本文長約6300字，閱讀需時16分鐘
本文來源：教授加，北大法寶法律法規(guī)庫
作者：張新寶，中國人民大學(xué)法學(xué)院教授
核心觀點(diǎn)
1.7月21日國家互聯(lián)網(wǎng)信息辦公室（以下簡稱國家網(wǎng)信辦）對滴滴全球股份有限公司（以下簡稱滴滴公司）處以80.26億元罰款并對其董事長兼CEO程維、總裁柳青各處100萬元罰款，這是國家網(wǎng)信辦依據(jù)《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》《個人信息保護(hù)法》《行政處罰法》等法律法規(guī)對嚴(yán)重違法處理個人信息開出的首單“天價(jià)”行政處罰罰單。
2.滴滴公司之所以被處以“天價(jià)”罰款，是因?yàn)槠湫袨閲?yán)重違法處理個人信息，且違法行為較長時間內(nèi)處于持續(xù)狀態(tài)。
3.本次行政處罰，既有對滴滴公司的“天價(jià)”罰款，也有對公司主要負(fù)責(zé)人個人的“頂格”行政罰款，貫徹了法律規(guī)定的“雙罰”制。
4.依據(jù)法律規(guī)定，行政處罰與刑事責(zé)任、民事侵權(quán)責(zé)任不相互替代。違法處理個人信息者在受到行政處罰的同時，可能還要受到刑事處罰；侵害個人信息造成損害的，還要承擔(dān)民事侵權(quán)責(zé)任，也可能成為相關(guān)公益訴訟的被告。
一、案件事實(shí)
國家網(wǎng)信辦查明滴滴公司共存在16項(xiàng)違法處理個人信息的事實(shí)，包括違法收集個人信息、過度收集個人信息、超越權(quán)限處理個人信息、違法個人信息處理目的等，歸納起來主要是8個方面：
1.違法收集用戶手機(jī)相冊中的截圖信息1196.39萬條；
2.過度收集用戶剪切板信息、應(yīng)用列表信息83.23億條；
3.過度收集乘客人臉識別信息1.07億條、年齡段信息5350.92萬條、職業(yè)信息1633.56萬條、親情關(guān)系信息138.29萬條、“家”和“公司”打車地址信息1.53億條；
4.過度收集乘客評價(jià)代駕服務(wù)時、App后臺運(yùn)行時、手機(jī)連接桔視記錄儀設(shè)備時的精準(zhǔn)位置（經(jīng)緯度）信息1.67億條；
5.過度收集司機(jī)學(xué)歷信息14.29萬條，以明文形式存儲司機(jī)身份證號信息5780.26萬條；
6.在未明確告知乘客情況下分析乘客出行意圖信息539.76億條、常駐城市信息15.38億條、異地商務(wù)/異地旅游信息3.04億條；
7.在乘客使用順風(fēng)車服務(wù)時頻繁索取無關(guān)的“電話權(quán)限”；
8.未準(zhǔn)確、清晰說明用戶設(shè)備信息等19項(xiàng)個人信息處理目的。
二、處罰依據(jù)的法律規(guī)定
對滴滴公司及其主管人員處以高額行政罰款的法律依據(jù)是《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》《個人信息保護(hù)法》《行政處罰法》等法律法規(guī)的規(guī)定。具體來看，《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》《個人信息保護(hù)法》都有就違法處理個人信息（數(shù)據(jù)）的行為處以罰款的行政責(zé)任的規(guī)定?！缎姓幜P法》第29條規(guī)定：“對當(dāng)事人的同一個違法行為，不得給予兩次以上罰款的行政處罰。同一個違法行為違反多個法律規(guī)范應(yīng)當(dāng)給予罰款處罰的，按照罰款數(shù)額高的規(guī)定處罰?！睆谋景缸罱K確定的“天價(jià)”罰款金額來看，本案確定罰款金額時適用的規(guī)定主要是《個人信息保護(hù)法》第66條。
