摘要: 《个人信息保护法》规定将个人信息权益纳入公益诉讼保护范围。个人信息侵权行为呈现出与传统领域公益侵权截然不同的高流动性和扩散性特征，对其公益保护方式提出了更高的要求。相比刑事诉讼、检察建议和社会组织公益诉讼等保护方式，检察民事公益诉讼的因民事性质、诉讼性质和起诉主体的公权性质更具保护范围广、调查举证能力和判决执行力强等优势，与个人信息保护更具适配性。在个人信息保护检察公益诉讼的立法和实践摸索中，当着重克服限制其发挥公益保护作用的短板，拓宽案件发现途径、提升检察民事公益诉讼独立性和落实检察机关调查核实权。
Abstract:
The PIPL provides that the rights and interests of personal information are included in the scope of protection for public interest litigation. Personal information infringement presents high mobility and diffusion characteristics that are completely different from public interest infringement in the traditional field, and puts forward higher requirements for its public interest protection methods. Compared with protection methods such as criminal proceedings, procuratorial suggestions, and public interest litigation by social organizations, procuratorial civil public interest litigation has the advantages of wider scope of protection, strong ability to investigate and present evidence, and strong ability to enforce judgments due to the civil nature, nature of litigation, and nature of the public power of the subject of the prosecution, and is more compatible with the protection of personal information. In the legislative and practical exploration of personal information protection procuratorial public interest litigation, emphasis should be placed on overcoming the shortcomings that limit its role in public interest protection, broadening the channels for case discovery, enhancing the independence of procuratorial civil public interest litigation, and implementing the procuratorial organs’ right of investigation and verification.
1. 前言
大数据时代，个人信息走出了信息主体私人生活的畛域，改变了不为外人道的状态。一方面，个人信息的聚合性和动态性决定了数个个人信息的集合能够产生重大的商业价值，不经意泄露的个人信息难逃被身为“理性经济人”的商业实体统一收集留存并不断分析处理的命运；另一方面，政府公共管理事业趋向于借助信息手段对公民个人信息统一收集分析，以促进公共管理的科学化、高效化转变。对个人信息的不恰当处理导致了严重的侵权问题。个人与侵权主体能力差异悬殊，缺乏议价能力，个人本位的个人信息自我控制范式已经不能够解决新问题，信息主体和处理者的不对等地位迫切要求个人信息保护诉讼原告应当突破私主体所处的信息牢笼和能力枷锁，个人信息保护应当从个人控制走向社会保护 [1] 。
