论个人信息保护民事公益诉讼起诉主体的范围与顺位

杨雅妮

合格的起诉主体既是起诉行为能够发生预期法律效果的必要条件,又对司法救济的范围和结果有着决定性影响。在我国,最先探索提起个人信息保护民事公益诉讼的是消费者组织和人民检察院。2017年12月11日,江苏省消费者权益保护委员会就以保护众多消费者个人信息为目的,以北京百度网讯科技有限公司为被告,提起了我国首例个人信息保护民事公益诉讼①。与此同时,最高人民检察院也开始积极探索个人信息保护检察公益诉讼,在2020年9月出台的《关于积极稳妥拓展公益诉讼案件范围的指导意见》中,将个人信息保护纳入“等”外拓展领域,由检察机关提起的个人信息民事公益诉讼案件日益增多。2021年6月15日,《关于加强新时代检察机关法律监督工作的意见》再次强调,检察机关应将个人信息保护作为推进公益诉讼检察工作的重点领域②。以上探索既体现了党和国家对个人信息保护公益诉讼的高度重视,也为个人信息保护公益诉讼制度的构建提供了实践经验。

在学界,学者们则以《个人信息保护法》的制定为契机,主要从法理基础、必要性及可行性等方面对个人信息保护民事公益诉讼进行了讨论③。从已有的研究来看,专门针对起诉主体的成果并不多见,在较为有限的研究中④,争议主要集中在起诉主体的范围界定和起诉顺位两个方面。具体包括:一是应否赋予“履行个人信息保护职责的部门”起诉主体资格,二是应否将“法律规定的消费者组织”纳入该类诉讼的起诉主体范围,三是不同类型的起诉主体在具体行使民事公益诉权时是否有顺位要求。以上问题均属于个人信息保护民事公益诉讼制度实施过程中的关键性问题,亟须解决。

2021年11月1日实施的《个人信息保护法》第70条虽然对该类诉讼的起诉主体作了规定,但遗憾的是,从条文内容看,既未明确规定“由国家网信部门确定的组织”的范围,也未对不同类型起诉主体的诉权顺位作出具体安排。实践中,一方面,个人信息保护民事公益诉讼依然主要由检察机关提起,在起诉主体方面呈现出检察机关为主、消费者组织为辅的特征,“由国家网信部门确定的组织”之民事公益诉权尚未真正落实;另一方面,对于不同类型起诉主体的诉权顺位,各地司法机关仍认识不一,尤其是对于检察机关提起诉讼时应否履行诉前程序仍存在不同做法。通常情况下,检察机关在提起独立的个人信息保护民事公益诉讼时,会按照《民事诉讼法》第58条第2款以及相关司法解释的规定进行诉前公告,但在刑事诉讼中附带提起时,则未必能够按照要求履行诉前程序⑤。在这种背景下,为保障个人信息民事公益诉讼制度的正确实施,应通过对现行规范的教义性解释,以实现制度目的为根本目标,运用民事公益诉讼相关理论,对个人信息保护民事公益诉讼起诉主体的范围及诉权顺位进行研究。

一、个人信息保护民事公益诉讼起诉主体之教义性解释

(一)我国个人信息保护民事公益诉讼的起诉主体

我国现行立法在各个领域均否认了个人的民事公益诉权,这就意味着,只有超越直接利害关系的国家机关和法律规定的组织,才能成为个人信息保护民事公益诉讼合格的起诉主体。目前,在我国民事公益诉讼制度体系中,有些是以受侵害利益所涉“领域”(如生态环境、安全生产、文物保护等)为基础构建的,有些则是以受侵害对象的“身份”为基础构建的(如消费者、军人、英雄烈士、未成年人)。这种“纵横交错”的立法模式使得个人信息保护民事公益诉讼又可因受侵害对象是否具有特殊身份而被划分为两种类型⑥,与此相适应,该类诉讼的起诉主体在实际运行中也就呈现为以下两种具体样态。

1.普通主体个人信息权益受侵害时的起诉主体

在这类诉讼中,受侵害对象为普通公民,不具有消费者、军人、英雄烈士、未成年人等特殊身份。对此,应综合考虑《民事诉讼法》第58条对民事公益诉讼起诉主体的一般性规定和《个人信息保护法》第70条对个人信息民事公益诉讼起诉主体的专门性规定,将“法律规定的消费者组织”排除在该类诉讼的起诉主体范围之外,仅由人民检察院和由国家网信部门确定的组织行使民事公益诉权。

