企業違法處理個人信息行政處罰的管轄權爭議

賈婧欣

（浙江理工大學，杭州 310000）

引言

行政處罰是國家政府機構開展行政管理工作的一個重要途徑，它有利于維持和保證國家社會秩序順暢運轉。而行政執法管轄權的分配問題，則是對一般行政案件實施行政處罰的前提條件與基礎。《中華人民共和國行政處罰法》形成了一個相對完整的管轄制度，并沿用至今。

在大數據時代，國家參與國際競爭、政府進行社會治理和企業運作，都離不開數據資源。而數據資源中的個人信息不但為政府機構行使國家權利打下了堅實的基礎，同時也為企業獲取利益提供了商業途徑。通過計算機等先進設備獲取信息，并通過運算、儲存、分析、復制、傳輸等，可以在短時間迅速建立每個人的個人信息檔案。企業可以通過這些信息檔案獲得巨大的商業利益，很多企業利用大數據技術違反《個人信息保護法》相關規定濫用個人信息損害公民權益。按照《個人信息保護法》的有關規定，企業違法處理個人信息時，個人信息保護責任部門可以對其進行行政處罰，但是由于個人信息的虛擬性、跨界性等特點，在實際操作中往往很難在既有的管轄規則框架內尋獲合適的處理方案，這就使得我國行政處罰管轄制度開始出現“不適應癥”，行政處罰的部門往往很難判斷，行政處罰的執行也隨之受阻。因此，解決該類行為行政處罰的管轄權分配難題迫在眉睫，必須對個人信息行政處罰的管轄權問題做出適當的評價，并進一步完善現行的行政處罰管轄制度。

一、企業違法處理個人信息案件的特殊性

（一）背景介紹

隨著互聯網信息技術的迅速發展，社會逐漸進入了信息時代，人們也逐漸意識到個人信息保護的重要性和地區。近年來，一些組織、個人為了利益，隨意收集、違法獲取、過度使用、非法買賣個人信息，這些行為侵擾了廣大人民群眾的生活安寧，損害了人民群眾的人身財產權益。因此，我國對個人信息保護的重視程度日益提高。從2021年11月1日開始實施的《個人信息保護法》明確了個人信息保護應當遵循的原則，規定了國家機構和企業在進行個人信息處理時應當遵守的原則，規范了個人信息處理活動中的權利和義務，對國家機構和企業進行個人信息處理活動劃定了紅線，是我國推進個人信息保護進程的重大里程碑。

個人信息是指以電子或其他方式記錄的與已識別或可識別自然人有關的各種信息，包括但不限于姓名、出生日期、身份證號碼、生物特征信息、地址、電話號碼、電子郵件、健康信息、行蹤信息等。

《個人信息保護法》第4條第二款列舉了八種典型的個人信息處理行為，包括收集、儲存、使用、加工、傳輸、提供、披露和刪除個人信息等活動。另外，《個人信息保護法》還規定了個人信息處理活動應該遵循的基本原則，包括合法、正當、必要、誠實信用、目的限制、個人信息最小化、公開透明、責任等原則。最后，《個人信息保護法》第10條對非法處理個人信息的行為進行了詳細描述：包括非法收集、使用、加工、傳輸他人個人信息，非法買賣、提供、公開他人個人信息和從事危害國家安全和公共利益的個人信息處理活動。

（二）企業違法處理個人信息的行為表現和特征

企業違法處理個人信息，是指企業隨意收集、非法獲取、過度使用、非法交易個人信息，利用個人信息擾亂人民生活、危害人民生命健康和財產安全的行為。例如，當人們手機中的應用程序處于靜默狀態時，圖片、音頻和其他個人信息被收集而不被感知；當人們關閉定位權限后，需要重新授權的彈出窗口頻繁出現；在應用平臺上支付購物費用時，通過支付方式連接的運營商可以收集用戶的購物信息，用于推送定制廣告……這些行為在信息社會中屢見不鮮。不僅如此，越來越多的企業利用大數據分析和評估消費者的個人特征，進行商業營銷。他們通過掌握消費者的經濟狀況、消費習慣、價格敏感性等信息，對消費者的交易價格實行歧視性的差別對待，欺詐誤導消費者。還有一些企業由于沒有履行應有的個人信息保護義務導致其收集的個人信息大量外泄，給公民的人格尊嚴和財產權造成傷害。更有一些企業將其收集到的個人信息打包販賣，獲取商業利益。這些行為無疑給公民的知情權、平等權、人格尊嚴和財產權等權益造成了極大的危害。

