【人格权纠纷】新民法典视野下公开个人信息侵权的认定规则与裁判路径
【规则】新民法典视野下公开个人信息侵权的认定规则与裁判路径。
1.信息后续处理者利用的公开信息是否属于民法典第1036条第（2）项规定的合法公开个人信息，应以信息初始收集者是否具有征得自然人授权同意等合法来源为判断标准。信息处理者公开信息应明确告知公开范围并征得自然人同意，对信息是否公开及公开范围授权不明确的，应认定为未取得授权。2.中立的全网通用数据搜索引擎服务提供者难以直接预见其爬取的一般公开个人信息是否具有合法公开来源，应适用“通知删除”等规则判定其是否存在过错。孙某某诉北京百度网讯科技有限公司、第三人北京搜狐互联网信息服务有限公司人格权纠纷案 新民法典视野下公开个人信息侵权的认定规则与裁判路径北京互联网法院 一审（2019）京0491民初10989号1.信息后续处理者利用的公开信息是否属于民法典第1036条第（2）项规定的合法公开个人信息，应以信息初始收集者是否具有征得自然人授权同意等合法来源为判断标准。信息处理者公开信息应明确告知公开范围并征得自然人同意，对信息是否公开及公开范围授权不明确的，应认定为未取得授权。2.中立的全网通用数据搜索引擎服务提供者难以直接预见其爬取的一般公开个人信息是否具有合法公开来源，应适用“通知删除”等规则判定其是否存在过错。原告孙某某诉称:其在百度网站搜索姓名“孙某某”关键词，发现百度网站非法收录并置顶了其在校友录网站上传的个人账户头像，即个人证件照。2018 年10月23日，孙某某向百度网站发出通知要求其删除证件照，但未获任何回复。孙某某认为，涉案照片以及其与孙某某姓名的关联关系涉及个人隐私、个人信息，在校友录网站图片源地址已关闭的情况下，北京百度网讯科技有限公司（以下简称百度公司）上述行为构成侵权。故诉至法院，要求判令百度公司赔偿经济损失1元和维权费用40元。被告百度公司辩称：展示孙某某照片的行为不侵犯其个人隐私和个人信息权益。百度公司仅为网络搜索服务提供者，提供中立的技术服务，涉案照片存储于可正常浏览的第三方公开网页，百度公司只是基于搜索功能实施了正常合法的抓取行为，因此，百度公司不构成侵权。第三人北京搜狐互联网信息服务有限公司（以下简称搜狐公司）述称：显示有孙某某肖像的网站并非搜狐公司所运营，涉案信息与搜狐公司无任何关联性，早在2012年到2013年间，校友录网站已经对外停止服务和访问，不存在授权任何人和机构使用校友录任何信息的可能。综上，孙某某的诉讼请求与搜狐公司无关。法院经审理查明：根据原告取证显示，原告在被告提供的搜索引擎页面上输入其姓名“孙某某”作为关键词进行图片检索，可以获取原告的照片，呈现原告照片页面的URL地址均为被告的服务器地址。根据庭审查明事实，上述情况出现的过程为：涉案照片由原告上传至第三人运营的校友录网站，存储于校友录网站的服务器中；虽校友录网站的门户地址已无法访问，普通网络用户不能通过门户网站常规访问的方式查找到涉案照片信息，但由于校友录网站存放照片的精确服务器地址仍向用户开放，通常的搜索引擎爬虫技术仍可访问到涉案照片。原告于2018年10月23日提交问题反馈，请百度删除该个人证件照，并删除与关键词'孙某某’的关联。此次问题反馈状态为“待处理”。诉讼中，被控侵权行为于2019年4月16日停止。北京互联网法院于2020年9月10日作出（2019）京0491民初10989号判决:一、被告北京百度网讯科技有限公司于本判决生效之日起7日内，向原告孙某某赔偿经济损失1元；二、被告北京百度网讯科技有限公司于本判决生效之日起7日内，向原告孙某某赔偿维权费用40元。宣判后，双方当事人均未提出上诉，判决已发生法律效力。根据《中华人民共和国民法总则》第一百一十条、第一百一十一条的规定，自然人享有隐私权，自然人的个人信息受法律保护。一般认为，个人信息的认定标准为具有“可识别性”。