公益訴訟視野下個人信息的保護路徑

董史統　林爽

摘 要：以孕產婦、學生等特殊群體個人信息保護公益訴訟實踐為切入點，以點帶面進行檢視，發現個人信息保護存在治理效果與群眾要求有差距、協同治理推進不足、侵權成本與維權收益不匹配等問題。基于推進協同治理符合時代要求、自然人個人信息蘊含公共利益、公益訴訟拓展具備潛在空間等因素考量，有必要將自然人個人信息納入公益訴訟范疇。探索“公益訴訟+跟進監督+專題調研+治理建議+協作機制”的閉環管理模式，實現對個人信息的有效保護。

關鍵詞：個人信息 公益訴訟 協同治理 源頭監管 保護路徑

當前，隨著我國經濟社會的高速發展和信息網絡的廣泛普及，個人信息被泄露、出售、利用等現象時有發生，垃圾短信轟炸、不明電話騷擾等問題日益增多，消費者不勝其煩甚而深受其害，個人隱私保護迫在眉睫。傳統的民事起訴、行政追責、刑事處罰等手段具有一定的局限性，往往難以“標本兼治”或是實現“以點帶面”領域性治理，而公益訴訟具有延伸性的社會治理張力，可以調動民事、行政、刑事等諸多手段，為個人信息保護提供一條卓有成效的最佳路徑。

一、案例切入：基于兩起典型性侵犯個人信息案件的思考

[案例一]孕產婦個人信息保護案

2019年7月，L區人民檢察院在主動排查已辦理的侵犯公民個人信息刑事案件時發現，張某某、盧某某等人身為兒童攝影公司、兒童培訓公司員工，因公司商業營銷需要，通過購買、收受、交換等方式從多家醫院非法獲取大量孕產婦、新生兒及其家屬個人信息，部分人員還向他們出售或者非法提供消費者個人信息，侵犯個人信息，侵害婦女合法權益，損害社會公共利益。張某某等人因涉嫌刑事犯罪被追究刑事責任，但張某某等人所在的兒童攝影公司、兒童培訓公司對其員工基于公司營銷需要而非法收集、使用消費者個人信息以及泄露消費者個人信息的違法犯罪行為并未盡到應有的管理職責，應依法承擔相應責任。

[案例二]學生個人信息保護案

2019年8月，L區人民檢察院在履職中發現，某教育培訓公司及其從業人員在英語培訓業務推廣過程中，與其他培訓機構或者兼職人員相互交換各自掌握的學生信息，其中向他人提供的學生信息多達9000余條，侵犯自然人個人信息，侵害未成年人合法權益，損害社會公共利益。該教育培訓公司因犯罪情節輕微、認罪認罰，檢察機關依法作出相對不起訴決定，但是公司非法收集、使用、泄露消費者個人信息行為仍應受到相應的行政處罰。

檢察機關在履職中發現上述公益受損線索后，立即調閱刑事案卷、對接刑事經辦人、檢索行政監管依據、搜集類似處罰案例、查詢工商登記信息等，找準監督對象、明確監督依據、核定事實證據，經層報省檢察院批準，先后向轄區市場監管部門發出督促依法履行職責的檢察建議，建議市監管部門對涉案公司違法行為予以查處，并采取有效措施，加強對轄區內侵害消費者個人信息違法行為的打擊力度。市監管部門收到檢察建議后，經調查核實，先后對涉案教育培訓公司、兒童攝影公司等作出責令改正，并處罰款的行政處罰。同時，市監管部門以檢察建議為契機，在轄區開展打擊侵害消費者個人信息違法行為專項行動，面向重點領域和經營單位開展“送法上門”宣傳活動，督促經營者嚴格履行消費者個人信息保護義務。

