长期以来，北京二中院高度重视司法研究工作，围绕理论实务前沿问题、案例深度解析等形成了一批专业性较强的研究成果。为充分发挥人民法院以案释法的独特作用，落实“谁执法谁普法”普法责任制，特开设“明理”专栏，以“明理之辨”研讨法律问题，以“明理之案”提出裁判观点，以“明理之研”展示调研成果。

今日推出明理之案·公开个人信息被再利用，数个处理节点责任怎么分？

“校友录”头像被爬案是民法典出台后“通知删除”规则在个人信息领域适用的典型案例。个人信息公开后被再度利用的行为规则为何？网络初始信息收集者、搜索引擎后续信息利用者等多个信息处理节点主体的归责原则是什么？二者将承担何种法律后果？

【基本案情】

原告孙某诉称，其在被告提供的搜索引擎页面上输入其姓名“孙某”作为关键词进行图片检索，可以获取原告的照片，呈现原告照片页面的URL地址均为被告的服务器地址。2018年10月23日，孙某向被告网站发出通知要求其删除证件照，问题反馈状态为“待处理”。孙某认为，涉案照片以及其与孙某姓名的关联关系涉及个人隐私、个人信息，在校友录网站图片源地址已关闭的情况下，被告上述行为构成侵权。故诉至法院，要求判令赔偿经济损失1元和维权费用40元。

诉讼中，被控侵权行为于2019年4月16日停止。

【裁判结果】

法院生效判决认为：一、涉案姓名、照片及其关联关系等内容构成个人信息。一般认为，个人信息的认定标准为具有“可识别性”。涉案信息通过关键词搜索加结果展示的形式，将“孙某”这一自然人姓名和带有其面目特征信息的头像照片进行关联，成为可识别为唯一特定自然人的信息，该信息反映了孙某面部形象的个体特征，属于个人信息。二、被控侵权行为属于违法使用个人信息的行为。现行法律明确规定不得非法处理信息，收集、处理个人信息的行为，应在明示使用信息范围并经自然人同意的前提下进行。亦即，信息处理者应在被收集者授权同意的范围内处理信息，不得超范围传输、公开、使用个人信息。关于孙某对涉案信息授权的使用范围，双方均未就该项事实进行举证，法院结合立法规定、当事人举证能力、证据距离以及盖然性经验法则等因素认定，孙某仅授权原始发布网站在一定权限范围内使用和公开涉案信息。原始发布网站将涉案信息置于公开网络后，被告的搜索行为使得涉案信息可被全网不特定用户检索获取，在客观上导致该信息在孙某授权范围之外被公开，属于未经同意处理个人信息的行为。三、被告应基于“通知删除”规则承担相应责任。在收到删除通知后，被告在其有能力采取相匹配必要措施的情况下，未给予任何回复，其怠于采取措施的行为，导致涉案侵权损失的进一步扩大，构成对孙某个人信息权益的侵害，本院对原告要求赔偿损失的诉讼请求予以全额支持。

【法官评析】

本案结合人格权独立成编的背景，吸纳人格权请求权和侵权损害赔偿请求权相分离的立法理念，未采取传统侵权案件“四要件”并行式的论证路径，采纳了以“权属——行为——归责”为三要素的纵深式裁判思路：首先确定涉案信息的具体属性，然后根据不同的信息类型和对应的行为规范评价是否存在违法行为，最后再根据被告主体的主观过错形态确定侵权责任的承担。

1.人格权权属类型之确定：姓名加静态面部特征达到“可识别标准”构成个人信息

在民法典“二元”保护体系下，个人信息保护采取了有梯度的区分保护政策，对私密信息、一般个人信息和公开个人信息采取了不同的保护方式。故需根据不同的信息类型判别对应的行为规范。本案从保护客体和保护方式等区别入手，论证了姓名加静态面部特征信息组合达到“可识别”的标准，构成个人信息，但并非隐私或私密信息。该信息虽与肖像权在载体形式上存在重合，但由于二者保护法益不同，不违背“请求权竞合”理论，可依原告主张通过个人信息权益进行保护。

2.人格权侵权行为之认定：公开个人信息后续利用行为的违法性认定条件

本案中，被告抗辩称涉案照片存储于可正常浏览的第三方公开网页，被告只是基于搜索功能实施了正常的合法抓取行为，不构成侵权。判断涉案爬取行为是否侵权，首先需通过“找法”定位裁判依据。正如前文所述，民法典对私密信息、一般个人信息和公开个人信息采取了有梯度的区分保护规则，故需首先明确涉案信息是否适用公开个人信息的行为规范。

（一）是否合法公开信息应以信息初始收集者的合法来源为限

本案信息流动涉及两个节点，照片原始发布网站为初始信息处理者，被告为后续信息处理者。对于判定后续信息处理者爬取的公开信息是否属于民法典1036条第（2）项规定的合法公开信息，存在技术现状与立法保护的冲突。不论从民法典前后的法律规定，还是从行业标准来看，客观已全网公开的事实不能直接作为信息使用的合法性基础。虽然后续信息处理者，特别是在通用全网爬取技术应用场景下，核实个人信息合法性来源存在一定的现实困难和技术障碍，但公开是事实判断，合法公开是价值判断，在法律有明确规定的前提下，应以法律规定为依据进行合法性价值评判。故技术现状与立法保护的鸿沟不应以降低法律适用标准来解决，虽短期可能带来产业的阵痛，但长期来看可促进产业提高合规水平和健康发展。因此，判断公开信息是否属于合法公开信息，均应以初始信息处理者获取的授权范围或合法性来源为基础。例如，自然人授权公开；又如，裁判文书基于司法公开的目的合法公开，该规则对信息后续利用者亦不例外。

