现代治理体系中个人信息保护的立法问题与裁判规则研究

编者按
《民法典》第四编“人格权”专章设置了“隐私权和个人信息保护”，个人信息保护的立法日益重要。2020年10月21日，全国人大常委会公布了《个人信息保护法（草案）》并公开征求社会公众意见。本文结合个人信息保护中面临的现实难点问题，对《个人信息保护法（草案）》基础规则提出强化“知情—同意”制度、细化“正当性”“必要性”具体规则、畅通个人救济渠道、强化民事赔偿责任等完善建议，并就信息权益司法救济提出完善特别机制的建议，在事前预防、事中监督、事后处理中全程发挥司法保障功能，突出其危害防止及时性、归责要件缓和性、责任主体完整性、保护方式多样性、技术审查专业性、公共利益保障性、保护利用平衡性等七大特性。本文节选自2020年上海司法智库重大调研课题。
近半个世纪以来，有140多个国家和地区制定了个人信息保护方面的法律，个人信息保护的立法已经成为全球范围内最为关注的立法活动之一。这一宏大的法律命题与日常民生息息相关，信息处理普遍性、无序性与制度构建滞后性、司法救济不充分之间的矛盾，已经成为大量违法甚至犯罪行为滋生的空间，是现代社会治理中不可忽视，亟待解决的突出问题。个人信息保护问题归根到底，是对个体的权益维护，从民法的基础维度研究专项立法与裁判规则，是完善个人信息法律体系的基础，也是加强基层社会治理的重要保障。
2020年5月28日，《民法典》正式颁布，第四编“人格权”专章设置了“隐私权和个人信息保护”（第六章），从1034条到1039条，将“权益保护”作为核心目标，在民事法律中为个人信息所对应的基本权利义务确定了体系地位。2020年10月21日，全国人大常委会公布了《中华人民共和国个人信息保护法（草案）》并公开征求社会公众意见。该草案延续了“权益保护”的基本立场，旨在建立独立的部门法体系，协调现有的个人信息保护规则，有着重要的里程碑意义。为应对个人信息民事纠纷中的突出问题与迫切需求，本文结合个人信息保护中面临的现实难点问题，对《个人信息保护法（草案）》基础规则和信息权益司法救济的特别机制提出相关完善建议。
一、个人信息保护实践中面临的主要难点问题
（一）“知情—同意”规则流于形式，公民难以有效控制其个人信息的收集和使用
《个人信息保护法（草案）》第14条规定，处理个人信息的同意，应当由个人在充分知情的前提下，自愿、明确作出意思表示。因此，“知情—同意”是个人信息处理的核心规则，也是个人信息保护的基础。《全国人民代表大会常务委员会关于加强网络信息保护的决定》《网络安全法》《民法典》等相关法律都确立了“知情—同意”规则，但实践中该规则基本得不到遵守，各方面对这个问题反映最强烈。
“知情—同意”规则被违反的情形在实践中十分常见，主要包括以下几种情形：一是不知情、未同意，包括：1.何时收集，消费者不知情。很多手机用户反映，根本不知道或没有征得其同意，一些网站或手机APP就借助于点击流数据、cookies和web bugs等技术手段，可以主动收集到网络使用者的相关信息。2.收集后如何使用信息及信息转移给谁，消费者不知情。众多居民反映，怀孕待产就医后，各种月子中心、早教机构的广告电话便蜂拥而至；手机聊天记录中涉及到相关产品及服务名称之后，在打开其他购物平台时就会被推送各类相应产品或服务的广告。现实中，信息处理者安全保障义务难落实，信息泄露情况令人担忧。二是虽知情、但是不得不同意，常见两种情形：一种是网络产品，不同意提供个人信息数据就不让使用产品。在调研过程中，众多消费者用户反映，在登陆网站或下载使用APP后，如果继续浏览或者下载使用相关文件、功能则需要填写个人信息、开放电子设备权限，并且通过邮箱或手机验证后方可继续操作，否则将无法浏览或使用APP，用户只能被迫同意，对此类情形也表示十分无奈。另一种是某些场所仅允许使用特定的技术，例如人脸识别第一案——杭州野生动物园案。原本消费者购买园卡后只需验证指纹入园，但后来园方升级为人脸识别入园，并取消了指纹识别的方式，也就是只有接受人脸识别才能进入园区，不刷脸不得入园。
