多方協同推進個人信息保護檢察公益訴訟

屠春含　楊春明　馬方飛

摘 要：個人信息保護與經濟發展、社會穩定和人民群眾的生命和財產安全密切相關，將個人信息納入檢察公益訴訟范圍具有現實性和必要性。在網絡環境下，個人信息收集、存儲的環節眾多，專業性強，檢察機關需要優化調查取證模式，解決調查取證難題。同時，在被告追加、提出合適訴請等方面應作出有益探索。辦案還需進一步挖潛，延伸案件辦理效果，推動系統治理。

關鍵詞：個人信息保護 刑事附帶民事公益訴訟 訴訟請求

一、基本案情與辦案過程

（一）基本案情

H科技有限公司（以下簡稱H公司）主要從事網絡游戲及相關產品研發和技術咨詢業務，韓某某任經理。2019年2月， 該公司設立“數邁網”，為數據信息交易提供平臺，并雇用楊某某、黃某某、管某某參與運營。其間，韓某某明知用戶上傳數據中有大量個人信息，仍為非法交易個人信息提供平臺。網站涉及確切有用的個人信息共37萬余條，交易數量達3萬余條。軟件工程師管某某明知網站有買賣個人信息行為，仍幫助推送關鍵字搜索。2019年2月，陳某某注冊“數邁網”會員，并上傳其在“某公司天貓旗艦店”就職時獲取的淘寶買家姓名、手機號、收貨地址等數據信息5757條，欲販賣牟利。

（二）辦案過程

2019年9月，上海市人民檢察院（以下簡稱上海市院）從辦案系統和媒體報道中獲知上海公安機關破獲一起特大販賣個人信息案，經研判后將該案線索交由寶山區人民檢察院（以下簡稱寶山區院）辦理。寶山區院立案后，邀請專家輔助辦案，對案件中涉及的QQ聊天記錄、30余萬條公民個人信息、銀行卡交易明細、交易臺賬等文件逐一梳理、交叉比對，查清非法獲利數額，確定賠償數額。寶山區院經審查認為，H公司雖沒有被追究刑事責任，但應承擔民事侵權責任。

寶山區院經公告，沒有法律規定的機關和有關組織提起訴訟。2019年11月25日，寶山區院對韓某某等人以侵犯公民個人信息罪向寶山區人民法院提起公訴。同時，對H公司、韓某某等人侵害社會公共利益的行為提起刑事附帶民事公益訴訟。針對本案中網站服務器、QQ中保存的個人信息仍存在被傳播、買賣的危險，寶山區院積極探索侵權責任承擔方式，除了要求被告在國家級新聞媒體上向社會公開賠禮道歉、賠償損失之外，還向法院提出要求關閉網站、注銷侵權用QQ號碼并永久刪除保存在QQ內的公民個人信息數據的訴訟請求。

寶山區人民法院經公開開庭審理，于2020年3月27日作出一審判決，在附帶民事公益訴訟部分，判決被告H公司、韓某某、楊某某、管某某連帶賠償損失人民幣3900元，被告黃某某在上述賠償款3600元范圍內承擔連帶賠償責任;H公司關閉“數邁網”網站;H公司、韓某某、楊某某、黃某某、陳某某注銷買賣公民個人信息所用QQ號碼，并永久刪除保存在QQ內的公民個人信息數據;H公司、韓某某、楊某某、黃某某、管某某、陳某某在國家級媒體上向社會公眾賠禮道歉。一審判決后，刑事案件被告人提起上訴，二審判決維持原判。

