《民法典》关于个人信息保护的亮点与适用

王红霞，刘青哲

（1.盐城市盐都区人民检察院，江苏 盐城 224005；2.上海对外经贸大学 法学院，上海 201620）

随着信息化和万物互联的大数据时代的来临，大量的个人信息被收集、利用。个人信息的收集使用使得生活变得更加便利、快捷，但个人信息受侵害的可能性也被加大，保护个人信息变得尤为重要。个人信息被非法收集、利用的现象层出不穷，甚至出现了造成严重人身、财产损失的案件。①比如徐某玉电信诈骗案和清华教授电信诈骗案。民法确立民事权利、民事法律行为、民事责任等，是民事领域的基础性、综合性法律。因此，民法必须回应人民群众在保障人民权益方面的需要，更好地维护人民权益。②参见全国人民代表大会常务委员会副委员长王晨于2020年5月22日在第十三届全国人民代表大会第三次会议上所作的《关于<中华人民共和国民法典（草案）>的说明》。

一、《民法典》对个人信息的首次保护

《中华人民共和国民法典》（以下简称《民法典》）中的一个最重要的创新和最大的亮点是人格权独立成编，强化了对人格尊严的维护，顺应了人格权保护的发展趋势。③王利明：《民法典人格权编的亮点及创新》，《中国法学》2020年第4期，第5页。其中，在《民法典》人格权编中，一个重大创新和亮点是对自然人的个人信息进行了法律保护。

就方法而言，个人信息的法律保护分为公法上的保护和私法上的保护。公法上的保护，是指行政主管机关通过管制性规范对信息处理者收集、使用个人信息的行为进行管理（比如网络安全法等法律中规定的个人信息保护），以及刑法对侵害公民个人信息的犯罪行为进行打击。④程啸：《民法典编纂视野下的个人信息保护》，《中国法学》2019年第4期，第27页。私法上的保护，主要是指通过赋予自然人对个人信息享有相应的民事权益，如果发生了侵犯个人信息的行为，自然人对侵权人提起民事诉讼从而获得相应的救济。公法上的保护着眼于公共秩序，而私法上的保护更凸显对自然人合法权益的维护。《民法典》首次将个人信息作为自然人的民事权益进行了私法上的保护，这对于自然人自身寻求司法救济具有重大意义。

就内容而言，《民法典》规定了个人信息保护的体系框架。《民法典》总则编“民事权利”章第111条规定：“自然人的个人信息受法律保护。……”这是对于个人信息保护的一般性规定，主要具有确权意义。《民法典》人格权编“隐私权和个人信息保护”一章共用六个条文分别规定了个人信息的概念、个人信息处理的原则、免责事由、个人信息决定权、信息处理者信息安全保障义务、国家机关及其工作人员对个人信息的保密义务等内容，主要围绕个人信息的概念与具体保护规则。《民法典》的规定具有概括性，一些细节还需由其他法律进一步细化，但《民法典》为其他关于个人信息保护的立法活动提供了指引方向。目前，提请审议的《个人信息保护法（草案）》（以下简称《个保法（草案）》），对个人信息保护的具体问题进一步细化。

二、《民法典》对个人信息概念的明晰界定

《民法典》对个人信息的内涵进行了明确，将个人信息实质上作了一般个人信息、私密信息、公开信息的分类，同时将个人信息权和隐私权作了区分。

（一）《民法典》对个人信息内涵的明确

在个人信息受侵害情况愈演愈烈的背景下，虽然世界各国纷纷对个人信息的收集与保护进行法律规制，但是各国的立法却始终没有统一个人信息的内涵。美国采取的个人信息保护模式是将个人信息作为隐私的一部分，而对隐私进行“一元化”保护的模式。这主要因为美国“隐私权”的概念十分宽泛，甚至连姓名、名誉、肖像等均被纳入了隐私权的概念之下。①李永军：《论<民法总则>中个人隐私与信息的“二元制”保护及请求权基础》，《浙江工商大学学报》2017年第3期，第11页。德国1976年制定了《联邦数据保护法》，第一次系统地对个人信息进行保护，但是并没有对个人信息、隐私和数据进行明确界分。②刘金瑞：《德国联邦数据保护法2017年版译本及历次修改简介》，《中德法学论坛》2017年第2期，第339页。

