個人信息保護領域檢察民事公益訴訟制度研究

吳興亥

(江蘇省宜興市人民檢察院 江蘇無錫 214200)

2020年9月,最高人民檢察院印發《關于積極穩妥拓展公益訴訟案件范圍的指導意見》,明確將“個人信息保護”作為網絡侵害領域的辦案重點[1].2021年8月,十三屆全國人大常委會第三十次會議表決通過《中華人民共和國個人信息保護法》(以下簡稱《個人信息保護法》),該法第70條明確將個人信息保護納入檢察公益訴訟的法定領域[2].為了推進個人信息保護領域公益訴訟檢察工作,最高人民檢察院發布《關于貫徹執行〈中華人民共和國個人信息保護法〉推進個人信息保護公益訴訟檢察工作的通知》(以下簡稱《貫徹執行通知》),規范相關公益訴訟案件辦理[3].2022年10月,中共二十大報告提出“加強個人信息保護”,并強調“完善公益訴訟制度”.在此背景下,對個人信息保護檢察公益訴訟制度進行深入研究具有重要的理論及現實意義.

個人信息保護檢察民事公益訴訟是個人信息保護公益訴訟法治體系的重要組成部分,但在司法實踐中存在諸多問題,本文以2起侵犯公民個人信息案件為切入點,分析辦理案件過程中的難點,并提出完善路徑.

1 個人信息保護領域檢察民事公益訴訟實務樣態

1.1 現有制度規范及其分析

2021年8月20日頒布的《個人信息保護法》第70條正式明確了個人信息保護公益訴訟制度,但僅作出原則性規定,對實體性內容的規定比較粗疏,大體分為違法處理個人信息行為以及侵害眾多個人權益的損害后果2類.

1) 違法處理個人信息行為.

根據《個人信息保護法》第70條的規定,“違反本法規定處理個人信息”是提起個人信息保護刑事附帶民事公益訴訟的行為要件.《個人信息保護法》構建了以“告知-知情-同意”為核心的個人信息處理規則,并且對具體違法處理個人信息的行為進行了列舉,涵蓋了收集、存儲、使用、加工、傳輸、提供、公開等個人信息處理全流程.第6條規定:不得過度收集個人信息;第13條、第14條、第27條規定:處理個人信息應獲得個人同意;第24條明確“大數據殺熟”“算法推薦”等為不當個人信息自動化決策方式;第23條、第25條規定:個人信息處理者向他人分享個人信息的,應當取得個人的單獨同意;第28～32條對違法處理敏感個人信息作出規定等.個人信息處理者存在《個人信息保護法》所列舉的違法處理個人信息行為,就符合提起個人信息保護刑事附帶民事公益訴訟的行為要件.

2) 侵害眾多個人權益的損害后果.

侵害眾多個人的權益是提起個人信息保護民事公益訴訟的損害要件.“眾多個人權益”絕非多個信息權利人利益的簡單集合,而是個人信息公共利益.公共利益本身是一個非常抽象的名詞,現有法律中也沒有對其給出明確的定義和內涵,屬于不確定法律概念[4].個人信息在傳統觀念中是典型的個人私益,正是隨著大數據時代的到來個人信息才有了公益屬性[5].本文認為,侵犯公民個人信息的行為導致公民個人信息處于危險狀態,輕則致使相關公民收到廣告、推銷等信息騷擾,重則會使相關公民的人身和財產利益受到損害.個人信息保護領域的公共利益應當是使社會公眾免于因個人信息被侵害而導致物質或精神損失的抽象利益.《貫徹執行通知》(對個人信息保護領域的公共利益進行了一定程度的羅列)規定對敏感信息、涉及特殊群體、重點領域、特定對象的信息以及100萬人大規模信息進行重點保護.

1.2 案件辦理現狀

以2起侵犯公民個人信息刑事附帶民事公益訴訟案件為例,分析目前該類案件的現狀.

案例1:謝某等人侵犯公民個人信息案.