（二）信息处理者对个人信息公开授权范围负有举证义务

在“知情同意”原则下，是否告知授权范围并获取授权是判断信息处理合法性的关键。由于公开范围呈现的技术复杂性，认定授权公开范围往往构成此类案件事实和证据认定的难点。本案中，原告对初始信息处理者的授权范围成为侵权认定的关键事实。对该事实的认定可通过实体法适用和程序法规则两个角度论证：

从实体法来看，被告未说明信息来源的授权范围，未尽到合法性来源说明义务。民法典明确规定，信息处理者收集、使用个人信息需明示处理信息的范围。个人信息保护法草案进一步强化了对授权的要求，规定公开个人信息需取得单独同意。从现有立法和进一步趋严的立法精神看，单从自然人上传网络的客观行为不能推得其具有默示将信息公开的意图，信息处理者需主动告知授权范围，并征得同意。鉴于明示公开授权范围为信息处理者的法定义务，在是否公开及公开范围不明的情况下，应认定信息处理者未尽到告知义务，未取得相应授权。

从程序法来看，原告主张其上传涉案信息时的授权范围为“仅班级同学可见”，但由于案件事实年代久远，双方均无证据予以证明，该事实陷入真伪不明，需根据举证责任分配进行裁判。从一般侵权案件的举证责任分配规则来看，应由原告证明存在违法行为，但对于涉案行为是否超越原告授权，考虑到证据能力、证据距离，以及原告主张事实的发生的盖然性等因素，关于授权范围的举证责任由信息处理者一方承担更为妥当。

因此，由于被告一方未尽到合法来源说明义务，亦未能举证证明涉案信息具有合法范围授权的事实，涉案信息不属于民法典1036条第（2）项规定的合法公开信息，本案仍应适用一般个人信息侵权认定的“知情同意”规则，以涉案公开行为超越授权范围为由确认行为的违法性。

3.不同信息处理主体归责原理之明晰：中立的搜索引擎技术提供者个人信息侵权认定适用“避风港”规则

按照民法典第1037条的规定，对于违法处理信息的行为，可直接要求删除。鉴于前文已论证了涉案行为的违法性，故本案中的权利人可基于该项人格权请求权直接主张删除信息。而本案中，涉案信息业已删除，原告提出的为损害赔偿之诉，该项诉请基于侵权损害赔偿请求权，其构成要件需以被告存在过错为前提。对于网络服务提供者而言，应根据民法典有关网络侵权的特殊侵权责任条款判定被告是否存在过错。

（一）中立的搜索引擎技术提供者应被认定为技术服务提供者

民法典第1194至1197条规定了网络侵权责任的认定标准，原则上仍以过错为归责条件，对技术服务提供者和内容服务提供者规定了不同的侵权认定方式。技术服务提供者主要提供接入、缓存、信息存储空间、搜索以及链接等服务，不直接提供信息内容，故往往只对用户侵权行为承担间接侵权责任。

在本案中，即使有证据表明被告在其服务器上存储有涉案信息，但经过技术调查，搜索引擎服务商存在为优化搜索服务、减少搜索时间，对搜索信息进行建立索引、暂存等技术行为，综观涉案信息流转过程，搜索结果页面指明了信息来源网址，该服务功能仍主要指向信息来源和原图链接，而非指向信息提供本身。搜索引擎商使用无差别通用技术对海量信息进行批量采集，优化网络用户信息获取机制，若未加入偏好性人工编辑或技术干预，应被视为中立的技术服务提供者，而非内容提供者。

（二）中立的搜索引擎技术提供者在个人信息领域仍适用“避风港”规则

对于网络技术服务提供者，对其过错的判定可基于民法典第1195条“通知”后的明知，或1197条应知或明知的情形。对于应知或明知的判断，需根据《最高人民法院关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》第6条规定的多项因素进行综合判断。

第一，关于涉案信息方面。在个人信息领域，判断信息处理引发侵权的明显程度，仍应贯彻有梯度的区分保护政策，根据具体信息属性区分对待。对于一般个人信息，为鼓励网络信息自由流通，维护信息再度利用者的稳定预期，一般情况下，应鼓励对公开个人信息的合理再度利用行为。由于个人信息性质中立的天然属性，信息再度利用者从主观上难以判断信息初始处理者的收集和传播是否合法，故对其过错的判定当持谨慎态度。

第二，关于信息处理者方面。对网络服务提供者而言，需根据其具备的管理信息能力、所提供服务的性质、方式及其引发侵权的可能性大小等因素综合评判。在判断网络服务提供者是否“应知”时，可结合上述因素综合衡量，但经权利人“通知-删除”后，网络服务提供者的主观状态变为明知，故对其未采取必要措施造成损失的，应对损害的扩大部分承担连带责任。

4.结语

为防止公开信息处理动辄引咎的局面，鼓励信息流通利用的稳定性，仍应强调信息初始处理者的源头责任，同时通过对后续信息处理者过错认定的调节阀，对一些技术中立且尽到一定信息管理义务的运营者适用“避风港”规则。如此，一方面，可通过落实信息后续利用者对信息来源授权范围的核查义务，加强对个人信息的全流程动态保护；另一方面，通过引入网络服务者“避风港”规则的过错责任调节阀，对某些中立的技术行为进行豁免，通过利益衡量维持权益保护和数据利用的适度平衡。

（本案相关案例分析获评全国法院系统2021年度优秀案例分析三等奖。）