IP屬地的法律性質證成及平臺責任評析

嚴 馳

(武漢理工大學 法學與人文社會學院，湖北 武漢 430070)

0 引言

2021年10月26日，中央網信辦發布了《互聯網用戶賬號名稱信息管理規定(征求意見稿)》，其中第12條要求互聯網用戶賬號服務平臺以顯著方式在用戶賬號信息頁面展示IP屬地信息。境內賬號IP屬地標注到省(區、市)，境外賬號IP屬地標注到國家(地區)。2022年4月24日，中央網信辦部署開展了“清朗·網絡暴力專項治理行動”，要求18家網絡暴力事件頻發、社會影響力大的網絡平臺切實承擔社會責任，對網絡暴力行為建立事前預警、事后保護、嚴防擴散、曝光警示等全鏈條治理措施。2022年4月至5月，今日頭條、小紅書、抖音、知乎、新浪微博等知名互聯網平臺相繼上線了顯示用戶IP屬地的功能[1]，引發社會輿論廣泛討論。2022年6月27日，國家互聯網信息辦公室正式發布《互聯網用戶賬號信息管理規定》(以下簡稱“《管理規定》”)，并于2022年8月1日起施行，其中第12條明確指出互聯網信息服務提供者應當在用戶賬號信息頁面展示合理范圍內的IP地址歸屬地信息。截止到2022年11月，用戶在相關平臺上均不具有自主關閉或者改變IP屬地信息的選擇權。雖然顯示用戶IP屬地能有效減少蹭熱度、網絡暴力、惡意造謠等不法行為的發生，但也引發了公眾對個人信息泄漏的擔憂。2021年11月，《中華人民共和國個人信息保護法》(以下簡稱“《個人信息保護法》”)正式實施，開啟了我國個人信息保護的新紀元。本文試圖在法律監管缺位的情況下，結合相關法律規定和司法實踐，對IP屬地的法律性質以及平臺公開用戶IP屬地應承擔的法律責任進行探討，廓清大數據時代的公民個人信息安全的概念。

1 研究基礎

1.1 概念解析

互聯網協議(Internet Protocol，IP)地址是實現互聯網功能的基礎資源，也是對網絡使用者身份和網絡信息追根溯源的重要工具，被稱為是“網上門牌號”[2]。和手機系統中通過GPS或基站定位獲取位置信息的原理不同，網絡用戶的IP地址是由互聯網通信協議決定的、在接入互聯網時就被分配的地址，信息接收方需要通過IP地址才能完成信息接入。本文所探討的IP屬地并不等同于IP地址。IP屬地雖然是基于IP地址形成的位置信息，但又不同于IP地址呈現到門牌號級別的精準度，它只是對使用互聯網的自然人地理位置的一種粗略顯示。簡單來說，IP屬地就是用戶上網行為發生時的具體地理位置[3]。IP屬地針對境內用戶賬號顯示到省級行政區劃的程度，如浙江、新疆、上海等，針對境外用戶賬號則只顯示國家或地區，如美國等。

1.2 文獻綜述

此前，世界范圍內在IP地址是否屬于個人信息上已存在較大爭議，如美國《信息隱私法》中認為IP地址屬于個人信息，法國法院的相關判決中則未將IP地址視為個人信息。在歐盟《通用數據保護條例》(GDPR)出臺前，我國有學者總結了法國、英國、德國等在IP地址上的相關規定，認為IP地址因缺乏某一特定的人的特征而不應被視為個人信息[4]。2018年5月出臺的GDPR中把IP地址視為網絡標識符的一種納入個人信息的保護范疇，一定程度上終結了歐盟地區關于IP地址是否屬于個人信息的爭議。對此我國也有學者更認可歐盟在GDPR中的觀點，認為一般情況下靜態IP和動態IP均構成個人信息[5]。我國在相關司法實踐中更傾向于把IP地址視為識別特定個人的信息，如熊某某與楊某某名譽權糾紛案中，法院認為被告熊某某通過原告楊某某泄漏的IP地址，進一步掌握到足以識別特定自然人的個人信息導致原告楊某某的名譽權受損。秦某某誹謗、尋釁滋事案中，法院通過IP地址和微博注冊信息的對應，識別出秦某某犯罪嫌疑人的身份。

