個人生物識別信息的公益訴訟制度優化研究

陸洲, 高麗敏

(燕山大學 文法學院,河北 秦皇島 066044)

隨著信息技術的迅猛發展,依托生物識別技術產生的個人生物識別信息引起了人們的關注。個人生物識別信息是依托生物識別技術在處理自然人生理或者行為特征時產生的具有唯一性及可識別性的信息,具有人格、財產雙重屬性。一方面,個人生物識別信息折射出個人獨特的生理或行為特性,對其進行收集可分析出人的年齡、性格等狀況,人身屬性強烈[1]。另一方面,個人生物識別信息的唯一性、可識別性使其呈現出經濟價值,具有財產屬性。不可否認,個人生物識別信息與人密切相關,與人相關便涉及人的權益,法律對人的權益進行保障是其意旨所在[2]。

生物識別技術獲取個人生物識別信息的主動性、隱蔽性使得信息處理者未經信息權利人知情同意就可對其生物信息進行采集,信息權利人很難通過私益救濟維護其合法權益。2020年,最高人民檢察院出臺《關于積極穩妥拓展公益訴訟案件范圍的指導意見》,指出檢察公益訴訟應把個人信息保護作為工作重點。之后,公益訴訟制度作為可彌補私益救濟不足的手段在個人信息保護中發揮著重要作用。不過,個人生物識別信息與個人信息雖有共性但也有不同,個人生物識別信息存在自身獨特之處,能否將公益訴訟制度引入到個人生物識別信息保護中來,將其引入進來是否具有正當性依據?若其具有正當性依據在適用中是否還存在問題?若存在問題如何對其進行解決以實現制度優化,進而使個人生物識別信息權利人的信息權益得到維護,這是需要探討的重要問題。

一、個人生物識別信息保護引入公益訴訟制度的正當性

(一)理論證成:個人生物識別信息的公共性

個人生物識別信息的公共性是將公益訴訟制度引入其中的理論證成。一方面,從個人生物識別信息的屬性來看,它與人格利益緊密相連的同時,不可避免地蘊含著財產價值,在信息被奉為資源的當今時代,人的趨利性會導致個人生物識別信息在社會經濟領域中的應用呈現無限擴張的特點,財產屬性更加強烈。不過,這也將導致個人生物識別信息的人格與財產屬性產生內在張力,即過度利用個人生物識別信息會損害信息個人的人格利益,而過分保護信息個人的人格利益又會導致信息孤島[3]。同時,生物識別技術的更新與發展將個人生物識別信息的財產價值挖掘出來,很可能導致個人生物識別信息使用中的個人風險向社會風險轉變,對社會公共利益造成損害[4]。另一方面,從信息個人這一主體角度來看,亞里士多德曾說“人天生是政治動物”,人的本質是社會性,個人無時無刻不處于社會生活中,并通過與人的交流實現人格自由,盡管個人生物識別信息與個人的事務是緊密聯系在一起的,但是個人事務的社會性也使得個人數據處于公共領域[5],這也促使信息個人需要將一部分權利讓渡給社會,不能排他性地享有權利。個人生物識別信息的公共性賦予其社會價值,在一定程度上能反映出公共利益,而當這種社會價值遭受侵害時,代表公益性的組織有權通過起訴的形式保障公共利益。

(二)現實視角:信息主體間利益平衡的有效路徑

1.改善信息個人的弱勢處境

在信息利用階段,信息個人處于弱勢地位。根據《個人信息保護法》第14條規定,信息處理者在應取得信息個人同意的情況下應履行明確告知義務,使對方充分知情,但實踐中,信息處理者擁有的技術優勢有讓其逃避義務的可能,這是因為信息處理者在收集個人生物識別信息時,信息個人常處于不知情的情況下,如被曝光的科勒、寶馬等門店安裝攝像頭采集用戶面部信息,低配的兒童智能手表實時對兒童實施面部監控,這些情況信息個人無法知情,同意更無從談起?！秱€人信息保護法》第16條還規定了信息處理者除了例外情形不得以個人不同意處理其個人信息或撤回同意為由,拒絕提供產品或者服務。同樣在實踐中也出現了信息個人不提供指紋數據、面部數據等,就被對方拒絕提供產品和服務的案例,如發生在杭州野生動物世界的“人臉識別第一案”。

