胡天昊

（華東政法大學 法律學院，上海 200050）

信息時代來臨前，個人信息處理的目的、方式等較為單一，形成了“個人信息具有極強的私益屬性，主要由信息主體在遭受侵害時提起私益訴訟加以保護”的基本共識；然信息時代下，個人信息處理頻繁，涉及個人信息權益的糾紛日益增多。個人信息侵權呈現(xiàn)出“小額分散性侵害”①的特質(zhì)。如何解決由此引發(fā)的社會公益性問題引起了學界的關注。

個人信息侵權行為已經(jīng)使個人信息保護逐漸突破其私權屬性，呈現(xiàn)出社會和公共屬性；保護模式也從原來的個人保護演變?yōu)椤肮采鐣?個人”協(xié)同保護。以個人信息被侵害所造成的后果為區(qū)分標準，可以將個人信息侵權事件分為兩類：損害個體私益和損害社會公共利益。隨著損害社會公共利益的個人信息侵害事件的頻發(fā)和損害程度的加深，通過私益訴訟間接保護社會公共利益愈顯乏力。質(zhì)言之，私益救濟因力度和及時性等方面的局限性使得立法者在《中華人民共和國個人信息保護法》（簡稱《個人信息保護法》）第70 條首次規(guī)定了個人信息保護公益訴訟制度。該制度是一項新的法律規(guī)定與司法實踐，目前的研究主要集中在實體法領域，較少從程序法維度審視個人信息保護私益訴訟，更無須提個人信息保護公益訴訟了，個人信息保護公益訴訟的起訴條件、適格主體、舉證責任和損害賠償?shù)戎T多學理與實踐問題還存有爭議。

一、規(guī)范之維：個人信息保護的法律體系

《個人信息保護法》的出臺標志著我國實體法層面的個人信息保護框架已經(jīng)基本建成，但如何處理法律沖突與法律適用成為“燙手山芋”。個人信息保護法律體系中最為核心的是《中華人民共和國民法典》（簡稱《民法典》）和《個人信息保護法》?！睹穹ǖ洹返谒木幍诹拢[私權和個人信息保護）不僅強化了個人信息的保護，而且為《個人信息保護法》確立了最基礎的規(guī)則。那么在司法和執(zhí)法中究竟該如何適用《民法典》與《個人信息保護法》呢？

（一）《民法典》與《個人信息保護法》的關系定位及規(guī)范協(xié)調(diào)

關于《民法典》和《個人信息保護法》的關系問題，學者們各持己見。一種觀點認為《個人信息保護法》是一部保護個人信息的綜合性立法，其所包含的個人信息的私法規(guī)則，與《民法典》構(gòu)成特別法與一般法的關系[1]。但另一種觀點認為《個人信息保護法》和《民法典》都是基本法。雖然《個人信息保護法》與《民法典》存在一定的交叉，但兩者的任務和性質(zhì)存在根本不同，前者是旨在保護新型權利的公法，后者是確立民事基本制度的私法，故不能將《個人信息保護法》視為民法特別法[2]。

實際上，上述觀點都有失妥當。一方面，《民法典》作為民事權利的“宣言書”，其保護個人信息的基本目的是保障人民群眾在數(shù)字化時代所享有的各項民事權益，這與《個人信息保護法》保護個人信息權益的立法目的有著異曲同工之妙。但另一方面，二者在調(diào)整方法和范圍上存在根本不同：《民法典》側(cè)重于從侵權責任角度調(diào)整平等主體之間的個人信息處理關系；《個人信息保護法》則主要站在預防角度作出全過程、全方位的規(guī)范以調(diào)整信息能力不平等的主體間的個人信息處理活動[3]191。據(jù)此，無論是將《個人信息保護法》視為《民法典》的特別法抑或是二者均為基本法的觀點都是有失偏頗的，是片面的，采取類型化的思考方式系理性之選[4]。具言之，《民法典》與《個人信息保護法》的關系至少可分為下述若干類型：《個人信息保護法》對《民法典》相關規(guī)定進行了充實與豐富發(fā)展；《個人信息保護法》的規(guī)定相對于《民法典》的規(guī)定是特別規(guī)定而應當優(yōu)先適用；《個人信息保護法》通過轉(zhuǎn)介條款或相關規(guī)定指向《民法典》的相關規(guī)定；《個人信息保護法》與《民法典》有不同的規(guī)范目的而分別適用于不同的情形等。