IP屬地作為新近提出的概念，尚缺乏一個明確的定義，關于其法律性質分析的文獻數量較少。我國有學者結合了域外立法與實踐，提出在“識別”要素判斷上不宜采用過于寬泛的解釋，應將其限制為實質上的或能夠合理推斷的可能，認為IP屬地信息因過于模糊、無法單獨識別出特定自然人而不屬于個人信息[6]。也有學者提出《管理規定》第12條為網絡平臺設定公開用戶IP屬地信息的法定義務不能通過“適當性”“必要性”及“均衡性”審查，有違比例原則，不宜成為平臺公開用戶IP屬地行為的合法性依據[7]。還有學者關注IP屬地功能上線后引發的IP代理亂相[8]，認為社交平臺公開IP屬地的行為有利有弊，雖然一定程度上提升了網絡用戶鑒別信息真假的能力，但也可能會催生和IP代理相關的灰色產業鏈發展。如今對IP屬地的規制體系尚付闕如，未來仍需進一步明確和發展。

2 IP屬地法律性質界定

在探討IP屬地相關的法律問題前，首先應明確IP屬地的法律性質。厘清個人數據性質是規制數據活動的當務之急[9]。如今法學界對個人信息和個人數據的概念區分眾說紛紜，有學者認為個人數據權和個人信息權雖然對象重合度很高，但在主體和內容上都有所不同[10]，也有學者認為個人信息和個人數據在法學上具有一致性，在實質內容方面并無區別[11]。 從全球范圍來看，歐盟、美國、日本等國家的立法中更傾向于使用“數據”的概念，未對兩者加以明確區分，如GDPR中就采用了“Data”(數據)而非“Information”(信息)的表述。為避免相關概念的混淆，本文把個人數據和個人信息做同義語，不對兩者加以區分。

2.1 IP屬地是否屬于“個人信息”

2.1.1 國內立法及實踐

“可識別性”是個人信息界定時的核心要素[12]。有學者提倡對個人信息進行寬泛的界定，認為在個人信息的“識別”要素的判斷上，只要內容、目的、結果三者任一與特定自然人相關即可認定為個人信息[13]。也有學者指出應對個人信息作狹義解釋，過分擴大個人信息的范圍會加重中小企業的責任義務，給企業合規帶來了巨大的不確定性[14]。《中華人民共和國網絡安全法》(以下簡稱“《網絡安全法》”)第76條把個人信息定義為以電子方式記錄的能夠單獨或者與其他信息結合識別個人身份的信息，《個人信息保護法》第4條則把個人信息定義為以電子或其他方式記錄的與識別自然人有關的信息。2019年宣判的凌某某與抖音公司的網絡侵權責任糾紛一案中，北京互聯網法院認為抖音公司在未征得凌某某同意的情況下通過IP地址收集原告地理位置信息，構成對原告個人信息的侵害。

2.1.2 國外立法及實踐

GDPR第4條中對個人信息的定義是與已識別或可識別的自然人相關的任何信息，無限擴大了個人信息的邊界。2018年6月美國加利福尼亞州(以下簡稱“加州”)頒布的號稱“美國史上最嚴格數據保護立法”的《加州消費者隱私保護法案》(CCPA)中，明確把IP地址納入個人信息的范疇。在帕特里克·布萊耶(Patrick Breyer)訴德意志聯邦共和國案中，歐盟上訴法院認為確定一個人是否可以識別，應考慮到控制人或任何其他人可能合理使用的所有手段來識別該人[15]，雖然動態IP地址本身不能直接識別出特定自然人身份，但是通過IP地址與其他網絡平臺賬戶數據的組合，可以達到間接識別用戶的效果。同樣，在紐約時報公司等訴聯邦通信委員會案中，美國紐約南區聯邦地區法院認為盡管IP地址不會直接透露個人可識別信息，但是可以用于幫助拼湊出能與特定自然人相關連的其他身份信息。

