丽江律师郜云研习广州某电子商务有限公司、周某某个人信息保护纠纷民事二审民事判决书

丽江律师郜云研习广州某电子商务有限公司、周某某个人信息保护纠纷民事二审民事判决书

广东省广州市中级人民法院

来源：中国裁判文书网 （2022）粤01民终某号

上诉人（原审被告）：广州某电子商务有限公司，住所地广东省广州市荔湾区。

法定代表人：沈某，该公司执行董事兼总经理。

委托诉讼代理人：刘某，某律师事务所律师。

委托诉讼代理人：孙某某，某律师事务所律师。

被上诉人（原审原告）：周某某，女，1994年10月11日出生，汉族，身份证住址北京市海淀区。

委托诉讼代理人：梁某某，某律师事务所律师。

委托诉讼代理人：饶某某，某律师事务所律师。

上诉人广州某电子商务有限公司（以下简称某公司）因与被上诉人周某某个人信息保护纠纷一案，不服广州互联网法院（2021）粤0192民初17422号民事判决，向本院提起上诉。本院依法组成合议庭进行审理。本案现已审理终结。

某公司上诉请求：1．撤销一审判决第一项，改判驳回周某某全部诉讼请求或发回重审；2．本案一审、二审全部诉讼费用均由周某某承担。事实和理由：

一、某公司已经充分保障和满足了周某某的个人信息查阅权，向周某某提供了便捷的个人信息查阅途径。1．某公司通过APP的交互设计为周某某提供了便捷的个人信息查阅途径，并已经通过公示且经周某某同意的《隐私政策》和2021年3月1日的咨询电话向周某某明示了查询个人信息的途径和方式。根据国家标准GB／T35273-2020《信息安全技术个人信息安全规范》第8.7条关于响应个人信息主体的请求规定，个人信息处理者可以通过在应用程序或客户端软件中采用交互页面设计等方式为用户提供自行查阅个人信息的便捷途径，这属于对个人信息查阅权的保障。某公司已经在某APP中为用户提供了便捷的查阅个人信息的途径，对于周某某如何在某APP查阅个人信息，某公司在《隐私政策》中以及周某某致电某客服时都进行了详细的释明。2．一审判决在附表2中列明判决某公司应向周某某查阅披露的个人信息明细，其中包含某公司从周某某收集的个人信息，这些信息周某某均可以通过某APP或手机完成个人信息查阅。3．对于某没有收集的周某某个人信息，某无法披露也不应披露。某公司未收集周某某的昵称信息，居住地信息周某某未向某公司提供，一审法院在判决附表2要求某公司向周某某提供昵称和居住地信息显然存在事实认定错误。4．某公司在一审诉讼过程中提交证据《原告个人信息情况》，也再次满足了周某某的个人信息查阅权。某公司在一审诉讼时提交的证据《原告个人信息情况》，对某公司可以显示的周某某在某APP注册账户的个人信息进行了列明，其中包括登录账号、注册时间、昵称、头像、性别、出生年月、绑定手机号、用户系统收集的微信等信息，也包括订单信息和收件信息。某公司在诉讼过程中也再次满足了周某某的个人信息查阅权。

二、一审法院认定某公司侵害了周某某的查阅权，事实认定和法律适用均严重错误。1．周某某在2020年3月1日致电某客服并向某发送电子邮件时未提供身份信息，某公司也不掌握周某某的身份证号、真实姓名、邮箱、昵称等身份信息。对于2021年3月1日周某某对某公司客服的致电，某公司并非电信、银行等掌握用户实名认证身份信息的企业，作为购物类互联网公司，某公司没有能力凭借仅在电信运营商处实名认证了的手机号码来验证该手机号的主体信息，不具备专业的身份识别手段和措施。即便某公司在接到周某某电话时可以核查到该手机号以及该手机号注册的某账号信息，但是因案涉某账号并没有关联任何实名认证的身份信息，周某某致电时也没有提供其个人身份信息，某公司无法核查该手机号对应的特定自然人，也无法验证致电人是否为案涉账号的信息主体。对于2021年3月1日周某某向某公司发送的电子邮件，该邮件中可以显示的身份信息仅有发件人邮箱账号zho×××＠163．com及邮箱昵称“周缦卿”。一审法院已经确认周某某从未向某公司提供过上述电子邮箱信息，其电子邮箱昵称“周缦卿”也仅为周某某在下单时用做收件人名称。但是无论收件人名称还是电子邮箱昵称均没有实名要求，可以虚构和任意变更，本案中周某某使用的“周缦卿”亦是虚构的。并且，购物订单收件人与账户注册主体可以不是同一人。2．某公司依据周某某的致电和匿名电子邮件无法验证其身份，一审判决关于某公司无正当理由拒绝周某某行使查阅权的认定存在事实认定错误和法律适用错误。根据《中华人民共和国电子商务法》第24条规定：“电子商务经营者收到用户信息查询或者更正、删除的申请的，应当在核实身份后及时提供查询或者更正、删除用户信息。”国家标准GB／T35273-2020《信息安全技术个人信息安全规范》第8.7条规定：“响应个人信息主体的请求，对个人信息控制者的要求包括：在验证个人信息主体身份后，应及时响应个人信息主体的请求，”可见用户查询个人信息均应当先验证其主体身份。但是个人信息处理者验证申请人主体身份的前提应当是该申请人先提供其个人身份信息以供核验。在本案中，周某某发送的电子邮件没有提供任何真实的个人身份信息，且某公司不掌握案涉账号的实名认证信息，某公司无法在周某某不先行提供个人信息的情况下验证其主体身份。一审法院忽视了个人信息处理者核实用户身份的前提是用户先行提供可供核实的身份信息，在本案中没有审查周某某在发送电子邮件时是否先提供了必要的个人身份信息，就认定某公司拒绝了周某某的申请，属于严重的认定事实错误，适用法律错误。3．周某某要求查询个人信息系因担心其个人信息泄露，但是本案无证据证明其个人信息遭到泄露，某公司也采取了符合标准的数据安全保护措施保护用户的个人信息，某公司未侵害周某某任何权利，周某某也未遭受损害。

