个人生物识别信息的公益诉讼制度优化研究

陆洲, 高丽敏

(燕山大学 文法学院,河北 秦皇岛 066044)

随着信息技术的迅猛发展,依托生物识别技术产生的个人生物识别信息引起了人们的关注。个人生物识别信息是依托生物识别技术在处理自然人生理或者行为特征时产生的具有唯一性及可识别性的信息,具有人格、财产双重属性。一方面,个人生物识别信息折射出个人独特的生理或行为特性,对其进行收集可分析出人的年龄、性格等状况,人身属性强烈[1]。另一方面,个人生物识别信息的唯一性、可识别性使其呈现出经济价值,具有财产属性。不可否认,个人生物识别信息与人密切相关,与人相关便涉及人的权益,法律对人的权益进行保障是其意旨所在[2]。

生物识别技术获取个人生物识别信息的主动性、隐蔽性使得信息处理者未经信息权利人知情同意就可对其生物信息进行采集,信息权利人很难通过私益救济维护其合法权益。2020年,最高人民检察院出台《关于积极稳妥拓展公益诉讼案件范围的指导意见》,指出检察公益诉讼应把个人信息保护作为工作重点。之后,公益诉讼制度作为可弥补私益救济不足的手段在个人信息保护中发挥着重要作用。不过,个人生物识别信息与个人信息虽有共性但也有不同,个人生物识别信息存在自身独特之处,能否将公益诉讼制度引入到个人生物识别信息保护中来,将其引入进来是否具有正当性依据?若其具有正当性依据在适用中是否还存在问题?若存在问题如何对其进行解决以实现制度优化,进而使个人生物识别信息权利人的信息权益得到维护,这是需要探讨的重要问题。

一、个人生物识别信息保护引入公益诉讼制度的正当性

(一)理论证成:个人生物识别信息的公共性

个人生物识别信息的公共性是将公益诉讼制度引入其中的理论证成。一方面,从个人生物识别信息的属性来看,它与人格利益紧密相连的同时,不可避免地蕴含着财产价值,在信息被奉为资源的当今时代,人的趋利性会导致个人生物识别信息在社会经济领域中的应用呈现无限扩张的特点,财产属性更加强烈。不过,这也将导致个人生物识别信息的人格与财产属性产生内在张力,即过度利用个人生物识别信息会损害信息个人的人格利益,而过分保护信息个人的人格利益又会导致信息孤岛[3]。同时,生物识别技术的更新与发展将个人生物识别信息的财产价值挖掘出来,很可能导致个人生物识别信息使用中的个人风险向社会风险转变,对社会公共利益造成损害[4]。另一方面,从信息个人这一主体角度来看,亚里士多德曾说“人天生是政治动物”,人的本质是社会性,个人无时无刻不处于社会生活中,并通过与人的交流实现人格自由,尽管个人生物识别信息与个人的事务是紧密联系在一起的,但是个人事务的社会性也使得个人数据处于公共领域[5],这也促使信息个人需要将一部分权利让渡给社会,不能排他性地享有权利。个人生物识别信息的公共性赋予其社会价值,在一定程度上能反映出公共利益,而当这种社会价值遭受侵害时,代表公益性的组织有权通过起诉的形式保障公共利益。

(二)现实视角:信息主体间利益平衡的有效路径

1.改善信息个人的弱势处境

在信息利用阶段,信息个人处于弱势地位。根据《个人信息保护法》第14条规定,信息处理者在应取得信息个人同意的情况下应履行明确告知义务,使对方充分知情,但实践中,信息处理者拥有的技术优势有让其逃避义务的可能,这是因为信息处理者在收集个人生物识别信息时,信息个人常处于不知情的情况下,如被曝光的科勒、宝马等门店安装摄像头采集用户面部信息,低配的儿童智能手表实时对儿童实施面部监控,这些情况信息个人无法知情,同意更无从谈起。《个人信息保护法》第16条还规定了信息处理者除了例外情形不得以个人不同意处理其个人信息或撤回同意为由,拒绝提供产品或者服务。同样在实践中也出现了信息个人不提供指纹数据、面部数据等,就被对方拒绝提供产品和服务的案例,如发生在杭州野生动物世界的“人脸识别第一案”。

