論個人信息保護民事公益訴訟起訴主體的范圍與順位

楊雅妮

合格的起訴主體既是起訴行為能夠發生預期法律效果的必要條件,又對司法救濟的范圍和結果有著決定性影響。在我國,最先探索提起個人信息保護民事公益訴訟的是消費者組織和人民檢察院。2017年12月11日,江蘇省消費者權益保護委員會就以保護眾多消費者個人信息為目的,以北京百度網訊科技有限公司為被告,提起了我國首例個人信息保護民事公益訴訟①。與此同時,最高人民檢察院也開始積極探索個人信息保護檢察公益訴訟,在2020年9月出臺的《關于積極穩妥拓展公益訴訟案件范圍的指導意見》中,將個人信息保護納入“等”外拓展領域,由檢察機關提起的個人信息民事公益訴訟案件日益增多。2021年6月15日,《關于加強新時代檢察機關法律監督工作的意見》再次強調,檢察機關應將個人信息保護作為推進公益訴訟檢察工作的重點領域②。以上探索既體現了黨和國家對個人信息保護公益訴訟的高度重視,也為個人信息保護公益訴訟制度的構建提供了實踐經驗。

在學界,學者們則以《個人信息保護法》的制定為契機,主要從法理基礎、必要性及可行性等方面對個人信息保護民事公益訴訟進行了討論③。從已有的研究來看,專門針對起訴主體的成果并不多見,在較為有限的研究中④,爭議主要集中在起訴主體的范圍界定和起訴順位兩個方面。具體包括:一是應否賦予“履行個人信息保護職責的部門”起訴主體資格,二是應否將“法律規定的消費者組織”納入該類訴訟的起訴主體范圍,三是不同類型的起訴主體在具體行使民事公益訴權時是否有順位要求。以上問題均屬于個人信息保護民事公益訴訟制度實施過程中的關鍵性問題,亟須解決。

2021年11月1日實施的《個人信息保護法》第70條雖然對該類訴訟的起訴主體作了規定,但遺憾的是,從條文內容看,既未明確規定“由國家網信部門確定的組織”的范圍,也未對不同類型起訴主體的訴權順位作出具體安排。實踐中,一方面,個人信息保護民事公益訴訟依然主要由檢察機關提起,在起訴主體方面呈現出檢察機關為主、消費者組織為輔的特征,“由國家網信部門確定的組織”之民事公益訴權尚未真正落實;另一方面,對于不同類型起訴主體的訴權順位,各地司法機關仍認識不一,尤其是對于檢察機關提起訴訟時應否履行訴前程序仍存在不同做法。通常情況下,檢察機關在提起獨立的個人信息保護民事公益訴訟時,會按照《民事訴訟法》第58條第2款以及相關司法解釋的規定進行訴前公告,但在刑事訴訟中附帶提起時,則未必能夠按照要求履行訴前程序⑤。在這種背景下,為保障個人信息民事公益訴訟制度的正確實施,應通過對現行規范的教義性解釋,以實現制度目的為根本目標,運用民事公益訴訟相關理論,對個人信息保護民事公益訴訟起訴主體的范圍及訴權順位進行研究。

一、個人信息保護民事公益訴訟起訴主體之教義性解釋

(一)我國個人信息保護民事公益訴訟的起訴主體

我國現行立法在各個領域均否認了個人的民事公益訴權,這就意味著,只有超越直接利害關系的國家機關和法律規定的組織,才能成為個人信息保護民事公益訴訟合格的起訴主體。目前,在我國民事公益訴訟制度體系中,有些是以受侵害利益所涉“領域”(如生態環境、安全生產、文物保護等)為基礎構建的,有些則是以受侵害對象的“身份”為基礎構建的(如消費者、軍人、英雄烈士、未成年人)。這種“縱橫交錯”的立法模式使得個人信息保護民事公益訴訟又可因受侵害對象是否具有特殊身份而被劃分為兩種類型⑥,與此相適應,該類訴訟的起訴主體在實際運行中也就呈現為以下兩種具體樣態。

1.普通主體個人信息權益受侵害時的起訴主體

在這類訴訟中,受侵害對象為普通公民,不具有消費者、軍人、英雄烈士、未成年人等特殊身份。對此,應綜合考慮《民事訴訟法》第58條對民事公益訴訟起訴主體的一般性規定和《個人信息保護法》第70條對個人信息民事公益訴訟起訴主體的專門性規定,將“法律規定的消費者組織”排除在該類訴訟的起訴主體范圍之外,僅由人民檢察院和由國家網信部門確定的組織行使民事公益訴權。

