腾讯怎么那么强（腾讯这次输了吗）

作者｜杨铖

2022年2月22日，广东高院发布2021年度全省法院涉互联网十大案例。其中一个案件的裁判结果是，法院判决腾讯公司向个人支付参与诉讼的合理支出1万元，这引起了笔者的关注：莫不是腾讯这次输了？

我们搜索了中国裁判文书网等平台，并没有找到该案相关裁判文书。搜遍互联网，仅从“知产力”官网及其公众号“深知灼见 | 互联网平台处理个人信息的审理思路”一文，侧面了解了法院如何审理该起案件。

事情经过是这样的：

王某使用微信账号登录腾讯公司运营的“微视”APP，“微视”在未告知也未获得授权的情况下，以“强制授权”的方式收集和使用王某的微信个人信息和全部微信好友信息。王某认为，腾讯公司侵害了用户的选择权、隐私及个人信息权益，诉请判令腾讯公司停止侵权并赔偿维权合理支出1万元。

深圳南山法院判决驳回王某全部诉讼请求。王某不服，提起上诉。深圳中院判决腾讯公司向王某支付参与诉讼的合理支出1万元，驳回王某的其他诉讼请求。

从公开的信息看，本案有两个争议焦点：

1.王某的微信地区、性别信息及微信好友关系，是否属于受法律保护的个人信息？是一般的个人信息，还是属于隐私的个人信息？

这就涉及到原告的请求权基础与法律适用。

在法律概念上，个人信息与隐私存在一定的交叉。个人信息包括私密信息和非私密信息，私密信息既属于个人信息也属于隐私，但是隐私除私密信息之外，还包括私密空间、私密活动和私人生活安宁。按照我国现行规范和国际惯例，个人信息中的私密信息属于隐私的一部分，其受保护的程度也比一般的个人信息更强。《民法典》规定，个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定。

关于个人信息的构成要件。构成个人信息要满足三个要件：具有可识别性、要有一定的载体、个人信息的主体只能是自然人（法人或者非法人组织不是个人信息的主体），其中，第一个要件，具有识别性，是核心要件。所谓识别，就是通过该信息可以直接或者间接地将某一自然人“认出来”。识别包括直接识别和间接识别，所谓直接识别，是指通过该信息可以直接确认某一自然人的身份，不需要其他信息的辅助，如某人的身份证号、基因信息等；所谓间接识别，是指通过该信息虽不能直接确定某人的身份，但可以借助其他信息确定某人的身份。任何可以直接或者间接识别特定自然人的信息都是个人信息。

回到本案，二审法院认为，判断与自然人相关的信息是否具有个人信息意义上的“识别性”，并进一步阐释，可以综合考量识别场景、识别主体、识别效果、识别作用四个要素对相关信息的“识别性”进行判断。

关于隐私的判断标准。实践中，判断自然人的某一具体事物或者事务是否为隐私，是较为困难的事情，一般来说，可以从三个方面进行判断，私人性、主客观相结合性、发展性。

私人性是指，不属于自然人私人的事物或者状态不属于隐私（如前所述，个人信息的主体只能是自然人）。

发展性，是指从隐私发展史看，隐私的范围和内容并非一成不变，它是随着社会的变迁而不断发展变化的。今天能被称为隐私的，明天未必就能被称为隐私。

更值得注意的是主客观相结合性。隐私是一种客观状态，这种客观状态不受他人的意志影响，不以他人是否承认或者如何评价为转移。但同时，隐私又具有主观感受性，即为自然人主观内心不愿为他人所知或者不愿为他人干扰的一种状态。

美国法通过判例凯茨诉美国政府（Katz v. United States）一案发展出了隐私的“合理期待”原则。这里的“合理期待”原则既包括自然人主观上具有隐私期待利益，也包括客观上社会认为该种期待利益是合理的。如果某私密信息客观存在，但当事人自己主动公开或者主观上不想保密，则不属于隐私范畴。

