個人信息保護(hù)民事公益訴訟案件范圍研究

楊雅妮

摘要：為保障個人信息保護(hù)民事公益訴訟制度的正確實施，應(yīng)當(dāng)通過規(guī)范解讀、實證考察、理論分析等多種手段，綜合運用價值分析法、實證研究法等具體研究方法，對該類訴訟的案件范圍進(jìn)行研究。研究認(rèn)為，《個人信息保護(hù)法》第70條雖然從被訴行為、適格被告、救濟客體以及損害后果等方面對該類訴訟的案件范圍進(jìn)行了初步界定，但在規(guī)范、實踐及理論三重視角下，個人信息保護(hù)民事公益訴訟案件范圍仍呈現(xiàn)出對被訴行為的違法性要求過于嚴(yán)苛、對適格被告范圍的理解與立法規(guī)定的訴訟類型不符、將“眾多”個人利益簡單等同于社會公共利益，以及尚未將侵害“眾多”個人權(quán)益的“風(fēng)險”納入救濟范圍等諸多問題。在此背景下，要科學(xué)界定該類訴訟的案件范圍，應(yīng)當(dāng)遵循法定性、必要性及合政策性標(biāo)準(zhǔn)，一是只有個人信息處理者的違法行為在實質(zhì)上侵害社會公共利益時，才屬于該類訴訟的案件范圍；二是只有當(dāng)受侵害利益無法通過共同訴訟、代表人訴訟等私益訴訟機制獲得司法救濟時，才有必要將其納入該類訴訟的案件范圍；三是應(yīng)當(dāng)充分發(fā)揮政策的引導(dǎo)作用，留意政策傾向的價值維度，以積極、穩(wěn)妥的態(tài)度對待政策對社會公共利益的指引，避免對案件范圍的盲目擴大或不當(dāng)縮減。具體而言，一是應(yīng)將被訴行為的范圍拓展為“違反國家規(guī)定”的行為，即僅就被訴行為而言，只要是“違反國家規(guī)定”的行為，就屬于該類訴訟的案件范圍；二是《個人信息保護(hù)法》第70條規(guī)定的訴訟類型屬于民事公益訴訟，行政機關(guān)不能成為該類訴訟的適格被告，以行政機關(guān)為被告的訴訟不屬于該類訴訟的案件范圍；三是不能僅因受侵害對象人數(shù)“眾多”就將其納入該類訴訟的案件范圍，應(yīng)將是否侵害“社會公共利益”作為判斷救濟范圍的實質(zhì)性標(biāo)準(zhǔn)；四是為提前規(guī)避“實害”的發(fā)生，應(yīng)當(dāng)構(gòu)建預(yù)防性個人信息保護(hù)民事公益訴訟制度，將那些給社會公共利益帶來現(xiàn)實威脅的、緊迫的、嚴(yán)重的、不及時制止可能產(chǎn)生難以彌補損害的“風(fēng)險”納入該類訴訟的救濟范圍。

關(guān)鍵詞：個人信息保護(hù)；民事公益訴訟；行為違法性；“眾多”；社會公共利益；損害

中圖分類號：D925.1;D922.16

文獻(xiàn)標(biāo)志碼：A

文章編號：1008-5831（2023）04-0216-14

自《中華人民共和國個人信息保護(hù)法》（簡稱《個人信息保護(hù)法》）第70條明確規(guī)定個人信息保護(hù)民事公益訴訟制度以來，該類訴訟就迅速成為保護(hù)“眾多”個人信息權(quán)益的一把“利器”，不僅案件數(shù)量迅速增長，而且救濟客體不斷擴大。但仔細(xì)審視該條規(guī)定，其對案件范圍的界定并不明確，給制度運行帶來了障礙。近年來，學(xué)界雖然圍繞個人信息保護(hù)民事公益訴訟進(jìn)行了廣泛研討參見：李曉倩《個人信息保護(hù)民事公益訴訟的原告適格——以<個人信息保護(hù)法>第70條的解釋論為中心》（《吉林大學(xué)社會科學(xué)學(xué)報》，2022年第5期20-29頁）；張建文《個人信息保護(hù)民事公益訴訟的規(guī)范解讀與司法實踐》（《鄭州大學(xué)學(xué)報（哲學(xué)社會科學(xué)版）》，2022年第3期31-35頁）；張陳果《個人信息保護(hù)民事公益訴訟的程序邏輯與規(guī)范解釋——兼論個人信息保護(hù)的“消費者化”》（《國家檢察官學(xué)院學(xué)報》，2021年第6期72-84頁）。，但專門針對案件范圍的成果并不多見。迄今為止，對于被訴行為的違法性要件、適格被告范圍、“眾多”個人權(quán)益與社會公共利益的關(guān)系以及“損害”應(yīng)否包含損害“風(fēng)險”等影響案件范圍界定的重要因素，學(xué)者之間仍存在不同認(rèn)識，給如何科學(xué)界定該類訴訟的案件范圍造成了困惑。

實務(wù)中，在消費者協(xié)會和檢察機關(guān)的共同推動下，我國的個人信息保護(hù)民事公益訴訟取得了重大進(jìn)展，保護(hù)對象也從最初的消費者擴大為普通公民。但遺憾的是，該類訴訟在我國雖已開展多年，但司法人員對于何種糾紛應(yīng)屬于該類訴訟的案件范圍，仍見仁見智、做法不一，尤其是在對受侵害利益是否為社會公共利益進(jìn)行判斷時，意見分歧較大。例如，在“貴州省畢節(jié)市七星關(guān)區(qū)人民檢察院訴成某某等侵犯公民個人信息刑事附帶民事公益訴訟案”案號：（2020）黔0502刑初724號。中，對于成某某等非法買賣個人信息13 895條的行為是否侵害了社會公共利益，兩級法院就存在不同認(rèn)識。在一審中，貴州省畢節(jié)市七星關(guān)區(qū)人民法院（原貴州省畢節(jié)市人民法院）以“涉案行為侵犯的主體特定，不涉及公共利益”為由，駁回了檢察機關(guān)提出的附帶民事公益訴訟；而在二審中，貴州省畢節(jié)市（地區(qū)）中級人民法院卻以被告人“向不特定社會公眾召集兼職人員，并收集個人信息，上傳給上家個人信息13 895條，獲利人民幣3 966.8元，損害社會公共利益”為由，認(rèn)為“原審法院駁回公益訴訟起訴人畢節(jié)市七星關(guān)區(qū)人民檢察院的訴訟請求的理由不能成立”，并判決撤銷了（2020）黔0502刑初724號刑事附帶民事判決主文第六項案號：（2021）黔05刑終265號。。

