涉疫個人信息保護檢察公益訴訟觀察

樓輝

摘 要：受突發疫情影響，與疫情防控相關的行蹤軌跡、疫苗接種記錄等涉疫個人信息，在病毒溯源、關聯病例追蹤和疫情態勢預判等方面具有重要價值，因而通常成為政府部門組織制定有效疫情防控措施的決策前提。但基于疫情防控工作緊迫性的考量，存在大量未作脫敏處理和去標識化的涉疫個人信息被非法泄露而引發次生社會治理問題的情況。檢察機關應當及時有效地開展涉疫個人信息公益保護工作，避免社會公共利益和公民個人信息保護陷入失控的危險當中。

關鍵詞：疫情防控 非法泄露 個人信息保護 公益訴訟

自新冠肺炎疫情防控常態化以來，出于防疫工作的需要，公民個人的地理位置、行蹤軌跡、健康狀況等相關信息構成了應對突發疫情防控處置決策的重要前提。但以“疫情防控”的名義非法泄露和未經正當程序公開等侵犯涉疫個人信息的事件也時有發生。涉疫個人信息充斥于各類社交平臺和通訊群組當中，并被一些好事者為博眼球而不斷歪曲、演繹，“平庸之惡”將原本屬于公民個人對于信息權益的自決處置上升為影響公共利益的社會問題。檢察機關通過積極履行公益訴訟檢察職能服務疫情防控大局，對于緩解疫情防控精準處置與涉疫個人信息保護之間的緊張關系，具有重要的現實意義。

一、現實之困：不當使用與救濟不足的緊張關系

（一）涉疫個人信息使用的社會語境

置身于當前信息社會“數字化生存”的現實之中，人成為各類信息的集合體，個人信息也在被賦予了社會性和公共性的同時成為社會管理的基礎和重要工具。為應對突發疫情需要，多省市先后啟動了重大突發公共衛生事件一級響應，以政府為主導的權力部門為盡快恢復社會正常秩序，通過必要的權力集中，將公民個人信息作為緊急狀態下用于公共治理的重要依托和精準防控的有效手段。

但在這一社會情境之下，作為此時最大的個人信息處理者的地方政府，往往通過分權和轉授權的方式將相關采集權限下放至街道、社區、村委等基層社會網格化治理的“最小分子”。由于履行信息采集職能的主體過多、標準不一、管理失當等，各地已發生多起相關工作人員因非法泄露所掌握的涉疫個人信息而遭到公安機關處罰和紀檢部門介入的事件。如浙江警方通報某地一社區工作人員泄露涉湖北籍人員身份資料遭紀檢部門處理[1] 、云南警方通報某地一醫院相關人員散布患者信息遭公安機關處罰[2]等。

（二）涉疫個人信息泄露的因果認識

從這些事件來看，被非法泄露的信息不再是傳統的單一信息，而是能夠精準識別、追溯定位到具體個人的“信息簇”。這些“信息簇”當中不僅涉及到相關人員的姓名、性別、年齡等個人自然信息，還涉及身份證號、聯系電話、工作單位等社會活動信息，甚至包括在新冠病毒感染排查中產生的核酸檢測（RCR）與Ct值結果、試劑批次型號等20余種詳細信息。追溯這種詳細信息遭非法泄露的源頭，不排除系相關行政機關、醫療機構以及街道、社區等疫情排查信息接觸單位及其工作人員在履行職責的過程中違反保密義務和信息處理的規范操作要求所致。由于社會上下對涉疫防控進展工作的高度關注，部分社會成員出于“刻奇心理”和“收割流量”的目的，擅自將這些未作脫敏處理和去標識化的流行病學調查信息、核酸檢測信息等散布于各類社交平臺和通訊群組中，致使這些信息所關聯和指向的涉疫人員及其家人陷于“事實歧視”甚至“社會性死亡”的境地之中。