（二）個人信息的民法定位：一般人格權

有關個人信息性質(zhì)的爭議仍“不絕于耳”，個人信息模糊的民法定位②有礙其私法救濟路徑。人格利益保護的私法定位成為主流認識，學界的討論也主要集中在人格權體系[5]。但當前對個人信息法律性質(zhì)這一基礎性問題的研究尚未終結(jié)，仍存在權利說（具體人格權）與法益說之爭。遵循現(xiàn)行法的相關規(guī)定，宜將個人信息定位為一項人格權益而非獨立的人格權。個人信息保護規(guī)范被納入《民法典（人格權編）》，表明其已被立法者所關注，是社會利益訴求多發(fā)的種類，亦是審判實踐經(jīng)常面臨的訴求[6]160。但這并非將個人信息權益上升為了一項新興的具體人格權?！睹穹ǖ洹返?11條、第1034條未采用“個人信息權”的概念；第六章章節(jié)名——“隱私‘權’和個人信息‘保護’”③也足以說明個人信息僅僅是一項人格權益?？梢?，《民法典（人格權編）》延續(xù)了《民法典（總則編）》第五章的民事權利體系，將個人信息規(guī)置為“其他人格權益”，即一般人格權④；《個人信息保護法》亦遵循上述制度模式，將“保護個人信息‘權益’”作為其立法目標。此外，《民法典》之所以未將個人信息確認為一項具體人格權，是由于個人信息兼具個人與公共屬性。申言之，個人信息“權利說”可能會妨礙數(shù)據(jù)的共享、利用以及大數(shù)據(jù)產(chǎn)業(yè)在我國的發(fā)展，而“權益說”則適當?shù)仄胶饬诵畔⒅黧w的利益與數(shù)據(jù)共享、利用的關系[7]213。

二、私益之維：個人信息保護的人格權請求權救濟路徑

研判個人信息的法律性質(zhì)不僅是個人信息保護亟須解決的首要問題，而且直接關系到個人信息的私法保護路徑。

（一）個人信息權益受侵害適用人格權請求權救濟

個人信息權益能否適用一般性人格權保護規(guī)則存疑?！睹穹ǖ洹返?89 條規(guī)定人格權編調(diào)整的是因“人格權”的享有和保護產(chǎn)生的民事關系，故“個人信息權益”究竟能否適用《民法典（人格權編）》即人格權請求權存在一定的爭議。但主流觀點認為人格權編的諸多一般性規(guī)范同樣適用于個人信息保護。

個人信息權益適用《民法典（人格權編）》的一般性規(guī)范。法律解釋方法可以消除法律內(nèi)部的不協(xié)調(diào)乃至矛盾現(xiàn)象。從文義解釋角度出發(fā)，《民法典》第990 條第1 款列舉了人格權的具體類型，第2 款規(guī)定了人格權益的一般條款，因此人格權編關于人格權的一般規(guī)定中所出現(xiàn)的“人格權”不僅包括具體列舉的人格權，也包括基于人身自由、人格尊嚴產(chǎn)生的其他人格權益[7]18；從體系解釋角度出發(fā)，《民法典（人格權編）》采取了“總—分”的體系結(jié)構(gòu)：第一章為總則；第二章至第六章為分則。雖然不論是總則抑或分則都包含了人格權益積極行使與利用的規(guī)則，但總則無疑是將共通性規(guī)則集中起來作為一般規(guī)則加以規(guī)定的，故總則關于人格權的一般規(guī)則適用于各分則；從客觀目的解釋角度出發(fā)，人格權的客體是人格利益，人格權編立足于互聯(lián)網(wǎng)、高科技和大數(shù)據(jù)時代，具有鮮明的實踐特色和時代特色[6]155，既保護包括生命、身體、健康、姓名、名譽、隱私、肖像等特別人格利益，也要保護“人身自由+人格尊嚴”的一般人格利益。物質(zhì)性人格權即生命權、身體權和健康權的最高利益位階已得到普遍的認同，其優(yōu)于一般人格權乃至所有民事權利，實行最嚴格的保護[8]。但法律對其他人格權益的保護并沒有明顯的層次區(qū)別，至少不能從《民法典》中看出個人信息與其他權益的位階。既然肖像權、名譽權、隱私權等人格權益都適用人格權編的相關規(guī)定，個人信息權益又有何不可呢？另外，從法律漏洞填補層面來看，即便個人信息在性質(zhì)上不屬于一項權利，亦即個人信息難以被“人格權”所涵蓋，但可以考慮通過目的性擴張的方式從而適用人格權編的相關規(guī)范[9]。

