屠春含 杨春明 马方飞:多方协同推进个人信息保护检察公益诉讼

一、基本案情与办案过程

（一）基本案情

H科技有限公司（以下简称H公司）主要从事网络游戏及相关产品研发和技术咨询业务，韩某某任经理。2019年2 月，该公司设立“数迈网”，为数据信息交易提供平台，并雇用杨某某、黄某某、管某某参与运营。其间，韩某某明知用户上传数据中有大量个人信息，仍为非法交易个人信息提供平台。网站涉及确切有用的个人信息共37万余条，交易数量达3万余条。软件工程师管某某明知网站有买卖个人信息行为，仍帮助推送关键字搜索。2019年2 月，陈某某注册“数迈网”会员，并上传其在“某公司天猫旗舰店”就职时获取的淘宝买家姓名、手机号、收货地址等数据信息5757条，欲贩卖牟利。

（二）办案过程

2019 年 9 月，上海市人民检察院（以下简称上海市院）从办案系统和媒体报道中获知上海公安机关破获一起特大贩卖个人信息案，经研判后将该案线索交由宝山区人民检察院（以下简称宝山区院）办理。宝山区院立案后，邀请专家辅助办案，对案件中涉及的 QQ 聊天记录、30 余万条公民个人信息、银行卡交易明细、交易台账等文件逐一梳理、交叉比对，查清非法获利数额，确定赔偿数额。宝山区院经审查认为，H 公司虽没有被追究刑事责任，但应承担民事侵权责任。

宝山区院经公告，没有法律规定的机关和有关组织提起诉讼。2019年11月25日，宝山区院对韩某某等人以侵犯公民个人信息罪向宝山区人民法院提起公诉。同时，对H公司、韩某某等人侵害社会公共利益的行为提起刑事附带民事公益诉讼。针对本案中网站服务器、QQ 中保存的个人信息仍存在被传播、买卖的危险，宝山区院积极探索侵权责任承担方式，除了要求被告在国家级新闻媒体上向社会公开赔礼道歉、赔偿损失之外，还向法院提出要求关闭网站、注销侵权用 QQ 号码并永久删除保存在 QQ 内的公民个人信息数据的诉讼请求。

宝山区人民法院经公开开庭审理，于2020年3月27日作出一审判决，在附带民事公益诉讼部分，判决被告H公司、韩某某、杨某某、管某某连带赔偿损失人民币3900元，被告黄某某在上述赔偿款3600元范围内承担连带赔偿责任；H 公司关闭“数迈网”网站；H 公司、韩某某、杨某某、黄某某、陈某某注销买卖公民个人信息所用QQ号码，并永久删除保存在QQ内的公民个人信息数据；H公司、韩某某、杨某某、黄某某、管某某、陈某某在国家级媒体上向社会公众赔礼道歉。一审判决后，刑事案件被告人提起上诉，二审判决维持原判。

二、个人信息保护公益诉讼案件办理中的难点

个人信息保护具有多元化的法益基础，虽然加强保护是共识，但保护模式、诉讼途径、诉讼请求、证据标准、举证责任等方面一直存在争议。

（一）个人信息保护能否纳入检察公益诉讼案件范围不明确

上述案例系上海市院集中组织通过公益诉讼加强个人信息保护系列案中首个公告和开庭的案件。2019 年，尚未有民法典与个人信息保护立法营造出的强化个人信息保护的浓厚法学研究和丰富司法实践氛围， 就个人信息保护能否开展检察公益诉讼特别是民事公益诉讼还处在探索阶段。从法律规定来看，民事诉讼法第 55 条第 2 款、行政诉讼法第 25 条第 4 款对检察机关提起公益诉讼制度进行了概括性规定，以列举的方式规定了检察公益诉讼的范围。个人信息保护不在上述范围内，属于新领域探索。另外在理论界，对个人信息加强保护的路径存在“公法私法并重论”“私法保护优先论”“公法保护优先论”等观点，且司法界较为依赖“刑事打击”和“私益诉讼”。有些观点认为我国长期以来一直采取依附于侵犯个人隐私权的私益救济模式保护个人信息，通过公益诉讼保护个人信息是否属于维护社会公益的范畴还存在争议。若个人信息保护公益诉讼制度具有可行性，那么需要阐明其中的理由。［1］较为推崇私益保护的王利明教授认为，个人信息也可能涉及社会公共利益、公共安全，但其主要还是一种私益。［2］当时，上海检察机关对个人信息保护类公益诉讼案件审慎办理，较多地通过民事公益诉讼诉前磋商的方式维护公益。随着实践经验的积累， 我们认为，对于网络环境下的大规模侵害个人信息问题，不仅要用足用好行政管理、刑事处罚等手段，也可以通过民事公益诉讼起诉或支持起诉手段落实民事责任的追究。

