麗江律師郜云研習廣州某電子商務有限公司、周某某個人信息保護糾紛民事二審民事判決書

麗江律師郜云研習廣州某電子商務有限公司、周某某個人信息保護糾紛民事二審民事判決書

廣東省廣州市中級人民法院

來源：中國裁判文書網 （2022）粵01民終某號

上訴人（原審被告）：廣州某電子商務有限公司，住所地廣東省廣州市荔灣區。

法定代表人：沈某，該公司執行董事兼總經理。

委托訴訟代理人：劉某，某律師事務所律師。

委托訴訟代理人：孫某某，某律師事務所律師。

被上訴人（原審原告）：周某某，女，1994年10月11日出生，漢族，身份證住址北京市海淀區。

委托訴訟代理人：梁某某，某律師事務所律師。

委托訴訟代理人：饒某某，某律師事務所律師。

上訴人廣州某電子商務有限公司（以下簡稱某公司）因與被上訴人周某某個人信息保護糾紛一案，不服廣州互聯網法院（2021）粵0192民初17422號民事判決，向本院提起上訴。本院依法組成合議庭進行審理。本案現已審理終結。

某公司上訴請求：1．撤銷一審判決第一項，改判駁回周某某全部訴訟請求或發回重審；2．本案一審、二審全部訴訟費用均由周某某承擔。事實和理由：

一、某公司已經充分保障和滿足了周某某的個人信息查閱權，向周某某提供了便捷的個人信息查閱途徑。1．某公司通過APP的交互設計為周某某提供了便捷的個人信息查閱途徑，并已經通過公示且經周某某同意的《隱私政策》和2021年3月1日的咨詢電話向周某某明示了查詢個人信息的途徑和方式。根據國家標準GB／T35273-2020《信息安全技術個人信息安全規范》第8.7條關于響應個人信息主體的請求規定，個人信息處理者可以通過在應用程序或客戶端軟件中采用交互頁面設計等方式為用戶提供自行查閱個人信息的便捷途徑，這屬于對個人信息查閱權的保障。某公司已經在某APP中為用戶提供了便捷的查閱個人信息的途徑，對于周某某如何在某APP查閱個人信息，某公司在《隱私政策》中以及周某某致電某客服時都進行了詳細的釋明。2．一審判決在附表2中列明判決某公司應向周某某查閱披露的個人信息明細，其中包含某公司從周某某收集的個人信息，這些信息周某某均可以通過某APP或手機完成個人信息查閱。3．對于某沒有收集的周某某個人信息，某無法披露也不應披露。某公司未收集周某某的昵稱信息，居住地信息周某某未向某公司提供，一審法院在判決附表2要求某公司向周某某提供昵稱和居住地信息顯然存在事實認定錯誤。4．某公司在一審訴訟過程中提交證據《原告個人信息情況》，也再次滿足了周某某的個人信息查閱權。某公司在一審訴訟時提交的證據《原告個人信息情況》，對某公司可以顯示的周某某在某APP注冊賬戶的個人信息進行了列明，其中包括登錄賬號、注冊時間、昵稱、頭像、性別、出生年月、綁定手機號、用戶系統收集的微信等信息，也包括訂單信息和收件信息。某公司在訴訟過程中也再次滿足了周某某的個人信息查閱權。

二、一審法院認定某公司侵害了周某某的查閱權，事實認定和法律適用均嚴重錯誤。1．周某某在2020年3月1日致電某客服并向某發送電子郵件時未提供身份信息，某公司也不掌握周某某的身份證號、真實姓名、郵箱、昵稱等身份信息。對于2021年3月1日周某某對某公司客服的致電，某公司并非電信、銀行等掌握用戶實名認證身份信息的企業，作為購物類互聯網公司，某公司沒有能力憑借僅在電信運營商處實名認證了的手機號碼來驗證該手機號的主體信息，不具備專業的身份識別手段和措施。即便某公司在接到周某某電話時可以核查到該手機號以及該手機號注冊的某賬號信息，但是因案涉某賬號并沒有關聯任何實名認證的身份信息，周某某致電時也沒有提供其個人身份信息，某公司無法核查該手機號對應的特定自然人，也無法驗證致電人是否為案涉賬號的信息主體。對于2021年3月1日周某某向某公司發送的電子郵件，該郵件中可以顯示的身份信息僅有發件人郵箱賬號zho×××＠163．com及郵箱昵稱“周縵卿”。一審法院已經確認周某某從未向某公司提供過上述電子郵箱信息，其電子郵箱昵稱“周縵卿”也僅為周某某在下單時用做收件人名稱。但是無論收件人名稱還是電子郵箱昵稱均沒有實名要求，可以虛構和任意變更，本案中周某某使用的“周縵卿”亦是虛構的。并且，購物訂單收件人與賬戶注冊主體可以不是同一人。2．某公司依據周某某的致電和匿名電子郵件無法驗證其身份，一審判決關于某公司無正當理由拒絕周某某行使查閱權的認定存在事實認定錯誤和法律適用錯誤。根據《中華人民共和國電子商務法》第24條規定：“電子商務經營者收到用戶信息查詢或者更正、刪除的申請的，應當在核實身份后及時提供查詢或者更正、刪除用戶信息。”國家標準GB／T35273-2020《信息安全技術個人信息安全規范》第8.7條規定：“響應個人信息主體的請求，對個人信息控制者的要求包括：在驗證個人信息主體身份后，應及時響應個人信息主體的請求，”可見用戶查詢個人信息均應當先驗證其主體身份。但是個人信息處理者驗證申請人主體身份的前提應當是該申請人先提供其個人身份信息以供核驗。在本案中，周某某發送的電子郵件沒有提供任何真實的個人身份信息，且某公司不掌握案涉賬號的實名認證信息，某公司無法在周某某不先行提供個人信息的情況下驗證其主體身份。一審法院忽視了個人信息處理者核實用戶身份的前提是用戶先行提供可供核實的身份信息，在本案中沒有審查周某某在發送電子郵件時是否先提供了必要的個人身份信息，就認定某公司拒絕了周某某的申請，屬于嚴重的認定事實錯誤，適用法律錯誤。3．周某某要求查詢個人信息系因擔心其個人信息泄露，但是本案無證據證明其個人信息遭到泄露，某公司也采取了符合標準的數據安全保護措施保護用戶的個人信息，某公司未侵害周某某任何權利，周某某也未遭受損害。

三、無論是從周某某在2021年3月1日首次聯系某公司還是至周某某提起本案訴訟時，周某某主張的自始至終均為查看個人信息，要求的是某公司披露信息，沒有主張其個人信息復制權受到侵害，也沒有要求某公司為其提供可供復制的個人信息副本。本案一審過程中，周某某沒有提出明確的書面請求變更其訴訟請求。一審法院在審理時未區分個人信息查閱權和復制權，將查閱權和復制權混為一談，不僅認定某公司侵害了周某某的個人信息查閱、復制權，還判決要求某公司為周某某提供可供下載的個人信息副本，超出了周某某的訴訟請求范圍。

四、在周某某已經可以查閱其個人信息且未主張個人信息復制權的情況下，一審法院仍要求某公司以Excel表格、Word文檔等電子形式向周某某提供可供下載的個人信息副本，法律適用錯誤。個人信息副本有多種形式，目前尚無法律明確規定個人信息副本的載體和形式。截屏圖片格式可以清晰的還原和展示用戶個人信息，但是一審法院沒有法律依據就將截屏排除在個人信息副本形式之外。而且周某某已經可以在某APP、某公司公開的《隱私政策》以及個人手機上查閱其個人信息，上述查閱個人信息的方式同樣可以完成對信息的復制。但是一審法院將個人信息副本的提供形式限制為Excel表格、Word文檔等電子形式，不僅超過現有法律規定，還實質上為某公司及廣大的個人信息處理平臺在法律之外附加了額外的超重義務。一審法院的此種認定不符合當前我國個人信息處理和保護的發展階段，對個人信息處理者過分苛以不符合實際的責任不僅增加個人信息處理者的負擔，也將對我國的個人信息保護產生反作用。目前我國關于個人信息保護的有關制度還在建設和完善過程中，對于信息查閱、復制權的保障方式，可以類比已經形成成熟規范的公民知情權和政務信息公開制度。公民知情權是由法律明確規定和保障的，但是即便對于公民知情權，在申請政府信息公開時，法律也沒有要求政府按照申請人要求公開的信息專門制作文檔向申請人提供，政府告知申請人獲取該信息的方式、途徑即視為完成了告知義務。立法對公民知情權的保障都不苛求政府專門制作文檔，告知獲取途徑即可，如果法院通過司法判決要求企業保障個人信息查閱、復制權時需要專門制作Word、Excel等形式的文檔，不僅對企業不公平，不利于個人信息保護的發展，也將可能造成社會資源的浪費。據此，即便是個人信息處理者應向查詢人提供電子化信息副本，但電子化信息副本的表現形式有很多種，個人信息處理者采取何種電子化信息副本形式也需要滿足技術可行、成本可控等前提條件，無論何種方式，只要能夠滿足查詢要求即視為履行了相關義務。

五、一審法院適用《中華人民共和國個人信息保護法》（以下簡稱《個人信息保護法》）作出判決，違反“法不溯及既往”原則，存在法律適用錯誤。根據《個人信息保護法》第七十四條規定：“本法自2021年11月1日起施行。”本案從一審立案起訴（2021年6月12日）至第二次開庭（2021年9月27日）均在《個人信息保護法》頒布之前，本案審理過程中周某某也明確其請求權基礎為《中華人民共和國民法典》（以下簡稱《民法典》）第一千零三十四條第一款的規定。一審法院適用2021年11月1日施行的《個人信息保護法》作出判決，顯然違反了“法不溯及既往”的基本原則，存在法律適用錯誤，二審應予糾正。

