過去幾年間，侵犯個人信息相關案件在網絡安全法出臺后快速涌現。據南都·隱私護衛隊不完全統計，相關案件的裁判文書數量在2016年至2019年間大幅增加，在2019年達到頂峰。隨著《中華人民共和國個人信息保護法》11月起實施，相關訴訟的增加可以預見。
然而，在上述案件中被侵犯個人信息的成千上萬個普通人，卻通常并不是原告——憑借個人的微薄之力，不僅難以找到信息泄露源頭，還耗時耗力獲賠低。即便引入了公益訴訟，由于起訴人并非直接受害人，對于個人來說，也常常覺得參與度低、獲賠低，甚至覺得判決結果與自己毫無關系。
引入公益訴訟的意義是什么？相比個人維權，公益訴訟對個人更有利嗎？公益訴訟獲得的賠償能直接賠付給個人嗎？為此，南都·隱私護衛隊請教了數位專家。
文|尤一煒
受害者規模龐大，但個人維權困難
據中國互聯網協會發布的《中國網民權益保護調查報告（2021）》顯示，近一年來，因個人信息泄露、垃圾信息、詐騙信息等原因，導致網民總體損失約805億元。82.3%的網民親身感受到了由于個人信息泄露對日常生活造成的影響。
放眼全球，有數據顯示，2020年，全球發生的數據泄露事件超過去15年的總和，其中六成是個人信息泄露事件。在這類事件中，受害者數量往往是個相當龐大的數字。
例如，2020年3月，江蘇無錫警方發現一家裝潢公司營銷人員李某在網上買賣無錫多個小區業主的個人信息，包括樓盤名稱、業主姓名、身份證號、電話號碼、房產面積等。最終，警方抓獲涉案嫌疑人15名，涉及十幾家企業，累計查獲涉及無錫幾乎所有小區業主信息500多萬條，非法獲利近百萬元。
同月，有暗網用戶發帖出售“5.38億微博用戶綁定的手機號數據”，其中“1.72億有賬號基本信息，售價1388美元”。“綁定的手機數據”包括用戶ID和手機號，“賬號基本信息”包括昵稱、頭像、粉絲數、所在地等。對此，微博稱手機號系“2019年通過通訊錄上傳接口被暴力匹配的”，其余公開信息“都是網上抓來的”。
與動輒上百萬甚至數億的受害人數量相對比，拿起法律武器維護自身權益的人卻少之又少。
2018年，微博大V“花總丟了金箍棒”曝光酒店衛生亂象，引爆輿論。僅僅幾個小時之后，花總的個人信息被一家酒店的員工曝光在網上。為找到泄露源頭，他奔波了近兩個月，花費十多萬元，卻仍不得知。
“個人信息泄露情況在日常生活中比較普遍，但具有隱蔽性，個人很難發現被泄露行為，更別說查明泄露途徑和方法。”結合自身辦案經驗，北京鐵路運輸檢察院第五檢察部檢察官助理陳明慧直言，取證固證難、維權成本高而獲賠低、周期長等因素，都成為個人通過私益（個人或團體的利益）救濟方式維權困難的原因。
“為滿足保護社會公益的現實需求、回應人民群眾的期待，個人信息保護公益訴訟制度的建立能夠有效彌補這一不足。”北京外國語大學法學院教授王文華曾撰文指出。
受害人難獲賠，公益訴訟是“不完全救濟”？
2020年9月，最高人民檢察院（下稱“最高檢”）出臺《關于積極穩妥拓展公益訴訟案件范圍的指導意見》，明確將個人信息保護納入公益訴訟檢察工作新領域。
據最高檢披露，截至今年4月，全國已有25個省級人大常委會作出關于加強檢察公益訴訟工作的決定，其中有19個省份明確要求檢察機關積極穩妥開展個人信息保護領域公益訴訟。
談及在個人信息保護領域引入公益訴訟的目的，中國政法大學法治政府研究院教授劉藝表示，在數據時代，一些個人信息的處理已經成為基本的工作和生活條件，相關業務具有一定的公共服務和公共利益屬性。由此來看，個人信息保護除具有個體權益保護的價值外，也有明顯的公益保護意義。在此情況下，個人信息保護類公益訴訟具有維護社會公眾利益的作用。
截至目前，許多地方已辦理了多起個人信息保護領域的公益訴訟案件，積累了大量司法實踐經驗。
今年4月，最高檢發布11起檢察機關提起個人信息保護公益訴訟的典型案例，其中包括六例行政公益訴訟、兩例民事公益訴訟以及三例刑事附帶民事公益訴訟。在涉案個人信息數量最多的一起案件中，李某非法獲取包括姓名、電話、住址等信息共計1290萬余條，并伙同他人非法出售1.9萬余條信息。
“與私益訴訟以補償個人損害為目的不同，公益訴訟在某種程度上是一種司法領域的補充執法方式。”劉藝解釋：在涉及個人姓名、手機號等信息被大量泄露的案件中，檢察機關并不是從人格權保護的角度提起公益訴訟，而是在完成自身執法、管理社會秩序等的基礎上，實現間接禁止數據再泄露等目的。
不過，也有專家直言，只靠公益訴訟也不行。中國人民大學教授張新寶在文章中指出，公益訴訟制度只能起到防御作用，并不能使具體受害人的損害得到完全的填補，因此個人信息保護公益訴訟的救濟“是不完全救濟”，個人信息保護私益訴訟仍有并行的必要性。