在个人信息的应用愈来愈广泛、同时对个人信息的保护愈来愈重要的今天，我国法律也在逐步回应个人信息的概念、利用规则、保护方式等问题，以进一步加强对个人信息收集使用的管理和对公民个人信息的保护。全国人大常委会2012年颁布的《关于加强网络信息保护的决定》首提国家保护个人电子信息，此时立法机关对个人信息仅限定在电子信息形式。③《关于加强网络信息保护的决定》第1条：“国家保护能够识别公民个人身份和涉及公民个人隐私的电子信息。”2017年起施行的《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》和《中华人民共和国网络安全法》对个人信息的概念进行了“定义+列举”式的界定。④《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第1条：“公民个人信息是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。”同是2017年施行的《网络安全法》在第76条第5款中规定：“自然人的个人信息是指以电子或者其他方式记录的，能够单独或者与其他信息结合，识别的自然人个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证号码、个人生物识别信息、住址、电话号码等。”这些条文对个人信息概念的界定基本上是一致的，都包含了个人信息记录形式、可识别性标准、典型个人信息的列举等要素。

《民法典》进一步明确了个人信息的内涵。《民法典》第1034条规定：“个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。”该条文延续了之前法律和司法解释“定义+列举”的模式。“各种信息，包括……等”的表述说明个人信息并不仅仅是该法条所列举的几类信息，而是范畴会随着时代变化而变化的集合。在网络科技日新月异的大数据时代，信息获取技术不断多样化，网络浏览记录、软件使用记录等越来越多的信息会被纳入个人信息保护的范畴。

值得注意的是，《民法典》并没有直接规定“个人信息权”。这主要因为目前关于个人信息是一种民事权利还是一种民事权益仍然存在较大的分歧，立法机关谨慎地使用了“个人信息保护”的表述。①中国审判理论研究会民事审判理论专业委员会：《民法典人格权编条文理解与司法适用》，北京：法律出版社，2020年，第265页。但是不可否认的是，个人信息本质上具备具体人格权的特征，且独立于其他具体人格权，同时在社会实践中保护个人身份信息具有必要性，②杨立新：《个人信息：法益抑或民事权利——对<民法总则>第111条规定的“个人信息”之解读》，《法学论坛》2018年第1期，第38页。因此个人信息应当是一种民事权利。

（二）《民法典》对个人信息的分类

《民法典》对个人信息的保护并不是不加区分的，《民法典》实质上将个人信息分为了三类，即一般个人信息、私密信息、公开信息。③王洪亮：《<民法典>与信息社会——以个人信息为例》，《政法论丛》2020年第4期，第7页，第7页。对于这三类个人信息，《民法典》保护的方式是不同的。

1.一般个人信息。一般个人信息，亦称为个人身份信息、纯粹的个人信息，是指自然人的姓名、出生日期、身份证件号码等不涉及私密性、仅可以识别个人身份的个人信息。《民法典》中并没有“一般个人信息”的表述，但是同时又规定了私密信息、公开信息，为使概念之间的界限更加清晰，应当明确《民法典》“个人信息保护”部分所针对的是一般个人信息，对于私密信息和公开信息，适用其他的保护规则。本文若无其他说明，所论述的同样为一般个人信息。

2.私密信息。所谓私密信息是指自然人具有私密性质的信息。私密信息是个人信息与隐私的交叉部分——虽然个人信息权与隐私权属于不同的具体人格权，但是仍然存在“个人隐私信息”这种既属于个人信息、又属于隐私的私密信息，④对于个人信息与隐私，有学者将其三分为“纯粹的个人隐私”“隐私性信息”“纯粹的个人信息”。（见李永军：《论<民法总则>中个人隐私与信息的“二元制”保护及请求权基础》，《浙江工商大学学报》2017年第3期，第10页。）如基因信息、遗传信息、性生活信息、医疗信息等。⑤王洪亮：《<民法典>与信息社会——以个人信息为例》，《政法论丛》2020年第4期，第7页，第7页。私密信息一旦被泄露或者非法使用，造成的危害后果比一般个人信息更严重。《民法典》第1032条规定：“隐私是自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息。”这表明《民法典》将“私密信息”界定为隐私。同时，《民法典》第1034条规定：“个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定。”这说明私密信息处于双重保护的地位，优先适用隐私权保护的规则，隐私权保护规则中没有规定的，适用个人信息保护的规则。在司法实践中，区分私密信息和一般个人信息应当判断该个人信息是否具备私密性因素，如果尚未涉及人格尊严维护问题，不具备私密性，则不构成私密信息，不能成为隐私权的保护对象。

