通过公益诉讼的个人信息司法保护

郭 兵

随着数字技术对人们日常生活的影响日益加深，个人信息安全所引发的社会问题也逐渐凸显。虽然我国个人信息保护的法律制度已逐步迈向体系化发展，个人信息私法保护与公法保护并行的法律体系已初步形成，但当前个人信息安全的形势依然相当严峻，个人信息泄露事件依然频繁发生。中国消费者协会于2018年7月至8月组织开展的“App个人信息泄露情况”问卷调查表明，85%的受访者遭遇移动互联网应用程序(App)个人信息泄露情况。(1)参见中国消费者协会：《App个人信息泄露情况调查报告》，载“中国消费者协会网”，最后访问日期：2022年6月30日。为了应对日益严重的个人信息安全风险，2019年1月起，中央网信办等四部门印发了《关于开展App违法违规收集使用个人信息专项治理的公告》，在全国范围组织开展App违法违规收集使用个人信息专项治理，并成立App违法违规收集使用个人信息专项治理工作组；
(2)参见App专项治理工作组：《App违法违规收集使用个人信息专项治理报告(2019)》，载“中华人民共和国国家互联网信息办公室网”，最后访问日期：2022年7月1日。各地也陆续启动了相应的个人信息专项治理工作。(3)例如，江苏网信办、江苏省公安厅、江苏省市场监管局、江苏省通信管理局等四部门于2020年5月联合发布了《关于开展App违法违规收集使用个人信息专项治理的公告》，全面启动江苏省App违法违规收集使用个人信息专项治理工作。浙江省互联网信息办公室、浙江省公安厅、浙江省市场监督管理局、浙江省通信管理局于2021年6月印发了《关于联合开展浙江省2021年度App违法违规收集使用个人信息专项治理的公告》，启动2021年度App违法违规收集使用个人信息专项治理工作。当前我国正在推动的强化监管措施与个人信息保护的国际趋势基本相符，不论是欧盟还是美国都采取了越来越严格的监管措施来应对个人信息安全风险。

随着大数据时代的到来，个人信息的开发利用已不可避免，用户也往往能从中获得一定的收益，个人信息的合理利用已不存在太大的理论障碍。正因个人信息具有公共性价值，越来越多的学者认为建立在个人主义观念下的个人信息个人控制论已经不能适应大数据时代个人信息利用的新环境和新方式，这也就意味着保护个人信息的责任主体应当由个人为主转向以社会为主。(4)参见高富平：《个人信息保护：从个人控制到社会控制》，载《法学研究》2018年第3期。持有类似观点的研究成果，参见吴伟光：《从隐私利益的产生和本质来理解中国隐私权制度的特殊性》，载《当代法学》2017年第4期；
丁晓东：《个人信息私法保护的困境与出路》，载《法学研究》2018年第6期。个人信息的社会控制手段当然可以通过强化行政监管来加以实现，但司法作为一种最后的保障手段也不应当缺席，其中公益诉讼作为最具代表性的社会控制手段更应该出场。在民法典确立了个人信息保护制度，且个人信息保护法正式实施之际，如何在现行司法制度中体系化地构建行之有效的个人信息司法保护制度将成为个人信息保护法等相关法律实施过程中无法回避的问题。

在我国个人信息保护法律体系逐步完善的过程中，如何通过有效的司法手段实现个人信息保护可以说是当前强监管背景下的一大难题。从我国司法实践来看，当前个人信息司法保护的现实困境主要体现为私益诉讼动力不足、刑事司法功能异化、群体性纠纷解决机制失灵等方面。

(一) 私益诉讼的动力不足

在网信办、工信部等主管部门的强监管之下，虽然包括许多知名平台在内的一大批互联网平台因个人信息违法违规被点名曝光，(5)近年来，工业和信息化部常态化发布“关于侵害用户权益行为的App通报”，截至2022年2月共计发布了21批通报，通报中所涉及的App绝大多数均存在个人信息违规问题。此外，国家互联网信息办公室、国家计算机病毒应急处理中心等部门也先后发布了多批违规违法个人信息情况。但从中也进一步反映出个人信息司法保护所存在的现实困境：一方面，公众在面对互联网平台频繁发生的侵害自身个人信息权益的行为时，并未表现出足够的司法维权意识；
(6)正因如此，通过民事诉讼维护个人信息(隐私)权益的案件往往容易成为媒体关注的新闻事件，进而受到社会广泛关注。例如“朱烨诉百度隐私侵权案”(该案被誉为我国Cookie隐私第一案)、“郭兵诉杭州野生动物世界服务合同纠纷案”(该案被誉为我国人脸识别第一案)等。另一方面，监管部门在处理个人信息违法违规行为时往往也会可能存在履职不及时不到位的情形，但真正因行政不作为而面临受司法审查的案件极少发生。(7)至今尚没有公民个人就监管部门查处个人信息违法或不作为而起诉相应监管部门的案例被公开报道过。当然，除了监管不作为外，行政机关在特定情况下作为个人信息处理者，同样可能会出现违法违规处理个人信息的情况。(8)据媒体报道，河北邢台一居民通过河北政务服务网12345平台举报邻居涉嫌非法开办幼儿园，之后他的个人信息被泄露给了被举报方并遭到被举报方的谩骂。参见刘琴：《河北市民举报违规托幼 强调保密却遭对方登门骚扰：是谁泄露了举报人的隐私信息？》，载《楚天都市报》2021年8月18日。事实上，类似发生在河北的行政机关违法违规处理个人信息的情况在实践中并不少见。然而，在实践中，因为行政机关侵害个人信息权益而引发的私益诉讼(包括民事诉讼和行政诉讼)案件也并不多见。