（二）证明方向区别于刑事诉讼，调查取证难

检察机关作为公益诉讼起诉人，需要承担相应的举证责任。个人信息侵权违法行为多数与互联网、大数据、人工智能等高新技术相关联，呈现跨区划、匿名化、涉众型、全链条等特点，检察机关在发现、收集、固定、研判、鉴定相关电子证据的调查核实手段上仍有不足。［3］在刑事附带民事公益诉讼案件中，检察机关更多利用刑事侦查过程中获取的证据，证明附带民事公益诉讼的待证事实。但附带民事公益诉讼除了需要证明侵权事实之外，还需要提出法定范围内， 与案件事实情况相符合的诉讼请求；与刑事案件相比，在证明方向上也有所不同，需要公益诉讼检察部门自行调取和补强证据。囿于立法对公益诉讼办案调查核实权力的供给不足，检察机关向有关行政机关、企业、人员调取公益诉讼案件证据相对困难，影响办案进度和成效。如上述案例中，侵权行为发生在网络环境下，检察机关为查明网络运营者的主体责任，需要调取相应的公司财务凭证、劳动合同、内部规章制度等。由于本案中代表企业全权处理企业事务的经理因刑事诉讼被羁押，企业在案发后人员解散，给公益诉讼检察部门调取上述证据带来了相当大的困难。除此之外，本案涉及网站的具体运营，个人信息收集、存储的环节多，为彻底消除个人信息再次被侵犯的危险，需要调查网站建设、服务器设置、网站备案、QQ 类即时通讯软件的使用情况等，专业性强，调查难度大。

（三）办案固定思维导致公益诉讼价值效果不彰

网络时代特别是大数据时代，互联网企业收集并处理的个人信息占据相当大体量，网络产业的健康、可持续发展，与互联网企业息息相关，企业加强自律，履行主体责任尤为重要。从刑事附带民事公益诉讼案件实践来看，刑事诉讼对于侵犯个人信息的犯罪绝大部分追究的是自然人的责任，其中服务行业中能接触到公民个人信息的人员，如快递员、淘宝客服、房产经纪人、商场销售人员等犯罪比例较高，反映出相关行业监管力度明显不足。［4］虽然消费者权益保护法、网络安全法等法律中对网络服务提供者、运营者在个人信息管理和保护方面均规定有相应的义务，但实践中企业指使、纵容、默许员工侵犯个人信息的现象仍屡见不鲜。检察机关如果在探索办理公益诉讼案件时，不能摆脱固定思维，实现个人信息保护公益诉讼起诉案件的突破，并对是否追加被告、提出何种诉请等问题进行明确，公益诉讼效果将无法充分实现。

三、个人信息保护纳入公益诉讼案件范围的必要性和现实性

在个人信息保护方面，原有的刑事惩戒与行政执法处罚因其自身不可避免的局限性，难以实现对公共利益的充分维护，有必要进一步完善个人信息保护的法律救济制度、办案协作机制和综合治理措施。

（一）个人信息公共属性不断增强

从历史上看，囿于交通等信息传播条件，大部分个人信息是属于非公共的，或者限定为比较小的区域。在网络时代特别是大数据、人工智能等技术背景下， 个人信息的内涵、外延越来越广泛，其价值属性也变得具有多重性。法律法规在特定情境中强化了个人信息使用的公共性。网络技术的开放性、互联性，也使得个人信息的传播更快，公共属性倍增。另外，依靠大数据技术等对个人信息加工后产生的再生信息，有些可能对公共利益和国家安全带来威胁。当前，个人信息已然成为大数据时代下的重要资源，具有巨大的商业价值。