誠然，在疫情防控過程中，基于社會公共利益的迫切需要，公民的基本權利必須有所克減，但這并不意味著公民對個人信息的讓渡和容忍沒有邊界。任何組織和個人在疫情防控工作中獲取的公民個人信息，均應當依法取得、規范操作并履行相應保密義務。涉疫個人信息遭非法泄露的事件頻發，表面上是個別機構、部門及其工作人員的違法失職行為，但也從深層次暴露出相關行政機關和職能部門未能平衡好個人信息保護與履行法定職責之間的關系。

（三）涉疫個人信息保護的解決方案

基于傳統司法救濟存在效率上的缺陷以及考慮到實際訴訟成本和維權效果，疫情期間個人信息泄露事件大部分的最終走向，是由公安機關依據《治安管理處罰法》的相關規定對違法行為人處以行政處罰，并未上升到民事侵權訴訟或刑事犯罪的層面。這種“利用行政處罰‘一刀切’以息事寧人的做法，短時間內社會收效較好，但是長期來看，既給相關部門造成較大的輿論和工作上的壓力，又不利于實現個人信息保護的良性循環”[3]，更無法從根本上解決被侵害的公民個人信息權利得到充分司法救濟和被損害的社會公共利益得到充分維護的問題。因此，檢察機關履行公益訴訟職能成為必要之策。

二、制度之基：私權外溢和公權保護的法律應對

（一）個人信息保護的多元法律支撐

近年來，隨著經濟社會發展的需要和重大突發公共衛生事件的加速催化，我國加快了對公民個人信息安全保護的立法進程。2021年11月1日，作為個人信息保護領域中基礎性、專門性的《個人信息保護法》正式施行，與《網絡安全法》、民法典、刑法等法律規范共同形成了對個人信息予以多層次保護的法律規制體系。從不同時期開始施行的相關法律規定來看，法律條文對于公民個人信息的內涵是一個不斷豐富和周延的過程。簡而言之：民法典以“個人信息”的用詞取代了《網絡安全法》中“個人身份信息”的表述，而《個人信息保護法》又在民法典規定的基礎上采用“識別+關聯”的雙重判斷方式，將“個人信息”的涵攝范圍擴大到自然人有關的各種信息，從而在立法上實現了對個人信息的系統性保護。

結合疫情防控的具體實際，最值得重點關注和保護的涉疫個人信息包括可以鎖定到特定自然人的身份信息、活動信息和醫療信息。早年間頒布的《突發公共衛生事件應急條例》（2003年5月9日起施行）和《突發事件應對法》（2007年11月1日起施行）中并未對公民個人信息的保護設置明確的條款，而《突發公共衛生事件與傳染病疫情監測信息報告管理辦法》（2003年11月7日起施行）中也僅有原則性規定而沒有設置相應責任追究條款與罰則。為彌補以上缺憾，民法典著眼于長遠的社會發展趨勢和公民個人信息保護的需求，以第1038條、第1039條、第1226條等多個條款的設置，對個人信息處理者、國家機關及行政機構、醫療機構三類主體，提出了信息保護保密的規范要求以及違反該類規定將承擔的侵權責任。

（二）涉疫個人信息的雙重法律屬性

公民個人信息是人格權的重要組成部分。涉疫個人信息在流通過程中儼然已經產生了無法量化的社會價值，其中關鍵敏感的個人信息與隱私信息存在交叉，兼具人身權利和財產權利雙重屬性。因此，當公民個人信息成為能夠幫助政府了解涉疫個人、群體與社會疫情感染面基本情況的重要工具時，就已經溢出了私人領域而帶有極強的公共屬性，關涉著廣泛的社會公共利益，“公共利益指向的是不特定多數人，其一旦遭受損害，受損范圍同樣涉及不特定多數人，導致損害后果更大、恢復代價更高”[4]。經濟學上的“公地悲劇”概念形象地展示出公共利益脆弱的一面。如果說因涉疫個人信息遭非法泄露，被侵害的個人尚可能通過付出一定的民事訴訟成本或國家權力的刑事介入來實現救濟，那么對于因涉疫個人信息未被得到妥善處理而造成的社會公共利益受損，則遠遠超出了個案可以解決的范圍。

