个人信息保护检察公益诉讼制度的完善

胡学峰

（安庆师范大学法学院，安徽 安庆 246133）

随着数据产业的强势崛起，个人信息被侵害的风险进一步加剧，公民个人信息安全面临严峻考验。通过网络大规模收集、披露、滥用公民个人信息的违法行为持续增加，相关侵权事件呈现的群体性特征愈发明显，无疑在一定程度上对社会和谐稳定产生了威胁，进而有损于公共利益，使私益属性较强的个人信息因而具备了公益属性。针对这种状况，我国建立了涉及民事诉讼、刑事治理等手段的法律保护机制，但民事诉讼法规定较为原则、模糊，刑事制裁兼具被动性和谦抑性而力有不逮，既有的个人信息保护机制难以有效解决涉及社会公共利益的个人信息侵权问题。因此，近年来，以最高人民检察院原检察长张军、政协委员连玉明等人为代表，主张由检察机关行使个人信息保护公益诉权的社会呼声日益高涨，党的十九届四中全会也明确要求我国检察机关须进一步“拓宽公益诉讼案件范围”。另外，《中华人民共和国民法典》还以专章形式规定了公众的隐私权和个人信息受法律保护〔1〕，呈现了个人信息保护受到立法重视的事实，且个人信息保护领域的首部综合性立法--《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》）自2021 年11 月1 日起施行，其中第70 条首次在法律层面上确立了个人信息保护检察公益诉讼制度。在实务方面，仅以2022 年为例，全国检察机关共立案办理个人信息保护公益诉讼案件6 000 余件，同比上升近3 倍。由此可见，我国个人信息保护工作在循序渐进地发展，需要立法机关、检察机关和相关学者持续不断的关注与支持。鉴于此，笔者认为，对于《个人信息保护法》施行以来的司法现状进行分析，探讨我国检察机关在个人信息保护公益诉讼中取得的成绩和存在的不足，并提出完善路径，具有很强的现实意义。

一、个人信息保护检察公益诉讼制度的实施现状

在《个人信息保护法》施行之前，检察机关作为现实主体已经开始了个人信息保护公益诉讼的试点运行，并取得了显著的社会效果。同时，司法实践的成功亟需立法方面的支持，在一定程度上倒逼了相关立法的出台和施行。截至2023年11 月底，在中国裁判文书网、威科先行法律信息库以“个人信息、公益诉讼、检察院”为关键词进行检索，共得到423 份生效裁判文书。首先，从一审法院的层级来看，中级法院作出一审裁判的有80 份，余下的343 份一审均为基层法院。其次，从法院的地域管辖来看，广东省发布的裁判文书数量最多，共计51 份，占比约15%；上海市、安徽省发布的裁判文书数量次之，分别为44 份和33 份；再次之便是辽宁省32 份、江苏省28 份、广西壮族自治区22 份以及内蒙古自治区21 份，而其他包括湖南、江西、湖北等在内的20 个省、自治区、直辖市，发布的裁判文书总计192 份，均数明显较少。再次，从年份来看，最近三年作出的裁判文书共有328 份，占比超过77%，其中2022 年有107 份，2021 年有115 份，2020 年有106份，而2019 年仅为32 份。最后，在裁判文书类型方面，338 份判决书是主要的诉讼文书类型，裁定书56 份，调解书26 份，决定书和通知书共3 份。通过对上述423 份裁判文书的样本分析可知，个人信息保护检察公益诉讼制度实施现状主要表现为以下几个方面。