通過檢視上述兩起典型性侵犯個人信息案件，查詢相關案件辦理和理論研究資料，我們發現侵犯個人信息的違法、犯罪行為具有以下特點：（1）侵犯個人信息密集于敏感人群。官方數據顯示，侵犯個人信息案件數量逐年攀升，甚至逐步與電信詐騙、綁架勒索等高危犯罪呈合流態勢。這些關聯犯罪無不涉及到老年人、孕產婦、學生等特殊群體。這些群體都是需要為社會所重點關注、加以保護的人群，而這些群體一旦淪為受害方就會牽動社會敏感神經。（2）侵犯個人信息的手段越發現代化。從發展趨勢來看，目前侵犯個人信息案件的數量逐年攀升，且犯罪呈現出侵害方式隱蔽化和多樣化、涉案信息電子化和海量化、買賣信息產業化和趨利化等特點。這些樣態的背后，潛在的推手即是手段的現代化，從傳統的獲取方式，到互聯網方式竊取，再到現在的數據爬蟲、拖庫撞庫等技術，不斷更新換代、轉型升級。（3）侵犯個人信息的危害后果日趨嚴重。目前，侵犯個人信息案件暴露出背后存在越來越多“黑灰產業鏈”的趨勢，直接導致侵害后果嚴重化和擴大化。正如相關通報顯示的，侵犯公民個人信息犯罪不僅嚴重危害個人信息安全，而且與電信網絡詐騙等犯罪存在密切關聯，甚至與綁架、敲詐勒索等犯罪活動相結合，社會危害日益突出。[1]

二、實踐檢視：當前個人信息保護存在的問題

（一）個人信息治理效果與群眾要求有差距

1.辦案社會效果略有偏差。在辦理侵犯個人信息案件過程中，辦案社會效果日趨多元，有更多需要在辦案中關注和解決的問題。如，社會治理方面，從賠償損失、息訴罷訪等轉向源頭監管、系統治理，即在辦案過程中發現信息監管治理漏洞，有效進行風險防控，降低個人信息泄露風險。又如，企業治理方面，從單一打擊、回饋企業需求轉向攜手共進、協作共贏，即與涉案企業緊密攜手強化對個人信息保護，注重企業數據安全。但在實踐中，辦案社會效果因人而異、因時不同等情形仍存在，部分辦案人員因關注點存在差異或是就案辦案而很少顧及后續的風險防控、面上治理，處于拮抗分散而非同向而行的狀態。

2.案內向案外延伸稍顯不夠。當前，侵犯個人信息案件的治理，多以個案辦結為終點，辦案向前向后延伸做得不夠。某段時間內高發多發的侵犯個人信息案件，往往會折射出苗頭性、傾向性和普遍性問題，需要強化案件橫向（類型上）和縱向（時間上）對比，先從單一個案出發，強化相似案件關聯論證，提出以點帶面的治理建議。

3.案件治理效果與群眾預期還有落差。進入新時代，人民群眾在民主、法治、公平、正義、安全、環境等方面有了新的更高需求。人民群眾對個人信息治理效果的預期也更高了。傳統司法的行政追責、民事賠償等方式，已不能滿足尚處于個案處置等“點”上的個人信息治理效果，急切需要拓展新路徑，把“點”上效果放大為“面”上效果。

（二）個人信息協同治理推進不足

1.治理主體對治理系統性認識不足。社會治理是一項系統性的綜合工程，由此決定加強和創新社會治理必須強化頂層設計、體系構建、技術支撐、隊伍建設、資源整合等方面的整體性聯動。[2]理論和實踐中，法律責任主要按照民事、行政、刑事等三種責任進行劃分，對號入座確定對應的監管或處置部門，具體到個人信息治理中，就容易因治理主體不同而產生各管一方的現象，究其原因還是沒有一體推進、綜合整治的意識。

2.不同部門間缺乏必要聯動。實踐中，一些辦案人員即使發現相關制度存在社會治理方面的缺陷，但是考慮到以一家辦案單位甚至以辦案人員一己之力來推動制度完善“獨木難支”，因而缺乏應有的積極性和主動性。且各部門之間若缺乏統一的認識和有力的領導，往往容易陷入各自為戰的境地，很難產生明顯的效果。[3]

3.辦案機關與企業缺乏協同治理機制。大數據時代，個人信息數據作為企業數據的“重中之重”，不僅是企業的“無形資產”，還是企業賴以保持競爭力和發展潛力的重要依托。但是，目前企業數據安全防范意識不強，也未及時應對、系統梳理個人信息泄露的態勢、手段、特征等變化情況以及未來可能對企業帶來的潛在影響。雖然“親”“清”政商關系處于推進過程中，但辦案機關與企業互通消息較少的情況尚未扭轉，未能做到共同研究、應對新問題，大部分治理仍處于企業提出要求、辦案機關被動回應的階段，雙方在協同推進個人信息風險防控方面做得不夠。