黨的二十大報告明確指出，要“加強個人信息保護(hù)”，“完善公益訴訟制度”。在此背景下，為貫徹落實黨的二十大精神，保障個人信息保護(hù)民事公益訴訟制度的正確實施，本文立足于社會公共利益的基本特征和現(xiàn)行立法規(guī)定，以典型案例和樣本數(shù)據(jù)為實證考察對象，在規(guī)范、實踐及理論三重視角下，遵循法定性、必要性與合政策性標(biāo)準(zhǔn)，從被訴行為的違法性要件、適格被告的范圍、受侵害利益的判斷以及損害后果等方面，對個人信息保護(hù)民事公益訴訟的案件范圍進(jìn)行了反思與重塑。

一、現(xiàn)行立法對個人信息保護(hù)民事公益訴訟案件范圍的規(guī)定

現(xiàn)行立法對個人信息保護(hù)民事公益訴訟案件范圍的規(guī)定主要體現(xiàn)在《中華人民共和國民事訴訟法》（簡稱《民事訴訟法》）第58條、《中華人民共和國消費者權(quán)益保護(hù)法》（簡稱《消費者權(quán)益保護(hù)法》）第47條以及《個人信息保護(hù)法》第70條。以上述規(guī)范為依據(jù)，一個案件若能被納入個人信息保護(hù)民事公益訴訟的案件范圍，應(yīng)同時滿足以下要件。

（一）被訴行為為“違反本法規(guī)定”的行為

被訴行為的范圍對案件范圍有著直接影響。根據(jù)《個人信息保護(hù)法》第70條的規(guī)定，只有針對“違反本法規(guī)定”的個人信息處理行為，相關(guān)主體才能提起個人信息保護(hù)民事公益訴訟。而從《個人信息保護(hù)法》的內(nèi)容看，立法者已經(jīng)從事前、事中、事后三個階段對個人信息處理者的違法行為作了非常全面的規(guī)定，幾乎囊括了所有可能侵害個人信息的行為類型。這意味著，個人信息處理者在收集、存儲、使用、傳輸、公開、刪除等任何一個環(huán)節(jié)所實施的侵害眾多個人權(quán)益的行為，只要屬于《個人信息保護(hù)法》所規(guī)定的違法行為，就可能被納入個人信息保護(hù)民事公益訴訟的案件范圍。

（二）適格被告為“個人信息處理者”

適格被告的范圍是影響案件范圍的又一重要因素。根據(jù)《個人信息保護(hù)法》第70條、第73條的規(guī)定，個人信息保護(hù)民事公益訴訟的適格被告是“個人信息處理者”，具體指在個人信息處理活動中自主決定處理目的、處理方式的組織或者個人。由于《個人信息保護(hù)法》尚未對個人信息處理者中的“組織”作出明確規(guī)定，實務(wù)中主要以《中華人民共和國民法典》第1039條、《個人信息保護(hù)法》第2章第3節(jié)和第6章的相關(guān)規(guī)定為依據(jù)，將此處的“組織”理解為法人和非法人組織兩種類型。

在以上兩類“組織”當(dāng)中，以網(wǎng)絡(luò)服務(wù)提供者為代表的營利法人以及以國家行政機關(guān)等為代表的特別法人在個人信息處理活動中往往表現(xiàn)出更高的專業(yè)性和更強的信息收集能力，這種技術(shù)和資源方面的特殊優(yōu)勢使其在對個人信息擁有超凡處理能力的同時，也極易成為“眾多”個人信息權(quán)益的侵害者。

（三）救濟客體為“眾多”個人的信息權(quán)益

為表達(dá)該類訴訟在救濟客體方面的公益屬性，《個人信息保護(hù)法》第70條使用了“眾多”一詞對受侵害利益進(jìn)行規(guī)范。就該條的文義來看，其對救濟客體的要求僅“包含著量的衡量”^［1］。雖然該條將“眾多”一詞規(guī)定為識別受侵害利益是否為社會公共利益的依據(jù)，但放眼我國現(xiàn)行規(guī)范，并未有相關(guān)立法或司法解釋對該條中的“眾多”進(jìn)行過量化規(guī)定。在立法層面，《民事訴訟法》第58條和《消費者權(quán)益保護(hù)法》第47條僅在規(guī)范消費民事公益訴訟時曾使用過“眾多”一詞，但未對“眾多”給出具體的量化標(biāo)準(zhǔn)。在司法解釋層面，《最高人民法院關(guān)于適用<中華人民共和國民事訴訟法>的解釋》雖然在第75條中對《民事訴訟法》第56條、第57條以及第206條中的“眾多”進(jìn)行過量化《最高人民法院關(guān)于適用<中華人民共和國民事訴訟法>的解釋》第75條規(guī)定：“民事訴訟法第五十六條、第五十七條和第二百零六條規(guī)定的人數(shù)眾多，一般指十人以上?！?，但該規(guī)定與《個人信息保護(hù)法》第70條中的“眾多”無關(guān)。

（四）損害后果為眾多個人權(quán)益受到“侵害”

根據(jù)《個人信息保護(hù)法》第70條的規(guī)定，只有眾多個人權(quán)益遭受“侵害”時，才屬于該類訴訟的案件范圍。由于我國目前尚未構(gòu)建起獨立的公益損害認(rèn)定規(guī)則，理論界往往將對社會公共利益的侵害視為侵權(quán)行為的一種特殊表現(xiàn)，從傳統(tǒng)侵權(quán)責(zé)任理論中尋找解釋依據(jù)?；诖?，對于《個人信息保護(hù)法》第70條所規(guī)定的“侵害”，可結(jié)合《個人信息保護(hù)法》第69條第1款規(guī)定的侵權(quán)行為構(gòu)成要件進(jìn)行理解。根據(jù)該款規(guī)定，個人信息處理者要承擔(dān)侵權(quán)責(zé)任，應(yīng)以其行為給個人信息權(quán)益造成“損害”為前提條件。雖然該款規(guī)定的是個人信息侵權(quán)行為構(gòu)成要件中的結(jié)果要件，但在我國公益訴訟規(guī)則不健全的現(xiàn)實背景下，個人信息保護(hù)民事公益訴訟的提起往往以“眾多”個人信息受到“損害”為前提。根據(jù)傳統(tǒng)侵權(quán)責(zé)任理論，損害必須是真實的、實際發(fā)生的，即“實害”，也就是說，只有違法行為給“眾多”個人權(quán)益造成“實害”時，才屬于該類訴訟的案件范圍。

二、對個人信息保護(hù)民事公益訴訟案件范圍的實證考察

本部分主要以最高人民檢察院和杭州互聯(lián)網(wǎng)法院發(fā)布的典型案例以及筆者在“威科先行·法律信息庫”檢索到的樣本數(shù)據(jù)為分析對象，對個人信息保護(hù)民事公益訴訟的案件范圍進(jìn)行實證考察。