針對這些情況，有關機關積極地采取行動，對企業的這一違法犯罪行為予以嚴厲的打擊，針對企業的侵權行為追究民事責任，或者通過行政處罰等方式維護公民權利和法律權威。區別于普通的違法行為，企業違法處理個人信息的行為因為個人信息固有的特點也存在著獨有的特征，了解這些行為的特征，才能更有針對性地對于違法行為制定相應的措施和政策，保障法律的有效施行。

1.由于個人信息的虛擬性，企業對個人信息的非法處理也相應地存在于虛擬空間中，這就導致了行為主體的模糊性，當公民的個人信息權益受到侵犯時，很難準確認定侵權人。在個人信息泄露后，人們遭到手機短信騷擾、接到詐騙電話和接收垃圾郵件是常見的問題，但是人們只知道自己的個人信息被泄露了，卻不知道是誰以及如何泄露的。由于違法處理個人信息的行為存在于虛擬空間中，導致被侵權人無法得知具體的侵權行為人，其個人信息權益損失難以得到救濟。

2.信息傳播的即時性使企業違法處理個人信息的危害范圍極易擴大，影響廣泛。“105款APP非法收集和使用個人信息”“騰訊移動管家等84款APP非法收集和使用個人信息被點名”“對‘加油海南’等7款APP違法違規收集使用個人信息情況的通報”……眾多APP非法收集和使用個人信息的事件頻頻發生。隨著網絡技術的進步和APP的繁榮發展，個人信息泄露、濫用和非法交易的問題日益突出。大量的APP存在強制授權、過度索賠和超范圍收集個人信息的現象，這些企業的APP所面對的用戶遍及全國，一旦泄露，將會導致危害結果遍及全國，給當事人造成難以彌補的損失。

3.企業違法處理個人信息的案件多發生在網絡空間，與現實世界相比，網絡空間相對自由，不受抽象規范的限制，因此違法行為的發生率較高。2021年，公安機關網絡安全部門加強了對公民個人信息的保護，查處違反法律法規收集公民個人信息的APP服務單位多達386個，涉及信息咨詢、輔助學習、文學小說、新聞信息、娛樂廣播等眾多類型。其中，97個應用受到了行政處罰，192個應用被依法責令整改，51個應用被下架關停。

二、企業違法處理個人信息行政處罰的管轄權適用困境

（一）我國現行行政處罰管轄制度

行政處罰管轄，是指依法享有行政處罰權的行政機關和法律法規授權的組織對行政違法案件進行最初查處的分工和權限。行政處罰管轄旨在解決由哪一類、哪一級和哪一地的行政機關具體行使行政處罰管轄權的問題，相應地分為職能管轄、層級管轄和地域管轄。行政處罰的職權管轄，就是指按照行政處罰案件中違法行為所違反的行政法律規范和所要給予的行政處罰的專業性質及其部門屬性，行政處罰案件在各職能行政機關之間的權限分工；層級管轄，是指在相同職能的上下級職能機關之間、上下級人民政府之間以及各級人民政府與其所屬職能機關之間針對行政處罰案件在最初查處時的權限分工；地域管轄，是指行政主體系統中確定同級行政主體之間首次處理行政事務的分工和權限。但是僅有這三方面的管轄內容，并不足以解決我國實踐中出現的復雜違法案件。因此，根據實際執法需要，我國還制定了轉移管轄、指定管轄、職務協助等專門規則，進一步完善行政處罰的管轄，形成完整的管轄體系。

《行政處罰法》第22條對于行政處罰的地域管轄和適用作出了明確的規定，對于傳統現實空間的行政處罰地域管轄確定了依據，也確立了以“違法行為發生地”來判斷地域管轄的中心規則。同時《行政處罰法》第23條對于行政處罰的職能管轄和層級管轄也作出了規定。

（二）現行行政處罰管轄制度在企業違法處理個人信息案件上的不適用性

行政處罰管轄權的合法性和公正性是行政機關進行行政處罰的基礎和前提。但是，在適用《個人信息保護法》追究法律責任時，由于個人信息的特殊因素，現行的行政處罰管轄制度陷入了困境。這種困境主要體現在以下幾個方面。