（二）個人信息保護的人格權請求權規(guī)范體系

作為救濟損害的基本責任方式的侵權請求權系統(tǒng)⑤并非萬能，所以需要通過《民法典》和《個人信息保護法》建立特殊的救濟機制以保護個人信息權益。

1.人格權請求權

個人信息權益受侵害適用“人格權請求權+侵權請求權”的雙層保護模式。傳統(tǒng)民法對物權的保護采取“絕對權請求權+侵權請求權”。相比于物權，人格權亦屬于典型的絕對權，在權利價值上更具基礎性[6]162，故《民法典》第995 條確立了對人格權的特殊保護規(guī)則——人格權請求權⑥?！睹穹ǖ洹返?95 條規(guī)定的是“人格權受到侵害”，前已述及，即便將個人信息定位為一項人格權益也并不影響個人信息保護適用《民法典（人格權編）》的一般規(guī)則。將其援引到個人信息保護時，可以理解為個人信息權益受到侵害或有侵害之虞時，信息主體可以主張人格權請求權進行相應的救濟。實際上，《中華人民共和國消費者權益保護法》第50 條早就規(guī)定了：經(jīng)營者侵害消費者個人信息權益的，應當停止侵害、恢復名譽、消除影響、賠禮道歉，并賠償損失。同時，《民法典》第995 條前款是連接人格權請求權與侵權請求權的引致條款，其將侵害人格權的法律適用“引致”《民法典（侵權責任編）》。與侵權損害賠償請求權相比，人格權請求權的構(gòu)成要件相對寬松。前者出現(xiàn)在人格權益受到侵害并且造成損害后果發(fā)生后，對所有權益損害的后果一視同仁加以事后救濟；而后者是積極防御權，作用于人格權益有被妨害之虞以及正在遭受不法妨害之時，以防范人格權益受損。

《個人信息保護法》第44-50 條規(guī)定的個人信息權能不僅是對《民法典》規(guī)定的信息主體權利的擴充，更是人格權請求權的具體形式，應當優(yōu)先適用?！睹穹ǖ洌ㄈ烁駲嗑帲返诹乱?guī)定了個人在個人信息的處理活動中的諸多權利或職能：知情同意權、查閱權、更正權和刪除權。前已述及，《個人信息保護法》對《民法典》相關規(guī)定進行了充實與豐富發(fā)展。具言之，《個人信息保護法》第44-50條豐富、發(fā)展了上述權利，在《民法典》第1037 條基礎上增加了四項權利：知情權與決定權、個人信息的可攜帶權、補充權、解釋說明權。既然《民法典（人格權編）》總則和分則都包含了人格權積極行使與利用的規(guī)則，而更正權、刪除權等可以說是人格權請求權的具體表現(xiàn)形式[10]。那么個人信息處理者違法處理個人信息致使個人信息受到妨害時，信息主體可直接、優(yōu)先適用《民法典（人格權編）》分則以及《個人信息保護法》;而當《個人信息保護法》的規(guī)定相對于《民法典》的規(guī)定是特別規(guī)定時，應當優(yōu)先適用前者。緣于此，《個人信息保護法》第44-50 條規(guī)定的權利在具體適用上具有優(yōu)位性，而《民法典》第995 條保持“潛伏狀態(tài)”——不應適用此條尋求救濟；當上述列舉的權利不足以實現(xiàn)救濟、無法消除妨害時，方可適用《民法典》第995 條人格權請求權，以實現(xiàn)《個人信息保護法》和《民法典》的良性互動[11]。