通過梳理我國現(xiàn)行法關(guān)于違法處理個人信息行為的行政罰款的規(guī)定發(fā)現(xiàn)，我國就此行政罰款數(shù)額上限的確定采取了兩種規(guī)定方式。一是直接規(guī)定具體數(shù)額，如《網(wǎng)絡(luò)安全法》中的“一百萬元以下”、《數(shù)據(jù)安全法》中的“兩百萬元以下”以及《個人信息保護(hù)法》中的“五千萬元以下”等；二是《個人信息保護(hù)法》新增的以上一年度營業(yè)額的百分比為處罰上限標(biāo)準(zhǔn)，即《個人信息保護(hù)法》第66條規(guī)定的“上一年度營業(yè)額的百分之五”。經(jīng)查，滴滴公司2021年度公布的營業(yè)額為1738.3億元，根據(jù)行政處罰“不重復(fù)處罰”“就高不就低”的規(guī)定來看，依據(jù)《個人信息保護(hù)法》第66條可對滴滴公司處以的罰款上限為86.9億元。實(shí)際處罰80.26億元，接近于法定罰款的的上限。
網(wǎng)絡(luò)安全法
第五十九條 網(wǎng)絡(luò)運(yùn)營者不履行本法第二十一條、第二十五條規(guī)定的網(wǎng)絡(luò)安全保護(hù)義務(wù)的，由有關(guān)主管部門責(zé)令改正，給予警告；拒不改正或者導(dǎo)致危害網(wǎng)絡(luò)安全等后果的，處一萬元以上十萬元以下罰款，對直接負(fù)責(zé)的主管人員處五千元以上五萬元以下罰款。
關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)營者不履行本法第三十三條、第三十四條、第三十六條、第三十八條規(guī)定的網(wǎng)絡(luò)安全保護(hù)義務(wù)的，由有關(guān)主管部門責(zé)令改正，給予警告；拒不改正或者導(dǎo)致危害網(wǎng)絡(luò)安全等后果的，處十萬元以上一百萬元以下罰款，對直接負(fù)責(zé)的主管人員處一萬元以上十萬元以下罰款。
（網(wǎng)絡(luò)安全法第五十九條至第六十九條依據(jù)網(wǎng)絡(luò)運(yùn)營者的違法行為類型分別規(guī)定了包含不同標(biāo)準(zhǔn)的罰款在內(nèi)的行政處罰。與本案有關(guān)的規(guī)定中，對單位設(shè)置的最高罰款上限為100萬元，對主要負(fù)責(zé)的個人為10萬元。其余規(guī)定此處不一一列舉。）
數(shù)據(jù)安全法
第四十五條 開展數(shù)據(jù)處理活動的組織、個人不履行本法第二十七條、第二十九條、第三十條規(guī)定的數(shù)據(jù)安全保護(hù)義務(wù)的，由有關(guān)主管部門責(zé)令改正，給予警告，可以并處五萬元以上五十萬元以下罰款，對直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員可以處一萬元以上十萬元以下罰款；拒不改正或者造成大量數(shù)據(jù)泄露等嚴(yán)重后果的，處五十萬元以上二百萬元以下罰款，并可以責(zé)令暫停相關(guān)業(yè)務(wù)、停業(yè)整頓、吊銷相關(guān)業(yè)務(wù)許可證或者吊銷營業(yè)執(zhí)照，對直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員處五萬元以上二十萬元以下罰款。
違反國家核心數(shù)據(jù)管理制度，危害國家主權(quán)、安全和發(fā)展利益的，由有關(guān)主管部門處二百萬元以上一千萬元以下罰款，并根據(jù)情況責(zé)令暫停相關(guān)業(yè)務(wù)、停業(yè)整頓、吊銷相關(guān)業(yè)務(wù)許可證或者吊銷營業(yè)執(zhí)照；構(gòu)成犯罪的，依法追究刑事責(zé)任。
個人信息保護(hù)法
第六十六條 違反本法規(guī)定處理個人信息，或者處理個人信息未履行本法規(guī)定的個人信息保護(hù)義務(wù)的，由履行個人信息保護(hù)職責(zé)的部門責(zé)令改正，給予警告，沒收違法所得，對違法處理個人信息的應(yīng)用程序，責(zé)令暫停或者終止提供服務(wù)；拒不改正的，并處一百萬元以下罰款；對直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員處一萬元以上十萬元以下罰款。
有前款規(guī)定的違法行為，情節(jié)嚴(yán)重的，由省級以上履行個人信息保護(hù)職責(zé)的部門責(zé)令改正，沒收違法所得，并處五千萬元以下或者上一年度營業(yè)額百分之五以下罰款，并可以責(zé)令暫停相關(guān)業(yè)務(wù)或者停業(yè)整頓、通報(bào)有關(guān)主管部門吊銷相關(guān)業(yè)務(wù)許可或者吊銷營業(yè)執(zhí)照；對直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員處十萬元以上一百萬元以下罰款，并可以決定禁止其在一定期限內(nèi)擔(dān)任相關(guān)企業(yè)的董事、監(jiān)事、高級管理人員和個人信息保護(hù)負(fù)責(zé)人。
