处罚案例 | 北京互联网法院个人信息保护典型案例（上）

点击蓝字 关注我们

在《中华人民共和国个人信息保护法》施行两周年之际，北京互联网法院发布一批个人信息保护典型案例。

01

黄某与深圳某计算机公司等隐私权、个人信息保护纠纷案

——关联产品间共享用户数据应获有效同意

裁

判

要

点

个人信息处理者在一个服务平台获得处理个人信息的同意，未真实、准确、完整告知个人信息主体将个人信息提供给关联产品的，不应认定个人信息处理者获得了在关联产品中处理个人信息的有效同意。

基

本

案

情

原告黄某在通过某社交软件账号登录某读书软件时发现，在原告没有进行任何添加关注操作的情况下，原告在读书软件中“我关注的”和“关注我的”页面下出现了大量原告的社交软件好友。此外，无论是否在读书软件中添加关注关系，原告与共同使用读书软件的社交软件好友也能够相互查看对方的书架、正在阅读的读物、读书想法等。

原告认为，读书软件及社交软件运营者的上述行为侵犯了原告的隐私权和个人信息权益，深圳某计算机公司作为读书软件及社交软件的开发、运营方，应当承担相应的侵权责任。原告请求法院判令社交软件、读书软件的开发者、运营者深圳某计算机公司等停止其侵权行为，解除读书软件中的关注关系、删除好友数据、停止展示读书记录等，并向原告赔礼道歉。被告认为，读书软件没有为原告自动添加好友，获得原告的社交软件好友关系数据、向原告共同使用读书软件的社交软件好友展示读书信息，均在用户协议中有约定，经过了原告的授权同意。

裁

判

结

果

法院经审理认为，《网络安全法》明确了网络运营者收集使用个人信息，应符合合法、正当、必要原则，并经被收集者同意。知情及同意不仅包括信息主体对收集信息种类的知情，还包括对收集、使用的目的、方式和范围的知情及同意，且应充分、自愿、明确。本案认为，虽然社交软件与读书软件均由深圳某计算机公司运营，但同一信息处理者在关联产品中共享个人信息，需要个人信息主体在充分知情的前提下，自愿、明确同意该处理方式。同时，读书信息中可能包括用户不愿意向他人公开的信息，且深圳某计算机公司处理的方式对用户人格权益有较大影响，因此，仅以用户概括性地同意用户协议，不能认定深圳某计算机公司充分履行了告知和获得用户同意的义务。法院判决停止侵权、删除个人信息、赔礼道歉和赔偿维权费用。

一审裁判作出后，当事人均未上诉，判决已发生法律效力。

典

型

意

义

本案是全国首例手机阅读软件侵害用户个人信息权益的典型案件。本案裁判发生在民法典颁布后实施前、个人信息保护法正在制定的背景下，当时的法律规范明确了收集、使用个人信息应遵循合法、正当、必要原则，应征得用户同意。但是，如何在实践中具体适用合法、正当、必要原则，怎样才是征得用户有效的同意，缺乏更明确具体的规定。本案提出了信息处理知情同意的“透明度”标准，即信息主体在合理预期下对处理方式、目的的知晓程度及自主决定的程度，知情同意应该充分、自愿、明确，这也与之后颁布的《个人信息保护法》中所规定的“个人信息处理者应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知”个人信息的相关处理事项的精神一致,为后续类案裁判提供了实务经验。本案入选十三届全国人民代表大会第四次会议上最高人民法院所作的工作报告，入选中国消费者协会评选的 2019-2020 十大消费维权典型司法案例。

02

孙某某与北京某网讯公司、第三人北京某互联网公司人格权纠纷案

——搜索引擎服务提供者处理公开个人信息“通知删除”规则的适用

裁

判

要

点

信息后续处理者利用的公开信息是否属于民法典第1036 条第（2）项规定的合法公开信息，应以信息初始收集者是否具有征得自然人授权同意等合法来源为判断标准；信息初始收集者缺乏合法来源，即使个人信息在客观上已被公开，仍不能被认定为合法公开信息。网络服务提供者提供全网通用数据搜索引擎服务，作为信息后续利用者难以直接预见其爬取的信息为未征得自然人授权公开的个人信息，应适用民法典第 1195 条“通知删除”等规则判定其是否承担侵权责任。

基

本

案

情

原告孙某某诉称，其在北京某网讯公司主办的网站搜索姓名“孙某某”关键词，发现北京某网讯公司网站非法收录并置顶了其在校友录网站上传的个人账户头像，即个人证件照。2018 年 10 月 23 日，原告向北京某网讯公司网站发出通知要求其删除证件照，但未获任何回复。原告认为，涉案照片及其与孙某某姓名的关联关系涉及个人隐私、个人信息，在校友录网站图片源地址已关闭的情况下，北京某网讯公司上述行为构成侵权。故诉至法院，要求判令北京某网讯公司赔偿经济损失 1 元和维权费用 40元。北京某网讯公司辩称，涉案照片存储于可正常浏览的第三方公开网页，其只是基于搜索功能实施了正常合法的抓取行为。