（三）檢察公益訴訟的理論實踐拓展

當傳統的私益救濟方式不再足以抵御涉疫個人信息在社會公共利益情境下面臨的高風險時，就需要具有更強糾紛解決能力的組織和機關介入，以強化為受損的涉疫個人信息這一社會公共利益提供及時、充分和有效的保護，涉疫檢察公益訴訟迎合了這種需求。近年來，為貫徹落實黨的十八屆四中全會關于“探索建立檢察機關提起公益訴訟制度”的要求，以檢察機關為主體的公益訴訟所關注的視野被不斷拓寬，履職理念亦實現了從“穩妥積極”向“積極穩妥”的跨越性迭代。2021年8月21日，最高人民檢察院下發了《關于貫徹執行個人信息保護法推進個人信息保護公益訴訟檢察工作的通知》，明確將個人信息保護納入檢察公益訴訟法定領域，為涉疫個人信息的檢察公益訴訟保護提供了直接的依據。

三、路徑之選：行政公益與民事公益的雙向保護

（一）涉疫個人信息的可訴性

從2021年4月最高人民檢察院發布的11起檢察機關提起個人信息保護公益訴訟的典型案例看，當前檢察機關對于涉疫個人信息保護的關注和保護是有所欠缺的。涉疫個人信息是公民個人信息的重要組成部分，其與敏感、隱私信息之間存在重大交疊和高度關聯。檢察機關從社會公共利益的層面加強對涉疫個人信息的保護，在當前疫情防控常態化的社會情境下無疑具有區別于其他個人信息保護的重大現實意義。

“公益訴訟之訴的利益是保護公共利益或者恢復、補償受到減損的公共利益，或者是雖然沒有公共利益受到侵害或者減損的事實，但是有一定的法律秩序和道德秩序需要訴訟保護的，都可以提起訴訟，這是訴權存在的基礎”。[5]誠如前述，在疫情防控過程中的涉疫個人信息早已溢出私人領域而進入到社會公共利益的范圍，并且直接或間接地侵犯了具體的個人信息權益主體和抽象的社會公共利益，在這種情形下，便具備了檢察公益訴訟的可訴性，確保對涉疫個人信息的使用始終在“重大且明顯的公益需要”的范圍內。

“我國法律明確將個人排除在公益訴訟的訴權主體之外，是采國家代表權論的立場，也即必須由超越直接利害關系的國家機關和法律規定的組織來代表此類不可分的社會公益”。[6]因此，根據相關規定，在消費者組織和國家網信部門確定的組織不愿和個人不足以提起訴訟的情況下，檢察機關應當以“超級替補者”的角色，通過行政公益訴訟和民事公益訴訟等法治方式，為涉疫個人信息提供及時充分的保護。

（二）行政公益訴訟的優先性

“從權能區分的角度出發，立法權是以法的形式表達公共利益，行政權則是以執法的方式葆有公共利益，司法權則是候補于行政權”[7]，而實踐中基于司法權與行政權的關系辦案難度的考量，適用行政公益訴訟程序亦是優先選項。行政公益訴訟不是追責之訴而是督促之訴，更注重通過高效便捷的訴前程序來實現對行政權的實質性規制，“在最佳的狀態下，公益訴訟的規模效應可以對行政監管失靈起到彌合、扶助和補充的作用”[8]，從而嚴格高效地治理因涉疫個人信息的合法權益遭到侵害而帶來的社會公共利益風險。