周某某辯稱：一審判決認定事實清楚、適用法律正確，某公司的上訴請求沒有事實和法律依據，請求二審法院駁回其上訴請求，維持一審判決。

一、某公司稱已通過APP為周某某提供了便捷的個人信息查閱途徑，但通過APP能夠查閱的個人信息是有限的，比如購物習慣，通過APP僅能查詢到近一個月內瀏覽商品的記錄。有些內容則非常籠統，比如一審判決附表2第7、8項，僅是向所有用戶列明了可能的第三方以及可能與第三方共享的信息列表，但具體某公司與哪些第三方共享了周某某的哪些個人信息內容是無法確定的，仍需某公司披露。其次，即便是APP上能夠查閱的內容，也無法確定是否與某公司后臺收集的信息一致。《民法典》第一千零三十七條除賦予了用戶查閱、復制個人信息的權利外，還賦予了用戶提出異議并要求修改的權利，在某公司拒不提供其后臺收集的周某某的個人信息的情況下，周某某無法核對收集的信息是否存在錯誤，無法保障其提出異議并要求修改的權利。再次，某《隱私政策》列出的收集的用戶信息遠不止APP上展示的部分，根據《民法典》相關規定，并沒有限制用戶查閱、復制個人信息的范圍。一審中某公司僅提供給用戶通過APP的方式查閱最基本的用戶信息，沒有保障用戶查詢、復制個人信息的權利。最后，無論周某某是否向某平臺提供了昵稱信息和居住地信息，并不影響某公司向周某某提供信息，在確實沒有收集的情況下，相關項目留空即可。事實上，某收集的大部分信息也并非周某某主動提供，而是某平臺主動收集的。某公司一審提交的《原告個人信息情況》僅列明了有限的信息，并未保障周某某查詢、復制個人信息的權利。某公司一審中表示其僅收集了周某某能夠從APP查詢到的基本信息，所以僅能提供這些基本信息。但在一審判決作出后，某公司在短時間內對APP進行了修改和調整，向用戶提供更大范圍的個人信息查閱內容，并提供了復制個人信息副本的途徑，可見某公司一審關于收集的用戶信息的范圍、提供用戶查閱和復制個人信息的途徑并不屬實，關于向用戶提供個人信息查閱、復制將損害公司權益且將不合理地增加公司運營成本的抗辯理由并不成立。

二、某公司主張未侵害周某某的個人信息權，一審法院認定事實和適用法律錯誤的上訴理由不成立。首先，周某某在一審中提交的證據充分證明某客服在通話中已明確知曉周某某的賬戶信息，而某公司稱無法核實用戶身份信息，純屬狡辯。其次，即便如某公司所說，通過電話或郵件均無法核實用戶身份信息，在周某某通過某公司提供的聯系方式多次提出查詢個人信息的情況下，某公司應主動進行核實，引導周某某向其提供相關信息以核實用戶身份，再向周某某提供查閱個人信息的途徑，而某公司卻在通話過程中找理由拒絕周某某查閱個人信息的請求，也沒有回復周某某后續發送的申請披露個人信息的郵件。《民法典》第一千零三十四條、一千零三十七條賦予了用戶查詢、復制平臺收集的其個人信息，并在發現錯誤的情況下提出異議、要求更正和刪除的權利，周某某作為某平臺客戶，在合理懷疑個人信息泄露的情況下要求某公司披露其個人信息，屬于正當行使上述權利。在周某某兩次要求某披露個人信息的情況下，某公司均不予處理，以不作為的方式侵害了周某某查詢、復制個人信息的權利。

三、某公司主張一審判決超出周某某訴請范圍，存在程序錯誤的上訴理由不成立。首先，周某某在一審訴訟請求中主張的是“披露”，“披露”一詞的行為主體是某公司，要求某公司“披露”就是行使其查詢和復制的權利，這是一體兩面的問題。其次，一審判決的內容是某公司向周某某“提供”個人信息進行查閱和復制，在本案語境下，“披露”和“提供”兩個詞的含義是相當的，并不存在超出訴請范圍的問題。即便認為“披露”不能等同于供“查閱和復制”，也僅能說明周某某一審的該項訴訟請求表述不夠明確，而在周某某的起訴狀、庭審辯論意見及庭后的代理詞中均已明確提出是個人信息的查詢和復制權受到侵害，屬于對訴訟請求模糊的地方進行了明確。

四、某APP提供的信息非常有限，且無法確認是否與某后臺收集的周某某的個人信息一致，周某某已經明確主張了個人信息復制權，因此某公司關于“周某某已經可以查閱其個人信息且未主張個人信息復制權”的說法不成立。一審判決某公司將表格中列明的周某某個人信息生成電子化的個人信息副本供周某某查閱和復制，并未限定一定要以Word、Excel等形式，僅是在說理時對某公司提供個人信息的形式進行了舉例式的建議，某公司對一審判決理解有誤。另，某以行政機關的信息公開與其向用戶提供個人信息的查閱和復制相比，不具有合理性，也沒有任何事實和法律基礎。某和行政機關主體類型不同，行政機關依法應公開的信息與某公司收集的用戶的個人信息屬性也完全不同，二者之間不存在可比較的地方。

五、一審判決適用《個人信息保護法》相關規定不存在法律適用錯誤。雖然周某某向某要求披露其個人信息時以及一審立案、開庭時《個人信息保護法》均未正式施行，但直至2021年11月1日《個人信息保護法》實施后到2021年12月13日一審判決作出時，某公司對周某某要求查閱、復制個人信息的請求仍未予以合理響應，即某公司侵害周某某個人信息查閱、復制權的不作為行為持續到了《個人信息保護法》實施以后，一審判決適用《個人信息保護法》并無不當。

周某某向一審法院起訴請求：一、判令某公司向周某某披露其在使用某電商網站（××）及APP客戶端（以下統稱“某平臺”）的過程中某公司收集的周某某的所有個人信息（具體內容見附表1）；二、判令某公司刪除在周某某身上收集到的所有非必要信息。

一審法院認定事實：

一、有關周某某某賬號的情況

某公司系某平臺的運營主體，用戶可通過網站和APP使用該平臺；周某某系某平臺的注冊用戶。

周某某提交的某賬戶個人中心頁面截圖顯示：在“個人中心”界面可以設置、查閱“個人資料”“賬戶與安全”“我的足跡”以及“我的訂單”。通過一審庭審現場勘驗，周某某在“個人資料”頁面設置了頭像、收貨地址、購物習慣（購買對象、喜歡的商品）；在“賬戶與安全”界面，綁定了156××＊＊541的手機號碼；在“我的足跡”可以查閱周某某在一個月內的瀏覽商品記錄；在“我的訂單”可以查詢周某某的訂單詳情，包括收件人姓名、收貨地址、手機號碼。周某某未提供的信息包括：郵箱、昵稱、生日、實名認證、關聯賬號以及支付信息。

某后臺調取了周某某的信息，調取出來以文檔格式展示：登陸賬號、綁定賬號為15×××41；注冊時間為2019年2月1日；昵稱為某會員，性別女；無任何微信、QQ、小程序等登錄過程中收集到的信息；兩個收件人信息，收貨人均標注為“周縵卿”，收貨手機號與登陸賬號相同。

二、有關周某某請求某公司查閱個人信息的情況

2021年3月1日，周某某致電某客服，表示其系某客戶，因其母親接到陌生電話，對方對周某某購物留下來的個人信息有所了解，故擔心個人信息泄露，想知道某收集了哪些個人信息，希望某披露所收集到的其個人信息（比如姓名、性別、出生年月、家庭信息、常用地址、聯系方式，賬戶信息、設備型號操作系統版本、唯一的設備識別符、位置信息、IP地址等）。某客服表示：“用戶有填寫的信息，可以在APP個人中心予以查看，且這些信息采取了加密的保護措施，不會泄露；對于用戶沒有填寫的信息，某是沒有辦法展示的，且鑒于登錄賬號6541用戶即周某某本人賬戶沒有實名認證，某也是沒有辦法知道的。”

同日，周某某通過電子郵件“周縵卿〈zho×××＠163．com〉”向某隱私專職部門郵箱發送郵件，郵件內容稱其剛致電了某客服，客服稱目前沒有渠道向其披露公司所收集的個人信息，因焦慮個人信息被過多收集，請求公司披露相關內容，請求披露的內容同案涉起訴附件清單。某公司未回復該郵件。

三、有關某的注冊流程以及隱私政策

根據某APP注冊流程顯示，用戶下載安裝某移動端后，首次打開某APP，會出現“歡迎使用某”的彈窗，向用戶說明：1．為向您提供交易相關的基本功能，我們會收集、使用必要的信息。2．基于您的明示授權，我們可能會需要獲取您的如下信息：2-1．位置信息（更精準的優惠商品推薦、更快捷的訂單配送服務等）2-2．設備號信息（以保障您賬號和交易安全）您有權拒絕或取消授權。。窗口同時提供了可供閱讀和下載的《某隱私政策》，用戶可以選擇“同意”或者“不同意”。

用戶在進入注冊流程時，出現“注冊協議及隱私證據”的彈窗，告知用戶“需仔細閱讀、充分理解《某服務條款》《隱私條款》《唯品支付服務協議》中的條款內容后再點擊同意注冊，如不同意以上協議或其中任何條款約定，請停止注冊。點擊同意即表示用戶已經閱讀并同意上述協議。”用戶可以選擇“同意”或者“不同意”。

《某隱私政策》載明內容包括：

我們如何收集和使用您的個人信息

（一）您授權我們收集和使用您個人信息的情形

1．實現網上購物和交易安全所必需的功能

（1）幫助您成為我們的會員。為成為我們的會員，以便我們為您提供會員服務，您需要提供手機號碼、電子郵箱地址，并創建用戶名和密碼。

（2）為您展示和推送商品和服務。這些信息包括：

設備信息：我們會根據您在軟件安裝及使用中授予的具體權限，接收并記錄您所使用的設備相關信息（例如設備名稱、設備型號、操作系統和應用程序版本、唯一設備標識符等）、設備所在位置相關信息（例如IP地址、GPS位置以及能夠提供相關信息的WLAN接入點、藍牙和基站等信息）

日志信息：我們會自動收集您對我們服務的詳細使用情況，作為有關網絡日志保存。例如您的搜索內容、瀏覽器類型、瀏覽記錄、訂單信息、IP地址、訪問日期和時間及您訪問的網頁記錄等。

（3）下單

當您準備對您購物車／購物袋內的商品進行結算時，某系統會生成您購買該商品的訂單。您需要在訂單中至少填寫您的收貨人姓名、收貨地址以及手機號碼，同時該訂單中會載明訂單號、您所購買的商品或服務信息、您應支付的貨款金額及支付方式

2．改進我們的產品與／或服務所必須的功能

我們可能會收集您的訂單信息、瀏覽信息、您的購物習慣進行數據分析以形成用戶畫像，用來將您感興趣的商品或服務信息展示給您；或在您搜索時向您展示您可能希望找到的商品。

3．為您提供安全保障

我們可能使用或整合您的會員信息、交易信息、設備信息、有關網絡日志以及我們關聯公司、合作伙伴取得您授權或依據法律共享的信息，來綜合判斷您賬戶及交易風險、進行身份驗證、檢測及防范安全事件，并依法采取必要的記錄、審計、分析、處置措施。我們還可能在應用程序中嵌入我們合作的第三方合作伙伴開發的應用安全類的軟件工具開發包（在本隱私政策中簡稱“SDK”）收集您的設備信息、服務日志信息