也正因如此，《民法典》规定，隐私是自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动和私密信息。

回到本案，二审法院也从美国法“合理期待”原则中吸取了理论养分，认为属于隐私的个人信息重在其“不愿为他人知晓”的“私密性”，强调主观意愿，该主观意愿不完全取决于隐私诉求者的个体意志，客观上应符合社会一般合理认知。本案中，王某主张微视APP获取的微信好友关系、地区、性别信息与其在微信中已公开的好友关系、地区、性别完全相同，已在其微信朋友圈公布且从未在微信设置中要求取消，王某主观上对其不具有隐私期待。据此，法院认定前述真实的微信地区、性别信息及微信好友关系属于受法律保护的个人信息，不属于隐私。

2.腾讯微视APP对王某的个人信息收集、使用，是否符合合法、正当、必要原则？

《民法典》和《个人信息保护法》均有规定，处理个人信息应当遵循合法、正当、必要原则，不得过度处理。

依《民法典》规定，处理个人信息应当遵循合法、正当、必要、公开透明，四个原则。

合法原则，即信息处理者处理个人信息必须有合法的依据，且处理的方法应当符合法律的规定。合法的依据主要来自两个方面：

第一，法律法规的明确规定。除《民法典》《个人信息保护法》的相关规定，目前我国还有网络安全法、消费者权益保护法、电子商务法等多部法律和行政法规，都对处理个人信息作了相关规定，相关主管部门也依法制定了一些部门规章。例如，工业和信息化部制定的《电信和互联网用户个人信息保护规定》。

第二，信息主体的同意（合同约定或单方授权，等等）。处理个人信息取得信息主体的同意是个人信息保护的核心原则。自然人因年龄（不满十四周岁的未成年人）、精神等原因为无民事行为能力或者限制民事行为能力人时，由其监护人决定是否同意他人处理其个人信息。

信息主体同意的方式多样，可以是通过与信息处理者签订协议的方式，也可以是单方授权的方式，还可以是其他方式。但是，处理敏感个人信息（包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息）应当取得个人的单独同意，法律、行政法规规定处理敏感个人信息应当取得书面同意的，还应当取得个人的书面同意。

二是正当原则。即信息处理的目的和手段还要正当，应当尊重公序良俗和遵守诚实信用原则。这就要求信息处理者对处理个人信息的行为进行自我管理，确保处理个人信息行为的正当性。特别是在处理个人信息过程中不得强迫用户授权，或者以捆绑服务、强制停止使用等不正当手段变相诱导、胁迫用户提供个人信息，更不得欺骗、窃取或者使用其他非法手段处理他人的个人信息。

三是必要原则。即处理个人信息的目的应当特定，处理应当受限制。处理个人信息应当有特定目的，并且应当依据该特定的、明确的目的进行，通常不得超出目的范围处理个人信息，不得处理与实现所涉目的无关的个人信息。实践中不少网络服务提供商，特别是一些手机App应用服务提供商过度处理个人信息的现象比较普遍，严重损害了信息主体的权益，《民法典》特别强调“不得过度处理”个人信息。

四是公开透明原则。即信息处理者在处理个人信息时应当公开处理信息的规则，并明示处理信息的目的、方式和范围，确保信息主体享有知情权。公开透明原则是确保信息主体知情同意的前提。公开透明并非指个人信息内容公开，而是指处理个人信息的过程和规则应当公开。这就要求信息处理者在处理个人信息时要主动增强透明度，用通俗易懂、简洁明了的语言说明处理个人信息的目的、方式和范围，并将处理个人信息的规则予以公开。由于这些规则是由个人信息处理者单方制定的，属于格式条款，因此应当受《民法典》合同编和其他相关法律关于格式条款规定的规范。