（一）案件类型以刑事附带民事公益诉讼为主

在案件类型方面，个人信息保护刑事附带民事公益诉讼呈现“一家独大”的态势。从423 份样本数据来看，包括“广东省广宁县人民检察院诉谭某某等人侵犯公民个人信息”案等在内的刑事附带民事公益诉讼案件共计355 件，占比近84%，案件数量与占比具有绝对优势。民事案件36 件，行政案件23 件，执行和管辖案件忽略不计。形成这种状况的主要原因是：其一，在个人信息保护行政公益诉讼中，鉴于检察建议的权威性，多数案件止步于诉前阶段，就意味着行政公益诉讼样本量的数据统计较实际情况偏少，因为一些立案而未被检察机关提起公诉的案件事实上没有进入统计范围。其二，在司法实践中，出于对国家公权力的信任，检察机关监管的主要对象是私主体的个人信息处理活动，对行政机关的个人信息管理行为缺少必要的关注。其三，刑事犯罪检察部门在侦办“侵犯公民个人信息罪”等刑事案件过程中，发现被诉主体的违法犯罪行为导致社会公共利益受损，就其应承担的民事侵权责任，移交案件线索至公益诉讼检察部门，由其提起附带民事公益诉讼。

（二）刑事案件是主要线索来源

从整体层面来看，检察公益诉讼的案件线索来源较为广泛，但具体到个人信息保护领域，线索来源则比较单一。参照样本数据，在355 件刑事附带民事公益诉讼案件中，包括“杭州市余杭区人民检察院诉某网络科技有限公司侵害公民个人信息”案等在内的270 件案件是检察机关在履行犯罪侦查、审查起诉等职责过程中发现案件线索，占比超过了76%；有54 件是检察机关在开展公民个人信息保护专项监督行动中发现线索，占比仅为15%；剩余的31 件来自群众检举、控告和新闻媒体的实时报道，占比约为9%。

在检察系统内设机构中，公益诉讼检察部在进行个人信息保护工作时，高度依赖刑事犯罪检察部查办案件所提供的线索，这种依靠系统内部“自己找”的方式获取案件线索来源的做法与其他公益诉讼并无实质区别。究其原因，一方面“捕诉一体”办案机制将批捕权和起诉权集于检察官一身，使得公益诉讼检察部更容易从公安部门和刑事犯罪检察部获得个人信息保护的案件线索；另一方面，对于事实认定，刑事证据要求“排除合理怀疑”，即不存在符合常理、有根据的怀疑，这高于民事证据标准，使得刑事证据可以在个人信息保护刑事附带民事公益诉讼和行政公益诉讼中直接适用，有利于提高质证效率。

（三）胜诉裁判是案件主要办理结果

国家设立个人信息保护检察公益诉讼制度的初衷是保护个人信息社会公共利益不受侵害〔2〕，检察公益诉讼案件办理的最终结果对于受损公共利益的修复具有直接利害关系。在检察机关办案过程中，案件结果与两方面因素存在重要联系：一是检察建议或诉讼请求是否与国家利益、社会公共利益的受损程度相符。二是行政机关或法院可以在多大程度上采纳或支持检察建议与诉讼请求。在个人信息保护检察公益诉讼中，检察机关的诉讼结果如何，能否维持住其他领域检察公益诉讼“大获全胜”的局面？在423份生效裁判文书中，23 件个人信息保护行政公益诉讼案件是由检察机关向行政机关制发检察建议，督促其依法履职，行政机关在收到检察建议后，及时纠正自身错误，因而诉讼程序得以在诉前终结。391 件个人信息保护民事公益诉讼（包括刑事附带民事公益诉讼）案件进入了普通诉讼程序，由法院审理裁判终结程序。从裁判结果来看，包括“河北省保定市人民检察院诉李某侵害公民个人信息”案等在内的多数案件，检察机关提出的全部诉求，均得到了法院的支持。仅有个别案件，法院对检察机关的赔偿金额作了细微调整。总体而言，在个人信息保护领域施行的检察公益诉讼，基本上保持了检察机关在其他领域“连战连捷”的态势。

综上，从个人信息保护检察公益诉讼的司法现状，尤其是案件主要办理结果为胜诉裁判来看，我国检察机关在个人信息社会公共利益保护方面取得了显著成效，但离理想目标尚有差距。与此同时，在个人信息保护检察公益诉讼制度运行过程中，衍生出亟待解决的相关实务难题。

