返回
個人信息權保護前沿研究與案例分析
文/林浩鼎 李娜
前言：在第十三屆全國人大常務委員會第十五次會議排定備受關注的民法典草案在大會上全文公開。按照編纂工作計劃，民法典草案提請全國人大常務委員會會議審議后，由全國人大常委會作出決定，將作為民商事基本原理、各種合同的規(guī)則、財產(chǎn)歸屬與變動、侵權行為的條件與后果、人與人身份關系的成立與繼承生效等規(guī)定的民法典草案將提請第十三屆全國人大第三次會議審議。在此次即將出臺的民法典，有別于我國之前法律與許多國家立法例，特別之處在于民法典草案的人格權編獨立成編于民法典草案的第四編，尤其是對于個人信息保護的規(guī)定。
其中有關隱私權與個人信息保護，在民法典草案的第四編人格權編的第六章用了8條法律規(guī)范了隱私權與個人信息保護。（1）將對現(xiàn)在與未來大數(shù)據(jù)行業(yè)、網(wǎng)路搜索行業(yè)、金融信息公司與征信產(chǎn)業(yè)的實務合規(guī)運作和以此規(guī)定為法律基礎的法院裁判，會有立即的重大變更與長遠影響。
一、案例導讀
案件索引
一審：江蘇省南京市鼓樓區(qū)人民法院（2013）鼓民初字第3031號（2014年10月13日）
二審：江蘇省南京市中級人民法院（2014）寧民終字第5028號（2015年5月6日）
案例概述
南京市中級人民法院對“北京百度網(wǎng)迅科技公司”（以下稱百度公司）與朱某的隱私權糾紛案審理并裁判。
原告（被上訴人）朱某訴稱：其在在家中和單位上網(wǎng)瀏覽相關網(wǎng)站過程中發(fā)現(xiàn)，利用百度搜索引擎搜索“減肥”“豐胸”“人工流產(chǎn)”等關鍵詞，并瀏覽相關內(nèi)容后，在www. 4846. com、 www. paolove. com、 www. 500kan. com等一些網(wǎng)站上就會相應地出現(xiàn)“減肥”“豐胸”“人工流產(chǎn)”的廣告。北京百度網(wǎng)訊科技公司（以下簡稱百度網(wǎng)訊公司）未經(jīng)朱某的知情和選擇，利用網(wǎng)絡技術記錄和跟蹤了朱燁所搜索的關鍵詞，將朱燁的興趣愛好、生活學習工作特點等顯露在相關網(wǎng)站上，并利用記錄的關鍵詞，對朱某瀏覽的網(wǎng)頁進行廣告投放，侵害了朱燁的隱私權，使朱某感到恐懼，精神高度緊張，影響了正常的工作和生活。故訴至法院，請求判令百度網(wǎng)訊公司立即停止侵害，賠償精神損害撫慰金1萬元、公證費1000元。
被告（上訴人）百度網(wǎng)訊公司辯稱：cookie技術是一項合法的、基礎的、中立的工具，在全球范圍內(nèi)被谷歌、雅虎、亞馬遜等網(wǎng)絡服務商普遍采用。百度網(wǎng)訊公司收集的cookie并不包含任何個人身份識別信息，無法識別特定網(wǎng)民在現(xiàn)實世界的個人信息，更無法與特定的人身相聯(lián)系。百度網(wǎng)訊公司在合作網(wǎng)站上展示推廣的內(nèi)容僅是個性化展現(xiàn)在朱燁控制的電腦中，并未公開、宣揚朱某隱私為公眾所知悉，不涉及隱私侵權。百度網(wǎng)訊公司網(wǎng)站首頁《使用百度前必讀》中的“隱私權保護聲明”中已經(jīng)明確告知用戶，使用cookie技術是為用戶提供服務，保障了用戶的知情權。而且網(wǎng)站也提供了選擇退出機制，朱某可以通過關閉設置，非常輕松且沒有任何成本地阻止推廣結果的展現(xiàn)。同時，朱某也可以通過瀏覽器對cookie進行設置，包括禁用cookie或清除cookie。綜上，百度網(wǎng)訊公司并未侵犯朱燁的隱私權，請求駁回朱燁的訴訟請求。
