作者简介：郭兵，浙江理工大学法政学院特聘副教授、网络法研究所执行所长。
学科编辑：陈爱武
文章来源：《法治现代化研究》2022年第4期
赐稿邮箱：fzxdhyj2016@163.com
推送时省略全部注释，引用请以发表版为准
刊物简介
《法治现代化研究》是经国家新闻出版广电总局批准创办并公开发行的学术期刊，国内统一出版刊物号CN32-1869/D，是国内专注法治现代化研究的学术期刊，由著名法学家公丕祥教授任主编。期刊前身为《法制现代化研究》集刊，现由南京师范大学和江苏省法学会主办，双月刊，逢双月15日出版。
内容提要
当前个人信息司法保护的现实困境主要体现为私益诉讼动力不足、刑事司法功能异化、群体性纠纷解决机制失灵等方面。虽然通过公益诉讼来强化个人信息司法保护的呼声早已有之，但个人信息公益诉讼的司法实践直到近几年才兴起。通过拓展民事诉讼法、行政诉讼法等诉讼法律的制度空间，个人信息公益诉讼能在一定程度上获得制度支持。然而，由于缺乏对现有立法制度空间的统一权威解释，个人信息公益诉讼实践仍面临制度性障碍。在个人信息保护法实施后，有必要及时总结个人信息公益诉讼的实践经验，通过司法解释等方式进一步补强个人信息公益诉讼制度。
关键词
个人信息；公益诉讼；司法保护；民事诉讼；行政诉讼
一、问题的提出
随着数字技术对人们日常生活的影响日益加深，个人信息安全所引发的社会问题也逐渐凸显。虽然我国个人信息保护的法律制度已逐步迈向体系化发展，个人信息私法保护与公法保护并行的法律体系已初步形成，但当前个人信息安全的形势依然相当严峻，个人信息泄露事件依然频繁发生。中国消费者协会于2018年7月至8月组织开展的“App个人信息泄露情况”问卷调查表明，85％的受访者遭遇移动互联网应用程序（App）个人信息泄露情况。为了应对日益严重的个人信息安全风险，2019年1月起，中央网信办等四部门印发了《关于开展App违法违规收集使用个人信息专项治理的公告》，在全国范围组织开展App违法违规收集使用个人信息专项治理，并成立App违法违规收集使用个人信息专项治理工作组；各地也陆续启动了相应的个人信息专项治理工作。当前我国正在推动的强化监管措施与个人信息保护的国际趋势基本相符，不论是欧盟还是美国都采取了越来越严格的监管措施来应对个人信息安全风险。
随着大数据时代的到来，个人信息的开发利用已不可避免，用户也往往能从中获得一定的收益，个人信息的合理利用已不存在太大的理论障碍。正因个人信息具有公共性价值，越来越多的学者认为建立在个人主义观念下的个人信息个人控制论已经不能适应大数据时代个人信息利用的新环境和新方式，这也就意味着保护个人信息的责任主体应当由个人为主转向以社会为主。个人信息的社会控制手段当然可以通过强化行政监管来加以实现，但司法作为一种最后的保障手段也不应当缺席，其中公益诉讼作为最具代表性的社会控制手段更应该出场。在民法典确立了个人信息保护制度，且个人信息保护法正式实施之际，如何在现行司法制度中体系化地构建行之有效的个人信息司法保护制度将成为个人信息保护法等相关法律实施过程中无法回避的问题。
二、个人信息司法保护的现实困境
在我国个人信息保护法律体系逐步完善的过程中，如何通过有效的司法手段实现个人信息保护可以说是当前强监管背景下的一大难题。从我国司法实践来看，当前个人信息司法保护的现实困境主要体现为私益诉讼动力不足、刑事司法功能异化、群体性纠纷解决机制失灵等方面。
（一）私益诉讼的动力不足
