个人信息保护民事公益诉讼制度的困境与完善

李娜娜?章健

摘 要｜随着互联网技术在数字经济领域的应用，个人信息保护面临着不断增加的技术和人为风险。这种情况引发了商业利益和个人信息公共属性之间的张力，同时也导致了大规模信息侵权事件的发生。目前，我国个人信息保护制度处于发展初期，存在着规范和实践方面的缺陷，文章从个人信息保护民事公益诉讼的必要性入手，分析现有的困境并探索适宜的诉讼机制，提出保障个人信息安全的方案和路径。

关键词｜个人信息保护；公益诉讼；民事公益诉讼

Copyright ? 2023 by author （s） and SciScan Publishing Limited

This article is licensed under a Creative Commons Attribution-NonCommercial 4.0 International License. https：//creativecommons.org/licenses/by-nc/4.0/

一、提出问题

随着市场竞争激烈增加，公众生物信息成为各平台争夺的资源。数据是信息表达方式，特别是在网络时代。疫情加速了个人信息作为平台推广和获取收益的重要推动力。个人信息从纸质化到电子化，信息形式也从直观变为非直观，网络信息科技发展使得可被收集的个人信息越来越广泛，加剧了个人信息泄露风险。个人生物信息的流通价值促进了数字经济的发展，但也带来了信息泄露和“杀熟”等问题。“杀熟”行为扰乱市场，源于非法侵犯信息主体的信息。网络信息科技的发展，使得能够被收集的个人信息越来越广泛。《个人信息保护法》第四条和《民法典》的列举丰富了个人信息的范围。个人信息是一种无形的所有物，但人们无法完全支配自己的个人信息。网络拓展了信息流通，单个体的信息价值有限，只有大量汇集后才能挖掘出最大的经济价值。信息化的公共秩序未随着拓展进行优化，黑灰产业以获取个人信息牟利。随着个人信息公共属性比重的增加，将其绝对私有化不符合现实，但需保障个人信息的利用受限和隐私不被侵犯。

二、个人信息保护民事公益诉讼之必要性

最近几年，立法机构已经开始探索逐步将个人信息保护纳入公益诉讼领域，但随着个人信息公共属性的比例增加，救济措施并没有得到加强，传统的救济方式已经无法保护个人信息权益。

（一）个人信息侵权的典型案例

人脸识别已成为商业和政府领域的主流技术，但个人信息泄露的风险也日益严重。一个突出的问题在于，个人信息的侵害通常是针对随机性和不确定性极高的对象进行的，这给受害者带来了更大的损失。例如在售楼处人脸识别案中，房地产公司未明确告知客户就记录客户生物信息，并用于营销盈利。个人信息是具有强烈人身属性的个人财产，人脸是人身识别的唯一信息，最易取得且最与人身相关。网络技术扩大了信息获取渠道，使网络社交工具成为沟通交流与提升工作效率工具，但在各种软件中留下了用户信息痕迹。信息收集者利用大数据和智能移动终端获取大量用户数据，用于市场研究和盈利。为了保护个人信息，大多数消费者监督组织都呼吁对互联网用户进行某种形式的隐私保护。网络技术的发展为获取信息提供了更广阔的渠道，用户在各种社交平台上传信息都可能成为被盗取的对象。另外，商业主体通过各种手段获取大量客户信息，以获取经济利益，而公众则经常缺乏获得信息安全的途径和手段。在此基础上，岂止是寻求个人信息安全的问题，更是企业社会责任的履行和公共利益的保护。过去十年的大量研究表明，对个人隐私的关注是电子商务发展的主要障碍。这些担忧是如此严重，以至于大多数（如果不是全部）消费者监督组织都呼吁对互联网用户进行某种形式的隐私保护。