在尋求救濟階段,信息個人仍處于弱勢處境。個人生物識別信息侵權案件頻發背景下,當個人生物識別信息遭受侵害而信息個人需要主張權利時,信息個人在收集證據上、技術能力上以及經濟實力上都處于絕對的弱勢境地,這就使得私益救濟效果大打折扣,信息個人很可能因其弱勢地位而放棄權利救濟。此外,個人生物識別信息的侵害具有隱蔽性,大多數人的生物識別信息被違法處理而不自知。因此,當信息個人的私益救濟手段受到阻礙或者不能行使時,公益訴訟救濟手段就能為信息個人的信息權益保護提供助力。

2.緩解公權力與私權利的內在張力

個人生物識別信息除了有組織、個人平等的信息處理者外,還會涉及到國家機關,尤其是政府。政府作為公共權力代言人,有公民賦予的處理公共事務的權力,它執法具有單方面性,其職權范圍廣且涉及領域眾多,在信息應用領域也占據著重要地位。但是,個人信息尤其是個人生物識別信息與信息個人的人格、財產緊密相連,政府不能以公共事務為由而對信息個人的私權利予以無限制的壓縮,使信息個人的私權利無限度的克減。在處理公務事務時,政府要嚴格遵循合法原則,并將合法原則作為首要原則,政府取得個人讓渡的部分信息必須符合憲法和法律規定,政府并未有任意取得信息權利人信息的權利[6]。

行政權的行使在現代風險社會情境下有擴張的趨勢,在國家權力與公民權利存在著內在張力的情況下,亟需對公民權利的保障做出安排。在個人信息領域,信息個人為了公共利益有必要將自身的信息權益在法律限度范圍內讓與公權力機關行使,但超出法律限度外的行為便是對信息個人信息權益的侵害。政府作為行政機關,代表著國家公權力,信息個人面對公權力時有時不敢或者不愿行使救濟權利,那法律賦予的救濟權利難免會落空。而且,行政機關作為有監督管理權限的機關,在信息領域監管不到位時也會間接損害信息個人的合法權益。在這些情形下,檢察機關作為公共利益的代表,同屬國家權力機關,對行政機關啟動公益訴訟來保護公共利益是應有之義。最高人民檢察院發布第35批指導性案例中的“北京市人民檢察院督促保護兒童個人信息權益行政公益訴訟案”,為個人生物識別信息運用行政公益訴訟方式予以保護提供了借鑒,它平衡了公權力機關與信息個人之間的內在張力,保證公權力機關依法履行監管職責,促使信息個人的合法權益得到有效保障。

(三)法律依據:《個人信息保護法》等相關法律規定

個人生物識別信息公益訴訟制度的設立具有法律根據。首先,《民事訴訟法》中對污染環境、侵害眾多消費者合法權益等行為規定適格主體可以提起公益訴訟,其理由在于侵害行為損害了社會公共利益。個人生物識別信息的侵害行為具有涉眾性,與社會利益緊密相關?！睹袷略V訟法》出現的“等”損害社會公共利益的行為,實質是為與污染環境、侵害眾多消費者合法權益相類似的損害公共利益的行為預留了空間,而侵害個人生物識別信息的行為因損害公共利益恰恰可以囊括到預留空間中來。同理,新修訂的《行政訴訟法》規定在生態環境等領域,對行政機關不合法行使職權或不行使職權而導致國家利益、公共利益遭受損害的,法律監督機關在督促其合法行使職權其仍未正當履職的,可提起公益訴訟。這條款中的“等”領域從本質上來講涉及到與公共利益有關的領域,這也為個人信息領域的公益訴訟保護預留了空間?！秱€人信息保護法》將個人生物識別信息歸為敏感個人信息予以保護,并在第70條規定當信息處理者違反本法規定處理信息而侵害眾多信息個人權益的,人民檢察院、法律規定的消費者組織和由國家網信部門確定的組織可以向人民法院依法提起公益訴訟,這是公益訴訟制度在個人信息領域中確立的直接法律根據。個人生物識別信息是個人信息的子信息,雖兩者有著可識別的共性,但個人生物識別信息比個人信息具有更高的敏感性,與人切身利益緊密相關,為維護信息公共利益,同樣應該適用該條款的規定。