上述觀點在最高檢公布的典型案例中似乎可以得到證實。
六起行政公益訴訟案件的判決結果包括要求發生數據泄露的單位加強個人信息保護意識和措施、將非法買賣數據的企業列入本地異常目錄、撤回未匿名化處理而公開的公民個人信息等。
在兩起民事公益訴訟中，判決結果則包括刪除違法收集的個人信息、企業在媒體上公開道歉。其中一起判決被告支付三倍懲罰性賠償金，另一起要求被告承諾今后合法合規經營，若存在違反協議約定的行為，將自愿支付50萬元違約金用于全國性個人信息保護公益基金的公益支出。
而三起刑事附帶民事公益訴訟中，除刑事處罰外，公益訴訟的判決結果與上述兩起民事公益訴訟的判決結果相似——道歉、刪除數據、賠償金。
不難看出，在上述11起典型案例中，受害人參與度低且公益訴訟的判決結果與他們并無直接關系，他們也未從中獲得任何賠償。
直接賠付個人有爭議，或可施行代理人訴訟
問題仿佛回到了原點——對個人而言普通的民事訴訟舉證難，維權周期長、成本高，而公益訴訟的結果與受害人往往不產生直接的關聯，在清華大學法學院教授勞東燕看來，這確實是目前存在的問題。
“檢察機關對侵犯公民個人信息權益的企業提起公益訴訟，會更注重社會效果，有助于倒逼企業在未來更加注重合法合規收集、使用個人信息，進而對個人信息采取更完善的保護措施。”勞東燕認為，從這個角度來講，公益訴訟對公眾的個人信息保護有一定的好處。
但她也坦言，從實操層面來講，檢察機關難以通知每一位受害人——在一起數據泄露事件中，可能有成百上千萬甚至數億的受害人，如何通知、如何建立有效的溝通機制是一個難題。這也意味著，在公益訴訟中可能很難有效提高受害人的參與度。
那是否可以從改善賠償機制入手，在公益訴訟中直接賠付受害人呢？多位專家的觀點并不一致。
在上述11起典型案例中，有三起刑事附帶民事公益訴訟的判決結果包括對被告作出懲罰性賠償。如貴州省安順市西秀區人民檢察院訴熊某某等人侵犯公民個人信息案，70余萬元賠償金被存入檢察機關與財政部門共同建立的公益訴訟專項資金賬戶中。
雖然公益訴訟賠償款的法律屬性及如何管理和使用尚無明確規定，但南都·隱私護衛隊注意到，判決中出現懲罰性賠償結果的案例在不斷增加。還有地方專門發布文件對賠償金的用途作出規定——7月8日，廣西北海市檢察院、法院與財政局共同協商制訂了《侵犯公民信息公益訴訟懲罰性賠償金專項賬戶管理辦法》，對入賬、支出、印鑒、賬務、用途等均予以規范。上述辦法規定，該賬戶資金的支付、管理由三方負責，資金用途主要是公民個人信息的保護，如大數據時代App的監管等。
“地方已有在個人信息保護領域的公益訴訟中提起懲罰性賠償的實踐，這些賠償金通常是上繳國庫或設立專門的賬戶予以監管，很難賠到個人。”陳明慧解釋，一方面，這些賠償金如何使用，能不能賠付到個人，目前是很有爭議的問題。另一方面，如何判斷個人損失的具體額度、每位受害人應賠償的金額等都是難以解決的問題。
“將從企業那里獲得的賠償金直接收回國庫，這樣的做法并不妥當。”對于如何使用賠償金，勞東燕建議在現有的司法救濟中增加一種類型，專門用來補償或救濟那些因個人信息泄露或被濫用而造成重大損失或困擾的個人。
在她看來，相比于因個人信息泄露而接到騷擾電話，被精準詐騙而失去巨額錢財、被身份冒用而難以注銷公司的受害人，遭受的損失上更加嚴重，有必要對其進行補償。
“實際操作中，可考慮采取申請制的方式，受害人不需要舉證表明泄露或濫用個人信息的相關單位，只要證明因個人信息泄露、濫用而受到重大損失或困擾就可以。”勞東燕補充。
張新寶則不主張在個人信息保護公益訴訟中適用懲罰性賠償。他提到，首先，檢察機關等公益訴訟起訴人并非受害人或其直接利益相關人員，起訴人請求懲罰性賠償是否有正當的法理基礎值得進一步討論。其次，如果允許在個人信息保護公益訴訟中適用懲罰性賠償金，那么被告就有可能因為實施一個違法行為受到多次懲罰，造成對被告罰過其當。
2021年11月1日，《中華人民共和國個人信息保護法》正式實施，其第七十條規定：“個人信息處理者違反本法規定處理個人信息，侵害眾多個人的權益的，人民檢察院、法律規定的消費者組織和由國家網信部門確定的組織可以依法向人民法院提起訴訟。”
在劉藝看來，該條款并不是單純的公益訴訟條款。依據上述條款，不僅可以由人民檢察院等主體提起的公益訴訟，也可以由適格主體提起代理人訴訟。在代理人訴訟中，訴訟結果與每個受害人的利益相關，法院判決的賠償可以按照一定原則合理分配給每一位受害人。