我們如何共享、轉讓、公開披露您的個人信息

2．我們可能會將您的個人信息與我們的關聯方共享。

3．與授權合作伙伴共享：僅為實現本隱私政策中聲明的目的，我們的某些服務將由我們和授權合作伙伴共同提供。我們可能會與合作伙伴共享您的某些個人信息，以提供更好的客戶服務和用戶體驗。目前，我們的合作伙伴包括以下類型：（1）商品或技術服務的供應商。（2）第三方商家。（3）委托我們進行推廣的合作伙伴。為了使您能夠使用上述服務及功能，我們的應用中會嵌入授權合作伙伴的SDK或其他類似的應用程序。我們向合作伙伴及第三方共享您的個人信息的情形逐項列舉詳見附件一《第三方SDK目錄》（目錄列明了SDK名稱、所屬機構、SDK用途、SDK收集的個人信息類型以及官網鏈接）。（4）合作金融機構或其他合作伙伴。

您如何管理您的個人信息

1．訪問和更正您的個人信息。（1）賬戶信息：移動端具體路徑為：賬戶名稱、個人資料信息：首頁——左下角點擊人形頭像——點擊某會員頭像-設置個人資料、賬戶名稱、收貨地址；修改登錄密碼、支付密碼及綁定手機：首頁-點擊左下角人形頭像-進入我的“賬戶與安全”-修改相應信息。（2）訂單信息：移動端具體路徑為：首頁-點擊左下角人形頭像-全部訂單-查看全部訂單。（3）檔案信息：移動端您可以在首頁點擊左下角人形頭像-點擊某會員頭像-進入“我的尺碼”-填寫、修改您的尺碼信息。（4）您在使用我們的產品與／或服務過程中產生的其他個人信息需要訪問或更正，請隨時聯系我們。我們會根據本隱私政策所列明的方式和期限響應您的請求。

2．刪除您的個人信息。您在我們的產品與／或服務頁面中可以直接清除或刪除的信息，包括訂單信息、收貨地址信息；在以下情形中，您可以向我們提出刪除個人信息的請求：（1）如果我們處理個人信息的行為違反法律法規；（2）如果我們收集、使用您的個人信息，卻未征得您的同意；（3）如果我們處理個人信息的行為違反了與您的約定；（4）如果您注銷了某賬戶；（5）如果我們終止服務及運營。

6．個人信息主體獲取個人信息副本。您有權獲取您的個人信息副本，您可以通過以下方式自行操作：進入個人中心，點擊用戶頭像，然后進入個人資料獲取。

7．響應您的上述請求。如果您無法通過上述方式訪問、更正或刪除您的個人信息，或您需要訪問、更正或刪除您在使用我們、產品與／或服務時所產生的其他個人信息，或您認為某存在任何違反法律法規或與您關于個人信息的收集或使用的約定，您均可以通過本協議下方的方式與我們聯系。為了保障安全，我們可能需要您提供書面請求，或以其他方式證明您的身份，我們將在收到您反饋并驗證您的身份后的15天內答復您的請求。對于您合理的請求，我們原則上不收取費用，但對多次重復、超出合理限度的請求，我們將視情收取一定成本費用。

如何聯系我們

1．如您對本隱私政策或您個人信息的相關事宜有任何問題、意見或建議，請聯系某客戶服務部，客戶服務部電話：40。

3．我們設立了個人信息保護專職部門，您可以通過發送郵件至inf×××＠vipshop．com的方式與其聯系。

四、其他情況

周某某提交了電話號碼156××＊＊＊＊＊＊的實名信息，顯示該號碼身份證實名認證主體為周某某本人。

某提交了安全等級保護三級認證、ISO27001：2013認證，擬證明某已根據法律法規規定，采取了符合業務標準、合理可行的安全防護措施以保護用戶的個人信息安全。

一審庭審中，某確認平臺收集周某某的信息包括：一是周某某自行提供的信息；二是系統自動收集、生產的信息。結合周某某申請披露的個人信息列表，某公司確認其公司收集到的個人信息如下：賬戶信息

賬戶注冊時間、賬號、昵稱、頭像個人基本信息

性別、居住地、手機號碼設備信息

設備型號、操作系統版本、唯一設備標識符日志信息

瀏覽記錄、訂單信息、IP地址周某某的收貨信息

收貨人姓名、收貨地址以及手機號碼，及相應的訂單號、所購商品或服務信息、支付的貨款金額

一審庭審中，某陳述并未查詢到周某某有通過PC電腦端使用某的情形，對此，周某某予以確認。

一審另查，經過一審庭審勘驗周某某的手機系統權限設置，顯示周某某授權某APP的權限如下：使用時允許某收集位置信息；儲存空間處于可訪問狀態；麥克風、相機、電話、通訊錄、短信、懸浮式等權限均處于拒絕某訪問狀態。

一審訴訟中，周某某明確主張本案為侵權之訴，某公司拒不向周某某披露個人信息的不作為構成對周某某個人信息查閱、復制權的侵害，因此，周某某請求排除妨礙、消除危險。

一審法院認為，本案系個人信息保護糾紛。案涉糾紛發生于《個人信息保護法》生效之前，但該法律事實持續至《個人信息保護法》施行后，因此，本案可適用《個人信息保護法》的相關規定。本案一審爭議焦點為：一、周某某要求查閱、復制的信息是否屬于個人信息；二、個人信息查閱、復制權的范圍；三、某公司是否侵害了周某某的查閱權和復制權，如侵權成立，某公司應以何種方式保障周某某的查閱權、復制權的行使；四、周某某要求某刪除相關非必要個人信息的訴請能否得到支持。

一、周某某要求查閱、復制的信息是否屬于個人信息

《民法典》第一千零三十四條規定：“個人信息是以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別特定自然人的各種信息，包括自然人的姓名、出生日期、身份證件號碼、生物識別信息、住址、電話號碼、電子郵箱、健康信息、行蹤信息等。”《個人信息保護法》第四條規定：“個人信息是以電子或者其他方式記錄的與已識別或者可識別的自然人有關的各種信息，不包括匿名化處理后的信息。”

根據上述規定，個人信息認定的關鍵因素是“識別”，只有可以直接或間接識別特定自然人的信息才是個人信息。本案中，周某某要求某公司披露的信息，其中個人資料中的姓名、電話號碼、訂單信息一般情況可以直接識別到特定自然人的身份和財產狀況；其他如設備信息、位置信息、瀏覽記錄等信息，雖然僅憑借該信息無法識別出特定的自然人，但與其他信息進行結合就可以識別出特定的自然人。因此，周某某訴請某公司披露的以上信息屬于個人信息的范圍。

關于某公司抗辯設備信息以及日志信息是系統自動記錄的信息，兼具商業運營信息的屬性，企業有權在合理范圍內且在不損害用戶權益的基礎上加以利用。一審法院認為，設備信息是用戶在使用某APP過程中所持有的個人常用設備型號、唯一設備識別碼等硬件信息；日志信息，特別是其中的訂單信息涉及用戶姓名、收件人姓名、收件地址與收貨電話號碼。以上信息顯然是用戶主動提供的，可以指向用戶的身份信息、財產信息、上網記錄信息以及個人常用設備信息，屬于個人信息，即便某要利用設備信息和日志信息進行商業運營，亦不影響其個人信息的界定，自然人許可他人使用個人信息，而這種許可并不視為自然人放棄或者轉讓了其個人信息權益。因此，周某某對其訴請某公司披露的設備信息和日志信息具有個人信息權益，某公司不應以商業利益為由拒絕周某某對設備信息和日志信息行使權利。

二、個人信息查閱權、復制權的范圍

《民法典》第一千零三十七條第一款規定：“自然人可以依法向信息處理者查閱或者復制其個人信息。”《個人信息保護法》第四十五條第一款亦規定了個人有向個人信息處理者查閱、復制其個人信息的權利。據此，個人享有向個人信息處理者查閱、復制其個人信息的權利，周某某作為個人信息主體，有權向收集、處理其個人信息的某公司查閱、復制其個人信息。

參考國家標準GB／T35273-2020《信息安全技術個人信息安全規范》，其中第8.1條將查閱的內容規定為：“個人信息控制者所持有的個人信息或者個人信息的類型；上述個人信息的來源、所用于的目的；已經獲得上述個人信息的第三人身份或類型。”可知，個人信息查閱權、復制權的客體“個人信息”，不僅包括個人信息本身，還應該包括個人信息處理的相關情況。本案一審中，周某某訴請某公司披露收集到的其所有個人信息，具體內容以附表1為準，而附表1內的請求內容不僅包括個人信息，也包含了個人信息處理的相關情況。某公司確認收集到的個人信息屬于某公司正在處理的個人信息，應當依法提供給個人信息主體進行查閱和復制。至于周某某訴請披露的清單中所列其他個人信息以及個人信息處理的相關情況是否應在查閱、復制的范圍，一審法院具體分析如下：

（1）關于周某某所列清單中的“第三方SDK從某公司收集到的其個人信息”。根據《某隱私政策》中“您授權我們收集和使用您個人信息的情形—一一—為您提供安全保障”條款約定“我們還可能在應用程序中嵌入我們合作的第三方合作伙伴開發的應用安全類的軟件工具開發包（在本隱私政策中簡稱“SDK”）收集您的設備信息、服務日志信息”可見，某公司有向SDK共享用戶信息的可能。至于第三方SDK實際收集了周某某的何種信息，雖然附件一第三方SDK目錄中列明了可能嵌入的第三方SDK名稱、用途以及收集個人信息類型，但實際內嵌于某APP中的第三方SDK以及該SDK實際收集的用戶具體個人信息，用戶是無法查閱的。因此，某公司仍有必要向周某某清晰列出實際內嵌第三方SDK收集的周某某個人信息，包括第三方SDK的具體名稱，以及第三方SDK已經收集到的周某某個人信息基本情況，包括信息類型、信息內容、使用目的和使用場景。