二、裁判要旨與理由
裁判結果
二審法院認為能夠識別公民個人身份和涉及公民個人隱私的電子信息。網(wǎng)絡精準廣告中使用cookie技術收集、利用的匿名網(wǎng)絡偏好信息雖具有隱私屬性，但不能與網(wǎng)絡用戶個人身份對應識別，網(wǎng)絡服務提供者和社會公眾無法確定該偏好信息的歸屬主體，不符合個人隱私和個人信息的“可識別性”要求，因而該行為不構成侵犯隱私權。（2）
理由
法院經(jīng)審理查明：朱某在家中和單位上網(wǎng)瀏覽相關網(wǎng)站過程中發(fā)現(xiàn)，利用百度搜索引擎搜索相關關鍵詞后，會在百度網(wǎng)絡聯(lián)盟的特定的網(wǎng)站上出現(xiàn)與關鍵詞相關的廣告。例如，朱燁在通過百度網(wǎng)站搜索“減肥”“人工流產(chǎn)”“隆胸”關鍵詞后，再進入“4816”網(wǎng)站、“500看影視”“泡愛網(wǎng)”等網(wǎng)站時，就會分別出現(xiàn)有關減肥、流產(chǎn)和隆胸的廣告。2013年4月17日，朱燁通過南京市鐘山公證處對“上述過程”進行了公證并支付了1000元公證費。
百度網(wǎng)訊公司個性化推薦服務的技術原理是：當網(wǎng)絡用戶利用瀏覽器訪問百度網(wǎng)站時，百度網(wǎng)站服務器就會自動發(fā)送一個cookie信息存儲于網(wǎng)絡用戶瀏覽器。通過建立cookie聯(lián)系后，百度網(wǎng)站服務器端對瀏覽器瀏覽的網(wǎng)頁內(nèi)容通過技術分析后，推算出瀏覽器一方可能的個性需求，再基于此種預測向瀏覽器的不特定使用人提供個性化推薦服務。
三爭議焦點分析
第一、百度公司利用cookie技術收集針對用戶個人瀏覽網(wǎng)站的信息群并且發(fā)布相關的廣告給用戶，這種收集信息并披露給商家而取得營利的作法，其性質(zhì)在法律上能被認定是合法收集信息？亦或有可能構成侵犯個人信息利益呢？
百度公司在庭審中，主張收集個人瀏覽網(wǎng)路信息是碎片化信息，并不屬于用戶的隱私的范圍。百度公司及其聘請的律師們，強調(diào)隱私權是保護私人生活安寧，所以不屬于侵犯隱私權。但在現(xiàn)代社會與信息社會如何判定企業(yè)的提取利用信息行為是否屬于侵犯隱私的行為呢？
實際在我國民法典尚未施行前，個人信息權與隱私權尚未進行嚴格的區(qū)分，在司法實踐中仍然還是按照固有隱私權定義進行認定與裁判。但實際上，因為“實名制上網(wǎng)規(guī)定”及使用網(wǎng)際網(wǎng)路去搜索與瀏覽個人想知道并了解的知識、信息及解決方案與相應的商品及服務公司（醫(yī)療、法律、征信服務等），就屬于隱私權與個人信息保護的范圍，是充分體現(xiàn)自然人信息特征、身份家庭狀況、健康信息，與其“私密活動”等個人信息被他人或法人所知其個人私密行為。一個人在私下使用上網(wǎng)工具，如桌上型電腦、筆記本電腦、平板電腦、智能型手機去搜尋其想要得到的資料與信息，在信息化時代與人類已進入信息文明時代的同時，保護個人上網(wǎng)瀏覽及對話的私密性，就如同剛有電話或手機發(fā)明時，文明法律社會與政府有義務保護在不涉及刑事訴訟法的監(jiān)聽條件時，有義務立法讓人民有免于被監(jiān)聽的憲法上基本權利，就如同本案個人被網(wǎng)路公司收集上網(wǎng)行為記錄一樣的性質(zhì)。
