【条文主旨】
本条是关于个人信息保护民事公益诉讼的规定。
【条文理解】
本条规定旨在解决信息处理者处理个人信息的行为侵害众多个人权益时能否通过公益诉讼制度实现权利救济和惩处侵权行为的问题。所谓公益诉讼，是指由特定的机关、社会团体或个人提起的旨在维护社会公共利益的诉讼活动。[1]公益诉讼分为民事公益诉讼和行政公益诉讼。根据文义，本条规定的个人信息保护公益诉讼仅限于民事公益诉讼，即只是针对个人信息处理者的侵权行为提起公益诉讼，而不是对未履行法定职责或者作出损害公共利益的行政行为的行政机关提起公益诉讼。
本条规定是对《
民事诉讼法》第55条确立的民事公益诉讼制度的进一步细化。我国《民事诉讼法》第55条规定：“对污染环境、侵害众多消费者合法权益等损害社会公共利益的行为，法律规定的机关和有关组织可以向人民法院提起诉讼。人民检察院在履行职责中发现破坏生态环境和资源保护、食品药品安全领域侵害众多消费者合法权益等损害社会公共利益的行为，在没有前款规定的机关和组织或者前款规定的机关和组织不提起诉讼的情况下，可以向人民法院提起诉讼。前款规定的机关或者组织提起诉讼的，人民检察院可以支持起诉。”这一规定是对民事公益诉讼的总体性规定，但在实施过程中，有关各方对《民事诉讼法》第55条中的“等损害社会公共利益”是“等内等”还是“等外等”的认识还不完全一致。从立法本义来看，这里的“等”是“等外等”，并非指公益诉讼只限于污染环境和侵害众多消费者合法权益的情形，而是希望以这两种情形作为公益诉讼的突破口，为将来的扩大适用留下空间。有关释义认为：“这样规定，既可突出对环境、消费者权益的保护，也有利于审时度势，根据实践情况的发展，逐步扩大公益诉讼的适用范围。”[2]《个人信息保护法》作出本条规定，正是基于实践情况的发展，在《民事诉讼法》第55条规定的基础上作了进一步发展，将公益诉讼的适用范围扩展到个人信息保护领域。
公益诉讼制度对于个人信息保护具有十分重要的价值。当前个人信息被滥用的情况较为严重，而且同一行为往往涉及不特定多数人。此时受害者虽然可以采取私益诉讼的方式获得救济，但是存在两大明显弊端：一是受害者个人维权成本高，举证能力有限。而且由于受害者分散，互相不认识，想要组织起来开展共同诉讼也十分困难、成本高昂；因此依照《民事诉讼法》第53条、第54条规定的多数人诉讼制度维权也不是最佳的制度设计。二是受害人通过私益诉讼单独维权会导致诉讼爆炸，法院不堪重负，且重复审理大量同质案件也使得司法资源的利用效率十分低下。公益诉讼制度能够有效弥补这两大不足。此前，理论和实务界对于侵害个人信息能否纳入民事公益诉讼范围还存在不同认识。例如，最高人民法院在2016年制定公益诉讼相关
司法解释时，对于侵害众多消费者个人信息的情形应否纳入消费民事公益诉讼范围，因存在一定争议，未明确列举。但是近年来，随着侵害个人信息现象日益严重，不少地方也在积极探索个人信息公益诉讼，成效显著。例如，江苏省消保委诉北京百度网讯科技有限公司涉嫌违规获取消费者个人信息消费民事公益诉讼案、浙江省杭州市余杭区检察院诉某网络科技有限公司侵害公民个人信息民事公益诉讼案等。其中，江苏省消保委诉北京百度网讯科技有限公司涉嫌违规获取消费者个人信息消费民事公益诉讼案是全国首例针对个人信息安全提起的公益诉讼案件。2017年12月11日，江苏省消保委就北京百度网讯科技有限公司涉嫌违规获取消费者个人信息且未及时回应提起消费民事公益诉讼。2018年1月2日，南京市中级人民法院正式立案。立案后，百度公司主动与江苏省消保委联系，前后多轮派员前来当面沟通，并就方案制定及软件优化升级改造情况进行汇报。2018年1月26日，百度公司提交了正式升级改造方案，从取消不必要敏感权限、增设权限使用提示框、增设专门模块供权限选择、优化隐私政策等方面对软件进行升级，切实保障消费者信息安全。同年2月8日，新版App全部更新上线。经实测，上述问题已整改到位，鉴于百度公司相关行为展现出了一家互联网企业应有的责任，保障了消费者个人信息安全，江苏省消保委认为提起消费民事公益诉讼的目的已经达到，本着节约诉讼成本和司法资源的原则，江苏省消保委依法向南京市中级人民法院提交了《撤诉申请书》。2018年3月12日，南京市中级人民法院裁定，准予江苏省消保委撤回起诉。从公益诉讼案件效果看，此类案件有力维护了公民个人信息安全，取得了良好社会效果。可以说，司法实务界在利用公益诉讼制度维护公民个人信息安全方面已经积累了一定的实践经验。
