无锡阿福台交通违章查询个人信息保护法第70条首次以法律形式确立了个人信息保护的公益诉讼制度。个人信息处理者违反个人信息保护法规定处理个人信息,侵害众多个人权益的,检察机关、法律规定的消费者组织和由国家网信部门确定的组织可以依法向法院提起诉讼。这一规定赋予检察机关开展个人信息保护公益诉讼的主体地位,却未对个人信息保护公益诉讼应当采取的形式予以明确,有观点认为个人信息保护法第70条规定的公益诉讼仅指民事公益诉讼而非行政公益诉讼。行政公益诉讼能否适用于个人信息保护的困惑源于适用条件的模糊。事实上,各地检察机关积极开展的个人信息保护公益诉讼实践中,行政公益诉讼占比颇高——这一点从最高人民检察院发布的个人信息保护公益诉讼典型案例不难佐证。明晰个人信息保护行政公益诉讼的适用条件不仅能回应上述争议,也是检察公益诉讼职能更好发挥作用的实践需要。

　　第一,违法处理个人信息的行政机关是行政公益诉讼的典型适格被告。行政公益诉讼与民事公益诉讼的最大区别在于,前者针对的是违法行使职权或不履行法定职责损害社会公共利益的行政机关,后者针对的是损害社会公共利益的民事主体。在个人信息保护场域中,判断行政公益诉讼是否存在适用空间,其中之一就是行政机关能否作为个人信息处理者。从规范上来说,个人信息保护法第73条对个人信息处理者的定义是在个人信息处理活动中自主决定处理目的、处理方式的组织或者个人,国家机关作为特别法人包含在组织的外延之中。这种理解在个人信息保护法第二章第三节中亦有体现,其将国家机关列为特殊的个人信息处理者,行政机关作为国家机关的重要组成也当然具备个人信息处理者的身份。现实情况下,行政机关在达致某些行政目的时也不可避免地要收集、公开个人信息等。譬如,政府行政部门在政务公开过程中对公民个人信息的公开行为,属于处理个人信息中的公开环节。若公开过程未进行任何去标识化、匿名化处理造成个人信息利益减损,被告主体的行政主体地位决定了无法选择民事公益诉讼而只能适用行政公益诉讼。

　　第二,对于行政公益诉讼所针对的监管职责应作广义理解。根据行政诉讼法第25条规定,行政公益诉讼针对的行政机关应当具有监督管理职责。关于行政机关的监督管理职责认定,存在不同的观点。狭义视角下负有监督管理职责的仅包含负责具体工作的主管部门,不包含间接管理的一级人民政府。从广义角度看,行政机关的监督管理职责来源既有法律规定或授权,还包含了公共利益保护的需要。无论是具体管理部门或是一般监督的行政机关,都归属于具有监督管理职责行政机关的范畴之中。在个人信息保护领域,行政公益诉讼所要求的行政机关监督管理职责应从广义角度理解,只有这样才能与个人信息保护法要求的个人信息处理者形成规范上的衔接与结构上的耦合。

　　其一,基于法律规定或授权处理个人信息的行政机关,其自身作为个人信息处理者造成众多个人信息利益损害时,应当成为行政公益诉讼的被告。如前所述行政机关为开展管理服务收集处理个人信息,也是在履行狭义上的管理职责。在此情况下,行政机关以个人信息利益侵害者的角色成为公益诉讼被告的原因与其他组织和个人并无不同,仅是因为民事公益诉讼结构无法承载行政机关作被告,才需要适用行政公益诉讼来达成保护个人信息的目的。

　　其二,非国家机关的个人和组织违法行为造成众多个人信息侵害时,检察机关可通过适用行政公益诉讼强化个人信息保护。个人信息保护法规定了国务院有关部门以及县级以上地方人民政府有关部门统称为履行个人信息保护职责的部门,其依照法律规定及机构设立的具体情况,在各自职能范围内对社会主体进行管理和提供服务,确保社会主体各项活动在法治框架内进行。其中,就包含了保证社会组织和个人依照法律处理个人信息的监管责任。例如,市场监督管理部门负有保障商业主体个人信息不被非法使用的职责,教育行政部门负有学生个人信息不被校外培训机构非法获取的职责等。将个人信息保护行政公益诉讼的受案范围扩大至行政机关未履行监督管理责任,能够将个人信息的保护置于更为充分的法律监督之下。

　　第三,提起行政公益诉讼应具有侵害众多个人利益的结果要件。行政机关处理个人信息,检察机关有两种具体方式进行监督:一是依据个人信息保护法第70条规定的行政公益诉讼方式;二是行政违法行为监督,即检察机关“在履行法律监督职责中发现行政机关违法行使职权或者不行使职权的,可以依照法律规定制发检察建议等督促其纠正”。行政公益诉讼制度在诉讼程序启动前存在提出检察建议的诉前程序,只有行政机关收到检察建议后仍不依法履行职责的,检察机关才会提起诉讼。因此,行政公益诉讼与行政违法行为检察监督两项制度在检察建议措施上存在重合。当行政主体违法行使职权或者不履行监督管理职责而侵害个人利益时,就引发检察机关监督方式的适用选择问题。

　　区分结果要件有助于检察机关准确选择监督方式加强个人信息保护。个人信息保护行政公益诉讼应满足侵害众多个人利益的结果要件。当行政机关违法处理个人信息但未造成社会公益损害时,检察机关可依法履行行政违法监督职能督促其予以改正,但违法行政行为造成众多个人信息利益损害时只能适用行政公益诉讼。检察建议并不具有强制性效力,为保证众多个人利益受损获得救济,必须要有“刚性”的诉讼制度作支撑。关于“众多”的判断问题,民事诉讼法上涉及当事人人数众多的共同诉讼对“众多”的理解为10人以上,而实践中个人信息侵害案件中受损数量远高于此。所以,关键的是要在数量外观的基础上结合是否实质侵害社会公共利益对“众多”个人利益进行判断。

　　[作者单位:西南政法大学行政法学院,本文系国家社科基金规划项目“人工智能与《民法典》双重背景下个人信息保护研究”(20CFX041)的阶段性研究成果]