第二、在現(xiàn)行法律，依據(jù)《民法總則》第一百一十一條規(guī)定：
“自然人的個人信息受法律保護。任何組織和個人需要獲取他人個人信息的，應當依法取得并確保信息安全，不得非法收集、使用、加工、傳輸他人個人信息，不得非法買賣、提供或者公開他人個人信息。”這是現(xiàn)行民法總則中，關于個人信息保護的規(guī)定，關于個人信息權益的侵權行為條件，還包括非法收集、使用加工、傳輸他人個人信息。本案中百度公司利用cookies技術搜集了用戶的個人瀏覽網(wǎng)站網(wǎng)頁信息。如果任何門戶網(wǎng)站公司在網(wǎng)頁上使用一個“必須同意本公司規(guī)定的格式化合同，否則不能使用本網(wǎng)站或本公司不負任何法律責任”的條款，是否已經(jīng)違反了信息化社會里發(fā)展網(wǎng)路門戶公司商業(yè)利益發(fā)展與個人隱私及信息保護的平衡！值得深思！
第三、目前法院判決也有其在現(xiàn)有制度上的判斷與考量：
利用，搜集，公開個人信息的前提是經(jīng)過當事人的同意，因此在本案中百度公司主張公司已經(jīng)通過公告的方式給用戶做了說明，代表用戶已經(jīng)默示同意該公司利用個人信息。參考國家推薦性標準《信息安全技術公共及商用服務信息系統(tǒng)個人信息保護指南》（GB/Z28828-2012)之規(guī)定，百度公司提供的隱私權保護聲明作出判斷，該文件指出個人信息分為個人敏感信息和非個人敏感信息，個人敏感信息的收集應當用戶明確表示同意，個人非敏感信息可“默示“，法院根據(jù)舉重以明輕的原則，百度公司利用網(wǎng)路技術所收集的信息為不存在明確指向個人特征的信息，以“明示告知”和“默示同意”相結合的方式并非欠妥，因此判定百度并未侵犯該用戶的隱私權。也并未侵犯其個人隱私權，這是一種思路與價值判斷。
但是否符合民法典草案人格權編的個人信息保護規(guī)定（民法典草案第一千零三十二條第二項：“自然人隱私是自然人的私人生活安寧和不愿為他人知曉的私密空間、“私密活動”、私密信息。”一個人在不涉及職務行為的上網(wǎng)瀏覽網(wǎng)站及搜索信息活動是不是屬于個人“私密活動”呢？
第四、本案最大的啟示在于對于cookies的性質(zhì)的認定，其使用的信息的性質(zhì)是否屬于是個人信息。
百度公司在用戶使用百度公司網(wǎng)站之前的《使用百度前必讀》其中的“隱私保護聲明”對于cookies的信息搜集方式，范圍都提供了明確的說明，并且百度公司網(wǎng)站聲明條款為用戶提供了“被遺忘”即退出機制。但是法院認為此退出機制并不明顯地能被用戶熟知，而是標記在最下角，并且跟其他不相關內(nèi)容摻雜，用戶不容易識別，并不屬于明確的說明，用戶無從對于此技術的適用“同意”，在本案件中朱某請求的是精神損害賠償，需要提供明確的自身因為此侵權行為遭受嚴重損害結果的證明，因此法院不能支持百度賠償當事人朱燁精神損害的要求。
第五、個人信息保護與上網(wǎng)隱私活動的侵權判斷：