三、无论是从周某某在2021年3月1日首次联系某公司还是至周某某提起本案诉讼时，周某某主张的自始至终均为查看个人信息，要求的是某公司披露信息，没有主张其个人信息复制权受到侵害，也没有要求某公司为其提供可供复制的个人信息副本。本案一审过程中，周某某没有提出明确的书面请求变更其诉讼请求。一审法院在审理时未区分个人信息查阅权和复制权，将查阅权和复制权混为一谈，不仅认定某公司侵害了周某某的个人信息查阅、复制权，还判决要求某公司为周某某提供可供下载的个人信息副本，超出了周某某的诉讼请求范围。

四、在周某某已经可以查阅其个人信息且未主张个人信息复制权的情况下，一审法院仍要求某公司以Excel表格、Word文档等电子形式向周某某提供可供下载的个人信息副本，法律适用错误。个人信息副本有多种形式，目前尚无法律明确规定个人信息副本的载体和形式。截屏图片格式可以清晰的还原和展示用户个人信息，但是一审法院没有法律依据就将截屏排除在个人信息副本形式之外。而且周某某已经可以在某APP、某公司公开的《隐私政策》以及个人手机上查阅其个人信息，上述查阅个人信息的方式同样可以完成对信息的复制。但是一审法院将个人信息副本的提供形式限制为Excel表格、Word文档等电子形式，不仅超过现有法律规定，还实质上为某公司及广大的个人信息处理平台在法律之外附加了额外的超重义务。一审法院的此种认定不符合当前我国个人信息处理和保护的发展阶段，对个人信息处理者过分苛以不符合实际的责任不仅增加个人信息处理者的负担，也将对我国的个人信息保护产生反作用。目前我国关于个人信息保护的有关制度还在建设和完善过程中，对于信息查阅、复制权的保障方式，可以类比已经形成成熟规范的公民知情权和政务信息公开制度。公民知情权是由法律明确规定和保障的，但是即便对于公民知情权，在申请政府信息公开时，法律也没有要求政府按照申请人要求公开的信息专门制作文档向申请人提供，政府告知申请人获取该信息的方式、途径即视为完成了告知义务。立法对公民知情权的保障都不苛求政府专门制作文档，告知获取途径即可，如果法院通过司法判决要求企业保障个人信息查阅、复制权时需要专门制作Word、Excel等形式的文档，不仅对企业不公平，不利于个人信息保护的发展，也将可能造成社会资源的浪费。据此，即便是个人信息处理者应向查询人提供电子化信息副本，但电子化信息副本的表现形式有很多种，个人信息处理者采取何种电子化信息副本形式也需要满足技术可行、成本可控等前提条件，无论何种方式，只要能够满足查询要求即视为履行了相关义务。

五、一审法院适用《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》）作出判决，违反“法不溯及既往”原则，存在法律适用错误。根据《个人信息保护法》第七十四条规定：“本法自2021年11月1日起施行。”本案从一审立案起诉（2021年6月12日）至第二次开庭（2021年9月27日）均在《个人信息保护法》颁布之前，本案审理过程中周某某也明确其请求权基础为《中华人民共和国民法典》（以下简称《民法典》）第一千零三十四条第一款的规定。一审法院适用2021年11月1日施行的《个人信息保护法》作出判决，显然违反了“法不溯及既往”的基本原则，存在法律适用错误，二审应予纠正。

周某某辩称：一审判决认定事实清楚、适用法律正确，某公司的上诉请求没有事实和法律依据，请求二审法院驳回其上诉请求，维持一审判决。

一、某公司称已通过APP为周某某提供了便捷的个人信息查阅途径，但通过APP能够查阅的个人信息是有限的，比如购物习惯，通过APP仅能查询到近一个月内浏览商品的记录。有些内容则非常笼统，比如一审判决附表2第7、8项，仅是向所有用户列明了可能的第三方以及可能与第三方共享的信息列表，但具体某公司与哪些第三方共享了周某某的哪些个人信息内容是无法确定的，仍需某公司披露。其次，即便是APP上能够查阅的内容，也无法确定是否与某公司后台收集的信息一致。《民法典》第一千零三十七条除赋予了用户查阅、复制个人信息的权利外，还赋予了用户提出异议并要求修改的权利，在某公司拒不提供其后台收集的周某某的个人信息的情况下，周某某无法核对收集的信息是否存在错误，无法保障其提出异议并要求修改的权利。再次，某《隐私政策》列出的收集的用户信息远不止APP上展示的部分，根据《民法典》相关规定，并没有限制用户查阅、复制个人信息的范围。一审中某公司仅提供给用户通过APP的方式查阅最基本的用户信息，没有保障用户查询、复制个人信息的权利。最后，无论周某某是否向某平台提供了昵称信息和居住地信息，并不影响某公司向周某某提供信息，在确实没有收集的情况下，相关项目留空即可。事实上，某收集的大部分信息也并非周某某主动提供，而是某平台主动收集的。某公司一审提交的《原告个人信息情况》仅列明了有限的信息，并未保障周某某查询、复制个人信息的权利。某公司一审中表示其仅收集了周某某能够从APP查询到的基本信息，所以仅能提供这些基本信息。但在一审判决作出后，某公司在短时间内对APP进行了修改和调整，向用户提供更大范围的个人信息查阅内容，并提供了复制个人信息副本的途径，可见某公司一审关于收集的用户信息的范围、提供用户查阅和复制个人信息的途径并不属实，关于向用户提供个人信息查阅、复制将损害公司权益且将不合理地增加公司运营成本的抗辩理由并不成立。