在网信办、工信部等主管部门的强监管之下，虽然包括许多知名平台在内的一大批互联网平台因个人信息违法违规被点名曝光，但从中也进一步反映出个人信息司法保护所存在的现实困境：一方面，公众在面对互联网平台频繁发生的侵害自身个人信息权益的行为时，并未表现出足够的司法维权意识；另一方面，监管部门在处理个人信息违法违规行为时往往也会可能存在履职不及时不到位的情形，但真正因行政不作为而面临受司法审查的案件极少发生。当然，除了监管不作为外，行政机关在特定情况下作为个人信息处理者，同样可能会出现违法违规处理个人信息的情况。然而，在实践中，因为行政机关侵害个人信息权益而引发的私益诉讼（包括民事诉讼和行政诉讼）案件也并不多见。
就此而言，不论是个人信息民事私益诉讼还是个人信息行政私益诉讼，均面临维权动力不足的现实困境。就个人信息民事私益诉讼而言，其动力不足有其深刻的时代背景，“随着互联网、大数据与信息技术的发展，当前民法体系中的隐私权保护机制难以应对信息社会中的新挑战，传统侵权法无法适应现代信息社会中的复杂风险”。由于个人信息权益受到侵害往往体现出大规模且分散性的小微侵害特点，从理性经济人的角度而言，普通受害者很难有直接的诉讼动力进行维权。就个人信息行政私益诉讼动力不足而言，长久以来我国权力型法观念下的“厌讼”等法律传统，无疑是公众选择“民告官”司法救济时的重要影响因素。此外，个人信息保护的监管主体的不明确，也会在一定程度上影响公众选择行政私益诉讼解决监管部门不作为等违法问题。正因如此，不论是民事私益诉讼还是行政私益诉讼都难以有效应对大数据时代个人信息大规模受侵害事件中公众维权带来的新挑战。
（二）刑事司法的功能异化
由于私益诉讼对个人信息保护的有限作用而言，刑事司法在个人信息保护方面的作用就显得尤为突出：据最高人民检察院提供的统计数据，自2016年1月至2018年9月，检察机关起诉侵犯公民个人信息犯罪案件3719件共8719人；相对刑事案件数量而言，侵害个人信息权益的民事案件或许都不具有明显的数量优势，据一些学者通过公开裁判文书的检索梳理发现，截至2017年9月，个人信息相关民事案件总数还不超过千件。刑事司法的突出地位，与我国个人信息保护立法“刑法先行”的特点密不可分。相较于网络安全法（2016年通过）和民法典（2020年通过）对个人信息保护的专章规定，个人信息保护法（2021年通过）而言，早在2009年我国刑法修正案（七）就通过新增“出售、非法提供公民个人信息罪”和“非法获取公民个人信息罪”来强化对个人信息的刑法保护。为了应对日益严峻的个人信息安全风险，2015年刑法修正案（九）又统一确立了侵犯公民个人信息罪，最高人民法院、最高人民检察院于2017年出台了《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》，进一步拓展了个人信息刑事司法的适用范围。在统一的侵犯公民个人信息罪立法模式下，几乎所有侵犯公民个人信息的行为都可能面临刑事风险。
“刑法先行”的个人信息保护模式在理论上和实践中均面临着争议，侵犯公民个人信息罪的低门槛似乎也没有显著提升其社会威慑效果。侵犯公民个人信息罪作为行政犯，其前置法的范围在很大程度上决定了该罪构成要件的适用。虽然根据《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第2条的规定，“违反国家有关规定”一般指的是“违反法律、行政法规、部门规章有关公民个人信息保护的规定”；然而，在民法典和个人信息保护法出台前的很长一段时期内，除了网络安全法之外，其他法律、行政法规、部门规章均较少涉及个人信息保护的相关规定，这就使得包括《信息安全技术个人信息安全规范》这样不具有直接法律效力的国家标准在内的大量规范性文件在某些案件中也扮演了“国家有关规定”的前置法角色。随着民法典、个人信息保护法等前置法的先后出台，侵犯公民个人信息罪具体认定的前置法更加明确，其“非法”性的形式构成要件也将更加容易判断，但除了已公开个人信息处理等少数情形下的刑事风险趋于弱化之外，当下打击侵犯公民个人信息犯罪呈扩大化趋势仍然很难从根本上扭转。