（二）“正当性”“必要性”原则难以落地，公民个人信息被过度处理
《民法典》第1035条规定，处理个人信息的，应当遵循合法、正当、必要原则。这一原则不同于“知情—同意”的程序性要求，是对处理行为的实体性、强制性规定。应当注意到，个人信息保护的法益中包括了国家对信息安全底线的强制干预，个人形式化、程序性的同意是处理的必要前提，但并不是处理行为合法性的实体标准，只有坚持实质合法性审查，才能托底维护信息安全的整体秩序。
当前个人信息收集不规范的现象时有发生，特别是对于收集信息的正当性和必要性，在实践中经常被突破。现代技术的滥用及生物信息的过度采集现象在实践中经常发生，较为典型。生物信息识别的使用在日常生活中越来越普及，带来便捷的同时也带来许多担忧。根据调研，许多居民反映，如今很多小区的进出也要通过人脸识别，虽然方便了住户进出，但很多住户担心自己的人脸信息被录入系统后存在泄露风险，社区作为人们最长时间居住及最多私密活动的场所和空间，强制使用人脸识别技术作为进出门禁是否适宜，即使居民自愿同意，小区对居民人脸信息的采集是否正当和必要，这些问题均有待商榷。2020年，常州、上海等地都发生过强制安装人脸识别门禁系统遭到居民反对的事件，光明日报、上观新闻等媒体对此作了报道。清华大学劳东燕教授拒绝其居住的小区将人脸识别作为出入小区的唯一验证方式，引起群众共鸣。根据来自公安机关的调研反馈，如今还存在人脸信息买卖的黑灰色产业链，其中几千份人脸信息仅售价几十元，人脸信息的应用安全亟需引起重视。
超范围采集信息的情形在实践中也较为普遍，即要求用户提供的信息过多，而和事件或产品运行本身无关。如新冠肺炎疫情期间，大数据的采集成为防止疫情蔓延的重要技术工具。但全国一些地方发生过小区在采集个人信息时强制要求大家填写婚姻情况、收入状况等信息，超过了疫情防控所需的正当范围；有些学校要求家长提供家庭收入及工资流水等，尽管家长们认为这与子女上学并无直接关系，但应学校要求，也不得不提供。仅2020年下半年，山东、吉林、河北、陕西等地就发生过多起类似事件。
另外，根据调查走访的公安派出所反馈，大量手机APP等互联网应用软件通过隐瞒方式获取用户同意，实际收集、上传、储存、使用的个人信息及用途大大超出其提供产品及服务的必要范围，与同意条款中的情形完全不相符。许多消费者也反映，虽然在使用互联网APP软件时，隐私条款中会罗列其要收集的个人信息的范围、用途等需要用户予以同意的具体内容，但消费者也不知道具体上传的个人信息范围以及企业收集后用于何处。根据来自消费者保护组织的调研反馈，手机APP过度收集和利用授权的情形屡见不鲜，而权限的获取是否合理在于其与功能是否相对应，应当适用“最小范围”原则。
（三）救济途径不便利，人民群众个体维权难
目前，公民对于个人信息泄露缺乏行之有效的救济途径，维权之路困难重重。究其缘由，主要原因有四：一是涉及个人信息保护的民事案件主要以人格权纠纷予以立案处理而无个人信息保护的独立案由。就具体案件裁判而言，个人信息无论被纳入现有具体人格权的客体范畴（如隐私权、名誉权、姓名权等），还是作为一般人格权的客体，其本质均属于间接保护，无法直接调整个人信息保护中复杂的利益关系，也不能为个体行为提供确定性指引 。二是侵权行为具有隐藏性。最普遍的情形在于公民根本不知道自身信息是否被非法收集。以2018年华住酒店信息泄露案为例，华住集团旗下汉庭、美爵等酒店共计5亿条包含个人身份证号、手机号码、开房记录等个人信息泄露并在网上销售，而消费者实际不知道或很难知道是否包含自己的信息。三是因果关系难证明。根据现行《侵权责任法》第6条和第36条之规定，个人信息侵权纠纷属于一般侵权类型，原告应就加害行为、主观过错、损害后果及因果关系四大要件进行证明。但考虑到信息的流通性，信息在收集、存储和利用等环节所涉主体和因果关系过于复杂，上述要件的举证与法院认定均面临困境。消费者缺乏技术手段，很难证明信息是何方泄露的，加重了其诉讼的举证难度，在相当长一段时期内，此类案件的胜诉几率较低。四是维权成本高，赔偿数额受限。许多非法信息处理行为在被发现、查处时，尚没有造成个人的实际财产损失，且对于非财产性损害，其赔偿须以法律特别规定为前提 ，个人难以根据侵权诉讼主张财产赔偿，而精神损害赔偿的金额一般又受到严格限制。