当然，在个人信息保护问题上引入公益诉讼制度最大的价值不在于解决案件审理问题，而是在于震慑侵权行为。即通过明确有关机关和组织可以运用公益诉讼制度这一最有效方式来保护个人信息，对潜在的侵权者可以起到极大的震慑作用。从个人信息公益诉讼的实践情况来看，往往不待法院作出实体判决，侵权人就摄于压力而主动采取措施消除侵权后果。前述江苏省消保委诉北京百度网讯科技有限公司涉嫌违规获取消费者个人信息消费民事公益诉讼案最终是以撤诉方式结案，而浙江省杭州市余杭区人民检察院诉某网络科技有限公司侵害公民个人信息民事公益诉讼案则是以调解方式结案。2020年6月23日，杭州市余杭区人民检察院依法向杭州互联网法院提起民事公益诉讼，诉请被告某网络科技有限公司停止违法违规收集、储存、使用个人信息并公开赔礼道歉。同年9月9日，法院公开开庭审理本案。庭审中，公益诉讼起诉人出示案涉App违法违规收集个人信息的电子数据等证据，充分阐述社会公共利益受损的情况，被告同意履行检察机关提出的全部诉讼请求。双方当庭达成调解协议：被告立即删除违法违规收集、储存的全部用户个人信息1100万余条；在《法治日报》及案涉App首页公开赔礼道歉；承诺今后合法合规经营，若存在违反协议约定的行为，将自愿支付50万元违约金用于全国性个人信息保护公益基金的公益支出。这些实例都是在法律只有一般性规定，具体操作规则还不够明晰的情形下进行的实践探索，起到了很好的导向和震慑作用。由是观之，以具体法律规定的形式明确对侵害个人信息的行为可以提起公益诉讼，导向更加明确、立场更加鲜明，对于遏制日益泛滥的侵害个人信息的行为更加积极有效。
本条规定有权提起个人信息保护公益诉讼的主体包括三类：（1）人民检察院。人民检察院是国家的法律监督机关，而公益诉讼制度本身具有法律监督的功能，因此，由人民检察院提起个人信息保护的民事公益诉讼是合适的。[3]需要注意的是，《个人信息保护法》本条虽然在行文上将人民检察院、法律规定的消费者组织和国家网信部门确定的组织并列，但并不等于人民检察院可以直接提起民事公益诉讼，而是应当依照《民事诉讼法》第55条的规定，在有关机关和组织不提起诉讼的情况下，才可以向人民法院提起诉讼。依照《民事诉讼法》第55条的规定，人民检察院只有在没有第55条第1款规定的机关和组织或者有关机关和组织不提起诉讼的情况下，才可以向人民法院提起诉讼。如果有关机关或者组织提起诉讼的，人民检察院可以支持起诉。而《个人信息保护法》本条的表述是“依法向人民法院提起诉讼”，此处的“依法”当指依照《民事诉讼法》及有关法律规定。（2）法律规定的消费者组织。《
消费者权益保护法》第47条规定：“对侵害众多消费者合法权益的行为，中国消费者协会以及在省、自治区、直辖市设立的消费者协会，可以向人民法院提起诉讼。”因此，如果个人信息处理者违反法律规定处理个人信息侵害众多消费者权益的，中国消费者协会及在省、自治区、直辖市设立的消费者协会，有权依照《个人信息保护法》及《消费者权益保护法》的规定提起民事公益诉讼。（3）由国家网信部门确定的组织。由于公益诉讼并非常态的救济方式，且各种组织的类型众多，不是所有组织都能提起个人信息保护的公益诉讼，如果不作限制可能会产生滥诉问题。故此本条规定只有国家网信部门确定的组织才能依法提起。[4]
除《个人信息保护法》的规定外，有关个人信息保护的司法解释也对公益诉讼制度作了规定。《使用人脸识别技术处理个人信息民事案件规定》第14条规定：“信息处理者处理人脸信息的行为符合民事诉讼法第五十五条、消费者权益保护法第四十七条或者其他法律关于民事公益诉讼的相关规定，法律规定的机关和有关组织提起民事公益诉讼的，人民法院应予受理。”人脸信息是个人信息的一种，因此该解释实际上是对个人信息保护公益诉讼在人脸信息领域的具体适用。考虑到解释出台时《个人信息保护法》尚在制定中，因此该解释在列举《民事诉讼法》第55条、《消费者权益保护法》第47条后，作了“或者其他法律关于民事公益诉讼的相关规定”的表述，目的就是为了与《个人信息保护法》衔接。
【条文适用】
个人信息公益诉讼案件的起诉、管辖、审理、和解、撤诉、裁判等事项，直接依照《民事诉讼法解释》关于公益诉讼程序的规定。需要重点注意的问题包括：
