我國消費者個人信息保護實證研究
——以典型司法判例為視角

●趙淑鈺

?

我國消費者個人信息保護實證研究
——以典型司法判例為視角

●趙淑鈺

在“互聯網+”和大數據的時代背景之下，經營者開發利用消費者個人數據的程度越來越高，由此造成的侵犯消費者個人信息的情形也愈加多發。面對實踐中存在的問題，本文從消費者個人信息保護典型司法判例的視角，研究司法實踐中對于消費者個人信息保護案件的處理情況，以期為我國消費者個人信息司法保護的有效開展以及法律制度的完善提供參考。

一、消費者個人信息保護法律依據

新《消費者權益保護法》以下簡稱《消法》明確了經營者保護消費者個人信息的義務，并針對侵害消費者個人信息的行為規定了相應的民事、行政和刑事法律責任。由于我國目前尚未制定專門的個人信息保護法，有關個人信息保護的規定散見于多部法律法規之中①截至2016年1月，共有10部法律，6部行政法規，12件司法解釋提及對“個人信息”的保護。。司法機關在處理有關消費者個人信息侵權案件時，除依據新消法外，還需要參照其他法律法規中有關公民個人信息保護的規定。鑒于新《消法》未涉及“消費者個人信息”的具體內容，國家工商總局于2015年1月5日發布的《侵害消費者權益行為處罰辦法》第11條對“消費者個人信息”的定義進行了明確的規定②《侵害消費者權益行為處罰辦法》第11條規定：“經營者在提供商品或者服務活動中收集的消費者姓名、性別、職業、出生日期、身份證件號碼、住址、聯系方式、收入和財產狀況、健康狀況、消費情況等能夠單獨或者與其他信息結合識別消費者的信息”。，對于行政執法和審判工作起到了重要的指導作用。

二、消費者個人信息保護典型案例

由于新《消法》實施時間較短，法律規定的原則性強，實踐中消費者取證難、維權成本高等原因，目前以侵犯消費者個人信息為由提起的訴訟案件數量仍十分有限。但我國司法審判實踐對于消費者“隱私權”的保護由來已久，其中的典型案件對于司法機關處理消費者個人信息保護類案件具有重要的借鑒意義。

（一）經營者非法收集、使用用戶個人信息

在互聯互通的信息時代，幾乎每個人都會使用網絡服務提供商提供的服務。在使用這些服務時用戶的信息等也會被互聯網企業記錄并利用。在2013年央視“3·15”晚會上就曝光了易傳媒等多家網絡廣告公司利用瀏覽器Cookie數據跟蹤用戶的事件。“朱燁起訴百度公司侵犯隱私權案”被稱為“Cookie 隱私第一案”。網民朱燁上網時利用百度搜索引擎搜索“減肥”、“豐胸”、“人工流產”等關鍵詞后，在一些網站上就會相應地出現減肥、豐胸、人工流產的廣告。朱燁認為百度公司記錄和跟蹤了其搜索的關鍵詞，將其個人隱私信息顯露在相關網站上并進行定向廣告投放，侵犯了個人的隱私權、知情權和選擇權，以百度公司侵犯其隱私權為由提起訴訟。

南京市鼓樓區法院一審認為③參見（2013）寧民轄終字第238號判決書。，隱私權是自然人享有的私人生活安寧與私人信息依法受到保護的權利。百度公司未經原告同意通過Cookie技術收集并利用這些信息侵害了用戶的權益。百度公司對該判決不服提起上訴。南京市中級法院經審理認為④參見（2014）寧民終字第5028號判決書。，百度公司收集、利用的是未能與網絡用戶個人身份對應識別的數據信息，百度公司并未將這些信息向第三方公開，且無法證明百度公司的行為對朱燁構成實質性損害，因此不構成對其隱私權的侵犯。

一審判決侵權成立，加大了對于網絡服務提供商收集、利用用戶個人數據的限制，降低了用戶維權的舉證難度。但該判決結果卻未能適應當今數據開發的時代背景，會限制以百度為代表的互聯網服務提供商的業務開展。二審法院最終判決百度公司的行為不構成對朱燁隱私權的侵犯，要求用戶對侵權事實承擔主要的證明責任，這在一定程度上打擊了消費者在網絡空間維護個人信息的信心。雖存在爭議，但南京市中級法院的二審判決結果表明了當前司法機關處理此類案件的立場，即在此類案件中，消費者需要承擔嚴格的證明責任，包括必須證明涉案信息能識別個人身份，網絡服務提供者未盡到事先告知義務，且其行為確實對用戶造成實質性的損害結果。

（二）經營者泄漏、非法披露消費者個人信息

經營者泄露、非法披露消費者的個人信息是社會生活給消費者個人信息的保護造成最大困擾的侵權案件類型。在實踐中，多數消費者常常因信息泄漏渠道難尋、損害結果輕微、維權周期長而選擇了“忍氣吞聲”。少數消費者能夠通過法律渠道維護自己的權益，卻仍需承擔主要的證明責任。

