以檢察公益訴訟促進個人信息長效保護

浙江省杭州市余杭區人民檢察院辦案組

編者按：互聯網、大數據時代的新業態、新生活，在帶來商機和便利的同時，也伴隨著個人信息泄露的風險和維權的困難。加強個人信息保護，是人民群眾新時代美好生活需要的重要內容，也是推進國家治理體系和治理能力現代化必須破解的難題。張軍檢察長強調，民法典強化了對婦女權益、公民隱私權和個人信息等保護，檢察機關應注重在相關領域積極探索開展公益訴訟。2021年4月22日，最高人民檢察院發布檢察機關個人信息保護公益訴訟典型案例，充分體現了檢察機關積極回應群眾關切，凈化網絡空間，為個人信息保護提供更加優質的公益訴訟檢察產品。本期專題特選取其中四個典型案例，共同探討檢察機關如何通過公益訴訟工作，修復個人信息保護領域的受損公益，堵塞漏洞、防控風險，推動源頭治理。

摘 要：隨著社會的發展，尤其是在互聯網大數據時代的當下，原有的法律制度難以滿足對個人信息保護的要求。對此，應以民法典實施、個人信息保護法制定為契機，拓展公益訴訟案件范圍，探索引入公益訴訟加強對個人信息的保護。需加快個人信息保護立法，實行舉證責任倒置，構建侵害個人信息的懲罰性賠償制度。

關鍵詞：民法典 公益訴訟 新領域 個人信息保護

一、基本案情與訴訟過程

（一）基本案情

2019年5月，杭州市余杭區人民檢察院（以下簡稱“余杭區院”）在履職中發現APP強制授權、過度索權、超范圍收集個人信息等問題突出，隨即開展個人信息保護專項監督行動，針對轄區內企業開發經營的10余款APP存在違法違規收集用戶個人信息的行為，向相關行政機關發出訴前檢察建議，督促行政機關依法整治并開展專項治理。在跟進督促過程中，余杭區院發現，個人信息被APP違法收集后，眾多受侵害用戶的合法權益無法通過行政公益訴訟得到維護，遂決定通過民事公益訴訟的路徑解決這一問題。為進一步確定公益損害的后果，余杭區院委托第三方機構開展社會調查，結果顯示：近九成受訪者認為個人信息被侵犯對其正常生活和工作造成影響。為更有力懲治APP違法違規收集個人信息的行為，2019年10月16日，余杭區院對某網絡科技有限公司開發經營的一款音樂視頻教學類APP侵犯個人信息的違法行為決定立案審查。通過走訪詢問、提取電子數據、同步錄像固證等方式，余杭區院調查發現，該款APP存在未公開收集使用個人信息的目的、規則、方式和范圍，存在未經用戶同意收集使用個人信息、違反必要原則收集與其提供的服務無關的個人信息等情形，侵犯了不特定對象的合法權益，致使社會公共利益受到侵害。

（二）訴訟過程

經訴前公告，期滿無適格主體提起訴訟。2020年6月23日，余杭區院依法向杭州互聯網法院提起民事公益訴訟，提出涉案APP企業停止侵權暨停止違法違規收集、儲存、使用個人信息，并賠禮道歉等訴訟請求。同年9月9日，本案公開開庭審理，公益訴訟起訴人出示了案涉APP違法違規收集個人信息的電子數據等證據，充分闡述了社會公共利益受損的情況，被告同意履行全部訴訟請求，雙方當庭達成調解協議：被告立即刪除違法違規收集、儲存的全部用戶個人信息1100萬余條;在法治日報及案涉APP首頁公開賠禮道歉;承諾今后合法合規經營，若存在違反協議約定的行為，將自愿支付50萬元違約金用于全國性個人信息保護公益基金的公益支出。后余杭區院積極引進第三方代表評估機制，由當地網信部門認可的有資質的第三方檢測機構對涉案企業整改情況進行合規檢測，確保調解協議執行到位。2020年11月18日，調解協議內容全部履行到位。