運營商分配給用戶的IP地址是動態、共享的群體標識，而IP屬地是靜態、專屬于自然人的個體標識，其存在基于網絡連接服務的參數攜帶，天然指向或者關聯個人。傳統觀點認為可識別性是個人信息首要且必要的特性，不具可識別性的匿名信息等不屬于個人信息[16]。學界多數觀點指出不應在“識別”要素的認定上采取過于寬泛的解釋，過分擴大個人信息范圍。個人信息與自然人的人格尊嚴和安全密切相關，維護個人利益是個人信息保護的邏輯起點[17]。隨著數據收集和處理技術的發展，大數據時代的個人信息受到“識別性”和“相關性”兩方面的限制[18]，應重新界定個人信息保護范圍，除識別信息以外，也應對相關信息加以保護。個人信息需要同時具備與特定個人相關聯、反映個體特征和具有可識別性[19]。以互聯網搜索記錄為例，早期的搜索記錄并不屬于個人信息，隨著大數據分析技術的發展，如Netflix之類的新興科技公司會通過Hadoop、Phthon等程序收集海量數據，迅速了解用戶習慣[20]并根據用戶反饋作出精準的廣告推送。雖然IP屬地不具備單獨的可識別性，但其具備個人信息的相關性，通過和其他數據信息的結合，可以間接識別特定自然人。綜合國內外立法及實踐情況，在IP屬地是否屬于個人信息的判斷上，宜采用廣義解釋將其認定為個人信息。

2.2 IP屬地是否屬于“敏感個人信息”

2021年12月，全國信息安全標準化技術委員會發布的《網絡安全標準實踐指南——網絡數據分類分級指引》中把行蹤軌跡定義為“基于實時地理位置形成的個人行蹤和行程信息”，如精準定位信息、GPS車輛軌跡信息、出入境記錄、住宿信息等，強調了行蹤軌跡是個人實時地理位置的信息記錄。雖然《中華人民共和國民法典》(以下簡稱“《民法典》”)第1 034條中把行蹤信息納入了個人信息范疇，但是并未對行蹤軌跡下明確的定義。IP屬地作為位置信息，是自然人實時地理位置和省份移動軌跡的記錄，可以看作一種行蹤軌跡類信息。行蹤軌跡通常被視為敏感程度較高的個人信息，這也引發了進一步的思考，即IP屬地是否屬于“敏感個人信息”？

2.2.1 法律規定

《最高院、最高檢關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》第5條中把公民個人信息歸列為高度敏感信息、一般敏感信息和普通個人信息并設置了相應的入罪標準[21]。《個人信息保護法》頒布之前，“敏感個人信息”的概念只在《信息安全技術個人信息安全規范》(GB/T35273-2020)等標準層面出現過，從未在我國法律中明確規定。《個人信息保護法》第28條中把敏感個人信息定義為“一旦泄露或者非法使用，容易導致自然人的人格尊嚴受到侵害或者人身、財產安全受到危害的個人信息”，并列舉了包括行蹤軌跡在內七類典型的敏感個人信息。《個人信息保護法》在落地過程中對GDPR多有借鑒，GDPR第9條中規定了對民族起源、政治觀點、宗教信仰等特定類型個人信息的保護，但并未涉及明確的“敏感個人信息”表述。日本《個人信息保護法》(APPI)第2條規定“需要特殊保護的個人信息”是指包括種族、宗教、社會地位、醫療歷史、犯罪記錄、因犯罪遭受損害的事實，或者其他內閣命令規定的為避免引發歧視、偏見或者其他不利而需要特殊保護的個人信息，和我國敏感個人信息的概念具有高度一致性。