涉案信息通过关键词搜索加结果展示的形式，将“孙某某”这一自然人姓名和带有其面目特征信息的头像照片进行关联，成为可识别为唯一特定自然人的信息，该信息反映了孙某某面部形象的个体特征，属于个人信息。虽然涉案信息中包含肖像照片，但由于二者保护的法益不同，构成要件、保护方式和损害结果等方面亦存在差异，因此，权利人有权根据被控侵权行为的实际情况，选择更为有利的权利主张方式。现行法律明确规定不得非法处理信息，收集、处理个人信息的行为，应在明示使用信息范围并经自然人同意的前提下进行。亦即，信息处理者应在被收集者授权同意的范围内处理信息，不得超范围传输、公开、使用个人信息。关于孙某某对涉案信息授权的使用范围，双方均未就该项事实进行举证，法院结合立法规定、当事人举证能力、证据距离以及盖然性经验法则等因素论述如下：从立法规定来看，信息处理者应明示使用信息的范围，而搜狐公司缺乏明示告知授权范围的证据；从当事人举证能力和证据举例来看，由于存储涉案电子数据的网站门户早已对外关闭，孙某某客观上无法收集相应证据，而搜狐公司作为证据存储网站的管理者和信息处理者，其在提供证据信息和资源上占据优势的情况下，表示不清楚具体权限；从待证事实发生的盖然性来看，根据现有事实追溯的信息运用场景，校友录网站主要用于实现校内社群社交功能而非全网传播。因此，法院认定，孙某某仅授权搜狐公司在一定权限范围内使用和公开涉案信息。搜狐公司将涉案信息置于公开网络后，百度公司的搜索行为使得涉案信息可被全网不特定用户检索获取，在客观上导致该信息在孙某某授权范围之外被公开，属于未经同意处理个人信息的行为。根据侵权责任法第三十六条第二款的规定，对于网络技术服务提供者，通知删除的情节系考量侵权责任认定的关键因素，故本院对通知删除前后的情况分别予以评述。在通知删除前，百度公司作为网络技术服务提供者是否存在主观过错，应结合是否进行人工编辑整理、应具备的信息管理能力、涉案信息侵权类型和明显程度、涉案信息社会影响程度以及是否采取了预防侵权的合理措施等因素综合进行判定：涉案信息不属于裸照、身份证号等明显侵权或者极具引发侵权风险的信息，作为一般个人信息，存在权利人愿意积极公开、一定范围公开或不愿公开等多种可能的情形，为鼓励网络信息的利用和流通，对于网络公开的一般个人信息，应推定权利人同意公开，故百度公司在接到权利人的通知前，难以预见涉案信息是未经授权公开的信息。百度公司对涉案信息不存在明知或应知的主观过错，不构成对孙某某个人信息权益的侵害。通知删除后，网络服务提供者应及时采取必要措施，遏制侵权行为的扩大。在收到删除通知后，百度公司在其有能力采取相匹配必要措施的情况下，未给予任何回复，其怠于采取措施的行为，导致涉案侵权损失的进一步扩大，构成对孙某某个人信息权益的侵害，本院对原告要求赔偿损失的诉讼请求予以全额支持。本案为民法典出台背景下首例涉及公开个人信息侵权认定的案件。案件争议焦点涉及公开个人信息再度利用的行为规则，以及网络信息流动过程中多个节点主体的归责原理，及时回应了数字经济时代下数据利用的热点问题。从人格权案件裁判思路来看，我国侵权责任法采用“大侵权模式”，将人格权请求权吸收其中，故司法实践通常直接从侵权责任构成的角度进行论述。民法典将人格权独立成编，采取了人格权请求权和侵权损害赔偿请求权相分离的“分离模式”，凸显了人格权请求权的独立性。[1]本案结合人格权独立成编的背景，吸纳人格权请求权和侵权损害赔偿请求权相分离的立法理念，未采取传统侵权案件“四要件”并行式的论证路径，采纳了以“权属——行为——归责”为三要素的纵深式裁判思路：首先确定涉案信息的具体属性，然后根据不同的信息类型和对应的行为规范评价是否存在违法行为，最后再根据被告主体的主观过错形态确定侵权责任的承担。