在適用網(wǎng)絡技術采集用戶信息，百度公司或者很多互聯(lián)網(wǎng)公司的收集上網(wǎng)用戶信息行為是商業(yè)模式的一種獲利模式，但也可能是對用戶人一種隱形的損害。就如同假如當年貝爾電話公司發(fā)明電話后，從監(jiān)聽電話用戶通話來獲得用戶偏好哪種消費取向及即將欲購買何種商品與服務。此種收集推薦可能最終會導致個人信息的不當利用。比如黑客攻擊，獲取個人信息之后販賣信息、利用、詐騙或者給用戶造成潛在的財產(chǎn)損失、人身損害等方面。目前互聯(lián)網(wǎng)公司對于個人信息的保護都能在網(wǎng)站上見到明確的格式化協(xié)議、個人信息使用說明、同意書等。這種做法可能從訴訟上規(guī)避了風險、個人信息保護立法上漏洞等問題。但是依然還是有一些信息的范圍超出協(xié)議中的范圍，最終導致侵權。從搜索及門戶網(wǎng)站的角度來思考，哪些信息屬于互聯(lián)網(wǎng)公司應該明確在協(xié)議中明確的條款，如何自長遠規(guī)范個人信息使用及如何平衡商業(yè)利益與個人信息保護與隱私是當前很多網(wǎng)絡公司需要考慮的重要問題。
例如在本案中法院認為cookie識別的信息是網(wǎng)絡用戶的上網(wǎng)蹤跡，而不是能識別出個人信息的信息，因此上網(wǎng)蹤跡是匿名的，不具備個性特征的。但是目前的技術是否僅僅能反應用戶目前的購物傾向，就不能識別個人的信息呢？但隨著信息技術發(fā)展的速度，一些技術的識別更加快速準確能夠定位到個人信息，勢必是需要加以規(guī)制的，雖然目前對于個人信息的界定還在學術界與司法裁判研究發(fā)展中，但是能夠反映個人信息特征而不被信息主體同意的而被收集、使用、販賣的，都涉及民法典草案中的保護個人信息權益。
結論：這里必須提到在西班牙法院的“岡薩雷斯訴谷歌公司案”中，當事人岡薩雷斯認為谷歌搜索引擎出現(xiàn)的銜接中反復出現(xiàn)其個人信息，內(nèi)容是當事人岡薩雷斯拖欠保險費用而被拍賣其財產(chǎn)的內(nèi)容，要求谷歌公司予以刪除，行使其被遺忘權，最終西班牙數(shù)據(jù)保護局支持了當事人岡薩雷斯的訴求，責令谷歌斷開銜接，認為網(wǎng)絡銜接不僅具有經(jīng)濟價值，同時具有公共利益的本質(zhì)，需要平衡個人利益與公共利益在數(shù)據(jù)上達到平衡，因此支持當事人的訴權。在此案中GDPR條例都尚未生效，但是基于個人利益與公共利益角度此案的判定找到了依據(jù)，結合本案cookie技術對于個人上網(wǎng)蹤跡的跟蹤，定向根據(jù)用戶需求提供對應的廣告。如果按照即將出臺的民法典草案，在其中的第一千零三十二條第二項規(guī)定的“個人私密活動”。該“私密活動”是否包括了個人的上網(wǎng)蹤跡，此上網(wǎng)蹤跡在法院看來僅僅具有經(jīng)濟利益，只是匿名行為（大部分網(wǎng)路應用軟件已要求實名制），隨著信息時代技術越發(fā)發(fā)達，是否該技術會帶來新的人權侵犯，用戶的“被遺忘權”是否可以得到支持？
2014年5月13日，歐洲法院（EuropeanUnion Court of Justice）發(fā)布谷歌（西班牙）公司和谷歌公司訴西班牙數(shù)據(jù)保護局和岡薩雷斯（GoogleSpain SL, Google Inc. v AEPD and Mario Costeja González，以下簡稱為“谷歌數(shù)據(jù)隱私案”）一案的判決書，裁定谷歌西班牙公司敗訴，必須移除原告相關網(wǎng)絡搜索鏈接信息。（5）
被侵犯新型隱私權及個人信息保護的當事人所遭遇的現(xiàn)實情況被司法支持的可能性增加，也是現(xiàn)代企業(yè)尤其需要注意的必然性現(xiàn)實！