近年来，检察公益诉讼的版图由制度建立之初的四个领域不断向妇女权益、个人信息保护等新领域拓展，初步建立起“4 + N”的基本业务框架。2021年8月出台的《中华人民共和国个人信息保护法》，标志着个人信息保护被纳入公益诉讼范围。个人信息保护手段可作三分如下：刑事保护手段，即侵犯公民个人信息罪刑事诉讼；民事保护手段，包括私益诉讼和民事公益诉讼；行政保护手段，包括个人信息行政保护职责、检察建议和行政公益诉讼。与其他手段相比，检察民事公益诉讼具有规模效益和协同效应等多重优势 [2] ，应在个人信息保护领域发挥示范作用，但司法实践却未能达到预期水平。通过观察实践样态可知，个人信息保护公益诉讼立法原则性较强，不足以指导检察机关发现案源、调查核实和推进诉讼，且检察机关在程序运行、事实认定上高度依赖刑事诉讼，制约了其优势发挥。笔者从个人信息保护民事检察公益诉讼的制度优势和实践限制出发，以问题为导向探究本制度的优化路径。
2. 个人信息公益的理论证成：“损害”的扩张诠释与诉讼请求限制
广义的公共利益可分为国家利益、不特定多数利益和须特殊保护界别的利益 [3] 。狭义的公共利益也是民事诉讼法上的公共利益，仅指不特定多数的利益。《个人信息保护法》第70条将公益诉讼条件概括为“个人信息处理者违反本法规定处理个人信息，侵害众多个人的权益”，文义解释可得，“众多个人”仅指数量上多的个人，而无有排除特定多人之义，即特定多人与不特定多人都可以被解释为“众多个人”。从字面上来看，“众多个人”的规定与“公益”对应的不特定多数利益存在出入。体系解释可得，因《个人信息保护法》第70条规定的是公益诉讼的新形式，隶属公益诉讼的范围，因此个人信息之公益仍指向不特定多数的利益。依据传统的无损害则无救济的法律理念，仅就受到客观、确定、可计算 [4] [5] 的损害的公益损害案件可以提起公益诉讼。由于个人信息与身份的对应性，造成实质损害的侵权行为通常能够通过个人信息内容确定主体身份，因此受到实质损害的主体属于特定多数，此时的个人信息利益不属于公益范畴。允许就造成单纯风险的个人信息处理行为提起预防性公益诉讼，是理顺个人信息与公共利益逻辑关系的需要。从个人信息的人格权属性出发，信息主体就信息泄露的单纯风险享有停止侵害、排除危险的防御性请求权，此时信息泄露的单纯风险对应不特定多数。惟有从风险预防的角度诠释个人信息保护公益诉讼，对个人信息的理解方可同时满足“损害”要件和“不特定多数利益”要件。民法学界的主流观点认为针对单纯风险不可请求损害赔偿，因为对单纯风险提起损害赔偿请求不符合损害填平规则，置被告于不公平的地位。但在否定就单纯风险提起损害赔偿请求的同时，应当肯定原告就此起诉的权利。目前在环境保护领域已有预防性公益诉讼的司法实践1，保护个人信息亦应重视风险预防，允许对达到重大风险的潜在个人信息侵权行为提起公益诉讼。个人信息泄露造成单纯风险的，仅可请求排除妨害、消除危险，被告无需为自己未造成的实质损害负赔偿责任，仅需通过删除个人信息、整改经营模式等消除风险。
3. 个人信息保护检察民事公益诉讼发展：优势与限制
检察民事公益诉讼与其他个人信息保护手段相比具有显著的优势。然而，个人信息保护检察民事公益诉讼受到案件发现渠道单一、独立性不足和检察机关起诉顺序法律规定不明确等限制，未能发挥其预期作用。
(一) 检察民事公益诉讼于个人信息保护领域之优势
1) 民事性质：与刑事诉讼相比
个人信息保护检察民事公益诉讼起诉标准低于侵犯公民个人信息罪刑事诉讼，其程序能够精准填补民事权益损失。《个人信息保护法》出台之前，个人信息违法惩戒主要依据《刑法》定侵犯公民个人信息罪，判处有期徒刑或拘役、罚金。刑诉与民事公益诉讼的审理裁判差异导致二者在起诉标准、庭审程序和责任形式均不同。起诉标准上，刑事起诉需达到“情节严重”，依据《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》，数量上，“情节严重”指非法处理行踪轨迹、通信、征信等五十条以上，非法处理可能影响人身、财产安全的个人信息五百条或非法处理其余个人信息五千条以上；违法所得上，该罪入罪标准为五千元。