Cookie跟踪中的隐私权保护

于莹,石浩男

摘 要：Cookie跟踪侵犯用户隐私已是不争的事实。以“双击诉讼”（DoubleClick Inc. Privacy Litig.）为代表的美国经验表明，否认Cookie跟踪隐私权侵权责任的成立，在主观要件、损害后果等裁判理由的背后，是隐私权保护让位于互联网行业发展的侵权法理念与价值选择。在我国《侵权责任法》的立法与司法现状之下，Cookie跟踪隐私权侵权责任的成立亦面临制度困境。但网络隐私安全的情感需求日益强烈、技术进步逐渐抵消互联网商业成本的发展趋势表明，应明确网络服务商对用户隐私的注意义务，在一般过错责任原则的框架下重新解释隐私权侵权责任的构成要件。因应社会发展，隐私权的内涵也由此获得了丰富和扩展。

关键词：Cookie跟踪;隐私权;“双击诉讼”;注意义务

作者简介：于莹，女，吉林大学法学院教授、博士生导师，从事民商法研究;石浩男，女，吉林大学法学院博士研究生，从事民商法研究。

中图分类号：D913 文献标识码：A 文章编号：1000-7504（2015）01-0089-08

央视“3·15”晚会集中曝光的互联网广告、搜索公司通过Cookie跟踪用户习惯、窃取用户信息，爱聊等通信软件自动读取用户通信录等侵犯用户隐私的行为，以及广告企业掌握的庞大Cookie数据库让网络用户不寒而栗，其对隐私的摄取引起公众的关注。Cookie既可以用来储存有关使用者喜好的信息，也可以作为收集网络用户个人信息的工具。这一方面导致用户邮箱被垃圾邮件充塞，另一方面用户的购物习惯、消费喜好、经济状况等信息会被专门的数据库加工整理，贩卖给商家，其隐私被泄露。虽然隐私遭到侵犯，却很少有当事人对此提起诉讼要求赔偿。1

针对Cookie跟踪是否以及如何构成对用户隐私权的侵犯这一问题，本文首先梳理以“双击诉讼”为代表的美国经验，在法院的论证中归纳Cookie跟踪侵权责任构成要件方面美国的制度选择，并着力分析这一做法背后的侵权法理念与价值选择。在此基础上，在我国立法与司法的现状中考证Cookie跟踪侵权责任的成立，指出其面对的制度困境。最后，在网络隐私安全的情感需求日益强烈、技术进步逐渐抵消互联网商业成本的时代背景下，重新解释Cookie跟踪隐私权侵权责任的构成要件，给出我国的制度选择。

一、Cookie跟踪侵犯隐私权的否证：美国“双击诉讼”的立场

针对Cookie的侵权行为，美国从1996年起便不断地有用户提起诉讼。其中的一个典型例子是2001年美国的“双击诉讼”。1“双击”公司在2001年已经是互联网上最大的网络广告商。它利用Cookie技术，与11 000多个网站合作收集网络用户信息，并把他们作为发布广告的对象。针对该公司的用户人数众多，依联邦法律提起集团诉讼，指控其在光顾“双击”合作网站的用户的电脑硬盘上设置Cookie，并依据联邦法律——电子通信隐私法（Electronic Communications Privacy Act，简称ECPA）、联邦窃听法案（Federal Wiretap Act，简称FWA）、计算机欺诈与滥用法（Computer Fraud and Abuse Act，简称CFAA）——提出三个诉讼请求。与此同时，依据州法律提出四项诉讼请求：（1）构成普通法上的侵犯隐私权;（2）构成普通法上的不当得利;（3）构成普通法上对财产权的侵害;（4）违反了纽约一般商事法第22A章第350节以及第349节下的第a项。但是，一审的纽约南区地方法院驳回了原告依据联邦成文法的三项诉讼请求，并拒绝对依据州普通法提出的诉讼请求行使补充管辖权。