一、人格权权属类型之确定：姓名加静态面部特征达到“可识别”标准则构成个人信息首先，新民法典“二元”保护体系下，个人信息保护采取了有梯度的区分保护政策，对私密信息、一般个人信息和公开个人信息采取了不同的保护方式。[2]故需根据不同的信息类型判别对应的行为规范。再者，无论从两大法系的经验、民法典立法过程、还是一般社会民众的认知看，隐私和个人信息的界分一直存在争议。[3]民法典虽明确了隐私和个人信息的定义，但具体的法律适用，哪些信息属于隐私或个人信息，尚需司法在具体案件中逐步确定。并且，由于隐私权概念的流动性和判定的场景化，信息的类型化区分呈现复杂性和个案化。因此，鉴于区分保护政策和信息类型判断的复杂性，涉个人信息案件往往需首先鉴别涉案信息的法律属性和类型。本案从保护客体和保护方式等区别入手，[4]论证了姓名加静态面部特征信息组合达到“可识别”的标准，构成个人信息，但并非隐私或私密信息。该信息虽与肖像权在载体形式上存在重合，但由于二者保护法益不同，不违背“请求权竞合”理论，[5]可依原告主张通过个人信息权益进行保护。二、人格权侵权行为之认定：公开个人信息后续利用行为的违法性认定条件本案中，被告抗辩，涉案照片存储于可正常浏览的第三方公开网页，被告只是基于搜索功能实施了正常的合法抓取行为，不构成侵权。判断涉案爬取行为是否侵权，首先需通过“找法”定位裁判依据。正如前文所述，民法典对私密信息、一般个人信息和公开个人信息采取了有梯度的区分保护规则，[6]故需首先明确涉案信息是否适用公开个人信息的行为规范。（一）公开信息是否合法应以信息初始收集者的信息来源是否合法为前提本案信息流动涉及两个节点，搜狐公司为初始信息处理者，百度公司为后续信息处理者。[7]对于判定后续信息处理者爬取的公开信息是否属于民法典1036条第（2）项规定的合法公开信息，合议庭存在两种不同意见。一种意见认为，涉案信息已置于公开网络，应作为合法公开信息对待，搜索引擎无法预见、从技术上亦无法实现对初始信息收集是否合法的判断，若对搜索引擎等后续信息利用者苛以鉴别信息来源合法性的义务，将极大地影响公开信息的流通和利用，使得信息处理的合规性判断极不稳定，信息处理者动辄引咎，有违互联网公开信息共享的技术惯例。另一种意见则认为，即使信息在客观上看已置于公开网络，仍需根据初始信息处理者的行为判断信息公开的合法性，否则将可能因信息处理过程的违法行为导致权利人失去对信息应有的合法控制，“知情同意”的个人信息保护体系将在多处理节点流转中被架空。不论从民法典前后的法律规定，[8]还是从行业标准来看，[9]客观已全网公开的事实不能直接作为信息使用的合法性基础。虽然后续信息处理者，特别是在通用全网爬取技术应用场景下，核实个人信息合法性来源存在一定的现实困难和技术障碍，[10]但公开是事实判断，合法公开是价值判断，在法律有明确规定的前提下，应以法律规定为依据进行合法性价值评判。合议庭经反复评议后认为，技术现状与立法保护的鸿沟不应以降低法律适用标准来解决，严格法律适用虽短期可能带来产业的阵痛，但长期来看可促进产业提高合规水平和健康发展。因此，合议庭最终决定，判断公开信息是否属于合法公开信息，均应以初始信息处理者获取的授权范围或合法性来源为基础，例如，自然人授权公开，又如，裁判文书基于司法公开的目的合法公开，该规则对信息后续利用者亦不例外。（二）信息处理者对个人信息公开授权范围负有举证义务在“知情同意”原则下，是否告知授权范围并获取授权是判断信息处理合法性的关键。由于公开范围呈现技术复杂性，[11]认定授权公开范围往往构成此类案件事实和证据认定的难点。本案中，原告对初始信息处理者搜狐公司的授权范围成为侵权认定的关键事实。对该事实的认定可通过实体法适用和程序法规则两个角度论证：从实体法来看，民法典明确规定，信息处理者收集、使用个人信息需明示处理信息的范围。个人信息保护法草案进一步强化了对授权的要求，规定公开个人信息需取得单独同意。