人民檢察院是我國的法律監督機關,其不僅是社會公共利益的最佳代表者,而且擁有其他組織和個人難以企及的充裕資源和超強的訴訟能力。因此,賦予檢察機關個人信息保護民事公益訴訟的起訴主體資格,既是保證其正確履行法律監督職責的需要,又是救濟眾多個人信息權益損害、維護社會公共利益的需要。前已述及,早在《個人信息保護法》實施之前,檢察機關就將個人信息保護作為公益訴訟檢察的新領域進行重點探索,并提起了一批個人信息保護民事公益訴訟案件,在眾多個人信息權益保護方面成效顯著。后來,在2021年11月1日實施的《個人信息保護法》第70條中,檢察機關通過程序賦權中的法定訴訟擔當獲得民事公益訴權,成為該類訴訟的合格起訴主體。在這種背景下,檢察機關就應以維護社會公共利益為己任,依照法律規定扮演好起訴主體角色,通過行使民事公益訴權實現對眾多個人信息權益的保護。

由國家網信部門確定的組織是《個人信息保護法》第70條特別規定的一類起訴主體。之所以將此類主體納入,主要是考慮到由其提起民事公益訴訟可以維護眾多個人信息權益,“較之公權監管,其成本更低;較之私人維權,其更集中有力”[1],符合功能適當原則的基本要求。當前,立法已經對此類起訴主體作出了明確規定,在此情形下,為節約司法成本、提高訴訟效率,降低法院對原告資格的審查難度,國家網信部門應當積極行使確定權,及時向法院和其他相關部門公布組織名單并定期更新。但遺憾的是,由于國家網信部門至今并未列出一個具體名冊,導致此類起訴主體的范圍非常模糊,實踐中,對于哪些組織能夠成為合格的起訴主體,也沒有具體的判斷標準可供遵循。也正因如此,有些組織即使想提起訴訟,也往往會擔心自己不具有原告資格而被駁回,由此類主體提起的個人信息保護民事公益訴訟比較罕見⑦。

2.特殊主體個人信息權益受侵害時的起訴主體

前已述及,當受侵害主體同時具有消費者、軍人、英雄烈士、未成年人等特殊身份時,個人信息保護民事公益訴訟就會與消費者權益保護、軍人權益保護、未成年人保護以及婦女權益保護民事公益訴訟等在范圍上存在一些交叉、重疊地帶。在這類針對特殊主體的個人信息保護民事公益訴訟中,對于起訴主體的確定就既要考慮到《民事訴訟法》第58條和《個人信息保護法》第70條的規定,也要考慮到《消費者權益保護法》《軍人地位和權益保障法》《未成年人保護法》以及《婦女權益保護法》等其他立法的規定(如表1所示)。以未成年人保護民事公益訴訟為例,當涉及公共利益的未成年人個人信息權益受到侵害時,對于起訴主體的確定就需要考慮《未成年人保護法》第106條的特殊性規定⑧。

表1 其他立法對民事公益訴訟起訴主體的規定

值得注意的是,《個人信息保護法》第70條雖然賦予了“法律規定的消費者組織”起訴主體資格,但其民事公益訴權僅限于消費者權益保護領域。也就是說,當信息權益受到侵害的“眾多個人”同時擁有消費者這類特殊身份時,“法律規定的消費者組織”才能作為合格的起訴主體提起訴訟。消費者組織雖然是我國實踐中較早探索提起個人信息保護民事公益訴訟的主體,但對于應否賦予其起訴資格,在《個人信息保護法》制定過程中卻存在爭議較大,這從提交全國人大常委會審議的立法草案中就可以得到證實。在提交審議的《個人信息保護法(草案)》一審稿和《個人信息保護法(草案)》二審稿中,均未將消費者組織納入起訴主體范圍,但在最終審議通過的《個人信息保護法》第70條中,卻賦予了“法律規定的消費者組織”民事公益訴權。之所以如此,主要是為了應對個人信息保護的“消費者化”[2]以及實現與消費民事公益訴訟制度的對接,當然也與消費者組織的職責及其在消費者個人信息權益保護方面的專業性與實踐經驗密不可分。需要注意的是,在理解此類起訴主體的范圍時,應將“法律”限定為狹義的法律,在我國現行法律框架內,“法律規定的消費者組織”僅指《消費者權益保護法》第47條規定的“中國消費者協會以及在省、自治區、直轄市設立的消費者協會”。

(二)其他國家和地區個人信息保護民事公益訴訟的起訴主體

在其他國家和地區,基于個人信息侵害的大規模、分散性等特點以及私益救濟的有限性,很多國家和地區都在個人信息保護領域創設了公益救濟模式。尤其是在大陸法系國家和地區,幾乎無一例外地賦予了符合條件的社團法人在眾多個人信息受侵害時提起訴訟的權利。例如,歐盟《通用數據保護條例》(GDPR)第80條第2款就賦予了“依法設立的、以公共利益為法定目標并且活躍于保護數據主體權利與自由領域的非營利性機構、組織或協會”在不經數據主體代表(Representation of data subjects)授權的情況下,針對“數據控制者或數據處理者”提起訴訟的權利⑨。韓國《個人信息保護法》第51條也賦予了符合條件的“團體”以個人信息處理者為被告提起訴訟的權利⑩。根據該條規定,有資格提起訴訟的“團體”包括以下兩類:一類是在公平交易委員會登記、以促進權利增進為目的、團體成員為1000名以上、登記時間超過3年的組織;另一類是最近三年以上有相應的活動實績的、團體成員為5000名以上的、在中央行政機關登記的非營利民間團體?！度鹗繑祿Ｗo條例》(DSG)也規定:數據處理行為侵害數據主體權益的,個人數據保護團體(既可以是專門的公權職能部門,也可以是保護個人信息的團體)可以不經單個數據主體的授權直接向法院提起訴訟主張防御型請求權。同時,該法在第34條第3款還要求該類團體的“章程規定和具體活動都須致力于數據保護”。除以上外,我國臺灣地區的“個人資料保護法”也規定了團體訴訟制度以保護多數人個人信息,并賦予“符合一定條件的財團法人或公益社團法人”在經當事人“書面授予訴訟實施權”后有主張損害賠償的權利。同時,根據其“個人資料保護法施行細則”第31條的規定,這類訴訟的主體范圍非常廣泛,幾乎包括所有具備個人資料保護專業能力的社會團體[3]。