（四）非法牟利产业链呈扩散趋势，综合治理难度大
个人信息在数字经济中具有明显的财产效益，这成为了许多经营主体非法采取、贩卖、使用的动因，而且扩散范围广，非法产业链条已经深入各个领域，个人信息被规模化、经营化非法处理的现象十分普遍。2018年上海一中院曾经审结一批姓名权案件 ，查明沈某的身份信息被200多家企业盗用，将其登记为财务负责人，由于其中多家企业存在税务违法行为，导致沈某在日常生活工作中产生诸多不利障碍。而被告企业在庭审中普遍陈述，他们使用的信息来自于专业的企业注册代办机构。
个人信息泄露的衍生效应与公益危害在刑事案件中更为普遍和明显，我国个人信息保护的实践早期主要是以刑事案件为准。个人信息相关犯罪及司法认定的特点集中体现为：1.个人信息犯罪呈现黑产化趋势。在个人信息获取方面，网络信息黑产已成为侵犯公民个人信息的主力军，2017年我国网络黑灰产规模已达近千亿元。在个人信息出售、提供端，形成了以“暗网”为个人信息与资金流转主要场所的交易黑产网络。2020年公安部公布的10起侵犯公民个人信息违法犯罪典型案件中有4起均通过“暗网”进行交易。2.侵犯公民个人信息主要以牟利为目的，内外勾结情况普遍。在公安部公布的10起侵犯公民个人信息违法犯罪典型案件中有7起都存在内外勾结的情况。3.侵犯公民个人信息与电信网络诈骗紧密相连。根据最高法2017年发布的《司法大数据专题报告之网络犯罪特点和趋势》，电信诈骗依旧是典型网络诈骗的主要形式，同时以网络为工具的诈骗占比呈逐年上升趋势，2018年达到17.61%，同比上升近十个百分点，其中19.16%的网络诈骗案件是获取公民个人信息后有针对性地实施诈骗犯罪 。4.司法实践对如何认定个人信息数量虽形成了一些共识，但也存在模糊地带。
上述现象背后反映出当前信息安全形势的严峻性，只有发挥行政、民事、刑事的综合治理手段，各类保护机制相互协力或补充 ，将个体维权与公益保障相结合，从源头规范处理行为，集中打击非法产业链，完整认定相关责任主体，进行多部门的协同监管，才能扭转当前信息处理活动的普遍无序状态。
二、《个人信息保护法（草案）》基础规则的完善建议
（一）强化“知情—同意”制度
“知情—同意”是个人信息保护最基本的规则之一，是公民控制其个人信息不被非法处理的基础权利，如果弱化信息处理者的告知义务，可能导致公民在权利被侵害时更难获得救济。
《个人信息保护法（草案）》第13至19条有针对性地完善了“知情—同意”规则，强调了同意应当是“充分知情”下的“自愿、明确作出意思表示”，对于某些情形还强调要“单独同意”“书面同意”。建议在此基础上，进一步完善告知时机（包括企业集团内部改变用途、将数据委托给第三方处理等情况下的告知）、告知的方式（确保便于个人信息主体知悉和确认）、告知的内容（应包括数据处理可能存在的具体风险）等规定，同时对违反“知情—同意”规则的行为规定单独的法律责任，加大处罚力度。尤其值得注意的是，“知情—同意”的立足点是个体的独立意志自由，应当警惕在团体组织内部及小区自治决议中可能出现管理者或集体专断现象，也就是多数人意志对少数人异议的隐性压制，如雇主对雇员的压制或多数业主对少数业主的压制。