人民检察院是我国的法律监督机关,其不仅是社会公共利益的最佳代表者,而且拥有其他组织和个人难以企及的充裕资源和超强的诉讼能力。因此,赋予检察机关个人信息保护民事公益诉讼的起诉主体资格,既是保证其正确履行法律监督职责的需要,又是救济众多个人信息权益损害、维护社会公共利益的需要。前已述及,早在《个人信息保护法》实施之前,检察机关就将个人信息保护作为公益诉讼检察的新领域进行重点探索,并提起了一批个人信息保护民事公益诉讼案件,在众多个人信息权益保护方面成效显著。后来,在2021年11月1日实施的《个人信息保护法》第70条中,检察机关通过程序赋权中的法定诉讼担当获得民事公益诉权,成为该类诉讼的合格起诉主体。在这种背景下,检察机关就应以维护社会公共利益为己任,依照法律规定扮演好起诉主体角色,通过行使民事公益诉权实现对众多个人信息权益的保护。

由国家网信部门确定的组织是《个人信息保护法》第70条特别规定的一类起诉主体。之所以将此类主体纳入,主要是考虑到由其提起民事公益诉讼可以维护众多个人信息权益,“较之公权监管,其成本更低;较之私人维权,其更集中有力”[1],符合功能适当原则的基本要求。当前,立法已经对此类起诉主体作出了明确规定,在此情形下,为节约司法成本、提高诉讼效率,降低法院对原告资格的审查难度,国家网信部门应当积极行使确定权,及时向法院和其他相关部门公布组织名单并定期更新。但遗憾的是,由于国家网信部门至今并未列出一个具体名册,导致此类起诉主体的范围非常模糊,实践中,对于哪些组织能够成为合格的起诉主体,也没有具体的判断标准可供遵循。也正因如此,有些组织即使想提起诉讼,也往往会担心自己不具有原告资格而被驳回,由此类主体提起的个人信息保护民事公益诉讼比较罕见⑦。

2.特殊主体个人信息权益受侵害时的起诉主体

前已述及,当受侵害主体同时具有消费者、军人、英雄烈士、未成年人等特殊身份时,个人信息保护民事公益诉讼就会与消费者权益保护、军人权益保护、未成年人保护以及妇女权益保护民事公益诉讼等在范围上存在一些交叉、重叠地带。在这类针对特殊主体的个人信息保护民事公益诉讼中,对于起诉主体的确定就既要考虑到《民事诉讼法》第58条和《个人信息保护法》第70条的规定,也要考虑到《消费者权益保护法》《军人地位和权益保障法》《未成年人保护法》以及《妇女权益保护法》等其他立法的规定(如表1所示)。以未成年人保护民事公益诉讼为例,当涉及公共利益的未成年人个人信息权益受到侵害时,对于起诉主体的确定就需要考虑《未成年人保护法》第106条的特殊性规定⑧。

表1 其他立法对民事公益诉讼起诉主体的规定

值得注意的是,《个人信息保护法》第70条虽然赋予了“法律规定的消费者组织”起诉主体资格,但其民事公益诉权仅限于消费者权益保护领域。也就是说,当信息权益受到侵害的“众多个人”同时拥有消费者这类特殊身份时,“法律规定的消费者组织”才能作为合格的起诉主体提起诉讼。消费者组织虽然是我国实践中较早探索提起个人信息保护民事公益诉讼的主体,但对于应否赋予其起诉资格,在《个人信息保护法》制定过程中却存在争议较大,这从提交全国人大常委会审议的立法草案中就可以得到证实。在提交审议的《个人信息保护法(草案)》一审稿和《个人信息保护法(草案)》二审稿中,均未将消费者组织纳入起诉主体范围,但在最终审议通过的《个人信息保护法》第70条中,却赋予了“法律规定的消费者组织”民事公益诉权。之所以如此,主要是为了应对个人信息保护的“消费者化”[2]以及实现与消费民事公益诉讼制度的对接,当然也与消费者组织的职责及其在消费者个人信息权益保护方面的专业性与实践经验密不可分。需要注意的是,在理解此类起诉主体的范围时,应将“法律”限定为狭义的法律,在我国现行法律框架内,“法律规定的消费者组织”仅指《消费者权益保护法》第47条规定的“中国消费者协会以及在省、自治区、直辖市设立的消费者协会”。

(二)其他国家和地区个人信息保护民事公益诉讼的起诉主体

在其他国家和地区,基于个人信息侵害的大规模、分散性等特点以及私益救济的有限性,很多国家和地区都在个人信息保护领域创设了公益救济模式。尤其是在大陆法系国家和地区,几乎无一例外地赋予了符合条件的社团法人在众多个人信息受侵害时提起诉讼的权利。例如,欧盟《通用数据保护条例》(GDPR)第80条第2款就赋予了“依法设立的、以公共利益为法定目标并且活跃于保护数据主体权利与自由领域的非营利性机构、组织或协会”在不经数据主体代表(Representation of data subjects)授权的情况下,针对“数据控制者或数据处理者”提起诉讼的权利⑨。韩国《个人信息保护法》第51条也赋予了符合条件的“团体”以个人信息处理者为被告提起诉讼的权利⑩。根据该条规定,有资格提起诉讼的“团体”包括以下两类:一类是在公平交易委员会登记、以促进权利增进为目的、团体成员为1000名以上、登记时间超过3年的组织;另一类是最近三年以上有相应的活动实绩的、团体成员为5000名以上的、在中央行政机关登记的非营利民间团体。《瑞士数据保护条例》(DSG)也规定:数据处理行为侵害数据主体权益的,个人数据保护团体(既可以是专门的公权职能部门,也可以是保护个人信息的团体)可以不经单个数据主体的授权直接向法院提起诉讼主张防御型请求权。同时,该法在第34条第3款还要求该类团体的“章程规定和具体活动都须致力于数据保护”。除以上外,我国台湾地区的“个人资料保护法”也规定了团体诉讼制度以保护多数人个人信息,并赋予“符合一定条件的财团法人或公益社团法人”在经当事人“书面授予诉讼实施权”后有主张损害赔偿的权利。同时,根据其“个人资料保护法施行细则”第31条的规定,这类诉讼的主体范围非常广泛,几乎包括所有具备个人资料保护专业能力的社会团体[3]。