2021年6月,謝某等人利用工作便利,盜用民警的數字證書登錄公安交通管理應用平臺,查詢包含車輛基本信息、車輛所有人信息、抵押情況的車輛檔案信息,用手機拍照的形式將查詢到的車輛信息出售.檢察機關依法提起刑事附帶民事公益訴訟,訴請法院判令侵權人永久刪除其非法獲取的公民個人信息,并在國家級媒體上就其侵犯公民個人信息的行為賠禮道歉,得到法院判決支持.

案例2:蒲某等人侵犯公民個人信息案.

2022年4月,蒲某等人作為“信息掮客”,在一些“違章”微信群中購買汽車檔案信息(包含車輛基本信息、車輛所有人信息、車輛抵押信息)等公民個人信息后,出售給下游買家,從中牟利.檢察機關依法提起刑事附帶民事公益訴訟,經濟院組織調解,侵權人按銷售金額進行賠償,永久刪除其非法獲取的公民個人信息,并在國家級媒體上就其侵犯公民個人信息行為賠禮道歉.

2案體現出基層辦理個人信息保護民事公益訴訟案件的現狀:

1) 公益訴訟請求權基礎的法律依據不足.《個人信息保護法》第69條規定了相關的損害賠償制度,與《中華人民共和國民法典》(以下簡稱《民法典》)第1182條的規定保持一致,均以被侵權人的損失或者侵權人的獲利加以確定,但在有多名當事人的侵犯公民個人信息案中,無論是損失還是獲利均難以準確計算.在金額無法計算的情況下只剩下賠禮道歉一項訴訟請求.無法真正體現侵犯公民個人信息行為損害社會公共利益的危害性.

2) 案件范圍標準不明確.對公民個人信息的侵害是一種間接侵害,并不會直接對公民人身、財產權益造成損失.這種間接侵害的特性導致公共利益損害的認定標準更為復雜,相比于刑事案件較為明確的入罪標準,民事公益訴訟案件范圍目前沒有統一的認定標準,侵犯公民個人信息的行為達到何種程度才構成對公共利益的侵害,是檢察機關在辦理此類案件時面臨的現實困惑.

3) 與刑事處罰銜接不順暢.刑事處罰與民事訴訟請求銜接尚不明確,是否適用刑民雙重處罰仍不明確.民事訴訟請求賠償損失的金額僅僅依據非法獲利來確定也存在不足,上述案件中,往往數百元就能買到數萬條信息,侵權行為人獲利情況與公共利益受損狀況并不相符.同時,刑事部分計算的違法所得與公益訴訟中賠償損失的訴訟請求的關系尚未厘清.謝某等人侵犯公民個人信息案中,由于涉案當事人多,信息被反復倒賣,購買人和銷售者可能重合,出現同一信息賣給不同的人價格不同的情況,無法理清完整的銷售鏈而不能主張連帶責任.刑事部分所確定的違法所得系不考慮信息是否重復,也不考慮合理成本的金額.但民事部分的“賠償損失”是否與刑事違法所得計算標準一致尚未達成統一標準.

1.3 案件辦理特點

通過檢視2起案件,結合相關典型案件和理論研究資料,個人信息保護領域公益訴訟案件具有以下特點:

1) 利益需求滋生違法.

大數據時代,個人信息涉及公眾生活的方方面面,成為不法分子新的目標,2起案件均涉及汽車檔案信息,辦案過程中不乏二手車商參與其中,二手車商通過對車檔信息梳理分析,精準定位目標用戶.正是由于下游群體對個人信息的巨大需求,才導致大量侵犯個人信息違法行為的產生.

2) 侵犯個人信息的危害后果日趨嚴重.

個人信息往往牽涉到網絡犯罪“黑灰產業鏈”,直接導致侵害后果嚴重化和擴大化.侵犯個人信息案件屬于“黑灰產業鏈”的上游,不法分子通過所獲取的個人信息進行其他犯罪的趨勢越來越明顯,侵犯個人信息成為滋生電信詐騙、養老詐騙的溫床,給群眾財產利益造成巨大損失.

3) 涉案人數眾多.

侵害公民個人信息案件具有信息化、網絡化的特點,給犯罪提供了便利條件,許多侵權行為人抱著“賺外快”的目的加入倒賣公民個人信息的侵權行為中.公民個人信息往往經過多次倒手,通過不同的聊天軟件、交友平臺,涉及個人信息數量大,而大量的信息通過不同的平臺被不同的人經手,1條信息的銷售鏈可能有十幾甚至二十幾個環節,該類案件往往是窩案,犯罪嫌疑人有三四十人.