（一）驳回依联邦成文法的诉讼请求：Cookie跟踪侵犯隐私权的要件

1.驳回依ECPA的诉讼请求：“用户”与“合法授权”的界定

原告称，“双击”公司通过在用户电脑上设置Cookie，未经授权进入了提供电子信息的设备并获得了储存的电子通信信息，违反了ECPA第二章的第2701条a项之规定。尽管法院认同原告这一主张，但由于该行为同时属于第2701条c项免除责任的情形，即如果行为是经过（有线或电子通信）服务的使用者就他的或者提供给他的通信的授权则免除法律责任。因为“双击”合作网站也是ECPA中规定的“用户（user）”，因此当用户向“双击”合作网站提交包含个人信息的请求时，合作网站作为用户对“双击”的授权足以使被告免除责任。

笔者认为这里包含了两个重要的争议：一是“双击”合作网站是否也属于“用户”？二是即使“双击”合作网站也属于用户，他的单方允许能否成为对“双击”公司收集用户（网站的一般公众使用者）信息的一种合法授权？

18 U.S.C.第2510条将“用户”定义为，“任何一个使用电子通信服务或得到服务商充分授权使用此类服务的个人或实体”。从表面意义上来看，“双击”合作网站属于“用户”。因为他们既是实体，也使用了网络服务，并且通过订购得到了网络服务商的授权。原告对此提出了两点抗辩：对“用户”一词最自然的理解应是订购网络服务的自然人，而不是网页提供者;作为自然人的用户拥有财产权和隐私权概念下的个人电脑设备，访问的网站却无此权利。因此只有自然人本人才能授权别人接近和使用自己的电脑设备。但法院坚持“双击”合作网站属于“用户”。首先，依据18 U.S.C.第2510条，网站是经过网络服务供应商（ISP）授权使用互联网的实体，“实体”一词的定义说明法律没有区分自然人和非自然人的使用者。而且不是只有“自然人”才能注册使用互联网，任何主体在使用网络时，不是网络服务供应商，就是使用网络服务供应商服务的主体。其次，第2701条c项明确规定，（有线或电子通信）服务的使用者有权对他的或者提供给他的通信进行授权。也就是说，不是只有本人才能进行授权。还有一种假设，尽管原告没有提到也特别值得一提，即原告可以从网站只是一个被动的、消极的存储容器的角度主张只有人才是“用户”，网站只是供人来使用的。但是网站的工作原理证明这种假设是错误的。因为网络功能需要通过打包转换以及动态路径的选择才能得以实现，人们不可能从一个消极的接收器那里获得信息。2综上，法院依据ECPA的规定认定“双击”合作网站属于“用户”。

至于“双击”合作网站的单方允许能否成为对“双击”公司收集用户信息的一种合法授权，法院认为，原告通过GET、POST、GIF向“双击”合作网站提交信息都表明他们想要浏览这个网站。在GET和POST情形下，用户是自愿输入信息，比如查询的内容、交易指令以及个人信息等。在GIF情形下，信息的收集是通过用户使用鼠标或其他工具浏览网页时产生。尽管用户是通过点击，而不是通过输入来发送请求，但这种点击仍是有意识的、自愿的。综上，法院认为用户请求浏览网站时通过GET、POST、GIF提交的信息都是出于自愿的，依据第2701条c项的规定，网站对自愿提供给它的通信内容可以授权其他人使用。

2.驳回依FWA的诉讼请求：“犯罪或侵权的目的”的判断

原告诉称，将Cookie安置在原告硬盘上构成了截取电子通信行为，违反了ECPA的第一章。“双击”公司承认使用Cookie技术构成了截取电子通信的行为，但认为自己的行为不必承担责任，因为其行为符合18 U.S.C.第2511条第2、第4项的“一方同意”的情形，即在通信一方同意的情况下，截取行为并不违法，除非截取行为是出于“犯罪或者侵权的目的”。最终法院判定存在“一方同意”的情形，理由与驳回第一个诉讼请求相同。至于被告是否存在“犯罪或侵权目的”，原告认为，既然被告实施了侵权行为，其主观上一定具备实施侵权的目的。法院最终否定了被告存在实施侵权的意图。法院详细介绍了立法过程，指出犯罪或侵权意图要被严格解释为适用于诸如录制他人谈话以备胁迫或敲诈的行为，而大量的证据表明，“双击”公司收集用户信息的目的是正当的商业目的，而非犯罪或侵权。而且法院还依据法院判决说明，原告不能仅凭被告实施了侵权或犯罪行为就认定其具有犯罪或侵权的意志。1

