王炜 张源：个人信息保护公益诉讼的法律适用

个人信息过度收集、大数据“杀熟”、信息滥用等情形在社会生活中大量存在，为此，个人信息保护法第70条规定：“个人信息处理者违反本法规定处理个人信息，侵害众多个人的权益的，人民检察院、法律规定的消费者组织和由国家网信部门确定的组织可以依法向人民法院提起诉讼。”检察机关提起的个人信息保护公益诉讼，加强了对侵犯个人信息行为的法律规制，但由于该项制度尚处于探索阶段，有必要在理论证成及实践应对方面加强研究。

一是依法界定个人信息处理行为。个人信息处理行为，根据个人信息保护法第4条第2款规定，主要包括收集、存储、使用、加工、传输、提供、公开、删除等，而个人信息保护法第10条在此基础上，又明确规定了违法处理的七种行为，即非法收集、使用、加工、传输和非法买卖、提供、公开等。与个人信息处理行为不同的是，关于违法处理采取了封闭式的立法模式，与民法典第111条在规制范围上保持了一致。此外，由于个人信息具有“可识别性”的显著特征，所以，经过匿名处理后的信息，即使符合上述个人信息违法处理行为的形式构成要件，也不应将其纳入个人信息保护公益诉讼的范围。基于“可识别性”的核心要义，有观点认为，单纯的收集行为并不会造成个人权益的损害。这一观点值得商榷，因为违法收集是一种主动性的加强行为，与立法上将单纯的储存、删除排除在外并不能等同。对于检察公益诉讼而言，立法上的后两种情形才是介入个人信息保护的合法条件，即只有当前述七种行为危害了国家安全或者社会公共利益时，才能启动公益诉讼。个人信息保护公益诉讼以“违反本法规定”作为前提要件，除上述七种行为模式外，还包括如下情形：一是通过误导、欺诈、胁迫等方式处理个人信息。判断欺诈、胁迫应当严格根据民法典第148条、第149条、第150条关于其构成要件的规定。二是处理个人信息存在质量问题，即存在不准确、不完整的情形。三是过度收集个人信息，即超出适用范围及必要限度收集个人信息。在通过上述具体行为模式难以判断处理行为的违法性或者其是否属于“等”外处理行为时，检察机关可依据个人信息保护法第5条至第8条规定的具有明确合理目的、正当、必要、诚实信用等原则予以界定。

二是合理确定个人信息处理主体。个人信息保护法第73条对个人信息处理者的含义进行了释明，即决定处理目的、方式的个人或组织。具体而言，其主要包括公权主体与私权主体两大类型，此处的公权主体外延更广，并不特指履行个人信息保护职责的部门，还包括民法典第1039条规定的国家机关等在履职过程中造成个人信息泄露或者其工作人员将个人信息非法提供给他人等情形。因此，个人信息保护行政公益诉讼在司法实践中可能出现“双重被建议对象”或者“共同被告”的情形，即处理个人信息的行政机关与履行个人信息保护职责的部门。如果信息处理者为私权主体，那么，检察机关在选择提起行政公益诉讼时就只能以履行个人信息保护职责的部门为对象。此处的私权主体主要包括网络服务提供者和线下经营主体。个人信息保护法第58条加重了互联网平台服务者的特别注意义务，在合规体系建设、规范制定等方面，检察机关应充分发挥社会治理类检察建议的示范效应。

三是依法分配个人信息保护公益诉讼举证责任。根据个人信息保护法第69条规定，个人信息处理者的损害赔偿责任实行过错推定责任，即事前推定其具有过错，然后采取举证责任倒置原则，由其对自己没有过错进行举证证明。这一责任方式并非严格意义上的归责原则，而是过错责任的一种表现形式，所以在构成要件上除了主观过错的证明分配外，仍需符合行为要件、结果要件及因果关系要件。个人信息侵权具有隐蔽性、技术性等特征，信息处理者与原告之间在举证能力上实力悬殊，因此，实行举证责任倒置兼具必要性与可行性。对掌握核心技术、具有专业能力的个人信息处理者施以更高的证明责任，一方面可以弥补原告在专业技术领域举证能力不足的窘境；另一方面可以更好地发挥检察公益诉讼的惩治与威慑作用。根据《关于检察公益诉讼案件适用法律若干问题的解释》第14条、第22条规定，检察机关在民事公益诉讼与行政公益诉讼中分别承担证明被告行为损害社会公共利益，违法行使职权或者不作为致使国家利益或社会公共利益受损的责任。可见，对于个人信息处理者在主观上是否具有故意或过失并不必然属于检察机关的证明范畴，举证责任倒置决定主观过错自我举证契合现行法律规定。因果关系要求违法行为与损害后果之间具有“相当的可能性”，在个人信息侵权案件中主要表现为个人信息处理者与被侵权主体之间的单方法律关系，但如果某一案件牵涉不同的个人信息处理者，此时发生信息泄漏事件，往往难以精准确定具体的违法行为人，能否根据民法典第1170条所规定的“共同危险行为”主张侵权责任，在实践中尚需进一步探索。

四是积极探索个人信息保护公益诉讼惩罚性赔偿。在个人信息保护公益诉讼中，责任形式主要包括停止侵害、排除妨碍、消除危险、消除影响、恢复名誉、赔礼道歉和赔偿损失等。对于如何确定赔偿数额问题，笔者认为，在公益诉讼领域，由于侵权行为侵害的是不特定多数人的合法权益，信息数量庞杂、涉及人数众多，所以在主张损害赔偿时，应当以违法行为人的获利为基准，并根据具体案情适当予以调整。如果选择提起行政公益诉讼，那么行政机关势必会根据个人信息保护法第66条规定，对其违法所得予以没收，并处以罚款。但是如果提起民事公益诉讼，则只能根据损益相当原则，要求个人信息处理者承担与其获利相当的赔偿责任。检察机关作为诉讼主体时可在不同诉讼类型之间自由选择，但根据检察公益诉讼的目的要求，应优先适用行政公益诉讼。如果提起诉讼的主体为消费者权益保护组织，那么救济的路径便是提起惩罚性的民事公益诉讼，主张公益损害赔偿，此时为了达到与行政公益诉讼相同的效果，可以结合行政罚款的条件及数额综合认定赔偿数额。

（作者分别为甘肃省人民检察院兰州铁路运输分院检察长、检察官助理）