在《中华人民共和国个人信息保护法》施行两周年之际，北京互联网法院发布一批个人信息保护典型案例。05
郭某等与深圳某科技公司等个人信息保护纠纷案
——死者近亲属对死者个人信息权益的行使应符合合法、正当、必要原则死者近亲属为自身合法、正当利益，可对死者的相关个人信息行使查阅、复制、更正、删除等权利；网络服务提供者在用户死亡后停用其账号，未排除近亲属通过其他合理途径行使上述权利的，不构成侵权。李某为四原告的近亲属，生前从事某平台北京地区的外卖配送业务。四被告为该平台相关运营主体和雇佣单位。2021 年李某意外去世。四原告为维护自身合法权益，尝试登录李某在员工端 APP 上的账号查阅李某的考勤记录等个人信息，但发现该账号已被停用，相关信息无法查阅。四原告认为，四被告停用李某账号的行为导致其无法查阅李某的个人信息，进而严重阻碍其维护自身合法权益，侵犯了其享有的个人信息权益请求权。另外，四原告认为四被告基于各自的业务需要，均曾处理李某的上述个人信息。因此，四原告将四被告起诉到法院，请求法院判令四被告提供其主张的李某相关个人信息，并承担相应的侵权责任。四被告辩称，在李某去世后停用其账号属于正常管理活动，虽然停用了李某的账号，但在员工端 APP 的隐私政策中对于用户及近亲属调取个人信息有清晰指引，已经提供了供四原告调取李某个人信息的其他合理途径。
法院经审理认为，首先，四原告要求四被告提供李某的考勤记录等特定个人信息，属于对李某的相关个人信息行使权利；其次，经查上述个人信息可能涉及李某死亡原因，四原告已经据此另案起诉，四原告系通过对李某的个人信息主张权利来维护自身利益，并且不违反法律规定和公序良俗；最后，本案并无证据显示李某生前对其死后近亲属如何行使对其个人信息的权利作出相应安排，四原告有权对李某相关个人信息主张权利。本案中，李某的账号还涉及案外第三人的个人信息、商业信息等内容，因此四被告之一的深圳某公司作为网络服务提供者不允许四原告直接登录李某账号行使权利并无不妥。经查，深圳某公司确已在员工端 APP 的隐私政策中规定了就个人信息保护问题行使权利的联系部门及具体联系方式，深圳某公司不存在拒绝四原告行使权利的情况。因此，深圳某公司已为四原告行使权利提供了其他合理途径，其停用李某账号的行为并未直接排除四原告就李某相关个人信息行使权利。此外，四被告确未控制四原告主张的个人信息，四被告不构成侵权，也无法提供李某个人信息。综上，四原告全部诉讼请求缺乏事实和法律依据，法院不予支持。一审裁判作出后，当事人均未上诉，判决已发生法律效力。近亲属对死者个人信息的查阅、复制等权利是《个人信息保护法》明确的重要权利。本案一是明确了个人死亡后，个人信息处理者仍然应当承担死者个人信息权益保护的义务，允许死者近亲属查询、复制死者的个人信息；二是明确了个人信息处理者对于死者个人信息保护义务的履行边界，包括“提供调取死者个人信息的其他合理途径”“基于业务关联的其他个人信息处理者不再实际控制死者的个人信息”等；三是确认了自然人在查询、复制个人信息的合理边界，即需要符合“合法、必要、正当原则”。本案判决为死者个人信息的保护模式提供了有益指引。06
王某与北京某科技有限公司人格权纠纷案
——利用已公开个人信息有误导致受众混淆构成侵权
信息处理者可以在合理范围内处理已合法公开的个人信息，但应当尽到相应的注意义务，并保障信息的完整和准确。个人发现个人信息不准确或者不完整的，有权请求信息处理者更正、补充。对于信息处理者提供个人信息不准确或者不完整，存在过错，造成损失的，个人可主张信息处理者承担损害赔偿责任。原告王某某日发现可在被告北京某科技有限公司开发运营的互联网服务产品“XX 搜索”中搜索到自己的相关信息，包括基本信息、职业照和“擅长领域”“案例数量趋势”“最新案例”等。原告认为，其中职业单位和案件数量有误，导致受众不当评价，构成侵权，故诉至法院，要求被告停止侵权、赔礼道歉和赔偿损失。被告辩称，“XX搜索”是一款免费的垂直信息智能检索工具，其服务系对网络上权威网站公开信息的汇集，受制于网络信息来源的及时性和真实性，并不能保证结果的绝对准确，现已停止服务。