个人信息保护之争

文/泓杰

电商平台的注册用户，向平台提出查阅、删除其非必要个人信息的要求，未得到充分回应，引发个人信息保护之争。在电子商务环境下，哪些个人信息处于被保护的范围内？电商平台处理个人信息该如何做到合规？

担心泄露隐私

2020年“双11”购物节前夕，文欣下载了某电商平台的App。App以弹窗方式展示了服务条款、隐私保护政策、支付用户服务协议等，并提示了个人信息处理规则。文欣均点击“确认”或“同意”，并填写了邮箱账号、手机号码等个人信息。在后来的购物过程中，她还填写了收货人、收货地址等。

自2021年2月下旬起，文欣的母亲多次接到陌生来电，向其推销商品，还收到外地寄来的广告宣传单。更离谱的是，竟有快递小哥上门送“免费的酒”，声称收货人是文欣，让其母代付高额快递费，被拒绝后悻悻离开。文欣怀疑她在某平台留下的信息被泄露了。经询问，某平台客服答复“有隐私保护政策”。

文欣要求某平台提供其所收集的相关信息，包括姓名、性别、出生年月、家庭信息、常用地址、联系方式，账户信息、设备型号操作系统版本、设备识别符、位置信息、IP地址等等。客服回应:“用户已填写的信息可以在个人中心查看，对于用户没有填写的信息无法提供。”

文欣通过电子邮件账户“文丽丽”向某平台发送邮件，要求提供相关内容，平台未予回复。

主张相关权利

2021年6月12日，文欣在广州互联网法院提起诉讼，要求某平台提供在其App客户端收集的文欣的所有个人信息，她还要求平台删除所有非必要信息。

文欣诉称，某平台的服务条款和隐私保护政策称，会在各种情形下主动获取、收集、使用用户的信息。原告作为信息的权益主体，有权要求被告删除非必要信息，并继续接受相关服务。

某平台辩称，公司在用户同意的合理范围内处理个人信息，并不违反法律、行政法规的规定及与用户的约定。同时，公司已充分保障原告的查阅、复制等数据权益，也采取了符合业界标准且合理可行的数据安全保护措施。

某平台进一步解释称，首先，公司已通过客服响应并解决了文欣提出的问题。其次，文欣以私人邮箱方式提出查阅、复制个人信息，而平台难以核实电子邮件发送人的真实身份及其和文欣之间的关系，故不予提供信息是合法合理的。最后，平台通过交互界面直接提供查询、复制功能。对于未收集到的信息，平台自然无法提供查阅和复制服务——文欣应先行举证某平台收集了某些信息。

某平台还辩称，文欣仅以“担心”为由主张删除其相关个人信息，没有法律及合同依据。某平台遵照最小必要规则，仅要求用户提供基本业务功能中的必要个人信息，并未收集非必要个人信息。

支持查阅、复制

一审法院归纳了争议焦点。

文欣要求查阅、复制的信息是否属于个人信息？ 法院认为，文欣要求某平台提供的信息，其中个人资料中的姓名、电话号码、订单信息，可以直接识别出特定自然人的身份和财产状况；其他如设备信息、位置信息、浏览记录等，虽然无法识别特定自然人，但与其他信息进行结合就可以识别特定自然人。因此，文欣诉请某平台提供的以上信息均属于个人信息范围。

个人信息查阅权、复制权的范围有哪些？法院指出，文欣请求查阅的内容不仅包括个人信息，也包含了个人信息处理的相关情况。某平台确认收集到的个人信息，属于其正在处理的信息，应当依法提供给信息主体进行查阅和复制。但本案中，文欣并未提交证据证明，某平台作出了对其个人权益有重大影响的自动化决策，其要求某平台披露被用于“用户画像”的信息，无事实和法律依据，法院不予支持。

根据某平台的隐私保护政策，可能会将用户的个人信息与平台关联方、授权合作伙伴共享。该隐私保护政策并未披露共享个人信息的关联方以及授权合作伙伴的具体名称。某平台有必要根据文欣的申请披露与第三方共享个人信息的清单，列明第三方的具体名称以及共享给第三方的信息，包括信息种类、信息内容、使用目的、使用场景和共享方式。另外，文欣的支付信息亦应受到保护。

至于文欣所列清单的其他信息，某平台未确认已收集，文欣亦无证据证明某平台存在收集行为，故文欣的该项主张法院不予支持。

某平台是否侵害了文欣的查阅、复制权？如果侵权成立，某平台应以何种方式保障查阅、复制权的行使？法院认为，文欣先后通过致电客服和发送邮件的方式提出了查阅、复制其个人信息的请求，可认定其已向某平台行使了查阅、复制请求权。某平台存在无正当理由拒绝文欣行使查阅、复制权的行为。文欣向某平台发送邮件后，某平台的首要工作是验证其个人信息主体身份，然后在合理的时间内给出答复。但某平台并未作出任何处理，实质上拒绝了文欣的申请。

一审法院指出，某平台在隐私保护政策中明确规定，用户可以获取个人信息副本。因此，某平台有必要提供通用的、可下载个人信息副本的方式。考虑到文欣以电子邮件方式提出请求，某平台也应以常用的电子邮件方式提供个人信息副本。

由于文欣未提交证据证明，某平台存在应主动删除文欣个人信息的情形，对此法院不予支持。

2021年12月13日，广州互联网法院作出一审判决：某平台提供自文欣注册App之日起收集到的其个人信息，以及个人信息处理的相关情况，供文欣查阅、复制。驳回文欣的其他诉讼请求。

某平台提出上诉。二审期间，某平台提供了邮箱网关系统隔离记录截图等一系列新证据，拟证明文欣于2021年3月1日发送给某平台的邮件，因存在禁用词被邮箱网关系统隔离，某平台实际上并未收到该邮件。在不知晓文欣发送邮件的情况下未对其请求进行答复，不存在过错。

鉴于新证据的出现，二审法院认为“某平台未对文欣邮件进行答复不存在过错”的上诉理由成立。二审法院认定，第三方收集的个人信息，是指某平台合作伙伴通过在App中嵌入第三方软件收集的用户个人信息。某平台主张并未参与该类信息的收集、上传、储存过程，根据现有证据亦未能显示某平台收集了上述信息。故文欣要求某平台向其提供第三方收集的个人信息，依据不足，不予支持。

2022年5月13日，广州市中级人民法院作出二审判决，认定某平台的上诉理由部分成立，对判决表述作出相应调整，加入“相关”的限制词，即某平台提供自文欣注册App之日起收集到的相关个人信息，以及个人信息处理的相关情况，以供文欣查阅、复制。

法官点评

2021年11月1日，《个人信息保护法》正式开始施行。这是我国首部专门针对个人信息保护的系统性、综合性法律。在此背景下，掌握海量个人信息的互联网企业要做到合规化，必须掌握四个要点：一是贯彻“告知-同意”规则。即处理个人信息应当在实现充分告知的前提下取得个人同意。二是注意对青少年个人信息的保护。《个人信息保护法》规定，14岁以下少年儿童的个人信息为敏感信息，互联网企业在甄别用户时，要对青少年个人信息作特别处理。三是注重对自动化决策的规范。不得对个人在交易价格等交易条件上实行不合理的差别待遇。四是强化对敏感个人信息的保护。《个人信息保护法》将生物识别、医疗健康、金融账户等列为敏感个人信息。对敏感个人信息进行处理，应当事前进行影响评估，告知处理敏感个人信息的必要性以及对个人权益的影响，并取得个人单独同意。