二、個人信息保護公益訴訟案件辦理中的難點

個人信息保護具有多元化的法益基礎，雖然加強保護是共識，但保護模式、訴訟途徑、訴訟請求、證據標準、舉證責任等方面一直存在爭議。

（一）個人信息保護能否納入檢察公益訴訟案件范圍不明確

上述案例系上海市院集中組織通過公益訴訟加強個人信息保護系列案中首個公告和開庭的案件。2019年，尚未有民法典與個人信息保護立法營造出的強化個人信息保護的濃厚法學研究和豐富司法實踐氛圍，就個人信息保護能否開展檢察公益訴訟特別是民事公益訴訟還處在探索階段。從法律規定來看，民事訴訟法第55條第2款、行政訴訟法第25條第4款對檢察機關提起公益訴訟制度進行了概括性規定，以列舉的方式規定了檢察公益訴訟的范圍。個人信息保護不在上述范圍內，屬于新領域探索。另外在理論界，對個人信息加強保護的路徑存在“公法私法并重論”“私法保護優先論”“公法保護優先論”等觀點，且司法界較為依賴“刑事打擊”和“私益訴訟”。有些觀點認為我國長期以來一直采取依附于侵犯個人隱私權的私益救濟模式保護個人信息，通過公益訴訟保護個人信息是否屬于維護社會公益的范疇還存在爭議。若個人信息保護公益訴訟制度具有可行性，那么需要闡明其中的理由。[1]較為推崇私益保護的王利明教授認為，個人信息也可能涉及社會公共利益、公共安全，但其主要還是一種私益。[2]當時，上海檢察機關對個人信息保護類公益訴訟案件審慎辦理，較多地通過民事公益訴訟訴前磋商的方式維護公益。隨著實踐經驗的積累，我們認為，對于網絡環境下的大規模侵害個人信息問題，不僅要用足用好行政管理、刑事處罰等手段，也可以通過民事公益訴訟起訴或支持起訴手段落實民事責任的追究。

（二）證明方向區別于刑事訴訟，調查取證難

檢察機關作為公益訴訟起訴人，需要承擔相應的舉證責任。個人信息侵權違法行為多數與互聯網、大數據、人工智能等高新技術相關聯，呈現跨區劃、匿名化、涉眾型、全鏈條等特點，檢察機關在發現、收集、固定、研判、鑒定相關電子證據的調查核實手段上仍有不足。[3]在刑事附帶民事公益訴訟案件中，檢察機關更多利用刑事偵查過程中獲取的證據，證明附帶民事公益訴訟的待證事實。但附帶民事公益訴訟除了需要證明侵權事實之外，還需要提出法定范圍內，與案件事實情況相符合的訴訟請求;與刑事案件相比，在證明方向上也有所不同，需要公益訴訟檢察部門自行調取和補強證據。囿于立法對公益訴訟辦案調查核實權力的供給不足，檢察機關向有關行政機關、企業、人員調取公益訴訟案件證據相對困難，影響辦案進度和成效。如上述案例中，侵權行為發生在網絡環境下，檢察機關為查明網絡運營者的主體責任，需要調取相應的公司財務憑證、勞動合同、內部規章制度等。由于本案中代表企業全權處理企業事務的經理因刑事訴訟被羈押，企業在案發后人員解散，給公益訴訟檢察部門調取上述證據帶來了相當大的困難。除此之外，本案涉及網站的具體運營，個人信息收集、存儲的環節多，為徹底消除個人信息再次被侵犯的危險，需要調查網站建設、服務器設置、網站備案、QQ類即時通訊軟件的使用情況等，專業性強，調查難度大。

（三）辦案固定思維導致公益訴訟價值效果不彰

網絡時代特別是大數據時代，互聯網企業收集并處理的個人信息占據相當大體量，網絡產業的健康、可持續發展，與互聯網企業息息相關，企業加強自律，履行主體責任尤為重要。從刑事附帶民事公益訴訟案件實踐來看，刑事訴訟對于侵犯個人信息的犯罪絕大部分追究的是自然人的責任，其中服務行業中能接觸到公民個人信息的人員，如快遞員、淘寶客服、房產經紀人、商場銷售人員等犯罪比例較高，反映出相關行業監管力度明顯不足。[4]雖然消費者權益保護法、網絡安全法等法律中對網絡服務提供者、運營者在個人信息管理和保護方面均規定有相應的義務，但實踐中企業指使、縱容、默許員工侵犯個人信息的現象仍屢見不鮮。檢察機關如果在探索辦理公益訴訟案件時，不能擺脫固定思維，實現個人信息保護公益訴訟起訴案件的突破，并對是否追加被告、提出何種訴請等問題進行明確，公益訴訟效果將無法充分實現。