從上述做法來看,這些國家和地區主要依托傳統的團體訴訟制度對眾多個人信息權益進行保護,并賦予了符合條件的社團法人提起訴訟的權利。通過歸納對比發現,不同國家和地區的立法幾乎都從社團目的、設立時間、社員人數等方面對社團法人的起訴資格提出了要求。據此,要成為該類訴訟的合格起訴主體,通常應具備以下三個條件:一是公益性,即從設立目的來看,該類社團法人不以營利為追求,在設立之初就具有維護公共利益的法定目標。二是專業性。對此,其他國家和地區的立法主要從設立時間、規模人數以及活動內容等方面對該類起訴主體進行限定,規定其必須長期從事個人信息保護公益活動且擁有相當數量的專業人才,有能力通過提起訴訟的方式維護眾多個人信息權益。三是合法性,即要求該類社團法人具有合法開展公益活動的主體身份,要么是依法設立的,要么是由有權主體依照法律規定確定的,該項要求能夠確保起訴主體身份的合法性。

二、個人信息保護民事公益訴訟起訴主體范圍之反思

早在《個人信息保護法》實施之前,就有學者基于我國個人信息保護民事公益訴訟的實踐以及網絡環境下個人信息侵害的特殊性,主張應適度擴大該類訴訟的起訴主體范圍,并“賦予網絡運營者以原告資格”[4]。后來,考慮到網絡運營者的營利性特征以及對賦予其原告資格可能帶來的濫訴擔憂,最終通過的《個人信息保護法》第70條并未將網絡運營者納入該類訴訟的起訴主體范圍。前已述及,即使在《個人信息保護法》實施之后,理論界和實務界仍對如何理解該類訴訟的起訴主體范圍存在爭議?；诖?本部分將以學界爭議較大的“履行個人信息保護職責的部門”“法律規定的消費者組織”以及“由國家網信部門確定的組織”為分析對象,對該類訴訟的起訴主體范圍進行反思。

(一)“履行個人信息保護職責的部門”主體資格之否定

對于應否賦予“履行個人信息保護職責的部門”起訴主體資格,在《個人信息保護法》制定過程中,學界曾進行過熱烈討論,立法者的認識也存在較大分歧。在2020年10月21日提交審議的《個人信息保護法(草案)》一審稿第66條和2021年4月29日提交審議的《個人信息保護法(草案)》二審稿第69條中,雖然條文序號有所不同,但均賦予了“履行個人信息保護職責的部門”提起個人信息保護民事公益訴訟的資格。與此同時,有學者也以《個人信息保護法(草案)》的內容為依據,認為有權提起該類訴訟的主體“是檢察機關、履行個人信息保護的行政機關及法定組織”[5]。但在最終通過的《個人信息保護法》第70條中,并未將“履行個人信息保護職責的部門”納入該類訴訟的起訴主體范圍。

上述爭議背后的實質性問題是如何看待行政執法與司法救濟的關系。對此,學界普遍認為,首先,與司法救濟相比,行政權的公益性、強制性、高效性、廣泛性決定了行政執法更能及時、有效地遏制個人信息處理者對眾多個人信息權益的侵害。也就是說,只要享有行政執法權的部門能夠充分行使好行政權力,眾多個人的信息權益就能得到有效維護,其當然也就不具有提起民事公益訴訟的必要性,不應賦予其民事公益訴權。其次,在我國,“履行個人信息保護職責的部門”往往既是擁有行政權力的個人信息管理者,又是社會公共利益的代表者,這種雙重角色使得一旦賦予其民事公益訴訟主體資格,不僅“難免有疊床架屋之嫌,還會造成行政資源的浪費”[6]。再次,對于“履行個人信息保護職責的部門”而言,通過行使行政執法權(如罰款等)就能履行好保護眾多個人信息安全的職責,如果再賦予其起訴主體資格,使其能夠較為便利地啟動公益訴訟程序,不僅容易助長其執法“惰性”,還會導致行政機關的角色錯位。最后,從我國民事公益訴訟立法來看,將行政機關排除在起訴主體范圍之外也是慣常做法?！睹袷略V訟法》第58條第1款雖然原則性賦予了“法律規定的機關”民事公益訴權,但目前公認的唯一通過法律授權獲得原告資格的只有《海洋環境保護法》第89條第2款規定的“行使海洋環境監督管理權的部門”。除此之外,在《消費者權益保護法》《英雄烈士保護法》《環境保護法》《未成年人保護法》《安全生產法》《軍人地位和權益保障法》等立法中,均未賦予行政機關民事公益訴權,可見,否定“履行個人信息保護職責的部門”的起訴主體資格,也與我國已有立法的精神相吻合。