（三）群体性纠纷解决机制失灵
我国现行群体性纠纷解决机制主要体现为民事诉讼法和行政诉讼法所确定的共同诉讼、代表人诉讼和公益诉讼。在我国诉讼法的框架下，共同诉讼和代表人诉讼在本质上仍然属于私益诉讼的范畴，个人信息权益受到侵害时大范围“理性漠视”的情况就在所难免，在个体维权都十分罕见的情况下，建立在个体维权基础上的共同诉讼、代表人诉讼也就无从谈起。近年来，借鉴域外集体诉讼制度对代表人诉讼制度进行改革的呼声日益高涨，集体诉讼的目的通常是寻求巨额赔偿，“依靠集团诉讼能使诉讼由经济的自灭行为变为经济的合理行为，由殉教者的英雄行为变为经济人的计划性活动”。美国的集团诉讼作为个人信息群体性纠纷解决机制有着非常大的社会影响和现实效果。我国学界虽然早已对集体诉讼展开过深入研究，但是这种诉讼机制一直未得到立法机关的明确认可。虽然2019年证券法修改增加代表人诉讼制度，2020年最高人民法院出台的《关于证券纠纷代表人诉讼若干问题的规定》被视为“中国式”证券集体诉讼制度落地，但从我国个人信息保护法的规定来看，很难直接解读出“中国式”个人信息集体诉讼机制的规范基础。
在大规模侵害个人信息权益情形下，群体性的“理性漠视”不仅导致个体遭受损害的个人信息权益无法得到弥补，也使得侵权违法者的行为没有受到应有的“惩戒”，致使网络安全法、民法典、个人信息保护法等实体法规范的威慑与预防功能无法有效发挥。公益诉讼作为这一类损害的群体性纠纷解决机制有必要出场，以实现对公共利益的保护。欧盟的《一般数据保护条例》（GDPR）也确立了公益诉讼机制。该条例第80条规定，欧盟各成员国的相关机构、组织或协会依照该国法律可以代表数据主体向监管部门或数据控制者及处理者主张合法权益，并在必要时提起诉讼（包括针对监管部门的诉讼和针对数据控制者、处理者的诉讼）。事实上，早在2014年10月，最高人民法院出台个人信息民事纠纷司法解释时，该司法解释的制定者就已清醒地意识到公益诉讼在有效化解此类纠纷中的重要作用。而2015年2月，针对银行信用卡信息泄露事件，吕艳滨等学者就建议引入公益诉讼来解决个人信息泄露的群体性纠纷，并建议由各级消费者组织代表公众进行维权。另外，2015年5月，《检察日报》“议事厅”栏目针对多省份社保信息管理出现漏洞导致数千万用户信息遭泄露事件组织讨论时，也有专家表示探索建立检察机关提起行政公益诉讼制度是解决公民个人信息泄露问题的一把利器。从我国个人信息保护法第70条的规定来看，公益诉讼已然具备了规范基础，这也为化解我国个人信息群体性纠纷解决机制失灵指明了制度方向。
三、个人信息公益诉讼的实践探索
2017年12月，我国首例个人信息民事公益诉讼在江苏启动探索。此后，涉及个人信息保护的行政公益诉讼又先后在浙江宁波和浙江绍兴先后启动探索。个人信息公益诉讼一经问世便引发了社会广泛关注，更是引起了最高人民检察院的重视。2019年上半年，上海市全面启动了针对App的个人信息公益诉讼实践。此后，个人信息公益诉讼在我国各地陆续启动。
（一）个人信息民事公益诉讼的实践探索
2017年7月，江苏省消费者权益保护委员会（当时为江苏省消费者协会）结合手机应用市场上侵犯消费者个人信息的情况，对27家行业代表性的手机App所属企业进行了调查和约谈。之后，大部分企业都按时提交了实质性整改方案。然而，百度公司在江苏省消费者权益保护委员会（以下简称为“江苏省消保委”）的多次催促、公开监督下，一直未就其旗下的“手机百度”“百度浏览器”两款手机App进行实质性整改。2017年12月，江苏省消保委依据消费者权益保护法等法律就百度公司涉嫌违法获取消费者个人信息向南京市中级人民法院提起消费民事公益诉讼。2018年1月，该案获得法院正式立案。法院立案后，百度公司积极主动与江苏省消保委交流沟通涉案违规App的实质性整改问题，并于2018年2月更新上线了整改后的新版App。江苏省消保委经实测，确认涉案App的违规问题已整改到位。江苏消保委认为提起消费民事公益诉讼的目的已经达到，本着节约诉讼成本和司法资源的原则，依法向法院提出撤诉申请。2018年3月，南京市中级人民法院裁定准予江苏省消保委撤回起诉。