基于《個人信息保護法》第70條的規定,學界對個人信息領域公益訴訟的類別進行了研究。有學者認為此處的公益訴訟不包括行政公益訴訟[7],也有學者持反對意見,認為第70條規定的信息公益訴訟包括民事公益訴訟、附帶民事公益訴訟,也包含行政公益訴訟[8]。事實上,《個人信息保護法》第33條規定“國家機關處理個人信息的活動,適用本法”,這意味著國家機關處理個人信息不符合規定的,權利機關即人民檢察院有權提起公益訴訟,也即行政公益訴訟并未被排除在外。從實踐中來看,個人信息的行政公益訴訟案件在個人信息公益訴訟中占據著一席之地。

二、個人生物識別信息公益訴訟制度存在的問題

個人生物識別信息公益訴訟制度設立的直接法律依據源于《個人信息保護法》第70條,但整體上看,這條規定具有原則性、概括性,在未出臺相關司法解釋對其進行具體化規定的情境下,個人生物識別信息公益訴訟制度不可避免地會出現適用條件規定寬泛、起訴主體順位難確定、證明責任未合理分配及不同公益訴訟類別的銜接關系待厘清等問題。

(一)適用條件規定寬泛

依據《個人信息保護法》第70條的規定,概括歸納出公益訴訟應具備以下構成要件:一是違反本法規定,這里的“本法”指的是《個人信息保護法》,也即第一個構成要件是違反《個人信息保護法》的相關規定處理個人信息,這是從信息處理者行為角度出發來認定適用條件。二是侵害眾多個人的信息權益,即從結果角度認定責任承擔的問題。在適用公益訴訟時兩個構成要件要同時具備,缺一不可。不過,第二個構成要件中的“眾多”是寬泛的、不夠明確的,因為“眾多”指的是特定的人數或者不特定的人數在該條款中未能準確判斷出來,這為實踐中具體適用公益訴訟制度帶來了困難。如何將適用條件予以具體化,這既是立法的要求,也是司法實踐的要求。

(二)起訴主體順位難確定

在判斷起訴主體順位時首先要對《個人信息保護法》規定的三類主體進行整體把握。首先,人民檢察院作為公共利益的代表機關,代表眾多的信息被侵害者提起公益訴訟是其履行職責的體現。檢察機關在提起公益訴訟時有自身的優勢,體現為它有法律賦予的一定范圍內的調查核實權[9]。最高人民檢察院目前發布有關個人信息的公益訴訟指導案例,為實踐適用公益訴訟制度提供指引和遵循。其次,法律規定的消費者組織可以提起公益訴訟,《個人信息保護法》對哪些消費者組織可以提起關于個人信息的公益訴訟并未作出規定,可將其他公益訴訟中對消費者的規定引入進來。最后,國家網信部門確立的組織也是寬泛意義的,這有待出臺相關司法解釋作出說明。不過,確立的組織范圍既不能過窄,則限制公益訴訟功能發揮,又不能過于寬泛,則導致私益救濟與公益救濟存在交叉,浪費司法資源。

按照《個人信息保護法》第70條的規定,提起公益訴訟的順位分別是人民檢察院、法律規定的消費者組織、網信部門確立的組織。單就這一規定來講,順位不難確定,但將其與《民事訴訟法》結合來看,啟動民事公益訴訟時的主體順位呈現著難以確定的情形,原因在于《民事訴訟法》第58條規定只有在法律規定的機關和有關的組織不提起訴訟時,才由人民檢察院提起訴訟?？梢?因兩者順位存在差異,啟動個人生物識別信息民事公益訴訟如何把握起訴主體便成了難題。

(三)證明責任未合理分配

《個人信息保護法》對公益訴訟中的證明責任尚未作出明確規定。在行政公益訴訟中,檢察機關提起行政公益訴訟前,應向相關部門發出檢察建議,責令相關部門履行職責,也即檢察機關的檢察建議為前置程序,通常情況下相關部門在接收到檢察建議時會依法主動履職,在這樣的情形下,不再探討個人生物識別信息行政公益訴訟的舉證責任分配。而在個人生物識別信息的民事公益訴訟中,根據民事訴訟中奉行的“誰主張,誰舉證”原則,應由起訴主體對信息處理者的行為主體、侵害行為、損害事實及主觀過錯承擔舉證責任。但在處理個人生物識別信息的全生命周期過程中,信息處理者因掌握信息技術而在收集、存儲、利用等各個環節處于優勢地位,信息處理者完全可以不通過對方知情或者同意而采集個人生物識別信息,或者即便是在知情同意的情形下采集信息,但超過權限對信息進行利用時對方也一無所知。在提起公益訴訟時,起訴主體也面臨著對侵權行為、損害事實乃至主觀過錯舉證困難的情形,而這也反映出證明責任分配的不合理性。