當前，疫情已經成為地方政府法治水平和公共治理的一場壓力測試。在疫情防控過程中，對于地方政府、街道、鄉鎮和社區等疫情信息接觸單位及其工作人員在履職時不當發布涉疫人員信息而導致社會公共利益受到損害的，檢察機關應當把涉疫個人信息保護作為重要的公益保護任務，通過制發公益訴訟訴前檢察建議的方式，督促怠于履職的行政主管機關依法履職，從源頭上加強對涉疫個人信息的脫敏和篩查處理，確保這些信息在采集、傳遞和使用等重要環節的安全性，防止大量與疫情防控無關的隱私信息被非法泄露。

（三）民事公益訴訟的兜底性

從民事公益訴訟的角度來說，檢察機關不僅是公共利益的代表者、訴訟的支持者，也是起訴的兜底者?！爱斝姓C關已窮盡手段或執法效能不足、公益損害仍持續發生時，檢察機關可以通過民事公益訴訟的方式來補位和兜底保護公益”。[9]誠如前述可知，國家已經在立法層面對個人信息保護問題作出了較為全面的閉環式制度體系構建，但檢察機關對于涉疫個人信息公益訴訟保護方面仍有較大的履職空間。實踐中，大部分的民事公益訴訟是依附于刑事（附帶民事）程序來完成的。但基于民事公益訴訟兜底保障的特性進行反向思考，對于私主體或者個人未經授權傳播、無序共享而導致涉疫個人信息引起社會面廣泛傳播損害社會公共利益的，亦可以充分利用訴訟程序和民事證據規則的特點，破除傳統刑事附帶民事公益訴訟單一的辦案思路，在刑事案件之前先行立案調查。此外，檢察機關也可以在公民就個人信息被侵害而通過私法的途徑救濟失敗的情況下，探索針對合適的個案支持起訴。

四、結語

在大數據時代，信息技術的運用對于提升疫情防控的效率和精度具有極大的價值，但同時也將涉疫個人信息處置的時效度、受損權益的救濟度等問題，擺在了“后疫情時代”社會治理的突出位置。公益訴訟作為一項長遠的制度安排，其重要的時代使命絕非僅限于面向過去對疫情防控期間被損害的社會公共利益得到及時救濟的實際效應，更著眼于面向未來與刑事檢察互相增益、與民事檢察協調發展、與行政檢察相輔相成，集私權之賦權，還訴益于眾益，以“既見樹木、又見森林、更見氣候”的全方位檢察履職格局促進公民個人信息的長效保護。

[1] 參見《警情通報》，舟山發布澎湃號https：//www.thepaper.cn/newsDetail_forward_5645112，最后訪問日期：2022年4月3日。

[2] 參見《云南警方暫緩拘留泄露確診患者信息的醫務人員》，人民網http：//society.people.com.cn/n1/2020/0208/c1008-31576842.html，最后訪問日期：2022年4月3日。

[3] 劉承韙、趙文博：《新冠肺炎疫情防控背景下個人信息保護再審視》，《經貿法律評論》2021年第4期。

[4] 天津市人民檢察院第二分院課題組：《檢察機關提起民事公益訴訟制度的實踐與完善》，《檢察調研與指導》2019年第3期。

[5] 宋朝武 ：《論公益訴訟的十大基本問題》，《中國政法大學學報》2010 年第 1 期。

[6] 張衛平：《民事公益訴訟原則的制度化及實施研究》，《清華法學》2013年第4期。

[7] 梁鴻飛：《中國行政公益訴訟的法理檢視》，《重慶大學學報（社會科學版）》2017年第6期。

[8] 張陳果：《個人信息保護民事公益訴訟的程序邏輯與規范解釋——兼論個人信息保護的“消費者化”》，《國家檢察官學院學報》2021年第6期。

[9] 李娜：《以訴的形式實現公益訴訟效果“看得見”》，正義網http：//news.jcrb.com/jszx/202109/t20210923_2321933.html，最后訪問日期：2022年4月3日。