（2）關于周某某所列清單中的“哪些信息被用于用戶畫像”。參考國家標準GB／T35273-2020《信息安全技術個人信息安全規范》第3.8條規定，用戶畫像是指“通過收集、匯聚、分析個人信息，對某特定自然人個人特征，如職業、經濟、健康、教育、個人喜好、信用、行為等方面作出分析或預測，形成其個人特征模型的過程。”可知，用戶畫像是通過算法對個人信息的集合或部分集合進行自動化決策的過程。根據《個人信息保護法》第二十四條第三款規定，通過自動化決策方式作出對個人權益有重大影響的決定，個人有權要求個人信息處理者予以說明，并有權拒絕個人信息處理者僅通過自動化決策的方式作出決定。本案中，周某某并未提交證據證明某公司作出了對其個人權益有重大影響的自動化決策，其訴求某公司披露具體哪些信息被用于用戶畫像，無事實和法律依據，一審法院不予支持。

（3）關于周某某訴請披露的“對外分享的信息：共享給第三方的信息以及第三方的具體名稱”。根據《某隱私政策》的約定，某公司可能會將用戶的個人信息與其關聯方、授權合作伙伴共享，合作伙伴包括商品或技術服務的供應商、第三方商家以及委托某公司進行推廣的合作伙伴。該隱私政策并未披露共享個人信息的關聯方以及授權合作伙伴的具體名稱，根據《個人信息保護法》第二十三條的規定，“個人信息處理者向其他個人信息處理者提供其處理的個人信息的，應當向個人告知接收方的名稱或者姓名、聯系方式、處理目的、處理方式和個人信息的種類，并取得個人的單獨同意。”據此，某公司有必要根據周某某的申請披露與第三方共享個人信息清單，列明第三方的具體名稱以及共享給第三方的周某某個人信息，包括信息種類、信息內容、使用目的、使用場景和共享方式。

（4）關于周某某所列清單中的“支付信息：與某合作的第三方支付機構從某收集到的賬戶信息”，該信息仍屬于上述某公司共享給第三方的個人信息范疇，某公司應根據周某某的申請予以披露。

（5）至于周某某所列清單的其它信息：姓名、出生年月日、電子郵箱；設備名稱、移動應用列表、應用程序版本、語言設置、運營商網絡類型等軟硬件特征信息；GPS位置以及能夠提供相關信息的WLAN接入點、藍牙和基站；搜索內容、瀏覽器類型、訪問日期、時間以及訪問的網頁記錄等，某公司未確認已收集以上個人信息，周某某亦無證據證明某存在收集行為，故周某某主張查閱、復制以上個人信息，無事實和法律依據，一審法院不予支持。

三、某公司是否侵害了周某某的查閱復制權，如侵權成立，某公司應以何種方式保障查閱復制權的行使

（一）某公司是否侵害了周某某的查閱權和復制權

個人信息查閱復制權，系個人信息處理公開透明原則的具體要求，是個人對個人信息處理享有知情權的具體體現，也是保障個人信息決定權的重要前提。關于某公司抗辯提出的個人信息查閱權“可訴性”的問題，《個人信息保護法》第五十條的規定：“個人信息處理者應當建立便捷的個人行使權利的申請受理和處理機制。拒絕個人行使權利的請求的，應當說明理由。個人信息處理者拒絕個人行使權利的請求的，個人可以依法向人民法院提起訴訟。”據此，個人的查閱復制權被個人信息處理者無理由拒絕后，個人有權尋求司法救濟，通過向法院提起訴訟而請求排除妨礙。考量周某某個人信息查閱權、復制權是否被侵害，應當從以下兩個維度進行：（1）周某某是否已行使查閱復制請求權；（2）某公司是否存在無正當理由拒絕的行為。結合本案，一審法院具體分析如下：

（1）周某某已行使查閱復制請求權

查閱復制權是個人在個人信息處理活動中的權利，但是，法律并未明確規定該權利行使的前提條件，對此，一審法院認為，個人只需要能夠證明自己屬于個人信息主體即可以行使查閱復制權。案涉周某某注冊的某賬號雖然未進行實名認證，但周某某使用了其手機號碼進行注冊并綁定了賬號，收貨聯系人手機號碼亦與賬號一致，且案涉周某某的手機號碼已實名登記。根據《全國人民代表大會常務委員會關于加強網絡信息保護的決定》第六條規定，電話號碼必須實名登記，據此，電話號碼這一信息可以識別出特定的自然人。周某某通過實名登記的移動電話聯系了某公司的客服，客服亦通過周某某的來電核實到周某某的注冊賬號，因此，周某某已經證明了其屬于案涉賬號的信息主體。

根據某隱私政策的約定，用戶在無法通過個人賬戶訪問其個人信息或是使用產品過程中產生的其他個人信息時，可以通過撥打客服電話或者向某隱私專職保護部門發送郵件的方式要求訪問。周某某根據隱私政策的規定，先后通過致電客服和發送郵件的方式提出了查閱復制其個人信息的請求，可認定其已向某公司行使了查閱復制請求權。

（2）某公司存在無正當理由拒絕周某某行使查閱、復制權的行為

首先，周某某通過某客服查詢個人信息，某客服陳述“用戶有填寫的信息，可以在APP個人中心予以查看；對于用戶沒有填寫的信息，某是沒有辦法展示的”，但根據某隱私政策以及某公司一審庭審中所確認的，除了周某某自行提供的個人信息，系統還會自動收集、生產信息，包括：設備信息（設備的型號、操作系統版本、唯一設備標識符）以及日志信息（訂單信息、瀏覽信息、IP地址）。經過庭審勘驗，可以確認周某某通過某APP無法查閱設備信息以及日志信息中的IP地址。《個人信息保護法》第四十五條第一款規定了個人不得行使查閱、復制的兩種情形：其一，本法第十八條第一款規定“法律、行政法規規定應當保密或者不需要告知的情形”；其二，本法第三十五條規定“國家機關為履行法定職責處理個人信息，告知將妨礙國家機關履行法定職責的”。顯然，設備信息和IP地址并不屬于以上規定的兩種情形，某公司應當予以告知。

其次，關于周某某向某公司個人信息專職保護部門發送郵件的請求，雖然周某某未附有個人的身份信息，其注冊賬號亦未提供電子郵箱，但周某某使用了其收貨人姓名“周縵卿”作為郵件發送方，某公司是可以向周某某驗證身份的。《中華人民共和國電子商務法》第二十四條規定：“電子商務經營者應當明示用戶信息查詢、更正、刪除以及用戶注銷的方式、程序，不得對用戶信息查詢、更正、刪除以及用戶注銷設置不合理條件。電子商務經營者收到用戶信息查詢或者更正、刪除的申請的，應當在核實身份后及時提供查詢或者更正、刪除用戶信息。”參考國家標準GB／T35273-2020《信息安全技術個人信息安全規范》第8.7條規定，“響應個人信息主體的請求，對個人信息控制者的要求包括：在驗證個人信息主體身份后，應及時響應個人信息主體的請求，應在30天內或法律規定的期限內作出答復及合理解釋，并告知個人信息主體外部糾紛解決途徑。”《某隱私政策》中亦約定“為了保障安全，我們可能需要您提供書面請求，或以其他方式證明您的身份，我們將在收到您反饋并驗證您的身份后的15天內答復您的請求。”可見，不論基于法律法規規定、國家相關標準，還是某公司與周某某之間的約定，某公司在接到周某某請求時的首要工作是驗證其個人信息主體身份，然后在合理的期間作出答復，但某公司在收到周某某發送的郵件后，并未作出任何處理，實質上是拒絕了周某某的申請。且在周某某對某公司提起訴訟后，某公司已經核實了周某某的個人信息主體身份，仍拒絕披露周某某在APP個人資料頁面無法查看的信息。綜上，一審法院認定某公司存在無正當理由拒絕周某某行使查閱、復制權的行為。

（二）某公司應以何種方式保障查閱復制權的行使

法律規定個人信息主體有權復制其個人信息，與之相對的就是個人信息處理者應當提供正在處理的個人信息的副本，這種副本的形式應當包括紙質的，也包括電子化的，其應當是結構化的、通用的及可讀的。一審庭審中，某公司陳述可以通過截屏的方式獲取個人資料的個人信息，但截屏顯然不屬于通用的個人信息副本方式。鑒于某公司在隱私政策中明確約定用戶可以獲取個人信息副本，因此，某公司有必要提供一種通用的、可下載的個人信息副本方式，考慮到周某某以電子方式提出請求，某公司也應當以常用的電子形式提供個人信息副本，如excel表格、word文檔等。

綜上，某公司存在拒絕周某某個人行使權利請求的行為，且拒絕理由不充分，周某某向某公司主張個人信息查閱、復制的請求權，有事實和法律依據，一審法院依法予以支持。根據周某某的申請，某公司應當披露的內容包括：1．某公司確認收集的周某某個人信息；2．嵌入某APP第三方SDK的名稱以及收集的周某某個人信息基本情況；3．某公司共享給第三方的周某某個人信息基本情況（詳見附表2）。

一審庭審中，周某某確認其未使用過某電商網站（××），因此，其訴請某公司披露在使用網站期間收集到的所有個人信息，無事實和法律依據，一審法院不予支持。

四、周某某要求某刪除相關“非必要個人信息”的訴請能否得到支持

關于周某某刪除權的訴請，一審法院認為，首先應探究某公司收集的相關個人信息是否取得了周某某的同意；其次應分析某公司是否存在主動刪除周某某相關個人信息的情形。

首先，根據《個人信息保護法》第十三條第一款第一項規定，“取得個人的同意，個人信息處理者可處理個人信息。”某公司提交的注冊流程顯示，用戶注冊某APP時需“仔細閱讀、充分理解《某服務條款》《隱私條款》《唯品支付服務協議》中的條款內容后再點擊同意注冊”，周某某注冊了某APP用戶，即表示其已經閱讀并同意了《某隱私政策》。根據隱私政策約定，某公司可根據用戶的授權收集設備信息、網絡日志、收集用戶消費習慣形成用戶畫像等，且根據庭審勘驗，周某某可通過手機權限選擇是否授權某使用位置信息、相機、儲存等信息。可見，某公司雖然收集了周某某主張的“非必要個人信息”，但取得了周某某本人的同意。

其次，《個人信息保護法》第四十七條第一款規定：“有下列情形之一的，個人信息處理者應當主動刪除個人信息；個人信息處理者未刪除的，個人有權請求刪除：（一）處理目的已實現、無法實現或者為實現處理目的不再必要；（二）個人信息處理者停止提供產品或者服務，或者保存期限已屆滿；（三）個人撤回同意；（四）個人信息處理者違反法律、行政法規或者違反約定處理個人信息；（五）法律、行政法規規定的其他情形。”本案并無證據表明某公司存在以上應當主動刪除周某某個人信息的情形，周某某述稱其有理由懷疑某公司收集“非必要個人信息”用于商業營銷之用，并無證據予以證實。