笔者存在这样一个疑问：将犯罪或侵权意图严格限制在诸如录制他人谈话以备胁迫或敲诈的行为，相较于现在的侵权责任法中行为人违反注意义务即构成主观上的过错，范围是否过于狭窄，是否导致许多侵权行为无法得到救济？

3. 驳回依CFAA的诉讼请求：“损害或损失”的构成

原告诉称，被告违反了计算机欺诈与滥用法。该法的主要目的是保护联邦政府以及金融和医疗机构等“受保护的计算机”。该法禁止为了获取敏感信息如有关国防、金融和消费者信用记录等信息，未经授权而进入“受保护计算机系统”。2依据18 U.S.C.第1030条（a）项的规定，任何人在没有授权或超越授权范围的情况下有目的地接近受保护的计算机并从中获取信息，如果该行为涉及州际或国家之间的通信，那么将受到18 U.S.C.第1030条（c）的惩罚。同时，CFAA也通过18 U.S.C.第1030条（g）为受害者提供了一种民事救济。依据该项规定，任何人若因其他人违反本节的行为而遭受损害或损失，均可以对违反者提起民事诉讼以寻求补偿性赔偿金和禁令救济或其他等同的救济。但这里的赔偿金仅限于经济上的损害赔偿，且18 U.S.C.第1030条（e）（8）明确规定对数据、项目、体系或信息的完整性或可用性的破坏必须满足以下条件之一时才可以构成“损害”：（A）一年内对一个或一个以上的个体造成的损失累积起来必须达到5 000美元; （B）损害了医疗系统;（C）造成身体上的损害;（D）威胁到公共健康和安全。

此处，引起争议的是，“损害（damage）”与“损失（loss）”的含义是否相同。18 U.S.C.第1030条（g）规定，被害人对遭受的损害或损失均可以提起民事诉讼。但18 U.S.C.第1030条（e）（8）却设定了“损失”必须达到5 000美元的最低救济门槛。在本案中，“双击”公司并没有辩称原告的电脑不在本法案“受保护的计算机”范围内，或它对用户信息的收集是经过授权的，而是从原告所主张的损失数额没有达到5 000美元最低救济门槛的角度进行抗辩。原告认为，“损失”不同于“损害”，因此不适用于第1030条（e）（8）所设定的最低门槛要求。

法院在对某一法条进行解释时，首先要考虑字面解释是否可行，如果字面解释导致法律含义模糊不清，再通过立法历史和其他材料进行解释。从字面上来看，1030（g）将“损害”和“损失”并列为诉由，表明两者含义是不同的，但1030（e）（8）对“损害”的情形进行列举时又在（A）项中使用“损失”一词，似乎又表明“损失”包含在“损害”中，因此仅从字面解释无法明确立法的含义。通过对立法历史的考察，法院发现“损害”和“损失”是作为两种不同的情形使用的。因为“损害”仅指经济上的损失，但在很多情形下受害者的损失很难准确地用经济上的损失来评估，因此为了弥补“损害”一词的局限性，故增用“损失”一词以达到保护的目的。但无论是“损害”还是“损失”均需达到5 000美元的最低救济门槛。据此法院认为，第1030条（g）项下的“损失”同样需要满足1030条（e）（8）所设定的5 000美元的最低门槛要求。

综合以上判决理由，我们可以得出：对于被告使用Cookie跟踪用户习惯、窃取用户信息的行为，原告若要使其承担侵权责任，首先需要证明被告实施了侵权行为;其次需要证明单独的一个侵权行为所造成的损害后果，无论是“损害或损失”均须达到5 000美元的最低数额要求;再次需要证明被告主观上存在犯罪或侵权的目的，且这种犯罪或侵权意图要被严格解释为诸如录制他人谈话以备胁迫或敲诈等行为;最后还需要排除被告不具备“获得一方同意”的免责事由。

（二）否认Cookie跟踪侵犯隐私权：侵权法理念与价值选择

美国第二次侵权行为法重述中说明：“在社会上，每个人均必须忍受某种程度的干扰、不便及干涉，且必须忍受某种程度的危险，以使吾等得以共同生活。有组织形态的社会之所以存在，在于‘互惠原则及‘自己存活并让他人存活之法则，从而侵权行为法并非在任何人之行为，对于他人造成有害效果时，均课予法律责任或移转损害于他人。‘法律仅在‘加害人之行为对被害人造成损害或危险，超越被害人（在系争环境下，无法获得补偿时）所应该承受之范围，始课予加害人责任。”1