二、某公司主张未侵害周某某的个人信息权，一审法院认定事实和适用法律错误的上诉理由不成立。首先，周某某在一审中提交的证据充分证明某客服在通话中已明确知晓周某某的账户信息，而某公司称无法核实用户身份信息，纯属狡辩。其次，即便如某公司所说，通过电话或邮件均无法核实用户身份信息，在周某某通过某公司提供的联系方式多次提出查询个人信息的情况下，某公司应主动进行核实，引导周某某向其提供相关信息以核实用户身份，再向周某某提供查阅个人信息的途径，而某公司却在通话过程中找理由拒绝周某某查阅个人信息的请求，也没有回复周某某后续发送的申请披露个人信息的邮件。《民法典》第一千零三十四条、一千零三十七条赋予了用户查询、复制平台收集的其个人信息，并在发现错误的情况下提出异议、要求更正和删除的权利，周某某作为某平台客户，在合理怀疑个人信息泄露的情况下要求某公司披露其个人信息，属于正当行使上述权利。在周某某两次要求某披露个人信息的情况下，某公司均不予处理，以不作为的方式侵害了周某某查询、复制个人信息的权利。

三、某公司主张一审判决超出周某某诉请范围，存在程序错误的上诉理由不成立。首先，周某某在一审诉讼请求中主张的是“披露”，“披露”一词的行为主体是某公司，要求某公司“披露”就是行使其查询和复制的权利，这是一体两面的问题。其次，一审判决的内容是某公司向周某某“提供”个人信息进行查阅和复制，在本案语境下，“披露”和“提供”两个词的含义是相当的，并不存在超出诉请范围的问题。即便认为“披露”不能等同于供“查阅和复制”，也仅能说明周某某一审的该项诉讼请求表述不够明确，而在周某某的起诉状、庭审辩论意见及庭后的代理词中均已明确提出是个人信息的查询和复制权受到侵害，属于对诉讼请求模糊的地方进行了明确。

四、某APP提供的信息非常有限，且无法确认是否与某后台收集的周某某的个人信息一致，周某某已经明确主张了个人信息复制权，因此某公司关于“周某某已经可以查阅其个人信息且未主张个人信息复制权”的说法不成立。一审判决某公司将表格中列明的周某某个人信息生成电子化的个人信息副本供周某某查阅和复制，并未限定一定要以Word、Excel等形式，仅是在说理时对某公司提供个人信息的形式进行了举例式的建议，某公司对一审判决理解有误。另，某以行政机关的信息公开与其向用户提供个人信息的查阅和复制相比，不具有合理性，也没有任何事实和法律基础。某和行政机关主体类型不同，行政机关依法应公开的信息与某公司收集的用户的个人信息属性也完全不同，二者之间不存在可比较的地方。

五、一审判决适用《个人信息保护法》相关规定不存在法律适用错误。虽然周某某向某要求披露其个人信息时以及一审立案、开庭时《个人信息保护法》均未正式施行，但直至2021年11月1日《个人信息保护法》实施后到2021年12月13日一审判决作出时，某公司对周某某要求查阅、复制个人信息的请求仍未予以合理响应，即某公司侵害周某某个人信息查阅、复制权的不作为行为持续到了《个人信息保护法》实施以后，一审判决适用《个人信息保护法》并无不当。

周某某向一审法院起诉请求：一、判令某公司向周某某披露其在使用某电商网站（××）及APP客户端（以下统称“某平台”）的过程中某公司收集的周某某的所有个人信息（具体内容见附表1）；二、判令某公司删除在周某某身上收集到的所有非必要信息。

一审法院认定事实：

一、有关周某某某账号的情况

某公司系某平台的运营主体，用户可通过网站和APP使用该平台；周某某系某平台的注册用户。

周某某提交的某账户个人中心页面截图显示：在“个人中心”界面可以设置、查阅“个人资料”“账户与安全”“我的足迹”以及“我的订单”。通过一审庭审现场勘验，周某某在“个人资料”页面设置了头像、收货地址、购物习惯（购买对象、喜欢的商品）；在“账户与安全”界面，绑定了156××＊＊541的手机号码；在“我的足迹”可以查阅周某某在一个月内的浏览商品记录；在“我的订单”可以查询周某某的订单详情，包括收件人姓名、收货地址、手机号码。周某某未提供的信息包括：邮箱、昵称、生日、实名认证、关联账号以及支付信息。

某后台调取了周某某的信息，调取出来以文档格式展示：登陆账号、绑定账号为15×××41；注册时间为2019年2月1日；昵称为某会员，性别女；无任何微信、QQ、小程序等登录过程中收集到的信息；两个收件人信息，收货人均标注为“周缦卿”，收货手机号与登陆账号相同。

二、有关周某某请求某公司查阅个人信息的情况

2021年3月1日，周某某致电某客服，表示其系某客户，因其母亲接到陌生电话，对方对周某某购物留下来的个人信息有所了解，故担心个人信息泄露，想知道某收集了哪些个人信息，希望某披露所收集到的其个人信息（比如姓名、性别、出生年月、家庭信息、常用地址、联系方式，账户信息、设备型号操作系统版本、唯一的设备识别符、位置信息、IP地址等）。某客服表示：“用户有填写的信息，可以在APP个人中心予以查看，且这些信息采取了加密的保护措施，不会泄露；对于用户没有填写的信息，某是没有办法展示的，且鉴于登录账号6541用户即周某某本人账户没有实名认证，某也是没有办法知道的。”