值得討論的是，本案滴滴公司實(shí)施的違法處理個人信息的行為主要發(fā)生在《個人信息保護(hù)法》施行前，可否適用該法的規(guī)定。
《行政處罰法》第37條規(guī)定：“實(shí)施行政處罰，適用違法行為發(fā)生時的法律、法規(guī)、規(guī)章的規(guī)定。但是，作出行政處罰決定時，法律、法規(guī)、規(guī)章已被修改或者廢止，且新的規(guī)定處罰較輕或者不認(rèn)為是違法的，適用新的規(guī)定?！痹诒景钢?，適用一個法律責(zé)任較重的“新法”來追究滴滴公司的行政責(zé)任是否妥當(dāng)？對此，筆者認(rèn)為本案應(yīng)當(dāng)適用《個人信息保護(hù)法》第66條的規(guī)定，理由如下。
第一，本案中《個人信息保護(hù)法》的規(guī)定對于滴滴公司的違法行為而言，不屬于討論法律溯及適用意義上的“新法”。從本案實(shí)際情況來看，滴滴公司違法處理海量個人信息、侵害個人信息權(quán)益和國家安全利益的行為自2015年6月至今持續(xù)存在?！皬呐f兼從輕”的法律溯及力原則的法理在于，這種溯及適用規(guī)則能夠保證行為主體能夠?qū)ψ约盒袨樗@得的法律評價(jià)有穩(wěn)定預(yù)期、從而依照法律規(guī)定規(guī)劃自己的行為?！秱€人信息保護(hù)法》自2021年8月頒布至2021年11月施行之日起，滴滴公司并未停止自身的違法行為，對其將為此行為承擔(dān)高額的行政罰款應(yīng)有充分的預(yù)期。
第二，本案中滴滴公司的違法行為具有持續(xù)性，無法進(jìn)行區(qū)分評價(jià)。持續(xù)性的違法行為很難作區(qū)分評價(jià)，前后依次發(fā)生的違法行為間存在著密切的聯(lián)系：在《個人信息保護(hù)法》前違法收集的個人信息，在《個人信息保護(hù)法》后被繼續(xù)違法加工、售賣；在《個人信息保護(hù)法》前實(shí)施的違法處理個人信息行為，其危害后果可能實(shí)際發(fā)生于《個人信息保護(hù)法》施行以后。而作為整體評價(jià)的持續(xù)的違法行為的發(fā)生時間，應(yīng)確定為該行為終止時?！缎姓幜P法》第36條亦有規(guī)定：“違法行為有連續(xù)或者繼續(xù)狀態(tài)的，從行為終了之日起計(jì)算。”是故，本案應(yīng)適用《個人信息保護(hù)法》第66條對滴滴公司自2015年7月至今的違法處理個人信息行為施以行政處罰。
三、公司和個人雙罰制
自《網(wǎng)絡(luò)安全法》開始，我國就對違法處理個人信息的行為引入了對實(shí)施違法行為的單位與個人（包括直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員）都處以行政處罰的雙罰制?！秱€人信息保護(hù)法》深化了單位和個人的行政處罰雙罰制，考慮到不同形式的行政責(zé)任對不同違法主體的勸誡、規(guī)制效果差異，我國的“雙罰制”對單位和個人設(shè)置了不同類別的行政責(zé)任。
針對違法處理個人信息的單位，《個人信息保護(hù)法》注重多種行政處罰方式的綜合適用，除了《網(wǎng)絡(luò)安全法》規(guī)定的“責(zé)令改正”“警告”“沒收違法所得”“罰款”“責(zé)令暫停相關(guān)業(yè)務(wù)”“責(zé)令停業(yè)整頓”“吊銷營業(yè)執(zhí)照”“吊銷相關(guān)業(yè)務(wù)許可證”等責(zé)任形式外，針對當(dāng)下各類應(yīng)用程序（App）違法處理個人信息的行為，《個人信息保護(hù)法》增加規(guī)定了“責(zé)令暫停或者終止提供服務(wù)”，這與我國當(dāng)前加強(qiáng)規(guī)范應(yīng)用程序處理活動的政策導(dǎo)向相一致。針對違法單位的直接負(fù)責(zé)的主管人員和其他責(zé)任人員，除承擔(dān)罰款責(zé)任外，《個人信息保護(hù)法》增加規(guī)定了處罰機(jī)關(guān)可以決定“禁止其在一定期限內(nèi)擔(dān)任相關(guān)企業(yè)的董事、監(jiān)事、高級管理人員和個人信息保護(hù)負(fù)責(zé)人”。