就此而言，不论是个人信息民事私益诉讼还是个人信息行政私益诉讼，均面临维权动力不足的现实困境。就个人信息民事私益诉讼而言，其动力不足有其深刻的时代背景，“随着互联网、大数据与信息技术的发展，当前民法体系中的隐私权保护机制难以应对信息社会中的新挑战，传统侵权法无法适应现代信息社会中的复杂风险”。(9)前引④，丁晓东文。由于个人信息权益受到侵害往往体现出大规模且分散性的小微侵害特点，(10)参见张新宝：《统一的个人信息保护法仍有必要》，载《南方都市报》2018年4月29日；
张怀岭：《损害类型化视角下证券群体性纠纷司法救济路径选择与规则反思》，载《甘肃政法大学学报》2021年第2期。从理性经济人的角度而言，普通受害者很难有直接的诉讼动力进行维权。就个人信息行政私益诉讼动力不足而言，长久以来我国权力型法观念下的“厌讼”等法律传统，(11)参见冯军：《法观念、社会治理与纠纷解决机制》，载《法治研究》2016年第6期。无疑是公众选择“民告官”司法救济时的重要影响因素。此外，个人信息保护的监管主体的不明确，(12)不论是网络安全法还是个人信息保护法，都只规定国家网信部门在个人信息保护方面的统筹协调监管职责，而电信主管部门、公安部门和其他有关部门依照本法和有关法律、行政法规的规定，在各自职责范围内负责个人信息保护和监督管理工作。参见《中华人民共和国网络安全法》第8条、《中华人民共和国个人信息保护法》第60条等规定。也会在一定程度上影响公众选择行政私益诉讼解决监管部门不作为等违法问题。正因如此，不论是民事私益诉讼还是行政私益诉讼都难以有效应对大数据时代个人信息大规模受侵害事件中公众维权带来的新挑战。

(二) 刑事司法的功能异化

由于私益诉讼对个人信息保护的有限作用而言，刑事司法在个人信息保护方面的作用就显得尤为突出：据最高人民检察院提供的统计数据，自2016年1月至2018年9月，检察机关起诉侵犯公民个人信息犯罪案件3719件共8719人；
(13)参见王春、董凡超：《第五届世界互联网大会检察分论坛举行 张军强调携手加强大数据时代个人信息司法保护》，载《法制日报》2018年11月9日。相对刑事案件数量而言，侵害个人信息权益的民事案件或许都不具有明显的数量优势，据一些学者通过公开裁判文书的检索梳理发现，截至2017年9月，个人信息相关民事案件总数还不超过千件。(14)据叶名怡教授通过“无讼”数据库的检索梳理，截至2017年9月(无起始时间)，涉及“个人信息”的民事判决书一共602份，其中属于“人格权纠纷”的只有212起，而“金融诈骗或盗窃纠纷”则高达306起。参见叶名怡：《个人信息的侵权法保护》，载《法学研究》2018年第4期。刑事司法的突出地位，与我国个人信息保护立法“刑法先行”的特点密不可分。相较于网络安全法(2016年通过)和民法典(2020年通过)对个人信息保护的专章规定，个人信息保护法(2021年通过)而言，早在2009年我国刑法修正案(七)就通过新增“出售、非法提供公民个人信息罪”和“非法获取公民个人信息罪”来强化对个人信息的刑法保护。为了应对日益严峻的个人信息安全风险，2015年刑法修正案(九)又统一确立了侵犯公民个人信息罪，最高人民法院、最高人民检察院于2017年出台了《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》，进一步拓展了个人信息刑事司法的适用范围。在统一的侵犯公民个人信息罪立法模式下，几乎所有侵犯公民个人信息的行为都可能面临刑事风险。(15)参见周汉华：《探索激励相容的个人数据治理之道——中国个人信息保护法的立法方向》，载《法学研究》2018年第2期。

“刑法先行”的个人信息保护模式在理论上和实践中均面临着争议，(16)早在2009年《中华人民共和国刑法修正案(七)》出台前后，出售、非法提供公民个人信息罪的犯罪主体范围等问题就曾引发争议，参见张磊：《司法实践中侵犯公民个人信息犯罪的疑难问题及其对策》，载《当代法学》2011年第1期。在2017年《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》出台后，对于司法实务中的“公民个人信息”的范围等问题，也仍然存在相对大的争议和问题。参见喻海松：《侵犯公民个人信息罪的司法适用态势与争议焦点探析》，载《法律适用》2018年第7期。侵犯公民个人信息罪的低门槛似乎也没有显著提升其社会威慑效果。(17)近年来，侵犯公民个人信息罪的案件数量虽然在不断攀升，但特大侵犯公民个人信息案件仍然屡见不鲜，相关案件的案涉个人信息数量级别从百万、千万到过亿。2017年，根据公安部统一部署，辽宁、北京、广东、湖南等地公安机关对一起特大侵犯公民个人信息案开展集中收网行动，查获涉及交通、物流、医疗、社交、银行等各类被窃公民个人信息20多亿条。参见《公安部指挥破获一特大侵犯公民个人信息案》，载“中华人民共和国公安部网”，最后访问日期：2022年5月30日。2020年，珠海警方侦破的一起特大侵犯公民个人信息案，累计查获涉及公民个人房产、车辆、公司法人、个人征信和贷款等信息数据10亿余条。参见林镇佳、方雪冰：《珠海侦破特大侵犯公民个人信息案》，载《南方法治报》2020年6月22日。侵犯公民个人信息罪作为行政犯，其前置法的范围在很大程度上决定了该罪构成要件的适用。(18)参见刘艳红、周佑勇：《行政刑法的一般理论》，北京大学出版社2020年版，第152页。虽然根据《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第2条的规定，“违反国家有关规定”一般指的是“违反法律、行政法规、部门规章有关公民个人信息保护的规定”；
然而，在民法典和个人信息保护法出台前的很长一段时期内，除了网络安全法之外，其他法律、行政法规、部门规章均较少涉及个人信息保护的相关规定，这就使得包括《信息安全技术个人信息安全规范》这样不具有直接法律效力的国家标准在内的大量规范性文件在某些案件中也扮演了“国家有关规定”的前置法角色。随着民法典、个人信息保护法等前置法的先后出台，侵犯公民个人信息罪具体认定的前置法更加明确，其“非法”性的形式构成要件也将更加容易判断，但除了已公开个人信息处理等少数情形下的刑事风险趋于弱化之外，(19)2021年民法典实施不久，一起出卖公开的企业信息谋利的案件被检察机关依据民法典认定不构成犯罪引发关注和讨论。参见金泽刚：《转卖天眼查公开的“个人信息”，算犯罪吗？》，载“澎湃网”，最后访问日期：2022年5月30日。当下打击侵犯公民个人信息犯罪呈扩大化趋势仍然很难从根本上扭转。(20)参见刘艳红：《网络爬虫行为的刑事规制研究——以侵犯公民个人信息犯罪为视角》，载《政治与法律》2019年第11期。