3.公开信息。所谓公开信息是指自然人自行公开的或者其他已经合法公开的信息。《民法典》第1036条规定：“处理个人信息，有下列情形之一的，行为人不承担民事责任：……（二）合理处理该自然人自行公开的或者其他已经合法公开的信息，……”这表明，法律对于自然人自行公开的或者其他已经合法公开的信息保护效力较弱，除非有特定情形，信息处理者利用公开的个人信息不构成侵权。

（三）《民法典》对个人信息权与隐私权的区分

个人信息权与隐私权一直存在着“难舍难分”的关联。《民法典》将隐私权和个人信息保护规定在一章，也说明两者有一定的相似性。但《民法典》将隐私权和个人信息保护分别规定，说明两者即使存在着相互交错的客体，但是仍然是两个独立的民事权利。个人信息权与隐私权主要有以下区分：

1.从保护客体特征上来区分，应判断保护客体是否具有私密性。隐私权是一种精神性的人格权，权利保护的客体具有私密性的特点。私密性是个人带有羞耻心、具有高度私人化特质的属性。而个人信息权保护的客体不具备私密性，但兼具人格利益与财产利益双重属性。

2.从损害后果上来区分，应判断损害后果是否具有可恢复性。隐私一旦受到非法披露、骚扰，损害后果往往不可逆，①王利明：《论个人信息权的法律保护——以个人信息权与隐私权的界分为中心》，《现代法学》2013年第4期，第67页，第66页。不具备可恢复性。而对于个人信息的侵害往往具备可恢复性。

3.从救济方式上来区分，应判断救济方式的多样性。隐私权受到侵害，主要追究侵权人的侵权责任，除了消除影响、恢复名誉，赔礼道歉等方式外，侵权责任的承担方式主要是精神损害赔偿。个人信息受到侵害，在救济方式上除了损害赔偿，还有停止侵害、更正、删除等救济措施。

4.从权利功能上来区分，应判断权利是否具备“积极利用”的功能。隐私权主要是“消极防御”他人侵害；而个人信息权兼具“消极防御”和“积极利用”的功能，除了被动防御他人的侵害以外，往往牵涉到对客体的积极利用。②王利明：《论个人信息权的法律保护——以个人信息权与隐私权的界分为中心》，《现代法学》2013年第4期，第67页，第66页。

三、《民法典》对自然人信息权益的明确赋予

世界各国有关个人信息保护的法律，均赋予了自然人享有相应的个人信息权益。个人信息自决权是自然人享有的个人信息权益的权利基础。个人信息自决权理论是20世纪70年代逐步发展起来的，也称为“个人信息决定权”。个人信息自决权的基本内涵是个人信息自主控制，在立法上表现为信息主体对个人信息的知情权、修改权、收集同意权、披露权以及使用权等一系列权利。③刘金瑞：《个人信息与权利配置——个人信息自决权的反思和出路》，北京：法律出版社，2017年，第2页。换言之，个人可以决定向谁告知哪些和他相关的信息，哪些可以隐瞒。④杨芳：《个人信息自决权理论及其检讨——兼论个人信息保护法之保护客体》，《比较法研究》2015年第6期，第22页。个人信息自决权的哲学基础是人格尊严与发展自由——如果一个人无权决定以何种方式、在何种范围内披露其个人信息，则是对其人格尊严与发展自由的侵害和限制。

《民法典》第1037条规定了自然人对其个人信息享有的各项权益，主要包括查阅权、复制权、异议更正权、删除权等。《民法典》规定的上述权益的行使对象是“信息处理者”。2017年施行的《网络安全法》使用的概念是“网络运营者”，范围局限在网络服务提供者。“信息处理者”是《民法典》首次提出的概念，内涵更为广泛，可以包括一切处理个人信息的个人、组织、行政机关等。所谓“处理”，是指收集、储存、使用、加工、传输等行为。