綜上，周某某未提交證據證明某公司存在應當主動刪除其個人信息的情形，某公司根據周某某的授權同意收集了相關個人信息，周某某現要求某公司予以刪除，無事實和法律依據，一審法院對此不予支持。

綜上所述，某公司作為大型的網絡購物平臺，應當踐行保護個人信息知情權的理念，優化產品設計，提供更加便捷的個人信息查閱復制途徑，充分保障個人信息主體的查閱權和復制權，一審法院對周某某的訴訟請求，予以部分支持。依照《中華人民共和國民法典》第一千零三十四條、第一千零三十七條，《中華人民共和國個人信息保護法》第四條、第六條、第七條、第十三條第一款、第十八條第一款、第二十三條、第二十四條、第三十五條、第四十五條、第四十七條、第五十條，《中華人民共和國電子商務法》第二十四條，《中華人民共和國民事訴訟法》第六十四條之規定，作出判決：一、某公司于該判決發生法律效力之日起十日內提供自周某某注冊某APP之日起至該判決發生法律效力之日止的已收集到的個人信息以及個人信息處理的相關情況供周某某查閱、復制（具體內容詳見附表2）；二、駁回周某某的其他訴訟請求。一審案件受理費500元，由某公司負擔。

二審中，某公司提交：

1．某公司自行制作的2021年3月1日某客服電話入線記錄，擬證明2021年3月1日即周某某撥打某客服電話當日，某公司客服共入線電話1＊＊＊＊個。某客服每日入線海量來電，難以逐一核實來電人員的身份信息。

2．郵箱網關系統隔離記錄截圖，擬證明周某某2021年3月1日發送給某公司的郵件因有禁用詞被郵箱網關系統隔離，某公司實際上并未收到該郵件，在不知曉周某某發送過郵件的情況下未對周某某郵件請求進行答復，不存在過錯。

3．（2022）京方圓內經證字第3466號公證書，擬證明周某某在手機及某APP上可以查閱復制其主張的個人信息，并可自行在某APP上獲取電子化的個人信息副本。周某某主張的賬戶信息、個人基本情況、日志信息、收貨信息均可在APP“個人中心”中完成查閱，“購物習慣”由用戶自行勾選并可隨時更改，在“個人中心”中可以查閱用戶選擇的“購物習慣”。設備信息中的“設備型號、操作系統版本、唯一設備識別符”及日志信息中的“IP地址”在手機的“設置”功能里均可完成查閱。一審判決附表2中所列1-6項信息，周某某均可在其手機和某APP中完成查閱。某APP“個人中心”中向用戶公示了《第三方SDK收集個人信息清單》，列明了第三方SDK的名稱、使用場景、使用目的、收集個人信息字段、個人信息類型、所屬機構及政策說明鏈接，周某某可在某APP中完成查閱復制。某APP“個人中心”中向用戶公示了《與第三方共享個人信息列表》，列明了信息接收方、共享個人信息內容、使用場景、使用目的、共享方式及查閱具體服務方信息的渠道，周某某可在某APP中完成查閱復制。某APP“個人中心-隱私設置”中有“個人信息查看與導出”功能，用戶可自行便捷地將電子化的個人信息副本發送到指定郵箱，周某某可自助獲取。

4．某APP導出個人信息副本的過程截圖及提供的個人信息副本、2021年12月21日澎湃新聞文章《從APP中“復制”自己的個人信息，有多難？》，擬證明用戶可以自行在某APP獲取電子化的個人信息副本。根據媒體對應用市場上五十款常用APP在個人信息查閱復制方面的測評報告，某APP采取的提供個人信息副本方式是目前實踐中的主流做法，且某APP可以提供的個人信息副本包含的個人信息在目前市面上的APP中屬于內容較為豐富的。一審法院認定某“應當以常用的電子形式提供個人信息副本，如Excel、Word文檔等”不符合當前實踐中個人信息復制權的行使方式，違背個人信息保護實踐的通常做法。

5.2021年9月10日、2021年11月4日、2021年12月10日、2022年2月8日某更新隱私政策的公告及其發布的隱私政策和附件，以及某APP隱私政策及附件修改對比表，擬證明某公司已按照《個人信息保護法》的規定及主管部門要求，于2021年11月4日修改、發布了《第三方SDK收集個人信息清單》《與第三方共享個人信息基本情況》《APP權限使用情況列表》《個人信息收集與使用清單》，通過上述清單、列表的方式向用戶披露個人信息收集、共享的情況。周某某可以在某APP上通過《第三方SDK收集個人信息清單》、《與第三方共享個人信息基本情況》查閱第三方SDK收集的個人信息及與第三方共享的個人信息詳情，某已履行《個人信息保護法》規定的個人信息合規義務。某公司跟隨法律法規的變動不斷完善更新隱私政策及個人信息保護政策，履行《個人信息保護法》規定的個人信息合規義務。一審法院沒有查明《個人信息保護法》的生效時間及企業履行新法義務的時間，認定某公司構成侵害周某某查閱復制權，存在事實認定錯誤和法律適用錯誤。

6.2021年11月1日工業和信息化部《關于開展信息通信服務感知提升行動的通知》及附件《首批設立“雙清單”、提升客服熱線響應能力、優化隱私政策和權限調用展示方式的互聯網企業名單》，擬證明工信部于2021年11月1日發布通知，要求互聯網企業2021年12月底前完成“優化隱私政策和權限調用展示方式”，各相關企業應建立已收集個人信息清單和與第三方共享個人信息清單（個人信息保護“雙清單”），并在APP二級菜單中展示，方便用戶查詢。某公司為工信部首批設立“雙清單”、提升客服熱線響應能力、優化隱私政策和權限調用展示方式的互聯網企業之一，于2021年11月4日發布了“雙清單”，走在互聯網企業前列。

7.2021年5月11日中國打擊侵權假冒工作網發布的《廣東三部門聯合召開互聯網平臺企業行政指導會》、2021年4月14日國家市場監督管理總局發布的《互聯網平臺企業向社會公開〈依法合規經營承諾〉（第一批）》、2020年11月6日市場監管總局等聯合召開規范線上經濟秩序行政指導會的相關報道，擬證明某公司在《個人信息保護法》頒布前后始終積極參與并接受主管部門的行政指導，按照法律、監管的要求履行個人信息合規義務。

周某某質證稱，對證據1的真實性、合法性、關聯性均不認可，該證據是某公司單方制作，周某某無法核實其真實性和合法性，且周某某在一審中提交的證據可以充分證明，某公司客服在通話的過程中已經明確知道周某某的賬戶信息。對證據2的真實性、合法性、關聯性均不認可，該證據是某公司單方提供，周某某無法核實其真實性和合法性。另，某公司在一審程序中也從未否認過收到周某某郵件的事實，只是強調其無需向周某某披露信息。即便某公司確實沒有收到周某某郵件，也是由于某公司系統惡意攔截的緣故，其應承擔相應不利后果。某公司在與周某某的通話中已經明確地拒絕了周某某關于披露信息的請求，已經侵害了周某某的查閱、復制權，其是否收到郵件，不影響對其行為的定性；對于證據3、4的真實性和合法性認可，關聯性不認可。因為該兩份證據僅能證明某APP在一審判決作出后的狀態，在一審判決作出前，某APP并未向用戶提供查閱、復制個人信息途徑和渠道，一審判決作出后，某公司對“某”APP進行調整完善、向用戶提供查閱、復制部分個人信息的途徑和渠道，只能說明某公司認可并以替代的方式履行了一審判決，并不能由此反推一審判決存在錯誤；對證據5的真實性、合法性、關聯性均不認可，某公司是否如其所述對隱私政策進行了修改，周某某無法核實，在周某某已向一審法院起訴且經過兩次開庭審理的情況下，某公司如果通過修改隱私政策或某APP滿足了周某某查閱、復制個人信息的部分要求，則其應盡快通知周某某并向法院作出說明，但其在一審判決作出前既未告知周某某也未向法院說明。至于一審判決作出之后的修改，只能說明某公司認可并以替代的方式履行了一審判決，并不能由此反推一審判決存在錯誤。對證據6、7的真實性和合法性認可，關聯性不認可，該證據無法證明某公司協助周某某實現了用戶依照《民法典》第一千零三十四條、第一千零三十七條的規定享有的查閱、復制個人信息的權利，相反，在整個一審訴訟過程中，某公司始終拒絕周某某行使查閱、復制個人信息的權利。

二審查明：

1．關于周某某主張的“披露”的含義。一審中，周某某主張某公司可以通過書面的紙質方式，或是通過拷貝電子數據、發送電子郵件等方式向其披露個人信息。一審庭審中，某公司在答辯中陳述：“原告的訴請是要求披露，當然從我們的理解來看，這個披露可以理解為是查詢跟復制這兩個權利。”一審法院在庭審中歸納本案的爭議焦點之一為“原告主張的個人信息查閱權、復制權以及刪除權的權利性質是否具有可訴性”，周某某、某公司對此均未提出異議。

2．關于周某某“昵稱”和“居住地”信息的收集。二審中，某公司主張未收集周某某的昵稱和居住地信息，周某某確認并未在某APP上填寫昵稱和居住地信息。雙方均確認周某某在某APP上的昵稱為“某會員”，該昵稱由某APP針對未填寫昵稱信息的會員統一自動生成。

3．關于某公司已披露的周某某個人信息。一審中，某公司提交《原告個人信息情況》，其中記載有周某某的登錄賬號、注冊時間、昵稱、性別、綁定手機號、收件人信息（包括收貨人、區域ID、區域名稱、詳細地址、郵編、收貨手機號、添加時間、送貨方式等）等信息。上述《原告個人信息情況》已送達給周某某。二審中，周某某稱對于《原告個人信息情況》涉及的個人信息，某公司可以不再向其提供副本。

4．關于周某某“瀏覽記錄”信息的披露。二審中，某公司稱周某某案涉賬號于2019年2月1日注冊，該賬號中涉及的全部瀏覽記錄目前某公司仍有儲存。但用戶的瀏覽記錄的調取需要逐日篩選，某APP數據庫每天收集、儲存的用戶瀏覽記錄數據量非常巨大，某公司需要從每天數量巨大的瀏覽數據中檢索出當天周某某賬號對應的瀏覽記錄數據，相關數據檢索成本非常高昂，將嚴重影響公司的正常業務運營。根據國家標準GB／T35273-2020《信息安全技術個人信息安全規范》的規定，某公司有權不予提供全部瀏覽記錄。且一旦成為先例將對其他用戶產生示范效應，對某公司的正常運營將產生嚴重影響，甚至對整個互聯網行業產生深遠的負面影響。某公司已在APP中提供了近一個月的瀏覽記錄供用戶查閱，完全滿足周某某合理需求，也符合行業慣例。