《个人信息保护法（草案）》第17条规定，个人信息处理者不得以个人不同意处理其个人信息或者撤回其对个人信息处理的同意为由，拒绝提供产品或者服务;处理个人信息属于提供产品或者服务所必需的除外。该规定对于商业服务主体的规制效果是明显的，意在使消费者不因拒绝信息处理而失去获得服务的权利，但还有必要进行补充：如用人单位不得因劳动者不同意处理其个人信息或者撤回其对个人信息处理的同意排除劳动者就业权利，降低劳动者待遇。再如小区业主大会、业主委员会作出关于个人信息处理的集体决议，对异议业主是否具有绝对的约束力，也值得研究。
（二）细化“正当性”“必要性”具体规则
《个人信息保护法（草案）》第5条、第6条分别规定：“正当性”“必要性”作为数据处理的原则，需要规制两个重要问题：一是信息处理者收集的信息是否超出了产品或服务的需要；二是某一具体场景下运用某项信息处理技术是否有必要。实践中判断这两个必要性是比较困难的，如在公园、动物园这样简单的场景下，强制采用人脸识别技术是否超出了合理的需要。2020年10月公布的《杭州市物业管理条例（修订草案）》规定：“不得强制业主通过指纹、人脸识别等生物信息方式使用共用设施设备，保障业主对共用设施设备的正常使用权”。
本文认为，针对当前以人脸识别为代表的生物信息采集泛滥的情况，有必要进行集中治理。建议《个人信息保护法》对“正当性”“必要性”原则做细化性的规定，对于人脸识别等处理敏感个人信息的技术的使用规定一定的限制条件，可吸收地方立法中的有益做法，补充规定在一些普通场所禁止使用人脸识别技术，在采取该技术的同时应为公民提供可供替代的选择方式。
（三）畅通个人救济渠道
随着信息技术的发展和广泛应用，个人信息泄露和非法利用问题日益严重，但消费者的投诉却并非相应成比例增加，形成了“低投诉率，高不满意度”的现象，一定程度上反映了人民群众对这个问题的无奈。
《个人信息保护法（草案）》第57条规定了履行个人信息保护职责的部门应当接受、处理有关投诉、举报，收到投诉、举报的部门应当依法及时处理，并将处理结果告知投诉、举报人。履行个人信息保护职责的部门应当公布接受投诉、举报的联系方式。建议在此基础上进一步畅通救济渠道，增强人民群众的获得感，提升人民群众对社会治理的信心。一是强化各部门之间的联动，进一步强化政府部门内部协调，相关部门接到投诉后不得推诿，对于确实不属于自己职责的，应当及时向其他部门转介，避免公民投诉无门。二是对公布联系方式作出更明确的要求，强调相关部门、信息处理者应当设置明显的、便于公民操作的投诉渠道。三是相关部门和信息处理者需要完善制度，对于公民的投诉，应当有明确的答复期限和解决方案。四是对于投诉不依法及时答复和处理的，明确规定需要承担的法律责任。
（四）强化民事赔偿责任
目前《网络安全法》等法律中规定的警告、没收非法所得以及罚款措施很难对网络运营者产生威慑，而责令暂停相关业务、停业整顿、关闭网站、吊销相关业务许可证或者吊销营业执照等措施虽然很严厉，但由于网络运营者提供的产品和服务对社会运行很重要，实践中这些措施很少使用。违法成本过低，惩戒效应不够的现象，是当前个人信息保护的突出问题，只有对严重恶意行为加大惩罚力度，才能形成有效的震慑。
《个人信息保护法（草案）》第65条规定，因个人信息处理活动侵害个人信息权益的，按照个人因此受到的损失或者个人信息处理者因此获得的利益承担赔偿责任；个人因此受到的损失和个人信息处理者因此获得的利益难以确定的，由人民法院根据实际情况确定赔偿数额。个人信息处理者能够证明自己没有过错的，可以减轻或者免除责任。该规定针对的是一般性的权益侵害，对解决赔偿认定难问题具有重要意义。
本文认为，对于信息处理者主观恶意特别明显的，或行为违法性非常严重的，如专门从事非法信息采集、交易的牟利活动，确有必要加大惩治力度，应在《个人信息保护法》中引入惩罚性赔偿制度。然因惩罚性赔偿是最严重的责任形式，故应予以必要的限制，规定严格的适用条件。《民法典》第1185条规定，故意侵害他人知识产权，情节严重的，被侵权人有权请求相应的惩罚性赔偿。参照该规定的精神，本文认为，可以在《个人信息保护法》第65条补充规定：个人有权对恶意侵权者主张三倍损失的赔偿。同时，主张惩罚性赔偿必须符合两项条件之一：第一，处理者明知是非法处理信息而进行有偿转让，造成严重后果；第二，处理者违反行为禁止令，或经行政部门查处、司法机关判决承担责任后，继续恶意针对同一主体进行非法信息处理活动。