(三) 群体性纠纷解决机制失灵

我国现行群体性纠纷解决机制主要体现为民事诉讼法和行政诉讼法所确定的共同诉讼、代表人诉讼和公益诉讼。(21)参见民事诉讼法第55条(共同诉讼)、第56条和第57条(代表人诉讼)、第58条(公益诉讼)，行政诉讼法第27条(共同诉讼)、第28条(代表人诉讼)、第25条第3款(公益诉讼)。在我国诉讼法的框架下，共同诉讼和代表人诉讼在本质上仍然属于私益诉讼的范畴，个人信息权益受到侵害时大范围“理性漠视”的情况就在所难免，在个体维权都罕见的情况下，建立在个体维权基础上的共同诉讼、代表人诉讼也就无从谈起。近年来，借鉴域外集体诉讼制度对代表人诉讼制度进行改革的呼声日益高涨，集体诉讼的目的通常是寻求巨额赔偿，“依靠集团诉讼能使诉讼由经济的自灭行为变为经济的合理行为，由殉教者的英雄行为变为经济人的计划性活动”。(22)陈刚主编：《自律型社会与正义的综合体系》，陈刚等译，中国法制出版社2006年版，第166页。美国的集团诉讼作为个人信息群体性纠纷解决机制有着非常大的社会影响和现实效果。(23)国内媒体也经常报道美国个人信息泄露相关的集团诉讼案例，仅最近一年被广泛报道的影响性案件就至少包括“谷歌涉嫌侵犯隐私集体诉讼案”“万豪集团用户信息泄漏集体诉讼案”“美国四大运营商出售客户位置数据集体诉讼案”等。我国学界虽然早已对集体诉讼展开过深入研究，(24)参见庄淑珍、董天夫：《我国代表人诉讼制度与美国集团诉讼制度的比较研究》，载《法商研究》1996年第2期；
朱羿琨、陈楚钟：《集团诉讼与系统性偏袒之矫正——证券市场虚假陈述侵权案的博弈分析》，载《暨南学报》(哲学社会科学版)2005年第3期；
范愉：《集团诉讼问题研究——个比较法社会学的分析》，载《法制与社会发展》2006年第1期；
章武生：《论群体性纠纷的解决机制——美国集团诉讼的分析和借鉴》，载《中国法学》2007年第3期；
任自力：《美国证券集团诉讼变革透视》，载《环球法律评论》2007年第3期；
王福华：《集团诉讼存在的理由——关于普通法集体诉讼目的论的研究》，载《当代法学》2008年第6期等。但是这种诉讼机制一直未得到立法机关的明确认可。虽然2019年证券法修改增加代表人诉讼制度，(25)修改后的证券法第95条用了3款规定了代表人诉讼制度，第1款和第2款规定了普通代表人诉讼制度，第3款规定了特殊代表人诉讼制度。2020年最高人民法院出台的《关于证券纠纷代表人诉讼若干问题的规定》被视为“中国式”证券集体诉讼制度落地，但从我国个人信息保护法的规定来看，很难直接解读出“中国式”个人信息集体诉讼机制的规范基础。

在大规模侵害个人信息权益情形下，群体性的“理性漠视”不仅导致个体遭受损害的个人信息权益无法得到弥补，也使得侵权违法者的行为没有受到应有的“惩戒”，致使网络安全法、民法典、个人信息保护法等实体法规范的威慑与预防功能无法有效发挥。(26)参见前引⑩，张怀岭文。公益诉讼作为这一类损害的群体性纠纷解决机制有必要出场，以实现对公共利益的保护。欧盟的《一般数据保护条例》(GDPR)也确立了公益诉讼机制。(27)参见刘云：《欧洲个人信息保护法的发展历程及其改革创新》，载《暨南学报》(哲学社会科学版)2017年第2期。该条例第80条规定，欧盟各成员国的相关机构、组织或协会依照该国法律可以代表数据主体向监管部门或数据控制者及处理者主张合法权益，并在必要时提起诉讼(包括针对监管部门的诉讼和针对数据控制者、处理者的诉讼)。事实上，早在2014年10月，最高人民法院出台个人信息民事纠纷司法解释时，该司法解释的制定者就已清醒地意识到公益诉讼在有效化解此类纠纷中的重要作用。(28)最高人民法院民一庭负责人表示“针对非法收集、使用个人信息的行为，如果在立法上无集体诉讼制度、公益诉讼等制度的辅助，则实践中通过民事诉讼方式实现权益保护就比较困难”。参见罗书臻：《就〈关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定〉最高人民法院民一庭负责人答记者问》，载《人民法院报》2014年10月12日。而2015年2月，针对银行信用卡信息泄露事件，吕艳滨等学者就建议引入公益诉讼来解决个人信息泄露的群体性纠纷，并建议由各级消费者组织代表公众进行维权。(29)参见张枫逸：《保护个人信息可引入公益诉讼》，载《法制日报》2015年2月3日。另外，2015年5月，《检察日报》“议事厅”栏目针对多省份社保信息管理出现漏洞导致数千万用户信息遭泄露事件组织讨论时，也有专家表示探索建立检察机关提起行政公益诉讼制度是解决公民个人信息泄露问题的一把利器。(30)参见庞涛：《行政公益诉讼是把利器》，载《检察日报》2015年5月4日。从我国个人信息保护法第70条的规定来看，公益诉讼已然具备了规范基础，这也为化解我国个人信息群体性纠纷解决机制失灵指明了制度方向。

2017年12月，我国首例个人信息民事公益诉讼在江苏启动探索。此后，涉及个人信息保护的行政公益诉讼又先后在浙江宁波和浙江绍兴先后启动探索。个人信息公益诉讼一经问世便引发了社会广泛关注，更是引起了最高人民检察院的重视。(31)在2018年11月第五届世界互联网大会“大数据时代的个人信息保护”分论坛上，最高人民检察院检察长张军对个人信息公益诉讼的实践探索表示肯定，将“探索对侵害众多公民个人信息权的行为，以及相关行政机关违法行使职权或者不作为致使众多公民个人信息被侵害的”的公益诉讼作为促进个人信息全方位司法保护的重要工作方向。参见张军：《中国检察机关在依法惩治侵犯公民个人信息犯罪、加强个人信息司法保护上做了五方面工作》，载“中华人民共和国最高人民检察院网”，最后访问日期：2020年8月14日。2019年上半年，上海市全面启动了针对App的个人信息公益诉讼实践。此后，个人信息公益诉讼在我国各地陆续启动。