1.孫偉國訴上海聯通侵犯隱私權案⑤參見（2009）浦民一（民）初字第9737號判決書。

上海聯通與新國信上海分公司是兩個獨立的公司，客服部門卻是一批人馬兩塊牌子。上海聯通將其在電信服務過程中獲悉的孫偉國的個人資料提供給了新國信上海分公司，后新國信上海分公司向孫偉國發出載有其個人信息的商業保險廣告。孫偉國認為上海聯通非法將其個人信息披露給第三人，構成對其隱私權的侵犯，因而提起訴訟。

浦東新區法院經審理認為，自然人享有保持私人生活安寧且不受他人非法干擾的權利。上海聯通對在業務過程中獲取的孫偉國的個人信息負有保密義務，未經許可不得披露給第三人。上海聯通的行為構成了對孫偉國隱私權的侵犯，判決向孫偉國書面賠禮道歉。

（3）案件簡析

由此案可以看出在我國目前的司法實踐中，消費者已經邁出了隱私、個人信息維權的步伐，但由于實踐經驗不足、法律規定可操作性有限、舉證困難、損害結果難以證明等原因，消費者的維權之路仍然困難重重。孫偉國的維權成功具有一定的偶然性。因上海聯通與新國信上海分公司使用同一個客服號碼，方便了孫偉國對于泄漏渠道唯一性的舉證。而在更多的案件中，消費者往往會因無法證明信息泄漏渠道而維權失敗。除此之外，由于《侵權責任法》規定只有在引起“嚴重精神損害”時才可以請求精神損害賠償，因而本案中孫偉國的精神損害賠償請求并未獲得支持。雖然個人信息的泄漏給消費者的正常生活帶來諸多不便，甚至造成嚴重的心理壓力，但在大多數侵犯消費者隱私案件中，精神損害賠償都無法得到支持。

2.王金龍訴漢庭酒店侵犯隱私權案⑥參見（2014）浦民一（民）初字第501號判決書。

王金龍于2012年入住漢庭快捷酒店，后互聯網上爆出2000萬條酒店客戶開房記錄的數據包以及開房記錄查詢網站，王金龍在其中發現了自己的開房信息，其本人也因此遭受了推銷廣告、短信騷擾。王金龍認為漢庭酒店未盡到安全保障義務導致個人信息泄露，構成對其隱私權的侵犯，向法院提起訴訟。

浦東新區法院經審理認為，網上流傳的“2000萬開房信息”與漢庭酒店管理系統中留存的原告信息相比在入住時間、手機號碼、住址等關鍵信息上并不相同。而這些基礎信息擴散渠道也并不具有單一性和唯一性，無法判定即為漢庭酒店泄漏的原告的個人信息。因此對于王金龍主張的事實不予采信。

在本案中，證明信息泄漏渠道的唯一性成為原告維權的最大難題。司法機關在審理此類案件時一般要求消費者在以下幾個方面承擔證明責任：第一，應證明泄露的信息與其提供給經營者的信息一致；第二，應有充分證據證明該信息泄露渠道的唯一性、排他性，即沒有從其他渠道泄露的可能；第三，消費者應證明其確因個人信息的泄露而遭受實質性損害。在市場多樣化以及信息社會的大背景之下，消費者在很多消費場合需要提供個人信息，而信息一旦從一方泄漏即有可能快速的、在更大范圍上傳播。消費者在資金、技術、人力等方面資源有限，往往無力承擔上述三個方面的舉證責任，這也是目前侵權案件多發而維權不足的最主要原因。

（三）經營者未經同意向消費者發送商業廣告

經營者未經消費者同意，通過電話、短信、微信等方式向消費者發送商業廣告的現象在現實生活中十分常見，擾亂了消費者個人生活安寧，給消費者帶來很大困擾。在“李枚加訴樂山電信侵犯健康權、隱私權、財產權案”中⑦參見（2013）樂民終字第1109號判決書。，樂山電信利用其在業務辦理過程中獲取的李枚加的姓名、手機號等信息，通過其客服號碼向李枚加發送多條短信，內容涉及推銷手機以及手機賣場開業等內容。李枚加向法院起訴，請求判決樂山電信侵犯其健康權、隱私權和財產權。

法院經審理認為，隱私權包括個人生活寧靜權、個人活動的自由權、私有領域不受侵犯權及個人隱私利用權。短信的發送不需要用戶的許可，但短信的接收（鈴聲或震動）卻會影響用戶的正常工作和生活，而且不及時刪除短信息會導致信箱裝滿，影響短信的正常收發。因此樂山電信的行為構成了對李枚加隱私權的侵害。