（一）基于典型案例的案件范圍考察

1.最高人民檢察院發(fā)布的典型案例

2021年4月22日與2023年3月30日，最高人民檢察院分兩次發(fā)布了檢察機關(guān)辦理的個人信息保護(hù)公益訴訟典型案例。其中，2021年4月22日發(fā)布的11件案例中有5件為民事公益訴訟案件（含刑事附帶民事公益訴訟，下同），2023年3月30日發(fā)布的8件案例中有4件為民事公益訴訟案件（如表1所示）。

2.杭州互聯(lián)網(wǎng)法院發(fā)布的典型案例

2022年8月22日，杭州互聯(lián)網(wǎng)法院在成立5周年之際發(fā)布了10大個人信息保護(hù)典型案例，其中4件為民事公益訴訟案件。除去1件與最高人民檢察院發(fā)布的典型案例——（2020）浙0192民初4252號案件重復(fù)的外，共有3件民事公益訴訟案件（如表2所示）。

從上述案例所呈現(xiàn)的案件范圍看，一是被訴行為的表現(xiàn)形式非常廣泛，涵蓋了違法收集、獲取、利用、出售、購買、交換個人信息等多種行為類型，既包括互聯(lián)網(wǎng)企業(yè)違法違規(guī)收集和非法獲取個人信息并進(jìn)行消費欺詐的行為，也包括網(wǎng)絡(luò)運營者、物業(yè)服務(wù)者通過技術(shù)軟件、物業(yè)服務(wù)等手段非法獲取個人信息并進(jìn)行非法交易的行為。二是適格被告均屬于有權(quán)決定處理目的、處理方式的個人信息處理者，既包括互聯(lián)網(wǎng)企業(yè)，也包括個人，還有以組織與個人為共同被告的，但尚未發(fā)現(xiàn)以國家機關(guān)（尤其是行政機關(guān)）為被告的案件。三是受侵害對象往往人數(shù)“眾多”，受侵害個人信息數(shù)量龐大，有的甚至達(dá)到千萬條，案件影響范圍相對較大。四是司法人員在對受侵害利益是否屬于社會公共利益進(jìn)行判斷時，標(biāo)準(zhǔn)并不一致。有的僅以受侵害對象數(shù)量“眾多”就將其作為民事公益訴訟案件處理，如“廣東省廣寧縣人民檢察院訴譚某某等人侵犯公民個人信息刑事附帶民事公益訴訟案”；有的既要求受侵害利益為“眾多”個人的權(quán)益、又要求受侵害利益主體具有不特定性參見：（2020）浙0192民初10605號；（2020）浙0192民初10993號；（2021）浙0192民初9214號判決書。；還有的拋開對“眾多”一詞的數(shù)量要求，只以受侵害利益屬于不特定主體為由，就認(rèn)定被告侵害了社會公共利益，如“貴州省安順市西秀區(qū)人民檢察院訴熊某某等人侵犯公民個人信息刑事附帶民事公益訴訟案”。

（二）基于樣本數(shù)據(jù)的案件范圍考察

為全面了解司法實務(wù)，筆者在“威科先行·法律信息庫”以“個人信息”“民事公益訴訟”為關(guān)鍵詞，將審級限定為一審程序，將文書類型限定為判決書、裁定書、調(diào)解書進(jìn)行了檢索。截至2022年9月30日，共檢索到裁判文書288份，去除重復(fù)案例和不相關(guān)案例之后，共得到有效樣本193份。本部分主要以樣本數(shù)據(jù)為基礎(chǔ)，從被訴行為的違法性、適格被告范圍、受侵害利益的判斷以及損害后果等方面對該類訴訟的案件范圍進(jìn)行分析，以求客觀呈現(xiàn)司法現(xiàn)狀。

1.被訴行為不限于“違反本法規(guī)定”的行為

在193份裁判文書中，僅有17份載明了被訴行為的違法性要件，且表述并不完全一致。其中，表述為“違反國家規(guī)定”案號：（2022）皖1324刑初180號；（2021）蘇0804刑初476號；（2021）湘0602刑初285號；（2021）湘0602刑初309號；（2021）滬0109刑初278號；（2020）魯1702刑初590號；（2021）閩0125刑初19號；（2020）湘0603刑初126號；（2020）皖1024刑初100號。的9份，表述為“違反法律規(guī)定”案號：（2022）冀0929民初1770號；（2022）贛1102刑初93號；（2021）川03民初102號；（2021）渝01民初308號；（2020）粵0303刑初452號。的5份，表述為“違反國家侵權(quán)法規(guī)定”案號：（2020）滬0109刑初912號?！斑`反國家民事法律規(guī)定”案號：（2021）滬0109刑初261號。“違反《中華人民共和國民法總則》第111條、《中華人民共和國網(wǎng)絡(luò)安全法》第44條、《中華人民共和國侵權(quán)責(zé)任法》第2條、20條之規(guī)定”案號：（2020）鄂2801刑初331號。的各1份?？梢钥闯?，司法人員對被訴行為違法性要件的理解存在差異。之所以如此，應(yīng)與《個人信息保護(hù)法》實施之前我國立法尚未對該類訴訟被訴行為的違法性要件作出明確規(guī)定有一定關(guān)系，但在《個人信息保護(hù)法》實施后，司法人員對被訴行為違法性的理解也未完全統(tǒng)一，個別裁判文書繼續(xù)使用了“違反國家規(guī)定”案號：（2022）皖1324刑初180號；（2021）蘇0804刑初476號。的表述。

“違反本法規(guī)定”與“違反國家規(guī)定”并不相同，二者的內(nèi)涵和外延均存在明顯差異?！皣乙?guī)定”是指“那些效力輻射范圍為全國的法律規(guī)范”^［2］，既包括全國人民代表大會及其常務(wù)委員會制定的法律和決定，也包括國務(wù)院制定的行政法規(guī)、規(guī)定的行政措施、發(fā)布的決定和命令。顯然，“國家規(guī)定”的范圍要大于“法律規(guī)定”的范圍，相應(yīng)地，“違反國家規(guī)定”的行為也廣于“違反本法規(guī)定”的行為?！秱€人信息保護(hù)法》實施之后，在該法第70條明確將被訴行為的違法性規(guī)定為“違反本法規(guī)定”的前提下，司法人員仍將被訴行為理解為“違反國家規(guī)定”的行為，與《個人信息保護(hù)法》第70條規(guī)定的違法性要件存在沖突。

2.適格被告以“個人”為主，包含少量“組織”

