张陈果 | 个人信息保护民事公益诉讼的程序逻辑与规范解释——兼论个人信息保护的“消费者化”

《个人信息保护法》第70条规定的个人信息公益诉讼的受案范围应包含对数据使用协议中格式条款违反相关法律、数据画像、地下数据交易等大规模侵权和分散性侵权等情形，可以按照“列举+兜底”对诉由予以类型化并适当予以限定以实现抽象层面的利益平衡。《个人信息保护法》第70条和《民事诉讼法》第55条构成特别规范和一般规范的关系，应优先适用。在适格主体顺位上，各级检察机关列于引领位置。消费者组织仅能就与市场活动和消费行为相关的损害个人信息的行为提起公益诉讼，检察机关提起的相关公益诉讼之实体有理由的范围远超前者。应在完善配套制度的前提下逐步放开个人信息保护公益诉讼的损害赔偿请求权，以激励起诉并补偿受损的个人信息主体。

 个人信息保护民事公益诉讼的司法落地需要首先明确受案范围。个人信息保护的民事救济路径根据《个信法》第70条是公益诉讼。但该条引入的实现司法落地的制度架构，仍需要重点讨论，受案范围是第一个要点。应稳妥有序地坚持严格限定、逐步发展来建构个人信息保护公益诉讼受案范围相关制度。因此，对公益诉讼受案范围的划定应秉持类型化、多发性的原则。数字化市场活动中的经营者行为常态性的涉及不特定大多数自然人的群体的个人信息，极易造成广泛的影响并触及公共利益。根据《个信法》第70条，公益诉讼应作为涉及群体性个人信息纠纷的典型救济程序。需要探讨的是：这一新型公益诉讼得以适用的情形、种类以及适用的限制。值得注意的是，德国通过修改法律，扩充了消费者团体诉讼主体的诉权，覆盖到个人信息保护领域的大规模与分散性侵害及与之相关的行为规制。德国通过修改《联邦数据保护法》（BDSG）明确将保护个人信息的规范列为广义上的“消费者保护法律”，并明确：个人信息保护法属于消费者保护法的范围，所有根据消费者保护法可以提起的团体诉讼，都适用于个人信息保护。

 反对在数据保护法中引入消费者保护性质的集体诉讼，认为集体诉讼原则上不适用于行使个人信息的自决权，认为个人信息自决权是一项非常个人化的权利，应始终需要做到以个别判断为前提的利益均衡——这样的观点值得商榷。个人信息保护相关公益诉讼在下列情形中有必要予以启动。其一，数字平台等个人信息处理者大规模侵权和分散性侵权的；其二，对个人信息处理者使用《数据使用协议》的合法性有必要进行法律干预的情形。相关条款在形式上和内容上违反“合法、正当、必要”原则的，可能落入个人信息保护公益诉讼的受案范围。这涉及数字平台等主体一次拟定、多次使用的个人信息使用协议构成“一般交易约款”的合法性控制。我国《民法典》第496至498条，《消费者权益保护法》第26条关于格式条款形式与内容合法性控制的规定，均涉及一般交易约款对批量收集消费者个人信息的合法性控制。值得注意的是，对此种一般交易约款的司法控制涉及个人信息保护相关的利益平衡，殊为重要。尤其在经营者适用不透明不公平的一般交易条款违法取得信息主体同意声明的情形，应适用上述规范。个人信息处理者的《数据使用协议》违反《个信法》和其他个人信息保护相关法律的规定，检察机关、法律规定的消费者组织和网信部门规定的其他组织可以提起公益诉讼。

 不过，个人信息保护领域公益诉讼的适用范围应当予以类型化并适当加以限定，体现的是一种抽象层面上利益平衡的需要。因此，应将公益诉讼机制的适用限定于信息处理人为特定目的收集和处理个人信息的情况。例如，此种公益诉讼针对的个人信息处理行为可以包括：个人信息地下交易（例如买卖用户手机号）、消费习惯数据画像、个人征信记录滥用、经营者未经许可向第三方提供消费者个人信息的商业性质的行为等四类。考虑未来新兴商业模式的规制需要，类型化的规定可采列举加开放式兜底的模式。确定受案范围类型时应考虑到，个人信息集群在何种情形下面临大规模侵害等较大风险，例如，何种情形下经营者以相同或类似的方法损害大量消费者的权益。

