我国消费者个人信息保护实证研究——以典型司法判例为视角

●赵淑钰



我国消费者个人信息保护实证研究
——以典型司法判例为视角

●赵淑钰

在“互联网+”和大数据的时代背景之下，经营者开发利用消费者个人数据的程度越来越高，由此造成的侵犯消费者个人信息的情形也愈加多发。面对实践中存在的问题，本文从消费者个人信息保护典型司法判例的视角，研究司法实践中对于消费者个人信息保护案件的处理情况，以期为我国消费者个人信息司法保护的有效开展以及法律制度的完善提供参考。

一、消费者个人信息保护法律依据

新《消费者权益保护法》以下简称《消法》明确了经营者保护消费者个人信息的义务，并针对侵害消费者个人信息的行为规定了相应的民事、行政和刑事法律责任。由于我国目前尚未制定专门的个人信息保护法，有关个人信息保护的规定散见于多部法律法规之中①截至2016年1月，共有10部法律，6部行政法规，12件司法解释提及对“个人信息”的保护。。司法机关在处理有关消费者个人信息侵权案件时，除依据新消法外，还需要参照其他法律法规中有关公民个人信息保护的规定。鉴于新《消法》未涉及“消费者个人信息”的具体内容，国家工商总局于2015年1月5日发布的《侵害消费者权益行为处罚办法》第11条对“消费者个人信息”的定义进行了明确的规定②《侵害消费者权益行为处罚办法》第11条规定：“经营者在提供商品或者服务活动中收集的消费者姓名、性别、职业、出生日期、身份证件号码、住址、联系方式、收入和财产状况、健康状况、消费情况等能够单独或者与其他信息结合识别消费者的信息”。，对于行政执法和审判工作起到了重要的指导作用。

二、消费者个人信息保护典型案例

由于新《消法》实施时间较短，法律规定的原则性强，实践中消费者取证难、维权成本高等原因，目前以侵犯消费者个人信息为由提起的诉讼案件数量仍十分有限。但我国司法审判实践对于消费者“隐私权”的保护由来已久，其中的典型案件对于司法机关处理消费者个人信息保护类案件具有重要的借鉴意义。

（一）经营者非法收集、使用用户个人信息

在互联互通的信息时代，几乎每个人都会使用网络服务提供商提供的服务。在使用这些服务时用户的信息等也会被互联网企业记录并利用。在2013年央视“3·15”晚会上就曝光了易传媒等多家网络广告公司利用浏览器Cookie数据跟踪用户的事件。“朱烨起诉百度公司侵犯隐私权案”被称为“Cookie 隐私第一案”。网民朱烨上网时利用百度搜索引擎搜索“减肥”、“丰胸”、“人工流产”等关键词后，在一些网站上就会相应地出现减肥、丰胸、人工流产的广告。朱烨认为百度公司记录和跟踪了其搜索的关键词，将其个人隐私信息显露在相关网站上并进行定向广告投放，侵犯了个人的隐私权、知情权和选择权，以百度公司侵犯其隐私权为由提起诉讼。

南京市鼓楼区法院一审认为③参见（2013）宁民辖终字第238号判决书。，隐私权是自然人享有的私人生活安宁与私人信息依法受到保护的权利。百度公司未经原告同意通过Cookie技术收集并利用这些信息侵害了用户的权益。百度公司对该判决不服提起上诉。南京市中级法院经审理认为④参见（2014）宁民终字第5028号判决书。，百度公司收集、利用的是未能与网络用户个人身份对应识别的数据信息，百度公司并未将这些信息向第三方公开，且无法证明百度公司的行为对朱烨构成实质性损害，因此不构成对其隐私权的侵犯。

一审判决侵权成立，加大了对于网络服务提供商收集、利用用户个人数据的限制，降低了用户维权的举证难度。但该判决结果却未能适应当今数据开发的时代背景，会限制以百度为代表的互联网服务提供商的业务开展。二审法院最终判决百度公司的行为不构成对朱烨隐私权的侵犯，要求用户对侵权事实承担主要的证明责任，这在一定程度上打击了消费者在网络空间维护个人信息的信心。虽存在争议，但南京市中级法院的二审判决结果表明了当前司法机关处理此类案件的立场，即在此类案件中，消费者需要承担严格的证明责任，包括必须证明涉案信息能识别个人身份，网络服务提供者未尽到事先告知义务，且其行为确实对用户造成实质性的损害结果。

（二）经营者泄漏、非法披露消费者个人信息

经营者泄露、非法披露消费者的个人信息是社会生活给消费者个人信息的保护造成最大困扰的侵权案件类型。在实践中，多数消费者常常因信息泄漏渠道难寻、损害结果轻微、维权周期长而选择了“忍气吞声”。少数消费者能够通过法律渠道维护自己的权益，却仍需承担主要的证明责任。