在193份裁判文書中，適格被告均限于個人信息處理者的范圍，其中，以“個人”為被告的有188份，以“組織”為被告的有4份，以“個人”和“組織”為共同被告的有1份（如圖1所示）。

需要注意的是，在全部樣本數(shù)據(jù)中，并未發(fā)現(xiàn)以國家機關(guān)為被告的案件，這也說明，雖然國家機關(guān)（尤其是行政機關(guān)）已經(jīng)廣泛參與到個人信息處理活動中，成為了名副其實的個人信息處理者，但由于其在個人信息處理活動中主要行使的是行政職權(quán)，起訴主體一般不會以其為被告提起民事公益訴訟。

3.司法人員對受侵害利益的理解存在分歧

實務(wù)中多由司法人員對個案中的受侵害利益是否為社會公共利益進(jìn)行具體判斷，在缺乏明確法律依據(jù)的情況下，司法人員對受侵害利益的理解并不一致，分歧主要在于“眾多”個人利益應(yīng)否同時滿足構(gòu)成社會公共利益的實質(zhì)性要件。在193份樣本數(shù)據(jù)中，有141份明確強調(diào)了受侵害利益為社會公共利益；剩余52份未對受侵害利益應(yīng)否為社會公共利益作出明確表述（如圖2所示）。

進(jìn)一步分析發(fā)現(xiàn)，多數(shù)司法人員在對受侵害利益進(jìn)行判斷時，往往既關(guān)注受侵害對象的“量”，又強調(diào)受侵害利益主體的“不特定性”或違法行為在實質(zhì)上侵害了社會公共利益。例如，在“迭某侵犯公民個人信息刑事附帶民事公益訴訟案”案號：（2020）蘇0411刑初521號。中，江蘇省常州市新北區(qū)人民法院就既強調(diào)受侵害對象的“量”，即被告人買賣7 000余條個人信息的行為侵害了“眾多”個人權(quán)益，又強調(diào)違法行為對社會公共利益的損害，即該行為“有損公共利益”。但也有法院僅以受侵害對象人數(shù)“眾多”為由認(rèn)定被告行為侵害了社會公共利益，而未關(guān)注“眾多”個人是否為不特定主體，如“福州市倉山區(qū)人民檢察院訴陳某、張某某、任某某侵犯公民個人信息案”案號：（2020）閩0104刑初273號。。

4.損害后果以“實害”為主要表現(xiàn)形式

在193份裁判文書中，去除7份沒有明確表明損害后果為“實害”抑或“危險”的外，在剩余186份裁判文書中，以“實害”為救濟對象的有180份，以“危險”為救濟對象的有6份。可見，在該類訴訟中，行為人對眾多個人信息的“侵害”主要表現(xiàn)為“實害”（如圖3所示）。

值得注意的是，雖然樣本數(shù)據(jù)中絕大多數(shù)都要求損害后果為“實害”，但實踐中已經(jīng)出現(xiàn)了將“嚴(yán)重威脅”等損害“風(fēng)險”納入救濟范圍的案例。例如，在“蘭州新區(qū)人民檢察院訴周某某網(wǎng)絡(luò)侵權(quán)責(zé)任糾紛案”案號：（2021）甘0191民初3353號。中，公益訴訟起訴人蘭州新區(qū)檢察院認(rèn)為，“周某某的行為……對不特定社會公眾的信息安全、財產(chǎn)安全等合法權(quán)益產(chǎn)生‘嚴(yán)重威脅，‘危害社會公共利益”；蘭州新區(qū)法院也認(rèn)為，“周某某的行為對不特定多數(shù)互聯(lián)網(wǎng)使用者的信息安全、財產(chǎn)安全‘造成危害和嚴(yán)重威脅……侵害了社會公共利益”。

三、個人信息保護(hù)民事公益訴訟案件范圍之理論反思

基于前文的規(guī)范分析與實證考察，本部分主要從行為違法性要件、適格被告范圍、救濟客體以及損害后果等層面，對影響個人信息保護(hù)民事公益訴訟案件范圍的主要因素進(jìn)行理論反思。

（一）將被訴行為限于“違反本法規(guī)定”的行為不利于實現(xiàn)訴訟目的

前已述及，《個人信息保護(hù)法》第70條將被訴行為規(guī)定為“違反本法規(guī)定”的行為，該規(guī)定雖然有利于明確被訴違法行為的范圍、類型和具體表現(xiàn)形式，但其具有成文法的不周延性，與社會公共利益的開放性、動態(tài)性、發(fā)展性特征不符，不利于實現(xiàn)維護(hù)社會公共利益的訴訟目的。

一方面，該規(guī)定難以涵蓋那些尚未被《個人信息保護(hù)法》所規(guī)范，但未來有可能出現(xiàn)的侵害“眾多”個人信息權(quán)益行為。這是因為，與所有的成文法一樣，《個人信息保護(hù)法》是立法者“根據(jù)‘過去的資料，為‘未來的行為制定的行為規(guī)范”^［3］，我們既無法保證被《個人信息保護(hù)法》所規(guī)制的違法行為在立法當(dāng)時已經(jīng)窮盡，也無法保證其在此后再無任何變化。這意味著，即使立法者在制定《個人信息保護(hù)法》時已經(jīng)竭盡全力、集思廣益，其對個人信息處理者違法行為的規(guī)定也難以完全應(yīng)對未來社會的發(fā)展趨勢，基于此，如果將被訴行為嚴(yán)格限定為“違反本法規(guī)定”的行為，顯然難以將那些尚未被立法所規(guī)制的違法行為納入該類訴訟的救濟范圍。

另一方面，該規(guī)定與社會公共利益的開放性、動態(tài)性、發(fā)展性特征不符。眾所周知，社會公共利益是一個“羅生門”式的概念，盡管不同領(lǐng)域的研究者都試圖對其進(jìn)行界定，但至今仍未形成一個公認(rèn)的可操作性定義^［4］。從已有的研究看，雖然學(xué)界難以對社會公共利益進(jìn)行準(zhǔn)確界定，但其概念的寬泛性、層次的復(fù)雜性以及內(nèi)容的抽象性、不確定性、開放性、動態(tài)性等基本特征，已經(jīng)得到了多數(shù)學(xué)者的認(rèn)同。在這種背景下，如果將被訴行為嚴(yán)格限定為“違反本法規(guī)定”的行為，也與社會公共利益的開放性、動態(tài)性、發(fā)展性特征不符，難以將新出現(xiàn)的侵害“眾多”個人信息權(quán)益行為納入救濟范圍，不利于實現(xiàn)維護(hù)社會公共利益的訴訟目的。

