侵害消费者个人信息权益的司法认定及责任承担

——谷某、杨某某与深圳市好莱坞娱乐文化有限公司等网络侵权责任纠纷案

袁玥 李楚

裁判要旨：

消费者在经营者提供的包间内的活动具有私密性，经营者擅自公开包间内监控录像，构成对消费者隐私权的侵害，应当依法承担民事责任。经营者因提供商品或服务获取的消费者个人微信账号属于个人信息，擅自公开构成对消费者个人信息权益的侵害，消费者请求经营者删除违法公开的个人信息并承担赔礼道歉、赔偿损失等民事责任，人民法院应依法予以支持。

案例索引：

广州互联网法院（2021）粤0192民初13940号。

一、案情

原告（反诉被告）：谷某、杨某某。

被告（反诉原告）：深圳市好莱坞娱乐文化有限公司（以下简称好莱坞公司）。

反诉被告：郭某、白某某、高某某、张某某。

谷某、杨某某、郭某、白某某、高某某、张某某六人通过微信预约于2021年4月4日前往好莱坞公司经营的实体店铺包间内进行剧本杀游戏。游戏结束后，谷某、杨某某等人通过大众点评对好莱坞公司给予低分差评。2021年4月9日，好莱坞公司在其微信公众号发布《澄清声明》，指责谷某等人恶意发布差评，披露公司工作人员与谷某等人的微信群聊截图、游戏包间监控录像片段以及六人的微信个人账号昵称、头像、微信号等信息，称“可向公众提供全程监控录像”。谷某、杨某某认为，好莱坞公司上述行为侵害两人隐私权、名誉权和个人信息权益，请求判令好莱坞公司停止侵害、赔礼道歉、赔偿精神损害抚慰金。好莱坞公司则认为，其发布声明是为了交代服务过程、还原真相，减少“差评”带来的不利影响，属于合理使用谷某等人个人信息；监控录像用于记录店铺经营活动，且对谷某等人露脸处打了马赛克；呈现的微信头像、昵称、微信号等信息无法识别谷某等人，不属个人信息范畴，未侵害其隐私权、个人信息权益；且谷某等发布差评系借机诽谤行为，故提起反诉，请求判令谷某等承担侵权责任。

二、审判

广州互联网法院审理认为，本案纠纷发生于消费者与经营者之间，应根据《中华人民共和国消费者权益保护法》（以下简称《消费者权益保护法》）有关消费者权益保护的规定、《中华人民共和国民法典》（以下简称《民法典》）有关隐私权的规定和《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》）有关个人信息保护等规定加以评析。

一是消费者在经营场所包间内的活动具有私密性，应根据《民法典》有关隐私权的规定对经营者公开包间内监控录像的行为进行认定。经营场所包间一般独立于公共区域，消费者对其在包间内的活动不为他人知晓具有合理预期，应认定属于《民法典》第一千零三十二条[①]规定的“私密活动”。好莱坞公司对谷某等六人在房间内的游戏活动进行拍摄，擅自截取部分监控视频于互联网上公开，属于违法“公开他人私密活动”行为，应当预见录像通过互联网公开后，他人可随意下载、传播甚至进行不当使用，故好莱坞公司的行为构成侵害隐私权。好莱坞公司系监控录像控制者，并表示可向公众提供全程录像，可见其具有随时向他人提供录像的能力及可能性，谷某等人隐私面临随时可能公开的现实危险，客观上造成谷某等人精神困扰，影响其生活安宁。因此，好莱坞公司通过互联网公开案涉监控录像片段，并表示可向公众提供全程监控录像，亦构成对谷某等人隐私权的侵害。

二是根据《个人信息保护法》第四条第一款[②]规定，个人微信账号是否属于个人信息存在相对性。经营者因提供商品或服务获取消费者个人微信账号，于经营者而言，因其能够识别特定消费者，故属于个人信息范畴。《个人信息保护法》第十三条规定了个人信息处理者处理个人信息应当遵循的规则，除该条第一款第二项至第七项规定的情形外，个人信息处理者处理个人信息应当取得个人同意。本案中，好莱坞公司作为个人信息处理者，以“希望不会有更多受害者”为由，公开谷某等人微信个人账号，未事先取得谷某等人同意，也非因履行剧本杀服务合同所必需，故不属于法定不需取得个人同意可处理个人信息的情形。因此，好莱坞公司上述行为构成对谷某等人的个人信息权益侵害。