二、我國法律體系對個人信息保護現狀及存在的不足

目前，我國民法、行政法、刑法等法律法規對個人信息提供了多角度的保護。如2020年5月28日頒布的民法典人格權編設置專章對隱私權和個人信息進行規定，構筑了個人信息保護防火墻。網絡安全法規定了網絡運營者負有保護用戶信息安全的義務，同時明確了侵犯個人信息的法律責任。刑法規定了侵犯公民個人信息罪等罪名并根據情節的不同分別判處不同的刑罰。此外，近年來為了應對互聯網尤其是移動互聯網領域對個人信息的侵犯，國家有關部門制定了一批行業規范、指導意見、國家標準等，也對個人信息保護作了規定。如國家市場監督管理總局、國家標準化管理委員會發布的《信息安全技術個人信息安全規范》（GB/T 35273-2020， 2020年10月1日施行，并替代GB/T 35273-2017版本國標，以下簡稱《個人信息安全規范》）、國家互聯網信息辦公室秘書局、工業和信息化部辦公廳、公安部辦公廳、國家市場監管總局辦公廳于2019年11月28日印發的《APP違法違規收集使用個人信息行為認定方法》（國信辦秘字[2019]191號，以下簡稱《認定方法》）。

隨著社會的發展尤其是在互聯網大數據時代的當下，現有的法律體系對個人信息保護仍存在諸多不足。尤其是隨著移動互聯網應用程序（APP）的廣泛應用，強制授權、過度索權、超范圍收集個人信息、隱私政策不規范的現象不斷涌現。中國消費者協會在其官網上發布的《100款APP個人信息收集與隱私政策測評報告》揭示了這一嚴峻問題：大多數APP僅達及格水平甚至低于及格水平，暴露出我國個人信息保護的脆弱局面。

（一）個人信息民事保護的不足

民法典及已經廢止的民法總則等法律均明確了個人信息受法律保護，但同時我們也應當看到失衡的舉證責任、較低維權意識和違法成本都使得個人信息民事保護效果大打折扣。

1.失衡的舉證責任。在侵犯個人信息案件中，受害者處于弱勢地位，與之對應的侵權行為人往往更具有技術上、數據上的優勢。受害人即使知道自己的個人信息被侵犯，但由于信息不對稱，往往難以有充分的證據舉證維權。

2.較低的維權意識和違法成本。目前我國公民對個人信息保護意識普遍不高，當個人信息被侵犯時的維權意識較低。即使受害者選擇提起損害賠償訴訟，但對網絡運營者來說也是微不足道的損失。

（二）個人信息行政保護的不足

個人信息的行政保護雖具有靈活性、高效性及覆蓋范圍廣的優勢，但同時也因為一些先天的不足導致在實踐中對個人信息的行政保護往往難以達到預期。

1.法律法規的籠統性和其他規范的非強制性。如在本文系列案件的辦理過程中，辦案人員發現，網絡安全法、消費者權益保護法等法律法規的有關條款均規定了我國個人信息保護的基本框架，但大多都是一些原則性的規定，無具體化的指引和規范，缺乏可操作性。而《個人信息安全規范》《網絡安全實踐指南》以及《認定方法》等其他規范則對侵犯個人信息的情形和標準進行了較為細化的規定。但《個人信息安全規范》屬于國家推薦性標準，《網絡安全實踐指南》和《認定方法》僅為參考性規則，三者均無強制適用效力，本案辦案人員長時間在案件的法律依據上一籌莫展。

2.“九龍治水”導致職權混亂。根據有關規定，對于個人信息保護，網信辦、通信管理局、市場監管局、公安機關等部門分別在各自的管轄范圍內行使職權，但現實情況是上述行政主管部門管轄范圍往往存在著交叉和重疊，而又沒有一個統一指揮協調部門，使得個人信息得不到有效保護。以本文案例為例，余杭區院在辦案前期，竟然找不到“適格”的行政主管機關，如網信部門側重于涉意識形態和內容等網絡信息的管理，且區網信辦缺乏行政執法力量，通信管理局雖然具有個人信息保護相關職權，但是其機構僅設置在省一級，區（縣）、市沒有通信管理部門，至于公安機關，其僅能對違反治安管理處罰法的侵犯個人信息的行為進行執法或者對于構成犯罪的侵犯公民個人信息的行為立案偵查。