三、個人信息保護納入公益訴訟案件范圍的必要性和現實性

在個人信息保護方面，原有的刑事懲戒與行政執法處罰因其自身不可避免的局限性，難以實現對公共利益的充分維護，有必要進一步完善個人信息保護的法律救濟制度、辦案協作機制和綜合治理措施。

（一）個人信息公共屬性不斷增強

從歷史上看，囿于交通等信息傳播條件，大部分個人信息是屬于非公共的，或者限定為比較小的區域。在網絡時代特別是大數據、人工智能等技術背景下，個人信息的內涵、外延越來越廣泛，其價值屬性也變得具有多重性。法律法規在特定情境中強化了個人信息使用的公共性。網絡技術的開放性、互聯性，也使得個人信息的傳播更快，公共屬性倍增。另外，依靠大數據技術等對個人信息加工后產生的再生信息，有些可能對公共利益和國家安全帶來威脅。當前，個人信息已然成為大數據時代下的重要資源，具有巨大的商業價值。

（二）個人信息保護具有現實緊迫性

近年來，個人信息泄露引發的案件頻發，個人信息被侵害的情況無論從廣度上，還是深度上都觸目驚心。個人信息被大量復制、反復使用、共享，多人經手、多點儲存、跨國界傳輸，自然人對其很多信息處于失控狀態。一是信息范圍廣泛、泄露渠道眾多。《大數據時代個人信息保護狀況調查報告》顯示，被泄露最多的個人信息包括個人通訊信息、個人身份信息、個人消費信息、個人財務信息、個人社會關系信息、個人背景信息，可以說涉及個人生活方方面面。而個人信息泄露渠道包括網站、個人信息終端上的APP、汽車行業、通訊軟件和房地產行業、快遞公司、銀行保險業等。[5]二是獲取信息方式多樣?！肚址腹駛€人信息類刑事案件——大數據分析報告》顯示，侵犯公民個人信息類刑事案件逐年增長，經濟發達省市高發，獲取公民個人信息的方式包括購買、利用工作之便或侵入計算機系統竊取、業務合作、收集、跟蹤、偷拍、內部員工交流、無償提供等方式。[6]三是后果嚴重。震驚全國的“徐玉玉”案曾引起全社會的巨大關注，公安機關對個人信息犯罪的打擊雖持續高壓態勢，但個人信息犯罪屢打不絕，甚至呈現產業化、團伙化趨勢，因侵害個人信息犯罪引發的下游犯罪涉及敲詐勒索、電信詐騙、網絡詐騙等，眾多不特定人的合法權益面臨巨大威脅，涉及國家利益和社會公共利益。

（三）檢察公益訴訟模式具有實踐可行性

在實踐中，針對個人信息保護的法律規范散見于法律、行政法規、部門規章、地方性法規和規章、各類規范性文件之中，由于內容分散，不易被普通民眾掌握。此外個人信息獲取、儲存和利用的環節眾多，侵權人與被侵權人之間具有一定的間接性，個人很難舉證證明實際侵權人和具體侵權行為，個人維權存在困境。相較而言，檢察公益訴訟對個人信息保護具有制度優勢，能產生多重效果。從檢察公益訴訟的全國性實踐來看，檢察機關在辦理行政公益訴訟案件時，針對部分行政機關不注重個人信息保護、監管責任不到位等問題，通過磋商、公開聽證和檢察建議等方式督促履職，堵塞漏洞、防控風險，能夠更大程度上促進前置性保護。檢察機關通過辦理民事公益訴訟包括刑事附帶民事公益訴訟案件，增加侵權責任主體的違法成本，通過高額罰金和公益損害賠償加大警示力度，預防潛在的違法犯罪行為。[7]

