最近，某速遞公司深陷輿論漩渦：40萬條客戶信息被“內鬼”洩露。據悉，今年7月底，該公司總部監測到兩個加盟網點有員工賬號存在運單信息異常查詢，疑似有“內鬼”和第三方勾結導致客戶信息外洩，公司隨即報案，相關犯罪嫌疑人已落網。雖然是“內鬼”作案，但公司作為客戶信息的處理者，對於洩露事件難辭其咎。
過度收集、“內鬼”洩露、個人註銷難……近年來侵犯公民個人信息案件頻出，不斷敲響公民個人信息保護警鐘。網絡時代，如何給“失控”的個人信息按下“剎車鍵”？特別是檢察機關，在依法懲治相關刑事犯罪的同時，如何發揮公益訴訟職能保護公民個人信息？近日，記者就此採訪了相關法律專家和辦案檢察官。
處理
個人信息收集不能“跨出”合理界限
今年7月，工信部公佈2020年第二批侵害用戶權益行為App名單，在被點名的15個App中，有13個涉及公民個人信息過度收集。這只是公民個人信息被過度收集的“冰山一角”。
根據中國青年報社社會調查中心聯合問卷網對1971名受訪者進行的一項調查顯示，79.2%的受訪者覺得自己的信息被過度收集了，66.1%的受訪者指出很多手機應用不授權就沒法用，用戶只能被迫接受。
可以說，公民個人信息被過度收集是各種侵犯公民個人信息案件頻發的一個誘因。那麼，合理收集與過度收集的界限如何劃定？西南政法大學民商法學院教授張力認為，應結合收集個人信息的目的進行判斷，收集用途應具有正當性，收集範圍應當限於實現處理目的的最小範圍，不得未經用戶同意擅自擴大搜集信息的範圍。
“收集的信息與提供的服務間應有內在聯繫，為提供相關服務可以合理收集必要的信息，但超出範圍的就屬於過度收集。”北京大學法學院教授薛軍舉例說，打車軟件要求獲取地址信息可以理解，但在此基礎上收集用戶身份證號的就是過度收集，過度收集可能侵害用戶的隱私權、知情同意權等。
記者注意到，針對個人信息被過度收集現象，檢察機關的公益訴訟探索在持續推進。 比如因互聯網應用商店對收錄軟件個人信息保護問題未履行管理責任，上海市檢察院曾嚮應用商店運營商——某網絡科技有限公司制發檢察建議。
2019年6月，上海市檢察院組織浦東、楊浦、靜安等區檢察院開展調查，在某應用商店內發現涉及留學、育兒、就業招聘、理財、網購等與民生密切相關的10餘款手機App存在違規獲取用戶授權、隱私政策文本不規範、信息保護機制不完善等問題，侵害用戶合法利益。以公證形式固定相關證據後，上海市檢察院嚮應用商店運營商制發檢察建議書，建議其督促應用商店內的應用程序提供者完善和規範隱私政策文本，對違法違規收集使用個人信息的，視情采取警示、暫停發佈、下架應用程序等措施。同時，該院也向有關App運營企業分別制發檢察建議書，要求其加強用戶個人信息保護等工作。隨後，應用商店運營商更新並提高了應用商店軟件收錄標準，制定了更加嚴格的用戶個人信息保護政策，對於違規App，採取暫停、下架處理，並通知相關App運營方整改。目前，涉事企業已落實整改完畢。
“檢察機關對此類案件考慮提起公益訴訟，能夠為制度的運行注入動力。懲罰並不是越重越好，關鍵是要把制度真正運行起來。”薛軍補充說，10月13日提請十三屆全國人大常委會初次審議的個人信息保護法草案確立了“知情—同意”規則。處理個人信息的同意，應當由個人在充分知情的前提下，自願、明確作出意思表示。個人信息的處理目的、處理方式和處理的個人信息種類發生變更的，應當重新取得個人同意。總體來看，