回到本案，二审法院就上述原则作了如下认定：

关于合法性原则、正当性原则——

被告通过相关协议、微视APP的功能界面告知了原告“地区、性别”信息的收集、使用情况，使原告已知晓其个人微信填写的上述信息已授权微视APP使用，一定程度上满足了平台向用户披露信息收集、处理的目的和范围的义务，没有违反用户个人对其信息被平台收集和处理的知情权。

微视APP和微信平台已通过《微信软件许可及服务协议》《微信隐私保护指引》向用户披露信息收集、处理的目的和范围。就诉讼行为发生前，被告通过微视获取原告地区、性别信息不违反合法性、正当性原则。

关于必要性原则——

被告运营的微视APP强制获取用户地区、性别信息未满足互联网平台收集处理用户个人信息的必要性原则。

关于正当性的原则——

原告在卸载微视APP重新使用同一账号登录微视APP并未勾选同意授权的情况下，原告作为用户有合理理由相信其已经不再授权微视APP使用微信好友关系，微视APP后台仍然将“通知推送”界面中“好友加入微视”默认为开启状态，在后台对已储存的微信好友关系继续使用的行为不符合王某对其授权行为意思后果的“合理预判”，故微视APP在原告二次下载微视APP未予授权的情况下继续使用其微信好友关系的行为并未获得有效的用户知情同意，不符合正当性原则。

值得注意的是，在举证责任分配上，综合考虑互联网平台与个人用户就用户信息收集处理是否符合法律要求这一事实的举证能力、举证成本、当事人对证据的控制能力等因素，法院认为：

就个人信息收集和处理过程中是否符合合法、正当和必要性原则，应当主要由互联网平台举证证明其处理个人信息行为是否符合法律规定。

实际上，要自证无罪是非常困难的，这要求互联网平台（实际上所有的企业也应该注意）在处理个人信息之前，必须严格遵守做好数据合规，建立健全信息保护制度体系，高度重视对处理信息情况的记录。《个人信息保护法》对记录做了很多细致规定：

个人信息处理者在处理敏感个人信息、利用个人信息进行自动化决策，以及委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息，向境外提供个人信息或者进行其他对个人权益有重大影响的个人信息处理活动时，应当事前进行个人信息保护影响评估，并对处理情况进行记录。

个人信息保护影响评估报告和处理情况记录应当至少保存三年。

而且还明确了，执法部门（履行个人信息保护职责的部门）履行个人信息保护职责，有权采取查阅、复制当事人与个人信息处理活动有关的合同、记录、账簿以及其他有关资料的措施。

本案系广东首例适用《个人信息保护法》的案例。为促进互联网行业和数字经济的发展，互联网企业可以在合法、正当、必要和安全的前提下合理使用个人信息，但合理使用不得损害个人权益。本案厘清了互联网公司使用个人信息的界限，对规范互联网平台、APP服务商对用户数据的收集和使用，促进数字经济健康有序发展具有积极意义。

后话

实际上，原告还主张被告行为造成其个人权益损害要求赔偿。法院经审理认为，本案虽然原告主张被告的侵权行为给其带来困扰，王某微信“地区、性别和微信好友关系”信息属于原告在微信中已公开的信息，微视APP从微信处获取的前述原告个人信息公开和覆盖的影响范围与微信相同，尚无证据表明被告将获取的个人信息通过其他方式给与第三方知晓或使用。原告主张被告行为为其带来一定困扰，其程度显然没有达到《民法典》要求的“严重精神损害” 的程度，也没有提供证据证明《个人信息保护法》要求的“损害”存在，对原告主张被告行为造成其个人权益损害要求赔偿的诉讼请求，法院不予支持。王某参加诉讼实际产生的合理费用应予支持。故判决被告支付原告诉讼请求中主张的合理支出。

因此，本案表面上看起来腾讯是输了，实际上是在证据不足的情况下，法院在个人信息权利人的人格尊严与信息资源的有效利用之间作了平衡。

,