● 郭小偉 高 珺 /文

《中華人民共和國個人信息保護法》（以下簡稱《個人信息保護法》）對個人信息保護公益訴訟機制做出了專條（第70條）規(guī)定，意味著備受關(guān)注的個人信息保護正式進入公益訴訟法定領(lǐng)域。近年來，大量個人信息受到侵犯的案件日益泛濫，使得把有關(guān)個人信息亂象的治理納入法治軌道成為當下個人信息行業(yè)發(fā)展的當務之急。為配合該條款的具體適用，最高檢于《個人信息保護法》發(fā)布的次日就下發(fā)《關(guān)于貫徹執(zhí)行個人信息保護法推進個人信息保護公益訴訟檢察工作的通知》。結(jié)合此前公布的《人民檢察院公益訴訟辦案規(guī)則》（以下簡稱《辦案規(guī)則》），可以發(fā)現(xiàn)個人信息保護公益訴訟條款的司法適用還有很多具體問題尚待厘清。筆者擬結(jié)合自身實踐情況，對相關(guān)爭議問題進行探討。

一、個人信息保護公益訴訟的提起條件

（一）個人信息處理者主體適格

目前，國內(nèi)大多數(shù)研究都還沒有涉及到對“個人信息處理者”的確定與劃分，對個人信息保護公益訴訟條款里的主體分析大多集中在個人信息保護公益訴訟的起訴主體上。但是，個人信息處理者與信息主體之間的法律關(guān)系才是前述主體能夠提起公益訴訟的先決法律關(guān)系。個人信息處理者是個人信息處理行為的能動反映、價值來源、發(fā)生主體和根本要素。因此，有必要進一步明確個人信息處理者的具體種類，在此基礎(chǔ)上才能確定個人信息處理行為的適格主體。

結(jié)合個人信息處理行為的特性、切實保護我國公民個人信息的需要以及《個人信息保護法》第3條關(guān)于該法域外效力的規(guī)定，可以歸納出《個人信息保護法》第73條中的“個人”具體包含的四種情形：一是我國公民；二是居住在我國的外國人和無國籍人；三是以向境內(nèi)自然人提供產(chǎn)品或者服務為目的境外自然人；四是分析、評估境內(nèi)自然人行為的境外自然人。

民事法意義上的“組織”是指法人和非法人組織，以網(wǎng)絡(luò)服務提供者為典型代表的法人作為個人信息處理者中的“組織”并無爭議。但是民法典第1039條、《個人信息保護法》第2章第3節(jié)和第6章還涉及了“國家機關(guān)”“國家網(wǎng)信部門”等特殊主體，這些主體是否屬于個人信息處理者中的“組織”呢？考慮到《個人信息保護法》司法適用的涵蓋性、適應性和周延性，此處的“組織”應當作體系解釋，具體包括一般法人和非法人組織；法律、法規(guī)授權(quán)的具有管理公共事務職能的組織；處理個人信息的國家機關(guān)或者政府機構(gòu)；履行個人信息保護職責的部門。

（二）存在違法處理個人信息的行為

“個人信息處理行為”是主體與客體交互作用的復雜過程，是一種法律行為。從民法典總則編民事權(quán)利章的“收集、使用、加工、傳輸、買賣、提供、公開”到民法典人格權(quán)編的“收集、存儲、使用、加工、傳輸、提供、公開”再到《個人信息保護法》的“收集、存儲、使用、加工、傳輸、提供、公開、刪除”，個人信息處理行為的概念愈加精確、內(nèi)容愈加具體、構(gòu)成愈加科學、共識愈加凝聚。

依張文顯教授的觀點，法律行為的過程按階段可以劃分為發(fā)動階段、實施階段和完成階段。［1］參見張文顯：《法哲學范疇研究》（修訂版），中國政法大學出版社2001年版，第73頁?！秱€人信息保護法》詳細列舉的各種個人信息處理行為也可以劃分為發(fā)動階段、實施階段和完成階段。個人信息處理行為的發(fā)動階段就是指在正式實施個人信息處理行為之前的動機形成和目標確立階段，此時個人信息處理者所應遵循的主要原則是“知情同意”原則。個人信息處理行為的實施階段是指正式處理個人信息的行為的階段，在這個階段中應當遵循“合法”“正當”“必要”“誠信”“公開”和“透明”原則。個人信息處理行為的完成階段是個人信息處理者的主觀需要和目標得以滿足和實現(xiàn)后的階段，此時其需要遵循的主要是“確保安全”和“避免損害”原則。

需要特別說明的是，《個人信息保護法》中“義務”形態(tài)的規(guī)定就是立法者希望個人信息處理者的“應然”狀態(tài)。易言之，只要個人信息處理者未能嚴格遵守《個人信息保護法》所確立的“義務”，就會發(fā)生違法處理個人信息的行為。在具體司法實踐的適用過程中，也應當極力保持謙抑原則，恪守法律規(guī)定文本的字面含義，不應該任意進行擴張解釋增加“個人信息處理者”的義務、負擔或責任。