“江苏省消保委诉百度公司违法获取消费者个人信息案”虽然以撤诉告终，但该案作为我国首例个人信息安全消费者民事公益诉讼案，具有重要的社会意义和制度指引作用。江苏省消保委通过这起民事公益诉讼维护的不仅是江苏省范围内众多消费者的合法权益，全国范围的用户也因该案百度公司优化涉案手机App而避免个人信息被违法获取的侵权风险。从该案的整个过程（具体包括启动调查、约谈、整改、测评等）来看，也为未来检察机关或者其他社会组织启动个人信息民事公益诉讼的诉前程序提供了一定的制度指引。另外，包括手机App在内的互联网平台所涉及的用户已很难受到地域性限制，在这样的时代背景下，提起个人信息公益诉讼的组织也不应受到地域限制。遗憾的是，由于该案并未进入法院的正式审理程序，并无法院的正式裁判，故更为完整的个人信息民事公益诉讼制度经验尚无法通过该案来加以积累。
（二）个人信息行政公益诉讼的实践探索
1.独立启动模式
2018年5月，宁波市海曙区人民检察院为了应对广告推销电话扰民的问题，委托第三方机构就广告推销电话对公众的骚扰程度开展问卷调查。同时，该院还向海曙区400余名人大代表、政协委员展开实名问卷调查。第三方机构的调查结果显示，平均90％的受访者认为广告推销电话已成为“骚扰电话”，对正常生活和工作产生较大或很大影响，希望行政管理部门加强监管。这一结果与海曙区检察院向区人大代表和政协委员反馈的结果一致。在对骚扰电话背后利益链进行调查取证，确认宁波市通信管理局具有监管职责，在征求了专家学者意见并向市委市人大进行专题报告后，于2018年7月向宁波市通信管理局发出检察建议，督促其依法履行监管职责。2018年7月底，宁波市通信管理局、浙江省通信管理局及三大运营商宁波分公司的相关负责人到海曙区检察院，就检察建议作了回复。宁波市通信管理局通过专项整改加强了对“骚扰电话”进行整治，三大运营商宁波分公司也根据各自的业务情况进行了相应整改。2018年11月，海曙区检察院再次委托第三方机构对骚扰电话治理情况进行社会调查，结果显示81.1％的受访者对治理效果表示满意。
海曙区检察院“骚扰电话”整治公益诉讼案受到了各大媒体的广泛关注，也赢得了广大网民的一致好评。2018年11月，浙江省人民检察院检察长贾宇在第五届世界互联网大会“大数据时代的个人信息保护”分论坛将该案作为个人信息保护的“盆景”式实践样本进行推介。2018年12月，该案又被列入最高人民检察院“检察公益诉讼十大典型案例”。作为“诉前程序典型案例”，最高人民检察院认为在该案中海曙区检察院的诉前检察建议程序“立足检察职能，针对侵害不特定对象工作和生活环境的行为，积极探索开展公益诉讼工作，切实维护公共利益，符合公益诉讼的立法规定，也是检察机关的应尽职责”。
2.附带启动模式