我們身處在信息技術工業(yè)革命的時代，對個人上網(wǎng)隱私與信息權益的制度建立與司法裁判，對于立法者、司法審判員、互聯(lián)網(wǎng)企業(yè)家們對新型權益的價值判斷、利益衡量及個人權益保護必須多一些換位思考及行動。在制度與實務上共創(chuàng)一個既能保護個人信息權又能使網(wǎng)絡信息企業(yè)持續(xù)創(chuàng)新發(fā)展的信息時代社會。
注釋：
（1）民法典草案第四編人格權編 （2019年12月16日草案稿）
第一千零三十二條 自然人享有隱私權。任何組織或者個人不得以刺探、侵擾、泄露、公開等方式侵害他人的隱私權。
隱私是自然人的私人生活安寧和不愿為他人知曉的私密空間、私密活動、私密信息。
第一千零三十三條 除權利人明確同意外，任何組織或者個人不得實施下列行為：
（一）以短信、電話、即時通訊工具、電子郵件、傳單等方式侵擾他人的私人生活安寧；
（二）進入、窺視、拍攝他人的住宅、賓館房間等私密空間；
（三）拍攝、錄制、公開、窺視、竊聽他人的私密活動；
（四）拍攝、窺視他人身體的私密部位；
（五）收集、處理他人的私密信息；
（六）以其他方式侵害他人的隱私權。
第一千零三十四條 自然人的個人信息受法律保護。
個人信息是以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別特定自然人的各種信息，包括自然人的姓名、出生日期、身份證件號碼、生物識別信息、住址、電話號碼、電子郵箱地址、行蹤信息等。
個人信息中的私密信息，同時適用隱私權保護的有關規(guī)定。
第一千零三十五條 收集、處理自然人個人信息的，應當遵循合法、正當、必要原則，不得過度收集、處理，并符合下列條件：
（一）征得該自然人或者其監(jiān)護人同意，但是法律、行政法規(guī)另有規(guī)定的除外；
（二）公開收集、處理信息的規(guī)則；
（三）明示收集、處理信息的目的、方式和范圍；
（四）不違反法律、行政法規(guī)的規(guī)定和雙方的約定。
個人信息的處理包括個人信息的使用、加工、傳輸、提供、公開等。
第一千零三十六條 自然人可以向信息控制者依法查閱、抄錄或者復制其個人信息；發(fā)現(xiàn)信息有錯誤的，有權提出異議并請求及時采取更正等必要措施。
自然人發(fā)現(xiàn)信息控制者違反法律、行政法規(guī)的規(guī)定或者雙方的約定收集、處理其個人信息的，有權請求信息控制者及時刪除。
第一千零三十七條 收集、處理自然人個人信息，有下列情形之一的，行為人不承擔民事責任：
（一）在該自然人或者其監(jiān)護人同意的范圍內(nèi)實施的行為；
（二）處理該自然人自行公開的或者其他已經(jīng)合法公開的信息，但是該自然人明確拒絕或者處理該信息侵害其重大利益的除外；
（三）為維護公共利益或者該自然人合法權益，合理實施的其他行為。
第一千零三十八條 信息收集者、控制者不得泄露、篡改其收集、存儲的個人信息；未經(jīng)被收集者同意，不得向他人非法提供個人信息，但是經(jīng)過加工無法識別特定個人且不能復原的除外。
信息收集者、控制者應當采取技術措施和其他必要措施，確保其收集、存儲的個人信息安全，防止信息泄露、篡改、丟失； 發(fā)生或者可能發(fā)生個人信息泄露、篡改、丟失的，應當及時采取補救措施，依照規(guī)定告知被收集者并向有關主管部門報告。