收集不能“跨出”合理界限，否則可能侵害公民的隱私權、知情同意權等。保護
個人信息保護不能“單打獨鬥”
網絡已成為生產生活的新空間、交流合作的新紐帶，在此背景下，公民個人信息收集變得更加便利、隱蔽，在不同主體間的轉移也更加容易，被洩露的信息經反覆流轉，極可能成為精準詐騙的重要信息來源。對於個人信息的處理，即收集、存儲、使用、加工、傳輸、提供、公開等，新頒佈的民法典作出規定：應當遵循合法、正當、必要原則，不得過度處理。具體需符合以下條件：徵得該自然人或者其監護人同意，但是法律、行政法規另有規定的除外；公開處理信息的規則；明示處理信息的目的、方式和範圍；不違反法律、行政法規的規定和雙方的約定。
浙江省溫州市鹿城區檢察院對一起侵犯公民信息案件進行回訪。
“公民個人信息保護迫在眉睫。”浙江省溫州市鹿城區檢察院檢察官林爽向記者坦言，傳統單一的民事訴訟、行政處罰、刑事追究等具有一定的侷限性，難以實現“以點帶面”的綜合治理效果，而公益訴訟具有延伸性的社會治理張力，可以調動諸多手段，協同多個部門，為公民個人信息保護提供一條卓有成效的路徑。
林爽介紹了一起醫院“內鬼”洩露孕產婦個人信息的公益訴訟案件。張某、盧某等人是某兒童攝影公司、某兒童培訓公司員工。因為商業營銷需要，他們通過購買、交換等方式從醫院“內鬼”處非法獲取了大量孕產婦、新生兒及其家屬的個人信息，部分人員還向他人出售或非法提供上述信息，後張某等人被依法追究刑事責任。不過，涉案的兒童攝影公司、兒童培訓公司未受到相應行政處罰。
“涉案公司對員工基於公司營銷需要而非法收集、使用孕產婦個人信息以及洩露信息的違法犯罪行為未盡到應有的管理職責，侵害婦女兒童合法權益，損害社會公共利益。”經層報浙江省檢察院批准，2019年8月，鹿城區檢察院向區市場監督管理局發出訴前檢察建議。隨後，該局依法對涉案公司作出行政處罰，並組織開展打擊侵害消費者個人信息違法行為專項行動。
考慮到涉案孕產婦個人信息主要是從當地兩家醫院洩露的實際情況，檢察機關還向這兩家醫院發出社會治理檢察建議，推動醫院通報警示案例，提升醫務人員對包括孕產婦信息在內的患者信息的保護意識，完善信息安全管理制度與措施。
對於個人信息的存儲安全問題，民法典明確規定，信息處理者應當採取技術措施和其他必要措施，確保其收集、存儲的個人信息安全，防止信息洩露、篡改、丟失；發生或者可能發生個人信息洩露、篡改、丟失的，應當及時採取補救措施，按照規定告知自然人並向有關主管部門報告。
“企業等個人信息處理者，要加強管理，做好內部風險防控。”薛軍建議，通過技術手段給用戶個人信息加密，比如可設置這類信息的接觸“門檻”，拷貝複製要“留痕”、可追蹤，對相關人員產生威懾作用。收集信息時要徵得用戶同意，同時也要保障收集的信息能安全存儲，防止不被“內鬼”偷走賣掉。未做好有關工作造成信息洩露的，要承擔相應責任。
及時清理長期不使用的“殭屍賬號”，對於保護公民個人信息同樣至關重要。張力表示，平臺等信息處理者應為用戶“一鍵註銷”提供便利，比如在顯著位置提供專門用於實現賬號註銷功能的入口、發佈賬號註銷指南或指派專人負責解答用戶在註銷過程中遇到的問題等。用戶怠於行使註銷權的，平臺在履行一定的程序之後，有權收回或者註銷相應賬號，但應對用戶儲存的信息做合理處置，例如資料備份。
