郭小伟　高珺

摘 要：个人信息保护公益诉讼条款明确规定了个人信息保护公益诉讼的起诉条件和起诉主体。结合现有学术研究成果和具体司法实践情况来看，个人信息保护公益诉讼的提起条件应当满足个人信息处理者主体适格、存在违法处理个人信息的行为并且损害了众多个人权益三项条件;个人信息保护公益诉讼的三种法定起诉主体应当分别定位为主要起诉主体、必要起诉主体和补充起诉主体;个人信息保护公益诉讼的具体路径选择需要结合两种公益诉讼模式的立案条件、个人信息处理活动的主体类别以及处理主体与信息主体之间的关系具体判断。

关键词：个人信息 公益诉讼 法律适用

《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》）对个人信息保护公益诉讼机制做出了专条（第70条）规定，意味着备受关注的个人信息保护正式进入公益诉讼法定领域。近年来，大量个人信息受到侵犯的案件日益泛滥，使得把有关个人信息乱象的治理纳入法治轨道成为当下个人信息行业发展的当务之急。为配合该条款的具体适用，最高检于《个人信息保护法》发布的次日就下发《关于贯彻执行个人信息保护法推进个人信息保护公益诉讼检察工作的通知》。结合此前公布的《人民检察院公益诉讼办案规则》（以下简称《办案规则》），可以发现个人信息保护公益诉讼条款的司法适用还有很多具体问题尚待厘清。笔者拟结合自身实践情况，对相关争议问题进行探讨。

一、个人信息保护公益诉讼的提起条件

（一）个人信息处理者主体适格

目前，国内大多数研究都还没有涉及到对“个人信息处理者”的确定与划分，对个人信息保护公益诉讼条款里的主体分析大多集中在个人信息保护公益诉讼的起诉主体上。但是，个人信息处理者与信息主体之间的法律关系才是前述主体能够提起公益诉讼的先决法律关系。个人信息处理者是个人信息处理行为的能动反映、价值来源、发生主体和根本要素。因此，有必要进一步明确个人信息处理者的具体种类，在此基础上才能确定个人信息处理行为的适格主体。

结合个人信息处理行为的特性、切实保护我国公民个人信息的需要以及《个人信息保护法》第3条关于该法域外效力的规定，可以归纳出《个人信息保护法》第73条中的“个人”具体包含的四种情形：一是我国公民;二是居住在我国的外国人和无国籍人;三是以向境内自然人提供产品或者服务为目的境外自然人;四是分析、评估境内自然人行为的境外自然人。

民事法意义上的“组织”是指法人和非法人组织，以网络服务提供者为典型代表的法人作为个人信息处理者中的“组织”并无争议。但是民法典第1039条、《个人信息保护法》第2章第3节和第6章还涉及了“国家机关”“国家网信部门”等特殊主体，这些主体是否属于个人信息处理者中的“组织”呢？考虑到《个人信息保护法》司法适用的涵盖性、适应性和周延性，此处的“组织”应当作体系解释，具体包括一般法人和非法人组织;法律、法规授权的具有管理公共事务职能的组织;处理个人信息的国家机关或者政府机构;履行个人信息保护职责的部门。

（二）存在违法处理个人信息的行为

“个人信息处理行为”是主体与客体交互作用的复杂过程，是一种法律行为。从民法典总则编民事权利章的“收集、使用、加工、传输、买卖、提供、公开”到民法典人格权编的“收集、存储、使用、加工、传输、提供、公开”再到《个人信息保护法》的“收集、存储、使用、加工、传输、提供、公开、删除”，个人信息处理行为的概念愈加精确、内容愈加具体、构成愈加科学、共识愈加凝聚。

依张文显教授的观点，法律行为的过程按阶段可以划分为发动阶段、实施阶段和完成阶段。[1]《个人信息保护法》详细列举的各种个人信息处理行为也可以划分为发动阶段、实施阶段和完成阶段。个人信息处理行为的发动阶段就是指在正式实施个人信息处理行为之前的动机形成和目标确立阶段，此时个人信息处理者所应遵循的主要原则是“知情同意”原则。个人信息处理行为的实施阶段是指正式处理个人信息的行为的阶段，在这个阶段中应当遵循“合法”“正当”“必要”“诚信”“公开”和“透明”原则。个人信息处理行为的完成阶段是个人信息处理者的主观需要和目标得以满足和实现后的阶段，此时其需要遵循的主要是“确保安全”和“避免损害”原则。

需要特别说明的是，《个人信息保护法》中“义务”形态的规定就是立法者希望个人信息处理者的“应然”状态。易言之，只要个人信息处理者未能严格遵守《个人信息保护法》所确立的“义务”，就会发生违法处理个人信息的行为。在具体司法实践的适用过程中，也应当极力保持谦抑原则，恪守法律规定文本的字面含义，不应该任意进行扩张解释增加“个人信息处理者”的义务、负担或责任。