3.個人信息的侵權范圍不易確定。[1]大數據時代，常有形式合法而實質侵權的現象，有些數據與個人可能沒有直接關系，但是大量無關數據相互結合時，卻可以挖掘出相關個人諸多信息。對個人信息是否被侵犯以及被侵犯的內容、程度辨別和認定往往很困難，行政機關在對個人信息保護上往往克制使用行政處罰甚至監管缺位。

（三）個人信息刑事保護的不足

在本文案例辦理之初，辦案人員對余杭區院近三年辦理的侵犯公民個人信息犯罪案件作了梳理。2017年至2019年，余杭區院共受理侵犯公民個人信息犯罪案件9件11人，起訴8件9人，受理被害人因公民個人信息泄露而被電信網絡詐騙的案件81件258人。此類案件中，非法獲取、出售、提供的公民個人信息數量一般以萬條為計算單位，涉及電話號碼、身份信息、財產信息等個人敏感信息，部分刑事案件的犯罪嫌疑人系通過網絡收集、購買、出售公民個人信息，嚴重危及公民生活財產安全，通過對上述案件的梳理分析，暴露出刑事處罰對個人信息保護的不足。一方面，刑罰的適用具有較高的門檻，導致個人信息刑事保護的范圍有限。另一方面，我國刑事司法實踐主要側重對違法向他人出售或者提供個人信息等下游和末端行為進行打擊，而對個人信息被侵犯的源頭和上游違法行為懲處乏力。

三、個人信息保護引入公益訴訟之可行性和必要性

在本案辦理中，余杭區院先后兩次邀請人大代表、政協委員、相關行政職能部門、互聯網行業代表、技術專家以及高校教授等就個人信息保護引入公益訴訟的可行性、法律規范的適用及訴訟請求等問題進行研討論證。參會的代表都談到日常生活中被電話騷擾、被垃圾短信轟炸等都只是表象，其本質問題是個人信息的泄露并被非法收集和使用。因此，保護個人信息安全才是治理根本。

近年來對個人信息的侵犯時有發生，社會對個人信息保護的呼聲愈來愈高，將個人信息保護納入公益訴訟的范疇，正是公益訴訟制度的應有之義和必然結果。在本案中余杭區院回應民生訴求，發揮行政機關守護社會公共利益的第一順位作用，通過行政公益訴訟督促行政機關履行監管職責。與此同時，為彌補行政公益訴訟保護個人信息的不足，對企業違法違規收集個人信息的處置問題提起民事公益訴訟，提出刪除違法違規收集的個人信息、賠禮道歉等訴訟請求，捍衛公民信息“被遺忘權”。該案的探索也從司法實踐的角度證明了個人信息保護引入公益訴訟具有較強的可行性和必要性。

（一）個人信息保護公益訴訟的法理基礎

從傳統觀點看，個人信息屬于個人的“私權”范疇。然而，在互聯網大數據時代，個人信息越來越多地呈現出公共權利的特性。個人信息內容包羅萬象，從姓名、住址等個人一般信息到電話號碼、身份證號碼、精確定位、財產賬號等個人敏感信息均有涉及，通過個人信息不僅能精準定位某一個體的身份信息，甚至還能據此判斷出該個體的社會關系等。大量的個人信息被違法違規獲取后一旦被用于非法用途，將對個人的生活安寧、財產安全乃至生命安全造成極大隱患，并危及社會穩定。以本文案例為例，某網絡科技公司開發經營的APP在小米應用商店和華為應用市場等第三方應用平臺的下載安裝量分別達到了800余萬和900余萬。案涉APP及其開發經營者違法違規收集用戶個人信息達1100萬余條，該行為涉及不特定主體信息安全，這不僅侵犯了個人信息受保護的權益，而且使得這些被違法違規收集的信息面臨著被違法使用、泄露等風險，從而給個人人身和財產權利帶來進一步的侵害，甚至危及整個社會的安定，并已經構成對社會公共利益的侵害。只要是保護社會公共利益的需要，在切實論證檢察監督必要性及可行性的基礎上，檢察機關均應積極探索、主動作為。