(四)不同公益訴訟類別的銜接關系待厘清

個人生物識別信息的公益訴訟因涉及的場景、起訴對象不同,有不同類別。具體而言,有民事公益訴訟、附帶民事公益訴訟及行政公益訴訟三類,附帶民事公益訴訟實質上也是民事公益訴訟。整體上看,三類公益訴訟并不是完全割裂開的,在同一個案件中可同時出現兩種公益訴訟的情況。舉例而言,當信息處理者侵害眾多信息個人的指紋數據,而未有信息個人提出私益訴訟的情況下,適格的公益訴訟起訴主體有權向人民法院提起民事公益訴訟。同時,信息監管部門懈怠履行職責或者違法履職而使得個人生物識別信息的侵害行為損害公共利益的,倘若人民檢察院督促其履職未得到回應,人民檢察院有權向人民法院提起行政公益訴訟。在公益訴訟出現交叉的情形中,厘清三者的適用關系、適用程序以及如何確定管轄地至關重要,尤其是在涉及管轄地時,不同的公益訴訟管轄地不同,需加以厘清以防止出現互相推諉或者爭相管轄的情形。

三、個人生物識別信息公益訴訟制度的優化路徑

(一)把握公益訴訟適用條件

具備明確的適用條件是啟動公益訴訟的前提和基礎,在提起個人生物識別信息公益訴訟時,其適用條件應包括以下幾點:

第一,信息處理者違法處理個人信息。判斷信息處理者是否違反《個人信息保護法》處理個人生物識別信息,既要對其進行專業評估及合法分析,也要注重判斷是否取得信息個人的知情同意,此處的同意不是概括的、一攬子的同意,因個人生物識別信息的高度敏感性,需獲得信息個人基于信息處理的全生命周期的知情同意。

第二,侵害眾多信息個人的權益。對“眾多”的判斷既要考慮“人”,也要考慮“信息”本身[10],因生物識別技術具有獲取信息的隱蔽性,侵害的是不特定多數人的信息權益,因而“眾多”通常指不特定的多數人,涉及到社會公共利益。同時,對信息本身的判斷要考慮到信息被侵犯的數量、范圍等。

第三,個人生物識別信息民事公益訴訟的啟動,以適格主體未提起私益訴訟為前提。在啟動個人生物識別信息公益訴訟前,首先要確定信息權益遭受侵害的信息個人是否提起私益訴訟,這是確保私益訴訟與公益訴訟有效銜接的手段,公益訴訟訴前要發布訴前公告,公告期滿,信息個人沒有提起私益訴訟才由適格主體提起公益訴訟。

第四,在個人生物識別信息行政公益訴訟立案后,應遵循檢察建議前置原則,這是在行政公益訴訟中應注重的問題,其實質是對公權力之間履職的保障。只有當行政機關在督促建議接收后仍未履職的,人民檢察院才按照公益訴訟程序提起訴訟。

(二)明晰起訴主體順位

實踐中有關信息侵權的公益訴訟案件,以檢察機關作為起訴主體的較多,但檢察機關不是唯一的適格公益訴訟起訴主體。依據《個人信息保護法》《民事訴訟法》,在涉及個人信息民事公益訴訟時,無法判斷檢察機關與其他適格起訴主體的順位時,應確保檢察機關的謙抑性,也即在發布公告后沒有其他適格主體的情形下,才由檢察機關提起公益訴訟。之所以如此界定是因為檢察機關作為國家公權力機關,在涉及平等主體之間的人身關系和財產關系時,不應過多地予以介入。當沒有其他適格主體提起公益訴訟時,檢察機關作為公共利益的代表,才履行機關職責,提起公益訴訟。同時,在個人生物識別信息公益訴訟中要注意行政機關的定位問題,行政機關為履行公共行政職責也會收集信息個人的生物識別信息,若賦予其提起公益訴訟的資格,會導致其功能的紊亂,因而行政機關不適合做公益訴訟起訴主體,但基于行政機關執法的主動性與單方面性,它可在信息公益訴訟中提供多方面支持,比如可以對相關法律問題給予解答,還可以協助調查取證等[11]。