法院经审理认为，被告所实施的涉案处理行为系对已合法公开个人信息的处理行为，处理目的和方式尚属合理范围内，故该处理行为不直接构成违法处理行为。但被告展示的部分信息确存在不准确、不完整的情形，通过对公开信息的处理提供服务，虽可能出现被告所述的因技术原因导致信息更新滞后、不同步的情况，但被告未举证涉案信息不同步属于合理时间差和现有技术制约所致的范围，且按照被告所述，其本地并未直接存储相关数据，而是在有用户检索的时候进行即时检索关联并提供检索结果，与被告所称信息更新滞后、不同步的理由相悖。故被告作为数据处理和信息检索服务提供者，从特定公开渠道抓取全国范围内某特定行业人员个人信息进行加工处理，未尽到提供该服务相应的注意义务，存在一定过错。被告向不特定网络用户提供该行业人员执业情况信息检索服务，对原告执业单位和经历的错误展示，势必导致该信息检索服务的受众对原告执业所在单位和任职经历情况产生误认或混淆，可能影响原告的执业声誉或业务来源，造成损害。被告处理行为侵犯原告肖像权和个人信息权益，构成侵权。由于涉案服务已经停止，故法院判决对原告赔礼道歉、部分赔偿损失的诉请予以支持。一审裁判作出后，当事人均未上诉，判决已发生法律效力。《个人信息保护法》第一条明确，个人信息保护法的立法目的包括“促进个人信息合理利用”，以平衡个人信息保护和数据利用之间的紧张关系。考虑到现有技术条件下的数据共享可能存在实时同步等困难，本案判决明确了公开数据处理者承担侵权责任的过错认定标准，要求数据处理者作出现有技术条件下的合理努力，尽到与处理信息类型、引发风险程度等相适应的注意义务。在以数据为关键要素的数字经济背景下，本案平衡了人民群众合法权益保护与数据合理利用的关系，有利于提高数据要素有序流动的合规水平，促进数据开发的技术进步和商业创新。
07
许某与深圳某科技有限公司个人信息保护纠纷案
——当事人在诉讼中提交已合法收集个人信息作为证据属于履行法定义务的行为
当事人在诉讼中为证明待证事实，将已经合法收集的包含个人信息的证据向人民法院提交，属于履行法定义务的行为，在符合正当、必要原则的情形下，不需征得个人同意。
被告深圳某科技有限公司系某智能快件箱的实际运营者，智能快件箱提供快递收寄服务。原告许某在被告运营的智能快件箱取快递，因超时保管，分别向被告支付了超时保管费 0.5 元和 1 元。2020 年 9 月 4 日，原告与本案被告、案外人某速递有限公司因确认合同无效纠纷诉至广东省深圳市南山区人民法院。被告为证明其在该案中的主张，向公证处申请公证保全，证据内容涉及原告使用其手机号在 2020 年 5 月至 11 月的取件记录及其对应的快递公司的寄递信息，包括派件时间、快递公司、运单号、取件时间、取件人手机号等信息，后向法院提交。原告后在北京互联网法院提起本案诉讼，认为被告在前述案件中，在未经原告同意，也没有经过相关国家机关和司法机关要求的情况下，从数据库中调阅其寄递信息进行公证，并向法院提供，属于违法收集使用其个人信息的行为，请求法院判令被告停止侵害、赔礼道歉、赔偿精神损害抚慰金。法院经审理认为，被告未经原告同意处理案涉个人信息的行为符合合法、正当、必要原则。第一，被告未经原告同意处理案涉个人信息的行为具有合法性。当事人在诉讼中依法收集和提交证据，属于民事诉讼法规定的法定权利。同时，案涉行为发生时，相关国家标准规定了与刑事侦查、起诉、审判和判决执行等直接相关的，个人信息控制者收集、使用个人信息不必征得个人信息主体的授权同意。第二，被告处理原告个人信息的行为具有正当性。本案中，被告处理原告个人信息是用于诉讼中举证，无证据证明该行为是出于侵害原告个人信息权益的目的，其行为具有正当性。第三，被告处理原告个人信息的行为符合必要原则。被告为证明其主张，在其证明目的的合理范围内进行保全和举证符合必要原则。只要当事人合法获得证据，该证据与案件争议焦点具有合理关联性，举证行为无侵害他人个人信息权益之故意或重大过失，即应认定为符合必要性原则。本案中，争议案涉信息仅在合法的公证过程中使用和向法庭出示，并无证据显示被告用作他用或向不特定的第三人公开，造成原告权益的损害。法院最终判决驳回原告诉讼请求。
