【法脉准绳】网络服务提供者处理已公开个人信息，是否构成侵权？
基 本 案 情
小李系某律师事务所执业律师，并在W公司经营的某法律咨询平台注册有律师账号。
D公司设立、运营D律师平台，平台主要为网络用户提供在线法律咨询等服务，平台仅为咨询用户提供服务，无律师注册用户。
W公司与d技术公司（系D公司的关联企业）签订有《合作协议》，约定W公司通过线上API接口方式，将W公司律师及相关信息推送给d技术公司，W公司向d技术公司支付技术服务费等内容。
D律师平台曾展示有小李的执业信息，包括小李肖像照、执业年限、专长等。如D律师平台用户在小李律师页面提交咨询，相关咨询内容会推送至某法律咨询平台，小李回复该咨询后，回复内容再推送至D律师平台展示。
全国律师诚信信息公示平台、广州市律师协会网站（gzlawyer.org）公示有小李的律师执业信息。
小李认为：
其从未注册使用D律师平台，且D律师平台展示的小李执业机构有误（未更新），属于违法处理小李个人信息，并以律师咨询服务形式获利，该行为极易使司法行政机关认为小李存在违法执业行为，损害了小李的律师执业权益。遂起诉请求判令D律师平台承担赔礼道歉、删除个人信息、赔偿损失等民事责任。
D律师平台辩称：
一，案涉信息既是依法必须公开的律师经营信息，也是小李宣传、推广法律服务所必需公开的经营信息，没有体现小李作为自然人的人格利益属性，不应给予“个人信息”权益保护。二，D律师平台受某法律咨询平台委托展示小李公开经营信息，不是个人信息处理者，不应承担侵权责任。三，案涉信息为小李自行在网络上公开的信息，D律师平台对此公开展示属于对公开信息的合理使用，符合小李公开信息的目的和预期。四，D律师平台已彻底删除案涉信息，未造成小李任何损失。
争 议 焦 点
一、小李的个人信息权益是否遭受侵害；
二、D律师平台应否承担侵权责任。
裁 判 结 果
广州互联网法院判决：
一、D公司于本判决发生法律效力之日起十日内，通过D律师平台发布致歉声明，就违法处理小李个人信息事宜向小李公开赔礼道歉，道歉内容须事先经法院审核，保留天数不少于60日；
二、D公司向小李赔偿损失800元；
三、驳回小李的其他诉讼请求。
二审判决：驳回上诉，维持原判。本案判决已发生法律效力。裁 判 理 由
小李律师执业信息属于个人信息，对小李律师执业信息的处理活动适用《中华人民共和国个人信息保护法》的规定
《中华人民共和国个人信息保护法》第四条第一款规定：“个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。”
小李主张的个人信息范围包括姓名、照片、职业、执业地区、执业机构、执业律师证编码等。前述信息以电子数据形式记录，最初由小李在注册某法律咨询平台的律师账号时向W公司提供，再由W公司提供给D公司处理，并展示于D律师平台。于W公司、D公司而言，属于已识别的小李个人信息；于一般公众而言，可根据前述信息识别到小李，因此，前述信息属于小李个人信息。
对于“个人经营信息”不应予以个人信息保护的抗辩理由。首先，从法律对个人信息的定义可知，只有匿名化处理后的信息不属于个人信息，并未将“个人经营信息”排除在个人信息之外。其次，保护个人信息权益既包括保护个人对其个人信息的处理享有的知情权、决定权，也包括保护个人向个人信息处理者查阅、复制、更正、补充、删除其个人信息的权利；法律保障前述权利的行使本质上是对人格尊严的保护。规范个人信息处理活动，主要是对个人信息处理者处理个人信息是否符合个人信息处理规则的审查，对“个人经营信息”的处理亦应符合《中华人民共和国个人信息保护法》有关个人信息处理规则的规定。最后，小李认为D律师平台未经同意存储、使用、公开其个人信息构成侵权，实为主张D律师平台侵害了小李对其个人信息的自主决定权。尽管被处理的个人信息体现了小李的执业律师身份及执业活动，但仍然属于小李的个人信息，D律师平台对小李个人信息的处理亦应符合《中华人民共和国个人信息保护法》有关个人信息处理规则的规定。
2D律师平台存在违法处理小李个人信息的行为
一、D律师平台并非受托处理小李个人信息，系个人信息处理者
根据《中华人民共和国个人信息保护法》第二十一条、第七十三条第一项的规定，个人信息处理者与个人信息受托处理者虽然均实施了个人信息处理活动，但受托人系按照个人信息处理者的要求进行个人信息处理活动，处理的目的、期限、方式、个人信息种类等均由个人信息处理者决定，并由个人信息处理者对外承担责任。对其处理的个人信息能否自主决定，是判断是否受托处理个人信息的关键。