 此种特定类型公益诉讼的适用范围和诉由相关制度，可以在总结司法实践的基础上，先由司法解释予以规定，待法律续造发展到一个较为成熟的时间点，再考虑由法律予以规定。

《个信法》第70条的规定将检察机关置于个人信息保护公益诉讼诉权主体的首位。而《民事诉讼法》则规定了检察机关介入公益诉讼相对的谦抑性。两项规范如何协调，有必要界定个人信息保护公益诉讼几个法定主体的适格主体顺位。《民事诉讼法》第55条第1款规定的公益诉讼主体是机关和有关组织；第2款规定检察机关在履行职务的过程中可以提起公益诉讼，体现立法时对检察院公益诉讼担当在整个救济体系中放置于补充、保障与兜底的位置。《个信法》第70条规定的公益诉讼主体制度体现了对检察公益诉讼的强调、对既有实践的依赖。《个信法》规定的公益诉讼诉权主体顺位与《民事诉讼法》第55条并不相同。个人信息保护公益诉讼体现了由国家力量（检察机关）引领、其次由社会力量（有资质的组织）予以提起的力量组合。其诉权主体顺位是检察机关——消费者组织——有关组织。在适用上述规范时，根据新法优于旧法、特别法优于一般法的原则，《个信法》第70条优先《民事诉讼法》第55条适用。

 一个较为现实的考量是，如果缺乏配套制度改革，消费者组织开展个人信息保护公益诉讼在短时间内可能存在不太积极的现象。国家网信部划定其他有诉权的组织并将名单落实需要时间，相关的配套制度也需要时间来酝酿和落实。另外，各地涌现的相关案例又使得个人信息保护诉讼的制度夯实已经变成较为迫切的现实问题。至少在这个过渡时期内由检察机关对相关公益诉讼起到引领作用是合理的。况且检察机关在我国是最先开展这一新型公益诉讼实践的主体。从组织架构、人力物力保障、动机纯化等各个角度考虑，都没有比检察机关更合适的第一顺位主体。值得注意的是，检察机关与其他主体提起公益诉讼和展开工作之间不是对立的。在最佳的状态下，“组织”提起的公益诉讼可以在法律设定的框架内形成对滥用个人信息行为的规模性司法制约而检察机关在个人信息保护领域应发挥自己的优势，托举和支持它们开展相关公益诉讼。根据《个信法》第70条，国家网信部将是其他有关组织提起个人信息保护公益诉讼社会力量门槛条件的规定人，这类组织可能包括专门成立的个人信息保护组织、行业组织、第三方机构等。此一门槛条件的划定将影响未来由“有关组织”提起公益诉讼的制度使用率，以及以检察机关为代表的国家力量和以组织、协会、团体为代表的社会力量在制度启用中的力量组合。

 相关制度安排不能简单比附国外先进经验，也不能仅凭地方经验摸索，而是应当在夯实理论基础的前提下作科学的探索。我国的公益诉讼制度和德国民事诉讼法上的团体诉讼制度有较大的相似性。梳理集体诉讼诉权合法性理论学说将为我们讨论检察机关提起公益诉讼具体制度安排提供一个程序逻辑上的启迪。因此，相关公益诉讼诉权理论学说的逻辑澄清在此殊为必要。依循检察机关作为“法律监督机关”的宪法定位，检察院有义务而不仅仅是权利，在监督法律施行的过程中必要时提起公益诉讼。下文将梳理诉讼法学说就提起集体诉讼的法定主体在民事诉讼中的功能定位的相关理论，以期为下文的论述奠定理论基础。

“国家的请求权”说认为群体诉讼原告诉权来源于国家的民事请求权；诉权主体拥有的是某种“国家请求权”的法定代理权。其反对者认为：该说混淆了国家作为公法上主体与私法上主体的角色。只有当国家对某一法益——例如群体个人信息权益，确实能支配、控制和占有时，国家才有相应的民事请求权。但此时国家的角色是维持相关秩序的“公主体”，其对该种秩序下大量民事主体的权益，是义务主体而不是权利主体，因为此时国家对公民所承担的是职责和义务。因此，认为国家对环境保护、消费者权益这些公益享有支配和占有地位从而享有“国家请求权”，可以委派公权机关提起民事诉讼，在逻辑上讲不通。

“诉讼担当说”认为，诉权主体获得的是抽象公共利益群体在诉讼上的代理权。对该学说的批评强调：提起诉讼的主体往往是因自己的意愿、以自己的名义来起诉并参与诉讼过程的，从外观上看来并不存在所谓代理关系。况且，群体诉讼的原告和“原初利益主体”之间并不存在真正的法定或意定代理关系。“诉讼担当”的前提是实体权利的主体——即“被代理人”的具体界定，而后者在公益诉讼中本身就较为抽象、难以界定。