同日，周某某通过电子邮件“周缦卿〈zho×××＠163．com〉”向某隐私专职部门邮箱发送邮件，邮件内容称其刚致电了某客服，客服称目前没有渠道向其披露公司所收集的个人信息，因焦虑个人信息被过多收集，请求公司披露相关内容，请求披露的内容同案涉起诉附件清单。某公司未回复该邮件。

三、有关某的注册流程以及隐私政策

根据某APP注册流程显示，用户下载安装某移动端后，首次打开某APP，会出现“欢迎使用某”的弹窗，向用户说明：1．为向您提供交易相关的基本功能，我们会收集、使用必要的信息。2．基于您的明示授权，我们可能会需要获取您的如下信息：2-1．位置信息（更精准的优惠商品推荐、更快捷的订单配送服务等）2-2．设备号信息（以保障您账号和交易安全）您有权拒绝或取消授权。。窗口同时提供了可供阅读和下载的《某隐私政策》，用户可以选择“同意”或者“不同意”。

用户在进入注册流程时，出现“注册协议及隐私证据”的弹窗，告知用户“需仔细阅读、充分理解《某服务条款》《隐私条款》《唯品支付服务协议》中的条款内容后再点击同意注册，如不同意以上协议或其中任何条款约定，请停止注册。点击同意即表示用户已经阅读并同意上述协议。”用户可以选择“同意”或者“不同意”。

《某隐私政策》载明内容包括：

我们如何收集和使用您的个人信息

（一）您授权我们收集和使用您个人信息的情形

1．实现网上购物和交易安全所必需的功能

（1）帮助您成为我们的会员。为成为我们的会员，以便我们为您提供会员服务，您需要提供手机号码、电子邮箱地址，并创建用户名和密码。

（2）为您展示和推送商品和服务。这些信息包括：

设备信息：我们会根据您在软件安装及使用中授予的具体权限，接收并记录您所使用的设备相关信息（例如设备名称、设备型号、操作系统和应用程序版本、唯一设备标识符等）、设备所在位置相关信息（例如IP地址、GPS位置以及能够提供相关信息的WLAN接入点、蓝牙和基站等信息）

日志信息：我们会自动收集您对我们服务的详细使用情况，作为有关网络日志保存。例如您的搜索内容、浏览器类型、浏览记录、订单信息、IP地址、访问日期和时间及您访问的网页记录等。

（3）下单

当您准备对您购物车／购物袋内的商品进行结算时，某系统会生成您购买该商品的订单。您需要在订单中至少填写您的收货人姓名、收货地址以及手机号码，同时该订单中会载明订单号、您所购买的商品或服务信息、您应支付的货款金额及支付方式

2．改进我们的产品与／或服务所必须的功能

我们可能会收集您的订单信息、浏览信息、您的购物习惯进行数据分析以形成用户画像，用来将您感兴趣的商品或服务信息展示给您；或在您搜索时向您展示您可能希望找到的商品。

3．为您提供安全保障

我们可能使用或整合您的会员信息、交易信息、设备信息、有关网络日志以及我们关联公司、合作伙伴取得您授权或依据法律共享的信息，来综合判断您账户及交易风险、进行身份验证、检测及防范安全事件，并依法采取必要的记录、审计、分析、处置措施。我们还可能在应用程序中嵌入我们合作的第三方合作伙伴开发的应用安全类的软件工具开发包（在本隐私政策中简称“SDK”）收集您的设备信息、服务日志信息

我们如何共享、转让、公开披露您的个人信息

2．我们可能会将您的个人信息与我们的关联方共享。

3．与授权合作伙伴共享：仅为实现本隐私政策中声明的目的，我们的某些服务将由我们和授权合作伙伴共同提供。我们可能会与合作伙伴共享您的某些个人信息，以提供更好的客户服务和用户体验。目前，我们的合作伙伴包括以下类型：（1）商品或技术服务的供应商。（2）第三方商家。（3）委托我们进行推广的合作伙伴。为了使您能够使用上述服务及功能，我们的应用中会嵌入授权合作伙伴的SDK或其他类似的应用程序。我们向合作伙伴及第三方共享您的个人信息的情形逐项列举详见附件一《第三方SDK目录》（目录列明了SDK名称、所属机构、SDK用途、SDK收集的个人信息类型以及官网链接）。（4）合作金融机构或其他合作伙伴。

您如何管理您的个人信息

1．访问和更正您的个人信息。（1）账户信息：移动端具体路径为：账户名称、个人资料信息：首页——左下角点击人形头像——点击某会员头像-设置个人资料、账户名称、收货地址；修改登录密码、支付密码及绑定手机：首页-点击左下角人形头像-进入我的“账户与安全”-修改相应信息。（2）订单信息：移动端具体路径为：首页-点击左下角人形头像-全部订单-查看全部订单。（3）档案信息：移动端您可以在首页点击左下角人形头像-点击某会员头像-进入“我的尺码”-填写、修改您的尺码信息。（4）您在使用我们的产品与／或服务过程中产生的其他个人信息需要访问或更正，请随时联系我们。我们会根据本隐私政策所列明的方式和期限响应您的请求。

2．删除您的个人信息。您在我们的产品与／或服务页面中可以直接清除或删除的信息，包括订单信息、收货地址信息；在以下情形中，您可以向我们提出删除个人信息的请求：（1）如果我们处理个人信息的行为违反法律法规；（2）如果我们收集、使用您的个人信息，却未征得您的同意；（3）如果我们处理个人信息的行为违反了与您的约定；（4）如果您注销了某账户；（5）如果我们终止服务及运营。