“杭州女子取快递被造谣出轨案”引发社会对个人信息保护的呼声。个人信息泄露的严重后果让社会反思技术的发展导向。自然人设备和技术简单，获取到的个人信息有限，但网络使每个公民都成为信息传播来源。在该案中，行为人随意编辑受害者的个人信息并上传网络，造谣在网络中传播，损害了受害人的人格权益并导致社会评价降低。该案说明了个人隐私信息受到侵犯时对个体的严重影响，不仅是对人格权的侵犯，还引发了社会对随意编辑个人信息行为的恐慌，对公共秩序形成风险。当事人以“诽谤罪”提起自诉，该案由自诉转为公诉。个人起诉信息侵权案件，受害主体的时间和精力成本极高，而一旦信息被发布到网络上，就无法掌控和删除，存在泄露风险。个人生物信息无法更改，若被非法获取将处于被随意编辑的风险之下。科技日益进步，便利生活的同时，个人信息广泛应用于日常生活。公民个人信息具有唯一性和依附性，而人脸信息更易获取，具有半公开性和广阔的应用前景。但“人脸”也带来风险，商业主体可利用高新技术采集公民信息，随着他们掌握的信息数量增多，“大数据杀熟”等利益攫取事件发生更频繁，公众对采集个人信息提出更多限制以保护自身利益。当人脸信息被发布在网络中时，伤害也难以消除。

（二）个人信息保护民事公益诉讼的必要性

个人信息内在社会属性的价值正当性。政府和商业主体收集和分析公民个人信息，实现公共管理和商业需求的高效运作。然而，随着技术的不断发展，信息泄露的风险日益加剧。自然人隐匿身份从事违法犯罪行为时，社会因个人识别信息的缺失将导致监督功能的丧失。大数据、物联网和云计算的广泛应用，加上网络信息的“个性化推送”，使得个人隐私的保护变得更加困难。且信息的收集不是一次性的，而是根植在智能终端中的动态识别。在生物信息化的时代，指纹解锁和刷脸支付也给个人信息的保护带来新的挑战。而密碼是秘密保存的，但人脸却是公之于众的。虽然《个人信息保护法》明确规定了信息处理者应保障所处理的个人信息的安全，但具体的保障措施和标准并未明确说明，且信息处理者可能面临信息泄露的危机。

个人信息保护是当下面临的紧迫问题。政府追求信息经济红利，掌握着大量公民个人隐私信息。信息科技带动企业勃兴，同时政府在信息权益保护和经济发展中起着平衡作用。社会组织为弥补政府监管不足，而消费者协会应起到保护个人信息的作用，但由于其经费来源于政府拨款，其职权行使缺乏独立性，无法及时保护个人信息。公民个人处于信息链的弱势地位，个人信息的快速传播和不可控性增加了风险和挑战。在互联网经济发展的同时，公民个人信息泄露的源头难以追溯，私益诉讼维护合法权益困难。社会组织未能发挥原有功能。个人数据的跨国贸易虽然正在成为一项有价值的经济活动，但给监管机构和组织带来了许多挑战。因此，需要加强监管和管理，确保政府和商业主体在收集和使用公民个人信息时保障权利，并促进技术和制度创新来保护个人信息的隐私性和公共属性。此外，公民意识的提高也是必要的，个人应该提高信息保护意识，减少个人信息的泄露。

三、个人信息保护民事公益诉讼制度的困境

无救济，无权利。只有救济才能实现权利。当个人信息面临侵害时，司法救济是必要的手段。对于不特定主体的信息侵害，个人信息保护民事公益诉讼是重要的救济途径之一。然而，我国个人信息保护公益诉讼仍存在不足，在规范和实践层面需要加强。