 对团体诉讼的法律分类问题进行最广泛的分析与审视的是莱纳尔教授。莱纳尔提出：团体诉讼的适格主体获得的法律地位应当被理解为是一种对法律是否被遵守的监督权，这个意义上的公益诉讼甚至可以称为“市场警察的工具”，是一种贯行监督功能的诉讼。法定主体履行公共职能，并被赋予了特定的权力，这些权力应当以诉讼资格形式得以体现。例如，平台公司使用违反《个信法》的《数据使用协议》可能引起团体诉讼。这类团体诉讼的保护对象是个人信息权益被尊重的一种良善的市场秩序。其保护的不仅仅是一种主观权利，也更加是一种客观法权秩序，或称客观规则秩序。利用违反知情同意原则的《数据使用协议》违规收取大量用户个人信息，或者通过地下交易违法购买大量自然人个人信息的，行为一经作出，受此种行为影响的主体权利受到侵害而产生的诉权则由法律赋予了相关的团体和机构，令后者发挥其“监督能力”，以确保交易的公平自由、保护不特定大多数信息主体的信息安全以及平衡各方利益。

 根据高尔教授的观点，团体诉讼的主体的监督权有“公私结合的特征”。大陆法系国家团体诉讼可以提起的诉讼请求更像是在法权设立的根据问题这一法律层面上来进行制度建构的。

 个人信息保护公益诉讼大抵在侵权责任的范畴内讨论民事责任。诉权主体可以请求相对人停止侵害、撇去不法利益、赔礼道歉等等。尽管具体范围有一定争议，但整体的分析框架出入并不大。但损害赔偿请求权的存废与界定，则因其属于公益诉讼的规范架构之内，诉权主体和受侵害之权益客体又有其特殊性，因此有澄清与讨论之必要。《人民法院审理人民检察院提起公益诉讼案件试点工作实施办法》第3条规定，检察院提起民事公益诉讼时可以提出要求被告赔偿损失的诉讼请求。本文预设：法定诉权机关应当可以在个人信息保护公益诉讼中提起损害赔偿请求权。以下分部探讨此一预设的合理性、可行性和实操性。

（一）合理性

 传统上的民事诉讼法学学说对公益诉讼损害赔偿请求权的引入相对来说较为拒斥。这以德国民事诉讼的影响力而造成诸多大陆法系国家曾经的通例。我国民事诉讼法理论学说对公益诉讼中损害赔偿请求权是否应当引入这一问题，在一定时期内保持谨慎。例如张卫平教授认为公益诉讼中损害赔偿的适用应当受到限制并指出，对直接损失的赔偿，只有在采取特殊的方法能够解决赔偿金的具体分配或使用，受偿主体又能相对确定时，才能主张损害赔偿请求。随着公益诉讼诉讼请求相关理论的发展，德国民事诉讼法学界对此种限制的反思和深思，开始有越来越多的学者提出公益诉讼的诉讼结果，除停止侵害、排除妨碍、消除危险等禁止性诉讼请求内容之外，还应当考虑允许损害赔偿的诉讼请求等补偿型请求内容。学者提出的理由包括：消费公益诉讼制度是为了弥补传统民事诉讼制度难以应对现代社会大规模和分散性消费者损害现象的缺陷而建立的，其目的是保护公共利益。此种公共利益的保护的目的，固然需要面向未来的停止侵害等诉讼效果，但同样需要面向过去的弥补损害的实际效应。此前集体诉讼在大陆法系国家不放开损害赔偿请求，大抵因为担心其被诉权团体滥用，造成诉讼结束阶段的道德风险，也有考虑到损害赔偿在公共利益之损害的计算较为困难。我国有学者提出对公益诉讼中损害赔偿请求权的各种顾虑，或者是基于对外国法的误读，或者是没有必要的担忧。因此，在未来的消费公益诉讼中，法院应当支持此类损害赔偿请求。此种观点或有其合理性，因为民事公益诉讼制度功能应定位为“威慑——补偿”二元结构。在“威慑”与“补偿”功能实现路径中，单维度的、仅以面向未来的、禁止性的“不作为之诉”恐怕还难以胜任，而损害赔偿请求权的制度设计，在较为理想的状态下，或能较好的担当这一角色。

 在此基础上，学者还提出公益诉讼中在一定条件下可以引入惩罚性赔偿的诉讼请求。即：应当在禁止性的不作为之诉基础上，加上支持原告提出惩罚性赔偿的诉权。学者认为，惩罚性赔偿型消费公益诉讼具有内部化生产经营者外部成本、内在化消费者私人执法正外部性、利用消费者及其保护组织的隐性收益降低私人执法激励成本等多重价值。

