慑，如果民事判决的作出早于行政处罚，且判决得利剥夺，由于行政罚款与得利剥夺均具有惩罚性，行政机关在确定处罚金额时，就应将这一因素纳入考虑范围。若行政处罚决定书在先作出，民事裁判按照得利剥夺标准判定赔偿，那么，由于得利剥夺中有一部分具有补偿性，与具有惩罚性的行政罚款不属于同一性质，恰当的做法应是先将行政罚款从侵权人为获益支出的“成本”部分中予以扣除，再确定赔偿数额。
（二）非财产性责任之间的协调与衔接
数据安全事故发生前，风险预防最为重要。如果行政机关在监管过程中，发现处理活动存在较大安全风险的，行政机关可采取约谈方式要求义务人积极整改。虽然数据安全风险具有较强技术性，但不排除存在数据权益主体率先发现数据安全漏洞的可能。防御性请求权并不是一种消极性权利，如果数据权益主体发现存在数据安全风险可能危及其自身的数据利益，基于风险防控需求，其主张停止侵害、排除妨碍等防御性请求，此时通过事前介入有效阻断风险，民事救济机制可以防止损害发生。由于上述行政监管与民事司法两种责任机制可以并行，两者并不存在当然的优先顺位，数据权益主体可以自行提起民事诉讼，亦可以向行政机关投诉。若行政机关先介入，数据权益主体自不必行使防御性请求权。此时需要讨论的是：收到数据权益主体请求后，义务人的整改情况是否应当影响行政裁量？显然，积极整改的义务人应当得到宽宥，如未损害私主体的数据权益，行政机关甚至不必介入；相反，若义务人置若罔闻使数据安全风险持续暴露，行政机关发现或者收到投诉后，在裁量行政处罚时，可要求其承担加重责任。
（三）财产性责任与非财产性责任之间的协调与衔接
除财产性责任外，法律还提供了诸多非财产性责任手段以应对数据安全事件。虽然防御性民事责任与行政责任中的禁止性命令功能效果类似，均可用于应对侵害正在发生或者损害已经发生的危险，但防御性民事责任所能起到的威慑效果往往要弱于后者。倘若民事责任手段无法形成责任威慑，数据安全风险的持续存在将给私主体的数据权益造成损害，此时就亟待援引行政责任手段。由此引发的问题是：选择财产性责任还是非财产性责任来实现责任威慑？财产罚是通过罚款、没收违法所得等方式处分违法行为人的财产，间接地起到威慑效果；资格罚则直接作用于数据安全风险本身。责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照等形式的资格罚，兼具责任威慑与行为管制的双重效果，具有显著的风险控制优势，但此类措施易对市场主体造成不可逆的影响。为在保障风险防控的同时避免过度干预市场秩序，应遵循比例原则，优先考虑采用行政罚款，通过罚没违法行为人的财产，约束和震慑数据保护义务人。当高额的行政罚款都无法有效控制数据安全风险时，再选择行为限制或资格剥夺的责任形式。综上所述，总的方案应是在事前进行“成本—收益”分析和总体的政策判断以合理利用既有的规制措施，根据各类风险控制工具之间的关联性和可比性，选择更具有功能优势的风险管控工具。
（四）责任实现机制的程序衔接
首先，行政处罚决定书中一般包括对数据安全保护义务人行为违法性的认定、行政处罚依据、处罚结果以及相关事实证据。根据民事诉讼法司法解释，行政机关在其职权范围内制作的文书所记载的事项，除非相反证据足以推翻，否则民事司法应当认可。因此，如果行政处罚决定书出具在先，其所认定的违法事实，民事裁判者原则上应当予以尊重，其他待证事实则应依照民事案件的证明标准进行判断。然而对于行政处罚中法律适用的结论，却不可如此。公法上的数据安全标准，是基于行政管理需要事前设定的管制标准，不等于私法上数据安全保护的行为谨慎标准。行政机关施加处罚仅仅涉及行政法上的违法，不牵涉民事侵权。行为是否侵害他人数据权益，仍应回归民事司法的行为评价体系展开判断。其次，若当事人率先提起民事诉讼，民事裁判的作出早于行政处罚决定书，前者认定的事实和裁判结论是否能够影响行政机关的决定？由于民法与行政法的调整范围不同，民事裁判仅能认定行为人是否侵犯私益，行政机关对数据安全保护义务人处以行政处罚的依据却是其行为危及公益，民事判决的裁判结论显然无法约束行政机关，但民事裁判所认定的事实可作为证据使用。此外，鉴于数据安全事件损害后果的严重性，若民事裁判认定义务人违反数据安全保护义务，为防止数据安全风险危害公共安全，其可作为启动行政监管程序的事由。
四、“民事责任优先”的保障机制
如前所述，行政罚款与民事损害赔偿的基础理念和责任功能存在显著差异，二者可同时适用。在发现违法行为后，行政机关便会及时作出行政处罚决定书，并产生执行效力；受制于数据损害后果的隐蔽性，加之诉讼程序周期冗长，民事判决的执行普遍滞后于行政罚款的收缴。当违法行为人财产不足以同时履行时，行政罚款的优先执行将会架空《民法典》第187条所确立的民事责任优先原则。为避免出现“行政罚没耗尽资产，民事赔偿无从实现”的局面，以保障民事责任优先实现，需在责任实现层面建立衔接机制。