（一）程序上：诉讼受案范围受限、责任承担标准不明

个人信息保护民事公益诉讼的前提是诉讼受案范围，其关乎法定主体能否启动诉讼程序。法律的滞后需要不断更新来适应社会环境，而公益领域的扩大需要在司法实践中体现在受案范围的扩大上。受案范围的扩大呈现在不同的诉讼领域中，但在同一公共领域的受案类型中也呈扩大发展趋势，如大规模个人信息侵权案件。然而，现有的受案范围过于窄限，无法全面覆盖受侵害公共利益范围。具体表现为受案范围的界定不够完善，或受案规范较为抽象。个人信息保护法规定，侵害众多个人权益的，由法定主体提起诉讼。这里的“侵害”不仅包括信息权益的实际损害结果，还应包括所造成的潜在重大社会风险。然而，在规范层面，“风险”的认定尚未有明确的法律规范，概念过于宽泛和抽象。此外，消费者组织可以作为法定起诉主体之一提起个人信息民事公益诉讼，在受案范围上与消费领域存在交叉，如何构建个人信息与消费领域的衔接，也是一个重要问题。规范的抽象性能够适应不断出现的新型案件，但过于模糊的规定在实践中的效果将大打折扣。

诉讼请求是原告主张实体权利的体现，以维护自身利益为目的。起诉条件不清会影响起诉主体的诉求，而在个人信息保护方面，规范含糊不清将会导致信息主体实体权益的损害。个人信息保护法规定起诉的对象是个人信息处理者。起诉条件包括违法处理个人信息和侵害众多个人的信息权益。处理个人信息应该征得权利人的同意。但两者的同意应有不同的含义，明确同意更为严格。不同类型的个人信息应当设置分明的层次，对于匿名的信息数据、一般信息和隐私信息应当设置不同层次的同意条件。对“侵害众多个人的信息权益”中“众多”的争议，体现在是否应该以量化作为标准。但是抽象的公益诉讼使得无法准确定义自身的边界，人数“众多”作为公共利益的具象化应当契合公共利益的抽象特点。以人数的量化作为民事公益诉讼的起诉标准会有失妥当，应根据具体情况而有所变化，不可对所有个人信息一视同仁。

个人信息保护的责任承担在法律中规定了民事责任、行政责任和刑事责任。其中民事责任最为符合社会公众的实际需求，在侵害个人信息权益的情况下，优先承担民事责任。然而，在实际案件中，民事公益诉讼的责任承担未能完全符合预期。因此，个人信息保护民事公益诉讼中应引入惩罚性损害赔偿，但由于《民法典》中并未规定个人信息保护领域的损害赔偿规则，因此不宜有所突破。同时，公益诉讼的诉讼请求涵盖了停止侵害、排除妨碍、赔偿损失等一般请求，但不完全适用于个人信息保护民事公益诉讼。因为不同的侵害方式所承担的法律责任不同，各种环境下民事公益诉讼需要增加公益修复责任作为主要救济方式。恢复原状只是修复生态环境中的一环，修复生态环境的范围远比恢复原状大得多，但是从深度上讲修复环境往往没有达到恢复原状的程度。无论是对公民个人信息进行大规模侵害，还是对某一公民的个人信息进行恶意加工并散播，导致其社会评价降低的情况，侵害主体应承担修复公民损失的责任。在民事公益诉讼的责任承担中，主要有损害赔偿和《个人信息保护法》规定的其他义务，法院已经在某些案件中适用了惩罚性损害赔偿规则。在实践中，考虑到经济成本的考量、现实保护的需要和其他诉讼领域的实践经验，起诉主体将律师费、鉴定费等费用纳入了公益诉讼的损害赔偿项目中。

引入惩罚性损害赔偿规则在个人信息保护公益诉讼中存在分配问题和过度惩罚问题。个人信息的侵害范围广泛，但《个人信息保护法》六十九条规定信息主体能从信息处理者中获得的利益有限。赔偿金额如何分配计算需要耗费大量的人力物力。惩罚性赔偿可以增强起诉动力，强化维权意识，达到弥补私益和维护社会公共利益的目的。但在个人信息保护民事公益诉讼中，检察机关及其法定组织的起诉动力并不源自惩罚性赔偿，而是维护国家公共利益的目的。个人信息保护民事公益诉讼要避免对被告罚过其当，数据的保护应当是有限度的。诉讼费用的缴纳应该平等，不能让起诉人为权利主体承担诉讼风险，降低了社会组织提起诉讼的意愿。在公益诉讼中，个人信息案件的原告既非个人信息的权利主体也无利害关系，并非为了自身利益而诉，诉讼费用的缴纳相当于叫他们替真正的权利主体承担诉讼风险，这是不公平的。

