從案例看隱私和個人信息的界定和區分

劉曉春 王敏昊

隱私和個人信息保護成為數字經濟時代最受關注的問題之一。目前，國內外都在抓緊進行隱私和個人信息的立法執法行動，完善相關政策規范。今年開始實施的《民法典》，將隱私和個人信息權益保護規定在人格權保護一章，并對兩者的界定和區分進行了規定。正在制定中的《個人信息保護法》，也對個人信息的概念及其內部分類給出了基礎性規定。近年來，我國法院針對隱私和個人信息的保護，在司法實踐的具體案例中做出了多方面的探索，對這些典型案例的總結和梳理，可以為隱私和個人信息判斷標準的確立和區分提供重要的參考依據，為立法立規提供借鑒，同時也為企業做好數據方面的合規工作提出指引。

一、微信讀書案

1.個人信息和隱私的界定

在黃某訴微信讀書案中，北京互聯網法院一審判決認為，個人信息的核心是“可識別性”，包括對個體身份與特征的識別。具體的判斷標準包括兩條路徑：從信息到個人的“識別”與從個人到信息的“關聯”。關于隱私的界定，判決書著重討論了個人信息與作為隱私權客體的私密信息的關系。判決指出，要從大數據時代下個人信息的公共價值、社會一般合理認知、互聯網產品用戶的差異性三個方面把握個人信息的性質，基于合理隱私期待維度對個人信息進行了三個層次劃分：一是符合社會一般合理認知共識的私密信息；二是不具備私密性的一般信息，在征得主體的同意后即可正當處理；三是兼具防御性期待及積極利用期待的個人信息，此類信息的處理是否侵權，需要結合信息內容、處理場景、處理方式等，進行符合社會一般合理認知的判斷。

2.社交關系和讀書信息的法律定位

對于用戶的社交關系，法院認為構成個人信息，被告所儲有的用戶識別碼與主體身份之間具有強對應關系，可以識別特定自然人。而被告所展示的包括昵稱、頭像、識別碼在內的社交關系信息的組合可以還原到相應用戶的特定身份，符合從“信息到個人”的路徑，具有識別性。關于社交關系是否構成隱私，法院認為在主體與特定人之間的關系較為隱秘而不愿為人所知、或主體社交關系的公開可能遭受他人對其人格的不當評價而不愿為他人知曉的情況下，社交關系具有合理的隱私期待。但具體到個案事實，由于本案中具體證據體現的微信的好友關系未能展示主體與好友真實的社交關系，不包含親疏遠近等敏感信息，因此不構成隱私。

對于用戶的讀書記錄，法院認為該信息能夠反映用戶的閱讀偏好，在已知特定自然人的情況下符合“從個人到信息”的路徑，屬于個人信息。關于讀書信息是否構成隱私，法院認為在特定閱讀信息落入了共識的私密信息范疇，或是與主體信息的組合足以達到對信息主體人格刻畫的程度的情況下，用戶的讀書信息具有私密性。具體到本案中，原告被公開的閱讀信息根據現有證據情況不符合這兩項情形，因而不認定構成隱私。

二、抖音案

1.個人信息和隱私的界定

在凌某訴抖音案中，一審法院北京互聯網法院認為，構成個人信息應滿足兩個要件，其中核心要件為可識別性，即可通過該信息識別到特定自然人；形式要件為有一定的載體，即以電子或者其他方式記錄。判決指出，第一，可識別性同時包括對個人身份與特征的識別；第二，對可識別性的判斷應當以信息處理者處理的相關信息組合為基礎，如果多個信息在經過組合后可以識別特定自然人，則這種信息組合也屬于個人信息。

關于隱私的界定，判決指出，隱私包括兩方面內容，一方面是自然人的私人生活安寧；另一方面是自然人不愿為他人知曉的私密空間、私密活動、私密信息。特別需要注意的是，法院認為由于不同類型人群的隱私偏好不同、且互聯網具有開放、互聯和共享的特點，網絡環境中對隱私的界定需要結合具體場景進行分析。