（三）侵害了眾多個人權(quán)益

事實上，個人信息處理者侵犯個人信息大都依托于一些不附通知義務的隱性條款中，大部分信息主體個人信息的實害程度很低，甚至其自身都無從感知。［2］參見郭小偉：《試論App中個人信息保護原則的確立》，《網(wǎng)絡(luò)安全和信息化》2021年第10期。這就為個人信息保護公益訴訟制度的前提性條件——受侵害權(quán)益的確定帶來了極大的困難。因此，在具體設(shè)計個人信息保護公益訴訟制度的時候，采用了“侵害眾多個人權(quán)益”的可以具體衡量、評估和量化的標準，其核心在于如何理解“眾多”。

翻閱《最高人民法院關(guān)于適用〈中華人民共和國民事訴訟法〉的解釋》，全文共9處提到了“眾多”，其中只有第3處（即第75條）將“眾多”界定為“十人以上”，而且是在“一般”情況下。易言之，假如存在案件復雜、影響較大等特殊情況，司法者在具體適用本條司法解釋的時候可以突破“十人以上”的限制。但是，本條所指明的適用情形系民事訴訟法第56條、第57條和第206條，與個人信息保護公益訴訟沒有任何可以適用的關(guān)聯(lián)。因此就容易造成司法實踐中在具體確定“侵害眾多個人權(quán)益”的法律標準的含混不清，繼而導致自由裁量權(quán)的濫用。

于是，在確定“眾多”具體數(shù)量標準的時候，就有必要適當參考在個人信息保護公益訴訟制度確立之前的其他公益訴訟制度的具體設(shè)置和確定方法?；趥€人信息保護公益訴訟制度與其他公益訴訟制度的共通性，對于“侵害眾多主體權(quán)益”的具體確定主要有兩種學說——“形式標準說”和“實質(zhì)標準說”。［3］參見張新寶、賴成宇：《個人信息保護公益訴訟制度的理解與適用》，《國家檢察官學院學報》2021年第5期。“形式標準說”認為應當對“眾多”進行具體的數(shù)字量化，也就是通過一個明確的數(shù)字限額來具體判斷什么是“眾多”。［4］參見吳光榮、趙剛：《消費者團體提起公益訴訟基本問題研究》，《法律適用》2015第5期。這種學說雖然提供了一個明確具體的適用依據(jù)，但簡單的以人數(shù)為標準反而會使法律過于僵化，有可能會損害法律所維護的基本價值?！皩嵸|(zhì)標準說”認為應當綜合考量權(quán)利主體的基本構(gòu)成，實際受損的利益大小等因素來具體判斷是否損害了社會公共利益。然而，高度抽象的社會公共利益與多數(shù)人的私有權(quán)益實際上是交叉重疊的、不易區(qū)分的、很難衡量的。因此，在有權(quán)機關(guān)對“眾多”的界定出臺相關(guān)司法解釋或者行政法規(guī)之前，堅守“實質(zhì)標準說”是極為可取和必要的。

二、個人信息保護公益訴訟中的起訴主體

《個人信息保護法》第70條采用完全列舉的方式明確了3種個人信息保護公益訴訟的適格起訴主體。即在滿足主體適格、行為違法、后果明確的基礎(chǔ)上，有3種可以向人民法院提起個人信息保護公益訴訟的主體。但是這3種主體的具體適用層級和范圍還應當進一步明確。

（一）檢察機關(guān)應當作為主要和重要起訴主體

站在中國特色社會主義新時代，檢察機關(guān)作為我國法律運行體系中的重要一極，應當在新時代法學中扮演著更為重要的角色，擔當起新時期檢察業(yè)務和法律監(jiān)督的大任。一方面，檢察機關(guān)擁有強大的運作能力和執(zhí)行能力、豐富的物質(zhì)資源和人力資源來代表社會公眾提起公益訴訟。另一方面，檢察機關(guān)一直都是我國民事公益訴訟領(lǐng)域的適格主體。但是，考慮到基層人民檢察院的業(yè)務繁重和具體的公益訴訟能力，應當對檢察機關(guān)的具體起訴層級進行限制或細化。

（二）法律規(guī)定的消費者組織應當作為重要和必要起訴主體

如前所述，消費者公益訴訟和個人信息保護公益訴訟存在具體內(nèi)容上的共通性和特定對象上的交叉性，再加上消費者協(xié)會在以往消費者公益訴訟制度中的實踐經(jīng)驗，將其納入個人信息保護公益訴訟機制中是必要的。而且，《個人信息保護法》還對消費者組織進行了具體限制即“法律規(guī)定”的消費者組織。在具體層級設(shè)定上，可以參考《消費者權(quán)益保護法》第47條的規(guī)定。之所以沒有考慮市級消費者協(xié)會和區(qū)縣級消費者協(xié)會，是因為消費者協(xié)會有別于人民檢察院的國家強制力的加持，其只是通過官方注冊或認定的民間團體，省級及以上的消費者協(xié)會才具有相應的專業(yè)能力，可以更好地應對影響廣泛、受眾較多、情況復雜的個人信息案件。