（三）個人信息侵權成本與維權收益不匹配

1.侵害行為頻發而責任追究難。侵犯個人信息的情況較為零散，往往是隨著網絡發展覆蓋全國各地或是某一區域，加之線索來源渠道不暢、人力物力受限等原因，部分侵犯個人信息的行為根本沒有納入追責范圍的現實可能性。實踐中，對侵害個人信息的行為追究行政責任的關鍵是違法行為是否造成嚴重后果或者違法情節是否嚴重，但是目前缺乏認定的必要機構、標準、規定，實踐中追責較為困難。此外，個人信息價值難以評估，也影響責任追究。

2.行為人侵害成本和受害人損失不成比例。侵犯個人信息類案件不僅僅涉及到眾多受害人，信息泄露還具有不可逆轉性。侵犯個人信息造成的損害難以量化，而且單個受害人能證明的損害范圍、數額與行為人因侵害行為所可能獲得利益或者付出的成本相比完全不成比例。[4]行為人可能獲取巨額的非法所得，而受害人卻只能主張有證據支持的部分。

3.受害人單獨維權成本高而效果不佳。跟一般的民事侵權一樣，公民個人信息訴訟面臨取證、舉證等困擾，面臨受害人眾多但集體訴訟又難以集齊人員的困難。從受害人角度來說，個人信息被侵犯后，單獨提起訴訟由于取證難度大、成本高，維權難以實現預期的目標。較高的維權成本和較低的侵權成本，使得個人信息保護面臨危機，亟需尋找一種合適而有效的方式，彌補自然人個人單獨起訴的不足和缺憾，強化對公民個人信息的保護。

三、關聯論證：個人信息保護納入公益訴訟范疇的依據

（一）推進協同治理符合時代要求

個人信息領域的有效治理，實際上是社會治理的一個維度。進入大數據時代，涉及家庭住址、收入狀況、財產情況等重要內容的個人信息，與個人的人身和財產安全息息相關。個人信息的泄露，極可能導致個人人身、財產安全遭受嚴重侵害。徐玉玉電信詐騙案悲劇、久治不絕的“騷擾電話”等難點痛點，根源都在于個人信息的泄露。如在浙江省寧波市“騷擾電話”整治公益訴訟案中，“騷擾電話”就源自手機號碼等個人信息的泄露，檢察機關把“騷擾電話”治理作為一項系統工程，完善部門之間的配合、聯動機制，通過法律監督、行政監管多管齊下，共同推動解決難題，回應民生關切。[5]民法典作為推進國家治理現代化的基本法律，適應現代社會的發展趨勢，體現法律的與時俱進，充分保證人民群眾的基本權益，較為顯著的特色即是人格權獨立成編，在該編第六章專門規定“隱私權和個人信息保護”，明確對個人信息保護與隱私權作出區分，同時將“電子郵箱、健康信息、行蹤信息”納入個人信息范疇，進一步強化對個人信息的保護。顯而易見的是，單純的個人信息治理可能會“按下葫蘆浮起瓢”或是起到“揚湯止沸”的效果，真正有效的治理方式還應以民意征詢為依歸，主動借助公益訴訟新職能，強化傳統的行政監管、刑事處罰等手段的介入，多管齊下，協同推進個人信息領域治理。

（二）個人信息蘊含公共利益

從權益侵害的分屬領域來看，個人信息兼具個體性和公共性，容易產生受損害權益是個人利益還是公共利益的爭議。一方面，個人信息由個體信息組成，權利的直接受損歸屬于個人;另一方面，個人信息被收集、使用、泄露等行為，往往伴隨著單一群體或是多個群體利益的侵害，權利受損結果由群體承擔。一種觀點認為，從案件反映的本身情況來看，行為人侵犯的是自然人的“個人”信息，權利受侵犯的是個人而非社會公眾，即該類行為侵犯的是單獨個人利益，而不是社會公共利益。如案例二，行為人雖然非法收集個人信息多達9000余條，但被侵犯權益的主體較為明確，為學生群體。另一種觀點認為，從案件背后的折射情形來看，行為人的行為已實質侵害群體性利益，而群體性利益就是社會公共利益的外在表現和集中縮影，與此同時還伴隨著潛在的公共利益受損風險。如案例一，行為人的侵害行為是動態、持續的過程，侵害對象雖然都是孕產婦，但對象為不特定多數人，具有公共利益屬性。“公共利益”概念是一個典型的不確定法律概念，概念本身的涵義顯得相當豐富。[6]通常將不特定多數主體利益受損認定為公共利益受損。在侵犯孕產婦、學生信息案中，行為人不加區分，購買、交換、出售信息，雖然受到侵害的主體特定，但潛在的受害者是不特定的，應當認定行為人對公共利益造成損害[7]，符合公益損害條件。