2.社交關系和地理位置的法律定位

法院認為原告的社交關系屬于個人信息。從可識別性的角度來看，在已知特定人的情況下，社交關系可以識別特定人的特征，具有可識別性；從形式要件的角度來看，社交關系應當擁有諸如特定人的手機通訊錄列表、社交軟件中的好友列表和群列表等載體。

本案中，原告的主張范圍為前述20位抖音用戶與原告之間的好友關系，從被告提交的證據來看，被告至少掌握了原告與存儲其信息的其他用戶之間手機通訊錄上的社交關系，且可以通過被告存儲的數據匯總出原告與其他用戶的社交關系列表，屬于個人信息。值得注意的是，對于形式要件的認定，法院并未要求存在既有的社交關系列表，而只要能夠通過涉案信息提取、匯總出相關列表即可。

關于社交關系是否構成隱私，法院認為基于通訊錄的社交關系不具有私密性，屬于用戶遷移、拓展自身社交關系的主要利用對象，且在使用相關軟件時用戶亦同意軟件對通訊錄社交關系的讀取行為。本案原告未能證明涉案信息具有需要特別考慮的情形，故不屬于隱私。

法院認為原告的地理位置屬于個人信息。依據前文所提到的可識別性的判斷標準，在已知手機號碼的情況下，手機號與地理位置的結合能夠完成對特定人特征的識別，故屬于個人信息。需要注意的是，這里的位置信息與定位的精準程度無關，即使是一個模糊的城市定位，仍不妨礙其構成個人信息。關于是否構成隱私，法院認為所在城市信息一般情況下不會加以保密，不具有私密性，本案原告亦未證明對該信息進行了特別的保密，或存在特殊場景下的特殊利益，故不屬于私密信息，從而不構成隱私。

三、車輛使用數據案件

日前，特斯拉涉及的車輛行駛數據事件引起社會高度關注，引發了車輛行駛這類行為數據是否構成車主個人信息和隱私的討論。在同樣涉及車輛使用數據的余某訴查博士案中，一審法院廣州互聯網法院將是否能夠單獨或與其他信息結合識別特定自然人作為判斷個人信息構成的關鍵，并認定該案中的車輛使用數據既不構成個人信息，也不構成隱私。

對于涉案歷史車況信息，第一，法院認為其無法單獨識別特定自然人。首先，涉案信息不包括特定人的身份信息、行蹤信息、通訊信息等直接識別特定人的信息，所包括的車架號僅能識別特定車輛，維保數據與碰撞數據不包含維保機構的位置信息與具體日期；其次，從社會公眾的一般認知來看，涉案信息只能反映車輛的使用情況，并不能反映原告所主張的駕駛習慣、駕駛特征、消費能力、消費習慣；最后，涉案信息已進行脫敏處理，且產生車況信息的主體不一定是特定自然人，而可能包括車主的親友、同事等，無法識別特定的實際使用人。

第二，涉案信息無法與其他信息結合識別特定自然人。法院認為，雖然存在第三方信息與車況信息結合識別到特定自然人的可能性，但結合識別的成本較高，可以不予考慮。此外，涉案信息已經過脫敏處理，且作為商業秘密不予公開披露，降低了一般公眾結合識別的可能性。

關于隱私的討論，本案中，法院將判定該信息的公開是否會對原告的私人生活帶來不當干擾以及該信息是否具有私密性作為判斷是否構成隱私的標準。從私人生活安寧的角度來看，車輛交易場景下涉案信息無法識別到特定自然人，原告亦無提供證據證明其他生活安寧受到不當打擾。從私密性的角度來看，涉案信息部分可以直接被觀察到，不符合隱秘狀態的條件；部分信息屬于在公共場所發生的事件，為了社會的正常交往，應當隱私權邊界進行合理界定，不應當認定其為隱私內容。