从上述做法来看,这些国家和地区主要依托传统的团体诉讼制度对众多个人信息权益进行保护,并赋予了符合条件的社团法人提起诉讼的权利。通过归纳对比发现,不同国家和地区的立法几乎都从社团目的、设立时间、社员人数等方面对社团法人的起诉资格提出了要求。据此,要成为该类诉讼的合格起诉主体,通常应具备以下三个条件:一是公益性,即从设立目的来看,该类社团法人不以营利为追求,在设立之初就具有维护公共利益的法定目标。二是专业性。对此,其他国家和地区的立法主要从设立时间、规模人数以及活动内容等方面对该类起诉主体进行限定,规定其必须长期从事个人信息保护公益活动且拥有相当数量的专业人才,有能力通过提起诉讼的方式维护众多个人信息权益。三是合法性,即要求该类社团法人具有合法开展公益活动的主体身份,要么是依法设立的,要么是由有权主体依照法律规定确定的,该项要求能够确保起诉主体身份的合法性。

二、个人信息保护民事公益诉讼起诉主体范围之反思

早在《个人信息保护法》实施之前,就有学者基于我国个人信息保护民事公益诉讼的实践以及网络环境下个人信息侵害的特殊性,主张应适度扩大该类诉讼的起诉主体范围,并“赋予网络运营者以原告资格”[4]。后来,考虑到网络运营者的营利性特征以及对赋予其原告资格可能带来的滥诉担忧,最终通过的《个人信息保护法》第70条并未将网络运营者纳入该类诉讼的起诉主体范围。前已述及,即使在《个人信息保护法》实施之后,理论界和实务界仍对如何理解该类诉讼的起诉主体范围存在争议。基于此,本部分将以学界争议较大的“履行个人信息保护职责的部门”“法律规定的消费者组织”以及“由国家网信部门确定的组织”为分析对象,对该类诉讼的起诉主体范围进行反思。

(一)“履行个人信息保护职责的部门”主体资格之否定

对于应否赋予“履行个人信息保护职责的部门”起诉主体资格,在《个人信息保护法》制定过程中,学界曾进行过热烈讨论,立法者的认识也存在较大分歧。在2020年10月21日提交审议的《个人信息保护法(草案)》一审稿第66条和2021年4月29日提交审议的《个人信息保护法(草案)》二审稿第69条中,虽然条文序号有所不同,但均赋予了“履行个人信息保护职责的部门”提起个人信息保护民事公益诉讼的资格。与此同时,有学者也以《个人信息保护法(草案)》的内容为依据,认为有权提起该类诉讼的主体“是检察机关、履行个人信息保护的行政机关及法定组织”[5]。但在最终通过的《个人信息保护法》第70条中,并未将“履行个人信息保护职责的部门”纳入该类诉讼的起诉主体范围。

上述争议背后的实质性问题是如何看待行政执法与司法救济的关系。对此,学界普遍认为,首先,与司法救济相比,行政权的公益性、强制性、高效性、广泛性决定了行政执法更能及时、有效地遏制个人信息处理者对众多个人信息权益的侵害。也就是说,只要享有行政执法权的部门能够充分行使好行政权力,众多个人的信息权益就能得到有效维护,其当然也就不具有提起民事公益诉讼的必要性,不应赋予其民事公益诉权。其次,在我国,“履行个人信息保护职责的部门”往往既是拥有行政权力的个人信息管理者,又是社会公共利益的代表者,这种双重角色使得一旦赋予其民事公益诉讼主体资格,不仅“难免有叠床架屋之嫌,还会造成行政资源的浪费”[6]。再次,对于“履行个人信息保护职责的部门”而言,通过行使行政执法权(如罚款等)就能履行好保护众多个人信息安全的职责,如果再赋予其起诉主体资格,使其能够较为便利地启动公益诉讼程序,不仅容易助长其执法“惰性”,还会导致行政机关的角色错位。最后,从我国民事公益诉讼立法来看,将行政机关排除在起诉主体范围之外也是惯常做法。《民事诉讼法》第58条第1款虽然原则性赋予了“法律规定的机关”民事公益诉权,但目前公认的唯一通过法律授权获得原告资格的只有《海洋环境保护法》第89条第2款规定的“行使海洋环境监督管理权的部门”。除此之外,在《消费者权益保护法》《英雄烈士保护法》《环境保护法》《未成年人保护法》《安全生产法》《军人地位和权益保障法》等立法中,均未赋予行政机关民事公益诉权,可见,否定“履行个人信息保护职责的部门”的起诉主体资格,也与我国已有立法的精神相吻合。