（二）將行政機關(guān)納入適格被告范圍不符合立法規(guī)定的訴訟類型

雖然在上述典型案例和樣本數(shù)據(jù)中，均未出現(xiàn)過以行政機關(guān)為被告的案件，但互聯(lián)網(wǎng)的虛擬性使個人信息可能面臨國家公權(quán)力的“不當(dāng)干涉”^［5］。但是，行政機關(guān)在個人信息處理活動中主要行使的是行政管理職權(quán)，受侵害主體可以以“行政機關(guān)”“國家網(wǎng)信部門”等為被告提起行政訴訟，人民檢察院也可以提起行政公益訴訟，不能將其納入民事公益訴訟的救濟范圍。

更重要的是，從《個人信息保護(hù)法》第70條的內(nèi)容來看，其是以《民事訴訟法》第58條為依據(jù)的，因此應(yīng)將該條所規(guī)定的訴訟定性為民事公益訴訟。作為民事公益訴訟的一種特殊類型，該訴訟的適格原告是多元的，既包括人民檢察院，也包括法律規(guī)定的消費者組織以及由國家網(wǎng)信部門確定的組織；適格被告則“僅限于相關(guān)組織和個人，國家行政機關(guān)不宜成為個人信息保護(hù)公益訴訟的適格被告”^［6］。如果將行政機關(guān)強行納入該類訴訟的適格被告范圍，顯然與《個人信息保護(hù)法》第70條規(guī)定的訴訟類型不符。

（三）將“眾多”個人權(quán)益作為救濟客體不符合民事公益訴訟的本質(zhì)

《個人信息保護(hù)法》第70條將“眾多”個人權(quán)益規(guī)定為該類訴訟的救濟客體，并“沒有明確要求侵害眾多個人的權(quán)益的損害性要件達(dá)到損害社會公共利益的程度”^［7］。在學(xué)界，學(xué)者們對于“眾多”個人權(quán)益是否必然等同于社會公共利益，一直存在爭議。一種觀點認(rèn)為，在數(shù)字技術(shù)背景下，個人信息處理者所擁有的跨越時空的信息處理能力“足以覆蓋不特定對象；即使并未實際控制全部信息，技術(shù)運用本身也已經(jīng)對不特定對象形成威脅”^［8］，因此，只要受侵害利益為“眾多”個人的信息權(quán)益，就屬于社會公共利益，無需再強調(diào)不特定性。另一種觀點則認(rèn)為，“眾多”個人權(quán)益未必一定屬于社會公共利益，只有“當(dāng)‘眾多個人指不特定的多數(shù)人時，‘侵害眾多個人的權(quán)益的違法行為才會損害社會公共利益”^［9］。

筆者認(rèn)為，社會公共利益是某一特定時空范圍內(nèi)不特定多數(shù)人的利益，單純以受侵害對象是否人數(shù)“眾多”作為判斷標(biāo)準(zhǔn)，進(jìn)而以此為據(jù)決定該案件屬于私益訴訟還是公益訴訟，與民事公益訴訟的救濟客體不符。在判斷一個具體案件是否屬于個人信息保護(hù)民事公益訴訟案件時，應(yīng)結(jié)合個人信息保護(hù)的具體語境，以被告行為是否真正侵害社會公共利益作為實質(zhì)性判斷標(biāo)準(zhǔn)。《個人信息保護(hù)法》第70條規(guī)定的“眾多”是判斷一項利益是否為社會公共利益的形式要件，如果僅以受侵害利益為“眾多”個人權(quán)益為由認(rèn)定其為社會公共利益，可能將一些不屬于社會公共利益的“眾多”個人權(quán)益侵害納入救濟范圍，既不當(dāng)擴大了公益司法救濟的范圍，又背離了民事公益訴訟的本質(zhì)。

（四）將損害限于“實害”不利于發(fā)揮公益訴訟的預(yù)防功能

互聯(lián)網(wǎng)時代和大數(shù)據(jù)時代的到來使得一些具有無形化、不確定性及量化困難等特點的新型損害開始出現(xiàn)，這既給損害要件的緩和提出了要求，同時也使人們開始重新思考“損害”一詞的內(nèi)涵和外延。從已有的研究看，分歧主要集中在應(yīng)否將“風(fēng)險”納入“損害”的范圍，對此，形成了“否定說”“肯定說”和“折中說”三種觀點?！胺穸ㄕf”以損害必須具有“確定性”為由，認(rèn)為只有在個人信息被非法利用導(dǎo)致現(xiàn)實的人身、財產(chǎn)侵害時，賠償責(zé)任才會發(fā)生^［10］，而個人信息被泄露只會帶來損害發(fā)生的“風(fēng)險”，這種風(fēng)險本身不具有“確定性”，不能被作為侵權(quán)法上的損害納入救濟范圍?！翱隙ㄕf”立足于數(shù)字與風(fēng)險時代的特定社會背景，認(rèn)為可通過對損害“確定性”的開放性解釋，來調(diào)和其與風(fēng)險性損害之間的矛盾，從而將滿足一定條件的風(fēng)險認(rèn)定為侵權(quán)法上的損害^［11］。“折中說”雖然在根本上反對將風(fēng)險本身視為一種損害，但同時認(rèn)為個人信息泄露造成的風(fēng)險不僅會帶來現(xiàn)實的財產(chǎn)減損，而且在某些情況下會造成嚴(yán)重的精神損害，對于這些不利益，應(yīng)將其納入損害范疇并給予相應(yīng)的救濟^［12］。

目前，隨著學(xué)界對“損害”一詞的研究不斷深入，將“風(fēng)險”納入侵權(quán)法的損害范圍已成為主流認(rèn)識。在這種背景下，如果仍將損害限定于“實害”，明顯不利于發(fā)揮公益訴訟的預(yù)防功能，這在我國其他領(lǐng)域民事公益訴訟中已經(jīng)得到了證實。近年來，為有效預(yù)防“實害”的發(fā)生，在環(huán)境、食品安全等民事公益訴訟中，司法人員已經(jīng)承認(rèn)了“風(fēng)險即損害”參見：《最高人民法院關(guān)于審理環(huán)境民事公益訴訟案件適用法律若干問題的解釋》第8條以及2021年3月30日《最高人民檢察院 最高人民法院 農(nóng)業(yè)農(nóng)村部等關(guān)于印發(fā)〈探索建立食品安全民事公益訴訟懲罰性賠償制度座談會會議紀(jì)要〉的通知》。的觀點，將“風(fēng)險”納入“損害”范圍予以救濟。與其他領(lǐng)域的民事公益訴訟相比，個人信息保護(hù)領(lǐng)域顯得更為特殊，個人信息處理者的違法行為往往會帶來下游犯罪劇增、社會分選與歧視、消費操縱和關(guān)系控制等風(fēng)險，對此，若法律非要坐等風(fēng)險轉(zhuǎn)化為“實害”才給予救濟，可能會給社會公共利益造成無法彌補的損害。