（三）侵害了众多个人权益

事实上，个人信息处理者侵犯个人信息大都依托于一些不附通知义务的隐性条款中，大部分信息主体个人信息的实害程度很低，甚至其自身都无从感知。[2]这就为个人信息保护公益诉讼制度的前提性条件——受侵害权益的确定带来了极大的困难。因此，在具体设计个人信息保护公益诉讼制度的时候，采用了“侵害众多个人权益”的可以具体衡量、评估和量化的标准，其核心在于如何理解“众多”。

翻阅《最高人民法院关于适用〈中华人民共和国民事诉讼法〉的解释》，全文共9处提到了“众多”，其中只有第3处（即第75条）将“众多”界定为“十人以上”，而且是在“一般”情况下。易言之，假如存在案件复杂、影响较大等特殊情况，司法者在具体适用本条司法解释的时候可以突破“十人以上”的限制。但是，本条所指明的适用情形系民事诉讼法第56条、第57条和第206条，与个人信息保护公益诉讼没有任何可以适用的关联。因此就容易造成司法实践中在具体确定“侵害众多个人权益”的法律標准的含混不清，继而导致自由裁量权的滥用。

于是，在确定“众多”具体数量标准的时候，就有必要适当参考在个人信息保护公益诉讼制度确立之前的其他公益诉讼制度的具体设置和确定方法。基于个人信息保护公益诉讼制度与其他公益诉讼制度的共通性，对于“侵害众多主体权益”的具体确定主要有两种学说——“形式标准说”和“实质标准说”。[3]“形式标准说”认为应当对“众多”进行具体的数字量化，也就是通过一个明确的数字限额来具体判断什么是“众多”。[4]这种学说虽然提供了一个明确具体的适用依据，但简单的以人数为标准反而会使法律过于僵化，有可能会损害法律所维护的基本价值。“实质标准说”认为应当综合考量权利主体的基本构成，实际受损的利益大小等因素来具体判断是否损害了社会公共利益。然而，高度抽象的社会公共利益与多数人的私有权益实际上是交叉重叠的、不易区分的、很难衡量的。因此，在有权机关对“众多”的界定出台相关司法解释或者行政法规之前，坚守“实质标准说”是极为可取和必要的。

二、个人信息保护公益诉讼中的起诉主体

《个人信息保护法》第70条采用完全列举的方式明确了3种个人信息保护公益诉讼的适格起诉主体。即在满足主体适格、行为违法、后果明确的基础上，有3种可以向人民法院提起个人信息保护公益诉讼的主体。但是这3种主体的具体适用层级和范围还应当进一步明确。

（一）检察机关应当作为主要和重要起诉主体

站在中国特色社会主义新时代，检察机关作为我国法律运行体系中的重要一极，应当在新时代法学中扮演着更为重要的角色，担当起新时期检察业务和法律监督的大任。一方面，检察机关拥有强大的运作能力和执行能力、丰富的物质资源和人力资源来代表社会公众提起公益诉讼。另一方面，检察机关一直都是我国民事公益诉讼领域的适格主体。但是，考虑到基层人民检察院的业务繁重和具体的公益诉讼能力，应当对检察机关的具体起诉层级进行限制或细化。

（二）法律规定的消费者组织应当作为重要和必要起诉主体

如前所述，消费者公益诉讼和个人信息保護公益诉讼存在具体内容上的共通性和特定对象上的交叉性，再加上消费者协会在以往消费者公益诉讼制度中的实践经验，将其纳入个人信息保护公益诉讼机制中是必要的。而且，《个人信息保护法》还对消费者组织进行了具体限制即“法律规定”的消费者组织。在具体层级设定上，可以参考《消费者权益保护法》第47条的规定。之所以没有考虑市级消费者协会和区县级消费者协会，是因为消费者协会有别于人民检察院的国家强制力的加持，其只是通过官方注册或认定的民间团体，省级及以上的消费者协会才具有相应的专业能力，可以更好地应对影响广泛、受众较多、情况复杂的个人信息案件。

（三）国家网信部门确定的组织应当作为补充起诉主体

法治政府建设的一项重要指标就是“放管服”改革的推进，社会组织在社会自行运转和管理的过程中有着与生俱来的优势——社会组织来源于社会、服务于社会、融入于社会。但是为了避免司法资源的浪费，由国家网信部门确定的组织在进行个人信息保护公益诉讼时应当极力保持谦抑原则，只有在人民检察院和法律规定的消费者组织迟迟不起诉的情况下或者仅仅作为辅助主体或补充主体参与个人信息保护公益诉讼。关于社会组织的具体范围的确定，笔者建议将从事互联网法治前沿研究和个人信息法治理论研究的官方机构（如中国信息通讯研究院）、学术机构（如清华大学智能法治研究院）列入进去。这类机构具有众多理论人才、技术人员、检测仪器等资源支撑其进行个人信息保护公益诉讼。