（二）個人信息保護公益訴訟的政策依據

全國人大代表、政協委員多次在2019年、2020年全國“兩會”期間提出加強公民個人信息保護應列入公益訴訟范疇。張軍檢察長在2018年11月舉辦的“大數據時代個人信息保護論壇”上指出，“要探索個人信息保護領域的民事、行政、公益訴訟檢察工作，促進全方位司法保護?！盵2]中央、全國各地的黨委人大政府部門也紛紛出臺相關決定和意見，支持和加強檢察公益訴訟工作，鼓勵、支持檢察機關拓展公益訴訟案件范圍，加強對個人信息保護領域公益訴訟的探索。2019年11月5日，十九屆四中全會審議通過的《中共中央關于堅持和完善中國特色社會主義制度 推進國家治理體系和治理能力現代化若干重大問題的決定》明確指出“拓展公益訴訟案件范圍”。上海市委《關于支持檢察機關依法開展公益訴訟工作的意見》指出“要加大個人信息安全等方面公益保護力度”。湖北省人大常委會《關于加強檢察公益訴訟工作的決定》要求檢察機關“依法在涉及眾多公民個人信息保護等領域探索開展公益訴訟工作”。浙江省人大常委會、杭州市人大常委會也先后出臺《關于加強檢察公益訴訟工作的決定》，明確要求檢察機關“積極穩妥探索個人信息保護等領域公益訴訟工作”。

（三）個人信息保護公益訴訟的社會基礎

為了深入了解公民個人信息被非法收集、濫用、泄露內容范圍、表現形式、可能途徑、社會影響、是否侵犯公益以及是否需要檢察機關通過公益訴訟的形式予以保護等相關情況，余杭區院還委托第三方統計師事務所通過設點隨訪及網絡問卷調查等方式開展社會調查，經過對調查數據進行分析顯示：

1.超九成受訪者認為個人信息應當受到法律保護。根據調查結果，在2019個有效樣本中，認為個人信息應當受到法律保護的有1965人，占比97.3%;54人認為個人信息無需受到法律保護，占比2.7%。在大數據時代，個人信息更容易被獲取的情況下，絕大部分市民認為需要相關的法律來保護個人信息安全。

2.近七成受訪者遇到過個人信息被侵犯的情形。根據調查結果，在2019個有效樣本中，有1407人認為其或其身邊的人遇到過個人信息被侵犯的情形，占比69.7%;有612人選擇沒遇到過個人信息被侵犯的情形，占比30.3%?；诰W絡問卷調查受訪者對個人信息被侵犯的情形理解較為模糊，存在無法辨別的情況，調查結果向下偏離，實際受訪者中遇到過個人信息被侵犯的情形比例應當大于統計結果的69.7%，個人信息被侵犯情況較為嚴重。

3.近九成受訪者認為個人信息被侵犯對其正常生活和工作造成影響。根據調查結果，在1407個有效樣本中，46.1%的受訪者認為個人信息被侵犯對其正常生活和工作影響很大;43.5%的受訪者認為影響較大;僅有10.4%的受訪者認為影響不大或沒影響。