裁

判

结

果

法院经审理认为，在通知删除前，北京某网讯公司作为网络技术服务提供者是否存在主观过错，应结合是否进行人工编辑整理、应具备的信息管理能力、涉案信息侵权类型和明显程度、涉案信息社会影响程度以及是否采取了预防侵权的合理措施等因素综合进行判定：涉案信息不属于明显侵权或者极具可能引发侵权风险的信息，作为一般个人信息，存在权利人愿意积极公开、一定范围公开或不愿公开等多种可能的情形，为鼓励网络信息的利用和流通，对于网络公开的一般个人信息，应推定权利人同意公开，故北京某网讯公司在接到权利人的通知前，难以预见涉案信息是未经授权公开的信息。北京某网讯公司对涉案信息不存在明知或应知的主观过错，不构成对原告个人信息权益的侵害。通知删除后，网络服务提供者应及时采取必要措施，遏制侵权行为的扩大。在收到删除通知后，北京某网讯公司在其有能力采取相匹配必要措施的情况下，未给予任何回复，其怠于采取措施的行为，导致涉案侵权损失的进一步扩大，构成对原告个人信息权益的侵害，本院对原告要求赔偿损失的诉讼请求予以全额支持。

一审裁判作出后，当事人均未上诉，判决已发生法律效力。

典

型

意

义

本案为民法典出台背景下首例涉及公开个人信息侵权认定的案件，涉及公开个人信息再利用的行为规则，以及个人信息初始收集者、后续信息利用者等信息处理节点主体的责任认定，及时回应了数字经济时代下数据利用的热点问题。本案裁判平衡了个人信息保护和公开数据利用的关系，对公开个人信息权属确定和侵权认定的裁判规则进行了有益探索。一方面，可通过落实信息后续利用者对信息来源授权范围的核查义务，加强对个人信息的全流程动态保护；另一方面，通过引入网络服务提供者“避风港”规则的过错责任调节阀，对某些中立的技术行为进行豁免，通过利益衡量维持权益保护和数据利用的适度平衡。此案判决为个人信息提供精准保护，为数据行业健康发展提供了前瞻性的指引，被誉为“通知删除”规则在个人信息权保护领域适用的典范。

03

罗某与深圳某科技公司个人信息保护纠纷案

——APP登录界面收集用户画像信息未设置拒绝选项侵害用户个人信息权益

裁

判

要

点

信息处理者收集用户画像信息用于个性化信息推送，并非用于网络服务的基础服务功能或用户在有选择基础上自主选择的附加功能，不属于个人信息保护法第 13 条第 1款第（2）项规定的订立、履行合同所必需，应征得个人的同意。信息处理者在网络登录注册界面收集用户画像信息，未提供用户“跳过”“拒绝”等不同意提交相关信息情况下的登录方式，属于强迫或变相强迫用户作出同意，该收集、处理个人信息的行为因未取得有效同意构成侵权。

基

本

案

情

原告罗某诉称，被告深圳某科技公司作为某 APP 运营者在未告知隐私政策的情况下，要求用户必须填写“姓名”“职业”“学习目的”“英语水平”等内容才能完成登录，属于强制收集用户画像信息。故诉至法院，要求法院判令被告向原告提供原告的个人信息副本、停止侵权、删除个人信息、赔礼道歉并赔偿损失。被告辩称，根据被告服务的性质，需根据不同用户需求，为用户推荐合适的服务内容，因此，收集相关标签是提供服务所必须，并未违反个人信息收集的必要性原则。经审理查明，原告在登录涉案网站和 APP 时，需填写个人基本信息和用户画像信息，上述过程中并无“跳过”“拒绝”等选项，亦无关于同意收集个人信息的提示。