现阶段,我国在个人信息保护方面已经形成了“网信部门统筹协调+有关部门各自监管”的模式,除国家网信部门外,个人信息权益保护职责分散在中央政府部门(工信部、公安部、交通运输部、市场监管总局等)、专业监管机关(银保监会、国家卫健委、中国人民银行等)以及网络、工信、金融、教育、医疗卫生、不动产登记等领域的监管部门[7]。虽然有学者提出应新设“全国数据保护委员会”,并赋予其“提起公益诉讼等权限”[8],但仔细分析发现,在我国“设立独立的数据保护机构不具有必要性”[9],既不符合我国政治、经济、文化等制度发展的现实情况,也与《数据安全法》《个人信息保护法》中所确立的个人信息保护模式不符。

在这种背景下,应以现行立法所确立的个人信息保护模式为依据,打破“九龙治水”条块分割的混乱局面,加强执法协作,杜绝差异化与选择性执法,继续构建和完善具有中国特色的“1+X”个人信息保护机构体系,在国家网信部门与其他负有个人信息保护职责的部门之间形成有效的协同配合监管体系[10]。作为“负有个人信息保护职责的部门”,应当在个人信息保护领域行使好行政执法权,而不是一遇到问题就去向司法机关寻求救济。当然,虽然“履行个人信息保护职责的部门”不能作为起诉主体提起诉讼,但其并不是在公益维护方面无可作为,如果其他起诉主体打算或者已经提起诉讼,其可以通过支持起诉制度,为人民检察院、相关社会组织等起诉主体维护社会公共利益助力。

(二)“法律规定的消费者组织”之扩张

根据现行立法,此类起诉主体的民事公益诉权既要受到违法行为所涉领域的限制,又要受到起诉主体的级别限制。一方面,从违法行为所涉领域来看,由于消费者组织的职责和活动目的均在于保护消费者的合法权益,因此,此类主体“仅能就与市场活动和消费行为相关的损害个人信息的行为提起公益诉讼”[2],对于消费领域以外的众多个人信息权益侵害,其并不享有起诉主体资格。另一方面,从起诉主体的级别来看,有权提起诉讼的消费者组织仅限于中国消费者协会以及省、自治区、直辖市一级的消费者协会,其他级别的消费者协会并未被赋予起诉资格。

这种双重限制所导致的结果就是,自消费者协会被赋予民事公益诉讼原告资格以来,由其提起的个人信息保护民事公益诉讼可谓是“屈指可数”,消费者组织在众多消费者个人信息保护方面的功能受到明显制约。为了解近年来消费者协会提起诉讼的情况,笔者以“个人信息”为关键词并包含“民事公益诉讼”,将审级限定为一审程序,将文书类型限定为判决书、裁定书和调解书,在威科先行·法律数据库进行了检索,截至2022年9月25日共检索到288个案件,去除重复案例和无关案例后,得到有效样本193个。在193个案件中,由检察机关作为起诉主体的案件有188件,由法律规定的消费者组织作为起诉主体的案件有5件(如图1所示)。

图1 样本数据中个人信息保护民事公益诉讼的起诉主体

基于此,要有效激活消费者组织的公益维护功能,使其真正成为众多消费者个人信息权益的“保护神”,应从范围和级别两个方面适当放宽对消费者组织的条件要求。其实,自消费民事公益诉讼制度建立以来,有学者就对其起诉主体范围进行研究,并认为其适格原告范围过于狭隘,应进一步放宽。虽然这些探索不是专门针对个人信息保护的,但能够为研究消费者个人信息保护民事公益诉讼起诉主体提供参考。在这种背景下,一方面,可以通过法律授权的方式赋予其他依法成立的消费者组织民事公益诉权。在我国,其他依法成立的消费者组织(如中国保护消费者基金会、南方食品质量检验检测中心等)主要是指除消费者协会以外的,“由消费者依法成立的旨在维护自身合法权益的社会团体”。根据《消费者权益保护法》第36条的规定,与消费者协会一样,这类组织也具有保护消费者合法权益的职能,因此,将其纳入起诉主体范围既是保护众多消费者个人信息权益的需要,又能助推社会力量更深入地参与社会治理。值得关注的是,现阶段,已经有地方立法明确承认了“法规规定的组织”的民事公益诉权,对有权提起诉讼的消费者组织范围进行了拓展。例如,2022年1月1日实施的《深圳经济特区数据条例》第98条第1款就将有权提起公益诉讼的主体规定为“法律、法规规定的组织”,其范围明显大于《民事诉讼法》第58条第1款中的“法律规定的组织”。另一方面,现行立法将有权提起诉讼的消费者协会限定为省级以上的做法“显然过于严格”[11],可以通过对《消费者权益保护法》第47条的修改,取消对消费者协会的“级别”要求,将其他级别的消费者协会纳入起诉主体范围。该观点也得到了学界的认同,如有学者就认为,在众多金融消费者个人信息权益受侵害时,“应该允许各级消费者权益保护委员会”[12]提起民事公益诉讼。