三是根据《民法典》第一千零三十七条第二款[③]和《个人信息保护法》第四十七条第一款[④]规定，本案中，好莱坞公司违反法律规定处理他人个人信息，谷某等人请求好莱坞公司删除案涉微信公众号文章中相关的微信个人账号信息，于法有据，应予支持。

综上，依照《消费者权益保护法》第二条、第三条、第十四条、第五十条、第五十一条，《民法典》第九百九十九条、第一千条、第一千零二十四条、第一千零三十二条、第一千零三十三条第三项，《个人信息保护法》第四条、第十三条的规定，判决：一、好莱坞公司立即停止在其微信公众号公开监控录像，删除“可提供全程监控录像”表述及谷某、杨某某的微信个人账号信息；二、好莱坞公司通过微信公众号发布致歉声明；三、好莱坞公司赔偿谷某、杨某某精神损害抚慰金各1000元；四、驳回谷某、杨某某的其他诉讼请求；五、驳回好莱坞公司的全部反诉请求。

宣判后，双方当事人未提出上诉，判决已发生法律效力。

三、评析

《个人信息保护法》施行前，《消费者权益保护法》《民法典》对侵害个人信息权益的民事责任承担方面均有规定。《个人信息保护法》对信息处理者的行为提出明确要求，亦对个人信息的权利类型予以规定。本案面临的首要问题即是各单行法如何衔接适用。

关于《个人信息保护法》属公法还是私法、该法与《民法典》关系问题存在争论。有观点认为，《个人信息保护法》保护个人信息上的人格权，属于民法特别法[⑤]。亦有观点认为，不能将《个人信息保护法》视为民法特别法，只有违反《个人信息保护法》的行为造成权利人民事权益损害的，《民法典》才从民事责任追究方面进行衔接[⑥]。还有观点认为，违反个人信息保护规则的行为未必侵害人格权，需要结合个案具体情形、对冲突利益进行衡量才能得出结论[⑦]。

（一）《个人信息保护法》与《民法典》有关规定构成特别法与一般法的关系

首先，对被公开的微信个人账号（部分打码处理）是否属于个人信息，相较于《民法典》第一千零三十四条，优先适用《个人信息保护法》第四条。《民法典》采用“识别”标准，即要求个人信息必须具有识别性。相比之下，后者对个人信息的定义不仅保留“信息→人”的识别性标准，还增加了“人→信息”的关联性标准，将信息内容本身可能不具有识别性、但已与特定自然人形成稳定关联的信息同样纳入个人信息范畴，更有利于本案原告的权益保护。

其次，对好莱坞公司公开微信个人账号这一个人信息处理行为的合法性评价，相较于《民法典》第一千零三十五条规定，优先适用《个人信息保护法》第十三条。后者扩大了处理个人信息的合法性基础，将履约、法定职责等其他条件纳入合法基础范围，且保留了兜底性条款，打破了《中华人民共和国网络安全法》确立的将同意作为收集使用个人信息的唯一合法性基础的局面，突出保护个人信息权益、规范个人信息处理活动、促进个人信息合理利用的三重实践意义，与《个人信息保护法》第一条立法宗旨契合。

再者，对好莱坞公司应如何承担侵权责任，综合考量《民法典》第一千一百六十五条[⑧]、《个人信息保护法》第六十九条、《消费者权益保护法》第五十条之间的关系与效用，最终适用后者，展示了个人信息保护领域特殊的“三重竞合”现象及分析方法。

最后，关于个人信息侵权责任的归责原则，《民法典》确立过错责任为一般归责原则；而依据《个人信息保护法》第六十九条第一款规定“处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。”应当采用过错推定原则。《民法典》第一千一百六十五条第二款规定：“依照法律规定推定行为人有过错，其不能证明自己没有过错的，应当承担侵权责任。”《个人信息保护法》第六十九条第一款即构成此处的“依照法律规定”，可以适用《民法典》的过错推定原则。上述两个条款相结合，构成了完整的个人信息侵权责任归责原则。本案众原告作为消费者，可以借助《消费者权益保护法》的特别法属性，解决经营者与消费者之间存在的固有诉讼地位、举证能力不对等的问题，彰显法律对经营者侵害消费者个人信息权益行为的教育与矫正，也更有利于凸显对消费者权益与个人信息权益的“双重保护”。