（二）实践上：法院能动性欠缺、诉讼环节缺乏监管

法院未發挥积极的能动性是司法机关面临的一个问题。党的十五大报告提出了建立“社会主义法治国家”的目标，将法律作为未来指向性的规范和人民遵守的行为准则。公共秩序的建设是法治国家的核心任务，司法则是维护社会公平正义的最后一道防线。随着高新科技的迅速发展，司法机关出台了一系列文件应对各类个人信息泄露案件的频发，以保护个人信息。然而，当前法院的审理却仍然欠缺对个人信息保护应有的关注，私益诉讼中的裁判态度也不够开放，使得社会对个人信息保护的信任度下降。

个人信息保护作为社会民生的重点关注问题，限于当时立法不够完善而难以通过司法途径维护公民的合法权益。立法内容应回应社会需求，司法机关裁判个人信息前沿案件的过程，本质上也是立法的准备过程之一。在《个人信息保护法》出台以前，个人信息保护的条文散见于各类相关的法律文件中，法律对科技的引导需要以司法的形式加以确认。然而，目前我国的司法机关尚未发挥纠纷处理的积极主动性，应对社会快速发展时出现的复杂案件也显得不甚灵活。对于出现的新型非常态案件时，严格的司法操作并不符合立法者的本意。

在公益诉讼领域，社会组织由于力量不足和社会经济制约，缺乏公信力、举证困难等诸多难题，诉讼环节缺乏系统性监督。立法者未赋予自然人提起信息保护公益诉讼的权利，公益诉讼的目的是使社会公共利益得到保护。诉讼主体撤诉或者调解后，应当着重监督信息处理者是否遵守既定的法律规范，是否降低了个人信息处理的社会风险。公益诉讼的胜利并不是维护合法权益的终点，而是起点。当下，互联网和在线诉讼发展，社会公众可以通过网络参与到个人信息保护的监督中，这既是公益诉讼监督机制的内在价值，也是多元共治的外在要求。公益诉讼的核心是保护公共利益，与其他类型诉讼具有本质区别。在当下科技快速发展阶段，个人信息的侵害类型越加多样化，公益诉讼的调解涉及众多当事人的处分权。公益诉讼的诉的利益是保护公共利益或者恢复、补偿受到减损的公共利益。《民事诉讼法》司法解释规定，公益诉讼案件达成的调解协议应当进行公告。但是公告期间信息主体对调解协议的意见通过何种渠道可以反馈，是否具有约束力，具有怎样的约束力等一系列问题还不够明朗，需要在规范层面加以详细规定。监督机制目前是检察机关以抗诉或者检察建议的方式进行监督，在个人信息保护公益案件中难以具备监督的正当性。

四、个人信息保护民事公益诉讼制度的完善

网络运营商和网络服务提供商作为主要的个人信息提供者，處理海量个人信息对个人和社会都有深远影响。随着社会的发展，不论是私法性质还是公法性质的权利，权利的种类、范围等都在不断扩大之中。不同的信息处理者处理方式和目的不同，个人信息的非法侵害也普遍存在。规范和实践并重，结合程序和实体的措施是消解风险的有效选择。

（一）建议个人信息的专属案由

我国需要建立起专门的个人信息保护公益组织，并将侵害个人信息案由纳入司法保护的视野之下，这样可以提高社会的重视程度，强化个人信息独立诉讼价值，也成为提高司法效用、维护当事人权益的解决之道。侵犯个人信息案件应该按照一定的标准进行区分，例如根据侵犯的个人信息的重要程度，按照《刑事适用若干解释》第五条中规定的“情节严重”程度标准进行量化，同时公开的个人信息和非公开的个人信息的保护力度也应有所差别。敏感信息比一般信息更具价值，易引发诈骗等关联性犯罪，更加需要保护。侵害个人敏感信息，对个人和社会的危害性远高于一般个人信息，因此需要责任部门采取严格的保护措施，加大保护力度，做到宽严相济，轻重相当。此外，侵权主体、侵权范围、侵权手段和侵权领域等因素对个人信息保护的影响也在逐渐变化，需要及时调整和完善相关的措施。