（三）公益訴訟拓展具備潛在空間

在法律規定層面，我國民事訴訟法第55條和行政訴訟法第25條均在明文列舉檢察公益訴訟案件范圍后，以“等”字收尾，從理論研究和實踐發展趨勢來看，在法律明確賦權的領域之外，檢察機關可以就更多損害公共利益的行為提起公益訴訟。[8]在政策規定方面，黨的十九屆四中全會通過的《中共中央關于堅持和完善中國特色社會主義制度 推進國家治理體系和治理能力現代化若干重大問題的決定》，在“加強對法律實施的監督”分項下，明確要求“拓展公益訴訟案件范圍”，為公益訴訟新領域拓展指明方向。從行政公益訴訟設立初衷判斷，立法者并非將公益訴訟的案件范圍局限于“四大領域”，而只是因為這些領域公益受損的情況在當時比較突出，所以著重列舉進行強調。因此，將“四大領域”以外侵害公益的案件納入公益訴訟案件范圍，符合立法的原意。[9]如所周知，教育培訓是侵害消費者個人信息違法行為多發高發的行業和領域，同時兒童權益保護也是社會普遍關注的重點問題。這些相關領域的公司和人員侵害消費者個人信息違法行為不僅侵犯廣大消費者的合法權益，更直接威脅少年兒童的人身安全，也影響經濟社會的健康發展，而相關職能部門存在監管缺失，需要檢察機關依法啟動新領域行政公益訴訟程序，推動行業專項治理。

四、應然方向：個人信息的公益訴訟保護路徑

檢察機關積極因應新時代人民群眾對公益保護的新需求、新期待，緊盯社會反映強烈的個人信息保護問題，發揮公益訴訟職能作用，通過辦理孕產婦、學生等個人信息保護行政公益訴訟系列案件，探索建立“公益訴訟+跟進監督+專題調研+治理建議+協作機制”的治理路徑，實現個人信息保護閉環管理。

（一）以公益訴訟為抓手，主動回應社會關切

在辦理上述非法獲取孕產婦個人信息、學生個人信息用于商業營銷的刑事案件，暴露出兒童攝影、教育培訓等行業侵犯公民個人信息違法犯罪行為多發高發，消費者深受各種垃圾短信、不明電話騷擾，不勝其煩，更嚴重的是，相關信息的傳播使廣大婦女、兒童人身安全也有遭受侵犯之虞，牽動千萬家庭的敏感神經，更不利于相關行業的健康發展，嚴重損害社會公共利益。為切實維護婦女、兒童等特殊群體的合法權益，依法保護個人信息安全，有效治理非法獲取個人信息用于商業營銷亂象，經Z省人民檢察院批復，先后調查啟動孕產婦個人信息保護、學生個人信息保護等新領域行政公益訴訟，督促市監部門依法查處涉案機構違法行為，直面社會痛點，回應群眾關切。

（二）以跟進監督為保障，提升公益保護質效

受突如其來的新冠肺炎疫情影響，職能部門疫情防控任務繁重，而涉案教育培訓、兒童攝影機構也面臨現實的經營困難，這些因素的聚集，給檢察建議的后續落實造成一定的影響。有基于此，L區人民檢察院從實際情況出發，持續跟進監督案件進展，在做好自身疫情防控工作的同時，理解和支持市監部門依法履職，主動上門溝通，牽頭相關部門開展協商，合力解決在查辦侵犯消費者個人信息案件過程中遇到的困難和問題。公益訴訟作為新時代檢察工作發展的著力點之一，主導作用不可或缺。在案件辦理方式上，不以提起訴訟為目標，嚴格執行訴前程序，充分發揮檢察建議作用。[10]一方面，發揮職能作用，引導涉案教育培訓、兒童攝影機構合法合規經營，助力復工復產;另一方面，強化法律剛性懲戒，推動市監部門作出轄區首例針對侵犯消費者個人信息違法行為的行政處罰決定，實現懲前毖后。