(一) 个人信息民事公益诉讼的实践探索

2017年7月，江苏省消费者权益保护委员会(当时为江苏省消费者协会)结合手机应用市场上侵犯消费者个人信息的情况，对27家行业代表性的手机App所属企业进行了调查和约谈。之后，大部分企业都按时提交了实质性整改方案。然而，百度公司在江苏省消费者权益保护委员会(以下简称为“江苏省消保委”)的多次催促、公开监督下，一直未就其旗下的“手机百度”“百度浏览器”两款手机App进行实质性整改。(32)相关情况，参见陈卓：《江苏省消保委对百度提起公益诉讼获立案：涉违法获取个人信息》，载“澎湃网”，最后访问日期：2020年8月14日。2017年12月，江苏省消保委依据消费者权益保护法等法律就百度公司涉嫌违法获取消费者个人信息向南京市中级人民法院提起消费民事公益诉讼。2018年1月，该案获得法院正式立案。法院立案后，百度公司积极主动与江苏省消保委交流沟通涉案违规App的实质性整改问题，并于2018年2月更新上线了整改后的新版App。江苏省消保委经实测，确认涉案App的违规问题已整改到位。江苏消保委认为提起消费民事公益诉讼的目的已经达到，本着节约诉讼成本和司法资源的原则，依法向法院提出撤诉申请。2018年3月，南京市中级人民法院裁定准予江苏省消保委撤回起诉。

“江苏省消保委诉百度公司违法获取消费者个人信息案”虽然以撤诉告终，但该案作为我国首例个人信息安全消费者民事公益诉讼案，具有重要的社会意义和制度指引作用。(33)江苏省消保委将该案的社会现实意义概括为四个方面：一是切实维护了消费者的个人信息安全，二是唤醒消费者的自我保护意识，三是营造安全的网络消费环境，四是积极推动保护个人信息专门立法。参见袁传敏、邹伟：《全国首例个人信息安全消费民事公益诉讼效果显著》，载“南报网”，最后访问日期：2020年8月14日。江苏省消保委通过这起民事公益诉讼维护的不仅是江苏省范围内众多消费者的合法权益，全国范围的用户也因该案百度公司优化涉案手机App而避免个人信息被违法获取的侵权风险。从该案的整个过程(具体包括启动调查、约谈、整改、测评等)来看，也为未来检察机关或者其他社会组织启动个人信息民事公益诉讼的诉前程序提供了一定的制度指引。另外，包括手机App在内的互联网平台所涉及的用户已很难受到地域性限制，在这样的时代背景下，提起个人信息公益诉讼的组织也不应受到地域限制。遗憾的是，由于该案并未进入法院的正式审理程序，并无法院的正式裁判，故更为完整的个人信息民事公益诉讼制度经验尚无法通过该案来加以积累。

(二) 个人信息行政公益诉讼的实践探索

1. 独立启动模式

2018年5月，宁波市海曙区人民检察院为了应对广告推销电话扰民的问题，委托第三方机构就广告推销电话对公众的骚扰程度开展问卷调查。同时，该院还向海曙区400余名人大代表、政协委员展开实名问卷调查。第三方机构的调查结果显示，平均90%的受访者认为广告推销电话已成为“骚扰电话”，对正常生活和工作产生较大或很大影响，希望行政管理部门加强监管。这一结果与海曙区检察院向区人大代表和政协委员反馈的结果一致。在对骚扰电话背后利益链进行调查取证，确认宁波市通信管理局具有监管职责，在征求了专家学者意见并向市委市人大进行专题报告后，于2018年7月向宁波市通信管理局发出检察建议，督促其依法履行监管职责。(34)参见闫晶晶、戴佳：《检察机关将积极审慎探索公益诉讼新领域》，载《检察日报》2018年12月26日。2018年7月底，宁波市通信管理局、浙江省通信管理局及三大运营商宁波分公司的相关负责人到海曙区检察院，就检察建议作了回复。宁波市通信管理局通过专项整改加强了对“骚扰电话”进行整治，三大运营商宁波分公司也根据各自的业务情况进行了相应整改。2018年11月，海曙区检察院再次委托第三方机构对骚扰电话治理情况进行社会调查，结果显示81.1%的受访者对治理效果表示满意。

海曙区检察院“骚扰电话”整治公益诉讼案受到了各大媒体的广泛关注，也赢得了广大网民的一致好评。2018年11月，浙江省人民检察院检察长贾宇在第五届世界互联网大会“大数据时代的个人信息保护”分论坛将该案作为个人信息保护的“盆景”式实践样本进行推介。(35)参见燕帅、赵光霞、宋心蕊：《贾宇：大数据时代个人信息的司法保护与立法完善》，载“人民网”，最后访问日期：2020年8月13日。2018年12月，该案又被列入最高人民检察院“检察公益诉讼十大典型案例”。作为“诉前程序典型案例”，最高人民检察院认为在该案中海曙区检察院的诉前检察建议程序“立足检察职能，针对侵害不特定对象工作和生活环境的行为，积极探索开展公益诉讼工作，切实维护公共利益，符合公益诉讼的立法规定，也是检察机关的应尽职责”。

2. 附带启动模式

2018年底，陈某、杨某、骆某三人因泄露房地产开发及装修装饰领域个人信息，而被诸暨市法院以侵犯公民个人信息罪判处刑罚。诸暨市检察院在成功办结了这起刑事案件后，为从源头杜绝此类侵犯公民个人信息的违法犯罪问题，决定启动行政公益诉讼程序。2019年1月，诸暨市检察院向诸暨市市场监督管理局发出诉前检察建议书3份，涉及房地产开发公司5家、装修装饰公司6家，督促该局依据消费者权益保护法等相关规定对涉案的房地产开发公司、装修装饰公司依法进行处理，保护消费者的合法权益不受侵犯，维护社会公共利益。同时，该院还就办案情况向诸暨市建设局及装修装饰行业协会发出工作函，以个案的整改推进行业规范整治。2019年5月，诸暨市市场监管局对侵犯消费者个人信息系列案件的办理情况向诸暨市检察院作了回复，对涉案房地产开发公司和装修装饰公司分别作出了相应的行政处罚；
该局还会同市消保委在“3·15”消费者权益保护日活动中开展消费者个人信息保护的宣传工作。诸暨市装修业协会收到检察院的工作函后，也积极开展消费者个人信息保护的宣传工作，并组织商户签订保护消费者个人信息的承诺书。