二、个人信息保护检察公益诉讼制度实施中存在的主要问题

（一）检察机关线索收集渠道单一

对于个人信息侵权，检察机关收集案件线索的渠道单一，导致公益诉讼发展受限，难以及时回应社会对个人信息保护的迫切需求。现如今，在手机软件应用市场，由于信息获取的不对称性以及信息处理的私密性等特点，APP 越权收集、滥用用户个人信息的情况比较常见。事实上，用户作为最直接的利害关系人尚且难以发现违法企业的信息侵权行为，检察机关作为第三方主体，想要及时发现、捕捉到个人信息侵权违法犯罪线索的难度更可想而知。中国消费者协会发布的调查报告显示，超八成的APP 用户遇到过个人信息泄露的情况，近七成的APP 获取了自身不必要的隐私权限。从政府机关到私营企业，从事业单位到社会团体，能够收集、掌握公民个人信息的主体多元且广泛，而互联网行业存在监管失守问题，致使非法获取、过度收集、公然贩卖个人信息的违法行为在一定程度上存在。部分个人信息侵权案件在检察机关追诉前，案件线索因双方私下和解而被隐匿，仅靠检察机关自身的力量，难以有效改变“有案难发现”的尴尬局面。而且，即使能够及时发现，但案件线索是否符合个人信息保护检察公益诉讼的立案标准仍有待辨别。参照司法实践，可以发现我国公民的个人信息保护意识薄弱，且在个人信息权益受损后，出于对诉讼成本与难度的考量，受害者维权动力不足。由此可见，检察机关想要通过受害者举报、指控获取线索的难度较大。从诉讼救济的实际效果来看，检察机关提起的个人信息保护民事公益诉讼的效力较强，缺点是保护范围有限且诉讼周期较长；而在行政公益诉讼中被诉主体明确，诉前检察建议能够缩短诉讼周期。但在实践中，行政机关怠于履职或违法行政的现象偶有发生，在面对狡猾隐秘的违法犯罪手段和海量个人信息时，行政机关有时也是有心无力，检察建议无法从根本上解决行政机关不能主动履职问题〔3〕，救济效果的滞后性特征明显。

（二）侦查人员调查取证困难

当下个人信息侵权行为的高科技属性愈发明显，信息犯罪的技术门槛不断提高，侦查人员在发现、收集、固定证据的过程中，多种壁垒叠加，调查取证步履维艰。根据相关司法解释，侦查人员的调查手段主要为查阅复制卷宗、询问违法行为人与证人、委托鉴定评估等。上述调查规定的抽象模糊造成下列问题：一是司法解释法律效力层级较低，决定了其适用范围较为狭窄。二是缺少单位与个人拒绝或妨碍侦查人员调查核实工作的具体责任条款。三是大规模的个人信息侵权行为技术性强，社会影响广泛。这些特点决定了侦查人员的调查取证工作十分复杂。侦查人员虽然具备审查起诉上的职业优势，但一旦涉及信息技术专业领域，技术方面的短板便显现出来。个人信息的收集、固定与利用都离不开专业人员的技术支持，加之个人信息易被删除或篡改，稳定性较差，同时，违法犯罪手段与证据类型的多样化，使侦查人员眼花缭乱，容易陷入固有办案模式，无法适配大数据时代的办案质效要求〔4〕。与此形成鲜明对比的是，涉案互联网企业往往实力雄厚，社会影响广泛，其在个人信息技术领域不仅优势明显，且普通员工也具备一定的相关信息处理能力，加之其一般也设有法务团队。上述种种因素无疑都在加大侦查人员的调查取证压力。此外，当个人信息涉及国家秘密、商业秘密或个人隐私等特殊案件时，侦查人员的调查取证程序缺乏相应的细致规范。