（二）个人信息保护具有现实紧迫性

近年来，个人信息泄露引发的案件频发，个人信息被侵害的情况无论从广度上，还是深度上都触目惊心。个人信息被大量复制、反复使用、共享，多人经手、多点储存、跨国界传输，自然人对其很多信息处于失控状态。一是信息范围广泛、泄露渠道众多。《大数据时代个人信息保护状况调查报告》显示，被泄露最多的个人信息包括个人通讯信息、个人身份信息、个人消费信息、个人财务信息、个人社会关系信息、个人背景信息，可以说涉及个人生活方方面面。而个人信息泄露渠道包括网站、个人信息终端上的 APP、汽车行业、通讯软件和房地产行业、快递公司、银行保险业等。［5］二是获取信息方式多样。《侵犯公民个人信息类刑事案件——大数据分析报告》显示，侵犯公民个人信息类刑事案件逐年增长，经济发达省市高发， 获取公民个人信息的方式包括购买、利用工作之便或侵入计算机系统窃取、业务合作、收集、跟踪、偷拍、内部员工交流、无偿提供等方式。［6］ 三是后果严重。震惊全国的“徐玉玉”案曾引起全社会的巨大关注， 公安机关对个人信息犯罪的打击虽持续高压态势，但个人信息犯罪屡打不绝，甚至呈现产业化、团伙化趋势，因侵害个人信息犯罪引发的下游犯罪涉及敲诈勒索、电信诈骗、网络诈骗等，众多不特定人的合法权益面临巨大威胁，涉及国家利益和社会公共利益。

（三）检察公益诉讼模式具有实践可行性

在实践中，针对个人信息保护的法律规范散见于法律、行政法规、部门规章、地方性法规和规章、各类规范性文件之中，由于内容分散，不易被普通民众掌握。此外个人信息获取、储存和利用的环节众多， 侵权人与被侵权人之间具有一定的间接性，个人很难举证证明实际侵权人和具体侵权行为，个人维权存在困境。相较而言，检察公益诉讼对个人信息保护具有制度优势，能产生多重效果。从检察公益诉讼的全国性实践来看，检察机关在办理行政公益诉讼案件时， 针对部分行政机关不注重个人信息保护、监管责任不到位等问题，通过磋商、公开听证和检察建议等方式督促履职，堵塞漏洞、防控风险，能够更大程度上促进前置性保护。检察机关通过办理民事公益诉讼包括刑事附带民事公益诉讼案件，增加侵权责任主体的违法成本，通过高额罚金和公益损害赔偿加大警示力度， 预防潜在的违法犯罪行为。［7］

（四）有域外公益诉讼或团体诉讼等经验可供借鉴

个人信息保护制度发端于欧美国家，且欧洲多表述为个人数据，强调自决权。从国家层面，1973年瑞典制定的《数据法》是世界上第一部数据法，规范了公共领域和私人领域的个人数据保护。2016年欧洲议会通过的《欧盟一般个人信息保护条例》（GDPR），号称是史上最严的保护用户数据安全的法律，在2018年5月25日正式生效，取代《欧盟数据保护指令》（Directive95/46/EC），值得我国借鉴。比如，该条例开创性地在第17 条规定了被遗忘权（right to erasure），在第20 条规定了信息可转移权（right to data portability）， 在第80条建立了个人信息权利保护公益诉讼制度（不论数据主体是否委托，欧盟成员国都可以规定授予某些公益组织代表信息主体向信息保护局以及信息控制者、处理者主张合法权益，并在必要时提起诉讼）。日本在2003年就制定了《个人信息保护法》，成立了个人信息保护机构。美国个人信息保护立法与美国政体紧密相关，在联邦层面，于1974年通过《隐私法》规制行政机关使用个人信息的行为，强调隐私权，同时绝大多数州采取安全港模式，注重行业自律。

四、多方协同提升个人信息公益诉讼质效

（一）建立检察机关为主导、多方参与的公益诉讼调查取证模式

针对个人信息保护领域刑事附带民事公益诉讼与刑事责任证明方向不同的问题，检察机关应以提高案件质效为导向，建立以检察机关为主导、多方参与的公益诉讼调查取证模式。比如，宝山区院在办理本文案例时，针对刑事责任与侵权责任证明方向的不同， 及时与刑事检察部门召开案件讨论会，释明侵权责任的证据标准、与刑事责任的区别、调查取证上的难点， 达成共识，引导公安机关对证明力不强的证据进行补充侦查，及时固定侵权责任相关证据，通过公安机关确定涉案企业联系人，调取和补强了部分涉案证据， 提高了调查取证效率。

（二）借助“外脑”，破解专业难题

从检察公益诉讼的定位和价值取向来看，检察公益诉讼不仅关注民事侵权行为本身，更关注民事侵权行为产生的原因，同时最大程度降低侵权行为的危害， 实现事前、事中、事后的全方位监督。在个人信息与互联网、大数据交织在一起的情况下，检察机关若要实现全方位监督，需要相当强的互联网专业知识，在本身知识结构不足以应对上述问题时，借助“外脑” 是非常必要的路径。比如，在上述案例中，宝山区院为调查网站运营的全流程，邀请专家协助办案，提供智力支持。就网站运营、信息存储方式、服务器租赁等方面的问题向计算机领域专家进行了专业咨询；邀请市院资深检察官、复旦大学法学院教授、律师、消保委法研部负责人等召开案件研讨会，深入探讨责任承担方式中的赔礼道歉、消除危险、损害赔偿中涉及的法律问题和技术问题，为案件办理提供了有力指导。