相比之下，《个人信息保护法》对提起公益诉讼仅要求“侵害众多个人权益”，对该标准的理解，一般从违法处理个人信息、侵害众多个人权益和实质侵害社会公共利益三方面下手 [6] ，公益诉讼能够规制刑事诉讼未能覆盖的违法行为。庭审程序上，刑事案件受害人作为证人出庭，询问证人的目的在于确定被告行为违法性和刑事责任。民事公益诉讼以损害填平为原则，重视定损并以损失作为判决赔偿的依据。责任形式上，侵犯公民个人信息罪刑罚包含有期徒刑或拘役、罚金。个人信息保护民事公益诉讼的责任类型包含赔礼道歉、赔偿损失、消除危险、停止侵害，以及一些其他“以行为填补或者预防公共利益损害”的责任方式，如要求被告在判决生效后的规定期限内委托电信部门向被侵权人发送风险提示短信2或要求被告承诺合规经营 [7] 等。与刑事重在惩罚犯罪相比，个人信息保护民事公益诉讼责任重点在于填补损失和恢复原状。检察民事公益诉讼的民事诉讼性质克服了刑事诉讼的谦抑性，能够在追诉主动性和保护覆盖面上弥补刑事诉讼的不足 [8] 。
2) 诉讼性质：与检察建议相比
与检察建议相比，检察公益诉讼以诉讼性质使其判决更具刚性和执行力。根据《人民检察院检察建议工作规定》(下称“《规定》”)第5条，检察建议包括公益诉讼检察建议。首先，作为具有“中国特色”的柔性检察监督制度 [9] ，检察建议并不具备直接起动再审程序的绝对刚性 [10] 。换言之，是否接受检察机关的建议是接收机关的自主权利 [11] 。其次，根据《规定》第19、23条，检察建议可能因接受机关异议进入复核程序。相比检察建议程序的延宕，随着数据分析工具的升级，个人信息损害的扩张变得快速和难以控制。检察公益诉讼保全制度和执行力能够修正检察建议程序的延宕。一方面，检察公益诉讼传唤、判决和执行都由国家强制力推进，被告是否提出异议不影响诉讼的开展，判决结果也由强制执行程序保障。另一方面，保全可以限制被告的信息处理行为，有效防止损害在诉讼过程中扩张。
3) 起诉顺序前置：与传统公益诉讼起诉顺序相比
《民事诉讼法》第58条确定了检察机关在公益诉讼中起诉顺序后置于法定机关和有关组织的规则，而《个人信息保护法》对此作出了改变。该法制定的个人信息保护公益诉讼的起诉主体顺序为：a) 检察机关；b) 消费者组织；c) 网信部门确定的组织。虽然《民诉法》、《检察公益诉讼解释》和《个信法》之间存在保持检察机关谦抑性和强调检察民事公益诉讼作用的矛盾，但根据新法优于旧法、特别法优于一般法的法律适用原则，个人信息保护公益诉讼的起诉顺序应当优先适用《个信法》的规定 [12] [13] ，检察机关在个人信息保护民事公益诉讼中不再发挥补充和兜底作用，侧面反应出了立法对检察民事公益诉讼实践的认可和推崇。
4) 公权力主体：与消费者组织或国家网信部门确定的其他主体相比
消费者组织和国家网信部门确定主体作为原告存在实践短板或理论缺陷，与之相比，检察机关作为法定法律监督机关，有社会组织不具备的公信力、统筹协调能力和证据调查能力。个人信息权近几年才得到社会关注，我国尚不存在针对个人信息保护开展的成熟社会组织。消协作为个人信息保护公益诉讼的原告，其起诉正当性要件之一是被诉行为在市场活动中展开，若侵权行为发生在市场外，消协作为原告则不再适格。且公益组织的主要资金来源于个人、企业和其他组织的公开和定向募捐，公益组织与侵权者存在利益输送关系的可能性，可能在利益驱动下对公益损害保持缄默。国家网信部门的民事诉讼原告资格尚无理论支撑，有学者认为，《立法法》第8条第10项明确规定诉讼制度事项只能由法律规定，而公益诉讼原告属于诉讼制度范畴，因此国家网信部门无权确定公益诉讼主体 [14] 。相比之下，适格性上，检察机关的法律监督权由宪法赋予，其诉讼实施权源于法律规定而不限领域，其对各领域的个人信息侵权行为起诉皆有正当性和合法性；人才队伍上，检察机关在通过遴选、招录获得专业人才的同时，还通过挂职交流、建立专家联系通道的方式解决公益诉讼专业问题；证据收集上，《最高人民法院、最高人民检察院关于检察公益诉讼案件适用法律若干问题的解释》第6条赋予了检察机关在公益诉讼中向机关、组织和公民调查取证和证据保全的权力，被调查人有配合义务；利益关系上，检察机关作为公主体，其资金由国家财政保障，杜绝了利益输送的可能性。
(二) 检察民事公益诉讼发展现状之限制