4) 犯罪嫌疑人具有特殊身份,利用工作便利侵犯公民個人信息.

公民個人信息的來源渠道基本上是存在信息需求的相關產業,譬如快遞、銀行、通信公司等,甚至是部分行政機關.這就導致相關從業人員利用工作便利獲取公民個人信息為自己謀求私利,如謝某等人侵犯公民個人信息案,他們利用工作上的便利條件,輕易獲取公民信息進行售賣從中牟利.

5) 訴訟請求較為單一.

檢察機關提起侵害公民個人信息刑事附帶民事案件的訴訟請求多為賠禮道歉和賠償損失.由于被侵權人的損失難以評估,賠償損失的數額又以侵權行為人實際獲利來確定.實際獲利與違法所得之間又存在爭議,違法所得是否要扣除實際成本來計算目前尚未形成統一意見.并且,同一信息傳播鏈上不同環節的獲利如何計算,即A將1條個人信息銷售給B,再銷售給C,D,E,F,G等數個下家,每道環節的銷售價格都不一樣,這樣如何計算訴訟請求,一旦涉及到三四十名犯罪嫌疑人,訴訟請求便只有賠禮道歉一種.

2 個人信息保護領域檢察民事公益訴訟案件辦理難點

2.1 辦案難點

1) 損害要件難以界定.

損害是侵權責任構成的一個重要要件,在公益訴訟領域亦然.在公益訴訟領域,損害要件的表現形式即是損害社會公共利益.公共利益屬于不確定法律概念[6],很難通過法律明確界定,大多時候只能通過列舉來明確具體情形,但《個人信息保護法》第70條并未對此作出具體規定,那么具體需要達到多少受害人、個人信息達到何種規模、非法獲利達到多少才能符合提起個人信息保護公益訴訟的要求,在司法實踐中存在爭議.

2) 調查取證缺乏剛性.

雖然“兩高”《關于檢察公益訴訟案件適用法律若干問題的解釋》(以下簡稱《解釋》)第6條[7]、《中華人民共和國人民檢察院組織法》第21條[8]均賦予檢察機關在履行法律監督職責過程中的“調查核實權”,但都未規定不配合檢察機關調查核實的相應罰則,實踐中調查取證難的問題一直存在.隨著大數據和人工智能技術的運用,信息的采集、運輸、使用更加專業和智能,傳統的調查取證手段已經無法滿足當下信息化的證據.個人信息違法、犯罪行為大多依托計算機和互聯網平臺,檢察機關缺乏在計算機技術和網絡應用領域的專門信息技術人員,識別、獲取、固定、評估關鍵證據都面臨問題.司法實踐中,個人信息保護刑事附帶民事公益訴訟案件調查取證非常依賴公安機關的力量,如提取侵權人電腦、手機里的信息、調取當事人的聊天記錄等,這些證據單靠檢察機關不太可能獨立獲取.

3) 法律責任難以明確.

對于個人信息保護刑事附帶民事公益訴訟,常見的法律責任除了消除危險、賠禮道歉外,最重要的當屬賠償損失.對于公益訴訟來說,自然不能主張精神損害賠償,因此賠償損失就只能是賠償財產損失.

在最高人民檢察院于2021年4月發布的5件個人信息保護民事公益訴訟典型案例中,檢察機關僅在2起案件中提出賠償損失的訴訟請求[9].可見,對于是否主張侵權人賠償損失,各地檢察機關做法不一.根據《民法典》第179條之規定,賠償損失是民事主體承擔民事責任的主要方式之一.《民法典》明確自然人對其個人信息享有人格權益.第1182條對侵害個人信息提出損失賠償作出規定,應遵循次序明確損害賠償數額.對于個人信息保護刑事附帶民事公益訴訟來說,要適用該條提出財產損失賠償請求,前提就是要明確侵害個人信息行為造成權利人的財產損失或侵權人的非法獲利.但是司法實踐中,個人信息保護刑事附帶民事公益訴訟案件最通常情形就是侵權人僅實施了違法處理個人信息行為,尚未造成被侵權人權利受損,非法獲利也難以準確計算.同時被侵權人數量龐大,協商賠償數額也不符合實際,這給檢察機關請求侵權人承擔賠償損失責任帶來了實踐困難,也導致各地司法實踐不一.