三、信息权益司法救济的特别机制完善建议
司法救济是权利保护的最后一道防线，个人信息不同于物质财产，具有系统自动化、网络快速扩散、利益群体广泛、技术专业性强等特点，基本属性的差异性决定了保护方式的特殊性。《民法典》第1034至1039条建立了个人信息保护的基本规则框架，《个人信息保护法》可基于《民法典》的规则指引，确立个人信息的分级分层保护理念，完善实体与程序两方面的诉讼制度，在事前预防、事中监督、事后处理中全程发挥司法保障功能，并突出七个方面的特性：危害防止及时性、归责要件缓和性、责任主体完整性、保护方式多样性、技术审查专业性、公共利益保障性、保护利用平衡性。
（一）危害防止及时性：非法信息处理的行为禁止令
个人信息一旦脱离了合法处理范围，就可能衍生出包括恶意人身骚扰、被盗用名义注册、精准诈骗犯罪等各种下游社会问题。危害紧迫性是个人信息泄露的重要特点，及时尽早遏制非法信息处理行为，防止后续损失的发生与扩大，是个人信息保护的当务之急。
个人信息保护不能局限于等待判决执行，而应当借鉴知识产权审判中常用的“行为保全”制度。《个人信息保护法》或司法解释可以规定，在法院最终判决前，就应当准许当事人向法院申请停止非法信息处理的行为，“情况紧急，不立即申请保全将会使其合法权益受到难以弥补的损害的”，在诉讼前就可以申请。法院审查核准后，以司法裁定立即阻断非法信息传播渠道，形成震慑效应。同时，针对个人信息保护的特殊性，可以对《民事诉讼法》的一般规定予以特别变通：第一，信息处理禁止令一般不会对处理者构成财产损失，故可放宽申请门槛，原则上无需让申请人提供财产担保。如遇特殊情况，比如行为违法性存在明显争议，禁令又可能对被申请人造成显著财产损失，可由法院另行决定是否需要提供担保。第二，信息处理禁止令的生效对象不局限于特定的被申请人，也不必然以申请人提起后续实体诉讼为前提，而是对于一切可能接触并处理信息的不特定人均发生效力。因为，非法信息处理，尤其是恶意传播不同于普通的专利、商标侵权，参与主体是不特定的，只有使禁止令发生普遍效力，才能真正遏制违法传播源头。法院禁令可以基于当事人的实体诉讼，也可以与后续行政处罚相配合。
（二）归责要件缓和性：自动化处理的过错推定规则
传统的民事侵权责任认定奉行严格法定要件主义，尤其是要求原告能够举证证明行为人具有主观过错，且行为与损失具有关联性。可是，对于普通个体而言，要证明具体的信息处理过程是非常困难的，造成了维权难的困境。《民法典》第1038条第2款已经明确：信息处理者应当采取技术措施和其他必要措施，确保其收集、存储的个人信息安全，防止信息泄露、篡改、丢失。该条规定实际上确认了信息处理企业对信息数据具有严格的安全保障义务。
《个人信息保护法》或司法解释有必要进一步明确：第一，在民事诉讼中，个体主张其因特定信息泄露而产生损失的，应由自动搜集该信息的企业举证证明其不存在过错，否则应就信息非法泄露、使用承担侵权责任。第二，企业的举证应当能够证明信息泄露完全与自身的处理行为无关，而非仅从表面证明自身采取了安全保障措施。即便是由于网络黑客攻击窃取数据，也不影响企业因自身安全漏洞而应当承担的民事责任。举证责任倒置是个人信息保护的特殊规则，是《民法典》第1038条的必要延伸，与欧盟等国际立法原则一致，而且无法从《民法典》的“侵权责任编”中直接获取，应当予以特别规定。
（三）责任主体完整性：多数处理者的连带责任推定