4.APP安裝使用過程中，違法違規收集個人信息情形嚴重。在2019個有效樣本中，46.3%的受訪者在APP安裝過程中遇到過未公開收集使用規則（如隱私政策）;54.4%的受訪者在APP安裝過程中遇到過未經用戶同意收集使用個人信息;53.8%的受訪者在APP安裝過程中遇到過未明示收集使用個人信息的目的、方式和范圍（如未明確說明收集某項權限的目的）;41.6%的受訪者在APP安裝過程中遇到過違反必要原則，收集與其提供服務無關的個人信息（如購物類APP要求收集通訊錄信息）;40.7%的受訪者在APP安裝過程中遇到過未經同意向他人泄露個人信息（如未經同意，將個人信息提供給第三方）;23.6%的受訪者在APP安裝過程中遇到過未提供刪除或更正個人信息的功能;15.8%的受訪者在APP安裝過程中遇到過未公布投訴舉報方式等信息;9.0%的受訪者表示不知道或沒遇到。

5.絕大部分受訪者認為APP違法違規收集使用個人信息等問題侵犯了公眾利益。在2019個有效樣本中，96.1%的受訪者認為APP違法違規收集使用個人信息等問題侵犯了公眾利益;僅有3.9%的受訪者認為此舉并未侵犯公眾利益。

6.八成受訪者認為對于APP等侵犯個人信息的違法行為需檢察機關提起公益訴訟對公民個人信息予以保護。在2019個有效樣本中，80.2%的受訪者認為需檢察機關提起行政公益訴訟，監督行政職能部門依法監管;71.6%的受訪者認為需檢察機關提起民事公益訴訟，要求APP開發經營者承擔民事責任。僅有1.0%的受訪者認為不要要檢察機關做什么。

（四）個人信息保護公益訴訟的優勢

如前文所述，個人信息之刑事、民事和行政保護都存在著諸多不足，難以滿足互聯網信息社會的發展背景下對個人信息保護的要求。而公益訴訟的特性決定了其在個人信息保護上更具優勢。

一方面，相較于個人，公益訴訟對個人信息的保護更具專業性、權威性和便利性。尤其是檢察公益訴訟中，檢察機關作為國家司法機關，擁有專門人才和專業法律知識、訴訟技能，檢察機關法定的調查核實權也為調查取證提供了強大的支撐，在維護公共利益方面具有顯而易見的優勢，更能夠實現三個效果的統一。另一方面，檢察機關還可以根據不同情況，靈活啟動公益訴訟程序，以達到精準和高效的訴訟效果：在有相關組織提起公益訴訟的情形下，通過支持有關組織起訴的方式，形成保護個人信息合力;對于因行政機關違法行使職權或不作為導致個人信息被侵犯、損害社會公共利益的情形，依法啟動行政公益訴訟，督促行政機關依法履職;對于需要承擔民事侵權責任的個人信息侵權案件，依法啟動民事公益訴訟，追究侵權人損害賠償、停止侵害、賠禮道歉等民事責任。

四、個人信息保護的再思考：相關法律制度的完善

（一）加快個人信息保護立法

如上所述，隨著數字產業和互聯網相關行業的迅速發展，現有的個人信息保護法律制度難以發揮出對個人信息強有力的保護作用，維護信息安全依然任重道遠。因此，促進出臺保護個人信息安全的專門法律已經迫在眉睫。全國人大常委會法工委發言人岳仲明在2019年12月20日對外宣稱：“中國明年將制定個人信息保護法、數據安全法等?！?020年10月13日，個人信息保護法草案提請十三屆全國人大常委會第二十二次會議審議，2020年10月21日，全國人大法工委公開就《中華人民共和國個人信息保護法（草案）》征求意見，2021年4月27日，十三屆全國人大常委會第二十八次會議對個人信息保護法草案二審稿（以下簡稱“草案”）進行了分組審議，這些對個人信息保護無疑都是重磅利好。

（二）將個人信息保護納入民事公益訴訟案件范圍

黨的十九屆四中全會通過的《中共中央關于堅持和完善中國特色社會主義制度 推進國家治理體系和治理能力現代化若干重大問題的決定》，在“加強對法律實施的監督”中明確要求“拓展公益訴訟案件范圍”，為此，最高人民檢察院專門印發了《關于積極穩妥拓展公益訴訟案件范圍的指導意見》。近年來，在最高人民檢察院關于“積極穩妥拓展公益訴訟案件范圍”的理念指引下，各地檢察機關積極回應社會關切，在英烈保護、未成年人保護、安全生產、文物保護等領域開展了諸多有益的探索，尤其是英烈保護、未成年人保護民事公益訴訟目前已經被新頒布（修訂）的《英雄烈士保護法》《未成年人保護法》及《關于檢察公益訴訟案件適用法律若干問題的解釋》所確認。按照上述思路，再結合此前公布的《個人信息保護法（草案）》，可將個人信息保護也納入民事公益訴訟案件范圍。