現階段,我國在個人信息保護方面已經形成了“網信部門統籌協調+有關部門各自監管”的模式,除國家網信部門外,個人信息權益保護職責分散在中央政府部門(工信部、公安部、交通運輸部、市場監管總局等)、專業監管機關(銀保監會、國家衛健委、中國人民銀行等)以及網絡、工信、金融、教育、醫療衛生、不動產登記等領域的監管部門[7]。雖然有學者提出應新設“全國數據保護委員會”,并賦予其“提起公益訴訟等權限”[8],但仔細分析發現,在我國“設立獨立的數據保護機構不具有必要性”[9],既不符合我國政治、經濟、文化等制度發展的現實情況,也與《數據安全法》《個人信息保護法》中所確立的個人信息保護模式不符。

在這種背景下,應以現行立法所確立的個人信息保護模式為依據,打破“九龍治水”條塊分割的混亂局面,加強執法協作,杜絕差異化與選擇性執法,繼續構建和完善具有中國特色的“1+X”個人信息保護機構體系,在國家網信部門與其他負有個人信息保護職責的部門之間形成有效的協同配合監管體系[10]。作為“負有個人信息保護職責的部門”,應當在個人信息保護領域行使好行政執法權,而不是一遇到問題就去向司法機關尋求救濟。當然,雖然“履行個人信息保護職責的部門”不能作為起訴主體提起訴訟,但其并不是在公益維護方面無可作為,如果其他起訴主體打算或者已經提起訴訟,其可以通過支持起訴制度,為人民檢察院、相關社會組織等起訴主體維護社會公共利益助力。

(二)“法律規定的消費者組織”之擴張

根據現行立法,此類起訴主體的民事公益訴權既要受到違法行為所涉領域的限制,又要受到起訴主體的級別限制。一方面,從違法行為所涉領域來看,由于消費者組織的職責和活動目的均在于保護消費者的合法權益,因此,此類主體“僅能就與市場活動和消費行為相關的損害個人信息的行為提起公益訴訟”[2],對于消費領域以外的眾多個人信息權益侵害,其并不享有起訴主體資格。另一方面,從起訴主體的級別來看,有權提起訴訟的消費者組織僅限于中國消費者協會以及省、自治區、直轄市一級的消費者協會,其他級別的消費者協會并未被賦予起訴資格。

這種雙重限制所導致的結果就是,自消費者協會被賦予民事公益訴訟原告資格以來,由其提起的個人信息保護民事公益訴訟可謂是“屈指可數”,消費者組織在眾多消費者個人信息保護方面的功能受到明顯制約。為了解近年來消費者協會提起訴訟的情況,筆者以“個人信息”為關鍵詞并包含“民事公益訴訟”,將審級限定為一審程序,將文書類型限定為判決書、裁定書和調解書,在威科先行·法律數據庫進行了檢索,截至2022年9月25日共檢索到288個案件,去除重復案例和無關案例后,得到有效樣本193個。在193個案件中,由檢察機關作為起訴主體的案件有188件,由法律規定的消費者組織作為起訴主體的案件有5件(如圖1所示)。

圖1 樣本數據中個人信息保護民事公益訴訟的起訴主體

基于此,要有效激活消費者組織的公益維護功能,使其真正成為眾多消費者個人信息權益的“保護神”,應從范圍和級別兩個方面適當放寬對消費者組織的條件要求。其實,自消費民事公益訴訟制度建立以來,有學者就對其起訴主體范圍進行研究,并認為其適格原告范圍過于狹隘,應進一步放寬。雖然這些探索不是專門針對個人信息保護的,但能夠為研究消費者個人信息保護民事公益訴訟起訴主體提供參考。在這種背景下,一方面,可以通過法律授權的方式賦予其他依法成立的消費者組織民事公益訴權。在我國,其他依法成立的消費者組織(如中國保護消費者基金會、南方食品質量檢驗檢測中心等)主要是指除消費者協會以外的,“由消費者依法成立的旨在維護自身合法權益的社會團體”。根據《消費者權益保護法》第36條的規定,與消費者協會一樣,這類組織也具有保護消費者合法權益的職能,因此,將其納入起訴主體范圍既是保護眾多消費者個人信息權益的需要,又能助推社會力量更深入地參與社會治理。值得關注的是,現階段,已經有地方立法明確承認了“法規規定的組織”的民事公益訴權,對有權提起訴訟的消費者組織范圍進行了拓展。例如,2022年1月1日實施的《深圳經濟特區數據條例》第98條第1款就將有權提起公益訴訟的主體規定為“法律、法規規定的組織”,其范圍明顯大于《民事訴訟法》第58條第1款中的“法律規定的組織”。另一方面,現行立法將有權提起訴訟的消費者協會限定為省級以上的做法“顯然過于嚴格”[11],可以通過對《消費者權益保護法》第47條的修改,取消對消費者協會的“級別”要求,將其他級別的消費者協會納入起訴主體范圍。該觀點也得到了學界的認同,如有學者就認為,在眾多金融消費者個人信息權益受侵害時,“應該允許各級消費者權益保護委員會”[12]提起民事公益訴訟。