建立个人信息保护专属案由并细化受案范围。行为主体使用公开信息进行营利活动时，是否作为民事公益诉讼起诉的案件标准，立法和实践中尚未对此类案件有明确处置规则。根据《民法典》的规定，处理非公开个人信息需要征得信息主体同意，但可合理处理公开个人信息。科技的发展使个人信息越来越广泛应用于社交生活，因此，新型侵害手段将导致复杂案件的出现，需要细化受案范围。根据《民法典》的规定，个人信息可划分为一般信息和隐私信息，处理私密信息需要有关隐私权的规定，没有规定的适用有关个人信息保护的规定。在办理个人信息的公益诉讼案件时，需根据受侵害个人信息的类型进行划分，私密信息的重要程度较高。在实践中，检察机关更多地提起个人信息保护刑事附带公益诉讼的原因是构成犯罪时一定侵害社会公益。

（二）明确诉讼责任的承担标准

侵犯个人信息可能会导致行政、民事、刑事责任的承担，但在此现实环境下，以有形的财产损失计算的民事责任侵权方式已经不足以消除个人信息所承担的风险。为了解决受害群众广泛、救济成本高、公平受偿难的问题，可参考设立专项赔偿基金制度的做法。可以通过对侵害手段、范围和结果的量化规范，强化司法应用性来规范“严重精神损害”。关于民事公益诉讼损害赔偿范围，可以增设“修复网络生态费用”，以实现大规模侵害个人信息民事公益诉讼修复网络生态的目的。侵犯个人信息的行政处罚的规定应该根据情节严重程度设置责任承担方式，可以参考《刑法》第二百五十三条“侵犯公民个人信息罪”的量化标准。刑法具有谦抑性，对于行政责任的承担应当比照刑事责任有所区分。公益诉讼制度较为发达的国家普遍采取设立专项赔偿基金制度来解决受害群众广泛、救济成本高、难以实现公平受偿的问题。

要给予个人信息充分保护，我们可以借鉴美国的做法，赋予个体以诉权，当个体发现自己的个人信息受到侵犯时，可提起诉讼，胜诉的原告有权每次从被告的违法行为中获取相对固定的法定赔偿金。此外，应该强化顶层设计，建立专门的个人信息保护公益组织。在保护敏感信息的过程中，需要采取更严格的保护措施，包括公开个人信息和敏感信息的保护力度、侵权主体、侵权范围、侵权手段和侵权领域等。个人信息处于巨大风险之下，需要及时制约，保障公民权利。关于民事公益诉讼损害赔偿范围，可以参照《最高人民法院关于审理生态环境损害赔偿案件的若干规定（试行）》中关于“生态环境修复费用”的规定，增设“修复网络生态费用”以实现大规模侵害个人信息民事公益诉讼修复网络生态的目的。

（三）提高诉前程序运作的实效性

个人信息权益侵害应由社会力量管理，但由于我国传统文化中追求“和谐”与“无讼”的文化沉淀，个人信息保护公益组织相对缺乏意愿及实力向行为侵害者提起诉讼，导致威慑力较弱。此时，国家应当予以支持。在我国现阶段的检察公益诉讼实践中，诉前程序是化解公益案件、实现公益目标的重要程序，在诉前实现公益目的被视为检察公益诉讼最理想的状态。在我国现阶段的检察公益诉讼实践中，诉前程序是重要程序，能化解公益案件，实现公益目标。诉前程序能帮助个人信息诉讼质量提高，最短时间内有效地解决信息保护的纠纷。然而，公益诉讼未能完全发挥对个人信息保护在司法裁判方面的功能。个人信息公益诉讼有其自身的独特性，范围是全国性的小额财产的聚集性纠纷，诉前程序的良好运行为调解、和解发挥有利的维护作用。