5．關于“第三方SDK收集的個人信息”及“與第三方共享的個人信息”的披露。一審庭審后，某公司對某APP的隱私政策及其相關附件設置進行了修改，其中包括修改《第三方SDK收集個人信息清單》，新增《與第三方共享個人信息基本情況》等，前者包括第三方SDK名稱、使用場景、收集個人信息字段、個人信息類型、所屬機構、政策說明等，后者包括信息接收方、共享個人信息內容、使用場景、使用目的、共享方式、備注信息等。周某某主張《第三方SDK收集個人信息清單》《與第三方共享個人信息列表》僅為統一模板，某公司應當向其披露第三方SDK收集的，以及某公司與第三方共享的周某某的具體個人信息。對此，某公司稱，第三方SDK收集的個人信息，由第三方SDK自行收集并上傳、存儲到第三方SDK數據庫中，某公司并未參與相關信息的收集、上傳、存儲過程，無法提供相關具體個人信息；對于與第三方共享的用戶具體個人信息，某公司有實際收集，但若要披露，某公司需要按照業務功能在數據庫中逐一檢索查詢，數據量非常巨大，若用戶開啟了“程序化廣告”權限，還需要一一與大量的廣告商核實數據傳輸情況，將會產生非常高昂的成本，某公司已經通過《與第三方共享個人信息基本情況》披露了個人信息的相關處理情況，這種披露方式也是工信部要求的方式和行業慣例。

6.2021年11月1日工業和信息化部發布《關于開展信息通信服務感知提升行動的通知》，決定自即日起到2022年3月底，開展信息通信服務感知提升行動，其中“重點任務”包括建立個人信息保護“雙清單”，即“各相關企業應建立已收集個人信息清單和與第三方共享個人信息清單，并在APP二級菜單中展示，方便用戶查詢（2021年12月底前完成），已收集個人信息清單應簡潔、清晰列出APP（包括內嵌第三方軟件工具開發包SDK）已收集到的用戶個人信息基本情況，包括信息種類、使用目的、使用場景等。與第三方共享個人信息清單應簡潔、清晰列出APP與第三方共享的用戶個人信息基本情況，包括與第三方共享的個人信息種類、使用目的、使用場景和共享方式等。”某公司在該通知確定的《首批設立“雙清單”、提升客服熱線響應能力、優化隱私政策和權限調用展示方式的互聯網企業名單》中。

7．二審中，某公司確認以下信息為其實際收集且應當披露的周某某個人信息：“賬戶信息”中的賬戶注冊時間、賬號、頭像，“個人基本信息”中的性別、手機號碼，“設備信息”（設備型號、操作系統版本、唯一設備標識符），“日志信息”中的訂單信息、IP地址，“收貨信息”（收貨人姓名、收貨地址以及手機號碼，及相應的訂單號、所購商品或服務信息、支付的貨款金額及支付方式），“購物習慣”等。

二審再查明，《個人信息保護法》于2021年11月1日施行。本案一審最后一次庭審時間為2021年9月27日。

本院經審理查明的其他事實與一審判決查明事實一致。

本院認為，本案為個人信息保護糾紛，本案二審主要爭議問題是，周某某行使個人信息查閱復制權的范圍和形式該如何確定。圍繞某公司的上訴請求、理由以及雙方的具體爭議問題，本院分析如下：

一、周某某的訴訟請求是否包含了行使個人信息復制權

根據查明事實，周某某的第一項訴訟請求為判令某公司向其“披露”相關的個人信息。關于“披露”的含義，應當結合雙方在訴辯過程中的陳述進行理解。一審中，周某某提出某公司可以通過書面的紙質方式，或是通過拷貝電子數據、發送電子郵件等方式向其披露個人信息，明確表達出需要某公司向其提供個人信息副本的訴求，客觀上是在主張行使其個人信息復制權。某公司在一審中也明確提出“披露可以理解為是查詢跟復制這兩個權利”，對于一審法院關于“原告主張的個人信息查閱權、復制權以及刪除權的權利性質是否具有可訴性”的爭議焦點歸納，雙方均沒有表示異議。由此可見，一審中，某公司對周某某主張個人信息復制權的事實已充分了解。綜上，本院認定，周某某的訴訟請求包含了行使個人信息復制權，某公司上訴主張一審判決超出周某某的訴訟請求范圍，不能成立，本院不予采納。

二、本案是否可適用《個人信息保護法》

《個人信息保護法》的施行時間為2021年11月1日。雖然該法施行時間在本案一審最后一次庭審（2021年9月27日）之后，但本案為個人信息保護糾紛，案涉事實狀態一直持續到《個人信息保護法》施行之后，且適用《個人信息保護法》可以更好地平衡雙方的權利義務，有助于妥善解決本案糾紛。故一審法院適用《個人信息保護法》并無不當，某公司上訴主張一審判決違反“法不溯及既往”原則，本院不予采納。

三、周某某是否可以提起本案訴訟

根據雙方的訴辯主張，周某某要求某向其披露個人信息，實質上是主張個人信息查閱復制權。《個人信息保護法》第七條規定：“處理個人信息應當遵循公開、透明原則，公開個人信息處理規則，明示處理的目的、方式和范圍。”第四十四條規定：“個人對其個人信息的處理享有知情權、決定權。”第四十五條規定：“個人有權向個人信息處理者查閱、復制其個人信息；有本法第十八條第一款、第三十五條規定情形的除外。個人請求查閱、復制其個人信息的，個人信息處理者應當及時提供。”查閱復制權，既是個人信息處理公開、透明原則的重要體現，也是個人實現信息處理知情權的重要途徑，同時是個人行使更正、補充、刪除等其他個人信息權利的重要前提。個人信息查閱復制權是個人重要的法定權利，依法應予充分保障。個人對于個人信息處理者收集的個人信息，除存在依法不得查閱復制或權利濫用等情形外，均可依法行使查閱復制的權利，并不以個人信息泄露或存在泄露風險為前提條件。本案中，周某某主張因擔心個人信息泄露或個人信息有誤，或某公司將個人信息用于其他用途損害其利益，故向某公司要求披露相關信息。此僅為周某某行使個人信息查閱復制權的動機，而并非必要前提條件。某公司主張周某某沒有提供證據證明其個人信息發生了泄露，且已采取了相關措施保護用戶個人信息，因上述事由并非周某某行使個人信息查閱復制權的必要前提條件，本院對此不予確認。周某某通過客服電話、郵件等方式要求某公司向其披露個人信息未果，遂向一審法院提起本案訴訟，于法有據。某公司抗辯稱其未能核實周某某的真實身份，且未收到周某某發送的郵件。某公司作為個人信息處理者，對于用戶提出的查閱復制請求，應當采取相應的技術措施驗證用戶的真實身份。根據查明事實，周某某曾通過致電客服、發送郵件等方式向某公司主張權利，但某公司并未告知周某某驗證其真實身份的具體途徑，也未在合理期間內對周某某的訴求作出必要處理，顯屬不當。且案涉郵箱是由某公司向用戶提供的聯系方式，某公司有義務保障該郵箱能正常接收用戶的郵件，在其未能證明周某某發送的郵件存在不當內容，也從未在一審中否認收到該郵件的情況下，二審中以未收到該郵件為由進行抗辯，本院不予采納。

四、某公司應當向周某某披露的個人信息范圍

法律賦予個人查閱復制權，其目的是確保其對個人信息的知情權和保持應有的控制，避免因為非法收集、處理個人信息而致其人身財產權益遭受侵害。從實現查閱復制權的功能價值、保護個人合法權益的角度考慮，查閱復制權的客體不僅包含個人信息本身，還應當包括個人信息處理情況。本案中，周某某作為某APP的注冊用戶，對于該APP所收集的個人信息及相關處理情況，有權要求某公司進行披露。由于周某某并未對一審判決提起上訴，本院僅對一審判決確定的披露范圍（附表2）進行評判：

（一）關于某公司自認已實際收集且應當披露的個人信息

二審中，某公司確認周某某的“賬戶信息”中的賬戶注冊時間、賬號、頭像，“個人基本信息”中的性別、手機號碼，“設備信息”（設備型號、操作系統版本、唯一設備標識符），“日志信息”中的訂單信息、IP地址，“收貨信息”（收貨人姓名、收貨地址以及手機號碼，及相應的訂單號、所購商品或服務信息、支付的貨款金額及支付方式），“購物習慣”等信息為其實際收集且應當披露的信息，本院對此予以確認。

（二）關于“昵稱”與“居住地”信息是否應當披露

根據查明事實，周某某在某APP中的昵稱為“某會員”，雖然該昵稱由某APP自動生成，并非周某某自行填寫，但根據《個人信息保護法》第四條關于“個人信息是以電子或者其他方式記錄的與已識別或者可識別的自然人有關的各種信息”的規定，周某某作為某公司可識別的注冊用戶，其昵稱仍屬于個人信息范疇，至于該昵稱為個人自行填寫或是由系統自動生成，均不影響其性質的認定。據此，某公司應當向周某某披露其“昵稱”信息。至于居住地信息，某公司主張其未收集，周某某亦確認并未填寫該信息，根據現有證據亦不能認定某APP收集了該信息，故本院認定某公司不需要向周某某披露其居住地信息。

（三）關于“瀏覽記錄”及“與第三方（包括第三方支付機構）共享的個人信息”是否應當披露

關于周某某在某APP注冊以來的瀏覽記錄及與第三方（包括第三方支付機構）共享的個人信息，某公司確認均有實際收集，但抗辯稱若全部提供上述信息會使其承擔高昂成本，也不符合行業慣例。對此，本院認為，瀏覽記錄及平臺與第三方共享的個人信息，是個人信息及其處理情況的重要組成部分，該信息對于個人判斷個人信息是否被濫用具有重要意義，某公司作為個人信息處理者，應當依法向周某某披露上述信息相關情況。關于披露成本的問題，因某公司并未能提供充分證據證明具體的披露成本，且披露成本高并非法定的免責事由，故對于某公司抗辯，本院不予采納。至于某公司提出的行業慣例問題，因行業慣例僅能從一定程度上反應現有的個人信息保護水平，并非個人信息處理者是否履行法定義務的決定性因素，與某公司是否應當披露上述信息并無必然關系。綜上，某公司應當向周某某披露自周某某在某APP上注冊之日起到本判決生效之日止的“瀏覽記錄”及“與第三方（包括第三方支付機構）共享的個人信息”，后者應當包含信息種類、信息內容、使用目的、使用場景和共享方式等內容。考慮到某公司履行上述披露義務需要耗費一定的成本和時間，本院將披露期限從一審確定的十日延長至三十日。

