以公益诉讼筑牢个人信息安全法治屏障

  【资政场】 

  日前发布的最高人民检察院工作报告显示，2021年我国检察机关共办理个人信息保护领域公益诉讼2000余件。近年来，个人信息泄露和利用个人信息进行大数据“杀熟”等事件屡有发生。2021年11月1日起实施的《中华人民共和国个人信息保护法》，首次确立了专门的个人信息保护公益诉讼制度。该法第70条规定,个人信息处理者违反本法规定处理个人信息，侵害众多个人的权益的，人民检察院、法律规定的消费者组织和由国家网信部门确定的组织可以依法向人民法院提起诉讼。准确理解这项规定并在实践中正确适用，是更好发挥公益诉讼制度功能、筑牢个人信息安全法治屏障的关键。

厘清原告范围与起诉顺位

  公益诉讼的原告范围和起诉顺位，直接决定公益诉讼的诉权配置和实践格局。个人信息保护法第70条虽然确立了检察机关、法律规定的消费者组织、由国家网信部门确定的组织的三元原告格局，但原告的范围和起诉顺位均有待厘清。

  在原告范围方面，除检察机关外，其他两类原告均需进一步明确。其中，根据现行法的规定，“法律规定的消费者组织”应指消费者权益保护法第47条规定的“中国消费者协会以及在省、自治区、直辖市设立的消费者协会”。至于“由国家网信部门确定的组织”具体包括哪些组织，目前尚不明确。笔者认为，此处的组织应指从事个人信息保护活动的社会组织，而非依法履行个人信息保护职责的行政机关。作为个人信息保护公益诉讼原告的社会组织必须同时具备公益代表资格与公益代表能力。公益代表资格，要求此类组织必须是从事个人信息保护活动的公益组织而非营利组织；公益代表能力，要求此类组织必须具备开展公益诉讼的相关能力。对此，可借鉴环境保护法第58条的做法，规定社会组织提起个人信息保护公益诉讼必须具备的条件。

  在起诉顺位方面，个人信息保护法并未明确三类原告的起诉顺位。但检察机关作为法律监督机关的职能定位和检察权的谦抑性，决定了检察机关起诉顺位的后置性。为维护法律秩序的统一，检察机关在提起个人信息保护公益诉讼时，应履行诉前公告程序，只有无其他适格主体起诉时，检察机关方可提起公益诉讼。

明晰适用条件

  明晰个人信息保护公益诉讼的适用条件是统一法律适用的前提。对此，个人信息保护法第70条规定了个人信息处理者违法处理个人信息和侵害众多个人权益两个条件。

  所谓违法处理个人信息，除违反个人信息保护法第二章、第三章关于个人信息处理的具体规定外，还包括违反总则部分关于个人信息处理基本原则的规定。此外，个人信息处理者侵害“个人在个人信息处理活动中的权利”（第四章）、违反“个人信息处理者的义务”（第五章）也可能构成违法处理个人信息。

  “众多个人”系法律上的不确定概念。对此，应从质、量两个维度进行把握。在质的维度上，“众多个人”必须具有不特定性。这是由公益诉讼的公益性目的决定的，只有不特定多数人的利益才属于公共利益。如果受害者是特定的（如某企业的员工），即便人数较多亦非“众多个人”。另外，个人信息保护法第70条之所以并未在“侵害众多个人的权益”后附加“损害公共利益”公益诉讼条款的惯用表达，乃是因为“侵害众多个人的权益”在本质上就是对社会公共利益的损害。

  此外，该条仅规定“侵害众多个人的权益”，但并未提及造成现实的损害。这表明，个人信息保护公益诉讼无须以实际损害的发生为前提。此种做法对个人信息保护具有重大现实意义。在网络自媒体时代，个人信息一旦遭受侵害，其扩散的范围将难以控制，损害后果也无法预料。因此，个人信息保护公益诉讼应秉持预防性理念，即便现实损害后果尚未发生，但只要公共利益处于高度的危险之中，公益起诉人就可以提起预防性公益诉讼。

做好制度衔接

  个人信息保护是一项系统工程，需要包括公益诉讼在内的各种保护措施共同协力。因此，实践中必须做好个人信息保护公益诉讼与其他保护机制的制度衔接，形成保护合力，共同筑牢个人信息保护的法治屏障。

  做好公益诉讼与私益诉讼的衔接。个人信息处理者违法处理个人信息的行为，在侵害社会公共利益的同时，也侵害了信息主体的私人利益，由此触发公益诉讼与私益诉讼两种诉讼。妥善处理两种诉讼的衔接是司法实践中的难题。对此，应兼顾公、私利益的有效保护与司法资源的合理投入。当个人信息保护公（私）益诉讼的诉求已经在先前的私（公）益诉讼中获得实质性满足时，出于节约司法资源的考虑，法院可以缺少诉的利益为由驳回后面的起诉。

  做好公益诉讼与行政执法的衔接。公益诉讼和行政执法是应对大规模个人信息侵权、维护公众个人信息权益的主要方式。公益诉讼属于司法救济，以公正作为主要的价值取向，侧重于事后救济和损害填补；行政执法属于行政救济，以效率为主要价值取向，侧重于事前预防、事中监管和行为制裁。在违法行为的制止和违法状态的消除方面，应充分发挥行政机关专业、高效的优势，尊重行政机关的初次判断权，公益诉讼仅在行政失灵时发挥补充作用；在损害赔偿方面，因涉及复杂的利益衡量，应充分发挥司法权的裁判权优势，以避免权利义务的失衡。

  探索建立个人信息保护公益诉讼惩罚性赔偿机制。公益诉讼和惩罚性赔偿具有天然的亲缘性，二者都致力于发挥最佳预防功能：公益诉讼旨在解决起诉率低导致的预防不足，而惩罚性赔偿旨在解决因赔偿数额过低导致的预防不足。在个人信息保护公益诉讼中引入惩罚性赔偿，有助于实现制度优势的强强联合。受民法典惩罚性赔偿法定原则的限制，在法律尚未规定个人信息侵权的惩罚性赔偿责任情况下，个人信息保护公益诉讼惩罚性赔偿尚无明确的法律依据。不过，在个人信息保护法出台前，保定市人民检察院诉李某侵害消费者个人信息民事公益诉讼案就已判决利用非法获取的个人信息对众多消费者实施欺诈的李某依据其销售价款3倍承担160余万的惩罚性赔偿。《法治中国建设规划（2020-2025年）》已明确提出“探索建立民事公益诉讼惩罚性赔偿制度”。当前，实践中可以借助消费者权益保护法第55条的规定，率先在侵害众多消费者个人信息的公益诉讼中适用惩罚性赔偿，并在条件成熟时，通过立法将惩罚性赔偿推广至其他领域的个人信息保护公益诉讼。

  （作者：张超，系青岛大学法学院副教授）