2.2.2 理論爭議

敏感個人信息和個人信息的關鍵差別就在“敏感”的判斷上，我國對敏感一詞的法律評價標準存在一定的模糊性。支持主觀說的學者認為“敏感個人信息”是使人敏感的個人信息，個人對該信息處理表現出高反應度[22]。支持客觀說的學者則認為“敏感”一詞是基于社會多數人的共同心理，與一個國家的政治、經濟、文化、社會等都存在聯系[23]。也有學者認為“敏感”并非個體對某種事物主觀反應度的表現，而是指法律規制的高反應度。敏感個人信息的界定要在確定敏感個人信息法律基準和法律基準具體維度的基礎上再確定判定標準，個人信息在達到“敏感”的法律基準并具備強工具性和唯一識別性時才應被認定為“敏感個人信息”[24]。《個人信息保護法》對敏感個人信息保護的立法邏輯即敏感個人信息的不當使用會對自然人的人身、財產權益造成損害。由此觀之，立法中采用了“敏感”即造成侵害或危害結果上的容易性的客觀說[25]。在判斷個人信息是否構成敏感個人信息時，宜采取以客觀權益侵害風險為基準的觀點，從公眾認可度、發生可能性、損害嚴重性三個維度來進行區分。從公眾認可度的角度來說，社會公眾對IP屬地信息的敏感性認可度較低；從發生可能性的角度來說，IP屬地信息一旦泄露或被非法利用使個人信息權益受到侵害的可能性較大；從損害嚴重性的角度來說，IP屬地信息泄漏或不當使用的影響和危害較低，給信息主體帶來損害的可能性較小。如今關于IP屬地是否應被界定為敏感個人信息的討論仍在繼續，根據不同維度、不同指標會得出迥然不同的結果，尚難斷言IP屬地是否屬于敏感個人信息。

在IP屬地的法律屬性判斷上，還存在其是否屬于個人隱私的困惑。個人信息權和隱私權之間存在一定的交叉和重合，也在性質、客體等方面存在明確的界分[26]，在此不再贅述。總體而言，一般認為敏感個人信息屬于隱私的保護范圍，一般個人信息則可進行商業化利用[27]。因此，在IP屬地是否屬于用戶個人隱私的判斷上，仍需時間給出答案。隨著大數據技術的發展，個人信息的邊界正在逐步泛化，一般個人信息和敏感個人信息間的區別被進一步弱化，難以實現清楚地界定。只要樣本容量足夠大，通過技術手段能輕易地把自然人暴露在網絡上的細瑣信息拼湊成完整的人物畫像[28]。采取寬嚴相濟的定義，把IP屬地納入個人信息的保護范疇符合大數據時代個人信息保護的發展理念。同時，應謹慎考慮是否把IP屬地界定為敏感個人信息或隱私，防止個人信息保護因范圍過大而失去可實施性。

3 平臺責任的法理分析

根據《國務院反壟斷委員會關于平臺經濟領域的反壟斷指南》第2條的定義，平臺是通過網絡信息技術實現雙邊或者多邊主體規則下交互，共同創造價值的一種組織形態。大數據時代平臺間的商業競爭模式更多表現為“數據戰”“信息戰”，對平臺上用戶個人信息的收集分析、加工處理實現相關產品的營銷推廣，是如今互聯網平臺的主要運營模式和核心競爭力所在[29]。為了更好地協調信息保護和信息利用，兼顧用戶信息權益和平臺商業利益，有必要明確平臺在公開顯示用戶IP屬地這一行為上的法律責任。

3.1 平臺行為合法性辨析

以新浪微博為例，2022年4月28日，新浪微博管理員賬號發布IP屬地功能升級公告，正式針對全體用戶開啟“IP屬地”功能。截止到2022年11月，用戶仍無法主動關閉IP屬地展示。即使在新浪微博隱私設置的個人信息與權限中關閉系統獲取定位權限后，用戶主頁、微博評論時仍會顯示IP屬地。新浪微博“先斬后奏”的做法引起了大量用戶的不滿，盡管IP屬地只是一個模糊的省份/地區(國內)或國家(國外)信息，無法鏈接到具體個人，但是用戶在新浪微博上呈現的信息不限于此，結合用戶主頁信息、微博發布情況等很容易間接識別到特定自然人，強制公布用戶IP屬地可能會引發后續地域歧視、廣告精準投放、個性化信息推送等。