（三）检察机关证明责任过重

在公益诉讼领域，检察机关想要起诉需满足两个条件：一是检察机关发布的公告期限届满，仍无适格主体提起公益诉讼。二是有证据证明违法行为导致国家利益或社会公共利益受损，且这种损害仍在持续〔5〕。前者对于检察机关提起个人信息保护公益诉讼只是带来时间上的迟延，后者举证责任的负担却是关系到诉讼成败的关键。如果将被诉主体分为个人与单位两类，那么相较于单位，检察机关针对个人的追诉会轻松不少，因为刑事证据的事实认定标准高于民事，刑事证据可以直接适用于“个人信息公共利益受损”的待证事实。如果不涉及案外第三人，公益诉讼检察部门的举证责任基本等同于刑事犯罪检察部门。而单位犯罪在刑事领域本就寥寥无几，针对企业、平台在处理用户个人信息活动中致使公众个人信息权益受损的一般违法行为，对公益诉讼检察部门科以同等的证明责任不甚合理。一般而言，互联网平台开发者收集、处理个人信息的过程具有高度隐秘性，检察机关作为非专业组织，难以证明上述过程中的违法行为。与此同时，违法主体一旦意识到相关信息数据将要或正在被调查，会利用自身形成的个人信息主导地位，迅速将其予以篡改或删除，致使检察机关的举证难度大大增加。此外，现行立法缺少个人信息侵权行为导致社会公共利益受损的具体界定标准，如果检察机关不能证明二者间的因果关系，那么其提起诉讼的法理基础就会遭受质疑。

三、个人信息保护检察公益诉讼制度的完善路径

（一）拓宽线索来源渠道

1.建立检察机关线索内部移交机制。公益诉讼检察部门人员在侦办案件过程中，需要在检察机关内部主动对接各个业务部门，从其所辖的案件范围内搜寻个人信息保护公益诉讼案件线索。由于他们同属于检察机关内设机构人员，熟悉办案流程，配合较为默契，所以能够实现案件线索的及时高效转移。从司法实践来看，刑事犯罪检察部门在侦办信息犯罪案件时，容易发现个人信息侵权线索，所以，检察机关内设机构加强交流沟通，形成体系化的情况通报和信息线索会商机制势在必行。同时，公益诉讼检察部门也不能忽视与民事、行政检察部门的对接，以求从两类审判监督案件中获取线索〔6〕。例如，山东省莱阳市人民检察院于2023 年2 月便已建立了检察机关内部协作机制，出台了《关于加强公益诉讼内部协作配合的规定》（以下简称《规定》）共计21 条，主要对检察公益诉讼的内部线索移送和签收反馈、案件处理情况互相通报等事项作出了明确规定，为检察公益诉讼的高效运行和规范发展提供了具体制度保障。该《规定》要求：检察机关立案部门在受理公安机关移送的生产、销售伪劣商品罪、破坏环境资源保护罪等刑事案件时，将上述案件及其电子卷宗一并移交公益诉讼检察部门进行同步审查。其他业务部门在犯罪侦查、审查起诉过程中，如果发现公益诉讼的案件线索，同样应当及时移送公益诉讼检察部门。公益诉讼检察部门在收到线索后，需要签收并持续反馈案件办理情况。

2.扩大检察机关线索外部挖掘渠道。个人信息保护公益诉讼不应是检察机关的孤军奋战，而应引导全社会力量来共同参与，将信息线索内部收集扩展到调研走访、拉网排查等更具主动性的信息线索外部挖掘。首先，检察机关应以调研走访的形式，主动从公众日常生活中发现相关信息线索，通过设立举报电话、邮箱等接受社会监督，扩大侵害个人信息公共利益线索的来源渠道，之后对收集的案件线索进行筛选、分类，并按照个人信息保护公共利益受损程度依次开展诉讼工作。对于经过查证核验，举报者提供的线索对诉讼起到推动作用的，可酌情给予举报者物质奖励。一般而言，个人信息安全与公民的人格权、财产权有直接利害关系，公民出于维护自身信息安全的要求，会向检察机关提供一些私密敏感、不宜公开的信息以及自身遭受侵害的事实。其次，检察机关在技术、资金允许的条件下，可以构筑个人信息保护公益诉讼线索管理平台，通过网络舆论、新闻报道等方式获取案件线索，比如一些检察机关启用的“公益诉讼随手拍”微信小程序便是典型代表。再次，检察机关要充分利用社会热点信息搜寻办案线索，依托“国家企业信用信息公示系统”等平台，明确追诉对象〔7〕；通过网信办公布的涉案APP 名单，开展拉网式排查，就辖区内大规模的个人信息侵权行为进行公益诉讼立案调查，促进个人信息保护公益诉讼案件线索外部收集机制的良性发展，切实保障公众的个人信息安全和良性、稳定的个人信息管理秩序。在这方面，甘肃省金昌市人民检察院作出了良好示范：该院依托“水行政+检察公益诉讼”等案件办理协作机制，主动摸排案件线索，对税务、审计和水务等部门积极开展调研走访，围绕线索移送、联席会议组织召开等工作内容，多方协作，共同维护国家利益和社会公共利益；其在与政府职能部门进行工作对接联系的过程中，适时调整全年目标任务和工作监督重点，贯彻落实检察公益诉讼办案领域的具体工作。