6．个人信息主体获取个人信息副本。您有权获取您的个人信息副本，您可以通过以下方式自行操作：进入个人中心，点击用户头像，然后进入个人资料获取。

7．响应您的上述请求。如果您无法通过上述方式访问、更正或删除您的个人信息，或您需要访问、更正或删除您在使用我们、产品与／或服务时所产生的其他个人信息，或您认为某存在任何违反法律法规或与您关于个人信息的收集或使用的约定，您均可以通过本协议下方的方式与我们联系。为了保障安全，我们可能需要您提供书面请求，或以其他方式证明您的身份，我们将在收到您反馈并验证您的身份后的15天内答复您的请求。对于您合理的请求，我们原则上不收取费用，但对多次重复、超出合理限度的请求，我们将视情收取一定成本费用。

如何联系我们

1．如您对本隐私政策或您个人信息的相关事宜有任何问题、意见或建议，请联系某客户服务部，客户服务部电话：40。

3．我们设立了个人信息保护专职部门，您可以通过发送邮件至inf×××＠vipshop．com的方式与其联系。

四、其他情况

周某某提交了电话号码156××＊＊＊＊＊＊的实名信息，显示该号码身份证实名认证主体为周某某本人。

某提交了安全等级保护三级认证、ISO27001：2013认证，拟证明某已根据法律法规规定，采取了符合业务标准、合理可行的安全防护措施以保护用户的个人信息安全。

一审庭审中，某确认平台收集周某某的信息包括：一是周某某自行提供的信息；二是系统自动收集、生产的信息。结合周某某申请披露的个人信息列表，某公司确认其公司收集到的个人信息如下：账户信息

账户注册时间、账号、昵称、头像个人基本信息

性别、居住地、手机号码设备信息

设备型号、操作系统版本、唯一设备标识符日志信息

浏览记录、订单信息、IP地址周某某的收货信息

收货人姓名、收货地址以及手机号码，及相应的订单号、所购商品或服务信息、支付的货款金额

一审庭审中，某陈述并未查询到周某某有通过PC电脑端使用某的情形，对此，周某某予以确认。

一审另查，经过一审庭审勘验周某某的手机系统权限设置，显示周某某授权某APP的权限如下：使用时允许某收集位置信息；储存空间处于可访问状态；麦克风、相机、电话、通讯录、短信、悬浮式等权限均处于拒绝某访问状态。

一审诉讼中，周某某明确主张本案为侵权之诉，某公司拒不向周某某披露个人信息的不作为构成对周某某个人信息查阅、复制权的侵害，因此，周某某请求排除妨碍、消除危险。

一审法院认为，本案系个人信息保护纠纷。案涉纠纷发生于《个人信息保护法》生效之前，但该法律事实持续至《个人信息保护法》施行后，因此，本案可适用《个人信息保护法》的相关规定。本案一审争议焦点为：一、周某某要求查阅、复制的信息是否属于个人信息；二、个人信息查阅、复制权的范围；三、某公司是否侵害了周某某的查阅权和复制权，如侵权成立，某公司应以何种方式保障周某某的查阅权、复制权的行使；四、周某某要求某删除相关非必要个人信息的诉请能否得到支持。

一、周某某要求查阅、复制的信息是否属于个人信息

《民法典》第一千零三十四条规定：“个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。”《个人信息保护法》第四条规定：“个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。”

根据上述规定，个人信息认定的关键因素是“识别”，只有可以直接或间接识别特定自然人的信息才是个人信息。本案中，周某某要求某公司披露的信息，其中个人资料中的姓名、电话号码、订单信息一般情况可以直接识别到特定自然人的身份和财产状况；其他如设备信息、位置信息、浏览记录等信息，虽然仅凭借该信息无法识别出特定的自然人，但与其他信息进行结合就可以识别出特定的自然人。因此，周某某诉请某公司披露的以上信息属于个人信息的范围。

关于某公司抗辩设备信息以及日志信息是系统自动记录的信息，兼具商业运营信息的属性，企业有权在合理范围内且在不损害用户权益的基础上加以利用。一审法院认为，设备信息是用户在使用某APP过程中所持有的个人常用设备型号、唯一设备识别码等硬件信息；日志信息，特别是其中的订单信息涉及用户姓名、收件人姓名、收件地址与收货电话号码。以上信息显然是用户主动提供的，可以指向用户的身份信息、财产信息、上网记录信息以及个人常用设备信息，属于个人信息，即便某要利用设备信息和日志信息进行商业运营，亦不影响其个人信息的界定，自然人许可他人使用个人信息，而这种许可并不视为自然人放弃或者转让了其个人信息权益。因此，周某某对其诉请某公司披露的设备信息和日志信息具有个人信息权益，某公司不应以商业利益为由拒绝周某某对设备信息和日志信息行使权利。

二、个人信息查阅权、复制权的范围

《民法典》第一千零三十七条第一款规定：“自然人可以依法向信息处理者查阅或者复制其个人信息。”《个人信息保护法》第四十五条第一款亦规定了个人有向个人信息处理者查阅、复制其个人信息的权利。据此，个人享有向个人信息处理者查阅、复制其个人信息的权利，周某某作为个人信息主体，有权向收集、处理其个人信息的某公司查阅、复制其个人信息。