(三)“由国家网信部门确定的组织”之明确

要明确此类起诉主体,需要解决“谁确定”和“确定谁”两个关键性问题:一是谁来行使确定权?主要体现为应否保留国家网信部门对此类起诉主体的确定权以及如何理解国家网信部门的范围?二是国家网信部门在行使确定权时,应考虑哪些因素?即应将什么样的组织纳入该类诉讼的起诉主体范围?上述问题,均是个人信息保护民事公益诉讼实践中亟须解决的问题,如果不加以明确,势必会导致起诉主体范围模糊,不仅会给司法实践增加操作难度,而且会进一步加剧司法的不规范现象。

针对第一个问题,学界虽展开了一定讨论,但认识并不一致。有学者认为,为调动社会组织保护众多个人信息权益的积极性,应“取消国家网信部门对提起民事公益诉讼的主体的确定权”[13],让更多的组织能够以适格原告的身份提起诉讼;有学者则认为,应继续保留国家网信部门确定权,并将其扩大解释为“省级以上”的网信部门,由“省级以上的网信部门”及时向社会公布享有民事公益诉权的组织名单[6]。上述争议背后的实质是,应否通过国家网信部门行使确定权的方式对此类起诉主体的范围进行限制?对此,笔者认为,既然《个人信息保护法》第70条已经规定了国家网信部门对此类起诉主体的确定权,就应以现行法律为依据,由国家网信部门依法行使确定权,制定具体的确定标准,并定期公布和更新组织名单。至于国家网信部门的范围,应在充分考虑众多个人信息侵害的广泛性和跨区域性基础上,对其进行严格限定,即“仅指中华人民共和国国家互联网信息办公室”[14]。

针对第二个问题,学界主要从类型和条件两个层面对能够被国家网信部门确定为起诉主体的组织进行了思考。关于“类型”,学界主要形成了两种观点:一种观点认为,该类组织包括以个人信息保护为目的的专业组织、行业组织、其他消费者组织以及第三方机构等[15];另一种观点则认为,该类组织仅包括专门成立的个人信息保护组织、行业组织及第三方机构等[2],不包括其他消费者组织。上述观点的差异在于,其他消费者组织能否通过国家网信部门的确定而成为合格的起诉主体。“关于”条件,多数学者都认为,考虑到诉讼目的的公益性、案件类型的专业性以及权利来源的正当性,该类组织应具备非营利性、专业性、合法性等基本特征[6]。还有学者以《环境保护法》第58条为参照,认为要能够被国家网信部门确定为起诉主体,还应同时满足登记机关为设区的市级以上民政部门、从事个人信息保护公益活动满5年且无违法记录等条件。

以上争议实质上反映的是国家网信部门在确定该类起诉主体时的两种不同倾向——“限制”还是“放宽”?有学者从避免多种组织同时起诉和节约司法资源的角度出发,认为应当对相关组织范围进行必要限制。对此,笔者并不认同。从我国的司法经验看,虽然2012年《民事诉讼法》就已经赋予社会组织民事公益诉权,但多年来,其提起公益诉讼的意愿一直不够强烈,这可以从已公开数据中得到证实。以环境民事公益诉讼为例,在全国法院近年来审结的案件中,由社会组织提起的案件(含刑事附带民事公益诉讼案件)一直占比很低,分别为:2018年16件、2019年58件;2020年103件。除以上外,最高人民法院的统计数据也显示,自2015年1月至2019年12月,在全国法院审理的环境民事公益诉讼案件中,由社会组织提起的仅为330件[16]。根据上述数据可以预见,即使未来放宽对该类组织的类型和条件要求,并不会产生多个组织同时提起诉讼以及因起诉主体滥用诉权而浪费司法资源的现象。相反,对适格原告范围的扩张将有助于拓宽个人信息公益司法救济的“入口”,在根本上有利于实现诉讼目的。