2.禁令請求權

“權利的存在和得到保護的程度，只有訴諸民法和刑法的一般規(guī)則才能得到保障”[12]41。我國《民法典》對人格權的保護方法，同樣也可以適用于《個人信息保護法》，例如人格權侵害禁令制度。該制度是人格權請求權的獨立實現(xiàn)程序，亦是《民法典（人格權編）》的一大亮點。這是因為《個人信息保護法》并未包含個人信息保護的全部私法規(guī)范，只有將《個人信息保護法》與《民法典》的相關規(guī)定相結(jié)合，才能形成完備的個人信息保護規(guī)則體系。信息主體因個人信息權益受到侵害向人民法院申請上述禁令時，人民法院應按照《民法典》第997條規(guī)定的具體條件進行審查。

三、起承轉(zhuǎn)合：個人信息保護公益訴訟制度的生成機理

民事法律對個人信息保護作了很大的貢獻，立法也較為周密，單純圍繞個體私益的案件完全可以通過民事私益訴訟進行維權。但“小額分散性侵害”信息侵權行為可能涉及公益與私益的交織，這意味著純粹的私益救濟模式——“人格權請求權+侵權請求權”可能力有不逮，故保護“個人信息權益+社會公共利益”有必要另辟蹊徑，而公益訴訟的生成機理與程序邏輯正契合這一要求。

（一）個人信息保護公益訴訟制度的必要性

對公共利益的保護并不能通過單一渠道加以完成和實現(xiàn)，多元的公共利益保護途徑是完善的公共利益保護機制的必然選擇[13]1。

1.個人信息私益訴訟“心余力絀”

首先，訴訟程序啟動受限，難以發(fā)揮人格權請求權預防損害抑或是侵權請求權賠償損害的功能。個人信息侵權行為往往具有隱蔽性、復雜性、規(guī)模性、專業(yè)性等，信息主體難以發(fā)現(xiàn)個人信息權益受損。即便發(fā)現(xiàn)了，大規(guī)模的個人信息侵權突破了一般民事侵害的界限，侵權人與被侵權人具有間接性，侵害對象不特定，侵權行為與結(jié)果不一定存在實體上的利害關系[14]。根據(jù)傳統(tǒng)“利害關系人”理論，個人可能無法提起訴訟。其次，當事人理性漠然。面對“小額分散性侵害”的信息侵權行為，私權的私益救濟鑒于高昂的行權，尤其是訴訟成本而慘遭所謂的“理性的漠然”。個人信息處理者需要處理、分析數(shù)以億計條信息以得出其需要的數(shù)據(jù)，這涉及眾多權利主體，相對應的單條信息的價值并不高[15]74。就算能夠證明自己是利害關系人，考慮到維權成本和收益之間的懸殊差距，信息主體往往不愿大費周章地提起個人私益訴訟，但出于“搭便車”的心理其往往期待他人提起訴訟制止此類侵犯社會公共利益的侵權行為。信息主體自甘放棄行權，個人信息處理者的違法行為自然也就得不到相應的“懲戒”，繼而無法發(fā)揮實體規(guī)范的威懾和預防功能。最后，兩造的不平衡性。個人信息侵權私益訴訟中雙方當事人的不平等性不僅表現(xiàn)在雙方經(jīng)濟實力上的懸殊差異、有無律師代理等因素造成難以平等行使訴訟權利，而且還體現(xiàn)在因距離證據(jù)的遠近、接近證據(jù)的難易程度、舉證手段和舉證能力的差異所致的事實上的不平等[16]。個體在個人信息權益受損時往往選擇沉默，即便訴之于訟，信息主體的訴求難以獲得支持，少數(shù)維權成功的個例亦難以震懾侵權主體。更談何遏制此類社會性問題？相較于信息主體，以網(wǎng)絡運營者為代表的個人信息處理者在資金、技術等方面都具有優(yōu)勢；實力地位的懸殊造成證據(jù)在雙方當事人之間的分布是極其不平衡的，用于證明要件事實的證據(jù)材料往往處在個人信息處理者的控制領域內(nèi)，而信息主體則可能無從知曉有關證據(jù)材料的信息，即難以獲取證據(jù)。即便是侵權認定成功，法官更傾向于做出較輕的判決，損害賠償金額與實際損失相差甚遠[17]。傳統(tǒng)私益訴訟不僅難以震懾侵權主體，而且直接作用的范圍和影響范圍基本上限定于個案，社會效果微弱?？梢?，私益訴訟無法救濟眾多個人受損的利益，就算能夠提供相應的救濟，也無法產(chǎn)生超越個案的意義。