(三)公平分配證明責任

證明責任的分配關乎公平正義。個人生物識別信息民事公益訴訟按照“誰主張、誰舉證”原則,由起訴主體承擔舉證責任。但實際上,生物識別信息是依托于生物識別技術產生的數據,信息處理者占據著技術優勢,起訴主體在證明信息處理者侵害行為與損害事實的因果關系時因技術弱勢而受到桎梏。為將程序正義與實質正義貫徹落實到個人生物識別信息民事公益訴訟中,在證明責任分配上,可采取因果關系舉證責任倒置的方式,即由信息處理者舉證證明生物識別信息受損害的事實與其行為并無因果關系。同時,在歸責原則上,可采用過錯推定歸責原則,即在認定責任過程中,推定信息處理者對信息受到侵害的行為有過錯,至于其是否存在過錯則由信息處理者去證明。其中,信息處理者對“過錯”的證明應是形式意義上的,即證明在處理信息時是否依據法律法規履行告知義務、信息個人是否知情、涉及同意的場景時是否征得信息個人的同意,這是對信息個人知情同意的有效保障。因果關系舉證證明責任的倒置、過錯推定原則的確立,可改善訴訟過程中起訴主體的不利地位。同時,因信息處理者對“過錯”的證明是形式意義上的,并未給予信息處理者過分的義務負擔,這可促進起訴主體與信息處理者在舉證證明責任上的平衡。

(四)整體把握不同公益訴訟的銜接與配合

個人生物識別信息中的3類公益訴訟有時會存在交叉。以最高人民檢察院第35批指導性案例的檢例第141號為例,具體案情為:位于北京的某公司開發運營某款短視頻軟件,該款軟件一是沒有以顯著的、清晰的方法告知兒童用戶在注冊賬號時會收集注冊人的面部識別特征等敏感個人信息,而且也未取得兒童監護人的明示同意;二是該款軟件在默認關注對方后還能進行私信聯系。徐某某利用該軟件推送的有關兒童信息的短視頻,通過軟件私信功能與多名兒童聯系,并對其中3名兒童進行了猥褻犯罪。檢察機關在辦理刑事案件時發現該軟件運營公司存在侵害眾多兒童生物識別信息的民事公益訴訟案件線索,同時也發現該運營公司所在地的信息監管部門存在監管不到位還可對其進行行政公益訴訟立案的線索。這個案件跨地域、跨公益訴訟類別,在審理時,兩種不同類別的公益訴訟由相應的檢察機關同時展開,在涉及管轄時,本案涉及的附帶民事公益訴訟通過指定管轄的方式由損害結果發生地檢察機關管轄,而行政公益訴訟通過指定由網絡企業注冊地檢察機關管轄。

通過這個案件可看出,在對同一案件涉及不同公益訴訟類別時,要注重訴訟類別的銜接和協同。首先,同一案件涉及的不同公益訴訟可同時展開,即按照各自的訴訟程序對具體的訴訟對象進行處理,并無先后順序。其次,在管轄問題上,可通過指定管轄的方式按照方便調查、便于監管的原則確立管轄。最后,在涉及不同公益訴訟類別與不同訴訟主體時,要注重溝通協商。提起公益訴訟的目的是為了公共利益,當民事公益訴訟、附帶民事公益訴訟在起訴前可通過訴前調解或者和解的方式讓侵害眾多信息個人的信息處理者承擔停止侵害、賠償損失或者賠禮道歉等責任的,行政公益訴訟通過檢察建議就可督促監管機關履職的,公益訴訟就無需再繼續往下進行。

四、結語

個人生物識別信息公益訴訟制度是為不特定多數人的信息權益而設置的,是彌補個人信息私益救濟不足、緩解行政與刑法救濟謙抑性的有效補充。為保證公益訴訟制度在個人生物識別信息保護中的有效實施,需要對其具體適用條件、適用主體順位、舉證證明責任以及不同公益訴訟類別關系進行整體把握,以實現公益訴訟制度保護不特定多數人信息權益的功能。依靠科技解決科技問題、依靠法律規范解決科技問題,二者重要性相同[12],在個人生物識別信息公益訴訟制度具有法律依據的基礎上,應充分發揮公益訴訟制度優勢,積極采用公益訴訟手段維護個人生物識別信息的公共利益,以實現信息公共安全。