《侵權責任法》雖規定了對于“隱私權”的保護，但對于“隱私權”的具體內容卻未有涉及。在司法實踐中，不同法院對于“隱私權”的認定也各不相同。本案中一審法院對于隱私權內涵的界定具有重要的借鑒意義。其認為“隱私權”不僅包括對個人隱私的利用權還包括個人生活寧靜權、個人活動的自由權和私有領域不受侵犯權。這一定義對于司法機關處理經營者侵犯消費者隱私、干擾消費者私人生活的案件提供了參考，也提高了廣大消費者在面對此種情況時積極維權的信心。

（四）經營者對消費者個人信息的保護義務

新《消法》的規定經營者對于消費者的個人信息負有安全保護的義務，在發生或可能發生泄露、丟失的情況時應當采取補救措施。但并未規定未及時采取補救措施時經營者應當承擔的責任，《侵害消費者權益行為處罰辦法》對此也未有提及。相較于經營者非法收集、使用以及泄露、非法披露消費者個人信息類案件，證明經營者未盡安全保護義務對于消費者而言更加困難，因此目前以此為由提起的訴訟案件并不多見。

在“閆某訴新浪、百度侵犯名譽權、隱私權案”⑧參見《閆某與北京新浪互聯信息服務有限公司、北京百度網訊科技有限公司侵犯名譽權、隱私權糾紛案》，載中國法院網（http:// www.chinacourt.org/article/detail/2014/10/id/1456192.shtml ），2016年2月25日訪問。中，閆某認為某新浪博客博主發表的文章涉及閆某個人隱私，先后向新浪和百度兩家公司發出律師函要求采取必要措施，百度公司及時采取了斷開鏈接、刪除等措施而新浪公司并未采取相應措施。

北京市海淀區法院經審理認為，新浪公司未能舉證證明接到原告通知后采取了必要措施，應承擔侵權責任，而百度公司有證據證明其采取了必要措施而不承擔侵權責任。

此案中的涉案信息雖不屬于經營者在提供商品或服務的過程中獲取的消費者的個人信息，但因同樣涉及消費者隱私而對于此類案件今后的審理具有借鑒意義。從該案的審理結果來看，海淀區法院認為在發生或可能發生消費者隱私泄漏的情形下，服務提供商應對其是否采取了補救措施承擔舉證責任。這一判決結果能夠強化網絡服務提供商保護用戶隱私的責任意識，也減輕了用戶的舉證壓力，對于在言論自由的網絡空間維護用戶的隱私權利具有重要意義。

三、總結

目前侵害消費者個人信息的行為大都利用互聯網進行，方式具有較強的虛擬性、技術性和隱蔽性，不僅消費者自身維權困難，執法工作人員也遭遇了取證難、處罰難的問題。法律制度構建不完善、行政執法經驗不足、案情的復雜多樣導致司法機關在審理過程中面臨多重障礙。由于此類案件往往涉及的利益群體范圍廣泛，在社會中易引起共鳴和關注，因此司法機關在處理此類案件時更應堅持審慎的原則，在理解立法目的與原則的基礎上，結合當前政策充分論證，爭取實現消費者權益保護與數據有效開發利用的平衡。在案件審理中，司法機關應更加關注以下幾個方面的問題：

第一，有關個人信息的認定。司法機關應主要參照《侵害消費者權益處罰辦法》及《電信和互聯網用戶個人信息保護規定》中有關“個人信息”的界定。在“個人信息”的認定時注意其四個方面的特征：（1）承載個體特征，能夠識別出特定的個人身份；（2）消費者不愿為社會公眾所知悉；（3）其泄露會導致消費者的權利處于可能被侵害的狀態；（4）有關消費者的隱私、個人安全與社會生活平穩。

第二，有關舉證責任的配置。根據已有的司法案例，在經營者泄露、非法披露消費者個人信息案件中，消費者應當承擔三個方面的證明責任：（1）向經營者提供了個人信息，且與涉案信息一致；（2）經營者實施了泄露或非法披露行為，或沒有從其他渠道泄露的可能；（3）消費者遭受了實質損害。在經營者非法發送商業廣告案件中，消費者承擔三個方面的證明責任：（1）接收到了經營者發送的商業廣告；（2）事先未經消費者允許；（3）發送商業廣告行為對消費者造成了實質損害。在經營者未盡安全保護義務案件中，經營者需對自己已盡安全保護義務承擔舉證責任。

第三，有關損害賠償的認定。在侵犯消費者個人信息案件中，一般涉及的是消費者的人身權而非財產權，因而損害認定較困難。而消費者舉證能力十分有限，因此目前為止，經營者因侵害消費者個人信息、隱私權而承擔實際物質損害賠償的案件較少。在精神損害賠償方面，由于需要證明造成“嚴重精神損害”后果，因而消費者的請求一般無法獲得支持。

（作者單位：中國社會科學院研究生院）

責任編校：王磊