2.個人信息公法保護“力有不逮”

既有的公力救濟的局限性愈漸凸顯。當民法典不能有效保障個人信息權益時，刑事司法、行政司法則及時跟進，通過懲罰和救濟，充分全面保護法益[18]。目前“二次規(guī)范”主要包括了刑法與行政法保護，但同為公權力的刑罰權與行政權理應具備謙抑性[19]，這就要求啟動公法保護程序的前提是侵權行為造成嚴重的后果。此外，行政機關“失范”不足為奇，甚至頻發(fā)“監(jiān)守自盜”。作為信息行業(yè)監(jiān)管者之一的行政機關本應對侵害個人信息的行為加以行政處罰，但實踐中相關主管部門極少對企業(yè)處理用戶個人信息的失范行為施以行政處罰，甚至還出現(xiàn)政府部門公職人員在信息資源化、商業(yè)化利誘下利用公權力私利尋租，侵犯公民個人信息的情況[20]195。

（二）個人信息保護公益訴訟制度的可行性

1.個人信息的公共屬性

個人信息具備公共屬性，關涉社會利益，這為公益訴訟介入個人信息保護領域奠定了正當性基礎。個人信息作為公共領域的公共素材、材料，其不僅是社會治理、企業(yè)管理創(chuàng)新和改善的資源，也是科學文化藝術創(chuàng)新進步的資源池[21]。以社會治理為例，“健康碼”是我國應對新冠疫情下社會流動的重要嘗試，是個人信息權益等個體權利與疫情防控等公共利益的集合體[22]。這也就意味著信息主體的個人信息權益是可以適度讓渡于更加迫切、現(xiàn)實的公共利益。個人信息的公共性和社會性決定了個人信息保護的公共性和社會性，相應地個人信息保護的責任主體也要以社會為主。當前對傳統(tǒng)個人信息控制理論的反思和批判旨在促使個人信息保護的基本理論從個人本位轉(zhuǎn)變到社會本位、個人控制轉(zhuǎn)變到社會控制，而個人信息的社會本位或社會控制要求保護個人信息的責任主體由以個人為主轉(zhuǎn)向以社會為主。有鑒于此，《個人信息保護》第70 條首次確立了個人信息保護公益訴訟制度，將“個人信息保護”劃定為公益訴訟的新領域，為我國個人信息保護“以個人為主轉(zhuǎn)向以社會為主”提供了治理新思路。