[12]从现有立法和进一步趋严的立法精神看，单从自然人将个人信息上传网络的客观行为不能推得其具有默示将信息公开的意图，信息处理者需主动告知授权范围，并征得权利人同意。本案被告未说明信息来源的授权范围，未尽到合法性来源说明义务，鉴于明示公开授权范围为信息处理者的法定义务，在是否公开及公开范围不明的情况下，应认定信息处理者未尽到告知义务，未取得相应授权。从程序法来看，原告主张其上传涉案信息时的授权范围为“仅班级同学可见”，但由于案件事实年代久远，双方均无证据予以证明，该事实陷入真伪不明，需根据举证责任分配进行裁判。从一般侵权案件的举证责任分配规则来看，应由原告证明存在违法行为，但对于涉案行为是否超越原告授权，该事实为原告主张存在侵权行为和被告抗辩存在合法授权的一体两面，尚需根据案件具体情形合理考量。在技术和信息掌控等方面，信息处理者和自然人存在信息不对称的情况，信息处理者在信息占有和技术资源上占据优势。根据举证责任分配原理，考虑到证据能力、证据距离，以及原告主张事实发生的盖然性等因素，此案中关于授权范围的举证责任由信息处理者一方承担更为妥当。因此，由于被告一方未尽到合法来源说明义务，亦未能举证证明涉案信息具有合法范围授权的事实，应承担举证不能的不利后果，故应认定涉案信息不属于民法典1036条第（2）项规定的合法公开信息，本案仍应适用一般个人信息侵权认定的“知情同意”规则，以涉案公开行为超越授权范围为由确认行为的违法性。三、不同信息处理主体归责原理之厘清：中立的搜索引擎技术提供者个人信息侵权认定适用“避风港”规则按照民法典第1037条的规定，对于违法处理信息的行为，可直接要求删除。鉴于前文已论证了涉案行为的违法性，故本案中的权利人可基于该项人格权请求权直接主张删除信息。而本案中，涉案信息业已删除，原告提出的为损害赔偿之诉，该项诉请基于侵权损害赔偿请求权，其构成要件需以被告存在过错为前提。对于网络服务提供者而言，应根据民法典有关网络侵权的特殊侵权责任条款判定被告是否存在过错。（一）搜索引擎技术提供者应被认定为中立的技术服务提供者民法典第1194至1197条规定了网络侵权责任的认定标准，[13]原则上仍以过错为归责原则，对技术服务提供者和内容服务提供者规定了不同的侵权责任认定方式。技术服务提供者主要提供接入、缓存、信息存储空间、搜索以及链接等服务，不直接提供信息内容，故往往只对用户侵权行为承担间接侵权责任。对于二者的区分，司法实务中存在一定争议，著作权领域将直接上传作品至网络空间的行为认定为直接侵权，并据此发展了“用户感知标准”“服务器标准”“法律标准”等司法观点。[14]由于人格权领域并无“提供作品”这一信息网络传播权有关作品利用行为的定义，故严格的“服务器标准”不能简单地移植到人格权领域。即使在本案中，有证据表明被告百度公司在其服务器上存储有涉案信息，但经过技术调查表明，搜索引擎服务商存在为优化搜索服务、减少搜索时间，对搜索信息实施建立索引、暂存等技术行为，综观涉案信息流转过程，搜索结果页面指明了信息来源网址，该服务功能仍主要指向信息来源和原图链接，而非指向信息内容本身。搜索引擎商使用无差别通用技术对海量信息进行批量采集，优化网络用户信息获取机制，若未加入偏好性人工编辑或技术干预，应被视为中立的技术服务提供者，而非内容提供者。（二）中立的搜索引擎技术提供者在个人信息领域仍适用“避风港”规则对于网络技术服务提供者，对其过错的判定可基于民法典第1195条“通知”后的明知，或1197条应知或明知的情形。对于应知或明知的判断，需根据《最高人民法院关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》第6条规定的多项因素进行综合判断。[15]此处着重围绕体现个人信息侵权案件特征的信息属性和信息处理者主体类型两方面进行论述。