2018年底，陈某、杨某、骆某三人因泄露房地产开发及装修装饰领域个人信息，而被诸暨市法院以侵犯公民个人信息罪判处刑罚。诸暨市检察院在成功办结了这起刑事案件后，为从源头杜绝此类侵犯公民个人信息的违法犯罪问题，决定启动行政公益诉讼程序。2019年1月，诸暨市检察院向诸暨市市场监督管理局发出诉前检察建议书3份，涉及房地产开发公司5家、装修装饰公司6家，督促该局依据消费者权益保护法等相关规定对涉案的房地产开发公司、装修装饰公司依法进行处理，保护消费者的合法权益不受侵犯，维护社会公共利益。同时，该院还就办案情况向诸暨市建设局及装修装饰行业协会发出工作函，以个案的整改推进行业规范整治。2019年5月，诸暨市市场监管局对侵犯消费者个人信息系列案件的办理情况向诸暨市检察院作了回复，对涉案房地产开发公司和装修装饰公司分别作出了相应的行政处罚；该局还会同市消保委在“3·15”消费者权益保护日活动中开展消费者个人信息保护的宣传工作。诸暨市装修业协会收到检察院的工作函后，也积极开展消费者个人信息保护的宣传工作，并组织商户签订保护消费者个人信息的承诺书。
诸暨市检察院提起的侵犯公民个人信息公益诉讼案同样受到了社会广泛关注，该案是浙江省检察机关在房地产开发及装修装饰领域侵犯公民个人信息问题上的首例行政公益诉讼案件，同时也入选了2019年最高人民检察院“检察公益诉讼全面实施两周年典型案例”。该案与宁波市海曙区检察院“骚扰电话”整治公益诉讼案具有一定的相似性：除了该案同样属于诉前程序外，该案的启动事实上也是源于“骚扰电话”。当然，这两起行政公益诉讼在启动方式上也存在明显的差异：海曙区检察院的启动具有相对独立性，是检察院主动发起调查取证而开展的；而诸暨市检察院的启动具有一定的附属性，相关的调查取证工作在前期的刑事案件中已经基本完成。
（三）个人信息公益诉讼范围的实践拓展
在2019年1月的上海市两会上，23名市政协委员联名提出了《关于发挥检察机关在App侵害消费者数据隐私公益诉讼中作用的建议》提案；上海市检察院对这一提案也非常重视，为此专门向上海市消费者权益保护委员会征求意见。在2019年3月的全国两会上，上海市人民检察院检察长提交的一份有关扩大公益诉讼范围的议案，也涉及个人信息公益诉讼的问题。2019年6月，上海市检察院专门召开“检察公益诉讼与App个人信息保护座谈会”，探索推进App非法收集个人信息公益诉讼工作。这次座谈会也较为全面地向外界发布了2019年上半年上海各级检察机关在个人信息公益诉讼方面所开展的地方实践：自上海市人民检察院根据前期的调研向上海某科技有限公司发出了个人信息领域的第一份公益诉讼检察建议书开始，上海市各级检察机关已就调查发现的问题依法向10家App运营商制发了检察建议，并要求加强用户个人信息保护。
从公开披露的信息可以发现，目前上海的个人信息公益诉讼实践与江苏的个人信息民事公益诉讼实践具有一定的同质性，因为上海的实践针对的也是存在违法违规收集和使用个人信息的相关企业。虽然上海和江苏的个人信息公益诉讼都属于个人信息民事公益诉讼的范畴，但相较于江苏实践模式（由消保委启动并且进入了诉讼程序），上海的实践主要由各级检察机关启动，而且这些公益诉讼都还没有正式进入法院的诉讼程序。当然，相较于江苏的个案式实践，上海个人信息公益诉讼的实践范围更加广泛，上海的检察机关除了向App服务提供者制发检察建议，还向应用商店服务提供者制发检察建议：一方面，要求App服务提供者在获取个人信息时应当遵循用户知情同意的基本要求，不能通过强制退出App的方式限制用户对相关业务功能的使用，也不能在用户终止使用App服务后，继续收集和使用用户个人信息；另一方面，要求应用商店服务提供者履行对App服务提供者的监督管理责任，对于违法违规的App服务提供者要视具体情况及时采取警示、暂停发布、下架等措施。