2.公益訴訟的比較優(yōu)勢

公益訴訟滿足信息時代下個人信息保護的特殊要求；同時，附隨的規(guī)模效應能超越個案樣本的局限性、產(chǎn)生廣泛的社會影響，繼而增強對侵權主體的震懾作用以維護個人權益和社會公益[23]41。具言之，其一，公益訴訟的介入有利于形成全方位的個人信息保護屏障，有效破解“較低的察覺率和維權率使得個人信息得不到及時、有效的保護”這一現(xiàn)實困境。理想狀態(tài)是法律規(guī)定的國家機關、社會公共組織和信息主體協(xié)同發(fā)力，共同保護個人信息。以檢察機關為例，其作為憲法賦權的國家的法律監(jiān)督機關無疑是維護公共利益的代表，充當個人信息保護的“守夜人”是其義不容辭的職責。其二，公益訴訟原告能“補強”私益訴訟主體在程序啟動動力、訴訟能力等方面的不足以保持兩造平衡。侵害個人信息行為造成單個權利人的損害甚微，幾乎可以忽略不計抑或是難以計算，這也就抑制了信息主體提起私益訴訟的意愿[20]197。不同的是，提起公益訴訟是《個人信息保護法》賦予人民檢察院、法律規(guī)定的消費者組織和由國家網(wǎng)信部門確定的組織的職權。此外，公益訴訟原告能彌補私益訴訟原告在搜集證據(jù)、訴訟等方面的不足。私益訴訟主體很難獲取與固定證據(jù)，甚至無法辨析具體侵害主體與侵權環(huán)節(jié)，無法證明信息處理者行為與損害之間的因果關系[24]。但檢察人員等具備專業(yè)的法律知識，熟諳訴訟技巧；退一步而言，即便其匱乏個人信息領域的專業(yè)知識，但亦可整合社會資源、尋求外腦幫助，例如邀請互聯(lián)網(wǎng)專家抑或?qū)I(yè)公司協(xié)助辦理案件。

四、公益之維：個人信息保護公益訴訟的程序邏輯

《個人信息保護法》第70 條對個人信息保護公益訴訟僅作出原則性、簡略性規(guī)定，這給具體制度化留下研討空間。

（一）個人信息保護公益訴訟的起訴條件

個人信息保護公益訴訟的起訴條件可拆分為兩大要件：一是“違反本法規(guī)定處理個人信息”；二是“侵害眾多個人的權益”。要件一較好判斷，之所以能夠?qū)⑦`法行為限定在《個人信息保護法》，是因為該法已經(jīng)涵蓋了其他法律規(guī)定的違法處理個人信息的行為。簡言之，《個人信息保護法》對違法行為的概括是周延的。問題在于如何理解要件二，該要件在文義上包含著對“量”的衡量，多少受害人才能稱得上“眾多”？實際上，要件二借鑒了《中華人民共和國民事訴訟法》（簡稱《民事訴訟法》）第58 條“侵害眾多消費者合法權益”的表達方式?！蹲罡呷嗣穹ㄔ宏P于適用〈中華人民共和國民事訴訟法〉的解釋》第75 條解釋了《民事訴訟法》第56 條、第57 條和第206 條規(guī)定的人數(shù)“眾多”（一般指十人以上），但有意回避了第58條。

為有效彌補私益救濟的“不可為、不能為和不便為”[25]162，個人信息保護公益訴訟的起點必須是“寬口徑”的，以保證適格原告能夠順利提起公益訴訟。雖然尚無法把握“眾多”的含義，但公益訴訟之目的在于維護社會公共利益，“眾多”僅作為認定社會公共利益的形式標準。質(zhì)言之，個人信息保護公益訴訟起訴條件應該以是否體現(xiàn)社會公共利益為衡量標準，而不能簡單以“量”為標準或者嚴格限制“量”。實際上，最高人民檢察院下發(fā)的《關于貫徹執(zhí)行個人信息保護法推進個人信息保護公益訴訟檢察工作的通知》為“寬口徑”的起點指明了方向⑦。

（二）個人信息保護公益訴訟的主體

1.適格原告的順位

個人信息保護公益訴訟適格原告的起訴順位存疑。人民檢察院、法律規(guī)定的消費者組織和由國家網(wǎng)信部門確定的組織是個人信息保護公益訴訟的三類適格主體，個人被排除在外。這種限制的理論依據(jù)是國家代表權論，即只有國家才能代表這種不可分利益，組織的代表權也是國家所委托的[26]?！秱€人信息保護法》第70 條對適格主體只是做了指引性規(guī)定，但值得注意的是：該法一改往常，將檢察機關置于訴權主體的首位。這引起理論界關于上述主體在提起個人信息保護公益訴訟時的先后順位之爭。一種觀點認為，鑒于《民事訴訟法》第58 條、《人民檢察院公益訴訟試點工作辦法》第13 條和《兩高關于檢察公益訴訟案件適用法律若干問題的解釋》第13 條等規(guī)定，個人信息保護公益訴訟的起訴順位應當遵循“行政機關/法定組織-檢察機關”[25]162-163；另一種觀點則認為，根據(jù)新法優(yōu)于舊法、特別法優(yōu)于一般法的原則，訴權主體順位應為“檢察機關—消費者組織—有關組織”[27]。