查阅权在个人信息权益中处于基础地位，因为只有当信息主体知道这些个人信息时，才能进一步了解个人信息被收集和利用的具体情况，从而判断信息处理者的行为是否符合其真实意愿。信息主体在查阅其个人信息后，经过判断，决定是否有必要对个人信息进行复制，以便满足其需求。若个人信息出现“错误”，信息主体可以向信息处理者提出异议，并可以要求其更正信息。相较于查阅权、复制权、异议更正权，删除权的行使前提必须是信息处理者违反了法律、行政法规的规定或者双方的约定。关于“删除”，《民法典》侵权责任编中也规定了网络侵权责任的“避风港原则”，⑤避风港原则是指网络用户利用网络服务实施侵权行为后，被侵权人有权通知网络服务提供者采取“删除”的措施，在经“通知+删除”后，网络服务提供者不再承担责任。个人信息权益中的删除权与“避风港原则”中的“删除”相类似，是对信息处理者的一种宽容性处理。

与“删除权”有紧密联系的是“被遗忘权”。关于被遗忘权，学界对其是否应当是一种个人信息权益观点不一。被遗忘权是欧洲法院判例最早确定的，⑥2014年欧盟法院对“冈萨雷斯诉谷歌公司案”作出的判决支持了冈萨雷斯关于要求谷歌删除其关于拍卖信息的链接，至此，被遗忘权在欧盟通过司法判例正式确认。是指信息主体基于隐私自主而拥有向信息处理者随时要求删除遗留在信息网络中的各种有关个人的信息，从而使其被其他人所“忘记”的权利。被遗忘权是删除权的升级版，两者最大的不同是删除权必须基于信息处理者“违法”或者“违约”的前提之上，而被遗忘权则不需要。另外，被遗忘权的行使对象不仅包括信息上传者，还包括搜索引擎服务商。《民法典》并没有规定被遗忘权，而仅仅规定了删除权，这主要是因为被遗忘权会带来企业审查成本过高、信息资源减少等问题。①丁晓东：《被遗忘权基本原理与场景化界定》，《清华法学》2018年第6期，第94页。

四、《民法典》对个人信息处理原则及条件的规定

《民法典》规定了信息处理者处理个人信息的合法、正当、必要原则，为信息处理者的处理活动提供了指引；规定了信息主体“告知同意”、信息处理规则公开、目的、方式和范围的明示等信息处理的合法性基础，其中信息主体“告知同意”规则充分尊重了信息主体的意思自治。

（一）合法、正当、必要原则

《民法典》规定，处理个人信息应当遵循合法、正当、必要原则。合法原则要求信息处理者对个人信息的处理活动应当遵循我国法律、法规等。当然，合法原则除了包括法律的禁止性规范，也包括公序良俗或者社会的一般观念。②李永军：《论<民法总则>中个人隐私与信息的“二元制”保护及请求权基础》，《浙江工商大学学报》2017年第3期，第20页。不符合合法原则处理个人信息的样态，主要包括非法收集、非法使用、非法买卖等。正当原则是指信息处理的目的、手段要符合诚实信用原则，使信息主体充分了解信息处理的情况。如果信息处理者获取个人信息的手段不符合诚实信用原则，则是不正当的行为，比如获取方式不透明等。必要原则是指信息处理者不能过度收集、处理个人信息，收集、处理的个人信息局限于所涉收集、处理目的。目前，一些手机应用软件存在大量“过度收集”的情况，除了收集达成目的所需的必要信息，同时收集了不符合获取目的的其他信息。