四、個人信息保護(hù)民事公益訴訟案件范圍之重塑

個人信息保護(hù)民事公益訴訟以維護(hù)社會公共利益為目的，在對其案件范圍進(jìn)行界定時，應(yīng)當(dāng)遵循法定性、必要性、合政策性等不同于私益訴訟案件范圍界定的標(biāo)準(zhǔn)。一是法定性標(biāo)準(zhǔn)。該標(biāo)準(zhǔn)要求在界定該類訴訟的案件范圍時，應(yīng)以我國現(xiàn)行立法為依據(jù)，遵循《民事訴訟法》第58條、《個人信息保護(hù)法》第70條等的規(guī)定。依據(jù)此標(biāo)準(zhǔn)，既然《民事訴訟法》第58條將“社會公共利益”明確規(guī)定為民事公益訴訟的救濟客體，就意味著只有個人信息處理者的違法行為在實質(zhì)上侵害社會公共利益時，才能將其納入該類訴訟的案件范圍。二是必要性標(biāo)準(zhǔn)。該標(biāo)準(zhǔn)要求在界定該類訴訟的案件范圍時，應(yīng)以窮盡其他救濟手段但仍無法有效維護(hù)社會公共利益為必要條件。當(dāng)前，我國在個人信息民事司法保護(hù)領(lǐng)域已經(jīng)構(gòu)建了公私益訴訟“并行”的救濟模式，依據(jù)必要性標(biāo)準(zhǔn)，只有當(dāng)受侵害利益無法通過共同訴訟、代表人訴訟等私益訴訟機制獲得司法救濟時，才有必要將其納入公益訴訟的案件范圍。三是合政策性標(biāo)準(zhǔn)。案件范圍的界定本身就是一個政策性很強的問題，合政策性標(biāo)準(zhǔn)要求在界定該類訴訟的案件范圍時，應(yīng)充分發(fā)揮政策的引導(dǎo)作用，留意政策傾向的價值維度，以積極、穩(wěn)妥的態(tài)度對待政策對社會公共利益的指引，避免盲目擴大或不當(dāng)縮減案件范圍。遵循以上標(biāo)準(zhǔn)，本部分將從行為違法性要件、適格被告范圍、救濟客體以及損害范圍等方面對該類訴訟的案件范圍進(jìn)行重塑。

（一）將被訴行為的范圍拓展為“違反國家規(guī)定”的行為

社會公共利益是特定具體時空的產(chǎn)物^［13］，它不是靜止不變的，而是在不斷發(fā)展變化，在不同的時空條件下，社會公共利益的內(nèi)涵和外延也會有所不同?；诖?，為實現(xiàn)維護(hù)社會公共利益的訴訟目的，有效克服成文法的固有缺陷，同時體現(xiàn)社會公共利益的特殊性，應(yīng)將該類訴訟對行為違法性要件的要求從當(dāng)前的“違反本法規(guī)定”拓展為“違反國家規(guī)定”。

一方面，將被訴行為拓展為“違反國家規(guī)定”的行為，能夠有效克服成文法的不周延性與滯后性，及時應(yīng)對經(jīng)濟社會條件變化對案件范圍的新要求。前已述及，“國家規(guī)定”既包括法律，也包括全國人大及其常委會發(fā)布的決定以及國務(wù)院制定的行政法規(guī)、規(guī)定的行政措施、發(fā)布的決定和命令等。通常情況下，與“法律”的制定和修改程序相比，不論是全國人大及其常委會發(fā)布其他非修法類決定，還是國務(wù)院制定行政法規(guī)、規(guī)定行政措施、發(fā)布決定和命令，其程序都要更為靈活和簡便，這使其能夠及時將一些新出現(xiàn)的、尚未被法律所規(guī)定的侵害個人信息行為納入救濟范圍。

另一方面，將被訴行為拓展為“違反國家規(guī)定”的行為，更符合社會公共利益的特殊性。個人信息保護(hù)民事公益訴訟以社會公共利益為救濟客體，而社會公共利益又“是一個開放的、發(fā)展的概念，具有不可窮盡性”^［14］，其不僅表現(xiàn)形式非常廣泛，而且始終處于不斷發(fā)展變化中。這就要求該類訴訟的案件范圍應(yīng)始終處于一個開放的系統(tǒng)，并隨著經(jīng)濟、社會和科學(xué)技術(shù)的發(fā)展變化不斷進(jìn)行調(diào)整，但立法的不周延性意味著通過“列舉等立法技術(shù)難以對其進(jìn)行無瑕疵的設(shè)計”^［15］，難以將未來新出現(xiàn)的違法行為納入立法規(guī)制范圍?；诖?，將被訴行為拓展為“違反國家規(guī)定”的行為，既充分尊重了該類訴訟在救濟客體方面的特殊性，也更符合社會公共利益的開放性、動態(tài)性、發(fā)展性特征，有利于實現(xiàn)訴訟目的。

綜上，立法者在規(guī)定該類訴訟的案件范圍時，應(yīng)充分尊重社會公共利益的基本特征，不應(yīng)將被訴行為嚴(yán)格限定為“違反本法規(guī)定”的行為，而應(yīng)采取“違反國家規(guī)定”這種相對靈活的表述，為案件范圍的調(diào)整預(yù)留可操作空間。

（二）將以行政機關(guān)為被告的訴訟排除在案件范圍之外

前已述及，個人信息保護(hù)民事公益訴訟的適格被告是實施了個人信息侵權(quán)行為的“個人信息處理者”，具體包括自然人、法人和非法人組織。行政機關(guān)雖然屬于我國《個人信息保護(hù)法》規(guī)定的“個人信息處理者”，但其在個人信息處理活動中實施的行為通常屬于履行行政職責(zé)的行為，具有明顯的行政職權(quán)屬性。對于此類行為，應(yīng)當(dāng)納入行政司法救濟的范圍。而《個人信息保護(hù)法》第70條規(guī)定的訴訟類型屬于民事公益訴訟，其適格被告不包括行政機關(guān)，應(yīng)當(dāng)將以行政機關(guān)為被告的訴訟排除在該類訴訟的案件范圍之外。

需要注意的是，雖然實務(wù)中已經(jīng)出現(xiàn)了不少以行政機關(guān)為被告的個人信息保護(hù)公益訴訟案件，但這些案件在性質(zhì)上屬于行政公益訴訟，其所針對的是行政機關(guān)在履行行政職責(zé)過程中的“不作為”或者違法行使職權(quán)行為。在現(xiàn)行法律框架內(nèi)，有權(quán)提出這類訴訟的唯一主體是人民檢察院，其法律依據(jù)是《中華人民共和國行政訴訟法》第25條第4款，而不是《個人信息保護(hù)法》第70條。