本案中，D律师平台并无律师注册用户，小李执业信息由某法律咨询平台通过线上API接口的方式推送给D律师平台并在相应页面展示，对此，D公司提交有《合作协议》等作为证明材料。根据前述法律规定，是否成立处理个人信息的委托合同关系，应从合同签订形式、合同具体内容、个人信息处理情况等方面予以审查。
从合同的签订形式来看《合作协议》由D公司的关联企业d技术公司签订，D公司并非《合作协议》签订主体，协议中未有关于D公司权利义务的约定。也无证据显示D公司与W公司就个人信息委托处理进行过约定。
从合同约定的具体内容来看
主要为某法律咨询平台的律师信息在D律师平台进行推广，某法律咨询平台律师需回复D律师平台用户咨询等事宜。未见合同关于委托处理目的、处理方式、个人信息的种类、保护措施及监督等内容进行约定。
从个人信息处理情况来看
某法律咨询平台与D律师平台均为提供律师咨询服务的网络平台，而D律师平台并无律师注册用户，合同有关“某法律咨询平台律师在D律师平台展示其信息期间可以回复D律师平台用户咨询”等内容，本质上是为了D律师平台使用某法律咨询平台律师信息对外提供服务，而非推广某法律咨询平台律师信息的目的。合同约定通过线上API接口推送律师信息，是为了实现合作合同的目的，而非基于为某法律咨询平台处理个人信息的目的。
因此，D公司系自主决定使用小李律师信息为D律师平台用户提供法律咨询服务，而非个人信息受托处理者。二、D律师平台处理小李个人信息未取得小李同意，属于违法处理小李个人信息
第一，D公司处理小李个人信息应当取得小李个人同意。适用《中华人民共和国个人信息保护法》第十三条第一款第六项规定须同时满足以下条件：一是被处理的信息属于合法公开的小李个人信息；二是在合理的范围内进行处理；三是不存在《中华人民共和国个人信息保护法》第二十七条规定的除外情形。
本案中，小李的执业信息属于广州市律师协会网站、全国律师诚信信息公示平台上可公开查询的信息，属于上述法律规定的公开个人信息。但是，D律师平台并非直接从前述网站上收集小李执业信息，而是由某法律咨询平台提供，可见D律师平台使用小李执业信息，并非基于该信息的公开性，而是基于小李系某法律咨询平台的注册律师用户，能够为D律师平台内的用户提供法律咨询服务，从而获取收益的目的。于小李而言，并非必须通过D律师平台进行推广，其有权选择合作的网络服务提供者，亦有权知晓接受其法律服务的用户真实情况。因此，D公司仅基于D律师平台经营的需要处理小李执业信息，不属于上述法律规定的“合理范围”。相反，前述处理活动还可能对小李的名誉、财产权益带来不合理的风险，故属于《中华人民共和国个人信息保护法》第二十七条规定“对个人权益有重大影响”的情形，应当取得小李同意。
第二，D公司处理小李个人信息未取得小李同意，属于违法处理小李个人信息。小李并非D律师平台用户，未通过阅读并同意《服务协议》《隐私政策》的方式授权D公司处理其个人信息。从某法律咨询平台《律师用户服务协议》及《隐私政策》的约定来看，虽然提示有“会与供应商、服务提供商或其他合作伙伴共享用户的部分个人信息”等内容，但根据《中华人民共和国个人信息保护法》第二十三条的规定，个人信息处理者向其他个人信息处理者提供其处理的个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。本案中，亦无证据显示W公司将D公司处理小李个人信息的情况告知小李并取得其同意。
D公司应如何承担民事责任
一、关于删除小李个人信息
D律师平台未经小李同意处理其个人信息，侵害了小李个人信息权益，小李有权请求D公司停止侵害，即删除其违法处理的小李个人信息。小李非D律师平台用户，但有权根据《中华人民共和国民法典》第九百九十五条、第一千零三十七条第二款的规定请求D公司删除其个人信息。
参考国家标准GB/T35273-2020《信息安全技术个人信息安全规范》第3.10条的规定可知，“删除”是指在实现日常业务功能所涉及的系统中去除个人信息的行为，使其保持不可检索与访问的状态。根据D律师平台的服务内容可知，D公司对小李个人信息的处理活动主要为使用（平台展示）、存储等。本案审理过程中，D公司提交的可信时间戳认证录屏显示，D律师平台未检索到小李案涉执业信息；《公证书》亦载明，D公司数据库管理终端页面输入包含“select*”“144xxxxxx21”的命令，查询到数据库中对应的信息显示“Empty set”字样。因前述执业证编号具有唯一性，再结合D律师平台检索情况，可以认定D公司已技术上删除小李案涉个人信息。