1.孙伟国诉上海联通侵犯隐私权案⑤参见（2009）浦民一（民）初字第9737号判决书。

上海联通与新国信上海分公司是两个独立的公司，客服部门却是一批人马两块牌子。上海联通将其在电信服务过程中获悉的孙伟国的个人资料提供给了新国信上海分公司，后新国信上海分公司向孙伟国发出载有其个人信息的商业保险广告。孙伟国认为上海联通非法将其个人信息披露给第三人，构成对其隐私权的侵犯，因而提起诉讼。

浦东新区法院经审理认为，自然人享有保持私人生活安宁且不受他人非法干扰的权利。上海联通对在业务过程中获取的孙伟国的个人信息负有保密义务，未经许可不得披露给第三人。上海联通的行为构成了对孙伟国隐私权的侵犯，判决向孙伟国书面赔礼道歉。

（3）案件简析

由此案可以看出在我国目前的司法实践中，消费者已经迈出了隐私、个人信息维权的步伐，但由于实践经验不足、法律规定可操作性有限、举证困难、损害结果难以证明等原因，消费者的维权之路仍然困难重重。孙伟国的维权成功具有一定的偶然性。因上海联通与新国信上海分公司使用同一个客服号码，方便了孙伟国对于泄漏渠道唯一性的举证。而在更多的案件中，消费者往往会因无法证明信息泄漏渠道而维权失败。除此之外，由于《侵权责任法》规定只有在引起“严重精神损害”时才可以请求精神损害赔偿，因而本案中孙伟国的精神损害赔偿请求并未获得支持。虽然个人信息的泄漏给消费者的正常生活带来诸多不便，甚至造成严重的心理压力，但在大多数侵犯消费者隐私案件中，精神损害赔偿都无法得到支持。

2.王金龙诉汉庭酒店侵犯隐私权案⑥参见（2014）浦民一（民）初字第501号判决书。

王金龙于2012年入住汉庭快捷酒店，后互联网上爆出2000万条酒店客户开房记录的数据包以及开房记录查询网站，王金龙在其中发现了自己的开房信息，其本人也因此遭受了推销广告、短信骚扰。王金龙认为汉庭酒店未尽到安全保障义务导致个人信息泄露，构成对其隐私权的侵犯，向法院提起诉讼。

浦东新区法院经审理认为，网上流传的“2000万开房信息”与汉庭酒店管理系统中留存的原告信息相比在入住时间、手机号码、住址等关键信息上并不相同。而这些基础信息扩散渠道也并不具有单一性和唯一性，无法判定即为汉庭酒店泄漏的原告的个人信息。因此对于王金龙主张的事实不予采信。

在本案中，证明信息泄漏渠道的唯一性成为原告维权的最大难题。司法机关在审理此类案件时一般要求消费者在以下几个方面承担证明责任：第一，应证明泄露的信息与其提供给经营者的信息一致；第二，应有充分证据证明该信息泄露渠道的唯一性、排他性，即没有从其他渠道泄露的可能；第三，消费者应证明其确因个人信息的泄露而遭受实质性损害。在市场多样化以及信息社会的大背景之下，消费者在很多消费场合需要提供个人信息，而信息一旦从一方泄漏即有可能快速的、在更大范围上传播。消费者在资金、技术、人力等方面资源有限，往往无力承担上述三个方面的举证责任，这也是目前侵权案件多发而维权不足的最主要原因。

（三）经营者未经同意向消费者发送商业广告

经营者未经消费者同意，通过电话、短信、微信等方式向消费者发送商业广告的现象在现实生活中十分常见，扰乱了消费者个人生活安宁，给消费者带来很大困扰。在“李枚加诉乐山电信侵犯健康权、隐私权、财产权案”中⑦参见（2013）乐民终字第1109号判决书。，乐山电信利用其在业务办理过程中获取的李枚加的姓名、手机号等信息，通过其客服号码向李枚加发送多条短信，内容涉及推销手机以及手机卖场开业等内容。李枚加向法院起诉，请求判决乐山电信侵犯其健康权、隐私权和财产权。

法院经审理认为，隐私权包括个人生活宁静权、个人活动的自由权、私有领域不受侵犯权及个人隐私利用权。短信的发送不需要用户的许可，但短信的接收（铃声或震动）却会影响用户的正常工作和生活，而且不及时删除短信息会导致信箱装满，影响短信的正常收发。因此乐山电信的行为构成了对李枚加隐私权的侵害。