(三)“由國家網信部門確定的組織”之明確

要明確此類起訴主體,需要解決“誰確定”和“確定誰”兩個關鍵性問題:一是誰來行使確定權?主要體現為應否保留國家網信部門對此類起訴主體的確定權以及如何理解國家網信部門的范圍?二是國家網信部門在行使確定權時,應考慮哪些因素?即應將什么樣的組織納入該類訴訟的起訴主體范圍?上述問題,均是個人信息保護民事公益訴訟實踐中亟須解決的問題,如果不加以明確,勢必會導致起訴主體范圍模糊,不僅會給司法實踐增加操作難度,而且會進一步加劇司法的不規范現象。

針對第一個問題,學界雖展開了一定討論,但認識并不一致。有學者認為,為調動社會組織保護眾多個人信息權益的積極性,應“取消國家網信部門對提起民事公益訴訟的主體的確定權”[13],讓更多的組織能夠以適格原告的身份提起訴訟;有學者則認為,應繼續保留國家網信部門確定權,并將其擴大解釋為“省級以上”的網信部門,由“省級以上的網信部門”及時向社會公布享有民事公益訴權的組織名單[6]。上述爭議背后的實質是,應否通過國家網信部門行使確定權的方式對此類起訴主體的范圍進行限制?對此,筆者認為,既然《個人信息保護法》第70條已經規定了國家網信部門對此類起訴主體的確定權,就應以現行法律為依據,由國家網信部門依法行使確定權,制定具體的確定標準,并定期公布和更新組織名單。至于國家網信部門的范圍,應在充分考慮眾多個人信息侵害的廣泛性和跨區域性基礎上,對其進行嚴格限定,即“僅指中華人民共和國國家互聯網信息辦公室”[14]。

針對第二個問題,學界主要從類型和條件兩個層面對能夠被國家網信部門確定為起訴主體的組織進行了思考。關于“類型”,學界主要形成了兩種觀點:一種觀點認為,該類組織包括以個人信息保護為目的的專業組織、行業組織、其他消費者組織以及第三方機構等[15];另一種觀點則認為,該類組織僅包括專門成立的個人信息保護組織、行業組織及第三方機構等[2],不包括其他消費者組織。上述觀點的差異在于,其他消費者組織能否通過國家網信部門的確定而成為合格的起訴主體?！瓣P于”條件,多數學者都認為,考慮到訴訟目的的公益性、案件類型的專業性以及權利來源的正當性,該類組織應具備非營利性、專業性、合法性等基本特征[6]。還有學者以《環境保護法》第58條為參照,認為要能夠被國家網信部門確定為起訴主體,還應同時滿足登記機關為設區的市級以上民政部門、從事個人信息保護公益活動滿5年且無違法記錄等條件。

以上爭議實質上反映的是國家網信部門在確定該類起訴主體時的兩種不同傾向——“限制”還是“放寬”?有學者從避免多種組織同時起訴和節約司法資源的角度出發,認為應當對相關組織范圍進行必要限制。對此,筆者并不認同。從我國的司法經驗看,雖然2012年《民事訴訟法》就已經賦予社會組織民事公益訴權,但多年來,其提起公益訴訟的意愿一直不夠強烈,這可以從已公開數據中得到證實。以環境民事公益訴訟為例,在全國法院近年來審結的案件中,由社會組織提起的案件(含刑事附帶民事公益訴訟案件)一直占比很低,分別為:2018年16件、2019年58件;2020年103件。除以上外,最高人民法院的統計數據也顯示,自2015年1月至2019年12月,在全國法院審理的環境民事公益訴訟案件中,由社會組織提起的僅為330件[16]。根據上述數據可以預見,即使未來放寬對該類組織的類型和條件要求,并不會產生多個組織同時提起訴訟以及因起訴主體濫用訴權而浪費司法資源的現象。相反,對適格原告范圍的擴張將有助于拓寬個人信息公益司法救濟的“入口”,在根本上有利于實現訴訟目的。