（四）關于“第三方SDK收集的個人信息”是否應當披露

第三方SDK收集的個人信息，是指某公司合作伙伴通過在某APP中嵌入SDK收集的用戶個人信息。某公司主張并未參與該類信息的收集、上傳、儲存過程，根據現有證據亦未能顯示某公司收集了上述信息，故周某某要求某公司向其披露第三方SDK收集的個人信息，依據不足，本院不予支持。

需要指出的是，第三方SDK嵌入APP，一方面提升了APP兼容性和靈活性，節約了APP開發成本，但同時也帶來了個人信息安全風險。雖然本院未支持周某某關于披露第三方SDK收集的個人信息的訴訟請求，但某公司作為某APP的運營方，仍應謹慎選擇使用第三方SDK，通過加強動態監測和安全評估工作、完善與第三方SDK提供者的合作協議等有效舉措，積極防范SDK安全漏洞、違法違規收集使用個人信息等風險，切實保障用戶個人信息安全。

五、某公司已向周某某披露的個人信息

一審中，某公司提交了《原告個人信息情況》，其中記載了周某某的部分個人信息。二審中，周某某確認《原告個人信息情況》披露的周某某個人信息，某公司可以不再向其提供副本。故本院認定，對于《原告個人信息情況》記載的注冊時間、賬號、昵稱、性別、手機號碼等信息，應視為某公司已向周某某披露，某公司不需要再提供相關副本。至于“收件人信息”中的收貨人姓名、收貨地址、收貨手機號等，因該信息與相關的訂單信息相關聯，但《原告個人信息情況》中并未披露與此相關聯的訂單信息，故某公司仍應當結合周某某的訂單信息對收貨人姓名、收貨地址、收貨手機號等信息進行重新披露。

六、案涉個人信息的披露方式

如前所述，周某某請求某公司向其披露相關個人信息情況，實質上是在行使查閱復制權。某公司上訴主張其已向周某某提供了便捷的個人信息查閱途徑，但根據查明事實，某公司提供的查閱途徑僅能查閱部分周某某的個人信息，且對于復制權，一般應當理解為提供副本，僅提供查閱途徑不能視為已滿足周某某復制個人信息的請求。一審法院判令某公司以提供副本的方式向周某某披露個人信息情況，該披露方式能同時滿足周某某查閱和復制的請求，本院予以確認。副本應當采取書面形式，可為紙介質或者電子介質。從減少個人信息處理者的披露成本、方便個人查閱的角度，一審判決某公司向周某某提供電子化的副本，并無不當，本院予以維持。電子化副本不限于Excel表格、Word文檔等形式，某公司應當選擇便于查閱的方式向周某某提供個人信息電子化副本。

綜上，某公司應當以電子副本的方式提供相關的個人信息及處理情況（詳見附表3）供周某某查閱復制。

隨著數字化時代的到來以及數字經濟的蓬勃發展，強化個人信息保護已經成為應對數字化挑戰、保護個人合法權益、維護網絡空間良好生態、促進數字經濟健康發展的重要舉措。從個人角度，落實法律賦予其在個人信息處理活動中的權利，可以有效防范個人信息被隨意收集、違法獲取、過度使用、非法買賣等風險，防止不法分子利用個人信息侵擾其生活安寧，危害其生命健康和財產安全；從個人信息處理者的角度，充分保障用戶的個人信息合法權益，可以有效提升其服務水平，增強其在數字經濟時代的市場競爭力，雖然短期內可能會增加個人信息處理者的運營成本，但對其長遠發展具有重要的積極作用。據此，個人信息處理者應當把個人信息保護的理念融入處理活動和業務實踐的全流程，在個人信息收集、儲存、使用、加工、傳輸等環節預先考慮個人信息權益保障的需求，為全面、高效履行個人信息權益保障法定職責奠定基礎。

某公司作為互聯網企業，根據法律及監管部門的要求，適時對平臺隱私政策及相關附件進行修改完善，不斷提升用戶個人信息權益的保障水平，對此應當予以肯定。但從本案的事實看，某公司的個人信息查閱復制機制仍存在進一步完善的空間。建議某公司對照《民法典》《個人信息保護法》及相關監管要求，充分發揮自身技術條件，運用信息化技術，建立常態化、便捷化的個人信息查閱復制響應機制，不斷降低成本，提升效率，匹配平臺用戶需求，切實全面保障用戶的個人信息查閱復制權。

綜上所述，某公司的上訴理由部分成立，對其上訴請求，本院予以部分支持。二審中某公司提交了新的證據，案件事實發生了變化，本院對一審判決進行相應調整。根據依照《中華人民共和國民法典》第一千零三十七條，《中華人民共和國個人信息保護法》第四條、第七條、第二十三條、第四十四條、第四十五條、第五十條，《中華人民共和國民事訴訟法》第一百七十七條第二款之規定，判決如下：

一、變更廣州互聯網法院（2021）粵0192民初17422號民事判決第一項為：廣州某電子商務有限公司于本判決發生法律效力之日起三十日內提供自周某某注冊某APP之日起至本判決發生法律效力之日止的已收集到的相關個人信息以及個人信息處理的相關情況供周某某查閱、復制（具體內容見附表3）；

二、撤銷廣州互聯網法院（2021）粵0192民初17422號民事判決第二項；

三、駁回周某某的其他訴訟請求。

本案一審案件受理費500元，由周某某、廣州某電子商務有限公司各負擔250元；二審案件受理費500元，由周某某、廣州某電子商務有限公司各負擔250元。

本判決為終審判決。

審判長　　陳　嘉　賢　

審判員　　喬　營　　　

審判員　　李　　　　婷

二〇二二年五月十三日

書記員　　李書琪朱妙瑜

附表1：周某某訴請某公司披露的個人信息及個人信息處理的相關情況賬戶信息

賬戶注冊時間、賬號、昵稱、頭像個人基本信息

姓名、性別、出生年月日、居住地、手機號碼、電子郵箱設備信息

設備名稱、設備型號、操作系統和應用程序版本、語言設置、移動應用列表、唯一設備標識符、運營商網絡類型等軟硬件特征信息位置信息

IP地址、GPS位置以及能夠提供相關信息的WLAN接入點、藍牙和基站等信息日志信息

搜索內容、瀏覽器類型、瀏覽記錄、訂單信息、訪問日期和時間及您訪問的網頁記錄等收貨信息

收貨人姓名、收貨地址以及手機號碼，及相應的訂單號、所購商品或服務信息、支付的貨款金額及支付方式支付信息

與某合作的第三方支付機構從某公司收集到的賬戶信息原告的訂單信息、瀏覽信息、購物習慣等第三方SDK從某公司收集到的其個人信息對外分享的信息

共享給第三方的信息以及第三方的具體名稱請告知和披露原告的哪些信息被某公司用于用戶畫像以上信息，請求按要求全量披露，并對應說明收集的目的以及使用范圍

附表2：一審判決某公司應提供給周某某查閱復制的個人信息以及個人信息處理的相關情況賬戶信息

賬戶注冊時間、賬號、昵稱、頭像個人基本信息

性別、居住地、手機號碼設備信息

設備型號、操作系統版本、唯一設備標識符日志信息

瀏覽記錄、訂單信息、IP地址收貨信息

收貨人姓名、收貨地址以及手機號碼，及相應的訂單號、所購商品或服務信息、支付的貨款金額及支付方式購物習慣第三方SDK收集的個人信息清單

第三方SDK的名稱，第三方SDK已經收集到的周某某個人信息，包括信息類型、信息內容、使用目的和使用場景與第三方（包括第三方支付機構）共享的個人信息清單

第三方的具體名稱以及共享給第三方的周某某個人信息，包括信息種類、信息內容、使用目的、使用場景和共享方式以上信息生成電子化的個人信息副本

附表3：本院判決某公司應提供給周某某查閱復制的個人信息以及個人信息處理的相關情況賬戶信息

頭像設備信息

設備型號、操作系統版本、唯一設備標識符日志信息

瀏覽記錄、訂單信息、IP地址收貨信息

收貨人姓名、收貨地址以及手機號碼，及相應的訂單號、所購商品或服務信息、支付的貨款金額及支付方式購物習慣與第三方（包括第三方支付機構）共享的個人信息

第三方的具體名稱以及共享給第三方的周某某個人信息，包括信息種類、信息內容、使用目的、使用場景和共享方式

以上信息生成電子化的個人信息副本

杭州互聯網法院發布個人信息保護十大典型案例之九：杜某訴某網絡公司個人信息保護糾紛案——個人信息權利請求權訴權行使的前置條件

來源：杭州互聯網法院

（2022）浙0192民初4330號

杭州互聯網法院發布個人信息保護十大典型案例之九：杜某訴某網絡公司個人信息保護糾紛案

個人信息權利請求權訴權行使的前置條件

【入選理由】

本案系首例個人信息權利請求權訴權行使前置條件審查的典型案例。《中華人民共和國個人信息保護法》填補了我國個人信息保護的專門立法空白，但實踐中如何準確適用法律，如何厘清個人信息權利請求權基礎，如何解決多部法律協調適用的選擇難題，明確不同請求權所形成的司法保護路徑選擇等，均有待進一步探索完善。本案旨在探索信息主體行使個人信息權利時訴權的前置條件的司法審查標準，厘清《中華人民共和國個人信息保護法》第五十條與第六十九條不同請求權的適用條件，敦促不得濫用個人信息保護訴權，同時避免司法介入過多而抑制個人信息的有效傳播和共享，強調個人信息處理者所應承擔的權利保障義務，引導當事人直接向信息處理者或信息保護履職部門進行維權。