（二）强化侦查人员调查取证能力

1.树立调查取证司法权威。无论何种类型的检察公益诉讼，侦查人员进行调查取证均需当事人的积极配合。不过，现有法律规范只是概括规定了公民有配合调查的义务，对于当事人不履行、拒绝履行，甚至恶意阻挠侦查人员调查个人信息的行为，则缺乏细致的惩治措施。鉴于此，被诉主体出于利益考量，不会轻易配合侦查人员的个人信息调查取证工作。因此，宜以司法解释规定，允许侦查人员使用部分强制性措施，并且明确单位与个人拒绝或妨碍履行个人信息调查核实义务的法律责任，进一步强化强制性措施的司法权威。有些被诉主体意识到相关信息数据或被调查时，会利用强大的技术处理能力，将侵害个人信息公共利益的证据隐匿、篡改或删除，对此可以参照“拒不执行生效裁判罪”的相关规定，对违法主体视行为情节轻重予以罚款、司法拘留等。此外，在个人信息保护行政公益诉讼中，行政机关对于检察建议拒不履行的，宜赋予侦查人员冻结财产、查封设备等强制性权力，并将相关情况通报给涉案单位的上级主管部门。单位或个人拒绝移交相关证据的，考虑到个人信息原始证据的真实性与关联性难以替代，宜赋予侦查人员保障其获得原始证据资料的权力。同时，为防止权力滥用，宜规定侦查人员只得在个人信息保护公益诉讼立案后，方可适用强制性措施。对于个人信息领域的重大案件，应引入法警参与制度，及时制止潜在的抗拒调查取证的暴力行为，并全程录音录像，在保障侦查人员人身安全的同时，依法监督其调查取证权的合法行使。

2.加强调查取证技术培训。首先，检察机关应当组织技术人员不定期地为个人信息保护公益诉讼办案人员进行物证勘验、评估检测能力等方面的培训，努力培养一批兼具诉讼能力与专业技术的复合型法律人才，为个人信息保护检察公益诉讼的顺利开展提供智力支持。贵州省毕节市人民检察院在这方面作出了有益尝试，其邀请技术人员为全市检察人员开展公益诉讼快速检测技能培训，目的在于培养办案人员独立进行快检的能力，使检察技术鉴定从二线辅助办案转向一线参与调查取证，提升办案质效，保证诉讼进程。其次，公益诉讼检察部门需积极主动地获取基层动态治理信息、社会热点信息和案件办理信息，收集与个人信息保护公共利益案件相关、需要快检技术参与调查取证的问题和事项〔8〕，提高检察机关对于“技术化办案”重要性的认识，强化其调查取证能力。再次，应邀请个人信息领域的专家学者，定期开展关于个人信息保护公共利益的系列讲座，将个人信息处理能力纳入检察机关年度工作考核指标。