诸暨市检察院提起的侵犯公民个人信息公益诉讼案同样受到了社会广泛关注，该案是浙江省检察机关在房地产开发及装修装饰领域侵犯公民个人信息问题上的首例行政公益诉讼案件，同时也入选了2019年最高人民检察院“检察公益诉讼全面实施两周年典型案例”。该案与宁波市海曙区检察院“骚扰电话”整治公益诉讼案具有一定的相似性：除了该案同样属于诉前程序外，该案的启动事实上也是源于“骚扰电话”。(36)诸暨市检察院侵犯公民信息公益诉讼前的刑事案件是源于购房者购房后的“骚扰电话”：“2017年12月，诸暨人小朱刚买了一套婚房没多久，便接到各种各样的推销电话，一天少则一两个、多则五六个，电话那头不但能准确地说出小朱的姓名，甚至连其购买的楼盘房号也一清二楚，忍无可忍的小朱向警方报案。”参见范跃红、郦方家：《买房后推销电话不断 浙江诸暨：诉前检察建议敦促保护公民个人信息》，载《检察日报》2019年7月20日。当然，这两起行政公益诉讼在启动方式上也存在明显的差异：海曙区检察院的启动具有相对独立性，是检察院主动发起调查取证而开展的；
而诸暨市检察院的启动具有一定的附属性，相关的调查取证工作在前期的刑事案件中已经基本完成。

(三) 个人信息公益诉讼范围的实践拓展

在2019年1月的上海市两会上，23名市政协委员联名提出了《关于发挥检察机关在App侵害消费者数据隐私公益诉讼中作用的建议》提案；
上海市检察院对这一提案也非常重视，为此专门向上海市消费者权益保护委员会征求意见。(37)参见上海市消费者权益保护委员会：《对市政协十三届二次会议第0932号提案的会办意见》，载“上海市消保委网”，最后访问日期：2022年7月6日。在2019年3月的全国两会上，上海市人民检察院检察长提交的一份有关扩大公益诉讼范围的议案，也涉及个人信息公益诉讼的问题。2019年6月，上海市检察院专门召开“检察公益诉讼与App个人信息保护座谈会”，探索推进App非法收集个人信息公益诉讼工作。这次座谈会也较为全面地向外界发布了2019年上半年上海各级检察机关在个人信息公益诉讼方面所开展的地方实践：自上海市人民检察院根据前期的调研向上海某科技有限公司发出了个人信息领域的第一份公益诉讼检察建议书开始，(38)参见余东明、张若琂：《多款App涉嫌过度收集用户个人信息 上海首次引入公益诉讼阻击无良App》，载《法制日报》2019年6月21日。上海市各级检察机关已就调查发现的问题依法向10家App运营商制发了检察建议，并要求加强用户个人信息保护。

从公开披露的信息可以发现，目前上海的个人信息公益诉讼实践与江苏的个人信息民事公益诉讼实践具有一定的同质性，因为上海的实践针对的也是存在违法违规收集和使用个人信息的相关企业。虽然上海和江苏的个人信息公益诉讼都属于个人信息民事公益诉讼的范畴，但相较于江苏实践模式(由消保委启动并且进入了诉讼程序)，上海的实践主要由各级检察机关启动，而且这些公益诉讼都还没有正式进入法院的诉讼程序。当然，相较于江苏的个案式实践，上海个人信息公益诉讼的实践范围更加广泛，上海的检察机关除了向App服务提供者制发检察建议，还向应用商店服务提供者制发检察建议：(39)据报道介绍，上海检察机关向被监督企业分别制发了检察建议书，建议App提供者向用户明确获取权限的种类、目的、方式和范围，不得强制要求用户同意授权与服务无关的功能;用户主动选择不同意App收集个人信息时，应仅影响与所拒绝提供信息相关的业务功能，不应直接退出App，限制用户的权利。App运营商应进一步依规完善用户协议和隐私政策，单独成文并显著标识个人敏感信息、政策时效、投诉渠道，明确说明个人信息存储期限和超期处理方式，做到内容标识清晰，通知及时有效。当用户终止使用App服务后，后台应当停止对用户个人信息的收集和使用，并为用户提供注销号码或者账号的服务。同时，应合法合规处理已收集的个人信息,做好用户隐私保护工作。检察机关同时也向应用商店制发检察建议书，督促其履行监督管理责任，并视情况对违反规定的App采取警示、暂停发布、下架应用程序等措施予以督促整改。参见林中明、许贺：《上海：依法向10家App运营商制发检察建议》，载“正义网”，最后访问日期：2019年8月15日。一方面，要求App服务提供者在获取个人信息时应当遵循用户知情同意的基本要求，不能通过强制退出App的方式限制用户对相关业务功能的使用，也不能在用户终止使用App服务后，继续收集和使用用户个人信息；
另一方面，要求应用商店服务提供者履行对App服务提供者的监督管理责任，对于违法违规的App服务提供者要视具体情况及时采取警示、暂停发布、下架等措施。