个人信息处理已经成为了发达的产业链，合法的处理能够促进经济发展与数据整合，而非法的交易则会严重扰乱市场秩序，造成系统性风险隐患。《民法典》第1038条第1款规定，未经自然人同意，不得向他人非法提供其个人信息，但是经过加工无法识别特定个人且不能复原的除外。根据该规定，数据转让应当在征得个人同意后方可进行，但普通人并不了解企业之间的信息处理关系，也从来不清楚自己的信息会被如何转让加工，诉讼中容易出现互相推诿，责任不清的情况。此外，对于当前手机APP程序非法处理信息的问题，应用商店平台也负有不可推卸的责任，平台具有成熟的技术监测手段，理应督促其起到监管功能。
本文认为，多个主体之间的责任原则上可以区分不同性质，但对于同一链条的多个处理者，适当扩大对外承担连带责任的范围，更有利于保护个人。《民法典》第1197条规定，网络服务提供者知道或者应当知道网络用户利用其网络服务侵害他人民事权益，未采取必要措施的，与该网络用户承担连带责任。该条规定的精神在个人信息保护中同样适用，《个人信息保护法（草案）》第21条规定，两个或者两个以上的个人信息处理者共同决定个人信息的处理目的和处理方式的，应当约定各自的权利和义务。但是，该约定不影响个人向其中任何一个个人信息处理者要求行使本法规定的权利。个人信息处理者共同处理个人信息，侵害个人信息权益的，依法承担连带责任。该条文将连带责任的核心事实定位于“共同决定、共同处理”，是完全必要的，但本质上还是构成共同侵权的传统归责思路。本文认为，该条规则需要进行可操作性的细化，在非共同处理的场合，也存在适用连带责任的空间，尤其是要加重信息转让者、平台管理者的义务。《个人信息保护法》具体可以从四个层面对该条进行补充完善：第一，原告先起诉部分信息处理者，法院可以责令被告提供其他相关处理者的主体身份信息，并根据原告主张追加其他被告。第二，如果企业在信息源头转让时没有征得个人同意，或者是没有如实完整告知转让情况，匿名化处理不当，应当对最终的侵权后果承担连带责任。第三，即使在信息转让时征得了个人同意，企业依然应当对后手利用进行合理监督，如果企业不能证明自身尽到了后续监督义务，应当对后手的非法行为承担连带责任。第四，应用程序平台、电子商务平台知道或者应当知道其用户利用平台从事个人信息的非法处理活动，未采取必要措施的，与该信息处理者承担连带责任。
（四）保护方式多样性：身份信息变更申请的特别程序
个人信息的侵权后果不同于物质财产，虽然有可能造成财产损失，但在实践中更多的是体现为一种精神利益。信息一旦传播，个人不安的影响并不能因金钱补偿而消除，还有必要探索特殊的保护机制。目前法院对消除不良影响的判决方式主要是赔礼道歉，这并不能完全满足个人信息保护的需求。
本文认为，根据《民法典》第1037条的规定，个人已经享有了查阅复制信息权、错误信息异议权、错误信息更正权、违法信息删除权，但这些权利在诉讼中都体现为个人与信息处理者之间的纠纷争议，属于普通程序。在此基础上，《个人信息保护法》或司法解释可以补充规定一项特别程序：因私密信息泄露而遭受严重精神损害的个人，可以向中级法院提起身份信息变更申请的诉讼。比如2020年3月，韩国官方宣布同意为“N号房间”非法性视频案中的部分受害人进行身份证号码等信息的变更，以避免持续性的二次伤害。在此类事件中，私密信息已经泄露，即便采取传播禁令、判决删除、精神损害赔偿等措施，受害人依然惧怕受害经历会在就学、就业、婚姻中被不断识别、受到歧视。由法院判决变更其个人身份信息，则可以起到特定经历隐匿化的作用。在个人信息保护中，身份信息变更之诉可以成为一种特别程序。鉴于涉及到社会管理的稳定性，信息更改需要法律的权威依据，建议由中级法院受理此类案件，以不公开的方式进行审理，并严格审查基础事实与必要性，防止过度滥用。只有在泄露范围属于重大私密信息，不变更身份信息已不足以保护受害人的情况下才能适用。
（五）技术审查专业性：信息证据保全与技术鉴定结合
信息处理是基于现代信息技术，与计算机网络系统有紧密联系，个人信息保护诉讼也面临着信息证据举证难与技术审查专业性的挑战。根据《民法典》第1035条规定，处理个人信息应当遵循合法、正当、必要的原则，征得个人的同意。根据《民事诉讼法》第81条、101条的规定，在证据可能灭失或者以后难以取得的情况下，当事人可以在诉讼过程中向法院申请保全证据，法院也可以主动采取保全措施。因情况紧急，利害关系人可以在提起诉讼或者申请仲裁前向法院申请保全证据。申请人在采取诉前保全措施后三十日内不提起诉讼的，应当解除保全。