在寻求救济阶段,信息个人仍处于弱势处境。个人生物识别信息侵权案件频发背景下,当个人生物识别信息遭受侵害而信息个人需要主张权利时,信息个人在收集证据上、技术能力上以及经济实力上都处于绝对的弱势境地,这就使得私益救济效果大打折扣,信息个人很可能因其弱势地位而放弃权利救济。此外,个人生物识别信息的侵害具有隐蔽性,大多数人的生物识别信息被违法处理而不自知。因此,当信息个人的私益救济手段受到阻碍或者不能行使时,公益诉讼救济手段就能为信息个人的信息权益保护提供助力。

2.缓解公权力与私权利的内在张力

个人生物识别信息除了有组织、个人平等的信息处理者外,还会涉及到国家机关,尤其是政府。政府作为公共权力代言人,有公民赋予的处理公共事务的权力,它执法具有单方面性,其职权范围广且涉及领域众多,在信息应用领域也占据着重要地位。但是,个人信息尤其是个人生物识别信息与信息个人的人格、财产紧密相连,政府不能以公共事务为由而对信息个人的私权利予以无限制的压缩,使信息个人的私权利无限度的克减。在处理公务事务时,政府要严格遵循合法原则,并将合法原则作为首要原则,政府取得个人让渡的部分信息必须符合宪法和法律规定,政府并未有任意取得信息权利人信息的权利[6]。

行政权的行使在现代风险社会情境下有扩张的趋势,在国家权力与公民权利存在着内在张力的情况下,亟需对公民权利的保障做出安排。在个人信息领域,信息个人为了公共利益有必要将自身的信息权益在法律限度范围内让与公权力机关行使,但超出法律限度外的行为便是对信息个人信息权益的侵害。政府作为行政机关,代表着国家公权力,信息个人面对公权力时有时不敢或者不愿行使救济权利,那法律赋予的救济权利难免会落空。而且,行政机关作为有监督管理权限的机关,在信息领域监管不到位时也会间接损害信息个人的合法权益。在这些情形下,检察机关作为公共利益的代表,同属国家权力机关,对行政机关启动公益诉讼来保护公共利益是应有之义。最高人民检察院发布第35批指导性案例中的“北京市人民检察院督促保护儿童个人信息权益行政公益诉讼案”,为个人生物识别信息运用行政公益诉讼方式予以保护提供了借鉴,它平衡了公权力机关与信息个人之间的内在张力,保证公权力机关依法履行监管职责,促使信息个人的合法权益得到有效保障。

(三)法律依据:《个人信息保护法》等相关法律规定

个人生物识别信息公益诉讼制度的设立具有法律根据。首先,《民事诉讼法》中对污染环境、侵害众多消费者合法权益等行为规定适格主体可以提起公益诉讼,其理由在于侵害行为损害了社会公共利益。个人生物识别信息的侵害行为具有涉众性,与社会利益紧密相关。《民事诉讼法》出现的“等”损害社会公共利益的行为,实质是为与污染环境、侵害众多消费者合法权益相类似的损害公共利益的行为预留了空间,而侵害个人生物识别信息的行为因损害公共利益恰恰可以囊括到预留空间中来。同理,新修订的《行政诉讼法》规定在生态环境等领域,对行政机关不合法行使职权或不行使职权而导致国家利益、公共利益遭受损害的,法律监督机关在督促其合法行使职权其仍未正当履职的,可提起公益诉讼。这条款中的“等”领域从本质上来讲涉及到与公共利益有关的领域,这也为个人信息领域的公益诉讼保护预留了空间。《个人信息保护法》将个人生物识别信息归为敏感个人信息予以保护,并在第70条规定当信息处理者违反本法规定处理信息而侵害众多信息个人权益的,人民检察院、法律规定的消费者组织和由国家网信部门确定的组织可以向人民法院依法提起公益诉讼,这是公益诉讼制度在个人信息领域中确立的直接法律根据。个人生物识别信息是个人信息的子信息,虽两者有着可识别的共性,但个人生物识别信息比个人信息具有更高的敏感性,与人切身利益紧密相关,为维护信息公共利益,同样应该适用该条款的规定。