裁

判

结

果

法院经审理认为，根据已查明的事实，由于被告在未经原告允许的情况下为原告配置了账户和密码，导致原告登录被告网站和软件时与一般用户注册界面不同，未经过勾选个人信息相关知情同意的步骤，直接进入登录页面，因此，被告在原告登录过程中收集用户画像信息，未事先征得原告同意。在此基础上，原告主张，即使勾选了同意界面，被告在登录环节强制收集非必要信息，仍构成侵权。本案中，涉案软件在用户首次登陆界面要求用户提交职业类型、学龄阶段、英语水平等相关信息，未设置“跳过”“拒绝”等不同意提交相关信息情况下的登录方式，使得提交相关信息成为成功登录、进入到功能使用首页的唯一方式。此种同意或对个人信息的提供，是在信息主体不自由或不自愿的情况下，强迫或变相强迫地作出，不能被认定为有效同意。因此，在首次登录页面设置相关个人信息收集界面，未提供跳过或拒绝等选项，属于对原告个人信息的强制收集，不产生获取有效授权同意的效力。综上，被告未事先征得原告有效同意，在涉案两款产品中强制收集原告职业、学龄阶段、英语水平、学习目的等用户画像信息的行为构成侵权。法院判决被告向原告提供个人信息副本、停止侵权、删除个人信息、赔礼道歉并赔偿损失 2900 元。

一审判决作出后，原告提起上诉，北京市第四中级人民法院经审理后，维持原判。

典

型

意

义

本案为全国首例适用民法典裁判的 APP 强制收集用户画像信息侵权案，具有广泛的社会影响力和关注度。本案明确了其收集和处理中两个基本问题的重要规则。一是是否需要获取用户同意，二是如何认定“有效同意”。法院的判决为用户画像的产业应用确立明确的法律规则适用标准，能够为包括用户画像在内的个人信息处理行为提供清晰的指引，有助于数字经济产业规范、有序、健康发展。此案入选第十四届全国人民代表大会第二次会议上最高人民法院所做的工作报告、2022 年度全国消费维权十大提名案例。

04

张某与北京某信息服务公司个人信息保护纠纷案

——个人信息处理者可以依据其信息存储形式和能力选择合理的信息提供方式

裁

判

要

点

权利人主张的个人信息中包含有他人的个人信息，即在同一组数据上承载了多主体的个人信息利益的情形下，当事人主张查阅复制权应符合以下条件：一是以保障查阅复制权为原则；二是遵守诚实信用原则，查阅、复制的主体应对个人信息享有合法合理利益；三是不应侵害其他主体合法权益，并尽可能对其他个人信息主体影响较小。对个人信息查阅复制的方式，可根据个人信息的种类、储存方式、复制成本等多方面的因素综合考虑。

基

本

案

情

原告张某为了解账号使用情况，要求被告视频平台的运营者北京某信息服务公司将其自注册以来所有的浏览记录以可编辑的 xlsx 文件形式发送至指定邮箱，包括所浏览的视频名称、发布时间、播放量、发布者账号名称以及原告观看该视频的具体时间等。被告表示，用户可通过“观看历史”和“反馈与帮助”等功能自主查阅、复制个人信息，同时视频名称、发布者账号名称等既属于原告的个人信息，又是视频发布者的个人信息，为避免侵害视频发布者的个人信息权益，被告采取提供播放链接的方式向原告提供。原告对该提供形式不予认可，将被告起诉到法院。

裁

判

结

果

法院经审理认为，个人对于其在网络活动中的浏览记录可以向网络服务提供者申请查阅复制，但在某信息同属于多主体个人信息的情况下，应充分进行利益衡量，遵循以下原则：一是查阅、复制的主体应对个人信息享有合法合理利益。二是不应侵害其他主体合法权利，并尽可能对其他个人信息主体影响较小。关于个人信息处理者履行相关义务的方式，在不对个人查阅复制权行使造成障碍的情况下，个人信息处理者可依据其信息存储形式、存储能力、查阅复制成本等，自行选择合理的提供信息的方式。一审开庭前，被告以表格加链接的形式提供了原告所需个人信息，法院对此予以认可，驳回原告诉讼请求。

一审判决作出后，原告提起上诉，北京市第四中级人民法院经审理后，维持原判。

典

型

意

义

本案从多方面对个人信息相关权利的行使作出了积极、有益的探索。一是对个人信息处理的诚信原则进行了实践探索，个人在行使个人信息相关权利时，不得滥用权利。二是明确了个人信息查阅复制的对象，其一般限于本人的个人信息，如相关信息和他人信息不可分割，则不应侵害其他个人信息主体合法权利，并尽可能对其他主体影响较小。三是明确了个人信息处理者履行相关义务的方式。只要满足了个人查阅复制其信息的需求，个人信息处理者可以依据其信息存储形式、存储能力，自行选择合理的提供信息的方式。本案是个人信息查阅复制权的典型案例，为未来类似案例的处理提供了可资参考的方案和路径。

来源：北京互联网法院

往

期

推

荐

想了解更多数据安全的管理制度、标准规范、产品服务、认证评估等，可扫码加入「 数据安全备忘录」知识星球，更多精彩内容持续更新中！

现在加入就可以享受立减优惠。

关注【数据安全备忘录】公众号，获取更多行业资讯！

公众号｜数据安全备忘录

个上一篇资料下载 |