（三）以專題調研為支撐，助力破解執法難題

實踐中，查處侵犯消費者個人信息違法行為存在線索發現難、調查取證難、行刑銜接標準不明確等困境，市監部門執法經驗不足，且此類案件缺乏具體明確的處罰裁量權規則，各地市監部門作出的行政處罰決定罰款數額差異較大、標準不一。對此，公益訴訟檢察部門組建專題調研組，經過充分調研，結合辦案實際撰寫論文，為公益訴訟案件辦理和市監部門執法工作提供豐富詳實的理論、實踐參考。此外，對侵犯個人信息行為的追責機制進行必要研究。考慮到侵犯個人信息行為頻發的原因之一就是相關追責機制不完善，為防范此類行為，完善追責機制無疑是最有效方式。從民事、行政、刑事等責任的遞進態勢來看，理想狀態無外乎要構建“民事+行政+刑事”的“三位一體”責任追究機制，但具體協同推進方式需要大膽設想、小心求證。如在侵犯公民個人信息刑事附帶民事公益訴訟案件中，刑事追訴和公益訴訟可以同步進行，已達到刑事責任和行政責任的雙重約束。

（四）以治理建議為補充，協同推進源頭監管

針對部分涉案孕產婦個人信息從多家知名醫院泄露且屢有發生的情況，L區人民檢察院經反復論證、綜合權衡后，向轄區兩家醫院發出社會治理類檢察建議，推動兩家醫院通報患者信息泄露的典型案例，組織醫務人員觀摩庭審，完善各項患者信息安全管理的配套制度和措施。就案例一、案例二暴露出的涉培訓事項個人信息泄露的監管盲區，L區人民檢察院主動發揮檢察職能作用，以檢察建議積極助力社會治理，督促教育部門向轄區中小學（幼兒園）、直屬單位、民辦教育培訓機構下發《關于要求加強管理合法合規使用學生信息的通知》，并以培訓機構復課核驗工作為契機，建立動態舉報信息平臺，加大對校外培訓機構的監督管理力度，力求從源頭上杜絕教育培訓領域侵犯學生個人信息違法犯罪行為。

（五）以協作機制為延伸，凝聚信息保護合力

就辦案中發現的個人信息執法司法難題，L區人民檢察院會同公安機關、市監部門、教育部門出臺《關于加強消費領域個人信息保護執法司法協作的若干意見（試行）》，明確消費領域主要范圍，重點規定行刑銜接中的線索移送和檢察監督，強化司法監督制約，凝聚工作合力。市監部門在辦案中發現侵犯消費者個人信息違法行為涉嫌犯罪的，及時移送公安機關，公安機關依法作出立案、不立案、撤案監督的決定，檢察機關對市監部門移送涉嫌犯罪案件和公安機關的立案活動進行監督。公安機關辦理消費領域侵犯公民個人信息犯罪案件，認為不符合立案條件但應行政處罰的，移交市監部門，檢察機關在履職中發現消費領域侵犯個人信息違法行為符合提起民事或者行政公益訴訟條件的，依法提起公益訴訟。

*浙江省溫州市鹿城區人民檢察院辦公室副主任，中國法學會會員[325000]

**浙江省溫州市鹿城區人民檢察院第六檢察部（行政檢察和公益訴訟檢察）檢察官[325000]

[1] 參見《上海檢察院：侵犯公民個人信息案件數逐年攀升》，中國新聞網https：//baijiahao.baidu.com/s？id=1621627806808427672，最后訪問日期：2020年10月10日。

[2] 參見李冉：《打造共建共治共享的社會治理格局》，《光明日報》2017年10月23日。

[3] 參見王慰、朱亮：《涉網絡侵犯公民個人信息犯罪之應對——以非法獲取公民個人信息新型案例為切入點》，《人民檢察》2019年第10期。

[4] 參見孫傳璽、崔雪：《侵犯公民個人信息刑事附帶民事公益訴訟案件難點破解》，《中國檢察官》2020年第14期。

[5] 參見《檢察公益訴訟十大典型案例》，《檢察日報》2018年12月26日。

[6] 參見胡建淼、邢益精：《公共利益概念透析》，《法學》2004年第10期。

[7] 參見萬力、劉洋：《公民個人信息保護刑事附帶民事公益訴訟實踐與思考》，《中國檢察官》2020年第12期。

[8] 參見王輝、韓榮：《消費者個人信息保護檢察民事公益訴訟相關問題探析》，《中國檢察官》2020年第12期。

[9] 參見曾國東、劉洋：《行政公益訴訟案件范圍拓展研究》，《中國檢察官》2020年第5期。

[10] 參見《積極發揮檢察機關的主導作用》，《檢察日報》2018年11月19日。