基于《个人信息保护法》第70条的规定,学界对个人信息领域公益诉讼的类别进行了研究。有学者认为此处的公益诉讼不包括行政公益诉讼[7],也有学者持反对意见,认为第70条规定的信息公益诉讼包括民事公益诉讼、附带民事公益诉讼,也包含行政公益诉讼[8]。事实上,《个人信息保护法》第33条规定“国家机关处理个人信息的活动,适用本法”,这意味着国家机关处理个人信息不符合规定的,权利机关即人民检察院有权提起公益诉讼,也即行政公益诉讼并未被排除在外。从实践中来看,个人信息的行政公益诉讼案件在个人信息公益诉讼中占据着一席之地。

二、个人生物识别信息公益诉讼制度存在的问题

个人生物识别信息公益诉讼制度设立的直接法律依据源于《个人信息保护法》第70条,但整体上看,这条规定具有原则性、概括性,在未出台相关司法解释对其进行具体化规定的情境下,个人生物识别信息公益诉讼制度不可避免地会出现适用条件规定宽泛、起诉主体顺位难确定、证明责任未合理分配及不同公益诉讼类别的衔接关系待厘清等问题。

(一)适用条件规定宽泛

依据《个人信息保护法》第70条的规定,概括归纳出公益诉讼应具备以下构成要件:一是违反本法规定,这里的“本法”指的是《个人信息保护法》,也即第一个构成要件是违反《个人信息保护法》的相关规定处理个人信息,这是从信息处理者行为角度出发来认定适用条件。二是侵害众多个人的信息权益,即从结果角度认定责任承担的问题。在适用公益诉讼时两个构成要件要同时具备,缺一不可。不过,第二个构成要件中的“众多”是宽泛的、不够明确的,因为“众多”指的是特定的人数或者不特定的人数在该条款中未能准确判断出来,这为实践中具体适用公益诉讼制度带来了困难。如何将适用条件予以具体化,这既是立法的要求,也是司法实践的要求。

(二)起诉主体顺位难确定

在判断起诉主体顺位时首先要对《个人信息保护法》规定的三类主体进行整体把握。首先,人民检察院作为公共利益的代表机关,代表众多的信息被侵害者提起公益诉讼是其履行职责的体现。检察机关在提起公益诉讼时有自身的优势,体现为它有法律赋予的一定范围内的调查核实权[9]。最高人民检察院目前发布有关个人信息的公益诉讼指导案例,为实践适用公益诉讼制度提供指引和遵循。其次,法律规定的消费者组织可以提起公益诉讼,《个人信息保护法》对哪些消费者组织可以提起关于个人信息的公益诉讼并未作出规定,可将其他公益诉讼中对消费者的规定引入进来。最后,国家网信部门确立的组织也是宽泛意义的,这有待出台相关司法解释作出说明。不过,确立的组织范围既不能过窄,则限制公益诉讼功能发挥,又不能过于宽泛,则导致私益救济与公益救济存在交叉,浪费司法资源。

按照《个人信息保护法》第70条的规定,提起公益诉讼的顺位分别是人民检察院、法律规定的消费者组织、网信部门确立的组织。单就这一规定来讲,顺位不难确定,但将其与《民事诉讼法》结合来看,启动民事公益诉讼时的主体顺位呈现着难以确定的情形,原因在于《民事诉讼法》第58条规定只有在法律规定的机关和有关的组织不提起诉讼时,才由人民检察院提起诉讼。可见,因两者顺位存在差异,启动个人生物识别信息民事公益诉讼如何把握起诉主体便成了难题。

(三)证明责任未合理分配

《个人信息保护法》对公益诉讼中的证明责任尚未作出明确规定。在行政公益诉讼中,检察机关提起行政公益诉讼前,应向相关部门发出检察建议,责令相关部门履行职责,也即检察机关的检察建议为前置程序,通常情况下相关部门在接收到检察建议时会依法主动履职,在这样的情形下,不再探讨个人生物识别信息行政公益诉讼的举证责任分配。而在个人生物识别信息的民事公益诉讼中,根据民事诉讼中奉行的“谁主张,谁举证”原则,应由起诉主体对信息处理者的行为主体、侵害行为、损害事实及主观过错承担举证责任。但在处理个人生物识别信息的全生命周期过程中,信息处理者因掌握信息技术而在收集、存储、利用等各个环节处于优势地位,信息处理者完全可以不通过对方知情或者同意而采集个人生物识别信息,或者即便是在知情同意的情形下采集信息,但超过权限对信息进行利用时对方也一无所知。在提起公益诉讼时,起诉主体也面临着对侵权行为、损害事实乃至主观过错举证困难的情形,而这也反映出证明责任分配的不合理性。