“對於網信、工信、公安、市場監管等行政主管機關明顯存在怠於履職情形，導致社會公共利益受到損害的，檢察機關可以向行政主管機關制發公益訴訟訴前檢察建議，督促其依法履職。”張力補充說。
個人信息保護不能“單打獨鬥”。在林爽看來，辦理此類案件關鍵要形成“公益訴訟+跟進監督+治理建議+專題調研+協作機制”的個人信息閉環保護模式，切實維護民眾的合法權益，有效治理非法獲取個人信息用於商業營銷甚或違法犯罪的市場亂象。
建議
將個人信息保護
納入公益訴訟“等”內範疇
發現個人信息被過度收集、非法買賣後，民眾想要維權並不容易。張力分析說，維權主要是面臨專業知識不足、調查取證能力有限、起訴成本高以及遭受的損害大小難以界定等難點。“檢察公益訴訟是強化個人信息保護的重要方式，將個人信息保護納入檢察公益訴訟範圍具有必要性和重要性。”
主張個人信息保護納入公益訴訟範圍的呼聲不斷。全國人大代表、湖北得偉君尚律師事務所主任蔡學恩曾對媒體表示,侵害個人信息的行為不僅危害公民的人身和財產安全，也會損害社會公共利益，建議加強個人信息保護，將其納入檢察公益訴訟範圍。
個人信息保護法草案則首次明確，個人信息處理者違反法律規定處理個人信息，侵害眾多個人權益的，檢察院、履行個人信息保護職責的部門和國家網信部門確定的組織可以依法向法院提起訴訟。“草案如果順利通過，將意味著從法律層面上肯定檢察院提起個人信息公益訴訟的正當性，對於進一步探索個人信息公益訴訟具有指導意義。”張力認為，將個人信息保護納入檢察公益訴訟範圍具有重大意義，有助於克服實踐中個人起訴存在的舉證困難以及成本過高等問題。
目前，檢察機關履行公益訴訟職責的法定範圍是“4+1”，即生態環境和資源保護、食品藥品安全、國有財產保護、國有土地使用權出讓和英烈權益保護。不過，民事訴訟法和行政訴訟法在明確檢察公益訴訟案件範圍時都有一個“等”字，就是指法律明確規定的領域外，其他需要同等保護公共利益的領域。2019年10月，黨的十九屆四中全會作出要“擴展公益訴訟案件範圍”的新部署。最高檢將檢察公益訴訟“等”外探索原則由“穩妥、積極”調整為“積極、穩妥”。在探索過程中，四川、上海、江蘇、湖北等地檢察機關辦理了多起嚴重侵害公民個人信息的公益訴訟案件。
“與法定領域辦案相比，公益訴訟新領域探索要求首先針對是否納入監督範圍進行準確判斷，而判斷的核心標準歸結到底就是以人民為中心的理念和雙贏多贏共贏理念，這就要求辦案人員對理念有更深的理解與把握。”最高檢檢委會專職委員、第八檢察廳廳長鬍衛列指出，對於新領域的拓展探索，要注重做足做實調查取證、研究論證、民意輿情研判等相關工作，積極爭取地方黨委、人大、政府等各方面和人民群眾的支持，努力實現政治效果、社會效果和法律效果的有機統一。
張力提出，對於涉公民個人信息案件，檢察機關在決定是否提起公益訴訟時，需考慮公民個人信息被侵犯程度以及對整個社會造成的影響等因素，注重與履行個人信息保護職責的行政機關之間的協調配合。
“以個人信息保護專門立法為契機，建議明確將公民個人信息保護納入檢察公益訴訟範圍，明確檢察院提起個人信息公益訴訟的具體條件，同時注重程序法的完善，保障公益訴訟順利推進，為個人信息保護提供更多制度供給。”張力補充說。（檢察日報 郭璐璐）