（二）信息主体“告知同意”规则

在遵循上述原则的基础上，信息处理者处理个人信息还应当满足其他条件：征得信息主体同意，公开信息处理规则，明示目的、方式和范围，不违反法律规定和双方约定。在这些条件中，最核心的是信息主体“告知同意”规则。“告知同意”规则，即信息处理者对信息主体就有关个人信息的被收集、处理和利用的情况应充分告知，并且征得信息主体的明确同意。③张新宝：《个人信息收集：告知同意原则适用的限制》，《比较法研究》2019年第6期，第1页。信息主体经过自主选择，自己决定他人可以对其个人信息进行处理，因此在信息主体已被告知、且同意的情形下，信息处理者相关信息处理的行为均为合法的。④于柏华：《处理个人信息行为的合法性判准——从<民法典>第111条的规范目的出发》，《华东政法大学学报》2020年第3期，第81页。《民法典》第1036条规定了处理个人信息的免责事由：“在该自然人或者其监护人同意的范围内合理实施的行为，行为人不承担民事责任。”因此，“告知同意”是信息处理者处理个人信息的合法性基础，是个人信息保护中至关重要的一项规则。但是，由于《民法典》包含社会生活的方方面面，不宜对某一规则具体实施作出过于细致的规定，因此《民法典》并没有规定在实践中如何具体操作“告知同意”规则，相关具体规则需要《个人信息保护法》等法律法规进一步规定。《个保法（草案）》对信息处理者向信息主体告知所采取的方式、应告知的事项进一步作出了规定。⑤《个保法（草案）》规定了信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言向个人告知信息处理者的身份、联系方式，处理目的、方式，保存期限，个人行使权利的方式和程序等内容。同时，《个保法（草案）》也规定了《民法典》中没有涉及的“撤回同意”规则，即信息主体可以在作出同意后撤回其同意。该规定具有一定的进步性，但仍要考虑撤回同意的可操作性及交易安全问题——如果信息主体可以随时撤回其同意，则信息处理者的处理活动具有很大的不确定性，亦有可能对信息处理者造成经济损失。因此，应当进一步细化撤回同意的行使条件、经济补偿条款、溯及力问题等。

在“微信读书”APP侵害黄某个人信息一案中，①参见（2019）京0491民初16142号民事判决书。“微信读书”在其服务协议中明确规定，使用该服务需要获得微信授权，包括微信帐户的公开信息（昵称、头像等）、寻找与用户共同使用该应用的微信好友等。“微信读书”在登录页面中向用户（包括原告黄某）提示使用其微信好友关系，并且经过了黄某的同意，因此法院认为“微信读书”强制黄某关注微信好友的行为不违反法律规定。同时在该案中，“微信读书”还有向黄某共同使用该应用的微信好友公开黄某读书信息、为黄某自动关注微信好友并使得关注好友可以查看黄某读书信息的行为。由于“微信读书”该行为在许可服务协议中没有清晰地告知黄某并获得同意，法院认为“微信读书”侵害了黄某的个人信息权益。在本案中，法院按照“告知同意”规则对被告两个行为的合法性做出了裁判。

五、《民法典》对个人信息侵权责任的认定

《民法典》确立了个人信息的“可识别”标准，并规定了个人信息侵权责任的请求权基础，但仍需进一步完善个人信息侵权责任的归责原则。

（一）个人信息的“可识别”标准

判断个人信息侵权的前提是，该侵权行为侵犯的是“可识别”的个人信息，对于不可识别的个人信息，法律不予保护。诸多已经经过“加工”、匿名化的个人信息，已经不能识别出信息的主体，其已与信息主体分离开来，对于信息主体而言并无任何侵犯、损害。在大数据时代背景下，个人信息的保护和个人信息的处理、使用、流动，原本就是一对矛盾：既要让信息源泉充分涌流，促进信息在经济社会发展中共享与传播，又要保护每一个信息主体的个人权益不受侵犯。相较于隐私权“全封闭式”的保护模式，个人信息的保护应当兼顾信息的流动性。《民法典》第1038条规定：“未经自然人同意，不得向他人非法提供其个人信息，但是经过加工无法识别特定个人且不能复原的除外。”该条印证法律并不保护不具备“可识别性”的个人信息。在判断可识别性问题时，应当对“去标识化”和“匿名化”进行区分，两者是不同的：个人信息经过去标识化后，仍然可以在借助额外信息的情况下识别特定自然人；而个人信息经过匿名化，不能再次复原。个人信息的识别方式可以分为“直接识别”与“间接识别”，直接识别是指通过身份证件号码、生物信息等单个信息就可以直接确定自然人身份的识别方式，间接识别则是指通过单个信息并不能直接判断自然人身份，需对一组信息进行“拼接”才能确定自然人身份的识别方式。②中国审判理论研究会民事审判理论专业委员会：《民法典人格权编条文理解与司法适用》，北京：法律出版社，2020年，第266页。在前文提到的“微信读书”侵权案件中，法院同时认定“微信好友关系”、“读书信息”属于个人信息，其中核心的一点就是黄某的“微信好友关系”、“读书信息”具有可识别性，黄某“微信读书”中的头像、昵称、地区、性别信息、好友关系、读书信息等组合起来，形成指向其本人的“人物图像”。