(四)不同公益诉讼类别的衔接关系待厘清

个人生物识别信息的公益诉讼因涉及的场景、起诉对象不同,有不同类别。具体而言,有民事公益诉讼、附带民事公益诉讼及行政公益诉讼三类,附带民事公益诉讼实质上也是民事公益诉讼。整体上看,三类公益诉讼并不是完全割裂开的,在同一个案件中可同时出现两种公益诉讼的情况。举例而言,当信息处理者侵害众多信息个人的指纹数据,而未有信息个人提出私益诉讼的情况下,适格的公益诉讼起诉主体有权向人民法院提起民事公益诉讼。同时,信息监管部门懈怠履行职责或者违法履职而使得个人生物识别信息的侵害行为损害公共利益的,倘若人民检察院督促其履职未得到回应,人民检察院有权向人民法院提起行政公益诉讼。在公益诉讼出现交叉的情形中,厘清三者的适用关系、适用程序以及如何确定管辖地至关重要,尤其是在涉及管辖地时,不同的公益诉讼管辖地不同,需加以厘清以防止出现互相推诿或者争相管辖的情形。

三、个人生物识别信息公益诉讼制度的优化路径

(一)把握公益诉讼适用条件

具备明确的适用条件是启动公益诉讼的前提和基础,在提起个人生物识别信息公益诉讼时,其适用条件应包括以下几点:

第一,信息处理者违法处理个人信息。判断信息处理者是否违反《个人信息保护法》处理个人生物识别信息,既要对其进行专业评估及合法分析,也要注重判断是否取得信息个人的知情同意,此处的同意不是概括的、一揽子的同意,因个人生物识别信息的高度敏感性,需获得信息个人基于信息处理的全生命周期的知情同意。

第二,侵害众多信息个人的权益。对“众多”的判断既要考虑“人”,也要考虑“信息”本身[10],因生物识别技术具有获取信息的隐蔽性,侵害的是不特定多数人的信息权益,因而“众多”通常指不特定的多数人,涉及到社会公共利益。同时,对信息本身的判断要考虑到信息被侵犯的数量、范围等。

第三,个人生物识别信息民事公益诉讼的启动,以适格主体未提起私益诉讼为前提。在启动个人生物识别信息公益诉讼前,首先要确定信息权益遭受侵害的信息个人是否提起私益诉讼,这是确保私益诉讼与公益诉讼有效衔接的手段,公益诉讼诉前要发布诉前公告,公告期满,信息个人没有提起私益诉讼才由适格主体提起公益诉讼。

第四,在个人生物识别信息行政公益诉讼立案后,应遵循检察建议前置原则,这是在行政公益诉讼中应注重的问题,其实质是对公权力之间履职的保障。只有当行政机关在督促建议接收后仍未履职的,人民检察院才按照公益诉讼程序提起诉讼。

(二)明晰起诉主体顺位

实践中有关信息侵权的公益诉讼案件,以检察机关作为起诉主体的较多,但检察机关不是唯一的适格公益诉讼起诉主体。依据《个人信息保护法》《民事诉讼法》,在涉及个人信息民事公益诉讼时,无法判断检察机关与其他适格起诉主体的顺位时,应确保检察机关的谦抑性,也即在发布公告后没有其他适格主体的情形下,才由检察机关提起公益诉讼。之所以如此界定是因为检察机关作为国家公权力机关,在涉及平等主体之间的人身关系和财产关系时,不应过多地予以介入。当没有其他适格主体提起公益诉讼时,检察机关作为公共利益的代表,才履行机关职责,提起公益诉讼。同时,在个人生物识别信息公益诉讼中要注意行政机关的定位问题,行政机关为履行公共行政职责也会收集信息个人的生物识别信息,若赋予其提起公益诉讼的资格,会导致其功能的紊乱,因而行政机关不适合做公益诉讼起诉主体,但基于行政机关执法的主动性与单方面性,它可在信息公益诉讼中提供多方面支持,比如可以对相关法律问题给予解答,还可以协助调查取证等[11]。