（四）有域外公益訴訟或團體訴訟等經驗可供借鑒

個人信息保護制度發端于歐美國家，且歐洲多表述為個人數據，強調自決權。從國家層面，1973年瑞典制定的《數據法》是世界上第一部數據法，規范了公共領域和私人領域的個人數據保護。2016年歐洲議會通過的《歐盟一般個人信息保護條例》（GDPR），號稱是史上最嚴的保護用戶數據安全的法律，在2018年5月25日正式生效，取代《歐盟數據保護指令》（Directive95/46/EC），值得我國借鑒。比如，該條例開創性地在第17條規定了被遺忘權（right to erasure），在第20條規定了信息可轉移權（right to data portability），在第80條建立了個人信息權利保護公益訴訟制度（不論數據主體是否委托，歐盟成員國都可以規定授予某些公益組織代表信息主體向信息保護局以及信息控制者、處理者主張合法權益，并在必要時提起訴訟）。日本在2003年就制定了《個人信息保護法》，成立了個人信息保護機構。美國個人信息保護立法與美國政體緊密相關，在聯邦層面，于1974年通過《隱私法》規制行政機關使用個人信息的行為，強調隱私權，同時絕大多數州采取安全港模式，注重行業自律。

四、多方協同提升個人信息公益訴訟質效

（一）建立檢察機關為主導、多方參與的公益訴訟調查取證模式

針對個人信息保護領域刑事附帶民事公益訴訟與刑事責任證明方向不同的問題，檢察機關應以提高案件質效為導向，建立以檢察機關為主導、多方參與的公益訴訟調查取證模式。比如，寶山區院在辦理本文案例時，針對刑事責任與侵權責任證明方向的不同，及時與刑事檢察部門召開案件討論會，釋明侵權責任的證據標準、與刑事責任的區別、調查取證上的難點，達成共識，引導公安機關對證明力不強的證據進行補充偵查，及時固定侵權責任相關證據，通過公安機關確定涉案企業聯系人，調取和補強了部分涉案證據，提高了調查取證效率。

（二）借助“外腦”，破解專業難題

從檢察公益訴訟的定位和價值取向來看，檢察公益訴訟不僅關注民事侵權行為本身，更關注民事侵權行為產生的原因，同時最大程度降低侵權行為的危害，實現事前、事中、事后的全方位監督。在個人信息與互聯網、大數據交織在一起的情況下，檢察機關若要實現全方位監督，需要相當強的互聯網專業知識，在本身知識結構不足以應對上述問題時，借助“外腦”是非常必要的路徑。比如，在上述案例中，寶山區院為調查網站運營的全流程，邀請專家協助辦案，提供智力支持。就網站運營、信息存儲方式、服務器租賃等方面的問題向計算機領域專家進行了專業咨詢;邀請市院資深檢察官、復旦大學法學院教授、律師、消保委法研部負責人等召開案件研討會，深入探討責任承擔方式中的賠禮道歉、消除危險、損害賠償中涉及的法律問題和技術問題，為案件辦理提供了有力指導。