基于上述分析,為充分發揮社會組織維護眾多個人信息的功能,應從類型和條件兩個方面適當放寬對該類起訴主體的要求。一方面,考慮到現行立法對“法律規定的消費者組織”范圍的規定以及消費者個人信息受侵害嚴重的客觀實際,在《消費者權益保護法》未賦予“其他消費者組織”民事公益訴權的前提下,可由國家網信部門通過行使確定權的方式將其納入起訴主體范圍。另一方面,為保證盡可能多的組織能夠獲得起訴主體資格,應“考慮在實定法上降低這類組織獲得訴權的門檻條件”[15]。對此,應僅從活動目的和專業性方面從寬把握即可,不再對登記機關的級別和成立年限方面作具體要求。這是因為,登記機關的級別并不能保證該類組織在個人信息保護方面的專業性,成立年限也與組織的業務能力強弱沒有必然聯系。

三、個人信息保護民事公益訴訟起訴主體訴權順位之厘清

(一)學界對起訴主體訴權順位的爭論

對于不同類型起訴主體的訴權順位,學界一直存在爭議,主要形成了“等位說”和“差位說”兩種觀點?！暗任徽f”的主張者從訴訟信托理論出發,認為立法規定的不同起訴主體都代表公共利益,在具體行使訴權時“無須禮讓,先訴者優先即可”[17]?！安钗徽f”的主張者則認為,不同主體所享有的民事公益訴權是存在先后次序的,起訴主體不同,其所享有的訴權順位也存在差異,但究竟應遵循何種順序,學者之間又存在不同認識。有學者認為,與《民事訴訟法》第58條的規定有所不同,在個人信息保護民事公益訴訟中,“訴權主體順位是檢察機關——消費者組織——有關組織”;有學者則認為,只有在“法律規定的機關和有關組織”不提起訴訟時,檢察機關才可以提起訴訟,檢察機關的民事公益訴權“居于第二順位”[18];還有學者認為,考慮到個人信息侵權的隱蔽化、技術化等特殊屬性,應在賦予行政機關民事公益訴權之后,“遵循‘行政部門/法定組織——檢察機關’的起訴順位”[5]。

(二)厘清起訴主體訴權順位應遵循的思路

以上爭議,反映出當前學界對于《個人信息保護法》第70條與《民事訴訟法》第58條關系的認識是存在分歧的。也就是說,在個人信息民事公益訴訟中,起訴主體行使訴權時應否受制于《民事訴訟法》第58條規定的訴權順位,學者之間存在不同觀點。有學者認為,在確定起訴主體的訴權順位時,根據“新法優于舊法、特別法優于一般法”的原則,在該類訴訟中,應優先適用《個人信息保護法》第70條的規定。對此,筆者并不認同。理由在于,《個人信息保護法》第70條并未對不同起訴主體的訴權順位作出特殊安排,在這種情況下,既然《民事訴訟法》第58條第2款已經對“法律規定的機關和有關組織”與人民檢察院的訴權順位作了規定,就應當以此為根據,將《民事訴訟法》第58條第2款規定的訴權順位落實到個人信息保護民事公益訴訟之中。

至于有學者所認為的“《個人信息保護法》將人民檢察院列于其他公益訴訟主體之前,與法律規定的消費者組織和由國家網信部門確定的組織同處于第一順位”[19]的觀點,既缺乏具體依據,也與我國現行立法和司法實踐不符。首先,從《個人信息保護法》第70條的內容來看,其主要是對起訴主體范圍的規定,并未涉及對不同起訴主體訴權順位的安排,因此,無法從《個人信息保護法》第70條的語義推斷出不同起訴主體“同處于第一順位”的結論。其次,在地方立法層面,《深圳經濟特區數據條例》第98條第2款已將“法律、法規規定的組織”的民事公益訴權置于檢察機關之前,再次彰顯了檢察機關的民事公益訴權的補充性特征,因此,認為不同主體“同處于第一順位”的觀點也不符合地方立法的規定。最后,自檢察公益訴訟試點開始,不論是“試點”期間出臺的司法文件,還是“入法”之后出臺的司法解釋,都將履行訴前程序作為檢察機關提起訴訟的前置性條件,因此,認為不同主體“同處于第一順位”的觀點也不符合我國的司法慣例。由此可見,在個人信息保護民事公益訴訟中,將檢察機關的訴權置于補充順位既體現了檢察機關民事公益訴權的特殊性,也符合我國立法和司法慣例,應當予以遵循。不僅如此,這種順位安排還“能督促負有監管職能的行政機關和有關組織切實履行職責”[20],更有利于激發其在個人信息保護方面的能動性。

(三)不同類型起訴主體訴權順位之確定

遵循以上思路,在個人信息保護民事公益訴訟中,應綜合考慮現行立法及相關司法解釋的相關規定,對不同類型起訴主體的訴權順位作出如下安排。

一是“法律規定的消費者組織”的訴權優先于檢察機關。對于這兩類起訴主體的訴權順位,《民事訴訟法》第58條第2款已經作出了明確規定,以此為據,檢察機關在消費者個人信息保護領域提起訴訟時,應當先依法履行訴前程序,只有在符合條件的消費者協會不提起訴訟時,檢察機關才能提起。這種訴權順位安排符合我國立法對檢察機關民事公益訴權的定位,既能夠有效發揮“法律規定的消費者組織”的公益維護功能,也有利于維持“兩造對立”的民事訴訟基本結構。