（三）合理分配控辩双方举证责任

诉讼法在举证责任分配方面，一贯奉行“谁主张，谁举证”原则。以此类推，在个人信息保护公益诉讼中，由检察机关承担举证责任合乎情理。具体而言，检察机关需要提供证据，证明被诉主体存在非法获取、处理个人信息的行为，且该行为侵害不特定多数人的个人信息权益，进而有损社会公共利益。但参照司法实践，实施大规模个人信息侵权行为的违法主体多为网络运营商或互联网企业，其经济实力雄厚、信息技术强大，待证事实的诸多证据都在其掌控之下。鉴于此，如果对传统的举证责任分配不作变通，实质上会变相加重检察机关的举证负担，不利于其充分行使诉权，维护个人信息社会公共利益。因而，立法机关开始重新划定个人信息保护公益诉讼中控辩双方的举证责任，尝试在过错责任原则下用“高度盖然性”标准将举证责任转移到违法主体一方，《个人信息保护法》第69 条确立的“过错推定责任”便是相应的立法实践，即法官事先认定被告存在过错，以“举证责任倒置”规则责令其对自身不存在过错提供证明，否则将承担败诉风险。综上所述，在个人信息保护公益诉讼领域，举证责任的分配应以“谁主张、谁举证”为主、“举证责任倒置”为辅较为妥当。

1.明确控方证明责任具体内容。首先，明确诉讼主体资格。《个人信息保护法》第70 条规定了提起个人信息保护诉讼的三类主体，检察机关位居首位〔9〕。司法解释规定检察机关提起民事公益诉讼，需要证明起诉符合法定要件，即主体适格、审查起诉期限届满且案件在法院管辖范围内。因而，检察机关需要明确其“公益诉讼起诉人”身份，来解释其公益诉权行使的合法性。其次，明确社会公共利益受损事实存在且损害是因违法主体的信息处理行为所致。检察机关需要对公益受损事实且该事实与违法主体非法获取、利用、贩卖个人信息等违法行为之间具有因果关系提供初步证明。随着国家对公共利益立法的愈加重视，传统“事后救济型”保护逐渐向“事前预防型”保护发展，所以个人信息公共利益也被纳入检察公益诉讼的保护范围。再次，明确检察机关已经履行诉前公告程序。立法将检察机关视为公共利益保护的最后力量，让其发挥兜底性作用，这就决定了检察机关需要将“支持起诉”放在首位，只有在公告起诉期限届满，仍无适格主体提起个人信息保护公益诉讼的情况下，检察机关方可补充起诉。所以检察机关在起诉时，需证明其已出具公告期间为30 日的支持起诉声明。最后，明确检察机关在起诉时，个人信息公共利益仍处于受损状态。这说明违法主体的侵权行为仍在进行，出于对公共利益维护的紧迫性，检察机关可在诉前向法院申请勒令违法主体中止侵权行为。

2.要求被告证明自身行为合法。由于司法实践中个人信息保护公益诉讼的被诉主体多为网络科技公司，所以此时对于举证责任分配需要重新考虑。一般而言，网络科技公司非法获取的用户个人信息都由其单方存储或控制，加之对于个人信息的处理行为具有高度隐秘性，无论检察机关还是其他组织，甚至受到直接侵害的用户主体都难以证明其违法事实。另外，网络科技公司一旦遭受指控，一般都会利用先发优势，对影响待证事实的信息数据予以篡改或删除，而且个人信息的二次利用使得检察机关难以确定侵权责任主体。在这种情况下，诉讼由于缺少明确被告经常不了了之，此时“举证责任倒置”规则彰显价值，其可以有效改变个人信息偏在导致的证明失衡局面，维护个人信息公共利益。具体而言，在庭审中，检察机关根据公平原则，仅需提供证据初步证明被告存在侵害公民个人信息的违法行为，被告则需主动提供相关证据，证明其被诉行为的合法性，否则将要承担过错推定原则下的败诉风险。此外，根据诉讼效率原则，被告也需要对影响待证事实的关键技术如信息多通道传输技术、信息存储路径变更技术等承担说明责任。只有这样，个人信息偏在导致的证明失衡困难才能得到有效克服，从而保障检察机关更好地行使公益诉权。