美国第二次侵权行为法重述规定，构成私的妨害行为必须符合三个要件：第一，被告之行为须为故意或过失，或属于异常危险活动;第二，被告之行为必须欠缺合理性;第三，原告必须遭受重大损害，且该损害必须是社会上正常人所受之损害（亦即，非原告特别敏感所受之损害）。在财产受害时，该财产在通常情形下，必须为正常目的之使用而受之损害。

由此，我们可以推断：第一，在被告之干扰行为并非重大且为社会上一般人所通常经历并无法避免时，此种妨害行为不应成立侵权责任;第二，受害人所遭受之损害，必须依一般社会人的观念认定为重大损害;第三，被告之行为必须欠缺合理性，即在被告赔偿被害人之后，不至于因此停止其营业活动，否则，可认为是其正常营业之必须而排除违法性。换言之，损害赔偿责任之成立，目的不在于阻止被告之行为，而在于使被告承担赔偿损害之成本。是以，被告能否负担成本，对于其行为是否构成不合理之干扰行为，即具有重要性。[1]（P71）

结合美国法院的判决理由来看：首先，受害人仍难以主张自己遭受了重大损害2;其次，基于“任何对互联网的规制不应阻碍其发展”这一基本原则，在对此技术的合理性没有达成一致意见前，在“隐私权保护”与“互联网行业的发展”两个相冲突的利益之间，法院的态度会暂时倾向于后者，以实现社会利益的最大化;再次，Cookie跟踪软件尚难被认定为“异常危险活动”，故无法适用无过错责任原则，因此要求被告之行为须为故意或过失行为。若仅是出于“精准投放广告”的商业目的，鉴于目前跨站跟踪分析用户上网习惯的做法已成为搜索等互联网企业的普遍做法，法院很难据此认为被告具有侵权的故意或过失。在美国，Cookie跟踪软件之所以不构成对公民普通法上隐私权的侵害，是法院在平衡互联网行业的利益后通过对现有的法律规则进行解释，有意做出的倾向性选择。

二、Cookie跟踪侵犯隐私权的中国制度现状

Cookie跟踪侵犯了用户隐私是一个确定的事实，但是否所有侵害隐私的行为均成立侵权责任，还要看是否具有法律依据和司法实践的态度。

（一）Cookie跟踪隐私权侵权责任的立法检视

1. 我国侵权责任法的功能定位：以受害人自我负担为原则的补偿功能

关于侵权责任法的功能，尽管我国学术界存在单一功能说、双重功能说和多重功能说三种主张，但是都认为补偿功能是其基本功能，即填补损害的功能。

但此补偿功能是以受害人自我负担为原则，以加害人负担损害为例外的。而非以加害人负担损害为原则，以受害人负担损害为例外。这就要求必须具备使加害人负担损害的充分理由，方有其承担侵权责任的适用余地。这从侵权责任法的规范构造可以窥见：当损害发生后，受害人欲寻求侵权法救济，必须负担举证责任，归责事由（原则）也是损害由受害人转移给加害人负担的合理理由，构成要件的符合性也是加害人侵权责任成立的必然要求。但如果将侵权责任法定位于以加害人负担损害为原则，以受害人负担损害为例外，则在损害发生场合，损害的发生将被视为加害人承担责任的唯一构成要件，加害人只能主张存在特定的免责事由，如不可抗力、意外事故、受害人过错等。1

2. 我国侵权责任法的进步：隐私权的确认

在侵权责任法颁布之前，我国对隐私权的保护采取的是一种间接保护的方式。我国《宪法》第38条、第39条、第40条关于公民人格尊严、私人住宅、通信自由和通信秘密的保护规定为其他部门法及司法解释保护公民个人隐私留下了广阔的空间。民法、刑法、诉讼法及未成年人保护法、统计法、银行管理暂行条例等单行法规中都有关于隐私权保护的零散规定。最高人民法院《关于贯彻执行中华人民共和国〈民法通则〉若干问题的意见（试行）》第140条，最高人民法院《关于审理名誉权案件若干问题的解答》等对于侵犯隐私的行为依侵害名誉权处理。最高人民法院《关于确定民事侵权精神损害赔偿责任若干问题的解释》则将隐私作为一项独立的人格利益，不失为立法的一大进步。但是，间接保护模式未从法律上将隐私作为一项独立民事权利，无法解决我国在隐私权保护领域的难题，如隐私权保护与名誉权保护的交叉及与言论表达自由和新闻出版自由的界限等，更无法面对信息技术的高速发展和电子产品的广泛应用对网络空间个人隐私权提出的挑战。