二是“由國家網信部門確定的組織”的訴權優先于檢察機關。對于這兩類起訴主體的訴權順位,《個人信息保護法》第70條沒有作出明確規定。前文已經述及,能夠被國家網信部門確定為起訴主體的組織不僅具有“非官方性”的特征,而且在范圍上非常廣泛,幾乎涵蓋了所有具有個人信息保護功能的公益性組織。在這種背景下,將該類組織的訴權置于檢察機關之前,同樣有利于調動社會力量在保護眾多個人信息方面的積極性,實現利用社會力量實現公益維護之目的。

三是“法律規定的消費者組織”的訴權優先于“由國家網信部門確定的組織”。這種情況主要發生在眾多消費者個人信息保護領域。根據現行立法,當個人信息處理者違法處理眾多消費者個人信息、造成社會公共利益損害時,既可由“法律規定的消費者組織”依據《消費者權益保護法》第47條的規定提起消費民事公益訴訟,也可由“國家網信部門確定的組織”依據《個人信息保護法》第70條的規定提起個人信息保護民事公益訴訟。這就會在實踐中出現“法律規定的消費者組織”與“國家網信部門確定的組織”的訴權順位選擇問題,也就是說,當眾多消費者的個人信息權益受到侵害時,究竟應當由哪個主體優先行使起訴權?迄今為止,我國立法并未對這兩類起訴主體的訴權順位作出安排,實踐中也存在不同做法,需要在正確認識兩類訴訟關系的基礎上進一步研究。筆者認為,從受侵害對象來看,相對于普通公民而言,消費者顯然屬于特殊主體,因此,應將針對眾多消費者個人信息侵害提起的民事公益訴訟視為個人信息保護民事公益訴訟的一種特殊類型。當個人信息處理者的違法行為侵害眾多消費者個人信息權益時,應由在消費者權益保護領域更為專業的消費者組織優先行使民事公益訴權,這樣更有利于維護眾多消費者的個人信息權益。只有在消費者組織明確表示不提起訴訟時,“由國家網信部門確定的組織”才能行使民事公益訴權。

此外,在我國現行法律框架內,還可能出現侵害眾多軍人、眾多未成年人以及眾多婦女個人信息權益的情形,對此,也應參考消費者個人信息保護領域的做法,將這些針對特殊主體的個人信息保護民事公益訴訟視為個人信息保護民事公益訴訟的特殊類型,以《軍人地位和權益保障法》《未成年人保護法》以及《婦女權益保障法》等立法為依據,將民事公益訴權優先配置給這些立法所規定的起訴主體。

結 語

《個人信息保護法》第70條雖然規定了個人信息保護民事公益訴訟制度,但迄今為止,在該類訴訟運行的過程中,起訴主體范圍不明以及訴權順位不清等問題依然存在,給司法的規范性和統一性造成了嚴重影響。筆者認為,在起訴主體范圍方面,應否定“履行個人信息保護職責的部門”的主體資格,放寬對“法律規定的消費者組織”的要求,明確“由國家網信部門確定的組織”的類型與條件。在訴權順位方面,當受侵害對象為普通公民時,尊重檢察機關民事公益訴權的補充性,將“國家網信部門確定的組織”的起訴順位置于檢察機關之前;當受侵害對象為眾多消費者時,考慮到其特殊身份,應依次由“法律規定的消費者組織”“由網信部門確定的組織”和檢察機關行使起訴權。