基于上述分析,为充分发挥社会组织维护众多个人信息的功能,应从类型和条件两个方面适当放宽对该类起诉主体的要求。一方面,考虑到现行立法对“法律规定的消费者组织”范围的规定以及消费者个人信息受侵害严重的客观实际,在《消费者权益保护法》未赋予“其他消费者组织”民事公益诉权的前提下,可由国家网信部门通过行使确定权的方式将其纳入起诉主体范围。另一方面,为保证尽可能多的组织能够获得起诉主体资格,应“考虑在实定法上降低这类组织获得诉权的门槛条件”[15]。对此,应仅从活动目的和专业性方面从宽把握即可,不再对登记机关的级别和成立年限方面作具体要求。这是因为,登记机关的级别并不能保证该类组织在个人信息保护方面的专业性,成立年限也与组织的业务能力强弱没有必然联系。

三、个人信息保护民事公益诉讼起诉主体诉权顺位之厘清

(一)学界对起诉主体诉权顺位的争论

对于不同类型起诉主体的诉权顺位,学界一直存在争议,主要形成了“等位说”和“差位说”两种观点。“等位说”的主张者从诉讼信托理论出发,认为立法规定的不同起诉主体都代表公共利益,在具体行使诉权时“无须礼让,先诉者优先即可”[17]。“差位说”的主张者则认为,不同主体所享有的民事公益诉权是存在先后次序的,起诉主体不同,其所享有的诉权顺位也存在差异,但究竟应遵循何种顺序,学者之间又存在不同认识。有学者认为,与《民事诉讼法》第58条的规定有所不同,在个人信息保护民事公益诉讼中,“诉权主体顺位是检察机关——消费者组织——有关组织”;有学者则认为,只有在“法律规定的机关和有关组织”不提起诉讼时,检察机关才可以提起诉讼,检察机关的民事公益诉权“居于第二顺位”[18];还有学者认为,考虑到个人信息侵权的隐蔽化、技术化等特殊属性,应在赋予行政机关民事公益诉权之后,“遵循‘行政部门/法定组织——检察机关’的起诉顺位”[5]。

(二)厘清起诉主体诉权顺位应遵循的思路

以上争议,反映出当前学界对于《个人信息保护法》第70条与《民事诉讼法》第58条关系的认识是存在分歧的。也就是说,在个人信息民事公益诉讼中,起诉主体行使诉权时应否受制于《民事诉讼法》第58条规定的诉权顺位,学者之间存在不同观点。有学者认为,在确定起诉主体的诉权顺位时,根据“新法优于旧法、特别法优于一般法”的原则,在该类诉讼中,应优先适用《个人信息保护法》第70条的规定。对此,笔者并不认同。理由在于,《个人信息保护法》第70条并未对不同起诉主体的诉权顺位作出特殊安排,在这种情况下,既然《民事诉讼法》第58条第2款已经对“法律规定的机关和有关组织”与人民检察院的诉权顺位作了规定,就应当以此为根据,将《民事诉讼法》第58条第2款规定的诉权顺位落实到个人信息保护民事公益诉讼之中。

至于有学者所认为的“《个人信息保护法》将人民检察院列于其他公益诉讼主体之前,与法律规定的消费者组织和由国家网信部门确定的组织同处于第一顺位”[19]的观点,既缺乏具体依据,也与我国现行立法和司法实践不符。首先,从《个人信息保护法》第70条的内容来看,其主要是对起诉主体范围的规定,并未涉及对不同起诉主体诉权顺位的安排,因此,无法从《个人信息保护法》第70条的语义推断出不同起诉主体“同处于第一顺位”的结论。其次,在地方立法层面,《深圳经济特区数据条例》第98条第2款已将“法律、法规规定的组织”的民事公益诉权置于检察机关之前,再次彰显了检察机关的民事公益诉权的补充性特征,因此,认为不同主体“同处于第一顺位”的观点也不符合地方立法的规定。最后,自检察公益诉讼试点开始,不论是“试点”期间出台的司法文件,还是“入法”之后出台的司法解释,都将履行诉前程序作为检察机关提起诉讼的前置性条件,因此,认为不同主体“同处于第一顺位”的观点也不符合我国的司法惯例。由此可见,在个人信息保护民事公益诉讼中,将检察机关的诉权置于补充顺位既体现了检察机关民事公益诉权的特殊性,也符合我国立法和司法惯例,应当予以遵循。不仅如此,这种顺位安排还“能督促负有监管职能的行政机关和有关组织切实履行职责”[20],更有利于激发其在个人信息保护方面的能动性。

(三)不同类型起诉主体诉权顺位之确定

遵循以上思路,在个人信息保护民事公益诉讼中,应综合考虑现行立法及相关司法解释的相关规定,对不同类型起诉主体的诉权顺位作出如下安排。

一是“法律规定的消费者组织”的诉权优先于检察机关。对于这两类起诉主体的诉权顺位,《民事诉讼法》第58条第2款已经作出了明确规定,以此为据,检察机关在消费者个人信息保护领域提起诉讼时,应当先依法履行诉前程序,只有在符合条件的消费者协会不提起诉讼时,检察机关才能提起。这种诉权顺位安排符合我国立法对检察机关民事公益诉权的定位,既能够有效发挥“法律规定的消费者组织”的公益维护功能,也有利于维持“两造对立”的民事诉讼基本结构。