参考国家标准GB／T35273-2020《信息安全技术个人信息安全规范》，其中第8.1条将查阅的内容规定为：“个人信息控制者所持有的个人信息或者个人信息的类型；上述个人信息的来源、所用于的目的；已经获得上述个人信息的第三人身份或类型。”可知，个人信息查阅权、复制权的客体“个人信息”，不仅包括个人信息本身，还应该包括个人信息处理的相关情况。本案一审中，周某某诉请某公司披露收集到的其所有个人信息，具体内容以附表1为准，而附表1内的请求内容不仅包括个人信息，也包含了个人信息处理的相关情况。某公司确认收集到的个人信息属于某公司正在处理的个人信息，应当依法提供给个人信息主体进行查阅和复制。至于周某某诉请披露的清单中所列其他个人信息以及个人信息处理的相关情况是否应在查阅、复制的范围，一审法院具体分析如下：

（1）关于周某某所列清单中的“第三方SDK从某公司收集到的其个人信息”。根据《某隐私政策》中“您授权我们收集和使用您个人信息的情形—一一—为您提供安全保障”条款约定“我们还可能在应用程序中嵌入我们合作的第三方合作伙伴开发的应用安全类的软件工具开发包（在本隐私政策中简称“SDK”）收集您的设备信息、服务日志信息”可见，某公司有向SDK共享用户信息的可能。至于第三方SDK实际收集了周某某的何种信息，虽然附件一第三方SDK目录中列明了可能嵌入的第三方SDK名称、用途以及收集个人信息类型，但实际内嵌于某APP中的第三方SDK以及该SDK实际收集的用户具体个人信息，用户是无法查阅的。因此，某公司仍有必要向周某某清晰列出实际内嵌第三方SDK收集的周某某个人信息，包括第三方SDK的具体名称，以及第三方SDK已经收集到的周某某个人信息基本情况，包括信息类型、信息内容、使用目的和使用场景。

（2）关于周某某所列清单中的“哪些信息被用于用户画像”。参考国家标准GB／T35273-2020《信息安全技术个人信息安全规范》第3.8条规定，用户画像是指“通过收集、汇聚、分析个人信息，对某特定自然人个人特征，如职业、经济、健康、教育、个人喜好、信用、行为等方面作出分析或预测，形成其个人特征模型的过程。”可知，用户画像是通过算法对个人信息的集合或部分集合进行自动化决策的过程。根据《个人信息保护法》第二十四条第三款规定，通过自动化决策方式作出对个人权益有重大影响的决定，个人有权要求个人信息处理者予以说明，并有权拒绝个人信息处理者仅通过自动化决策的方式作出决定。本案中，周某某并未提交证据证明某公司作出了对其个人权益有重大影响的自动化决策，其诉求某公司披露具体哪些信息被用于用户画像，无事实和法律依据，一审法院不予支持。

（3）关于周某某诉请披露的“对外分享的信息：共享给第三方的信息以及第三方的具体名称”。根据《某隐私政策》的约定，某公司可能会将用户的个人信息与其关联方、授权合作伙伴共享，合作伙伴包括商品或技术服务的供应商、第三方商家以及委托某公司进行推广的合作伙伴。该隐私政策并未披露共享个人信息的关联方以及授权合作伙伴的具体名称，根据《个人信息保护法》第二十三条的规定，“个人信息处理者向其他个人信息处理者提供其处理的个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。”据此，某公司有必要根据周某某的申请披露与第三方共享个人信息清单，列明第三方的具体名称以及共享给第三方的周某某个人信息，包括信息种类、信息内容、使用目的、使用场景和共享方式。

（4）关于周某某所列清单中的“支付信息：与某合作的第三方支付机构从某收集到的账户信息”，该信息仍属于上述某公司共享给第三方的个人信息范畴，某公司应根据周某某的申请予以披露。

（5）至于周某某所列清单的其它信息：姓名、出生年月日、电子邮箱；设备名称、移动应用列表、应用程序版本、语言设置、运营商网络类型等软硬件特征信息；GPS位置以及能够提供相关信息的WLAN接入点、蓝牙和基站；搜索内容、浏览器类型、访问日期、时间以及访问的网页记录等，某公司未确认已收集以上个人信息，周某某亦无证据证明某存在收集行为，故周某某主张查阅、复制以上个人信息，无事实和法律依据，一审法院不予支持。

三、某公司是否侵害了周某某的查阅复制权，如侵权成立，某公司应以何种方式保障查阅复制权的行使

（一）某公司是否侵害了周某某的查阅权和复制权

个人信息查阅复制权，系个人信息处理公开透明原则的具体要求，是个人对个人信息处理享有知情权的具体体现，也是保障个人信息决定权的重要前提。关于某公司抗辩提出的个人信息查阅权“可诉性”的问题，《个人信息保护法》第五十条的规定：“个人信息处理者应当建立便捷的个人行使权利的申请受理和处理机制。拒绝个人行使权利的请求的，应当说明理由。个人信息处理者拒绝个人行使权利的请求的，个人可以依法向人民法院提起诉讼。”据此，个人的查阅复制权被个人信息处理者无理由拒绝后，个人有权寻求司法救济，通过向法院提起诉讼而请求排除妨碍。考量周某某个人信息查阅权、复制权是否被侵害，应当从以下两个维度进行：（1）周某某是否已行使查阅复制请求权；（2）某公司是否存在无正当理由拒绝的行为。结合本案，一审法院具体分析如下：

（1）周某某已行使查阅复制请求权

查阅复制权是个人在个人信息处理活动中的权利，但是，法律并未明确规定该权利行使的前提条件，对此，一审法院认为，个人只需要能够证明自己属于个人信息主体即可以行使查阅复制权。案涉周某某注册的某账号虽然未进行实名认证，但周某某使用了其手机号码进行注册并绑定了账号，收货联系人手机号码亦与账号一致，且案涉周某某的手机号码已实名登记。根据《全国人民代表大会常务委员会关于加强网络信息保护的决定》第六条规定，电话号码必须实名登记，据此，电话号码这一信息可以识别出特定的自然人。周某某通过实名登记的移动电话联系了某公司的客服，客服亦通过周某某的来电核实到周某某的注册账号，因此，周某某已经证明了其属于案涉账号的信息主体。