侵权责任法的颁布使得隐私权成为一项独立的人格权，使得隐私脱离法益的统辖被纳入权利的范畴，明确了隐私权独立的人格权属性，这意味着我国告别了“以名誉权间接保护隐私”的历史，开启了“隐私权保护”的新阶段。将隐私权纳入人格权体系反映了人格权保护背景需求的变化，即人格权的保护已经从物质性的人格权转移成为社会属性的人格权。[2]

虽然在立法层面上，我国侵权责任法明确规定了隐私权，为Cookie跟踪侵权提供了救济的可能，但鉴于侵权责任法的补偿功能建立在“以受害人自我负担为原则，以加害人负担为例外”的基础上，侵犯隐私权必须适用过错责任原则，由原告承担举证责任，因此受害人能否得到实际赔偿主要取决于司法实践的态度。

（二）Cookie跟踪隐私权侵权责任的司法困境

1. 隐私权本身的不确定性、开放性及发展性

如上文所述，“权利”的实质是一种利益的权利化，那么“隐私权”的实质就是隐私的权利化。尽管在将隐私权利化的过程中依赖的是一般理性人的客观标准，但究竟何为客观标准下的隐私，学界仍无法达成一致意见。传统的见解认为隐私是指个人自我独处，该见解一方面所涵括范围过广，容易将不应涵盖之物包括在内，另一方面，其传达出的消极意义，难以保护应受保护的其他私领域利益。最近的见解在肯定隐私包括个人自我独处的同时，更加强调个人对其个人资料的控制，赋予了隐私概念积极的意义。隐私概念的发展正是在知识经济时代这一大背景下完成的，该时代的典型特征之一就是生活方式的数字化。随着智能化综合网络的建立，各种信息化终端设备无处不在。如以数据流量为载体的微信、爱聊、连我等通信工具逐渐代替了传统的书信交流，甚至是电话短信业务;社交网络逐渐代替了以面对面交流为主的各种聚会;个人电子账户的建立使得网上电子支付取代了传统的实体缴纳;购物网站逐渐代替实体店成为大众购物的首选……人们在尽情享受高科技手段带来便捷的同时，也不得不忍受频发的网络个人隐私泄露。

“隐私概念的不确定性，固然造成法律适用的不安定，但亦因其开放性，而能适应社会经济及现代科技的发展，而对隐私权的侵害提供必要的保护。”[3]隐私权本身具有不确定性、开放性及发展性，决定了我国侵权责任法虽然可以从立法层面确立隐私权，但却无法明确将侵犯隐私权的行为类型化，只能根据社会生活的实际发展情况，通过司法实践逐渐加以充实和丰富。

2. 隐私权侵权责任的证明难题

侵权责任归责原则是法官在考量责任负担时的必备要素。依我国侵权责任法，过错推定责任与无过错责任仅适用于法律明文规定的特定情形，过错责任原则是责任承担的一般原则。针对Cookie跟踪侵犯用户隐私这一行为必须适用过错责任原则，由受害人举证证明符合过错责任的构成要件。

实证考察，受害人难以完成这一任务，也就无法得到隐私权的切实保护。

（1）受害人难以证明加害人实施了加害行为

第一，由于信息不对称，很多受害人意识不到个人隐私正受到侵害。Cookie的操作原理是网络服务商向其联盟网站嵌入跟踪代码，当用户打开这个网站时，这段嵌入的代码会向其发送信息跟踪用户的上网行为。Cookie在用户浏览网页时是默认启动的，此过程甚至连一些联盟网站都不知悉，更何况缺乏专业技术的受害人。1第二，受害人对Cookie侵犯隐私的过程一无所知。由于Cookie的工作原理是一组跟踪代码，普通用户看不见，摸不着，更谈不上了解，因此很难。第三，难以保存证据。即使受害人发现Cookie在追踪自己的上网习惯，但他很难保存证据，而网络服务商却非常容易抹去其追踪的痕迹。