（二）消费者在经营者提供的包间内的活动具有私密性

1.个人信息保护与隐私权规则的衔接适用

经营者因提供服务所需而拍摄的监控录像，是对消费者游戏活动的信息化，录像中含有消费者生物识别信息，不仅属于个人信息，还包括敏感信息。经营者拍摄录像及公开等行为，显然也属于对个人信息的处理。但因前述行为可纳入隐私权规则范围，故优先适用隐私权相关规则，不再就前述行为是否侵害个人信息权益进行单独评价。

2.公共场所内的活动是否构成隐私

《民法典》第一千零三十二条规定，隐私是自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息。公共场所也可能有部分场景带有个人私密属性，如何界定公民在公共场所的行为是否属于隐私，可采用合理隐私期待标准，即公民处在公共场所时是否享有对隐私权的合理期待。

客观方面，可从公共场所性质、个人行为性质和披露信息属性三个维度考虑。公共场所性质方面，若行为人处在人流量很大的公共场所如商场，应认定其隐私期待较低；如处在被他人注意可能性较低的公共场所，如有物理隔断的饭店、四周无人的小路，则可认定其隐私期待较高。个人行为性质方面，如行为人虽处于公共场所中，但在角落小声打电话，仍应认定其具有较高隐私期待，反之，如明知处于公共场所仍高声谈论个人信息且无其他防范措施，则可认定其隐私期待程度很低。披露信息属性方面，如行为人披露的信息从一般理性标准来看具有很强私密性或敏感性，应认定其具有一定隐私期待；如仅为大众认知中不会造成较大影响的普通信息，则应认定其隐私期待很低。

主观方面，可以从信息披露对象、信息披露范围、信息泄露风险三个维度考虑。信息披露对象和范围方面，如行为人与父母、配偶、子女等亲密性较强的对象透露相关信息，知悉范围较小且可以预见不会大范围传播，可以认定其隐私期待较高；如行为人在公共场所集体聚会中随意谈论个人信息，知悉范围较大且能够预见可能会被传播，应认定其隐私期待较低。信息泄露风险方面，如行为人明知其身处公共场所监控可见区域，如繁华市区马路、百货商场中心，则其很难主张具有较高隐私期待；如处于无监控的餐厅包间，则可以认定其隐私期待较高。

具体到本案，案涉监控录像拍摄于好莱坞公司经营的剧本杀店铺包间内，通过物理隔离的方式独立于店铺公共区域；根据日常生活经验，消费者在房间内进行剧本杀游戏时，他人不得随意进出房间干扰。房间内仅有原告等六人和游戏主持人，其对在房间内的活动不为他人知晓具有合理预期；未有证据显示原告等人曾被事先告知房间内安装了监控摄像头，其亦不愿意让不特定公众知晓其在包间内的活动。因此，虽然该空间系经营场所，属于公共场所，但原告等人具有较高的合理隐私期待，其在该房间内的活动具有私密性。好莱坞公司在未经原告等人同意的情况下，截取部分监控视频，通过其注册使用的微信公众号进行公开，属于法律规定的“公开他人私密活动”行为，构成对原告等人隐私权的侵害。

（三）经营者因提供商品或服务获取的消费者个人微信账号属于个人信息

1.《个人信息保护法》强调个人信息相对性

微信个人账号是否属于个人信息是本案争议焦点之一。经营者认为被公开的微信个人账号信息已打码处理，公众并不知晓由谁使用，不能据此识别特定自然人，故不属于法律定义的自然人个人信息；消费者则主张能够通过微信个人账号“昵称”“头像”“性别”“位置”等结合识别到消费者个人，显属个人信息。由此可见，《个人信息保护法》《民法典》虽然都对个人信息的定义予以明确，但表述有所区别，由此产生法律适用难题，需要通过司法裁判明确个人信息审查标准，使社会对个人信息的概念有较为清晰准确的认识，以实现保护个人信息权益与促进个人信息合理利用的立法目的。

《个人信息保护法》规定“个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。”《民法典》规定“个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。”可见《个人信息保护法》在定义个人信息时更强调个人信息相对性，认定关键在于个人信息处理者是否知晓该信息即是某一特定自然人的信息，而不论该信息本身是否能够被他人直接或间接识别到特定自然人。具体而言，如果从信息本身出发，好莱坞公司公布原告等人微信个人账号信息时，对部分信息打码处理，公众难以直接或间接识别到本人，由此得出该部分信息无法认定为个人信息，进而不能对该信息的公开行为进行法律上的否定性评价。如果从信息主体角度出发，因好莱坞公司公开案涉微信个人账号信息时已明确知晓该信息属于原告等人，故不论公开信息是否完整，都应当受到《个人信息保护法》有关个人信息处理规则的约束，本案才能对其公开行为作出否定性评价。