上海的个人信息公益诉讼有效吸收了江苏和浙江公益诉讼的实践经验，各级检察机关诉前程序的启动都非常注重对相关个人信息违法行为的技术性调查。但与江苏和浙江的个案式地方实践不同的是，上海目前的个人信息公益诉讼展现了一种更为开放的司法姿态，并没有局限于特定的范围。江苏、浙江和上海等地为主要代表的长三角区域的地方实践，无疑为个人信息公益诉讼全面开展迈出了重要一步。2021年4月，最高人民检察院发布检察机关个人信息保护公益诉讼典型案例，这些典型案例启动时间集中于2019年至2020年之间，而且近半数都来自长三角区域。当前，个人信息公益诉讼仍在各地不断推进，据最高人民检察院的最新统计，2021年，全国各地检察机关共办理个人信息保护领域公益诉讼案件2000余件，同比上升近3倍。可以预见，个人信息公益诉讼将成为我国个人信息司法保护的一个主要途径。
四、个人信息公益诉讼的制度化路径
在个人信息保护法出台前的很长一段时间，不论是以江苏为代表的个人信息民事公益诉讼模式，还是以浙江为代表的个人信息行政公益诉讼模式，都还只是“盆景”，尚未形成“风景”。个人信息保护法出台后，各地虽然陆续开启了个人信息公益诉讼实践，但在大部分地区尚未常态化运作，这在一定程度上是由现行诉讼法律制度障碍所导致的：虽然我国民事诉讼法和行政诉讼法均为个人信息公益诉讼留下了制度拓展空间，但由于缺乏对这一制度空间的权威解释，实务部门对其拓展创新仍有较大的顾虑。因此，要为个人信息公益诉讼提供更加充分的制度支持，还有必要在个人信息保护法的配套司法解释中对公益诉讼制度作出更具针对性的具体规定。
（一）拓展诉讼法律的制度空间
公益诉讼在我国有着二十多年的实践发展，而直到2012年8月全国人大常委会通过修改后的民事诉讼法才正式确立了民事公益诉讼制度。在此之前二十多年的地方司法实践中，环境保护、消费维权一直是公益诉讼的主要案件类型，正因如此，民事诉讼法引入公益诉讼制度时也就明确将这两类案件类型具体确定了下来。根据2012年民事诉讼法第55条的规定，对污染环境、侵害众多消费者合法权益等损害社会公共利益的行为，法律规定的机关和有关组织可以向人民法院提起诉讼。虽然早就有立法参与者指出，这一条款中的“等”表明立法确定公益诉讼的范围采取的是不完全列举的方式，但在实践中公益诉讼的范围很少突破环境保护和消费维权的列举式规定。直到2015年7月全国人大常委会通过了《关于授权最高人民检察院在部分地区开展公益诉讼试点工作的决定》，现有立法的制度空间才得以拓展。在为期两年的公益诉讼试点结束后，全国人大常委会于2017年6月同时对民事诉讼法和行政诉讼法进行了修改，通过立法的方式进一步确定了检察机关的公益诉讼角色，并正式确定了行政公益诉讼。
现行民事诉讼法和行政诉讼法对公益诉讼范围的规定从列举形式上看并不一致，民事公益诉讼明确列举的是环境保护和消费维权两大类型，而行政公益诉讼明确列举的是环境保护、食品药品安全、国有财产保护、国有土地使用权出让四大类型。但是，不论是民事诉讼法的第55条（2021年修订后的民事诉讼法为第58条），还是行政诉讼法的第25条第4款，都包含了“等”这一不完全列举的实质内容。而对于这两大诉讼法中所规定的“等”应作“等外”之解释，学理上基本形成了共识。遗憾的是，这种学理共识仍然没有被实务部门所普遍接受。2018年12月，最高人民检察院公益诉讼检察厅（筹）负责人在新闻发布会上表示，地方检察机关对于“等”内“等”外理解有分歧但又严重侵害公益、群众反映强烈、普通诉讼又缺乏适格主体的情况，应在当地党委、人大、政府和法院等的支持下，进行审慎而又积极的探索。海曙区检察院“骚扰电话”整治公益诉讼案被作为最高人民检察院“检察公益诉讼十大典型案例”，恰好是这种审慎而又积极探索公益诉讼新领域的典型样本。