1) 发现途径单一之案源限制
案件发现是诉讼的基础。个人信息保护案件可源自检察机关在法律监督活动中发现、检察机关在刑事诉讼中发现、法定组织在相关活动中发现和群众举报发现。笔者以“个人信息保护”和“公益诉讼”为关键词，在北大法宝检索得到判决时间在2021年8月20日至2023年3月17日间的个人信息保护公益诉讼案件共28件，在案件发现途径上，6件由社会组织发现，6件在检察工作中发现，4件在刑事侦查中发现但最终刑事不起诉，12件在刑事侦查中发现后提起刑事附带民事诉讼。
分析可知，个人信息保护公益诉讼主要通过刑事诉讼发现，占总样本量的57%，刑事罪名以侵犯公民个人信息权罪为主，兼有打击侵害未成年、妇女等群体的犯罪行为。由于起刑点较高和刑事被告身份限制，通常难以通过刑诉发现公司、组织和机关的个人信息公益侵权行为。刑侦之外的个人信息保护公益诉讼案件发现途径包括检察机关在专项工作中发现和社会组织在公益保护活动中发现，但分别占比不到总量的25%。案件发现途径在根源上限制了个人信息保护检察民事公益诉讼的发展。
2) 刑事附带民事公益诉讼之形式限制
刑事案件是个人信息保护民事公益诉讼案件发现的主要途径，并直接影响诉讼形式。刑事发现作为主要途径导致个人信息保护案件多为刑事附带民事公益诉讼。由于刑法保护法益的重大性，在刑事附带民事公益诉讼中，责任主体确定、证明标准和法条适用主要依据《刑法》和《刑诉法》，民事公益诉讼高度依附于刑事诉讼。具体言之，单位非刑事侵犯个人信息罪的打击目标，依据刑法对单位处理畸轻或不处理，刑附民事公益诉讼可能导致民事审判为了与刑事保持一致而不起诉侵权组织或公司 [7] 。在笔者检索的案例中，被告皆为自然人。此外，由于刑事在前、民事在后的审判顺序，民事事实和证据的认定受到刑事的影响，判决书通常呈现“刑民合一”、“刑详民简”的状态。以(2021)沪0120刑初828号判决书为例，法院的民事裁判理由聚焦于论证检方提起公益诉讼的合理性，对民事案件事实和损害的认定简述或不述，民事判决依据刑事诉讼认定的事实。重刑轻民的合并审理侵犯了民事受害人的庭审参与权，模糊了刑、民事证明标准的边界，使公益诉讼原告证明责任畸重，损害认定有失精准。
3) 起诉顺序不明确之实践限制
在法律层面，《个信法》第70条以特别法的形式在保护个人信息公益上给予了公权力主体高度主动权，但这种强化还未反映到司法实践中。在笔者检索的28份案例中，凡检察机关单独提起民事公益诉讼的判决书，其案情描述都以“某人民检察院于某日公告了案件情况，公告期内未有法律规定机关和有关组织提起民事公益诉讼，即某人民检察院系提起附带民事公益诉讼的适格主体”结尾，以佐证检察机关的适格性。可见，检察机关仍对取缔公告程序持保守态度，《个信法》改变起诉主体顺序的立法目的是发挥检察机关在个人信息保护中的领头作用，然而在司法解释缺位之下未有成效。学界对检察机关率先起诉适格性的肯定，无法在短时间内改变司法实践中检察机关起诉前先公告的做法，这拖延了检察公益诉讼的进程，影响了检察公益诉讼的效率。
4. 个人信息保护检察民事公益诉讼的优化路径
(一) 明确起诉顺序，发挥检察能动作用
根据个人信息保护公益诉讼的实践情况来看，检察机关在个人信息保护和传统类型公益诉讼上有其他适格主体不具备的公权权威、调查能力和起诉动力，有鉴于此，《个人信息保护法》对公益诉讼的规定将之置于起诉主体首位。但由于该规定指代不够明确，未能在司法实践中发挥取消起诉顺序限制的指导作用。笔者认为，应当尽快出台司法解释，以明确的法律规定减少检察机关提起个人信息保护公益诉讼的前置程序，充分利用检察机关办案经验和发挥其调查能力之优势，弥补社会组织发展缺乏起诉动力和专业能力之不足。
(二) 拓宽案件来源，重视社会监督