一审裁判作出后，当事人均未上诉，判决已发生法律效力。
《个人信息保护法》中对于与诉讼相关的取证等行为是否属于无需同意的情形并未明确。本案对于诉讼中合法正当举证行为在《个人信息保护法》中对应的合法性基础进行了论述，进一步明确了诉讼行为中涉及个人信息处理的合法性依据、应遵循的原则，为当事人正当开展与个人信息处理相关的诉讼行为提供了明确的法律依据，也丰富了《个人信息保护法》中，关于个人信息处理合法性基础“为履行法定义务所必需”条款的实践。08
吕某与北京某信息技术有限公司个人信息保护纠纷案
——信息处理者对其尽到告知同意义务负有相应的举证责任
信息处理者抗辩其尽到告知同意义务的，对进行告知并获取同意的相关事实负有举证责任。信息处理者仅提供其单方后台存储数据用以证明其获取同意，但该数据存在明显异常，且缺乏其他佐证和合理说明的情况下，仅凭该证据不能证明其获得了有效同意。
被告北京某信息技术有限公司为某汽车信息软件运营者。原告吕某为该软件用户，原告诉称，其于 2021 年 10月某日使用该软件时，软件跳出某品牌汽车报价弹窗，其中用灰色小字体标识“经销商将致电您提供报价，请注意接听”，吕某点击接受后才发现该页面是询问吕某是否同意将其手机号码等个人信息向页面中列举选择的 3 家该品牌汽车经销商进行共享和传输。此后一周内，吕某陆续收到了 3 个品牌的 9 家当地汽车 4S 店的多条报价电话。原告认为被告未经同意将其手机号提供给其他公司，侵害了其个人权益，导致其频繁遭受电话侵扰，遂诉至法院请求判令被告停止侵权、赔礼道歉、赔偿损失等。被告辩称，其向服务经销商共享原告手机号是在原告确认和同意的情况下进行的，原告连续两天共三次使用了询价功能，分别对三个汽车品牌的三款车型进行了询价，因此才发生了对应时间点服务经销商向其致电的情况。
法院经审理认为，该侵权行为的取证发生于《个人信息保护法》生效实施后，故优先适用《个人信息保护法》第十四条第一款有关知情同意的规定，以及第二十三条有关向他人提供个人信息取得单独同意的规定。本案中，原告主张其仅浏览过一款原告所述的三个汽车品牌车型，未浏览过另外两个汽车品牌的两款车型，亦未授权被告向这两款车型的经销商提供手机号进行询价。被告提交了用户询价服务系统公证以证明原告曾操作过相应的询价功能，但该数据显示的操作时间存在异常，IP 地址、备注姓名均与原告真实情况不一致，难以确认该询价行为系吕某作出及出于原告真实意愿，被告未对数据异常的合理性予以合理说明，故法院对该份证据不予采信。法院认为，被告在缺乏原告有效授权同意的情况下，将原告手机号提供给两个汽车品牌经销商，未遵循《个人信息保护法》关于向他人提供个人信息应征得明确同意、单独同意的规定，构成侵权。一审裁判作出后，当事人均未上诉，判决已发生法律效力。随着个人信息跨行业、跨领域融合处理频繁增多，多主体个人信息处理规范颇受关注。《个人信息保护法》第二十三条规定了向他人提供个人信息的告知要求和单独同意准则，明确了此类信息处理场景的合规要求。告知同意是个人信息保护领域的重要规则，其在司法实践中能否得以落地实施，获取告知同意的事实查明和举证责任分配尤为重要。本案通过个案裁判明确，信息处理者对其是否尽到相应的告知同意义务，负有举证责任；当其单方提供的后台数据异常，缺乏合理说明时，相关证据难以作为其获得有效同意的支撑。此案明确了信息处理者对于获取有效同意等合法性基础的举证责任分配，缓和了权利人与信息处理者举证方面技术背景、信息不对称产生的地位悬殊差距，打通个人信息司法保护的举证壁垒，促进信息处理者提高个人信息保护的合规水平和技术能力。想了解更多数据安全的管理制度、标准规范、产品服务、认证评估等，可扫码加入「 数据安全备忘录」知识星球，更多精彩内容持续更新中！
现在加入就可以享受立减优惠。
关注【数据安全备忘录】公众号，获取更多行业资讯！
公众号｜数据安全备忘录
个上一篇资料下载 |