由于民事诉讼法和行政诉讼法适用范围的不明确，检察机关拓展“等”外公益诉讼新领域往往还需要遵循一定的“上报”程序，争取地方党委、人大、政府和法院的支持，这在一定程度上会影响地方检察机关积极探索个人信息公益诉讼的动力。因此，最高人民检察院提出的“积极审慎探索公益诉讼新领域”，在地方实践上往往表现出“审慎”有余而“积极”不足。为了化解“等”字难倒公益诉讼的实践困境，上海市人民检察院检察长在2019年全国两会期间提交议案，就曾建议全国人大常委会对公益诉讼受案范围作“等”外立法解释，以便有效解决个人信息保护等公益诉讼难题。当然，除了这种“等”外立法解释路径外，还有一种更为直接的确立个人信息公益诉讼制度的路径，即修改民事诉讼法和行政诉讼法，将个人信息保护作为具体的公益诉讼类型。
在现行民事诉讼法、行政诉讼法关于公益诉讼“等”外规定并未明确化之前，检察机关和社会组织吸取我国环境公益诉讼等领域的实践经验，在没有获得正式立法确认之前，也可以通过积极探索为个人信息公益诉讼制度的立法完善积累司法经验。就此而言，江苏、浙江等地积极拓展我国民事诉讼法、行政诉讼法的制度空间，为建立健全我国个人信息公益诉讼制度进行了非常有益的探索。
（二）个人信息保护法的制度确立
在个人信息保护法出台之前，我国个人信息保护制度仅散见于多部不同的法律法规中，尤其集中于网络安全法和民法典的针对性规范。虽然网络安全法和民法典均通过专章对个人信息保护加以规范，但这两部法律仍然无法有效解决个人信息保护行政监管体制等方面存在的具体问题：目前我国并没有专门的个人信息保护机构，而分散立法并未涉及职责边界问题，个人信息保护领域事实上往往沦为监管的灰色地带。此外，这两部法律对个人信息保护的具体规定仍不够清晰明确，相关规定往往主要起原则性的指导和限制作用，对个人信息安全风险的预防和化解起不到很好的效果。正因如此，个人信息保护的专项立法呼声仍不断高涨。
在全国人大常委会确定启动个人信息保护法立法后，学界最初对于是否应当在这部法律中明确公益诉讼等个人信息群体性纠纷解决机制并未给予足够的关注，相关研究也存在明显不足，只有张新宝教授等少数学者主张，将构建诸如公益诉讼、集体诉讼等行之有效的诉讼制度作为个人信息保护法研究和立法的重点。这一主张也最终反映在了张新宝教授主持起草的专家建议稿中，该建议稿明确提出将公益诉讼纳入个人信息保护法的纠纷解决制度体系中。事实上，随着学界和实务界对个人信息保护制度研究的深化，越来越多的学者和实务专家也都认识到了公益诉讼对于个人信息保护的重要作用，并尝试对个人信息公益诉讼制度进行系统性构建。
随着个人信息公益诉讼理论研究的深入以及以长三角区域为代表的个人信息公益诉讼地方实践探索的拓展，全国人大常委会在审议并公开征求意见的《中华人民共和国个人信息保护法（草案）》中正式确立了个人信息公益诉讼相关的规定，明确了检察院、履行个人信息保护职责的部门和国家网信部门确定的组织的起诉资格；最终通过的个人信息保护法的第70条在此基础上，进一步增加了法律规定的消费者组织的起诉资格。
（三）通过司法解释的制度补强
个人信息保护法对公益诉讼制度的规定与消费者权益保护法、环境保护法的规定具有一定的类似之处，即主要对可以提起公益诉讼的起诉主体进行了明确，对于具体的适用程序等并没有进行规定。与个人信息保护法不同的是，消费者权益保护法、环境保护法所确立的消费公益诉讼和环境公益诉讼，属于民事诉讼法、行政诉讼法所列明的公益诉讼类型；然而，仅依靠民事诉讼法和行政诉讼法的两个条款，很难承载起消费公益诉讼和环境公益诉讼完整的制度构造。因此，消费公益诉讼和环境公益诉讼制度的体系化构建主要是依托于相应的司法解释才得以实现：消费者权益保护法于2013年修改后新增了消费公益诉讼的规定，最高人民法院于2016年专门出台了《关于审理消费民事公益诉讼案件适用法律若干问题的解释》（法释〔2016〕10号），消费民事公益诉讼制度由此得以较为完整地确立；环境保护法于2014年修改后新增了环境公益诉讼的规定，最高人民法院于2015年专门出台了《关于审理环境民事公益诉讼案件适用法律若干问题的解释》（法释〔2015〕1号），环境民事公益诉讼制度也由此得以较为完整地确立。