《人民检察院公益诉讼办案规则》第24条规定，公益诉讼案件线索的来源包括民事主体举报、检察院办案、行政执法信息共享、人大代表和政协委员转交、新闻社舆反映等。从司法案例中不难发现，新闻社舆、行政信息共享等几乎未为检察公益诉讼提供个人信息保护案源，社会监督没有发挥实效。一方面，个人信息保护检察民事公益诉讼需要畅通外部举报渠道。新闻媒体和社会民众作为公共生活最核心、最基本的参与主体，最能敏锐地察觉个人信息侵权现象。现行法并未对检察机关如何处理公益诉讼举报作出规定，笔者提议参考适用针对刑事诉讼的《人民检察院举报工作规定》。具体而言，检察机关可以设置专门举报场所，并将举报方式对社会公布。公益诉讼举报人应当有权申请回避，并在举报后一定期限内未获得答复时向检察院申请查询结果，对检察院的不予立案决定，举报人有权向上级检察机关申诉，并在人身、财产受到威胁时请求保护，以及在举报被受理时获得奖励。接到举报后，检察院应当严格履行接受举报的证据登记保存、提示补充材料、举报线索移送和备案登记程序，并在两个月内处理完毕答复举报人并向上级举报中心备案，考虑到个人信息损害扩大快速且侵权人可能在短时间内毁灭证据，举报中心工作人员接到举报后应立即提出处理意见并层报检察长审批。同时，检察机关应对社会影响力大的个人信息侵权新闻事件主动介入调查，并在满足条件时积极起诉。另一方面，检察机关应开展个人信息保护的内部工作。检察院可开展个人信息保护专项行动，由最高检和网信办共同召开集中整治个人信息侵权专项行动的联席会议并下发会议纪要、开展专项行动，自上而下建立个人信息保护工作联系制度，加强上下级检察院的纵向配合及检察院和网信部门的横向配合。
(三) 落实调查核实权，提高民事证据权重
检察机关在民事公益诉讼主要通过行使调查核实权进行调查举证，调查核实是公益诉讼办案最核心的环节。依据《检察机关民事公益诉讼案件办案指南》，检察机关的调查核实方式包括查阅卷宗、询问、收集书证物证等证据、咨询专业人士、委托鉴定评估和勘验现场等。出于诉讼效率和举证成本的考量，以往民事公益诉讼实践中的检察调查核实多以查阅刑事卷宗展开，民事调查成果受到刑事侦查结果的限制。为使调查落到实处，检察机关调查核实应切实回应保护公益的需求，除吸收刑事证据外，用询问、收集、专业咨询手段构建独立的公益诉讼类型化调查程序。鉴于个人信息侵权手段高度专业化，检察机关对侵权要件事实的收集分析，可咨询专业人士或委托专业机构鉴定完成。对于调查对象拒不配合的情况，应建立有力的调查保障措施，向不配合的主体送达检察建议并在建议中详细告知后果，以“更换承办人”或“给予处分”替代笼统的“依法问责”。同时，调查行为应当遵循比例原则，尊重保护被调查人的合法权益 [15] 。检察公益诉讼证明标准应当与刑诉标准严格区分，对刑事附带民事公益诉讼中达不到刑事“证据确实、充分”标准的证据，审判员应当着重分辨其对附带民事公益诉讼待证事实的证明力，对达到“高度盖然性”标准的证据应当依法认定相应待证事实为客观真实。
(四) 裁判程序相对分离，增强民事诉讼独立性
刑事附带民事公益诉讼作为目前主要的个人信息公益保护诉讼方式，采取刑民合并的庭审方式，其弊端在于，刑事为主的诉讼可能吞并公益诉讼程序，影响公益诉讼当事人行使诉讼权利。要在刑诉、民诉中皆获得公正的裁判，既要求法官思维灵活切换，又要求程序适度分离。笔者认为，宜将刑事附带民事公益诉讼看作民事公益诉讼的“简易”程序，仅对事实清楚、争议不大或损害数额小的公益侵权案件开放适用，以确保公益诉讼的专业性。对以下公益诉讼案件，法院应告知检察机关独立提起民事公益诉讼：一，造成物质损害数额巨大的；二，原、被告对侵权要件事实争议较大的；三，造成非物质损害且对其损害大小和填补方式存在争议的。此外，检察院查明侵权主体为法人或组织的，亦应另行提起民事公益诉讼以突破刑事罪名主体限制。审理刑事附带民事公益诉讼的过程中，应在刑事部分审理完毕后休庭，再开庭审理民事部分，给予法官充分的阅卷和思维切换时间。民事公益诉讼庭审应当设置单独的举证质证环节，重点对刑事诉讼未提出的证据举证质证。判决宜分别陈列刑事、民事认定的事实和裁判理由以增强其逻辑性和说服力。
5. 结语
实现个人信息保护公益诉讼的制度旨趣，需要发挥检察公益诉讼的能动作用。检察机关作为个人信息保护民事公益诉讼原告，回应了个人信息保护从个人控制走向社会控制的需要，是对信息主体与侵权主体能力差距的修正，是公平正义观在互联网时代演变为的“数据正义观”的要求。《个人信息保护法》以起诉顺序前置赋予了检察机关在个人信息保护领域发挥领头作用的条件。为使个人信息保护检察民事公益诉讼达到预期效果，需要克服既有短板，通过拓宽案件来源、落实调查核实权和增强民事公益诉讼独立性，使优化后的检察民事公益诉讼最大程度效用于个人信息保护。
NOTES
1(2017)云民初2299号和(2020)云民终824号民事判决书和最高法指导案例174号｡
2广东省韶关市中级人民法院作出的(2021)粤02刑终237号刑事附带民事判决书｡