三、个人信息保护公益诉讼的具体模式

如前所述，检察机关是个人信息保护公益诉讼制度中的主要且重要起诉主体。但《办案规则》并没有提及个人信息保护公益诉讼的适用问题。个人信息保护公益诉讼可以通过“等”的未完全列举的预留空间适用《办案规则》的相关规定。但在具体适用时首要的问题就是个人信息保护公益诉讼制度的路径选择。

随着2017年6月行政诉讼法的再次修正，我国公益诉讼制度完整地囊括了行政诉讼与民事诉讼两大类别。[5]同时，《办案规则》在第9条也明确规定了“民事公益诉讼案件”和“行政公益诉讼案件”的两种具体模式，[6]并且在第3章（行政公益诉讼）和第4章（民事公益诉讼）分别进行了规定和展开。那么，个人信息保护公益诉讼制度到底应该适用行政公益诉讼还是民事公益诉讼抑或两种诉讼模式都可以适用呢？这就需要详细考察个人信息权的性质以及两种诉讼路径的具体适用条件。

（一）民事公益诉讼模式

有关个人信息权的性质，学界争议颇大。相关理论有独立人格权说、隐私权说、财产权说、兼具人格和财产双重利益说等等。但是，一个无法否认的事实是，无论采用哪种学说或者站在哪种立场，其都没有超出民事权利的框架、没有超出民事法的范畴。根据《办案规则》第85条的规定，在对相关线索进行评估后，如果检察机关认为社会公共利益受到损害并且可能存在损害社会公共利益的违法行为，就可以对该民事公益诉讼案件进行立案。如今，个人信息越来越多地因为信息收集的大规模、信息使用的大影响、信息泄露的大风险而呈现出公共权利的特性。其公共权利的特性决定了个人信息与社会公共利益直接相关。因此，个人信息保护公益诉讼制度适用《办案规则》中“民事公益诉讼”的相关规定是毫无争议的。

（二）行政公益诉讼模式

基于个人信息的公共属性，《个人信息保护法》便具有了一种兼具公私双重属性的特点。《个人信息保护法》既调整私的关系，也调整公的关系，是公私混合的领域法。[7]我国的《个人信息保护法》中有很多涉及“公”的方面，因此，也确有必要保留个人信息保护行政公益诉讼的制度路径。根据《办案规则》第67条的规定，在对相关线索进行评估后，如果检察机关认为国家利益或社会公共利益受到侵害并且该行政机关可能存在违法履职或者不作为的情形，就可以对该行政公益诉讼案件进行立案。所以在个人信息保护行政公益诉讼立案的第1项条件相比民事公益诉讼增加了“国家利益受到侵害”的内容。而其第2项条件则将责任主体限制为“负有管理监督职责”的行政机关，也与“有权必有责，用权必担责，滥权必追责”的基本法理相对应。

综上所述，作为公益诉讼人，检察机关既可对民事主体提起民事公益诉讼，也可以对行政机关提起行政公益诉讼，以履行其法律监督职能。[8]针对个人信息保护公益诉讼的具体路径选择，需要结合两种公益诉讼的立案条件、进行个人信息处理活动的主体的种类以及处理主体与信息主体之间的关系具体判断。而在确定路径选择后，则分别依《办案规则》第3章和第4章的详细规定具体参酌适用即可。

*吉林大学法学院暨理论法学研究中心研究员[130012]

**山东省烟台市芝罘区人民检察院第一检察部副主任、一级检察官[264012]

[1] 参见张文显：《法哲学范畴研究》（修订版），中国政法大学出版社2001年版，第73页。

[2] 参见郭小伟：《试论App中个人信息保护原则的确立》，《网络安全和信息化》2021年第10期。

[3] 参见张新宝、赖成宇：《个人信息保护公益诉讼制度的理解与适用》，《国家检察官学院学报》2021年第5期。

[4] 参见吴光荣、赵刚：《消费者团体提起公益诉讼基本问题研究》，《法律适用》2015第5期。

[5] 参见蒋都都、杨解君：《大数据时代的信息公益诉讼探讨——以公众的个人信息保护为聚焦》，《广西社会科学》2019年第5期。

[6] 实践中，还存在一类特殊的个人信息保护公益诉讼模式——刑事附带民事案件中的个人信息保护公益诉讼。本文认为，此类诉讼模式本质上仍属于“民事公益诉讼”。相关研究可参见万力、刘洋：《公民个人信息保护刑事附带民事公益诉讼实践与思考》，《中国检察官》2020年第12期。

[7] 参见齐爱民：《论个人信息保护法的地位与性质》，《中国流通经济》2009年第1期。

[8] 参见李艳芳、吴凯杰：《论检察机关在环境公益诉讼中的角色与定位——兼评最高人民检察院〈检察机关提起公益诉讼改革试点方案〉》，《中国人民大学学报》2016年第2期。