（2）受害人难以证明自己遭受了损害

第一，单纯情感上的伤害难以获得法院的支持。相比起物质上的损害，受害人感受到的更多的是一种情感上的被冒犯。尽管学界一致认为，隐私权不同于名誉权的关键因素在于隐私权保护的是个人对其私生活的自主性，名誉权保护的是个人获得的良好社会评价。因此，违背当事人意志获得隐私即构成对隐私权的侵犯，不以将获得的隐私对外公开为必要。按照学界的观点，在未征得用户同意的情况下，擅自通过Cookie收集用户的上网行为侵犯了个人对其私生活的自主权，即认定对用户造成了损害。但实务中，法院对“损害”的认定不尽相同。部分法院赞同学界的观点，认为“个人信息的私密性是隐私权的重要内容，私人信息为第三人所知本身即为损害”2。而部分法院则持不同意见，认为公开本身并不构成损害，当事人必须另行提供证据证明其遭受了其他损害。3可见，“情感上的伤害”并没有被司法实务界无争议地认定为隐私权被侵犯的损害后果。参考美国法院的态度，利用Cookie跟踪精准投放广告造成的“信息选择减少”、“花费时间进行反Cookie跟踪设置”、“电脑性能降低”等不便能否被认定为是一种客观上的“损害后果”仍是未知数。

第二，侵权责任法要求损害必须具有可补救性。可补救性是指可补救的必要性和可能性。基于“任何对互联网的规制不应阻碍其发展”这一基本原则，在目前的情况下，严禁利用Cookie跟踪精准投放广告将会使网络服务商蒙受巨大的经济损失。在“两害相权取其轻”的情况下，法院很难将个人隐私权保护绝对化。

（3）受害人难以证明加害人具有过错

隐私权作为一项独立的人格权，虽然属于绝对权，但与生命权、健康权、身体权、物权、名誉权等绝对权相比，权利定义不精确，权利外延不明确，因此在进行违法性判断时，要求加害人主观上认知并存在侵害故意。[1]（P36）第一，依据汉德公式规则1，很难认定网站存在注意义务。依据目前的司法实践看，难以认定存在预期事故损失，且网络服务商预防未来事故的成本将远超出预期事故损失，据此很难认定网络服务商对用户负有注意义务，因此主观上也就不存在过错。第二，国内网站的隐私保护声明形同虚设，网络服务商不可能为自己设定注意义务。这些声明大多内容简单，且不涉及个人资料的使用说明以及相关的安全保证，相反，还附上了许多免责条款。

为了规范我国计算机信息网络的发展，有关部门曾相继出台了一些规定，也涉及网络个人隐私权的法律保护问题。如《互联网信息服务管理办法》、《互联网电子公告服务管理规定》、《计算机信息网络联网管理暂行规定实施办法》、《计算机信息网络国际联网安全保护管理办法》、《全国人大常委会关于维护互联网安全的决定》。但这些规定多是原则性的，过于笼统，不便于实际操作，根本无法为网络隐私权提供足够的保护。

三、Cookie跟踪隐私权侵权责任的中国选择

（一）隐私权的本质在于保护精神情感

在我国，对隐私的保护经历了从间接保护到独立保护，从指个人自我独处到肯定个人自我独处，也强调对其个人资料的控制的发展历程。隐私权的出现和发展是法律对人类文明进步的回应，人们日益强烈的情感生活和更加敏锐的感官要求得到法律的承认和保护。文明的进步带来了生活的高强度与复杂性，导致了某种程度上与世隔绝的必要，然而，现代化的企业和发明创造通过侵犯个人隐私，使其遭受的精神上的伤痛，远甚于单纯的肉体伤害可能造成的折磨。[3]可以说，隐私权从一开始就是为保护人类的精神情感而诞生的，因此，物质损害不是侵犯隐私权的必然结果，更不应成为“损害后果”的唯一判断标准。侵犯隐私权造成的“损害后果”应是一般公众所理解的对私生活安宁的高度冒犯和私人信息的不当披露。随着我国经济的持续发展以及教育程度的不断提高，人们对于网络隐私安全的情感需求必然日益强烈，Cookie跟踪记录用户资料，收集用户上网信息的行为必然会日渐引起大部分人的反感。2这就要求司法实践顺应公众的情感需求，适时认定Cookie跟踪在未征得用户同意的前提下收集用户上网信息构成侵犯隐私权。