（三）國家網(wǎng)信部門確定的組織應當作為補充起訴主體

法治政府建設(shè)的一項重要指標就是“放管服”改革的推進，社會組織在社會自行運轉(zhuǎn)和管理的過程中有著與生俱來的優(yōu)勢——社會組織來源于社會、服務于社會、融入于社會。但是為了避免司法資源的浪費，由國家網(wǎng)信部門確定的組織在進行個人信息保護公益訴訟時應當極力保持謙抑原則，只有在人民檢察院和法律規(guī)定的消費者組織遲遲不起訴的情況下或者僅僅作為輔助主體或補充主體參與個人信息保護公益訴訟。關(guān)于社會組織的具體范圍的確定，筆者建議將從事互聯(lián)網(wǎng)法治前沿研究和個人信息法治理論研究的官方機構(gòu)（如中國信息通訊研究院）、學術(shù)機構(gòu)（如清華大學智能法治研究院）列入進去。這類機構(gòu)具有眾多理論人才、技術(shù)人員、檢測儀器等資源支撐其進行個人信息保護公益訴訟。

三、個人信息保護公益訴訟的具體模式

如前所述，檢察機關(guān)是個人信息保護公益訴訟制度中的主要且重要起訴主體。但《辦案規(guī)則》并沒有提及個人信息保護公益訴訟的適用問題。個人信息保護公益訴訟可以通過“等”的未完全列舉的預留空間適用《辦案規(guī)則》的相關(guān)規(guī)定。但在具體適用時首要的問題就是個人信息保護公益訴訟制度的路徑選擇。

隨著2017年6月行政訴訟法的再次修正，我國公益訴訟制度完整地囊括了行政訴訟與民事訴訟兩大類別。［5］參見蔣都都、楊解君：《大數(shù)據(jù)時代的信息公益訴訟探討——以公眾的個人信息保護為聚焦》，《廣西社會科學》2019年第5期。同時，《辦案規(guī)則》在第9條也明確規(guī)定了“民事公益訴訟案件”和“行政公益訴訟案件”的兩種具體模式，［6］實踐中，還存在一類特殊的個人信息保護公益訴訟模式——刑事附帶民事案件中的個人信息保護公益訴訟。本文認為，此類訴訟模式本質(zhì)上仍屬于“民事公益訴訟”。相關(guān)研究可參見萬力、劉洋：《公民個人信息保護刑事附帶民事公益訴訟實踐與思考》，《中國檢察官》2020年第12期。并且在第3章（行政公益訴訟）和第4章（民事公益訴訟）分別進行了規(guī)定和展開。那么，個人信息保護公益訴訟制度到底應該適用行政公益訴訟還是民事公益訴訟抑或兩種訴訟模式都可以適用呢？這就需要詳細考察個人信息權(quán)的性質(zhì)以及兩種訴訟路徑的具體適用條件。

（一）民事公益訴訟模式

有關(guān)個人信息權(quán)的性質(zhì)，學界爭議頗大。相關(guān)理論有獨立人格權(quán)說、隱私權(quán)說、財產(chǎn)權(quán)說、兼具人格和財產(chǎn)雙重利益說等等。但是，一個無法否認的事實是，無論采用哪種學說或者站在哪種立場，其都沒有超出民事權(quán)利的框架、沒有超出民事法的范疇。根據(jù)《辦案規(guī)則》第85條的規(guī)定，在對相關(guān)線索進行評估后，如果檢察機關(guān)認為社會公共利益受到損害并且可能存在損害社會公共利益的違法行為，就可以對該民事公益訴訟案件進行立案。如今，個人信息越來越多地因為信息收集的大規(guī)模、信息使用的大影響、信息泄露的大風險而呈現(xiàn)出公共權(quán)利的特性。其公共權(quán)利的特性決定了個人信息與社會公共利益直接相關(guān)。因此，個人信息保護公益訴訟制度適用《辦案規(guī)則》中“民事公益訴訟”的相關(guān)規(guī)定是毫無爭議的。

（二）行政公益訴訟模式

基于個人信息的公共屬性，《個人信息保護法》便具有了一種兼具公私雙重屬性的特點?！秱€人信息保護法》既調(diào)整私的關(guān)系，也調(diào)整公的關(guān)系，是公私混合的領(lǐng)域法。［7］參見齊愛民：《論個人信息保護法的地位與性質(zhì)》，《中國流通經(jīng)濟》2009年第1期。我國的《個人信息保護法》中有很多涉及“公”的方面，因此，也確有必要保留個人信息保護行政公益訴訟的制度路徑。根據(jù)《辦案規(guī)則》第67條的規(guī)定，在對相關(guān)線索進行評估后，如果檢察機關(guān)認為國家利益或社會公共利益受到侵害并且該行政機關(guān)可能存在違法履職或者不作為的情形，就可以對該行政公益訴訟案件進行立案。所以在個人信息保護行政公益訴訟立案的第1項條件相比民事公益訴訟增加了“國家利益受到侵害”的內(nèi)容。而其第2項條件則將責任主體限制為“負有管理監(jiān)督職責”的行政機關(guān)，也與“有權(quán)必有責，用權(quán)必擔責，濫權(quán)必追責”的基本法理相對應。