二、关于赔礼道歉
赔礼道歉作为民事责任的承担方式，旨在弥补受害人的精神痛苦。个人信息权益属于人格权范畴，小李个人信息权益因D公司的违法行为遭受侵害，该行为给小李带来精神痛苦，现小李主张由D公司向其赔礼道歉，有事实和法律依据，应予支持。
三、关于赔偿损失
根据《中华人民共和国个人信息保护法》第六十九条的规定，处理个人信息侵害个人信息权益并造成损害，是个人信息处理者承担损害赔偿责任的前提，损害包括财产损害与精神损害两个方面。因小李并未主张精神损害赔偿，故法院仅对小李有关财产损失的主张进行审查。
本案中，小李主张赔偿损失20万元，具体包括如下内容：
第一，D公司非法处理小李个人信息，诱导用户咨询，将用户咨询转接给其他律师，因律师服务存在差异，容易导致用户对小李的专业水平、职业能力等评价降低。第二，D律师平台展示的小李执业机构与事实不符，由此带来可能被行政主管部门处罚的风险。第三，D律师平台使用小李执业信息，使得D律师平台用户对小李专业能力的信赖登录、访问D律师平台，由此带来流量利益。第四，D律师平台为其他律师平台引流，从而减少小李的交易机会。
对此，首先，D律师平台显示有答复律师的姓名，用户查看回复情况时并不会产生系小李进行咨询回复的误认，进而不会对小李的执业形象产生不良影响。其次，D律师平台展示的执业机构信息与事实不符，源于某法律咨询平台的信息未更正，无证据显示该错误系由D公司造成。小李作为某法律咨询平台注册用户，在其执业机构发生变化时，亦有义务及时更新相关信息。况且，是否违反律师执业相关规定，属于对小李执业行为的审查，与D律师平台的信息展示是否错误无关。再者，小李自述不同意D律师平台为其进行推广，便无从期待利用D律师平台的用户资源获得交易机会，且该交易机会具有不确定性，小李据此主张财产损害赔偿，缺乏充分依据。
值得注意的是，因个人信息遭受侵害而进行维权的案件中，受害人往往难以证明具体的财产损失。本案中，D律师平台使用小李执业信息向其平台用户提供网络服务，确会因用户访问、注册等行为带来商业利益，但D律师平台存在大量执业律师信息，因处理小李个人信息获得的利益难以确定。另一方面，D律师平台推广小李执业信息，一定程度上扩大了小李执业信息的传播范围，提升了小李的知名度，同时也为小李带来了潜在的商业利益，难谓存在现实的财产损失。本案需考量的是，信息主体能否仅就侵害其个人信息自主决定权的行为，向个人信息处理者主张赔偿。
个人信息的自主决定权，是个人信息权益的基础性权利，也是个人信息保护的核心。法律保障个人对其个人信息查阅、复制、删除等权利的行使，其实质也是保护个人对其个人信息的自主决定权。因此，侵害个人信息自主决定权的行为本身具有违法性，由此带来的风险是客观存在的，对信息主体的损害也是客观存在的。
此外，个人信息于个人信息处理者而言具有商业价值，能够为其带来商业利益。如仅从信息主体现有财产或可得利益的减少来考察个人信息权益的财产损失，难以实现保障个人信息权益和规制个人信息处理活动的立法目的。因此，本案判决D公司就其侵害小李个人信息权益的行为承担损害赔偿责任，彰显了对人格权的保护。
根据《中华人民共和国个人信息保护法》第六十九条第二款、《中华人民共和国民法典》第九百九十八条的规定，侵害个人信息的损害赔偿数额，应根据侵害的个人信息类型作区分，综合行为的危害后果、处理目的、主观过错程度、是否采取补救措施、信息主体预防风险支出的成本等因素予以认定。
第一，D公司违法处理的小李个人信息均系执业信息，属于公开可查询的信息；小李用作微信头像的面部信息虽系敏感个人信息，但系小李自行公开并用于推广的信息，故侵害该部分个人信息的危害性较小。第二，D公司处理小李个人信息的目的是为其进行推广，推广行为本身并非不良目的，也未造成严重不良后果。第三，小李提起本案诉讼后，D公司已自行删除小李个人信息，可见D公司实施侵权行为的主观恶性较小。第四，D公司使用小李执业信息确会带来D律师平台用户访问量的增加，也应看到信息主体为预防风险支出的成本。故结合前述理由，酌情确定由D公司向小李赔偿损失800元。
法 官 说 法
法官 袁玥
《中华人民共和国个人信息保护法》第三条第一款、第四条、第十三条第一款第六项、第二十一条、第二十三条、第二十七条、第六十九条、第七十三条第一项。
通讯员 | 陈斯杰
责编 | 刘梦薇
编辑 | 许晓琪
更多精彩不容错过！