虽然民事诉讼法和行政诉讼法为个人信息公益诉讼提供了拓展性的制度空间，各地的个人信息公益诉讼实践也主要是建立在这一制度空间的基础上。然而，与消费公益诉讼和环境公益诉讼一样，仅靠民事诉讼法和行政诉讼法的有限条款，很难承载起个人信息公益诉讼完整的制度构造。因此，消费公益诉讼和环境公益诉讼通过专项司法解释的方式进行制度补强的模式无疑值得个人信息保护公益诉讼制度构建借鉴。
通过司法解释补强个人信息公益诉讼制度时，一个重要的前提是对个人信息公益诉讼类型的确定，而对于这一前提性的问题，目前学界存在明显不同的看法。不少学者认为个人信息保护法第70条所规范的仅为民事公益诉讼，而不针对行政公益诉讼。例如，张新宝教授以行政诉讼法第25条第4款列举个人信息保护等为由，认为“对于行政机关大规模侵权行为，目前我国已存在特别的法律规则对其进行有效的制约，就应该遵从原有特别的解决路径，而不宜突破现有的行政法规则”。程啸教授等学者也持有类似的看法。而最高人民检察院检察理论研究所助理研究员邵俊则认为个人信息公益诉讼不仅包括民事公益诉讼还包括行政公益诉讼，“如果存在履行个人信息保护职责的部门不作为或者违法作为，损害了社会公共利益的，检察机关应提出检察建议和提起行政公益诉讼”。如上文所述，不论是从个人信息公益诉讼的实践来看，还是从行政诉讼法关于行政公益诉讼的制度空间来看，个人信息保护法第70条所确定的公益诉讼类型显然应当包含行政公益诉讼类型。
值得注意的是，不论是最高人民法院还是最高人民检察院，都已经意识到了通过司法解释补强个人信息公益诉讼制度的重要性：在个人信息保护法出台前，最高人民法院于2021年7月出台了《关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》，该司法解释甚至在一定程度上先于个人信息保护法确定了个人信息民事公益诉讼制度；最高人民检察院则在个人信息保护法通过后，第一时间下发了《关于贯彻执行个人信息保护法推进个人信息保护公益诉讼检察工作的通知》，对检察机关通过公益诉讼重点从严保护的个人信息类型、办案流程机制等进行了较为全面的规范。当然，不论是最高人民法院的司法解释还是最高人民检察院的司法文件，与个人信息保护制度体系化构建所需的司法解释还有一定的距离。
五、结语
随着以大数据、云计算、物联网、人工智能为代表的数字技术的飞速发展，非法收集或使用个人信息的形式将会更加复杂，个人信息的安全风险也将更加不确定。在强化监管的同时，如何构建一套更加行之有效的个人信息司法保护制度体系可以说是一个世界性难题，就此而言我们与西方法治发达国家一样都还在不断探索。如果说传统的立法我们还能够通过法律移植的方式来迅速弥补国内法的不足，那么身处数字技术飞速发展的当下，已经很难再有域外成熟有效的制度方案直接“为我所用”了。为了更好地应对大数据时代个人信息司法保护的现实挑战，我们有必要立足于中国本土实践来不断优化相应的司法制度方案。在我国个人信息公益诉讼制度缺乏明确制度支持的情况下，江苏、浙江等地的实践探索为个人信息公益诉讼制度拓展提供了难得的观察样本，也为个人信息公益诉讼制度体系化构建提供了经验参考。尽管理论界和实务界在讨论我国个人信息保护问题时，表面上强调借鉴的“拿来主义”仍然盛行，但以个人信息公益诉讼为典型代表的地方实践和制度安排也昭示了我国个人信息公益诉讼制度的发展之路必然具有独特路径和图景。
声明：本文来自法治现代化研究，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