注釋

①值得注意的是,該案雖被法院受理,但在立案之后,由于百度公司積極進行了整改,最終以原告撤訴而結案。詳見江蘇省南京市中級人民法院(2018)蘇01民初1號民事裁定書。②該意見要求要“積極穩妥推進公益訴訟檢察”,“探索辦理安全生產、公共衛生、婦女及殘疾人權益保護、個人信息保護、文物和文化遺產保護等領域公益損害案件,總結實踐經驗,完善相關立法”。③參見林琳:《兒童個人信息網絡保護的司法路徑——以公益訴訟為視角》,《法律適用》2022年第4期;薛天涵:《個人信息保護公益訴訟制度的法理展開》,《法律適用》2021年第8期;洪浩、趙祖斌:《個人信息保護中檢察公益訴權配置的根據》,《內蒙古社會科學》2020年第6期;邵俊:《個人信息的檢察公益訴訟保護路徑研究》,《法治研究》2021年第5期;陳奇偉、聶琳峰:《個人信息公益訴訟:生成機理、適用困境與路徑優化——基于203份裁判文書的實證分析》,《南昌大學學報》(人文社會科學版)2022年第3期。④參見蔣都都、楊解君:《大數據時代的信息公益訴訟探討——以公眾的個人信息保護為聚焦》,《廣西社會科學》2019年第5期;張陳果:《個人信息保護民事公益訴訟的程序邏輯與規范解釋——兼論個人信息保護的“消費者化”》,《國家檢察官學院學報》2021年第6期。⑤對此,有學者通過對192件民事訴訟樣本的分析發現,在其中181件刑事附帶民事公益訴訟案件中,有101件檢察機關發布了訴前公告;普通民事公益訴訟共11件,有9件由檢察機關調查并發布了訴前公告,有1件直接由消費者組織起訴。綜合來看,除消費者組織直接起訴的1例無須額外公告外,192件案例中僅有110件履行了法定程序(占57．29%),所占比例明顯偏低。參見陳奇偉、聶琳峰:《個人信息公益訴訟:生成機理、適用困境與路徑優化——基于203份裁判文書的實證分析》,《南昌大學學報》(人文社會科學版)2022年第3期。⑥即普通主體個人信息保護民事公益訴訟和特殊主體個人信息保護民事公益訴訟。⑦對此,有學者做過統計,在203件案例中,198件由檢察機關提起,5件由消費者組織提起,由網信部門確定的組織則從未提起過。參見陳奇偉、聶琳峰:《個人信息公益訴訟:生成機理、適用困境與路徑優化——基于203份裁判文書的實證分析》,《南昌大學學報》(人文社會科學版)2022年第3期。⑧《未成年人保護法》第106條規定:“未成年人合法權益受到侵犯,相關組織和個人未代為提起訴訟的,人民檢察院可以督促、支持其提起訴訟;涉及公共利益的,人民檢察院有權提起公益訴訟?！雹帷锻ㄓ脭祿Ｗo條例》(GDPR)第80條第2款規定:“成員國可以規定,本條第1款規定的機構、組織或協會如果認為數據主體基于本條例而享有的權利因為個人數據處理行為而遭受侵害的,其有權不經數據主體授權依照第77條規定向該成員國有權監管機構提出投訴,并且行使第78、79條所賦予的權利?！雹忭n國《個人信息保護法》第51條規定:“屬于下列各項的團體,在個人信息處理者拒絕進行集團紛爭調解或不認可集團紛爭調解結果的情形下,可以向法院提出請求禁止或停止權利侵害的訴訟?！狈謩e見《瑞士數據保護條例》(DSG)第3條第e項、第34條第3款,參見立法意見報告書“Normkonzept zur Revion des Datenschutzgesetes”,https://perma.cc/D85H-TAKF,最后訪問時間:2018-07-03。我國臺灣地區“個人資料保護法”第34條規定:“對于同一原因事實造成多數當事人權利受侵害之事件,財團法人或公益社團法人經受有損害之當事人二十人以上以書面授與訴訟實施權者,得以自己之名義,提起損害賠償訴訟。當事人得于言詞辯論終結前以書面撤回訴訟實施權之授與,并通知法院?！备鶕_灣地區“個人資料保護法施行細則”第31條的規定,公益團體“指依民法或其他法律設立并具備個人資料保護專業能力之公益社團法人、財團法人及行政法人”。該條與《個人信息保護法(草案)》一審稿第66條的內容完全一致,根據該條規定:“個人信息處理者違反本法規定處理個人信息,侵害眾多個人的權益的,人民檢察院、履行個人信息保護職責的部門和國家網信部門確定的組織可以依法向人民法院提起訴訟?！眳⒁娪鄰?《驅動視角下消費民事公益訴訟的主體安排及其激勵機制》,《江西師范大學學報》(哲學社會科學版)2018年第5期;廖建求:《消費公益訴訟激勵機制研究——基于外部性的理論視角》,《學習與實踐》2017年第11期;劉璐:《消費公益訴訟的法律構造》,《法學》2013年第7期。參見國家工商行政管理局條法司:《消費者保護法講話》,新華出版社1993年版,第124頁?！渡钲诮洕貐^數據條例》第98條第1款:“違反本條例規定處理數據,致使國家利益或者公共利益受到損害的,法律、法規規定的組織可以依法提起民事公益訴訟。法律、法規規定的組織提起民事公益訴訟,人民檢察院認為有必要的,可以支持起訴?！眳⒁姀埿聦?、賴成宇:《個人信息保護公益訴訟制度的理解與適用》,《國家檢察官學院學報》2021年第5期;陳奇偉、聶琳峰:《個人信息公益訴訟:生成機理、適用困境與路徑優化——基于203份裁判文書的實證分析》,《南昌大學學報》(人文社會科學版)2022年第3期。數據來源:《中國環境資源審判(2017—2018)》。數據來源:《中國環境資源審判(2019)》。數據來源:《中國環境資源審判(2020)》。參見張陳果:《個人信息保護民事公益訴訟的程序邏輯與規范解釋——兼論個人信息保護的“消費者化”》,《國家檢察官學院學報》2021年第6期。張陳果:《個人信息保護救濟機制的比較法分析與解釋論展開》,《蘇州大學學報》(法學版)2021年第4期?！渡钲诮洕貐^數據條例》第98條第2款:“法律、法規規定的組織未提起民事公益訴訟的,人民檢察院可以依法提起民事公益訴訟?！备鶕蛾P于檢察公益訴訟案件適用法律若干問題的解釋》第13條和《人民檢察院公益訴訟辦案規則》第91條的規定,檢察機關在提起民事公益訴訟前都必須履行訴前公告程序。