上海的个人信息公益诉讼有效吸收了江苏和浙江公益诉讼的实践经验，各级检察机关诉前程序的启动都非常注重对相关个人信息违法行为的技术性调查。但与江苏和浙江的个案式地方实践不同的是，上海目前的个人信息公益诉讼展现了一种更为开放的司法姿态，并没有局限于特定的范围。江苏、浙江和上海等地为主要代表的长三角区域的地方实践，无疑为个人信息公益诉讼全面开展迈出了重要一步。2021年4月，最高人民检察院发布检察机关个人信息保护公益诉讼典型案例，(40)具体包括江西省南昌市人民检察院督促整治手机App侵害公民个人信息行政公益诉讼案、浙江省温州市鹿城区人民检察院督促保护就诊者个人信息行政公益诉讼案、甘肃省平凉市人民检察院督促整治快递单泄露公民个人信息行政公益诉讼案、江苏省无锡市人民检察院督促保护学生个人信息行政公益诉讼案、江西省乐安县人民检察院督促规范政府信息公开行政公益诉讼案、河南省濮阳市华龙区人民检察院督促整治装饰装修行业泄露公民个人信息行政公益诉讼案、浙江省杭州市余杭区人民检察院诉某网络科技有限公司侵害公民个人信息民事公益诉讼案、河北省保定市人民检察院诉李某侵害公民个人信息民事公益诉讼案、上海市宝山区人民检察院诉H科技有限公司、韩某某等人侵犯公民个人信息刑事附带民事公益诉讼案、贵州省安顺市西秀区人民检察院诉熊某某等人侵犯公民个人信息刑事附带民事公益诉讼案、广东省广宁县人民检察院诉谭某某等人侵犯公民个人信息刑事附带民事公益诉讼案。这些典型案例启动时间集中于2019年至2020年之间，而且近半数都来自长三角区域。当前，个人信息公益诉讼仍在各地不断推进，据最高人民检察院的最新统计，2021年，全国各地检察机关共办理个人信息保护领域公益诉讼案件2000余件，同比上升近3倍。(41)参见徐日丹、常璐倩：《检察机关2021年办理个人信息保护领域公益诉讼案2000余件》，载《检察日报》2022年2月28日。可以预见，个人信息公益诉讼将成为我国个人信息司法保护的一个主要途径。

在个人信息保护法出台前的很长一段时间，不论是以江苏为代表的个人信息民事公益诉讼模式，还是以浙江为代表的个人信息行政公益诉讼模式，都还只是“盆景”，尚未形成“风景”。(42)参见前引，燕帅、赵光霞、宋心蕊文。个人信息保护法出台后，各地虽然陆续开启了个人信息公益诉讼实践，但在大部分地区尚未常态化运作，这在一定程度上是由现行诉讼法律制度障碍所导致的：虽然我国民事诉讼法和行政诉讼法均为个人信息公益诉讼留下了制度拓展空间，但由于缺乏对这一制度空间的权威解释，实务部门对其拓展创新仍有较大的顾虑。因此，要为个人信息公益诉讼提供更加充分的制度支持，还有必要在个人信息保护法的配套司法解释中对公益诉讼制度作出更具针对性的具体规定。

(一) 拓展诉讼法律的制度空间

公益诉讼在我国有着二十多年的实践发展，(43)1997年7月，河南省方城县检察院就一起国有资产流失案向当地法院提起民事诉讼，要求判决当地工商局一份房地产买卖合同无效，并最终胜诉。这一案件一般被认为是开启了“准公益诉讼”模式的实践探索。之后，各地因为环境污染、消费侵权等问题引发的公益诉讼不断增多。据统计，截至2010年底，各地检察机关已提起153件公益诉讼。参见阿计：《公益诉讼之前世历程》，载《民主与法制》2018年第6期。而直到2012年8月全国人大常委会通过修改后的民事诉讼法才正式确立了民事公益诉讼制度。在此之前二十多年的地方司法实践中，环境保护、消费维权一直是公益诉讼的主要案件类型，正因如此，民事诉讼法引入公益诉讼制度时也就明确将这两类案件类型具体确定了下来。根据2012年民事诉讼法第55条的规定，对污染环境、侵害众多消费者合法权益等损害社会公共利益的行为，法律规定的机关和有关组织可以向人民法院提起诉讼。虽然早就有立法参与者指出，这一条款中的“等”表明立法确定公益诉讼的范围采取的是不完全列举的方式，(44)参见孙佑海：《对修改后的〈民事诉讼法〉中公益诉讼制度的理解》，载《法学杂志》2012年第12期。但在实践中公益诉讼的范围很少突破环境保护和消费维权的列举式规定。直到2015年7月全国人大常委会通过了《关于授权最高人民检察院在部分地区开展公益诉讼试点工作的决定》，现有立法的制度空间才得以拓展。(45)除了民事诉讼法规定的环境保护、消费维权两种类型外，该决定明确允许试点地区可以对国有资产保护、国有土地使用权出让、食品药品安全等领域提起公益诉讼；
该决定甚至从民事公益诉讼拓展到了行政公益诉讼，为试点地区提起行政公益诉讼提供了制度保障。在为期两年的公益诉讼试点结束后，全国人大常委会于2017年6月同时对民事诉讼法和行政诉讼法进行了修改，通过立法的方式进一步确定了检察机关的公益诉讼角色，并正式确定了行政公益诉讼。

现行民事诉讼法和行政诉讼法对公益诉讼范围的规定从列举形式上看并不一致，民事公益诉讼明确列举的是环境保护和消费维权两大类型，而行政公益诉讼明确列举的是环境保护、食品药品安全、国有财产保护、国有土地使用权出让四大类型。但是，不论是民事诉讼法的第55条(2021年修订后的民事诉讼法为第58条)，还是行政诉讼法的第25条第4款，都包含了“等”这一不完全列举的实质内容。而对于这两大诉讼法中所规定的“等”应作“等外”之解释，学理上基本形成了共识。遗憾的是，这种学理共识仍然没有被实务部门所普遍接受。2018年12月，最高人民检察院公益诉讼检察厅(筹)负责人在新闻发布会上表示，地方检察机关对于“等”内“等”外理解有分歧但又严重侵害公益、群众反映强烈、普通诉讼又缺乏适格主体的情况，应在当地党委、人大、政府和法院等的支持下，进行审慎而又积极的探索。(46)参见前引，闫晶晶、戴佳文。海曙区检察院“骚扰电话”整治公益诉讼案被作为最高人民检察院“检察公益诉讼十大典型案例”，恰好是这种审慎而又积极探索公益诉讼新领域的典型样本。