在不少平臺的公告中，顯示IP屬地的目的是為了打造真實的線上社區，整治熱點問題造謠傳謠現象。常態化顯示IP屬地的確暴露了部分用戶人設與日常內容不符的現象，一定程度上達到了保障平臺內容真實的目的。但是認為公開IP屬地就能消弭惡意造謠、冒充身份、蹭熱度等不法現象難免過于樂觀。平臺方作為信息傳播的把關人(Gatekeeper)[30]，承擔著重要的信息審查責任，在未恪盡職守對用戶發布內容進行篩選、過濾的情況下，以公開用戶IP屬地的方式來維護平臺環境，有履職不當之嫌。此外，《個人信息保護法》第15條中規定了個人對個人信息處理者處理個人信息的撤回權。平臺強制顯示IP屬地、不允許自行修改刪除是對用戶撤回權的限制和剝奪，以上行為的合法性仍有待討論。

3.2 用戶告知同意原則

平臺對用戶IP屬地信息的處理可以分為信息收集和信息公開兩個部分。在信息收集上，如果用戶自愿為平臺開放獲取系統位置的權限，在用戶知情并同意的基礎上，平臺獲得用戶IP屬地信息的合法性自不待言。平臺方作為網絡服務提供商，基于網絡鏈接的原理，不可避免地會在運營過程中接觸和收集到用戶的精準位置信息，因此，平臺在收集用戶IP屬地信息的環節并未侵犯用戶的個人信息權益。在信息公開方面，平臺對IP屬地信息的處理屬于對個人信息的處理活動。在澳大利亞，平臺方作為網絡服務的提供者只有經過法院或行政機關的命令才能公開用戶的IP地址等個人信息[31]。《個人信息保護法》第25條規定，未經個人單獨同意，個人信息處理者不得公開其處理的個人信息。平臺把個人的IP屬地信息公開在個人主頁及評論界面，理應征得用戶單獨同意。

告知同意原則，是個人信息處理中的黃金原則。《民法典》第1 035條規定，除法律、行政法規另有規定的之外，處理個人信息應征得該自然人或者其監護人同意。《個人信息保護法》第13條規定，原則上個人信息處理者在取得個人同意后才能處理個人信息(除非有第2項至第7項的例外情形)。《個人信息保護法》第14條規定基于個人同意處理個人信息的，應在個人充分知情的前提下自愿、明確作出。平臺顯示用戶IP屬地的行為是平臺運營者研判了相關國家政策后，在未保證用戶知情、同意的前提下，預先為其實施作出的準備，明顯不符合第13條第2項至第6項的規定情形。《管理規定》也因存在有違比例原則的爭議而不宜成為第7項兜底條款中平臺未經用戶同意公開IP屬地信息的正當性來源。《民法典》第1 036條規定，為維護公共利益或自然人合法權益而合理實施的處理個人信息行為，行為人不承擔民事責任。平臺在顯示用戶IP屬地的公告中原因各異，主要包括維護良好傳播秩序，維護社區生態氛圍，打擊造謠傳謠行為等。公共利益是指不特定多數人的利益，公開用戶IP屬地是為了維護公共利益過于牽強，應警惕平臺把公共利益異化為限縮個人信息權益的借口，平臺無法通過該條款而免責。