應當提升檢察機關的起訴資格順位，至少做到與消費者組織、有關組織持平。當前對個人信息保護公益訴訟的夯實已經(jīng)成為急迫的現(xiàn)實需要，但無論是通過消費者組織抑或是由國家網(wǎng)信部門確定的組織在短時間內(nèi)落實個人信息保護公益訴訟制度幾乎不大可能。因為主觀上，相關組織是否積極存疑；客觀上，相關的配套制度和人員匱乏。在個人信息保護領域，雖然檢察機關發(fā)現(xiàn)和掌握線索的能力不及國家網(wǎng)絡部門等履行個人信息保護義務的專門組織，但鑒于檢察機關在動機純化、組織架構(gòu)和人財物保障等方面的“比較優(yōu)勢”，現(xiàn)階段由其作為主力軍并無不妥。截至2021 年8 月，檢察機關作為個人信息保護公益訴訟案件的起訴主體的占比高達94%，并在司法實踐中取得良好的實施效果[28]539-540?？梢?，在公益訴訟的適格原告范圍上，打破我國以往秉持的嚴格限制原則不僅具有合法性，也具有實踐基礎。同時，還應當加強各主體之間的銜接與配合。分別發(fā)揮檢察機關和消費者組織、有關組織在辦理公益訴訟案件和掌握線索方面的優(yōu)勢，通力配合，打好“信息保衛(wèi)戰(zhàn)”。

2.適格的被告

公益訴訟路徑?jīng)Q定了適格被告之范圍。個人信息保護公益訴訟的適格被告系指違反《個人信息保護法》處理個人信息、侵害眾多個人權益的個人信息處理者，主要包括兩類：一是經(jīng)營者與服務提供者等私主體；二是履行個人信息保護職責的國家行政機關等公主體。第一類主體并無疑義，從國內(nèi)外的實踐經(jīng)驗來看，在大規(guī)模侵害個人信息權益的案件中被告通常是某些領域內(nèi)的大型企業(yè)（當然并不排除中小型企業(yè)）[29]66-67。但國家行政機關能否作為個人信息保護公益訴訟的適格被告在理論界仍有爭議。筆者認為該問題實質(zhì)上是在討論《個人信息保護法》是否規(guī)定了個人信息保護行政公益訴訟。

《個人信息保護法》并未將個人信息保護行政公益訴訟排除在個人信息保護公益訴訟的路徑外。雖然個人信息保護民事和行政公益訴訟在訴訟對象、被訴行為、訴前程序的必要性和實現(xiàn)路徑等方面存有差異，但二者的目的是一致的：保護個人信息公共利益[30]。作為特殊的個人信息處理者，國家行政機關在處理個人信息時，也可能存在違法行使職權或者不作為侵害眾多個人權益的行為。即便《個人信息保護法》第68 條和相關法律⑧已經(jīng)規(guī)定了其他的解決路徑和相應的法律責任，但這構(gòu)不成排除個人信息保護行政公益訴訟的理由。從司法實踐來看，個人信息保護公益訴訟不局限于民事公益訴訟，例如在最高人民檢察院2021 年4 月發(fā)布的11 起檢察機關提起個人信息保護公益訴訟的典型案例中，個人信息保護行政公益訴訟案件就高達6 起。這表明個人信息保護行政公益訴訟在司法實務中已經(jīng)得到了肯定。