（三）將“社會公共利益”作為判斷救濟客體的實質(zhì)性標(biāo)準(zhǔn)

社會公共利益的特點之一在于其享有主體的廣泛性、不確定性與非排他性，人數(shù)“眾多”只是判斷受侵害利益是否為社會公共利益的形式標(biāo)準(zhǔn)，不能僅以受侵害對象人數(shù)“眾多”為由將其納入該類訴訟的救濟范圍。最終，一個案件能否被納入該類訴訟的案件范圍，取決于“眾多”個人是否為不特定的多數(shù)人或者全體社會公眾，即受侵害利益是否在實質(zhì)上屬于社會公共利益。

針對有學(xué)者提出的由最高院發(fā)布司法解釋或者由國家網(wǎng)信部門出臺文件對“眾多”一詞作出具體規(guī)定的觀點^［16］，筆者認(rèn)為，對“眾多”一詞進(jìn)行量化，既與社會公共利益的基本特征不符，也不具有現(xiàn)實必要性，還缺乏域外經(jīng)驗的支持。一方面，由社會公共利益的模糊性、抽象化及不確定性所決定，實踐中侵害“眾多”個人信息的行為往往不僅涉及多種信息類型，而且受侵害個人信息的數(shù)量多寡不一、差別較大。在這種情況下，要求相關(guān)機構(gòu)對“眾多”一詞予以量化，既不符合社會公共利益的基本特征，也存在操作層面的困難。另一方面，現(xiàn)階段由司法人員以人數(shù)是否“眾多”作為形式標(biāo)準(zhǔn)對案件范圍進(jìn)行初篩，繼而以是否在實質(zhì)上侵害社會公共利益對案件范圍進(jìn)行把握的做法，基本能夠準(zhǔn)確界定該類訴訟的案件范圍，要求相關(guān)機構(gòu)發(fā)布司法解釋或出臺文件對“眾多”一詞進(jìn)行量化，也不具有現(xiàn)實必要性。從比較法上看，雖然有少數(shù)國家試圖對“眾多”一詞進(jìn)行量化，但由于該做法忽略了社會公共利益的基本特征，在實施過程中遇到了重重困難；多數(shù)國家仍采用抽象方式對“眾多”受害人進(jìn)行界定，認(rèn)為“眾多”是指不特定的受害者。

綜上，受侵害對象人數(shù)“眾多”并不等同于受侵害利益為社會公共利益，在判斷一項受侵害利益是否屬于該類訴訟的救濟客體時，不宜僅以受侵害對象的數(shù)量為依據(jù)，而應(yīng)遵循社會公共利益的實質(zhì)性標(biāo)準(zhǔn)。具體而言，當(dāng)“眾多”受侵害對象為不特定主體或者全體社會公眾時，受侵害利益符合社會公共利益的共享性屬性，應(yīng)將其納入個人信息保護(hù)民事公益訴訟案件范圍；當(dāng)“眾多”受侵害對象為特定主體時，受侵害利益不符合社會公共利益的基本特征，應(yīng)將其排除在該類訴訟的案件范圍之外。除以上外，在認(rèn)定受侵害利益是否為社會公共利益時，還“須平衡效率與安全、技術(shù)發(fā)展與利益保護(hù)之間的關(guān)系”^［17］，“在信息保護(hù)與數(shù)據(jù)共享之間實現(xiàn)平衡”^［18］，若對不特定多數(shù)人利益的保護(hù)嚴(yán)重阻礙了科技發(fā)展，則應(yīng)謹(jǐn)慎將其認(rèn)定為社會公共利益。

（四）將侵害“眾多”個人權(quán)益的“風(fēng)險”納入救濟范圍

為充分發(fā)揮公益訴訟的預(yù)防功能，應(yīng)“將風(fēng)險預(yù)防作為該項制度的主要功能”^［19］，通過訴訟督促“個人信息處理者”提前規(guī)避“實害”發(fā)生，在個人信息保護(hù)領(lǐng)域建構(gòu)預(yù)防性個人信息保護(hù)民事公益訴訟制度，將侵害“眾多”個人信息權(quán)益的風(fēng)險納入該類訴訟的救濟范圍。但是，將“風(fēng)險”納入救濟范圍并不意味著任何風(fēng)險都可以通過該類訴訟獲得救濟，“風(fēng)險”僅意味著損害發(fā)生的潛在可能性，而這種可能性有大有小，因此，需要重點討論的是，究竟何種程度的“風(fēng)險”應(yīng)當(dāng)通過提起公益訴訟進(jìn)行預(yù)防？對此，學(xué)者們通常根據(jù)導(dǎo)致社會公共利益受損的蓋然性大小，將其劃分為“危險”“危險”的蓋然性最高，社會一般人通過直觀經(jīng)驗即可感受到權(quán)益受到侵害的威脅。“風(fēng)險”“風(fēng)險”的蓋然性相對較低，但仍在客觀上對受害人帶來威脅，仍有救濟的必要。和“剩余風(fēng)險”“剩余風(fēng)險”是指侵害幾乎不可能發(fā)生的狀態(tài)，可直接將其予以排除。三個等級，在這些不同程度的蓋然性中，“‘危險和風(fēng)險因其具有較高蓋然性應(yīng)作為預(yù)防性公益訴訟的‘重大風(fēng)險范疇”^［20］。以此為據(jù)，司法人員在對何種程度的“風(fēng)險”應(yīng)當(dāng)納入救濟范圍進(jìn)行判斷時，應(yīng)結(jié)合“眾多”個人信息受侵害后的影響范圍，損害結(jié)果發(fā)生的蓋然性大小，個人信息處理者違法處理信息的目的、方式等因素，對被訴違法行為給社會公共利益造成損害的蓋然性進(jìn)行綜合研判，將那些可能給社會公共利益帶來現(xiàn)實威脅的、緊迫的、嚴(yán)重的、不及時制止可能產(chǎn)生難以彌補的損害的“危險”與“風(fēng)險”納入救濟范圍。

五、結(jié)語

我國的個人信息保護(hù)民事公益訴訟經(jīng)歷了從無到有，從僅限于消費者個人信息保護(hù)到全方位保護(hù)自然人個人信息的過程?，F(xiàn)階段，立法已經(jīng)從被訴行為、適格被告、受侵害利益以及損害后果等方面對影響個人信息保護(hù)民事公益訴訟案件范圍界定的因素進(jìn)行了初步規(guī)范。但從理論上審視，個人信息保護(hù)民事公益訴訟案件范圍的界定仍存在諸多問題，需要從行為違法性要件、適格被告范圍、受侵害利益的判斷以及損害后果等方面對其進(jìn)行全面反思。除此之外，還應(yīng)通過建立個人信息保護(hù)集體訴訟制度，激活私益訴訟機制在“眾多”個人信息保護(hù)方面的功能。

參考文獻(xiàn)：

［1］薛天涵.個人信息保護(hù)公益訴訟制度的法理展開［J］.法律適用，2021（8）：155-164.