2.2 成因分析

1) 制度建設快于理論成熟.

刑事附帶民事公益訴訟逐漸成為司法保護公益的常態性訴訟形式,全國檢察機關提起的刑事附帶民事公益訴訟案件數量從2017年6月底為期2年的檢察公益訴訟試點結束的25件到2018年1—8月的991件,占檢察機關提起公益訴訟案件總數的比例也從2.17%上升到74.68%[10].此后,一直穩定在這個比例[11].其中,2020年9月,個人信息保護才作為“等”外領域納入檢察公益訴訟工作.

雖然這一制度的快速發展是對社會訴求的回應,是中央部署落實公共利益保護、提升社會治理效果的政策體現,但是相較于一項普通法律制度的發展,其快速發展導致相關理論的準備非常不充分.一方面,如何明確界定個人信息刑事附帶民事公益訴訟損害要件,學界沒有形成統一意見;另一方面,個人信息保護刑事附帶民事公益訴訟是否應當要求侵權人賠償損失,甚至要求懲罰性賠償,缺乏學理上的充分論證.該制度的發展是制度實踐快于理論發展并且逆推理論發展的典型情況.這種情況下發展起來的相關理論難免存在多種不足,再加之學界難以在短期內對其形成共識,最終導致無法指導司法實踐.

2) 實踐經驗尚未提供成熟范本.

2020年9月,各地檢察機關對個人信息保護公益訴訟展開探索.但是,各地對于該制度的實踐具體內容不同.譬如在承擔法律責任的方式上,各地檢察機關對賠償損失適用情況不一,杭州余杭區檢察院創造性提出個人信息保護協議,要求侵權人承諾今后若違反協議約定,將自愿支付50萬元違約金用于公益支出[12].全國范圍內,相較于消費者權益保護以及生態環境保護領域公益訴訟,最高檢還沒有出臺專門性的文件對個人信息保護領域公益訴訟進行統一和指導.

這一外在現象背后有一重要的隱含原因,即各地現有的實踐經驗尚未提供一個成熟范本.由于制度還在快速發展,本身具有許多不確定性.各地在對該制度實踐時,就會發生一些變化,從而無法形成一個完善、穩定的實踐范本.檢察機關辦理個人信息保護公益訴訟案件,還受到許多其他相關制度、本地實際情況的局限,仍舊處于摸索階段.因此制度本身發展的短暫性,使得各地都未能為該領域案件辦理提供一個比較成熟的范本.

3 完善個人信息保護領域檢察民事公益訴訟制度路徑建議

3.1 強化檢察機關調查取證權

有學者認為,在檢察機關提起公益訴訟制度的構建中,調查取證是職權配置的重點內容.調查取證權是檢察機關提起公益訴訟的必要前提與保障,直接關系到公益訴訟的質量和效果,如果不能充分調取證據將在很大程度上限制公益訴訟制度的有效推行[13].還有學者認為,僅靠檢察機關對大量的數據進行檢索、調查是不現實的,應當建構網絡平臺的數據報送制度,降低檢察機關在調查取證方面的難度[14].

雖然法律賦予了檢察機關在公益訴訟中的調查核實權,但是效力等級較低,缺乏對外強制性.對此,檢察機關應創新調查取證方法.針對刑事責任與侵權責任調查取證方向的不同,公益訴訟部門要與刑事檢察部門加強溝通,釋明2類證據區別,通過刑事檢察部門提前介入、補充偵查,引導公安機關對相關證據進行調取和補強,尤其是涉及敏感信息的案件,應當強化對數據的全面檢索,剔除重復信息,及時固定侵權責任相關證據.其次,要善于借助專家學者解決專業性難題.從檢察公益訴訟的目的和價值取向來看,檢察公益訴訟不僅關注侵害公共利益行為本身,更關注行為產生的原因,同時最大程度降低危害,實現全流程、全方位監督.大數據時代的個人信息,檢察機關要實現全流程、全方位監督,需要具備豐富的信息技術專業知識,在缺乏專業檢察人才以應對上述問題時,借助“外腦”便是必然之選.最后,應當在立法中明確不予配合檢察機關調查取證的相應法律責任,賦予檢察機關調查取證權剛性,保障檢察公益訴訟案件辦理的質量和效果.

