隱私權、個人信息保護糾紛

陜西浩公律師事務所 民商事研究院 文章/ 王鈺涵

1、案件信息

羅某訴某科技有限公司隱私權、個人信息保護糾紛案

2、裁判要點

1）判斷處理個人信息是否屬于“為訂立、履行個人作為一方當事人的合同所必需”，可以結合有關法律法規及規章、規范性文件等對必要個人信息范圍的規定，并考量合同的類型、內容等作出認定。如果不處理有關信息將使合同約定的基本功能服務或者用戶自主選擇的附加功能服務無法實現的，可以認定該個人信息處理行為屬于訂立、履行合同所必需，反之則不予認定。

2）在收集用戶畫像信息并非提供網絡服務所必需的情況下，網站或者軟件登錄注冊界面收集該信息時，未向用戶提供不同意提交相關信息情況下的其他登錄方式的，屬于用戶非自愿同意提供個人信息；用戶主張侵害其個人信息權益的，人民法院依法予以支持。

3、案件事實

某科技有限公司（以下簡稱某科技公司）運營某英語學習網站及兩款APP。2021年1月15日，某科技公司在未征得羅某同意的情況下，通過線下合作體驗店收集羅某兩個手機號碼，為羅某創建案涉某英語學習網站的賬號密碼，并向羅某手機發送多條相關信息。2021年1月20日，為了解賬號情況，羅某在案涉某英語網站和案涉APP賬號登錄頁面輸入手機號、密碼并點擊登錄，即出現若干問答界面，要求用戶填寫“職業”、“學習目的”、“學齡階段”、“英語水平”等內容，不填寫相關信息則無法繼續登錄過程。填寫完成后，還需填寫個人基本信息界面，輸入中英文名等必填內容才能完成注冊。上述過程中并無“跳過”、“拒絕”等選項，亦無授權同意收集個人信息的提示。羅某以隱私權、個人信息保護糾紛為由提起訴訟，訴稱：案涉網站和APP未告知個人信息收集政策，強制收集羅某手機號、用戶畫像等信息，并超范圍使用，侵害其個人信息權益；同時，案涉網站未經允許向其發送營銷短信的行為侵擾其私人生活安寧，侵害其隱私權。為知曉某科技公司處理個人信息情況，以確定刪除范圍，羅某向某科技公司提出了查閱、復制個人信息的請求，某科技公司依羅某請求提供相關資料，但羅某認為某科技公司提供的系統截圖不夠及時、不夠清晰。據此，請求法院判令某科技公司向其提供清晰的個人信息副本、停止侵權、刪除個人信息、公開賠禮道歉并賠償損失人民幣2900元。某科技公司辯稱：案涉個人信息為其合作的線下體驗店所收集，其并無違法收集、處理個人信息，侵害羅某生活安寧的主觀故意。其經營的案涉網站和APP提供的服務，需要根據不同用戶需求，為用戶推薦合適內容，即通過自動化決策方式向用戶進行信息推送是其網站和APP的基本功能服務，收集用戶畫像信息用于自動化決策是提供服務所必需，故不需要取得用戶個人同意。而且，羅某主動填寫信息，實際系通過自己的主動行為同意某科技公司的收集行為。因此，某科技公司收集羅某用戶畫像信息的行為不構成侵權。

4、爭議焦點

某科技公司以自動化決策推送信息為由收集用戶畫像信息的行為，是否屬于應當取得個人同意的法定例外情形。《中華人民共和國民法典》第一千零三十五條確立了個人信息處理的“告知—同意”規則，同時也規定了取得個人同意的法定例外情形。鑒于民法典的相關規定較為原則，在本案審理中，《中華人民共和國個人信息保護法》已公布施行，且某科技公司以個人信息保護法的相關規定進行抗辯，故本案審理中參照了個人信息保護法的相關精神。具體而言，個人信息保護法第十三條第一款第二項將“為訂立、履行個人作為一方當事人的合同所必需”規定為取得個人同意的法定例外情形。對于“合同所必需”的認定，可以結合有關法律法規及規章、規范性文件等對必要個人信息范圍的規定，并考量合同的類型、內容等作出認定：如果信息處理的缺位將使合同約定的基本功能服務或者用戶自主選擇的附加功能服務無法實現的，可以認定為訂立、履行合同所必需，反之則不予認定。其一，從相關行業規范來看，國家互聯網信息辦公室、工業和信息化部、公安部、國家市場監督管理總局發布的《常見類型移動互聯網應用程序必要個人信息范圍規定》（國信辦秘字〔2021〕14號）明確規定，學習教育類APP基本功能服務為“在線輔導、網絡課堂等”，必要個人信息為注冊用戶移動電話號碼。以此為參考，案涉APP作為學習教育類APP，其基本功能服務并不包括通過自動化決策方式向用戶進行信息推送。由此，某科技公司以其業務模式系通過自動化決策方式向用戶進行信息推送為由，主張收集用戶畫像信息是其提供服務的基礎，沒有依據。換言之，用戶畫像信息并非案涉APP提供服務的必要個人信息。其二，從產品功能設置來看，“履行合同所必需”應限定在基本功能服務或者用戶在有選擇的情況下自主增加的附加功能服務。若收集的個人信息與基本功能服務或者用戶自主選擇的附加功能服務有直接關聯，缺乏有關個人信息將導致服務功能無法實現，才屬于“履行合同所必需”。本案中，案涉APP基本功能服務為提供在線課程視頻流和相關圖文、視頻等信息，收集用戶畫像信息并非其基本功能服務所必需，亦無證據表明羅某曾自主選擇使用附加功能服務，故某科技公司以其實現自動化決策功能服務為由徑直收集用戶畫像信息行為的依據不足，不構成無需取得個人同意即可處理用戶個人信息的法定情形，即某科技公司收集用戶畫像信息應當取得羅某同意。其三，個人信息保護法第十六條規定：“個人信息處理者不得以個人不同意處理其個人信息或者撤回同意為由，拒絕提供產品或者服務；處理個人信息屬于提供產品或者服務所必需的除外。”案涉軟件在用戶首次登錄界面要求用戶提交職業類型、學齡階段、英語水平等用戶畫像相關信息時，未提供“跳過”或者“拒絕”等選項，也未提供不同意提交相關信息情況下的其他替代性登錄方式，使得用戶提交相關信息成為登錄的唯一途徑。此種產品設計將導致不同意收集相關信息的用戶，出于使用軟件的目的，不得不勾選“同意”提供相關信息，否則只能放棄對案涉軟件的使用。此種情形下“同意”提供個人信息，實際是在用戶非自愿的情況下作出，不符合個人信息保護法第十四條第一款“基于個人同意處理個人信息的，該同意應當由個人在充分知情的前提下自愿、明確作出”的規定，不產生取得個人同意的效力。綜上，某科技公司在不具有取得個人同意的法定例外事由情況下，未經同意收集羅某用戶畫像信息的行為，侵害羅某個人信息權益。

5、裁判結果

北京互聯網法院于2022年8月1日作出（2021）京0491民初5094號民事判決，判令某科技公司向羅某提供清晰的個人信息副本，停止關于羅某名下兩部手機號碼及其用戶畫像信息、賬號密碼信息、訂單信息等個人信息的處理行為和刪除相關個人信息，以書面形式向羅某賠禮道歉并賠償律師費、取證費合計人民幣2900元。宣判后，某科技公司提起上訴。

北京市第四中級人民法院于2022年11月28日作出（2022）京04民終494號民事判決：駁回上訴，維持原判。