［2］蔣昊.“違反國家有關(guān)規(guī)定”定性之芻議：以侵犯公民個人信息罪為例［J］.東南大學(xué)學(xué)報（哲學(xué)社會科學(xué)版），2021（S1）：50-54.

［3］董玉庭，董進(jìn)宇.成文法的局限及其法律價值選擇［J］.北方論叢，2007（6）：139-144.

［4］邁克·費恩塔克.規(guī)制中的公共利益［M］.戴昕，譯.北京：中國人民大學(xué)出版社，2014：1.

［5］劉利平.個人信息侵權(quán)法保護(hù)的價值與理據(jù)新論：基于大數(shù)據(jù)悖論的分析視角［J］.重慶大學(xué)學(xué)報（社會科學(xué)版），2022（5）：221-234.

［6］張新寶，賴成宇.個人信息保護(hù)公益訴訟制度的理解與適用［J］.國家檢察官學(xué)院學(xué)報，2021（5）：55-74.

［7］張建文.個人信息保護(hù)民事公益訴訟的規(guī)范解讀與司法實踐［J］.鄭州大學(xué)學(xué)報（哲學(xué)社會科學(xué)版），2022（3）：31-35.

［8］陳奇?zhèn)?，聶琳?個人信息公益訴訟：生成機理、適用困境與路徑優(yōu)化：基于203份裁判文書的實證分析［J］.南昌大學(xué)學(xué)報（人文社會科學(xué)版），2022（3）：54-63.

［9］張睿，舒瑤芝.個人信息保護(hù)公益訴訟條款的語義分析［J］.浙江海洋大學(xué)學(xué)報（人文科學(xué)版），2022（3）：43-49.

［10］程嘯.論大數(shù)據(jù)時代的個人數(shù)據(jù)權(quán)利［J］.中國社會科學(xué)，2018（3）：102-122，207-208.

［11］田野.風(fēng)險作為損害：大數(shù)據(jù)時代侵權(quán)“損害”概念的革新［J］.政治與法律，2021（10）：25-39.

［12］謝鴻飛.個人信息泄露侵權(quán)責(zé)任構(gòu)成中的“損害”：兼論風(fēng)險社會中損害的觀念化［J］.國家檢察官學(xué)院學(xué)報，2021（5）：21-37.

［13］錢弘道，吳亮.論行政征收的公共利益判斷［J］.法律科學(xué)（西北政法學(xué)院學(xué)報），2007（6）：46-53.

［14］王利明.界定公共利益：物權(quán)法不能承受之重［N］.法制日報，2006-10-21（3）.

［15］陳新民.德國公法學(xué)基礎(chǔ)理論［M］.濟南：山東人民出版社，2001：182.

［16］高志宏.個人信息保護(hù)的公共利益考量：以應(yīng)對突發(fā)公共衛(wèi)生事件為視角［J］.東方法學(xué)，2022（3）：17-32.

［17］王毓瑩.人臉識別中個人信息保護(hù)的思考［J］.法律適用，2023（2）：15-24.

［18］尹彥品.疫情防控常態(tài)化中個人信息保護(hù)與公共利益的沖突和平衡［J］.河北法學(xué)，2023（3）：121-134.

［19］許身健，張濤.個人信息保護(hù)檢察公益訴訟的法理基礎(chǔ)與制度完善［J］.法學(xué)論壇，2023（1）：95-110.

［20］秦天寶，陸陽.從損害預(yù)防到風(fēng)險應(yīng)對：預(yù)防性環(huán)境公益訴訟的適用基準(zhǔn)和發(fā)展方向［J］.法律適用，2022（3）：121-126.

Research on the scope of civil public interest litigation

on personal information protection

YANG Yani

（Law School， Lanzhou University， Lanzhou 730000， P. R. China）

Abstract： In order to guarantee the correct implementation of the civil public interest litigation system for personal information protection， the scope of such litigation cases should be studied through various means such as normative interpretation， empirical investigation and theoretical analysis， and by using a combination of specific research methods such as the value analysis method and the empirical research method. The study concluded that although Article 70 of the Personal Information Protection Law has initially defined the scope of such lawsuits in terms of the act to be sued， the eligible defendants， the object of relief and the consequences of damage， the scope of civil public interest litigation for personal information protection still presents many problems from the perspective of regulation， practice and theory， such as the requirement of the illegality of the act to be sued is too harsh， the understanding of the scope of the eligible defendants is not consistent with the type of lawsuits stipulated in the legislation， the simple equation of “numerous” personal interests with social public interests， and the “risk” of infringing “numerous” personal rights and interests has not been included in the scope of relief. In this context， to scientifically define the scope of such litigation cases， it is necessary to follow the standards of legality， necessity， and policy conformity. First， only when the illegal behavior of personal information processors substantially infringes on the social public interest does it belong to the scope of this type of litigation. Second， only when the harmed interests cannot be remedied through private litigation mechanisms such as joint litigation and representative litigation is it necessary to include them in the scope of this type of litigation. Third， the guiding role of policies should be fully utilized， and the value dimension of policy orientation should be taken into account. A positive and prudent attitude should be adopted towards policy guidance on social public interests to avoid blindly expanding or improperly reducing the scope of cases. Specifically，F(xiàn)irst， the scope of the behavior being sued should be expanded to include “violations of national regulations，” that is， as long as the behavior being sued violates national regulations， it belongs to the scope of this type of litigation. Second， the litigation type stipulated in Article 70 of the Personal Information Protection Law belongs to civil public interest litigation， and administrative agencies cannot be eligible defendants for this type of litigation， so the lawsuit in which the administrative organ is the defendant should be excluded from the scope of this type of lawsuit. Third， it should not be included in the scope of this type of litigation simply because the number of affected individuals is “numerous”， and whether it infringes on “social public interests” should be regarded as the substantive standard for determining the relief scope of this type of litigation. Fourth， to proactively avoid the occurrence of “actual harm，” a preventive civil public interest litigation system for personal information protection should be established. And the “risks” that pose a real threat to the public interest， are urgent and serious， and may cause irreparable damage if not stopped in time， should be included in the scope of the remedy of this type of litigation.

Key words：personal information protection; civil public interest litigation; the conduct with illegality; “multitudinous”; public interest; damage

（責(zé)任編輯 胡志平）