（一）行政罚款已经执行的情形下，“民事责任优先”的保障机制
在证券投资权益保护案件已有类似情况出现，由于行政处罚决定书往往先于民事判决作出，违法行为人缴纳罚没款后，高额的行政罚款需要上缴国库，剩余财产往往难以支付民事赔偿款，当事人所受损害常常不能得到弥补。有鉴于此，为落实民事赔偿责任优先原则，证券领域建立了“罚没资金回退”制度。证券投资者侵权诉讼与数据权益侵害诉讼均牵涉大规模侵权，且责任人也会同时承担高额的行政罚款与民事赔偿，其所面临的财产性责任负担都十分沉重，因此这一制度经验可资借鉴。首先，针对违反数据安全保护义务的情况，在责任人公法上的财产性责任已经执行，行政罚款被上缴国库后，剩余财产不足以承担民事赔偿责任的，数据权益主体在获得胜诉判决书或者调解书后，经法院强制执行或者破产清算程序分配仍未获得足额赔偿后，可向作出行政处罚的行政机关提出书面申请，请求将违法行为人因同一违法行为缴纳的罚款优先用于承担民事赔偿，再由行政机关定期向同级财政部门提出退库申请。其次，“罚没资金回退”额度与责任承担顺位也应受到限制。在额度层面，即使侵害数据权益所承担的民事财产性责任可能高于行政罚款，所请求用于承担民事赔偿责任的罚没款金额不得超过违法行为人所实际缴纳的行政罚款。在责任承担顺位上，根据补偿性债权优先于惩罚性债权、私法债权优先于公法债权的原则，损害赔偿与惩罚性赔偿都应当优于行政罚款。在民事财产性责任内部，若已缴纳的行政罚款只能覆盖一部分民事责任，补偿性损害赔偿的顺位不仅优先于惩罚性赔偿，也应优于得利剥夺。同一数据侵权行为的受害人众多，众多受害人同时提交申请，申请资金往往会超过违法行为人实际罚没的金额，应优先支持补偿性损害赔偿，按照民事裁判所载明的损害赔偿额度比例退付；若仍有剩余，再考虑惩罚性民事责任的退付。此外，由于行政罚款与补偿性损害赔偿功能不一，回退行政罚款不会免除违法行为人的责任。在回退之后，违法行为人还应继续缴纳罚款。如果后续发现违法行为人有可执行财产的，应继续予以收缴。
（二）行政罚款未执行完毕情形下，“民事责任优先”的保障机制
首先，若在处理数据安全违法行为过程中，行政机关发现责任主体还应承担民事责任且行政、民事责任不能同时实现，此时可将行政罚款在合理期间内暂缓上缴国库，待民事判决执行之后再上缴国库。暂缓执行不仅可由行政机关自行决定，也可由受害人主动申请。合理期限的确定则应考虑民事案件诉讼时效和民事司法程序所需要的时间。在暂缓入库期间，可考虑设立专门账户将罚没资金归入“财政专项资金”或者设立“政府性数据权益保障基金”，并设专项账户代为保管。如果在暂缓入库期间，受害人取得了民事执行依据，在执行期间发现违法行为人的财产不足以承担民事赔偿责任，便可向收缴罚款的行政机关请求，将违法行为人因同一违法行为已经缴纳的罚款用于承担民事责任。相反，在暂缓入库期间，没有受害人取得执行依据，或者承担民事责任后资金仍有余额，合理期间过后将剩余资金上缴国库即可。
结论
以调整私人利益关系为核心的私法规范需要关注公共福祉的实现，而以维护公共利益为宗旨的公法体系亦应兼顾保护个体权益。这种制度功能的交错在现代法律体系中表现得尤为明显：为实现保障民事权利、市场经济秩序维护等功能，现代民法典呈现出一定的公法色彩。与此同时，原本仅涉及国家政治领域的公法规范，也开始涉足食品安全、环境污染等与公共利益密切相关的领域，数据安全也属其中之一。在数据权益保护领域，我国采取“领域式”的立法模式，这使得《数据安全法》《网络数据安全管理条例》同时具备了维护公益与保障私益的功能，建立起了“二元式”的责任体系。民事责任与行政责任虽分属公私法领域，但均以风险预防与责任威慑为共同目标，并以相互协作的方式共同抵御数据安全风险。针对同一违法行为叠加适用功能相似的责任手段，虽能强化风险威慑，却容易导致过度威慑，应将民事责任与行政责任的各责任手段纳入统一的框架展开分析。为避免宏观分析流于空泛，必须在法技术上寻求规范缝合，对具体的衔接机制展开讨论。为此，本文深入分析了违反数据安全保护义务的民事司法与行政监管、民事责任与行政责任之间的关系，进而探讨了如何在不同财产性责任手段之间、非财产性责任手段之间，以及财产性责任与非财产性责任之间建立衔接机制。针对违反数据安全保护义务的情况，财产性民事责任与行政罚款可以并行，通常情况下行政责任的实现又往往早于民事责任，而这有违《民法典》第187条所确立的“民事责任优先”原则，为破解这一难题，应建立配套机制以保障民事责任优先实现。