【案例索引】

一審：杭州互聯網法院（2022）浙0192民初4330號

【案情介紹】

原告杜某系某電商平臺（系被告某網絡公司運營）用戶，并在該平臺多次購買商品。某日，杜某在購物過程中，被平臺發布的好友圈好友等你開拼手氣紅包字樣吸引，遂點擊該字樣，隨后頁面跳出進圈并邀請好友的跳轉鏈接，杜某受吸引點擊進入好友圈。隨后，杜某發現其在該平臺的購物記錄被自動公開并被分享到好友圈為其自動設定的第三人視線之下。社會交往中，朋友通過此功能看到了其購物記錄的部分信息，杜某認為隱私受到了侵犯。對此，杜某曾向該電商平臺咨詢好友圈的功能。杜某認為，某網絡公司在對用戶個人信息處理活動中未依法保障自身的知情權和決定權，侵犯了個人信息權的合法權益，且已嚴重違反誠實信用原則，造成了相應精神損失，并在訴訟中明確其系依據個人信息保護法第十四條和第四十四條的規定，認為某網絡公司構成對其對個人信息的處理享有知情權、決定權的侵害。某網絡公司提交了關于行使個人信息權利的申請受理和處理機制路徑的相關材料，并指出，杜某在用戶注冊時，已通過協議約定明確告知用戶收集及使用用戶個人信息的方式、范圍及目的，并獲得用戶同意，且未收到杜某對其個人信息處理活動的查詢申請或投訴信息，不存在侵犯個人信息權益的行為。

【裁判內容】

杭州互聯網法院于2022年6月23日作出（2022）浙0192民初4330號民事裁定書：本案立案后，結合案情和證據材料作程序審查，并未對侵權情形作實體審理。原告杜某主張網絡購物信息在其不知情情況下由被告某網絡公司所經營的電商平臺處理，導致原告杜某不愿被他人知曉的個人信息在一定范圍內公開，侵犯了原告杜某在個人信息處理活動中的知情權、決定權，造成原告杜某人格利益受損，故本案系網絡侵權責任糾紛中的個人信息保護糾紛。個人信息保護法第五十條和第六十九條分別對個人信息的司法保護做出了規定。前者適用于個人在個人信息保護法第四章所規定的個人信息權利受到侵害或妨礙，但沒有產生損害時所產生的一種個人信息權利請求權；后者適用于個人信息權益受到侵權損害而產生的一種侵權損害賠償請求權。由于個人信息權利請求權的請求權基礎為民法典第九百九十五條規定的人格權保護，只要個人信息權利受到侵害或侵害即將發生，即可請求行為人承擔停止侵害、排除妨礙、消除危險等民事責任，在構成要件上無需考慮個人信息處理者的主觀過錯和造成實際損害之要件，其目的在于保障個人信息權利的行使和排除對個人信息權利的妨害，從而為個人信息權利提供一種防御性的保護，避免侵權行為進一步產生實質化的損害后果，最終達到恢復個人信息權利人對人格利益圓滿支配狀態，保障個人人格的完整性。同時，因個人信息流動大、使用頻率高、范圍廣，如果直接向法院起訴，不但會造成不必要的訴累，增加個人信息處理的成本，而且可能導致訴訟頻發、浪費司法資源，甚至成為惡意訴訟人濫用訴權的工具。實踐中，通過向個人信息處理者的積極主張，應是最快捷、最便利、最有效的維權方式。基于此，個人信息保護法第五十條第二款明確規定個人信息處理者拒絕個人行使權利的請求的，個人可以依法向人民法院起訴。換言之，本條的訴權是以個人信息處理者拒絕個人行使權利的請求為前提，即設置了個人向法院提起請求權救濟的前置條件。也就是說，個人信息主體應先向個人信息處理者請求行使具體權利，只有在個人信息處理者無正當理由拒絕履行義務或一定期限內不予以處理，或者個人信息處理者提供的申請受理機制失效的情況下，個人方可向法院提起訴訟以獲得救濟。本案中，被告某網絡公司已通過協議約定和后臺設置構建了個人行使權利的申請受理及處理機制，原告杜某可通過以上方式行使個人信息知情權和決定權。但原告杜某提起本案訴訟前并未向被告某網絡公司（信息處理者）提出請求，而是徑行向本院請求救濟其在個人信息處理活動享有的權利，顯然不符合法律規定中關于個人信息權利請求權的起訴受理條件，故駁回原告杜某的起訴。

【裁判要旨】

1.當個人信息主體以《中華人民共和國個人信息保護法》第四章所規定的個人信息權利受到侵害或妨礙，但沒有產生損害時所產生的一種個人信息權利請求權行使訴權，應以個人信息處理者拒絕個人行使權利的請求為受理前提。因個人信息流動大、使用頻率高、范圍廣，如果直接向法院起訴，不但會造成不必要的訴累，增加個人信息處理的成本，而且可能導致訴訟頻發、浪費司法資源，甚至成為惡意訴訟人濫用訴權的工具。實踐中，個人信息主體根據現有法律規定，向個人信息處理者積極主張權利，應是最快捷、最便利、最有效的維權方式。

2.個人信息權利行使的落實有賴于處理者的尊重和依法履行保護義務，故個人信息保護法全面規定了個人在信息處理中的權利，并明確規定個人信息處理者應當建立便捷的個人行使權利的申請受理和處理機制，強化個人信息處理者的權利保障義務。只有在申請受理和處理機制未建立、有限時間內未答復、無正當理由拒絕或機制失效等情況下，方可向法院行使訴權。

北京互聯網法院發布8起個人信息保護典型案例之五：郭某等與深圳某科技公司等個人信息保護糾紛案——死者近親屬對死者個人信息權益的行使應符合合法、正當、必要原則

來源：北京互聯網法院

北京互聯網法院發布8起個人信息保護典型案例之五：郭某等與深圳某科技公司等個人信息保護糾紛案

死者近親屬對死者個人信息權益的行使應符合合法、正當、必要原則

裁判要旨

死者近親屬為自身合法、正當利益，可對死者的相關個人信息行使查閱、復制、更正、刪除等權利；網絡服務提供者在用戶死亡后停用其賬號，未排除近親屬通過其他合理途徑行使上述權利的，不構成侵權。

基本案情

李某為四原告的近親屬，生前從事某平臺北京地區的外賣配送業務。四被告為該平臺相關運營主體和雇傭單位。2021年李某意外去世。四原告為維護自身合法權益，嘗試登錄李某在員工端APP上的賬號查閱李某的考勤記錄等個人信息，但發現該賬號已被停用，相關信息無法查閱。四原告認為，四被告停用李某賬號的行為導致其無法查閱李某的個人信息，進而嚴重阻礙其維護自身合法權益，侵犯了其享有的個人信息權益請求權。另外，四原告認為四被告基于各自的業務需要，均曾處理李某的上述個人信息。因此，四原告將四被告起訴到法院，請求法院判令四被告提供其主張的李某相關個人信息，并承擔相應的侵權責任。四被告辯稱，在李某去世后停用其賬號屬于正常管理活動，雖然停用了李某的賬號，但在員工端APP的隱私政策中對于用戶及近親屬調取個人信息有清晰指引，已經提供了供四原告調取李某個人信息的其他合理途徑。

裁判結果

法院經審理認為，首先，四原告要求四被告提供李某的考勤記錄等特定個人信息，屬于對李某的相關個人信息行使權利；其次，經查上述個人信息可能涉及李某死亡原因，四原告已經據此另案起訴，四原告系通過對李某的個人信息主張權利來維護自身利益，并且不違反法律規定和公序良俗；最后，本案并無證據顯示李某生前對其死后近親屬如何行使對其個人信息的權利作出相應安排，四原告有權對李某相關個人信息主張權利。本案中，李某的賬號還涉及案外第三人的個人信息、商業信息等內容，因此四被告之一的深圳某公司作為網絡服務提供者不允許四原告直接登錄李某賬號行使權利并無不妥。經查，深圳某公司確已在員工端APP的隱私政策中規定了就個人信息保護問題行使權利的聯系部門及具體聯系方式，深圳某公司不存在拒絕四原告行使權利的情況。因此，深圳某公司已為四原告行使權利提供了其他合理途徑，其停用李某賬號的行為并未直接排除四原告就李某相關個人信息行使權利。此外，四被告確未控制四原告主張的個人信息，四被告不構成侵權，也無法提供李某個人信息。綜上，四原告全部訴訟請求缺乏事實和法律依據，法院不予支持。

一審裁判作出后，當事人均未上訴，判決已發生法律效力。

典型意義

近親屬對死者個人信息的查閱、復制等權利是《個人信息保護法》明確的重要權利。本案一是明確了個人死亡后，個人信息處理者仍然應當承擔死者個人信息權益保護的義務，允許死者近親屬查詢、復制死者的個人信息；二是明確了個人信息處理者對于死者個人信息保護義務的履行邊界，包括提供調取死者個人信息的其他合理途徑基于業務關聯的其他個人信息處理者不再實際控制死者的個人信息等；三是確認了自然人在查詢、復制個人信息的合理邊界，即需要符合合法、必要、正當原則。本案判決為死者個人信息的保護模式提供了有益指引。

杭州互聯網法院發布個人信息保護十大典型案例之四：王某訴某銀行股份有限公司個人信息保護糾紛案——銀行處理個人征信信息是否侵害個人信息權益

來源：杭州互聯網法院

（2021）浙0192民初5426號

杭州互聯網法院發布個人信息保護十大典型案例之四：王某訴某銀行股份有限公司個人信息保護糾紛案

銀行處理個人征信信息是否侵害個人信息權益

【入選理由】

本案例圍繞個人信息保護的爭議展開，并于《個人信息保護法》施行當日宣判，獲得了社會廣泛關注。自然人有獨立人格，有權防范他人不當處理涉及個人的信息，以維護憲法賦予個體享有的人格自由與尊嚴。于此同時，個人信息權益作為一項人格權益并非絕對權，需權衡個人信息上存在的個人利益、社會利益和公共利益。在對該項權益進行保護時，應在保護個人尊嚴和自由、規范個人信息處理活動的同時，促進個人信息合法合理使用。本案中，征信信息不同于一般個人信息，其既可以防范風險，為交易安全創造條件，又可以促使個體保持良好信用，以較低的交易成本獲得較多的交易機會，而缺乏良好信用記錄的個人則相反。本案通過厘清征信信息的法律屬性，明確信貸業務機構處理征信信息行為的審查標準，以及個人信息權益保護的兩項請求權基礎，對逾期的不誠信行為進行否定性評價，引導個人維護自身良好信用，促進征信業健康發展，構建誠實守信的社會信用體系，形成誠信受益，失信懲戒的社會環境。體現了個人信息保護的時代精神，對類案處理有一定的參考價值。

【案例索引】

一審：杭州互聯網法院（2021）浙0192民初5426號

【案情介紹】

2021年4月26日，原告王某發現其個人征信報告中有若干比由被告某銀行的放款記錄，其中2021年1月13日放...