正是基于“雙罰制”規(guī)定，國家網(wǎng)信辦在對滴滴公司處以“天價(jià)”罰款的同時，也對滴滴全球股份有限公司董事長兼CEO程維、總裁柳青各處人民幣100萬元罰款。
四、“天價(jià)”處罰與頂格處罰
（一）“天價(jià)”處罰的條文形成
《行政處罰法》第5條規(guī)定，設(shè)定行政處罰必須以事實(shí)為依據(jù)，與違法行為的事實(shí)、性質(zhì)、情節(jié)以及社會危害程度相當(dāng)?！秱€人信息保護(hù)法》第66條在進(jìn)行罰款金額的設(shè)定時，應(yīng)考慮到罰款的有效性、成比例性和勸誡性：有效性指罰款應(yīng)當(dāng)切實(shí)得到實(shí)行；成比例性指個案的罰款金額應(yīng)當(dāng)結(jié)合主體種類、行為和情節(jié)加以確定；勸誡性指罰款金額應(yīng)當(dāng)足以警告和懲罰違法主體的違法行為。
基于有效性的要求，罰款的數(shù)額不能設(shè)置過高以至于相對人無法支付，因此《個人信息保護(hù)法》為罰款設(shè)置了數(shù)額上限。基于成比例性的要求，罰款的具體金額應(yīng)當(dāng)與違法處理個人信息行為的危害性相當(dāng)，因此《個人信息保護(hù)法》將違法處理個人信息行為區(qū)分為一般的違法行為和“情節(jié)嚴(yán)重的”違法行為，對兩者設(shè)置不同的罰款標(biāo)準(zhǔn)?；趧裾]性的要求，考慮到對于滴滴公司這類年?duì)I收逾千億的公司而言，以大多數(shù)數(shù)據(jù)企業(yè)為規(guī)制對象設(shè)立的罰款數(shù)額標(biāo)準(zhǔn)（五千萬元以下）難以對其起到懲治作用，《個人信息保護(hù)法》設(shè)立了以年?duì)I業(yè)額的百分之五作為罰款上限的處罰標(biāo)準(zhǔn)。正是基于這一計(jì)算標(biāo)準(zhǔn)，才使本案超80億的“天價(jià)”罰款成為可能。
（二）“天價(jià)”處罰與頂格處罰在本案中的司法適用
本案中，國家互聯(lián)網(wǎng)信息辦公室之所以處以滴滴公司80.26億的“天價(jià)”罰款、對負(fù)責(zé)人員處以100萬元的頂格處罰，是由于其行為嚴(yán)重侵害個人信息權(quán)益、嚴(yán)重?fù)p害國家信息安全。
罰款的數(shù)額應(yīng)與違法行為的危害性成比例。就違法處理個人信息的行為而言，法律通常從以下方面判斷違法行為是否達(dá)到“情節(jié)嚴(yán)重”的程度，即（1）客觀方面，主要包括處理信息的目的、處理的信息是否敏感、影響信息主體的數(shù)量、違法行為的持續(xù)時間等；（2）主觀方面，主要包括違法的性質(zhì)是故意還是過失、事后是否采取了為減輕損害發(fā)生的行動、為減輕損害和監(jiān)管機(jī)關(guān)的合作程度、是否被警告或調(diào)查后仍然繼續(xù)為違法行為等；（3）造成的損害結(jié)果的嚴(yán)重程度，是否影響到醫(yī)療、教育、養(yǎng)老、國家安全等關(guān)鍵領(lǐng)域等。
在具體標(biāo)準(zhǔn)上，《網(wǎng)絡(luò)安全法》《個人信息保護(hù)法》等關(guān)于行政處罰的規(guī)定未設(shè)置具體標(biāo)準(zhǔn)，參考《刑法》關(guān)于“侵害公民個人信息罪”規(guī)定的“情節(jié)嚴(yán)重”“情節(jié)特別嚴(yán)重”兩個加重處罰情節(jié)，我們可以類比得出情節(jié)嚴(yán)重的部分認(rèn)定要素：如從違法處理信息的數(shù)量看，將違法處理敏感個人信息達(dá)30條、處理次級敏感信息達(dá)300條、處理非敏感信息達(dá)3000條以上的認(rèn)定為“情節(jié)嚴(yán)重”；從違法行為的持續(xù)時間來看，將持續(xù)違法處理個人信息在6個月以上的認(rèn)定為“情節(jié)嚴(yán)重”；從違法的主觀狀態(tài)考慮，將已被警告、調(diào)查后仍繼續(xù)違法處理個人信息的認(rèn)定為“情節(jié)嚴(yán)重”；從違法的損害結(jié)果看，將危害國家主權(quán)、安全和發(fā)展利益的認(rèn)定為“情節(jié)嚴(yán)重”。