本文认为，信息保护诉讼中的证据如计算机软件、数据库等容易灭失或者被篡改，证据固定的难度很大。证据固定之后，还需要专家进行专业识别鉴定，以判定原告的信息是否被该主体处理。因此，在个人信息诉讼中，针对原告技术能力弱的问题，应当加大法院的证据保全力度，尽快建立信息技术的司法鉴定专家库，并根据信息保护的特性，将二者进行有机整合，作出特别补充规定。《个人信息保护法》或司法解释可以规定：法院可以依当事人申请，对信息证据予以保全，紧急情况下，可以在诉前进行，并同时启动信息证据的技术鉴定工作。在技术鉴定完成后三十日内不起诉的，才解除保全措施。在诉讼活动中，应当允许双方当事人申请具有专业知识的人员出庭就鉴定结论发表意见。
（六）公共利益保障性：消费者组织与检察机关的公益诉讼
信息安全不仅仅是个人利益，更关乎公共利益，尤其是非法的自动化信息处理不是针对个体，而是与广大消费者具有普遍利害关系，公益诉讼应当起到重要保障作用。根据《民事诉讼法》第55条的规定，对污染环境、侵害众多消费者合法权益等损害社会公共利益的行为，有关机关和组织可以向法院提起诉讼。检察机关在有关机关和组织不提起诉讼的情况下，也可以向法院提起公益诉讼。
本文认为，相比于个人诉讼，公益诉讼的覆盖面广、社会影响大、专业能力强，更有利于促进市场秩序治理。公益诉讼范围不应局限于《民事诉讼法》的具体列举，消费者保护组织与检察机关具有公益维权的丰富经验与组织能力，立法应当予以重点支持。《个人信息保护法（草案）》第66条规定，个人信息处理者违反本法规定处理个人信息，侵害众多个人的权益的，人民检察院、履行个人信息保护职责的部门和国家网信部门确定的组织可以依法向人民法院提起诉讼。该规定已经明确了公益诉讼在个人信息领域的适用，信息安全的公共利益维护需要综合治理体系，尤其是多部门以及有关社会组织的协同作为，基于公益诉讼实践经验与现实需求，《个人信息保护法》还可以进行补充完善：第一，加强公益诉讼的前置监督作用，信息处理者存在信息安全漏洞，即便尚未实际构成侵权，如果可能危及公共信息安全的，检察机关、履行个人信息保护职责的部门和国家网信部门确定的组织可以依法向人民法院提起诉讼，要求信息处理者消除安全风险。第二，履行个人信息保护职责的部门、组织提起公益诉讼的，检察机关可以支持起诉。履行个人信息保护职责的部门和国家网信部门确定的组织不起诉的，检察机关可以督促起诉。
（七）保护利用平衡性：信息处理者的不侵权确认之诉
根据《民法典》第1036条的规定，在三种情形下，信息处理者不承担民事责任：（一）在该自然人或者其监护人同意的范围内合理实施的行为；（二）合理处理该自然人自行公开的或者其他已经合法公开的信息，但是该自然人明确拒绝或者处理该信息侵害其重大利益的除外；（三）为维护公共利益或者该自然人合法权益，合理实施的其他行为。《个人信息保护法（草案）》第4条规定，个人信息不包括匿名化处理后的信息。如果企业确已经做到严格的匿名化，该数据信息已经不会影响个人权益，相较于普通个人信息，可以采取更为宽松的处理规则，侵权风险也应当大为降低。这是一种先进的平衡理念，个人信息保护不是为了封闭信息流通与数字经济的合理空间，保护应当在发展中进行。
本文认为，《个人信息保护法》或司法解释可也引入知识产权审判中的“不侵权确认之诉”制度，允许信息处理者在面对权利主张时，催告主张者及时提起诉讼，如主张者怠于行使权利，则信息处理者可以主动向法院起诉，要求确认自身的处理行为合法、不侵权，从而保护企业的合理预期，改善数字经济营商环境。此类诉讼应当由原告提供证据充分证明其行为的合法性，法院通过完整的事实审查，最终以判决形式作出结论。
*全文已省略引注