（二）可行性

 单就个人信息侵害能否作为独立的请求权基础来提出损害赔偿，有一个新型权利（权益）与传统的名誉权、隐私权等人格权之间的独立性问题。

 本文认为，当个人信息处理人的不当行为导致信息被泄露或违法交易致使单个或一部分自然人遭受名誉权和隐私权损害的，其提起基于人格权的个体民事诉讼，应支持并尊重自然人的此种维护自身权利的诉求与努力。同一事件可能提起的公益诉讼之保护客体与上述人格权客体却不尽相同。《个信法》和《民法典》已经将个人信息列为一种独立的需要法律保护的权益。虽然在因果链条上可能导致其他人格权的损害或危险，但当个人信息已经发生大规模泄露和滥用的情形下，不以名誉权、隐私权等其他人格权受损害为前提，应有个人信息权益损害赔偿请求权之必要。《个信法》第69条的立法意图即是如此。

《个信法》第69条明确规定了对侵害个人信息的侵权人可以提出损害赔偿请求。但《个信法》第70条的个人信息保护公益诉讼的请求权范围是否包含损害赔偿，似有讨论之必要。2016年2月最高人民法院发布的《人民法院审理人民检察院提起公益诉讼案件试点工作实施办法》第3条规定，检察院提起民事公益诉讼时可以提出要求被告赔偿损失的诉讼请求。而在同年5月1日正式施行的《最高人民法院关于审理消费民事公益诉讼案件适用法律若干问题的解释》第13条第1款规定“原告在消费民事公益诉讼案件中请求被告承担停止损害、排除妨碍、消除危险、赔礼道歉等民事责任，人民法院可予支持”。从这一条款的文义来看，“赔偿损失”的责任承担方式并不包括在消费者组织提起的诉请中。与之相较的是前一年最高人民法院发布的《最高人民法院关于审理环境民事公益诉讼案件适用法律若干问题的解释》（该司法解释部分条款同于2020年12月29日被修改，但主要条款内容均未发生变动）第18条规定享有法律规定的起诉资格的原告可以提出赔偿损失的诉讼请求。前述司法解释的措辞并不相同，对不同主体提起的消费者民事公益诉讼请求加以区别对待，但就检察机关提起的公益诉讼可以请求损害赔偿大抵持支持的态度。

 检察机关提起的个人信息保护公益诉讼的请求权应包含损害赔偿请求权。前述个人信息保护集体诉讼的诉权理论梳理已经得出，检察机关依照法律规定提起公益诉讼并非基于传统的团体诉讼理论提出的请求权代理或诉讼管理学说，而是一种法定监督权。检察机关提起公益诉讼不仅是一项权利，也是一项义务。即，检察机关启动法定的监督职能为权益受侵害或有受侵害之虞的人民群众以提起公益诉讼的方式伸张正义。对于大规模违规收集、利用、泄露个人信息为大量自然人的生活安宁和人身财产安全造成威胁并因此而获利的信息处理人提起损害赔偿请求，不仅是一种基于民法填平原则的请求权，而且令其偿付违法所得赔偿受害人损失也同时是对加害人的一种惩罚和警戒。此其一。其二，团体诉讼的有关组织提起损害赔偿请求权可能存在通过与被告和解进行交易从而有损沉默的信息主体群体之道德风险，这是基于有关组织的私法主体属性而来的风险。但检察机关是国家法定的履行监督职能的职能机关，不存在上述内化的道德风险。其三，损害赔偿请求权之所以有争议，也因为相关的制度细节和配套办法一直未能厘清。例如，损害赔偿款项的管理与分配，在环境公益诉讼环境修复金的使用上，各地出现了不同的实践办法，也有论者提出应当学习巴西等南美国家建立基金会专款专用确保法律制度的初衷得到遵循，但并无系统的理论指引和规范性文件予以确认。应当看到，赔偿金的去向和管理问题在做好登记与公告，确保信息内外畅通和借助基金会专门管理等相关措施妥善安排的前提下，有其解决之道，笔者就此已专门撰文，此处不再赘述；而一直困扰司法实践的公益诉讼损害赔偿金的证明和计算问题，需要法学研究予以重视、探讨并建言。