以上這些認(rèn)定要素的具體標(biāo)準(zhǔn)具有參考的意義，科學(xué)、嚴(yán)謹(jǐn)?shù)臉?biāo)準(zhǔn)有賴于相關(guān)部門在積累實(shí)踐經(jīng)驗(yàn)的基礎(chǔ)上研討制定。但不可否認(rèn)的是，以前述標(biāo)準(zhǔn)確立的一個具有參考意義的“情節(jié)嚴(yán)重”的違法處理個人信息行為為參照，本案中滴滴公司的行為可謂弗如遠(yuǎn)甚：從違法處理個人信息的數(shù)量來看，滴滴公司違法處理的個人信息以百億計(jì)，其中不乏逾千萬條人臉信息等敏感個人信息；從違法行為的持續(xù)時間來看，滴滴公司自2015年7月至調(diào)查結(jié)果公布約7年的時間持續(xù)實(shí)施違法行為；從違法的主觀狀態(tài)看，滴滴公司無視監(jiān)管部門要求，違反信息安全義務(wù)，強(qiáng)制收集用戶個人信息，主觀狀態(tài)為故意而非過失；從違法的損害來看，滴滴公司行為不僅嚴(yán)重侵害個人信息權(quán)益，而且其將大量行程信息運(yùn)往境外的行為嚴(yán)重?fù)p害國家安全利益。
綜上種種調(diào)查事實(shí)表明，滴滴公司違法處理個人信息的行為不僅符合《個人信息保護(hù)法》第66條“情節(jié)嚴(yán)重”的要求，應(yīng)適用第2款較重的處罰責(zé)任；而且考慮到其行為的嚴(yán)重危害性，應(yīng)在第2款確定的處罰區(qū)間內(nèi)對單位采取較重的處罰（約等于上一年度營業(yè)額的5%），對負(fù)責(zé)個人處以頂格處罰（100萬元）。
五、行政處罰與其他法律責(zé)任的關(guān)系
本案的“天價(jià)”處罰并不意味著滴滴公司違法處理個人信息行為法律責(zé)任的結(jié)束?！疤靸r(jià)”罰款僅是行政責(zé)任的一種，未來滴滴公司及其主管人員將面臨其他形式的行政責(zé)任、民事責(zé)任乃至刑事責(zé)任。
《個人信息保護(hù)法》第七章專門規(guī)定了違法處理個人信息的法律責(zé)任。依其規(guī)定，違法處理個人信息行為可能承擔(dān)：（1）以損害賠償為主要內(nèi)容的民事侵權(quán)責(zé)任；（2）包含責(zé)令改正，給予警告，沒收違法所得，高額罰款，停業(yè)整頓，吊銷營業(yè)執(zhí)照在內(nèi)的行政責(zé)任；（3）根據(jù)《刑法》的有關(guān)規(guī)定承擔(dān)刑事責(zé)任。此外，針對違法處理個人信息行為侵害社會公共利益的情形，《個人信息保護(hù)法》第70條特別規(guī)定了人民檢察院、法律規(guī)定的消費(fèi)者組織和由國家網(wǎng)信部門確定的組織可以向人民法院提起公益訴訟，要求行為人承擔(dān)一系列行為及賠償責(zé)任。綜合本案案情看，未來滴滴公司可能為其違法處理個人信息的行為承擔(dān)民事責(zé)任、其他形式的行政責(zé)任乃至刑事責(zé)任，并可能面臨公益訴訟糾紛。
因同一違法行為承擔(dān)復(fù)數(shù)種類法律責(zé)任是現(xiàn)代法律體系被人為劃分為不同法律部門的結(jié)果，承擔(dān)來自不同法律部門的法律責(zé)任不構(gòu)成對當(dāng)事人的重復(fù)處罰。《民法典》第187條規(guī)定：“民事主體因同一行為應(yīng)當(dāng)承擔(dān)民事責(zé)任、行政責(zé)任和刑事責(zé)任的，承擔(dān)行政責(zé)任或者刑事責(zé)任不影響承擔(dān)民事責(zé)任；民事主體的財(cái)產(chǎn)不足以支付的，優(yōu)先用于承擔(dān)民事責(zé)任?！边@一規(guī)定不僅明確了民事責(zé)任、行政責(zé)任和刑事責(zé)任彼此間不相互替代的關(guān)系，還確定了不同種類的法律責(zé)任承擔(dān)序位：基于國不與民爭利的思想，民事主體的財(cái)產(chǎn)不足以支付全部責(zé)任的，優(yōu)先用于承擔(dān)民事責(zé)任，填補(bǔ)受害人損害。