二是“由国家网信部门确定的组织”的诉权优先于检察机关。对于这两类起诉主体的诉权顺位,《个人信息保护法》第70条没有作出明确规定。前文已经述及,能够被国家网信部门确定为起诉主体的组织不仅具有“非官方性”的特征,而且在范围上非常广泛,几乎涵盖了所有具有个人信息保护功能的公益性组织。在这种背景下,将该类组织的诉权置于检察机关之前,同样有利于调动社会力量在保护众多个人信息方面的积极性,实现利用社会力量实现公益维护之目的。

三是“法律规定的消费者组织”的诉权优先于“由国家网信部门确定的组织”。这种情况主要发生在众多消费者个人信息保护领域。根据现行立法,当个人信息处理者违法处理众多消费者个人信息、造成社会公共利益损害时,既可由“法律规定的消费者组织”依据《消费者权益保护法》第47条的规定提起消费民事公益诉讼,也可由“国家网信部门确定的组织”依据《个人信息保护法》第70条的规定提起个人信息保护民事公益诉讼。这就会在实践中出现“法律规定的消费者组织”与“国家网信部门确定的组织”的诉权顺位选择问题,也就是说,当众多消费者的个人信息权益受到侵害时,究竟应当由哪个主体优先行使起诉权?迄今为止,我国立法并未对这两类起诉主体的诉权顺位作出安排,实践中也存在不同做法,需要在正确认识两类诉讼关系的基础上进一步研究。笔者认为,从受侵害对象来看,相对于普通公民而言,消费者显然属于特殊主体,因此,应将针对众多消费者个人信息侵害提起的民事公益诉讼视为个人信息保护民事公益诉讼的一种特殊类型。当个人信息处理者的违法行为侵害众多消费者个人信息权益时,应由在消费者权益保护领域更为专业的消费者组织优先行使民事公益诉权,这样更有利于维护众多消费者的个人信息权益。只有在消费者组织明确表示不提起诉讼时,“由国家网信部门确定的组织”才能行使民事公益诉权。

此外,在我国现行法律框架内,还可能出现侵害众多军人、众多未成年人以及众多妇女个人信息权益的情形,对此,也应参考消费者个人信息保护领域的做法,将这些针对特殊主体的个人信息保护民事公益诉讼视为个人信息保护民事公益诉讼的特殊类型,以《军人地位和权益保障法》《未成年人保护法》以及《妇女权益保障法》等立法为依据,将民事公益诉权优先配置给这些立法所规定的起诉主体。

结 语

《个人信息保护法》第70条虽然规定了个人信息保护民事公益诉讼制度,但迄今为止,在该类诉讼运行的过程中,起诉主体范围不明以及诉权顺位不清等问题依然存在,给司法的规范性和统一性造成了严重影响。笔者认为,在起诉主体范围方面,应否定“履行个人信息保护职责的部门”的主体资格,放宽对“法律规定的消费者组织”的要求,明确“由国家网信部门确定的组织”的类型与条件。在诉权顺位方面,当受侵害对象为普通公民时,尊重检察机关民事公益诉权的补充性,将“国家网信部门确定的组织”的起诉顺位置于检察机关之前;当受侵害对象为众多消费者时,考虑到其特殊身份,应依次由“法律规定的消费者组织”“由网信部门确定的组织”和检察机关行使起诉权。