第一千零三十九條 國家機關及其工作人員對于履行職責過程中知悉的自然人的隱私和個人信息，應當予以保密，不得泄露或者向他人非法提供。
（2）2014年10月13日作出（2013）鼓民初字第3031號民事判決：一、北京百度網(wǎng)訊科技有限公司于判決生效之日起10日內(nèi)向朱燁賠禮道歉（如北京百度網(wǎng)訊科技有限公司未按判決進行賠禮道歉，法院將通過相關媒體公告判決書的內(nèi)容，由此產(chǎn)生的費用由北京百度網(wǎng)訊科技有限公司承擔）；二、北京百度網(wǎng)訊科技有限公司于判決生效之日起10日內(nèi)賠償朱燁公證費損失1000元；三、駁回朱燁的其他訴訟請求。
宣判后，百度網(wǎng)訊公司提出上訴，江蘇省南京市中級人民法院于2015年5月6日作出（2014）寧民終字第5028號民事判決：一、撤銷江蘇省南京市鼓樓區(qū)人民法院（2013）鼓民初字第3031號民事判決；二、駁回朱燁的全部訴訟請求。
（3）民法典草案第一千零三十八條：“信息收集者、控制者不得泄露、篡改其收集、存儲的個人信息；未經(jīng)被收集者同意，不得向他人非法提供個人信息。”
（4）《通用數(shù)據(jù)保護條例》（General Data Protection Regulation，簡稱GDPR）為歐洲聯(lián)盟的條例，前身是歐盟在1995年制定的《計算機數(shù)據(jù)保護法》。
2018年5月25日，歐洲聯(lián)盟出臺《通用數(shù)據(jù)保護條例》。
2019年7月8日，英國信息監(jiān)管局發(fā)表聲明說，英國航空公司因為違反《一般數(shù)據(jù)保護條例》被罰1.8339億英鎊（約合15.8億元人民幣）。
（5）歐盟法院在本案判決書中指出，歐洲網(wǎng)絡用戶可以要求谷歌公司從其互聯(lián)網(wǎng)搜索結果中刪除涉及個人的敏感信息，以保護自己的“被遺忘權”（the right to be forgotten）。附隨本案判決書的歐盟法院法律顧問官意見書同時對該判決意見進行了詳細地法律論證。裁判生效后，谷歌公司執(zhí)行了歐盟法院的判決，并增加了歐盟用戶“被遺忘權申請”的在線申請程序。
律師簡介
林浩鼎 高級顧問
北京云亭律師事務所
手機：13718518925
座機：010-59449968
郵箱：linhaoding@yuntinglaw.com
林浩鼎，北京云亭律師事務所高級顧問。在香港、臺北、北京從事國際法律業(yè)務、資本市場與金融專業(yè)法律服務十余年。
林浩鼎博士先后畢業(yè)于“臺灣東海大學”法律系、美國南新罕布什爾大學國際金融與法律碩士、北京大學法學院民商法學博士。在“臺灣高等法院”“桃園地方法院”擔任過法官助理、在香港知名金融集團擔任董事局法律顧問，通過中國內(nèi)地律師執(zhí)照考試，并在北京大學經(jīng)濟學院中國信用研究中心擔任經(jīng)濟法律研究員。熟悉中國內(nèi)地、香港、臺灣地區(qū)與美國的商事法律法規(guī)及英屬維京群島、開曼、薩摩亞等離岸公司設立、外商投資、并購、金融與資本市場的監(jiān)管規(guī)定。
林浩鼎博士擅長協(xié)助中國內(nèi)地、香港、臺灣地區(qū)的企業(yè)及海外客戶，在各地設立公司或基金，安排股權架構，設計交易結構和準備法律文件，使得相關交易既符合法律的規(guī)定又能實現(xiàn)商業(yè)的目標。并在深圳與香港有專門負責歐洲投資移民的合作團隊。