第一，关于涉案信息方面。在个人信息领域，判断信息处理引发侵权的明显程度，仍应贯彻有梯度的区分保护政策，根据具体信息属性区分对待。对于私密信息、高度敏感信息等明显侵权或者极易引发侵权风险的信息，例如裸照、身份证照片等，更倾向于认定可明显感知侵权，或应属于采取网络安全必要技术措施予以主动筛查的范畴。而对于一般个人信息，为鼓励网络信息自由流通，维护信息再度利用者的稳定预期，一般情况下，应鼓励对公开个人信息的合理再度利用行为。由于个人信息性质中立的天然属性，信息再度利用者从主观上难以判断信息初始处理者的收集和传播是否合法，故对其应知的过错判定当持谨慎态度。第二，关于信息处理者方面。通常而言,对一般社会主体的注意义务是所在群体的平均注意能力,即以“善良管理人”的标准来划定。[16]而对网络服务提供者而言，需根据其具备的管理信息能力、所提供服务的性质、方式及其引发侵权的可能性大小等因素综合评判。对于不同类型的网络服务商，其处理信息类型和方式不同，可能引发的侵权风险亦存在差别。例如，社交软件的运营往往涉及大量自然人个体信息、关系信息和交往信息的处理，运营者应具备与其处理信息相匹配的较高安全技术措施。又如，通过预设程序定向对某些网站进行爬取的运营者，其对认识到被爬取网站涉及的个人信息及可能引发的风险具有更高的注意义务。而对于通用全网信息爬取者，其预见到爬取信息类型及引发风险可能性的难度则相对较高。在判断网络服务提供者是否“应知”时，可结合上述因素综合衡量，但经权利人“通知-删除”后，网络服务提供者的主观状态变为明知，故对其未采取必要措施造成损失的，应对损害的扩大部分承担连带责任。综上所述，为防止公开信息处理动辄引咎的局面，维持信息流通利用的稳定性，应强调信息初始处理者的源头责任，同时通过对后续信息处理者过错认定的调节阀，对一些技术中立且尽到一定信息管理义务的运营者适用“避风港”规则。如此，一方面，可通过落实信息后续利用者对信息来源授权范围的核查义务，加强对个人信息的全流程动态保护；另一方面，通过引入网络服务提供者“避风港”规则的过错责任调节阀，对某些中立的技术行为进行豁免，通过利益衡量维持权益保护和数据利用的适度平衡。最后，从裁判思路上，本文以“校友录头像被爬”案为切入点，将民法典人格权独立成编后，对人格权请求权和侵权请求权衔接适用的裁判思路进行了梳理，归纳了以“权属——行为——归责”为要素的个人信息侵权认定路径，并重点回应了新民法典背景下公开个人信息的权属确定和侵权认定规则，为个人信息提供精准保护，为数据行业健康发展提供了前瞻性的指引。《最高人民法院关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》（2014年）第十二条第一款第（四）项、第二款 网络用户或者网络服务提供者利用网络公开自然人基因信息、病历资料、健康检查资料、犯罪记录、家庭住址、私人活动等个人隐私和其他个人信息，造成他人损害，被侵权人请求其承担侵权责任的，人民法院应予支持。但下列情形除外：（四）自然人自行在网络上公开的信息或者其他已合法公开的个人信息。网络用户或者网络服务提供者以违反社会公共利益、社会公德的方式公开前款第四项、第五项规定的个人信息，或者公开该信息侵害权利人值得保护的重大利益，权利人请求网络用户或者网络服务提供者承担侵权责任的，人民法院应予支持。《中华人民共和国民法典》第一千零三十六条第（一）、（二）项 处理个人信息，有下列情形之一的，行为人不承担民事责任：（一）在该自然人或者其监护人同意的范围内合理实施的行为；（二）合理处理该自然人自行公开的或者其他已经合法公开的信息，但是该自然人明确拒绝或者处理该信息侵害其重大利益的除外。（2010年）《中华人民共和国侵权责任法》第三十六条第二、三款 网络用户利用网络服务实施侵权行为的，被侵权人有权通知网络服务提供者采取删除、屏蔽、断开链接等必要措施。