（三）强化合作意识，促进综合整治

在网络环境下，个人信息保护涉及信息主体与处理者，也涉及不特定第三人和广大社会。针对网络侵害的跨地域性、持续性、反复性等特点，检察机关协 同相关行政机关治理侵害个人信息行为，有利于互联 网领域损害公益问题的系统治理、综合治理、源头治 理，彰显了公益诉讼的独特价值。检察公益诉讼是公益诉讼的“国家队”，具有独特的价值和作用。宝山 区院在办理本文案例时，发现被告人陈某某利用担任 “某公司天猫旗舰店”数据分析师的工作便利，出售工作中获取的个人信息。为促进源头治理，督促企业承 担主体责任，宝山区院将案件中“某公司天猫旗舰店” 涉嫌违法的线索移送有管辖权的广东省广州市白云区 人民检察院（以下简称白云区院），并就调查取证等工 作开展跨省协作。白云区院审查线索后以行政公益诉 讼立案，并与负有监督管理职责的行政机关进行磋商。行政机关认定“某公司天猫旗舰店”的经营公司在执 行网络安全信息制度的防范措施上存在明显漏洞，遂对该公司立案调查，并针对咨询、房地产中介、汽车销售、保险等重点行业发出预警信息公告，开展系统治理。

另外，办案要尊重和发挥审判机关的司法能动性。要积极发挥司法调解的纠纷解决价值，通过诉后庭前的调解与司法裁判的衔接，实现公众权益保障的有序和有效。为节约司法资源、提高工作效率，对一些争议不大、被告有承担相应法律责任的意愿的，检察机关可通过听证等程序达成和解协议，法院履行审查、公告等程序后予以司法确认。检察官、法官、法学专家、律师等法律职业共同体要加强共同研究，探索符合个人信息特性的公益诉讼请求。赔偿损失数额可以按照被侵权人因个人信息受侵害受到的损失或者侵权人因此获得的实际利益赔偿。被侵权人的损失以及侵权人因此获得的利益难以确定的，被侵权人和侵权人就赔偿数额协商不一致，法院可以根据侵权人的过错程度、具体侵权行为和方式、造成的后果和影响等确定。

个人信息保护是项系统工程，要协调发挥多方作用。要积极构建侵害公民个人信息行为违法线索共享机制，立体式发挥各主体作用。主管部门可购买第三方检测机构服务，进行不定期检测，对侵害公民个人信息的行为进行通报警示，促进整改，严肃惩处。鼓励自然人维护个人信息方面的正当权益，行政机关、检察机关对于一些具有个人信息保护示范意义的私益诉讼可探索支持起诉。要强化企业主体责任，督促提升技术规范水准和保护水平，对通过网络传输的大量敏感个人信息数据分级分层保护，探索实行冻结、自动拦截等制度［8］，检察机关对APP开发者、运营者特别是应用商店等平台可以联合主管行政机关加大公益监督。

 注释：

［1］参见洪浩、赵祖斌：《个人信息保护中检察公益诉权配置的根据》，《内蒙古社会科学》2020 年第 6 期。

［2］参见王利明：《论个人信息权的法律保护——以个人信息权与隐私权的界分为中心》，《现代法学》2013 年第 7 期。

［3］参见张璁：《借力公益诉讼 保护个人信息》，《人民日报》2021 年 5 月 13 日。

［4］参见国双司法大数据：《侵犯公民个人信息类刑事案件—大数据分析报告（2013-2016）》，国双司法大数据微信公众号https://mp.weixin.qq.com/s/B817TDNs3evNYQ_oe-CSOw，最后访问日期 ：2021年5月15 日。

［5］参见中国消费者报：《大数据时代个人信息保护状况调查报告》，国统大数据微信公众号https://mp.weixin.qq.com/s/ bpkfLX_bwUgIG9aNbBHquA，最后访问日期 ：2021年5月15日。

［6］ 同前注［4］。

［7］参见闫晶晶：《净化网络环境 激活个人信息保护机制 - 最高检第八检察厅负责人就检察机关个人信息保护公益诉讼典型案例答记者问》，《检察日报》2021年4月23日。

［8］参见马方飞：《协同治理，提速公民个人信息保护》，《检察日报》2020 年 10 月 27 日。

*本文刊登于《中国检察官》杂志2021年6月（经典案例版）