2.违法处理个人信息需承担民事责任

（1）个人信息删除权受私法救济

个人信息删除权是指个人在法定或约定的事由出现时请求信息处理者删除其个人信息的权利[⑨]。《个人信息保护法》第四十七条在《民法典》第一千零三十七条规定的基础上，对行使个人信息删除权的具体情形加以明确。

消费者要求经营者删除已公开的个人信息，既可适用《个人信息保护法》第四十七条、《民法典》第一千零三十七条第二款有关个人信息删除权的规定，也可适用《民法典》第九百九十五条有关人格权请求权的规定，以及《消费者权益保护法》第五十条有关经营者因侵害消费者个人信息依法得到保护的权利应承担责任的规定。从承担民事责任的方式来看，停止侵害最直接的方式即是删除相关个人信息。

个人信息删除权这一制度旨在保护个人对其个人信息的控制。本案涉及违法公开个人信息问题，且经营者系通过互联网向不特定对象公开原告等人的微信个人账号信息，该行为实质上产生了原告等人无法控制该信息的后果，该信息可能被他人非法获取，同类经营者获取后可能拒绝向原告等人提供服务，进而损害原告等人公平交易的权利；也可能产生原告等人被网络暴力（人肉搜索），或被违法犯罪分子利用实施网络诈骗等严重损害原告等人人身、财产安全的后果。因此，保障权利人向信息处理者提出删除请求或提起诉讼的权利，关系到删除权这一权能作用的充分发挥，也是人格权司法保护的内在要求。

（2）删除信息的方式和对象需根据个案具体认定

法律并未对“删除”进行明确界定，理由在于，“删除”作为处理信息的一种方式，在“删除个人信息应达至该信息不可用的效果”形成共识的情况下，无论是物理上销毁存储介质还是技术上使信息消失（即不可被检索、访问[⑩]等），只要能达到删除效果，即无需再明确具体删除方式。此外，对删除信息方式和对象的要求，还取决于违法处理个人信息的行为类型、信息内容、权利人主张等。如经营者未经信息主体单独同意，将其个人信息发布于互联网，属于违法公开个人信息，那么请求删除的对象应限于违法公开的该部分个人信息。在信息主体未提出删除存储于系统中的个人信息时，判决删除互联网公开的个人信息即可。具体而言，好莱坞公司因提供服务所需获取原告等人个人信息，除微信个人账号外，微信聊天记录、支付记录等均属于其可能处理的个人信息。因本案仅审理好莱坞公司违法公开原告等人微信个人账号的问题，原告也仅诉请其删除微信个人账号信息，故判决好莱坞公司删除公众号文章中的个人信息即可，不再对其他个人信息处理行为予以审查。

（3）侵害个人信息、隐私权的损害赔偿责任

赔偿损失属于损害赔偿责任，与上述个人信息删除权不同。就删除权而言，只需发生法定或约定的信息处理者应当删除而未主动删除的情形即可行使该项请求权，并不以产生损害为前提，也不论信息处理者主观上是否有过错。损害赔偿请求权则必须满足侵权的构成要件，且适用过错推定原则。本案中，被诉侵权行为同时侵害了原告等人的个人信息权益和隐私权，虽然归责原则不同，但损害结果具有同一性，好莱坞公司主观过错明显，故可依法判令好莱坞公司承担赔礼道歉、赔偿损失等民事责任。

需注意的是，侵害隐私权、名誉权属一般侵权，其损害赔偿适用过错责任原则；而侵害个人信息权益是特殊侵权，适用过错推定责任原则，二者在举证责任分配上有所不同。在违法处理个人信息导致隐私权、名誉权受损害的情况下，因为损害后果具有同一性，带来的问题是：受害人如果主张名誉、隐私侵权，则适用过错责任，受害人要证明加害人主观上具有过错（包括过失）；主张侵害个人信息权益，适用过错推定责任，则由个人信息处理者证明其不存在过错。对此，可能需要考虑在违法处理个人信息导致侵害隐私权、名誉权等具体人格权的场景下，就侵权损害赔偿责任方面，统一适用过错推定责任原则。还应当注意的是，过错推定责任仅是对过错的推定，并不包括对因果关系的推定，因果关系的举证责任还是在受害人一方。

（作者单位：广州互联网法院）