（二）受害人的请求权基础

《民法典》总则编对个人信息权的概括性规定及人格权编个人信息保护的条文大多数均为不完全法条——并未规定个人信息受到侵犯后的法律后果。从这些条文本身难以得出请求权，且条文中也未涉及侵权责任的归责原则，因此，必须结合《民法典》侵权责任编的规定。

信息主体请求侵权人承担侵权责任的请求权基础主要为《民法典》侵权责任编的第1165条第一款③《民法典》第1165条第一款：“行为人因过错侵害他人民事权益造成损害的，应当承担侵权责任。”和第1194条①《民法典》第1194条：“网络用户、网络服务提供者利用网络侵害他人民事权益的，应当承担侵权责任。法律另有规定的，依照其规定。”。前者为侵权责任的一般规定，适用于侵害个人信息的一切案型；后者为网络信息侵权责任的特别规定，仅适用于利用网络侵害个人信息的案型。②叶名怡：《个人信息的侵权法保护》，《法学研究》2018年第4期，第88页，第93页。承担民事责任的方式主要为《民法典》第179条规定的停止侵害，赔偿损失，消除影响、恢复名誉，赔礼道歉等。同时，如果侵权人侵害个人信息造成了受害人的严重精神损害，受害人可以根据《民法典》第1183条请求精神损害赔偿。

（三）个人信息侵权责任的归责原则

在个人信息广泛采用电子形式的情况下，算法自动化决策的技术优势间接造成了争诉双方举证和诉讼能力上的差异。③陈吉栋：《个人信息的侵权救济》，《交大法学》2019年第4期，第50页。网络用户与网络服务提供者在技术能力、信息能力等方面具有极大的不对称性，网络用户证明信息处理者的侵权行为存在过错具有较大的难度。由于《民法典》第1165条第一款、第1194条的归责原则均为一般过错原则，在“谁主张、谁举证”的举证责任分配规则下，被侵权人承担了较重的举证责任。故有学者主张在个人信息保护法中确立个人信息侵权“过错推定”原则。④齐爱民：《中华人民共和国个人信息保护法示范法草案学者建议稿》，《河北法学》2005年第6期，第2页。在比较法上，德国在审判实践与理论通说中，一直坚持非公务机关个人信息侵权“过错推定”原则。⑤叶名怡：《个人信息的侵权法保护》，《法学研究》2018年第4期，第88页，第93页。《个保法（草案）》规定：“个人信息处理者能够证明自己没有过错的，可以减轻或者免除责任。”该表述说明我国立法机关也试图在个人信息侵权案件中确立“过错推定”的归责原则。

在现行法律规定下，法官在实践中应当根据案件的具体情况，合理分配当事人的举证责任。同时，在证明信息处理者实施了侵害个人信息的行为时，可以降低被侵权人的举证证明标准，采用“高度可能性”的判断标准。⑥程啸：《论侵害个人信息的民事责任》，《暨南学报》（哲学社会科学版）2020年第2期，第39页。在前述“微信读书”侵权案例中，无论原告还是被告均未能提出决定性证据，证明原告的“微信读书”里已有的关注人和被关注人是哪一方添加的。法院因“腾讯一方面曾承认存在自动添加关注的版本，另一方面其有能力提供用户添加关注操作的后台操作说明以及是否设计自动关注功能的代码却不提供”而采信原告的主张，认定“微信读书”中存在自动添加关注的情况，很好地分配了当事人双方的举证责任，维护了个人信息侵权案件中弱势方的利益。