（三）強化合作意識，促進綜合整治

在網絡環境下，個人信息保護涉及信息主體與處理者，也涉及不特定第三人和廣大社會。針對網絡侵害的跨地域性、持續性、反復性等特點，檢察機關協同相關行政機關治理侵害個人信息行為，有利于互聯網領域損害公益問題的系統治理、綜合治理、源頭治理，彰顯了公益訴訟的獨特價值。檢察公益訴訟是公益訴訟的“國家隊”，具有獨特的價值和作用。寶山區院在辦理本文案例時，發現被告人陳某某利用擔任“某公司天貓旗艦店”數據分析師的工作便利，出售工作中獲取的個人信息。為促進源頭治理，督促企業承擔主體責任，寶山區院將案件中“某公司天貓旗艦店”涉嫌違法的線索移送有管轄權的廣東省廣州市白云區人民檢察院（以下簡稱白云區院），并就調查取證等工作開展跨省協作。白云區院審查線索后以行政公益訴訟立案，并與負有監督管理職責的行政機關進行磋商。行政機關認定“某公司天貓旗艦店”的經營公司在執行網絡安全信息制度的防范措施上存在明顯漏洞，遂對該公司立案調查，并針對咨詢、房地產中介、汽車銷售、保險等重點行業發出預警信息公告，開展系統治理。

另外，辦案要尊重和發揮審判機關的司法能動性。要積極發揮司法調解的糾紛解決價值，通過訴后庭前的調解與司法裁判的銜接，實現公眾權益保障的有序和有效。為節約司法資源、提高工作效率，對一些爭議不大、被告有承擔相應法律責任的意愿的，檢察機關可通過聽證等程序達成和解協議，法院履行審查、公告等程序后予以司法確認。檢察官、法官、法學專家、律師等法律職業共同體要加強共同研究，探索符合個人信息特性的公益訴訟請求。賠償損失數額可以按照被侵權人因個人信息受侵害受到的損失或者侵權人因此獲得的實際利益賠償。被侵權人的損失以及侵權人因此獲得的利益難以確定的，被侵權人和侵權人就賠償數額協商不一致，法院可以根據侵權人的過錯程度、具體侵權行為和方式、造成的后果和影響等確定。

個人信息保護是項系統工程，要協調發揮多方作用。要積極構建侵害公民個人信息行為違法線索共享機制，立體式發揮各主體作用。主管部門可購買第三方檢測機構服務，進行不定期檢測，對侵害公民個人信息的行為進行通報警示，促進整改，嚴肅懲處。鼓勵自然人維護個人信息方面的正當權益，行政機關、檢察機關對于一些具有個人信息保護示范意義的私益訴訟可探索支持起訴。要強化企業主體責任，督促提升技術規范水準和保護水平，對通過網絡傳輸的大量敏感個人信息數據分級分層保護，探索實行凍結、自動攔截等制度[8]，檢察機關對APP開發者、運營者特別是應用商店等平臺可以聯合主管行政機關加大公益監督。

*上海市人民檢察院第八檢察部主任[200020]

**上海市寶山區人民檢察院第五檢察部副主任[200020]

***上海市人民檢察院第八檢察部檢察官[200020]

[1] 參見洪浩、趙祖斌：《個人信息保護中檢察公益訴權配置的根據》，《內蒙古社會科學》2020年第6期。

[2] 參見王利明：《論個人信息權的法律保護——以個人信息權與隱私權的界分為中心》，《現代法學》2013年第7期。

[3] 參見張璁：《借力公益訴訟 保護個人信息》，《人民日報》2021年5月13日。

[4] 參見國雙司法大數據：《侵犯公民個人信息類刑事案件—大數據分析報告（2013-2016）》，國雙司法大數據微信公眾號https：//mp.weixin.qq.com/s/B817TDNs3evNYQ_oe-CSOw，最后訪問日期：2021年5月15日。

[5] 參見中國消費者報：《大數據時代個人信息保護狀況調查報告》，國統大數據微信公眾號https：//mp.weixin.qq.com/s/bpkfLX_bwUgIG9aNbBHquA，最后訪問日期：2021年5月15日。

[6] 同前注[4]。

[7] 參見閆晶晶：《凈化網絡環境 激活個人信息保護機制-最高檢第八檢察廳負責人就檢察機關個人信息保護公益訴訟典型案例答記者問》，《檢察日報》2021年4月23日。

[8] 參見馬方飛：《協同治理，提速公民個人信息保護》，《檢察日報》2020年10月27日。