（三）實行舉證責任倒置

根據民事訴訟法有關規定，舉證責任原則是誰提出主張誰就負有舉證責任。也就是說，在有關個人信息保護的民事訴訟中，如果用戶起訴網絡運營者，那么用戶就負有舉證證明其存在違法收集存儲使用個人信息的責任。但是網絡運營者一般都會對收集存儲用戶信息的服務器“嚴防死守”，外人根本無法接近，即使能接觸到數據，普通人也無法識別數據的內容，更沒有能力提取和固定。而且在整個過程中，網絡運營者完全有能力隨時對其存儲的信息和數據進行修正或刪除。由此可見，網絡運營者收集證據能力顯然比用戶和檢察機關更具優勢，因此在對個人信息保護公益訴訟分配舉證責任時，應由檢察機關或有關組織證明存在信息侵權的基本事實后，對于侵權涉及信息的內容、數量等應由運營者等侵權行為人進行舉證。以本文案例為例，在案件辦理過程中，辦案人員面臨的主要問題，一是事前取證難，二是事后監督整改落實難。就網絡信息技術及相關證據提取固定而言，檢察辦案人員無疑是“門外漢”。為此，一方面，在事前調查取證環節，余杭區院公益訴訟部門聯合本院電子數據實驗室，利用檢察區塊鏈取證設備，通過在線提取電子數據的方式對案涉APP違法違規收集個人信息的侵權行為進行證據固定;另一方面，在事后督促整改落實環節，余杭區院積極引進第三方代表評估機制，由當地網信部門認可的有資質的第三方檢測機構對涉案企業整改情況進行合規檢測，確保調解協議執行到位。

（四）構建侵害個人信息的懲罰性賠償制度

因對個人信息侵權行為造成的財產損失或精神損害往往難以確定，在司法實踐中，個人信息侵權法律責任中的“賠償損失”很難獲得支持。即使損害賠償能夠確定，并獲得支持，也難以震懾到網絡運營者等違法行為主體。反觀在當今信息社會中，各方主體對信息和數據的需求可以說到了如饑似渴的程度，信息更是數據中間商賴以生存的基礎。顯然，信息的潛在價值和可帶來的利潤，遠大于一次訴訟中可能認定的損害賠償。[3]由于社會公共利益的基本性、整體性、層次性、發展性等特性，某一特定侵害行為對公共利益造成的損失難以進行量化確定。在目前法律對個人信息領域公共利益損失金額計算未作出明確規定的情況下，可以參照適用懲罰性賠償規定，以實現對違法經營者的懲戒和震懾。因此，有必要建立侵犯個人信息的懲罰性賠償制度，加大對侵權行為人的懲治和威懾力度。

*辦案組成員：胡軍，浙江省杭州市余杭區人民檢察院黨組成員、副檢察長、三級高級檢察官;陳紅霞，? 浙江省杭州市余杭區人民檢察院檢察委員會專職委員、四級高級檢察官;陳斐，浙江省杭州市余杭區人民檢察院第五檢察部主任、一級檢察官;楊先星，浙江省杭州市余杭區人民檢察院第四檢察部檢察官助理[311100]

[1] 參見[英]維克托·邁爾-舍恩伯格、肯尼思·庫克耶：《大數據時代：生活、工作與思維的大變革》，盛楊燕、周濤等譯，浙江人民出版社2013年版，第200頁。

[2] 姜洪：《攜手加強大數據時代個人信息司法保護 積極提供全球互聯網發展治中國方案》，《檢察日報》2018年11月9日。