根据某隐私政策的约定，用户在无法通过个人账户访问其个人信息或是使用产品过程中产生的其他个人信息时，可以通过拨打客服电话或者向某隐私专职保护部门发送邮件的方式要求访问。周某某根据隐私政策的规定，先后通过致电客服和发送邮件的方式提出了查阅复制其个人信息的请求，可认定其已向某公司行使了查阅复制请求权。

（2）某公司存在无正当理由拒绝周某某行使查阅、复制权的行为

首先，周某某通过某客服查询个人信息，某客服陈述“用户有填写的信息，可以在APP个人中心予以查看；对于用户没有填写的信息，某是没有办法展示的”，但根据某隐私政策以及某公司一审庭审中所确认的，除了周某某自行提供的个人信息，系统还会自动收集、生产信息，包括：设备信息（设备的型号、操作系统版本、唯一设备标识符）以及日志信息（订单信息、浏览信息、IP地址）。经过庭审勘验，可以确认周某某通过某APP无法查阅设备信息以及日志信息中的IP地址。《个人信息保护法》第四十五条第一款规定了个人不得行使查阅、复制的两种情形：其一，本法第十八条第一款规定“法律、行政法规规定应当保密或者不需要告知的情形”；其二，本法第三十五条规定“国家机关为履行法定职责处理个人信息，告知将妨碍国家机关履行法定职责的”。显然，设备信息和IP地址并不属于以上规定的两种情形，某公司应当予以告知。

其次，关于周某某向某公司个人信息专职保护部门发送邮件的请求，虽然周某某未附有个人的身份信息，其注册账号亦未提供电子邮箱，但周某某使用了其收货人姓名“周缦卿”作为邮件发送方，某公司是可以向周某某验证身份的。《中华人民共和国电子商务法》第二十四条规定：“电子商务经营者应当明示用户信息查询、更正、删除以及用户注销的方式、程序，不得对用户信息查询、更正、删除以及用户注销设置不合理条件。电子商务经营者收到用户信息查询或者更正、删除的申请的，应当在核实身份后及时提供查询或者更正、删除用户信息。”参考国家标准GB／T35273-2020《信息安全技术个人信息安全规范》第8.7条规定，“响应个人信息主体的请求，对个人信息控制者的要求包括：在验证个人信息主体身份后，应及时响应个人信息主体的请求，应在30天内或法律规定的期限内作出答复及合理解释，并告知个人信息主体外部纠纷解决途径。”《某隐私政策》中亦约定“为了保障安全，我们可能需要您提供书面请求，或以其他方式证明您的身份，我们将在收到您反馈并验证您的身份后的15天内答复您的请求。”可见，不论基于法律法规规定、国家相关标准，还是某公司与周某某之间的约定，某公司在接到周某某请求时的首要工作是验证其个人信息主体身份，然后在合理的期间作出答复，但某公司在收到周某某发送的邮件后，并未作出任何处理，实质上是拒绝了周某某的申请。且在周某某对某公司提起诉讼后，某公司已经核实了周某某的个人信息主体身份，仍拒绝披露周某某在APP个人资料页面无法查看的信息。综上，一审法院认定某公司存在无正当理由拒绝周某某行使查阅、复制权的行为。

（二）某公司应以何种方式保障查阅复制权的行使

法律规定个人信息主体有权复制其个人信息，与之相对的就是个人信息处理者应当提供正在处理的个人信息的副本，这种副本的形式应当包括纸质的，也包括电子化的，其应当是结构化的、通用的及可读的。一审庭审中，某公司陈述可以通过截屏的方式获取个人资料的个人信息，但截屏显然不属于通用的个人信息副本方式。鉴于某公司在隐私政策中明确约定用户可以获取个人信息副本，因此，某公司有必要提供一种通用的、可下载的个人信息副本方式，考虑到周某某以电子方式提出请求，某公司也应当以常用的电子形式提供个人信息副本，如excel表格、word文档等。

综上，某公司存在拒绝周某某个人行使权利请求的行为，且拒绝理由不充分，周某某向某公司主张个人信息查阅、复制的请求权，有事实和法律依据，一审法院依法予以支持。根据周某某的申请，某公司应当披露的内容包括：1．某公司确认收集的周某某个人信息；2．嵌入某APP第三方SDK的名称以及收集的周某某个人信息基本情况；3．某公司共享给第三方的周某某个人信息基本情况（详见附表2）。

一审庭审中，周某某确认其未使用过某电商网站（××），因此，其诉请某公司披露在使用网站期间收集到的所有个人信息，无事实和法律依据，一审法院不予支持。

四、周某某要求某删除相关“非必要个人信息”的诉请能否得到支持

关于周某某删除权的诉请，一审法院认为，首先应探究某公司收集的相关个人信息是否取得了周某某的同意；其次应分析某公司是否存在主动删除周某某相关个人信息的情形。

首先，根据《个人信息保护法》第十三条第一款第一项规定，“取得个人的同意，个人信息处理者可处理个人信息。”某公司提交的注册流程显示，用户注册某APP时需“仔细阅读、充分理解《某服务条款》《隐私条款》《唯品支付服务协议》中的条款内容后再点击同意注册”，周某某注册了某APP用户，即表示其已经阅读并同意了《某隐私政策》。根据隐私政策约定，某公司可根据用户的授权收集设备信息、网络日志、收集用户消费习惯形成用户画像等，且根据庭审勘验，周某某可通过手机权限选择是否授权某使用位置信息、相机、储存等信息。可见，某公司虽然收集了周某某主张的“非必要个人信息”，但取得了周某某本人的同意。