由于民事诉讼法和行政诉讼法适用范围的不明确，检察机关拓展“等”外公益诉讼新领域往往还需要遵循一定的“上报”程序，争取地方党委、人大、政府和法院的支持，这在一定程度上会影响地方检察机关积极探索个人信息公益诉讼的动力。因此，最高人民检察院提出的“积极审慎探索公益诉讼新领域”，在地方实践上往往表现出“审慎”有余而“积极”不足。为了化解“等”字难倒公益诉讼的实践困境，上海市人民检察院检察长在2019年全国两会期间提交议案，就曾建议全国人大常委会对公益诉讼受案范围作“等”外立法解释，以便有效解决个人信息保护等公益诉讼难题。(47)参见佘惠敏：《“我被‘等’字难倒了”》，载《经济日报》2019年3月15日。当然，除了这种“等”外立法解释路径外，还有一种更为直接地确立个人信息公益诉讼制度的路径，即修改民事诉讼法和行政诉讼法，将个人信息保护作为具体的公益诉讼类型。

在现行民事诉讼法、行政诉讼法关于公益诉讼“等”外规定并未明确化之前，检察机关和社会组织吸取我国环境公益诉讼等领域的实践经验，(48)我国环境公益诉讼制度的建立就是得益于理论和实践的共同推动，自2007年起，各地开始探索建立环境公益诉讼制度，贵阳、无锡、昆明等地相继制定了地方性法规或规范性文件，明确规定检察机关及环保公益组织可以为了环境公共利益提起环境公益诉讼。参见王明远：《论我国环境公益诉讼的发展方向：基于行政权与司法权关系理论的分析》，载《中国法学》2016年第1期。在没有获得正式立法确认之前，也可以通过积极探索为个人信息公益诉讼制度的立法完善积累司法经验。就此而言，江苏、浙江等地积极拓展我国民事诉讼法、行政诉讼法的制度空间，为建立健全我国个人信息公益诉讼制度进行了非常有益的探索。

(二) 个人信息保护法的制度确立

在个人信息保护法出台之前，我国个人信息保护制度仅散见于多部不同的法律法规中，尤其集中于网络安全法和民法典的针对性规范。虽然网络安全法和民法典均通过专章对个人信息保护加以规范，但这两部法律仍然无法有效解决个人信息保护行政监管体制等方面存在的具体问题：目前我国并没有专门的个人信息保护机构，而分散立法并未涉及职责边界问题，个人信息保护领域事实上往往沦为监管的灰色地带。(49)参见王融：《我国〈个人信息保护法〉立法前路》，载《信息安全与通信保密》2017年第3期。此外，这两部法律对个人信息保护的具体规定仍不够清晰明确，相关规定往往主要起原则性的指导和限制作用，对个人信息安全风险的预防和化解起不到很好的效果。正因如此，个人信息保护的专项立法呼声仍不断高涨。(50)事实上，早在十多年前就有学者起草了个人信息保护法的专家建议稿，分别是齐爱民教授拟订的《中华人民共和国个人信息保护法示范法草案学者建议稿》和周汉华研究员拟订的《中华人民共和国个人信息保护法(专家建议稿)》，参见齐爱民：《中华人民共和国个人信息保护法示范法草案学者建议稿》，载《河北法学》2005年第6期；
周汉华：《中华人民共和国个人信息保护法(专家建议稿)及立法研究报告》，法律出版社2006年版。而直到2017年个人信息保护法的制定才成为全国人大代表关注的焦点问题之一，该年度的第十二届全国人民代表大会第五次会议期间，全国人大财经委员会副主任委员吴晓灵，全国人大代表、中国人民银行营业管理部主任周学东以及45位全国人大代表在两会上提交了《关于制定〈中华人民共和国个人信息保护法〉的议案》，建议尽快制定《中华人民共和国个人信息保护法》。参见吴晓灵、周学东：《建议尽快制定〈个人信息保护法〉》，载“财新网”，最后访问日期：2020年8月15日。而第十三届全国人民代表大会第一次会议后，全国人大代表共有340人次提出39件呼吁出台专门的个人信息保护法的相关议案、建议。参见徐隽：《十三届全国人大常委会第二十二次会议审议多部法律草案》，载《人民日报》2020年10月14日。

在全国人大常委会确定启动个人信息保护法立法后，学界最初对于是否应当在这部法律中明确公益诉讼等个人信息群体性纠纷解决机制并未给予足够的关注，相关研究也存在明显不足，只有张新宝教授等少数学者主张，将构建诸如公益诉讼、集体诉讼等行之有效的诉讼制度作为个人信息保护法研究和立法的重点。(51)参见张新宝：《〈民法总则〉个人信息保护条文研究》，载《中外法学》2019年第1期。这一主张也最终反映在了张新宝教授主持起草的专家建议稿中，该建议稿明确提出将公益诉讼纳入个人信息保护法的纠纷解决制度体系中。(52)参见张新宝、葛鑫：《个人信息保护法(专家建议稿)》，载“民商法律网”，最后访问日期：2020年8月15日。事实上，随着学界和实务界对个人信息保护制度研究的深化，越来越多的学者和实务专家也都认识到了公益诉讼对于个人信息保护的重要作用，(53)参见前引④，丁晓东文；
张玉洁、胡振吉：《我国大数据法律定位的学说论争、司法立场与立法规范》，载《政治与法律》2018年第10期；
屠春含、吴礼勤：《探索公益诉讼多维度保护App所涉个人信息》，载《检察日报》2019年8月4日；
王赞等：《个人网络信息保护纳入公益诉讼范围研究》，载《天津检察》2020年第1期。并尝试对个人信息公益诉讼制度进行系统性构建。(54)参见蒋都都、杨解君：《大数据时代的信息公益诉讼探讨——以公众的个人信息保护为聚焦》，载《广西社会科学》2019年第5期。

随着个人信息公益诉讼理论研究的深入以及以长三角区域为代表的个人信息公益诉讼地方实践探索的拓展，全国人大常委会在审议并公开征求意见的《中华人民共和国个人信息保护法(草案)》中正式确立了个人信息公益诉讼相关的规定，(55)第十三届全国人大常委会第二十二次会议对《中华人民共和国个人信息保护法(草案)》进行了第一次审议，该草案第66条规定：“个人信息处理者违反本法规定处理个人信息，侵害众多个人的权益的，人民检察院、履行个人信息保护职责的部门和国家网信部门确定的组织可以依法向人民法院提起诉讼。”第十三届全国人大常委会第二十八次会议对《中华人民共和国个人信息保护法(草案)》进行了第二次审议，延续了这一规定(第69条)。明确了检察院、履行个人信息保护职责的部门和国家网信部门确定的组织的起诉资格；
最终通过的个人信息保护法的第70条在此基础上，进一步增加了法律规定的消费者组织的起诉资格。