注释

①值得注意的是,该案虽被法院受理,但在立案之后,由于百度公司积极进行了整改,最终以原告撤诉而结案。详见江苏省南京市中级人民法院(2018)苏01民初1号民事裁定书。②该意见要求要“积极稳妥推进公益诉讼检察”,“探索办理安全生产、公共卫生、妇女及残疾人权益保护、个人信息保护、文物和文化遗产保护等领域公益损害案件,总结实践经验,完善相关立法”。③参见林琳:《儿童个人信息网络保护的司法路径——以公益诉讼为视角》,《法律适用》2022年第4期;薛天涵:《个人信息保护公益诉讼制度的法理展开》,《法律适用》2021年第8期;洪浩、赵祖斌:《个人信息保护中检察公益诉权配置的根据》,《内蒙古社会科学》2020年第6期;邵俊:《个人信息的检察公益诉讼保护路径研究》,《法治研究》2021年第5期;陈奇伟、聂琳峰:《个人信息公益诉讼:生成机理、适用困境与路径优化——基于203份裁判文书的实证分析》,《南昌大学学报》(人文社会科学版)2022年第3期。④参见蒋都都、杨解君:《大数据时代的信息公益诉讼探讨——以公众的个人信息保护为聚焦》,《广西社会科学》2019年第5期;张陈果:《个人信息保护民事公益诉讼的程序逻辑与规范解释——兼论个人信息保护的“消费者化”》,《国家检察官学院学报》2021年第6期。⑤对此,有学者通过对192件民事诉讼样本的分析发现,在其中181件刑事附带民事公益诉讼案件中,有101件检察机关发布了诉前公告;普通民事公益诉讼共11件,有9件由检察机关调查并发布了诉前公告,有1件直接由消费者组织起诉。综合来看,除消费者组织直接起诉的1例无须额外公告外,192件案例中仅有110件履行了法定程序(占57．29%),所占比例明显偏低。参见陈奇伟、聂琳峰:《个人信息公益诉讼:生成机理、适用困境与路径优化——基于203份裁判文书的实证分析》,《南昌大学学报》(人文社会科学版)2022年第3期。⑥即普通主体个人信息保护民事公益诉讼和特殊主体个人信息保护民事公益诉讼。⑦对此,有学者做过统计,在203件案例中,198件由检察机关提起,5件由消费者组织提起,由网信部门确定的组织则从未提起过。参见陈奇伟、聂琳峰:《个人信息公益诉讼:生成机理、适用困境与路径优化——基于203份裁判文书的实证分析》,《南昌大学学报》(人文社会科学版)2022年第3期。⑧《未成年人保护法》第106条规定:“未成年人合法权益受到侵犯,相关组织和个人未代为提起诉讼的,人民检察院可以督促、支持其提起诉讼;涉及公共利益的,人民检察院有权提起公益诉讼。”⑨《通用数据保护条例》(GDPR)第80条第2款规定:“成员国可以规定,本条第1款规定的机构、组织或协会如果认为数据主体基于本条例而享有的权利因为个人数据处理行为而遭受侵害的,其有权不经数据主体授权依照第77条规定向该成员国有权监管机构提出投诉,并且行使第78、79条所赋予的权利。”⑩韩国《个人信息保护法》第51条规定:“属于下列各项的团体,在个人信息处理者拒绝进行集团纷争调解或不认可集团纷争调解结果的情形下,可以向法院提出请求禁止或停止权利侵害的诉讼。”分别见《瑞士数据保护条例》(DSG)第3条第e项、第34条第3款,参见立法意见报告书“Normkonzept zur Revion des Datenschutzgesetes”,https://perma.cc/D85H-TAKF,最后访问时间:2018-07-03。我国台湾地区“个人资料保护法”第34条规定:“对于同一原因事实造成多数当事人权利受侵害之事件,财团法人或公益社团法人经受有损害之当事人二十人以上以书面授与诉讼实施权者,得以自己之名义,提起损害赔偿诉讼。当事人得于言词辩论终结前以书面撤回诉讼实施权之授与,并通知法院。”根据台湾地区“个人资料保护法施行细则”第31条的规定,公益团体“指依民法或其他法律设立并具备个人资料保护专业能力之公益社团法人、财团法人及行政法人”。该条与《个人信息保护法(草案)》一审稿第66条的内容完全一致,根据该条规定:“个人信息处理者违反本法规定处理个人信息,侵害众多个人的权益的,人民检察院、履行个人信息保护职责的部门和国家网信部门确定的组织可以依法向人民法院提起诉讼。”参见余彦:《驱动视角下消费民事公益诉讼的主体安排及其激励机制》,《江西师范大学学报》(哲学社会科学版)2018年第5期;廖建求:《消费公益诉讼激励机制研究——基于外部性的理论视角》,《学习与实践》2017年第11期;刘璐:《消费公益诉讼的法律构造》,《法学》2013年第7期。参见国家工商行政管理局条法司:《消费者保护法讲话》,新华出版社1993年版,第124页。《深圳经济特区数据条例》第98条第1款:“违反本条例规定处理数据,致使国家利益或者公共利益受到损害的,法律、法规规定的组织可以依法提起民事公益诉讼。法律、法规规定的组织提起民事公益诉讼,人民检察院认为有必要的,可以支持起诉。”参见张新宝、赖成宇:《个人信息保护公益诉讼制度的理解与适用》,《国家检察官学院学报》2021年第5期;陈奇伟、聂琳峰:《个人信息公益诉讼:生成机理、适用困境与路径优化——基于203份裁判文书的实证分析》,《南昌大学学报》(人文社会科学版)2022年第3期。数据来源:《中国环境资源审判(2017—2018)》。数据来源:《中国环境资源审判(2019)》。数据来源:《中国环境资源审判(2020)》。参见张陈果:《个人信息保护民事公益诉讼的程序逻辑与规范解释——兼论个人信息保护的“消费者化”》,《国家检察官学院学报》2021年第6期。张陈果:《个人信息保护救济机制的比较法分析与解释论展开》,《苏州大学学报》(法学版)2021年第4期。《深圳经济特区数据条例》第98条第2款:“法律、法规规定的组织未提起民事公益诉讼的,人民检察院可以依法提起民事公益诉讼。”根据《关于检察公益诉讼案件适用法律若干问题的解释》第13条和《人民检察院公益诉讼办案规则》第91条的规定,检察机关在提起民事公益诉讼前都必须履行诉前公告程序。