《侵权责任法》虽规定了对于“隐私权”的保护，但对于“隐私权”的具体内容却未有涉及。在司法实践中，不同法院对于“隐私权”的认定也各不相同。本案中一审法院对于隐私权内涵的界定具有重要的借鉴意义。其认为“隐私权”不仅包括对个人隐私的利用权还包括个人生活宁静权、个人活动的自由权和私有领域不受侵犯权。这一定义对于司法机关处理经营者侵犯消费者隐私、干扰消费者私人生活的案件提供了参考，也提高了广大消费者在面对此种情况时积极维权的信心。

（四）经营者对消费者个人信息的保护义务

新《消法》的规定经营者对于消费者的个人信息负有安全保护的义务，在发生或可能发生泄露、丢失的情况时应当采取补救措施。但并未规定未及时采取补救措施时经营者应当承担的责任，《侵害消费者权益行为处罚办法》对此也未有提及。相较于经营者非法收集、使用以及泄露、非法披露消费者个人信息类案件，证明经营者未尽安全保护义务对于消费者而言更加困难，因此目前以此为由提起的诉讼案件并不多见。

在“闫某诉新浪、百度侵犯名誉权、隐私权案”⑧参见《闫某与北京新浪互联信息服务有限公司、北京百度网讯科技有限公司侵犯名誉权、隐私权纠纷案》，载中国法院网（http:// www.chinacourt.org/article/detail/2014/10/id/1456192.shtml ），2016年2月25日访问。中，闫某认为某新浪博客博主发表的文章涉及闫某个人隐私，先后向新浪和百度两家公司发出律师函要求采取必要措施，百度公司及时采取了断开链接、删除等措施而新浪公司并未采取相应措施。

北京市海淀区法院经审理认为，新浪公司未能举证证明接到原告通知后采取了必要措施，应承担侵权责任，而百度公司有证据证明其采取了必要措施而不承担侵权责任。

此案中的涉案信息虽不属于经营者在提供商品或服务的过程中获取的消费者的个人信息，但因同样涉及消费者隐私而对于此类案件今后的审理具有借鉴意义。从该案的审理结果来看，海淀区法院认为在发生或可能发生消费者隐私泄漏的情形下，服务提供商应对其是否采取了补救措施承担举证责任。这一判决结果能够强化网络服务提供商保护用户隐私的责任意识，也减轻了用户的举证压力，对于在言论自由的网络空间维护用户的隐私权利具有重要意义。

三、总结

目前侵害消费者个人信息的行为大都利用互联网进行，方式具有较强的虚拟性、技术性和隐蔽性，不仅消费者自身维权困难，执法工作人员也遭遇了取证难、处罚难的问题。法律制度构建不完善、行政执法经验不足、案情的复杂多样导致司法机关在审理过程中面临多重障碍。由于此类案件往往涉及的利益群体范围广泛，在社会中易引起共鸣和关注，因此司法机关在处理此类案件时更应坚持审慎的原则，在理解立法目的与原则的基础上，结合当前政策充分论证，争取实现消费者权益保护与数据有效开发利用的平衡。在案件审理中，司法机关应更加关注以下几个方面的问题：

第一，有关个人信息的认定。司法机关应主要参照《侵害消费者权益处罚办法》及《电信和互联网用户个人信息保护规定》中有关“个人信息”的界定。在“个人信息”的认定时注意其四个方面的特征：（1）承载个体特征，能够识别出特定的个人身份；（2）消费者不愿为社会公众所知悉；（3）其泄露会导致消费者的权利处于可能被侵害的状态；（4）有关消费者的隐私、个人安全与社会生活平稳。

第二，有关举证责任的配置。根据已有的司法案例，在经营者泄露、非法披露消费者个人信息案件中，消费者应当承担三个方面的证明责任：（1）向经营者提供了个人信息，且与涉案信息一致；（2）经营者实施了泄露或非法披露行为，或没有从其他渠道泄露的可能；（3）消费者遭受了实质损害。在经营者非法发送商业广告案件中，消费者承担三个方面的证明责任：（1）接收到了经营者发送的商业广告；（2）事先未经消费者允许；（3）发送商业广告行为对消费者造成了实质损害。在经营者未尽安全保护义务案件中，经营者需对自己已尽安全保护义务承担举证责任。

第三，有关损害赔偿的认定。在侵犯消费者个人信息案件中，一般涉及的是消费者的人身权而非财产权，因而损害认定较困难。而消费者举证能力十分有限，因此目前为止，经营者因侵害消费者个人信息、隐私权而承担实际物质损害赔偿的案件较少。在精神损害赔偿方面，由于需要证明造成“严重精神损害”后果，因而消费者的请求一般无法获得支持。

（作者单位：中国社会科学院研究生院）

责任编校：王磊