(三) 通过司法解释的制度补强

个人信息保护法对公益诉讼制度的规定与消费者权益保护法、环境保护法的规定具有一定的类似之处，即主要对可以提起公益诉讼的起诉主体进行了明确，对于具体的适用程序等并没有进行规定。与个人信息保护法不同的是，消费者权益保护法、环境保护法所确立的消费公益诉讼和环境公益诉讼，属于民事诉讼法、行政诉讼法所列明的公益诉讼类型；
然而，仅依靠民事诉讼法和行政诉讼法的两个条款，很难承载起消费公益诉讼和环境公益诉讼完整的制度构造。因此，消费公益诉讼和环境公益诉讼制度的体系化构建主要是依托于相应的司法解释才得以实现：消费者权益保护法于2013年修改后新增了消费公益诉讼的规定，(56)参见《中华人民共和国消费者权益保护法》第47条。最高人民法院于2016年专门出台了《关于审理消费民事公益诉讼案件适用法律若干问题的解释》(法释〔2016〕10号)，消费民事公益诉讼制度由此得以较为完整地确立；
环境保护法于2014年修改后新增了环境公益诉讼的规定，(57)参见《中华人民共和国环境保护法》第58条。最高人民法院于2015年专门出台了《关于审理环境民事公益诉讼案件适用法律若干问题的解释》(法释〔2015〕1号)，环境民事公益诉讼制度也由此得以较为完整地确立。

虽然民事诉讼法和行政诉讼法为个人信息公益诉讼提供了拓展性的制度空间，各地的个人信息公益诉讼实践也主要是建立在这一制度空间的基础上。然而，与消费公益诉讼和环境公益诉讼一样，仅靠民事诉讼法和行政诉讼法的有限条款，很难承载起个人信息公益诉讼完整的制度构造。因此，消费公益诉讼和环境公益诉讼通过专项司法解释的方式进行制度补强的模式无疑值得个人信息保护公益诉讼制度构建借鉴。

通过司法解释补强个人信息公益诉讼制度时，一个重要的前提是对个人信息公益诉讼类型的确定，而对于这一前提性的问题，目前学界存在明显不同的看法。不少学者认为个人信息保护法第70条所规范的仅为民事公益诉讼，而不针对行政公益诉讼。例如，张新宝教授以行政诉讼法第25条第4款列举个人信息保护等为由，认为“对于行政机关大规模侵权行为，目前我国已存在特别的法律规则对其进行有效的制约，就应该遵从原有特别的解决路径，而不宜突破现有的行政法规则”。(58)张新宝、赖成宇：《个人信息保护公益诉讼制度的理解与适用》，载《国家检察官学院学报》2021年第5期。程啸教授等学者也持有类似的看法。(59)参见程啸：《个人信息保护法理解与适用》，中国法制出版社2021年版，第531页。而最高人民检察院检察理论研究所助理研究员邵俊则认为个人信息公益诉讼不仅包括民事公益诉讼还包括行政公益诉讼，“如果存在履行个人信息保护职责的部门不作为或者违法作为，损害了社会公共利益的，检察机关应提出检察建议和提起行政公益诉讼”。(60)邵俊：《个人信息的检察公益诉讼保护路径研究》，载《法治研究》2021年第5期。如上文所述，不论是从个人信息公益诉讼的实践来看，还是从行政诉讼法关于行政公益诉讼的制度空间来看，个人信息保护法第70条所确定的公益诉讼类型显然应当包含行政公益诉讼类型。

值得注意的是，不论是最高人民法院还是最高人民检察院，都已经意识到了通过司法解释补强个人信息公益诉讼制度的重要性：在个人信息保护法出台前，最高人民法院于2021年7月出台了《关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》，该司法解释甚至在一定程度上先于个人信息保护法确定了个人信息民事公益诉讼制度；
(61)该司法解释第14条规定：“信息处理者处理人脸信息的行为符合民事诉讼法第55条、消费者权益保护法第47条或者其他法律关于民事公益诉讼的相关规定，法律规定的机关和有关组织提起民事公益诉讼的，人民法院应予受理。”最高人民检察院则在个人信息保护法通过后，第一时间下发了《关于贯彻执行个人信息保护法推进个人信息保护公益诉讼检察工作的通知》，对检察机关通过公益诉讼重点从严保护的个人信息类型、办案流程机制等进行了较为全面的规范。(62)需要说明的是，最高人民检察院的这一司法文件并未向社会公开，该司法文件的主要内容，参见张璁：《最高检推进个人信息保护公益诉讼检察工作：生物识别、行踪轨迹等信息应严格保护》，载《人民日报》2021年8月26日。当然，不论是最高人民法院的司法解释还是最高人民检察院的司法文件，与个人信息保护制度体系化构建所需的司法解释还有一定的距离。

随着以大数据、云计算、物联网、人工智能为代表的数字技术的飞速发展，非法收集或使用个人信息的形式将会更加复杂，个人信息的安全风险也将更加不确定。在强化监管的同时，如何构建一套更加行之有效的个人信息司法保护制度体系可以说是一个世界性难题，就此而言我们与西方法治发达国家一样都还在不断探索。如果说传统的立法我们还能够通过法律移植的方式来迅速弥补国内法的不足，那么身处数字技术飞速发展的当下，已经很难再有域外成熟有效的制度方案直接“为我所用”了。为了更好地应对大数据时代个人信息司法保护的现实挑战，我们有必要立足于中国本土实践来不断优化相应的司法制度方案。在我国个人信息公益诉讼制度缺乏明确制度支持的情况下，江苏、浙江等地的实践探索为个人信息公益诉讼制度拓展提供了难得的观察样本，也为个人信息公益诉讼制度体系化构建提供了经验参考。尽管理论界和实务界在讨论我国个人信息保护问题时，表面上强调借鉴的“拿来主义”仍然盛行，但以个人信息公益诉讼为典型代表的地方实践和制度安排也昭示了我国个人信息公益诉讼制度的发展之路必然具有独特路径和图景。