1.地域管轄適用的困境。我國《行政處罰法》第22條規定，行政處罰由違法行為發生地的行政機關管轄。這是我國行政處罰管轄權地域管轄的基本原則。本條款中的“違法行為發生地”一般來講，包括“違法行為開始地、實施地、過程地和結果地”。然而，在個人信息案件中，個人信息以數字符號的抽象虛擬形式進行傳輸，傳輸涉及存在于不同區域的多個網絡設備，傳輸的各個階段會在不同的區域完成。而企業在處理個人信息時，一般也不會意識到地理邊界的存在，所以一旦出現非法處理個人信息的情況，涉及的地域將十分廣泛。例如，企業非法處理個人信息的典型表現之一是“大數據成熟”。當企業利用收集到的消費者信息進行大數據殺熟行為時，不可避免地會侵犯不同消費者的權益，由于企業與用戶之間存在一對多的關系，用戶數量巨大，且位于不同的地區甚至境外，此時將無法確定違法行為發生的地點。實踐中，行政機關在適用《行政處罰法》進行處罰時，往往難以界定行為發生的地點，因此個人信息行政處罰的地域管轄權在實踐中經常遇到困難。地域管轄原則的不適用性是行政處罰管轄制度針對企業違法處理個人信息案件的最大缺陷。

2.職能管轄適用的困境。不同于法院統一行使審判職能，我國的行政機關在行使管轄權時根據社會管理的需要區分不同性質的行政案件，并由相應的機關進行管轄。根據《行政處罰法》第23條的規定，行政處罰是由縣級以上地方人民政府具有行政處罰權的行政機關管轄。該法用“具有行政處罰權的行政機關”來界定行政處罰的職能管轄權。行政處罰的專門化是保證行政執法、行政管理和行政效率的基礎，對維護我國現實物質空間的社會秩序有著重要作用。然而，網絡空間中的個人信息違法案件很難像現實世界那樣確立統一的標準、確定不同案件的性質從而準確地進行“歸口”管理。例如，APP違法收集用戶個人信息進而侵犯消費者權益這一違法案件，市場監督管理部門認為其屬于侵害消費者權益的案件，應歸自己的部門管理處罰；而網絡信息管理部門則認為該案件應由自己部門管轄，理由是該APP的行為屬于違法處理個人信息的行為。實踐中的真實案例表明，很多時候對該類案件進行行政處罰的部門選擇較為隨意，比如類似案件可能由市場監督管理部門進行行政處罰，也可能由網絡信息部門進行行政處罰。有人可能會說，這種情況可以通過交叉管轄來解決。《行政處罰法》第25條和第26條規定，確定交叉管轄的連接點是“最先立案”，也可以通過協商來解決。但是對于發生在網絡空間中的違法處理個人信息案件的管轄來說，交叉管轄的規定適用困難，且由于處罰金額巨大，可能導致相關部門為了增加財政收入而爭搶管轄權的情況發生，因此，需要對職權管轄進行進一步的規范限制。如果不解決這個問題，甚至可能出現一個違法行為進行多次處罰的情況。

3.層級管轄適用的困境。層級管轄是確定管轄權的最后一步，它使得行政處罰管轄權制度最終確定，以實現行政處罰的目的和價值。根據《行政處罰法》第23條的規定，行政處罰應當由縣級以上地方人民政府具有行政處罰權的行政機關管轄。我國立法對層級管轄只規定了最低的級別，具體應當由哪一層級進行管轄，需要執法機關自己做出判斷。從大多數案件來看，級別管轄的認定標準是行政處罰案件的影響和嚴重程度，根據案件的自身情況，確定對應級別的行政處罰機關的管轄。因此，“重大”“復雜”成為確定級別管轄權的關鍵。依據《個人信息保護法》第66條第二款的規定，針對情節嚴重的違法行為的處罰權限定在省級以上履行個人信息保護職責的部門。但是，該規定過于粗略，對“情節嚴重”并沒有做出具體的描述。當然，立法者可能是考慮到《個人信息保護法》是個人信息保護領域的基本法律，不可能就每一種個人信息違法行為類型加以描述并規定對應的處罰措施，但是考慮到個人信息違法案件的特殊性，在級別管轄的適用上還是需要進一步明確的。

結語

《個人信息保護法》的出臺，為企業處理個人信息的行為劃定了紅線，但要使法律真正落地實施，就必須解決其和傳統法律的銜接問題。由于個人信息的特殊性以及伴隨網絡而產生的各種新問題，導致了傳統行政處罰的地域管轄、職能管轄和層級管轄的不適用。正確分析企業違法處理個人信息案件的特殊性以及因其特殊性而產生的與傳統管轄權的矛盾所在，有利于提出更好的解決方案，完善立法，這也正是本文的意義所在。