（二）网络服务商对用户隐私负有注意义务

1. 网络服务商可以承担预防事故的成本

虽然在处理网络侵权案件时，仍应秉承“任何对互联网的规制不应阻碍其发展”这一基本原则，但随着互联网行业的高速发展，很多技术难题已经得到解决。从目前的情况看，Cookie跟踪软件并不是不能克服的技术难题，而是网络服务商为实现精准广告投放的商业目的而普遍实施的行为。法律可以要求网络服务商通过明示提醒，征得用户同意，这样做，在技术上是完全可行的，其付出商业成本也不大，用户的隐私权也得到尊重。而网络服务商既然可以承担预防事故的成本，就应该对用户的隐私负有注意义务，未经允许擅自跟踪用户上网习惯主观上存在过错。

2. 网络服务商注意义务的认定应遵循现代侵权法的理念

美国法院基于电子通信隐私法18 U.S.C.第2701条c项的规定，认为网站对自愿提供给它的通信内容可以授权其他人使用。依目前一般人的观念，用户对与网站之间的通信虽是出于自愿，但是用户对网站给予个人信息的保护有一个合理的期待，网站对此应负有注意义务。

对于用户自愿提供给网站的内容，网站并不能随意支配。杨立新教授曾提出“相关隐私”的概念，所谓“相关隐私”，是指民事主体之间有着共同内容的隐私，既包含着本人的隐私，也包含着其他相关人的隐私，这种相关隐私涉及相关联的每一个人的隐私及其权利。相关隐私的关系人负有对其他关系人的保护注意义务，宣扬自己的隐私，诉说自己的隐私，如果侵害他人的权利或利益，同样构成侵权。[4]

3. 明示征得用户同意已成为国际共识

对于这种“跨站跟踪用户Cookies”行为，已遭到国际上各组织和公司的纷纷谴责。W3C（万维网联盟）率先推出了网络隐私保护标准——“禁止跟踪”（DNT，Do Not Track）。2012年11月，360安全浏览器也推出保护网民隐私的重要功能——默认开启网络“反跟踪”（DNT，Do Not Track）功能，杜绝一些互联网企业通过Cookies跟踪网民上网行为。微软随后宣布支持该标准。2012年2月，欧盟数据保护监督委员会通过了《关于对网络中性、交通管制以及隐私和个人数据保护的意见》。2012年5月欧盟即开始实施Cookie法案，规定了Cookie可记录的内容，并且规定所有网站在使用Cookies的时候必须得到用户授权。

（三）一般过错责任原则的适用与隐私权内涵的扩展

与过错推定责任原则、无过错责任原则严格的适用情形相比，Cookie跟踪侵犯隐私权行为并不具有人身损害的高度危险性，因此仍应适用一般过错责任原则。原告应举证证明网站存在未经用户允许利用Cookie跟踪精准投放广告的行为;该行为对自己精神、情感造成高度冒犯即构成损害后果;网络服务商未经用户允许使用Cookie跟踪软件违反了保护用户隐私的注意义务，主观上即存在过错。在网络服务商负担保护用户隐私注意义务的前提下，受害人只须主张其未经授权跟踪用户上网习惯即可证明其主观存在过错。依据一般人的理性观念，将对精神情感的冒犯确认为“损害后果”是确保用户隐私权得以实现的重要条件。可见，尽管针对此种行为适用的侵权归责原则没有改变，但随着社会经济的不断发展，通过对“注意义务”和“损害后果”的适当解释和补充，隐私权的内涵不断得到扩展，以使其更好地适应社会需要。

[1] 陈聪富：《侵权违法性与损害赔偿》，北京：北京大学出版社，2012.

[2] 王泽鉴：《人格权的具体化及其保护范围·隐私权篇（上）》，载《比较法研究》2008年第6期.

[3] Samuel D. Warren，Louis D. Brandeis：《论隐私权》，李丹译，载《哈佛法律评论（侵权法学精粹）》，北京：法律出版社，2005.

[4] 杨立新：《民法该如何保护“相关隐私”》，载《检察日报》2004年4月1日.

[责任编辑 李宏弢]