此外，法院還認為，從二手車交易市場發展的角度看，歷史車況信息的披露有助于減少信息不對稱風險和交易安全隱患、保障消費者知情權，不應當被界定為隱私。

四、隱私和個人信息區分的司法原則和發展趨勢

從現有的司法實踐看，隱私和個人信息的區分是法院判斷的一個首當其沖的重要問題，對于兩者概念的準確把握和解釋，從具體個案的處理，到對于企業合規和產業實踐、用戶利益保護形成指導性規則和標準，都有十分重要的規則建構性意義。在這個領域涌現出一批各個具體應用場景的案例并形成裁判規則，對此進行定期提煉，可以總結出相應的司法原則和發展趨勢。

首先，總體上來看，個人信息和隱私不可避免存在交叉之處，特別是隱私中的私密信息，應當屬于個人信息的范疇，這在《民法典》的立法條文中亦有體現。此外，在實踐探討中，私密空間及其涉及到的相關信息，也有可能存在和個人信息交叉討論的可能性。在出現重疊交叉的情況，應當以隱私權的規則來進行處理，這一方面體現了《民法典》的立法原則，另一方面，隱私權作為人格權的一種，相對于個人信息作為一種權益，應有更周全更高強度的保護，從而構成了“個人信息—隱私”遞進保護的一種架構。對于構成隱私的個人信息，至少應當參照敏感個人信息的保護強度，在獲取同意的方式、安全保障措施以及后續傳播利用等方面，設置更強的保護義務。

其次，從目前案例的解決思路看，法院傾向于將隱私和個人信息的概念放在不同抽象程度上進行判斷，隱私更強調具體事實和場景，強調個案中的具體情節判斷，綜合考慮某些信息是否符合隱私的要件；而個人信息相對抽象和寬泛，可以在一般意義上判斷某類信息是否屬于個人信息，而不必過于拘泥于特定場景。

再次，對于個人信息的認定，目前看來，由于“可識別性”標準要求的只是一種可能性，導致認定成為個人信息的可能性相對來說比較大，并引發存在不確定性的爭論。在特斯拉車輛行駛數據事件的討論中，亦有不少專業人士認為具有唯一性的車輛識別碼，是有可能和其他數據結合指向特定個人，從而構成個人信息。但在本文提到的判決書中，法院認為識別的可能性較低，從而認為車輛使用數據不構成個人信息。總體來看，在日后越來越多樣的數據類型場景中，法院認定特定數據類型構成個人信息的可能性相對來說會呈現比較寬松的趨勢，而對隱私的認定則有可能相對更謹慎。

另一方面，個人信息由于包羅萬象，內部也有進一步分層的必要，比如按照目前《個人信息保護法》設定的一般個人信息和敏感個人信息的分層，是根據對個人利益侵害的風險程度來判斷；也可以根據個人信息的保密狀態進行區分，已公開的個人信息一般來說就不會再構成隱私。從發展趨勢來看，隨著個人信息保護相關法律法規的進一步完善，我國將出現更加細致、分層、分行業的個人信息保護標準和規范，例如，金融個人信息、兒童個人信息等，都有特殊的保護規范。這些立法、執法范疇的標準形成，有可能和司法個案中探索的規則結合起來，呈現更加具體化、精細化的發展方向，一方面形成分門別類的個人信息認定規則，另一方面，也可能為提煉更加抽象的認定標準提供素材和契機。

區分隱私和個人信息，準確界分這些概念的范圍，一方面需要準確了解這些具體規范里的規定和價值取向，結合《民法典》等法律法規的標準進行進一步斟酌，另一方面，也要兼顧保護和發展，尋找既能滿足用戶個人信息保護需求，又能促進數據要素正常流通的規范體系。個人信息保護將形成立法體系、行政監管、司法裁判、標準規范、自律規則等多個層面的綜合立體的規則體系，在實踐和理論的碰撞中一步步走向成熟，提供具有中國特色的治理方案。