第一，个人信息公益诉讼的起诉条件问题。需要特别注意公益诉讼与私益诉讼起诉条件的区别。《民事诉讼法》第119条规定的起诉条件是指私益诉讼的起诉条件，具体包括：（1）原告是与本案有直接利害关系的公民、法人和其他组织；（2）有明确的被告；（3）有具体的诉讼请求和事实、理由；（4）属于人民法院受理民事诉讼的范围和受诉人民法院管辖。上述四个条件中第（2）～（4）个均适用于公益诉讼，而第一个条件“直接利害关系规则”则只适用于私益诉讼。这是因为“直接利害关系规则”是建立在任何民事权益都有积极的捍卫者，一旦其权益受损，权利人必然会向法院寻求救济的假设基础之上的。[5]在公益诉讼案件中，受害者众多而且分散，因维权成本高昂，会抑制部分人的诉讼意愿，同时还可能滋生搭便车心理。此时如果严格遵循“直接利害关系规则”就有可能出现没有直接利害关系人，或者利害关系人因不知、不能、不敢等原因而未起诉，以致无人起诉的局面。为解决这一问题，《民事诉讼法解释》第284条规定了公益诉讼的起诉条件问题，明确公益诉讼的原告不要求一定与纠纷有法律上的直接利害关系。该条规定的起诉条件为：（1）有明确的被告；（2）有具体的诉讼请求；（3）有社会公共利益受到损害的初步证据；（4）属于人民法院受理民事诉讼的范围和受诉人民法院管辖。个人信息公益诉讼的起诉条件也应当适用《民事诉讼法解释》第284条规定，而不是《民事诉讼法》第119条规定。需要注意的是“有社会公共利益受到损害的初步证据”的理解问题。《个人信息保护法》第70条规定：个人信息处理者违反本法规定处理个人信息，侵害众多个人的权益的，有关机关和组织可以提起公益诉讼。可见，只要是侵害了众多个人的权益，就可以认为是公共利益受到损害。因此，在个人信息公益诉讼中，符合以下两个条件，即可认为是“有社会公共利益受到损害的初步证据”：一是有被告实施了侵害个人信息的行为的证据；二是有受害者人数众多的证据。而且这里的证据只是初步证据而非充分证据。
第二，书面告知行政主管部门的问题。依照《民事诉讼法解释》第286条的规定，人民法院受理公益诉讼案件后，应当在10日内告知相关行政主管部门。人民法院审理个人信息公益诉讼案件，也应当遵循这一规定。《个人信息保护法》第60条规定：“国家网信部门负责统筹协调个人信息保护工作和相关监督管理工作。国务院有关部门依照本法和有关法律、行政法规的规定，在各自职责范围内负责个人信息保护和监督管理工作。县级以上地方人民政府有关部门的个人信息保护和监督管理职责，按照国家有关规定确定。前两款规定的部门统称为履行个人信息保护职责的部门。”因此，人民法院审理个人信息公益诉讼案件时应当依法告知网信部门和在职责范围内负责个人信息保护和监督管理工作的有关部门。
第三，公益诉讼和私益诉讼并存的问题。《民事诉讼法解释》第288条规定：“人民法院受理公益诉讼案件，不影响同一侵权行为的受害人根据民事诉讼法第一百一十九条规定提起诉讼。”据此，法律规定的机关或者组织提起个人信息公益诉讼的，不影响受害人单独提起私益诉讼。实践中的主要难题有两个：一是私益诉讼、公益诉讼并存时程序如何处理，何者应当优先的问题。鉴于这一问题较为复杂，司法解释目前未作出规定，留待司法实践进一步积累经验。二是私益诉讼、公益诉讼能否合并审理的问题。目前也还存在较大的争议。《最高人民法院关于审理环境民事公益诉讼案件适用法律若干问题的解释》采取的立场是有关民事主体以人身、财产受到损害为由申请参加诉讼的，告知其另行起诉。从目前的实践情况看，一些法院尝试了将公益诉讼和私益诉讼合并审理，效果也很好。我们认为，在公益诉讼中合并审理私益损害，更有利于解决私益诉讼起诉成本高、起诉意愿低的问题，更有利于实现法律设置公益诉讼制度的目的，应当鼓励人民法院对此进行探索，为将来制定司法解释积累经验。
第四，公益诉讼的和解、调解和撤诉问题。公益诉讼的本旨在于维护公共利益，因此原告在诉讼程序中的处分权利要受到较为严格的限制。而限制的核心标准则在于是否损害公共利益。因此，根据《民事诉讼法解释》第289条规定，和解或者调解协议应当进行公告，期间不得少于30日。公告期满后经审查不违反社会公共利益的，人民法院应当出具调解书；违反公共利益的，不予出具调解书，并应当继续审理依法作出裁判。第290条规定：“公益诉讼案件的原告在法庭辩论终结后申请撤诉的，人民法院不予准许。”此时因为案件事实已经查清，具备判决条件，允许原告随意撤诉既不利于保护公共利益，也不利于兼顾被告的程序利益。此外，根据这一条文可知：原告在法庭辩论终结前申请撤诉的，人民法院可以准许。但要注意，此时人民法院也应当进行审查，如果撤诉损害公共利益的，人民法院不应当准许撤诉。