3.3 處理個人信息的“最小必要”原則

如今大部分網絡平臺只有在用戶“同意”的前提下，才可以獲得預期的服務。現實中用戶對其個人信息的處理行為并無充分的選擇權，平臺方往往不會事先單獨征得用戶同意，而是在用戶協議或隱私政策中通過“一攬子同意”的方式，要求用戶同意所有有關個人信息處理的授權，以規避擅自使用用戶IP屬地信息引發的合規風險。通過對多個平臺的實測，絕大部分平臺在不同意其隱私政策的情況下會直接退出無法使用。還有平臺會在協議中加入默認用戶同意的條款，如《微博服務使用協議》第4.11條中就指出“針對某些特定的微博服務的使用規則及說明，微博運營方通過各種方式作出的任何聲明、通知、警示都將被視為是服務使用協議的一部分，用戶如使用該等微博服務默認視為用戶同意”。信息時代用戶和平臺間的關系是不對等的，用戶希望通過平臺來達成社交目的、展現個人形象或是共享交流信息，對作為服務提供方的平臺有強烈的依賴性。作為信息處理者的平臺有恃無恐，不論用戶主觀上是否明確理解相關規則，只追求其客觀上點擊同意的結果。在面對“全有或全無”的選擇時，用戶為了繼續使用不得不做出“一攬子同意”，以暴露個人信息為代價來換取平臺上的發言權。對平臺而言“一攬子同意”的索權能避免侵權的法律風險，但對于用戶而言其授權范圍遠大于所需服務。

從法律層面來說，《個人信息保護法》第6條規定，處理個人信息應采取對個人權益影響最小的方式，不得過度收集個人信息。《個人信息保護法》第16條規定，個人信息處理者不得以個人不同意處理其個人信息或者撤回同意為由，拒絕提供產品或者服務；處理個人信息屬于提供產品或者服務所必需的除外。這就涉及處理個人信息時的“最小必要”原則，在最小性的判斷上，平臺要求“一攬子同意”的行為違背了“對個人權益影響最小的方式，必要的最小范圍”規定。在必要性的判斷上，《常見類型移動互聯網應用程序必要個人信息范圍規定》第3條規定，必要個人信息是指保障App基本功能服務正常運行所需的個人信息。公開IP屬地并非相關平臺正常運行和提供基本功能服務所必需，平臺在用戶拒絕平臺獲取或公開該信息的情況下仍應繼續提供服務，且不得降低服務質量。在全球范圍內，互聯網平臺的告知行使義務需要得到規制已是一種共識。GDPR第13條和CCPA第2條中均指出應對告知的具體內容、方式做出明確具體的規定[32]，保障個人信息處理者在法律層面履行充分告知的義務。未來有必要在《個人信息保護法》等法律或司法解釋中建立完整、系統的告知程序和救濟程序，明確個人信息處理者告知用戶何時何種程度公開個人信息、不同情形下告知的具體內容，以及公開后出現問題時可采取哪些救濟措施等。

4 結論

對IP屬地法律性質和平臺責任的研究并非小題大做，如果放任平臺侵犯用戶個人信息權益的現象發生，可能會引發“破窗效應”[33]，導致管理和約束的失序。各大網絡平臺上線顯示用戶IP屬地信息的行為，可以看作是《管理規定》落地前響應國家要求改善網絡環境的一種嘗試。目前尚無法對IP屬地信息的法律性質作出明確界定，平臺顯示用戶IP屬地信息行為的法律責任也有待商榷，提出系統化的規制措施為時過早。在對個人信息主體權益日益重視的時代背景下，網絡平臺方應思考如何履行好主體責任，又避免因個人信息處理不當而引發后續法律問題。《個人信息保護法》第69條規定，個人信息處理者處理個人信息的行為侵害個人權益時適用舉證責任倒置的原則，平臺因無法承擔證明自己無過錯的舉證責任而敗訴的案例已有先例。為此，平臺應建立起個人信息安全保護的體系，對內可以設置《個人信息保護法》第52條中的“個人信息保護負責人”職位、申請ISO27001信息安全管理體系認證等，把個人信息保護滲透到組織架構和管理制度中，建立完備的個人信息安全合規體系。對外可以和專業第三方機構展開合作，制定完備、公開的平臺隱私政策文本，把個人信息的收集、傳輸、共享等環節匹配到相應的系統設置中，使個人信息保護規則落到實處。