建议降低纠纷解决成本，发挥诉前程序在节约司法资源、缓解案件压力中的作用。个人信息保护案件频发，公益诉讼在维护消费者权益方面具有必要性。消费者组织作为公益诉讼起诉主体，保护个人信息权益是其职责，而且具有成熟的运转机制和体系。但需要建立独立的个人信息保护组织，提高其诉讼独立性。行政机关需要履行个人信息权益保护职责，但当其怠于履行时，应引入多元主体参与。检察机关作为法律监督机关以独立第三方支持公益组织提起诉讼既是职责所在，也是主动参与社会治理的重要方式。近年来，全国民事检察部门支持起诉案件逐年增加，检察机关能够帮助公益组织调查核实案件事实、与加害主体谈判调解，使法定组织更好地发挥服务社会成员的作用。

（四）构建诉后系统性的监督机制

个人信息民事公益诉讼关系到社会公共利益，但信息主体没有参与权，因此调解的监督非常重要。信息主体作为诉讼利益的享有者，应该监督公益诉讼的调解。公众监督范围应该明确，监督能力应该强化。政府和大众应该相互配合，不断完善监督机制，发挥公众监督的作用，保障公共利益。信息主体参与调解，有助于保障信息流动的社会秩序和公平正义。包括参与在内的程序价值从某种程度上而言是对当事人尊严的维护。

发挥调解纠纷功能，加强调解监督，以和为贵的调解制度在中国发展。在江苏省消費者协会诉百度案中，百度公司及时整改，达到降低社会风险的要求，撤诉仅两个半月。相比个人信息公益诉讼案件，环境生态功能的恢复耗费人力和时间，难以实现原告请求。个人信息保护案件有技术性特点，公众参与提供可能。撤诉机制需监督程序和完善的公众介入机制。商业信誉越来越被重视，部分当事人和解要求不公开案件。调和和公开之间也将是公益诉讼未来研究领域之一。

建立完善的公益诉讼调解协议考察机制，监督调解协议的执行是维护公共利益和保障调解程序正当的需要。个人信息公益诉讼中，诉讼双方作出的调解协议是对诉讼利益的处分权，法定的起诉主体在调解过程和协议拟定需接受公众的监督。不能过多人知晓调解过程，但应公开协议内容并接受正当监督。社会公众需考察协议是否具有可执行性。个人信息关乎公众利益，其价值超乎人们意料，调解协议应恢复信息主体的个人权益，信息主体可以确认被告是否执行协议并查看是否恢复个人权益。

五、结语

个人信息保护备受关注，数字经济和商业追求提高信息价值，信息流动和保护平衡成为社会治理关键，对司法机制和监督执行机制全面完善。个人信息保护民事公益诉讼弥补司法救济不足，仍需加强调解和撤诉程序，从目前保护现状出发，厘清公益和私益关系，完善配套制度并探索实施权配置，优化民事公益诉讼进路机制，实现信息的有序流动。

The Dilemma and Improvement of Civil Public Interest Litigation System for Personal Information Protection

Li Nana Zhang Jian

Shanghai Institute of Political Science and Law， Shanghai

Abstract： With the application of Internet technologies in the digital economy， personal information protection faces increasing technical and human risks. This situation has triggered a tension between commercial interests and public attributes of personal information， and also led to the occurrence of large-scale information infringements. At present， Chinas personal information protection system is in the early stage of development， and there are deficiencies in regulation and practice. The article starts from the necessity of civil public interest litigation for personal information protection， analyzes the existing dilemma and explores suitable litigation mechanisms， and proposes solutions and paths to safeguard personal information security.

Key words： Personal information protection; Public interest litigation; Civil public interest litigation