网络服务提供者接到通知后未及时采取必要措施的，对损害的扩大部分与该网络用户承担连带责任。网络服务提供者知道网络用户利用其网络服务侵害他人民事权益，未采取必要措施的，与该网络用户承担连带责任。《中华人民共和国民法典》第一千一百九十五条第一、二款网络用户利用网络服务实施侵权行为的，权利人有权通知网络服务提供者采取删除、屏蔽、断开链接等必要措施。通知应当包括构成侵权的初步证据及权利人的真实身份信息。网络服务提供者接到通知后，应当及时将该通知转送相关网络用户，并根据构成侵权的初步证据和服务类型采取必要措施；未及时采取必要措施的，对损害的扩大部分与该网络用户承担连带责任。《中华人民共和国民法典》第一千一百九十七条 网络服务提供者知道或者应当知道网络用户利用其网络服务侵害他人民事权益，未采取必要措施的，与该网络用户承担连带责任。[1] 人格权请求权与侵权损害赔偿请求权构成要件不同，无须以损害实际发生为前提，亦无须证明行为人具有过错，强调行为人的人格权保护义务，有利于强化人格权的保护。王利明：《论人格权请求权与侵权损害赔偿请求权的分离》，载于《中国法学》2019年第1期。[2] 张新宝：《从隐私到个人信息：利益衡量的理论与制度安排》，载于《中国法学》2015年第3期。[3] 王利明：《和而不同：隐私权与个人信息的规则界分和适用》，载于《法学评论》2021年第2期。[4] 已有诸多论文从权利性质、权利内容、保护方式等方面对隐私和个人信息的界分作出论述，例如，王利明：《和而不同：隐私权与个人信息的规则界分和适用》，载于《法学评论》2021年第2期；许可、孙铭溪：《个人私密信息的再厘清——从隐私和个人信息的关系切入》，载于《中国应用法学》2021年第1期。本文因篇幅所限，不再赘述。[5] 马千里、林挚：《李某诉北京百度网讯科技有限公司、刘某人格权纠纷案 ——认定自然人侵犯公民个人信息权益与隐私权的裁判要素及裁判方法》，全国法院系统2020年度优秀案例分析获奖案例。[6] 对于一般个人信息，通常情况下，应以“知情同意”为合法性判断前提；而对公开个人信息，为鼓励信息流通和数据共享，立法则采取了更为宽松的保护方式，合理处理公开个人信息的行为仅在该自然人明确拒绝或者处理该信息侵害其重大利益的情况下构成侵权。参见民法典第1036条的规定。[7] 《个人信息安全规范》第5.4 条使用了间接获取个人信息的提法，本文为理解方便，使用初始信息处理者和后续信息处理者指代信息处理的前后节点主体。[8] 2014年《最高人民法院关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》第12条第1款第（4）项和民法典第1036条，均规定自然人自行公开或其他合法公开。涉案裁判发生于民法典出台后至实施之前的期间，可参照适用民法典精神，且上述两项规定对合法公开个人信息的表述并无差异。但需注意的是，由于个人信息保护立法的密集出台，相关规定呈现一定不稳定性，例如，《个人信息保护法》（草案第二审议稿）第26条仅规定“已公开”个人信息，采取了客观标准，而非合法性标准，但要求信息处理者遵循信息公开时的用途。[9] 《个人信息安全规范》5.4 条规定了，间接获取个人信息应要求个人信息提供方说明个人信息来源，并对个人信息来源的合法性进行确认，应了解个人信息提供方已获得的个人信息处理的授权同意范围。[10] 该质疑在个人信息保护法立法论证时亦有提及，有观点认为，公开个人信息的后续处理者难以预见或判断公开信息来源的合法性或公开时的用途。参见《个人信息保护法草案专家研讨会成功举行》，网络来源：http://tsinglaw.com/news-dynamics/85.html。
本站仅提供存储服务，所有内容均由用户发布，如发现有害或侵权内容，请
点击举报。