(三)公平分配证明责任

证明责任的分配关乎公平正义。个人生物识别信息民事公益诉讼按照“谁主张、谁举证”原则,由起诉主体承担举证责任。但实际上,生物识别信息是依托于生物识别技术产生的数据,信息处理者占据着技术优势,起诉主体在证明信息处理者侵害行为与损害事实的因果关系时因技术弱势而受到桎梏。为将程序正义与实质正义贯彻落实到个人生物识别信息民事公益诉讼中,在证明责任分配上,可采取因果关系举证责任倒置的方式,即由信息处理者举证证明生物识别信息受损害的事实与其行为并无因果关系。同时,在归责原则上,可采用过错推定归责原则,即在认定责任过程中,推定信息处理者对信息受到侵害的行为有过错,至于其是否存在过错则由信息处理者去证明。其中,信息处理者对“过错”的证明应是形式意义上的,即证明在处理信息时是否依据法律法规履行告知义务、信息个人是否知情、涉及同意的场景时是否征得信息个人的同意,这是对信息个人知情同意的有效保障。因果关系举证证明责任的倒置、过错推定原则的确立,可改善诉讼过程中起诉主体的不利地位。同时,因信息处理者对“过错”的证明是形式意义上的,并未给予信息处理者过分的义务负担,这可促进起诉主体与信息处理者在举证证明责任上的平衡。

(四)整体把握不同公益诉讼的衔接与配合

个人生物识别信息中的3类公益诉讼有时会存在交叉。以最高人民检察院第35批指导性案例的检例第141号为例,具体案情为:位于北京的某公司开发运营某款短视频软件,该款软件一是没有以显著的、清晰的方法告知儿童用户在注册账号时会收集注册人的面部识别特征等敏感个人信息,而且也未取得儿童监护人的明示同意;二是该款软件在默认关注对方后还能进行私信联系。徐某某利用该软件推送的有关儿童信息的短视频,通过软件私信功能与多名儿童联系,并对其中3名儿童进行了猥亵犯罪。检察机关在办理刑事案件时发现该软件运营公司存在侵害众多儿童生物识别信息的民事公益诉讼案件线索,同时也发现该运营公司所在地的信息监管部门存在监管不到位还可对其进行行政公益诉讼立案的线索。这个案件跨地域、跨公益诉讼类别,在审理时,两种不同类别的公益诉讼由相应的检察机关同时展开,在涉及管辖时,本案涉及的附带民事公益诉讼通过指定管辖的方式由损害结果发生地检察机关管辖,而行政公益诉讼通过指定由网络企业注册地检察机关管辖。

通过这个案件可看出,在对同一案件涉及不同公益诉讼类别时,要注重诉讼类别的衔接和协同。首先,同一案件涉及的不同公益诉讼可同时展开,即按照各自的诉讼程序对具体的诉讼对象进行处理,并无先后顺序。其次,在管辖问题上,可通过指定管辖的方式按照方便调查、便于监管的原则确立管辖。最后,在涉及不同公益诉讼类别与不同诉讼主体时,要注重沟通协商。提起公益诉讼的目的是为了公共利益,当民事公益诉讼、附带民事公益诉讼在起诉前可通过诉前调解或者和解的方式让侵害众多信息个人的信息处理者承担停止侵害、赔偿损失或者赔礼道歉等责任的,行政公益诉讼通过检察建议就可督促监管机关履职的,公益诉讼就无需再继续往下进行。

四、结语

个人生物识别信息公益诉讼制度是为不特定多数人的信息权益而设置的,是弥补个人信息私益救济不足、缓解行政与刑法救济谦抑性的有效补充。为保证公益诉讼制度在个人生物识别信息保护中的有效实施,需要对其具体适用条件、适用主体顺位、举证证明责任以及不同公益诉讼类别关系进行整体把握,以实现公益诉讼制度保护不特定多数人信息权益的功能。依靠科技解决科技问题、依靠法律规范解决科技问题,二者重要性相同[12],在个人生物识别信息公益诉讼制度具有法律依据的基础上,应充分发挥公益诉讼制度优势,积极采用公益诉讼手段维护个人生物识别信息的公共利益,以实现信息公共安全。