（三）实操性

 损害存在的事实的证据提出责任，以信息主体能在可能的能力范围内列举与侵害行为发生相关事实而认定为初步足够；损害赔偿的计算或能依据实施侵害行为的数据处理人之违法所得、受侵害的信息主体人数、行为持续的时间长短等由法院依据法定赔偿制度进行认定。英美法系相关的消费者信息隐私集团诉讼虽然与大陆法系国家的团体诉讼和公益诉讼在诉权主体与诉讼构造上有较大差异，但就分散和不确定的数据处理行为造成的大量信息主体之“损害”如何证明，却有一定的共通性，或能为我国司法实践参考。2013年12月，Target公司宣布其计算机网络遭到了黑客袭击。信息泄露事件后该公司估计，在这起黑客袭击事件中有420万消费者的信用卡、借记卡信息被盗劫，610万人的个人信息被盗。受该事件影响消费者在明尼苏达州地区法院提起集团诉讼，诉由是该公司不充分的安全措施及遭遇袭击后的延迟通知造成用户的个人数据处于危险状态。2014年4月原被告达成和解协议，由被告偿付赔偿金1000万美元。能证明损失的消费者每人能获得高达一万美元的赔偿。为了获得赔偿，消费者需证明他们因消息泄露遭受了以下损失之一：信用卡或借记卡产生的未经授权且为补偿的费用；为解决费用问题花费了时间；为修改消费者信息调查报告花钱雇佣了人员；账户产生更高的利率或费用；与信用有关的花费，如购买消费者信用报告；为办理新的身份证、社保号或电话号产生的费用。

 对于举证责任方面，《个信法》第69条规定，个人信息权益因个人信息处理活动受到侵害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。这表明我国对公务机关和非公务机关没有采用不同归责原则。按照该条的文义解释，发生个人信息侵害事件而产生诉讼或其他纠纷解决之场合的，首先推定平台公司、电商企业相关的数据处理行为存在过错；除非其证明自己没有过错的，否则应当承担损害赔偿责任。举证责任倒置在实践中对于保护民众的个人信息至关重要。我国《个信法》第69条采用举证责任倒置规则，考虑减轻信息主体的负担之利益平衡的需要。信息主体面临个人信息泄露的危险时，按照侵权法的基本原则和构成要件，应证明个人信息处理人具有泄露用户个人信息的故意或者过失，在实务中这并不难证明。平台公司等个人信息处理人如果无法拿出证据证明自己没有故意或者过失的，就应当负有损害赔偿责任。按照我国台湾地区团体诉讼的法定赔偿最高额，个人信息处理人在诉讼中最高可能会被处以2亿元新台币的赔偿金。

 此外可能应当受到重视的是，个人信息保护公益诉讼中可能采纳相关的数据监管机关出具的调查报告或相关意见作为认定侵害行为和损害赔偿数额的证据。德国《不作为之诉法》第12a条规定：在判决前应当听取国内数据保护监管机关的意见，这一条在法律修改程序的听证中获得了多数意见的支持。当消费者保护协会提起诉讼的时候，监管机关实际上不太可能不启动调查。相反，法院将特别重视数据保护监管机关的评估。不过，“在启动诉讼之前并没有义务去咨询数据保护监管机关。”

《个信法》第70条规定的个人信息公益诉讼的受案范围应包含对数据使用协议中一般交易约款违反相关法律、数据画像、地下数据交易等大规模侵权和分散性侵权等情形，可以按照“列举+兜底”对诉由予以类型化并适当予以限定以实现抽象层面的利益平衡。《个信法》第70条和《民事诉讼法》第55条构成特别规范和一般规范的关系，应优先适用。在适格主体顺位上，各级检察机关列于引领位置。消费者组织仅能就与市场活动和消费行为相关的损害个人信息的行为提起公益诉讼，检察机关提起的相关公益诉讼之实体有理由的范围远超前者。应在完善配套制度的前提下逐步放开个人信息保护公益诉讼的损害赔偿请求权，以激励起诉并补偿受损的个人信息主体。

 在此共识之上，接下来的制度发展应关注个人信息保护公益诉讼立足“公共利益”受到损害之补偿，因此应当在建构相关证明责任和计算标准制度、赔偿款项分配与去向的基础上，确立个人信息保护公益诉讼的损害赔偿请求的制度构建和规则细节。公益诉讼与行政监管对个人信息的保护有共同协力、互相弥补的功能。在最佳的状态下，公益诉讼的规模效应可以对行政监管失灵起到弥合、扶助和补充的作用。而诉权主体后续的范围划定和损害赔偿请求权的引入，则可能是个人信息公益诉讼制度利用率最为关键的问题。