（三）個人信息保護公益訴訟適用舉證責任倒置

《個人信息保護法》第69條第1款確立的個人信息侵權責任過錯推定的原則同樣適用于個人信息保護民事公益訴訟制度。過錯推定屬于可以推翻的法律上的事實推定，是法律對過錯要件的推定，產(chǎn)生舉證責任倒置的效果，本應當由原告負擔的證明被告具有過錯這一事實的證明責任被轉(zhuǎn)移給被告[31]119-120。這是由于個人信息侵權案件的相關證據(jù)往往處于大型企業(yè)的支配之下，原被告雙方形成了極其不平等的地位關系。即便是由公益訴訟原告證明個人信息處理者存在過錯也較為困難，所以有必要通過錯推定原則減輕原告的取證壓力和舉證責任；過錯推定對個人信息處理者而言也非過于苛刻，為其留有免除責任的證明空間。只有個人信息處理者無法證明自己沒有過錯的才推定其存在過錯。需要注意的是，被告可能會隱瞞、轉(zhuǎn)移或刪改信息而自證其行為合法，故原告有權請求人民法院或者其他訴訟參與人調(diào)查取證，此時被告應配合、協(xié)助取證，不得設置技術障礙[32]。另外，個人信息保護行政公益訴訟也應當實行舉證責任倒置。由行政主體承擔其未消極履職或不當履職的證明責任；檢察機關則需提供證據(jù)證明信息侵權行為達到了侵害公益程度以及被告負有依法履行相應監(jiān)管職責而不作為或不依法作為[15]79。

（四）個人信息保護公益訴訟適用懲罰性賠償

個人信息保護公益訴訟作為一項新制度，懲罰性賠償作為來源于英美法傳統(tǒng)的外來制度，這兩項制度疊加所引發(fā)的理論與實踐問題愈漸凸顯?！睹穹ǖ洹返?79 條確立了懲罰性賠償法定原則，對懲罰性賠償?shù)倪m用進行了極其嚴格的限制，以法律明確規(guī)定為前提；不宜通過學理解釋突破?！睹穹ǖ洹贰秱€人信息保護法》等尚未對個人信息侵權案件規(guī)定懲罰性賠償；程序法方面，現(xiàn)有的法律和司法解釋也都沒有將懲罰性賠償?shù)脑V訟實施權授予訴權主體。即便懲罰性賠償面臨上述實體和程序法層面的雙重障礙，在河北省保定市人民檢察院訴李某侵害消費者個人信息民事公益訴訟案中，檢察機關提出了懲罰性賠償訴訟請求并得到人民法院的支持。該案在我國個人信息保護公益訴訟中首次適用了懲罰性賠償規(guī)則，并且得到了司法實務的肯定。事實上，消費公益訴訟懲罰性賠償問題亦遵循上述路徑。當前，懲罰性賠償制度之所以存有爭議，是因為有關該制度的細節(jié)和配套辦法在公益訴訟領域付之闕如。雖然懲罰性賠償都已經(jīng)成為消費公益訴訟實踐中最重要的訴訟請求，但諸如懲罰性賠償金的計算、歸屬以及能否與刑事罰金抵扣等尚無理論、規(guī)范性文件予以指導[33]。此即加大了將懲罰性賠償制度落實到個人信息保護公益訴訟的難度，然這并不能阻礙在個人信息保護公益訴訟中引入懲罰性賠償。

結(jié)語

在大規(guī)模侵害個人信息的案件中，公益訴訟并非唯一的救濟渠道。一切訴訟無不以對公益的保護為目的，公益訴訟不過是傳統(tǒng)私益訴訟對公益保護的深化，兩者在本質(zhì)上具有一致性[34]。但鑒于個人信息保護公益訴訟與私益訴訟在實體利益、程序利益以及制度的設計目標上等方面的差異性，二者并不能相互抵消，各有存在的合理性。申言之，個人信息保護公益訴訟只能起到防御作用，是不完全救濟，公共的個人信息合法權益可能不再遭受損害；但具體受害人的損害只能通過私益訴訟得以完全的填補[29]71-72。據(jù)此，唯有“個人信息保護公益訴訟+私益訴訟”方可構(gòu)建起全方位的個人信息保護屏障。此外，還可能發(fā)生法律責任聚合（同時引發(fā)多種法律后果）的情形。根據(jù)《民法典》第187 條的規(guī)定，個人信息保護公益訴訟并不影響作為侵權人的個人信息處理者承擔相關刑事與行政責任。