3.2 明確侵權人損害賠償責任

司法實踐中,個人信息違法行為大多停留于泄露但尚未造成損害的階段,這也是各地檢察機關要求被侵權人承擔損害損失責任情況不一的原因.如果檢察機關不提出賠償損失的訴訟請求,僅僅要求侵權人刪除信息、賠禮道歉,即便訴訟請求全部得到法院支持,但由于沒有經濟上的損失,對侵權人無法形成有效威懾,既不利于懲罰侵權行為,也難以達到保護個人信息公共利益的目的.因而應當明確侵權人應承擔賠償損失的責任,在侵權人的非法獲利難以準確計算的情況下,可以依據違法所得來明確賠償損失數額.不僅如此,應當按照銷售個人信息次數來計算總數額,重復信息、虛假信息也應當計入違法所得.

3.3 建立協作機制,共筑信息保護屏障

就辦案中發現的個人信息保護執法、司法難題,可以通過與市監部門建立消費者個人信息公益保護機制,重點規定消費者權益保護領域行政執法和公益訴訟檢察銜接,凝聚工作合力.市監部門在辦案中發現侵犯消費者個人信息公益損害線索的,及時移送檢察機關,檢察機關經審查,符合提起民事公益訴訟條件的,依法提起公益訴訟.探索個人信息保護公益損害防控新模式.檢察機關和市監部門延伸法律服務觸角,為企業提供個人信息保護法治體檢服務,及時排查侵害個人信息風險.檢察機關應當積極加強與行政機關的協作,形成保護個人信息合力,重點監管掌握大量個人信息行業,對行業性個人信息侵權問題,通過制發社會治理類檢察建議督促企業依法合規經營,從源頭遏制信息泄露,協同治理侵害個人信息行為,彰顯公益訴訟的獨特價值.

3.4 探索個人信息保護領域懲罰性賠償,助力構建公益損害風險防控格局

構建以個人信息保護領域懲罰性賠償為核心的公益損害風險防控機制.個人信息侵權屬于大規模微型侵權,被侵權人人數眾多,涉案數額小[15].有的案件中侵權人出售了數萬條信息,但違法所得僅千元.這種情況下侵權人違法所得不多,但是涉案信息數量龐大,存在較大的社會危害性,僅依據違法所得來明確賠償數額顯然起不到震懾作用.目前,檢察機關已經在消費者權益保護、生態環境保護刑事附帶民事公益訴訟中適用懲罰性賠償規則,大數據時代個人信息公益損害具有無形性、不確定性,對社會造成的損害也是不可估量的,本文建議在個人信息保護公益訴訟案件中積極探索適用懲罰性賠償規則,構建公益損害風險防控格局,從源頭處遏制侵犯公民個人信息違法行為.

4 結 語

個人信息保護領域檢察民事公益訴訟制度是個人信息保護檢察公益訴訟法治體系的重要組成部分.針對檢察機關在個人信息保護領域民事公益訴訟案件辦理中遇到的問題,本文認為應當完善檢察調查核實權,需要立法賦予其剛性,通過提前介入、補充偵查等方式引導公安加強對敏感信息、敏感人員等取證以符合公益訴訟案件范圍及證據標準.明確侵權人賠償損失責任,依據違法所得來確定賠償損失數額,并將重復信息、虛假信息等計入違法所得中.探索個人信息侵權懲罰性賠償制度,加強個人信息保護檢察民事公益訴訟對個人信息違法犯罪的震懾作用,實現訴源治理.加強與行政機關的協作,形成保護個人信息合力,通過制發社會治理檢察建議督促解決行業性個人信息侵權問題,從源頭遏制信息泄露,充分發揮檢察公益訴訟在個人信息保護中的作用.