其次，《个人信息保护法》第四十七条第一款规定：“有下列情形之一的，个人信息处理者应当主动删除个人信息；个人信息处理者未删除的，个人有权请求删除：（一）处理目的已实现、无法实现或者为实现处理目的不再必要；（二）个人信息处理者停止提供产品或者服务，或者保存期限已届满；（三）个人撤回同意；（四）个人信息处理者违反法律、行政法规或者违反约定处理个人信息；（五）法律、行政法规规定的其他情形。”本案并无证据表明某公司存在以上应当主动删除周某某个人信息的情形，周某某述称其有理由怀疑某公司收集“非必要个人信息”用于商业营销之用，并无证据予以证实。

综上，周某某未提交证据证明某公司存在应当主动删除其个人信息的情形，某公司根据周某某的授权同意收集了相关个人信息，周某某现要求某公司予以删除，无事实和法律依据，一审法院对此不予支持。

综上所述，某公司作为大型的网络购物平台，应当践行保护个人信息知情权的理念，优化产品设计，提供更加便捷的个人信息查阅复制途径，充分保障个人信息主体的查阅权和复制权，一审法院对周某某的诉讼请求，予以部分支持。依照《中华人民共和国民法典》第一千零三十四条、第一千零三十七条，《中华人民共和国个人信息保护法》第四条、第六条、第七条、第十三条第一款、第十八条第一款、第二十三条、第二十四条、第三十五条、第四十五条、第四十七条、第五十条，《中华人民共和国电子商务法》第二十四条，《中华人民共和国民事诉讼法》第六十四条之规定，作出判决：一、某公司于该判决发生法律效力之日起十日内提供自周某某注册某APP之日起至该判决发生法律效力之日止的已收集到的个人信息以及个人信息处理的相关情况供周某某查阅、复制（具体内容详见附表2）；二、驳回周某某的其他诉讼请求。一审案件受理费500元，由某公司负担。

二审中，某公司提交：

1．某公司自行制作的2021年3月1日某客服电话入线记录，拟证明2021年3月1日即周某某拨打某客服电话当日，某公司客服共入线电话1＊＊＊＊个。某客服每日入线海量来电，难以逐一核实来电人员的身份信息。

2．邮箱网关系统隔离记录截图，拟证明周某某2021年3月1日发送给某公司的邮件因有禁用词被邮箱网关系统隔离，某公司实际上并未收到该邮件，在不知晓周某某发送过邮件的情况下未对周某某邮件请求进行答复，不存在过错。

3．（2022）京方圆内经证字第3466号公证书，拟证明周某某在手机及某APP上可以查阅复制其主张的个人信息，并可自行在某APP上获取电子化的个人信息副本。周某某主张的账户信息、个人基本情况、日志信息、收货信息均可在APP“个人中心”中完成查阅，“购物习惯”由用户自行勾选并可随时更改，在“个人中心”中可以查阅用户选择的“购物习惯”。设备信息中的“设备型号、操作系统版本、唯一设备识别符”及日志信息中的“IP地址”在手机的“设置”功能里均可完成查阅。一审判决附表2中所列1-6项信息，周某某均可在其手机和某APP中完成查阅。某APP“个人中心”中向用户公示了《第三方SDK收集个人信息清单》，列明了第三方SDK的名称、使用场景、使用目的、收集个人信息字段、个人信息类型、所属机构及政策说明链接，周某某可在某APP中完成查阅复制。某APP“个人中心”中向用户公示了《与第三方共享个人信息列表》，列明了信息接收方、共享个人信息内容、使用场景、使用目的、共享方式及查阅具体服务方信息的渠道，周某某可在某APP中完成查阅复制。某APP“个人中心-隐私设置”中有“个人信息查看与导出”功能，用户可自行便捷地将电子化的个人信息副本发送到指定邮箱，周某某可自助获取。

4．某APP导出个人信息副本的过程截图及提供的个人信息副本、2021年12月21日澎湃新闻文章《从APP中“复制”自己的个人信息，有多难？》，拟证明用户可以自行在某APP获取电子化的个人信息副本。根据媒体对应用市场上五十款常用APP在个人信息查阅复制方面的测评报告，某APP采取的提供个人信息副本方式是目前实践中的主流做法，且某APP可以提供的个人信息副本包含的个人信息在目前市面上的APP中属于内容较为丰富的。一审法院认定某“应当以常用的电子形式提供个人信息副本，如Excel、Word文档等”不符合当前实践中个人信息复制权的行使方式，违背个人信息保护实践的通常做法。

5.2021年9月10日、2021年11月4日、2021年12月10日、2022年2月8日某更新隐私政策的公告及其发布的隐私政策和附件，以及某APP隐私政策及附件修改对比表，拟证明某公司已按照《个人信息保护法》的规定及主管部门要求，于2021年11月4日修改、发布了《第三方SDK收集个人信息清单》《与第三方共享个人信息基本情况》《APP权限使用情况列表》《个人信息收集与使用清单》，通过上述清单、列表的方式向用户披露个人信息收集、共享的情况。周某某可以在某APP上通过《第三方SDK收集个人信息清单》、《与第三方共享个人信息基本情况》查阅第三方SDK收集的个人信息及与第三方共享的个人信息详情，某已履行《个人信息保护法》规定的个人信息合规义务。某公司跟随法律法规的变动不断完善更新隐私政策及个人信息保护政策，履行《个人信息保护法》规定的个人信息合规义务。一审法院没有查明《个人信息保护法》的生效时间及企业履行新法义务的时间，认定某公司构成侵害周某某查阅复制权，存在事实认定错误和法律适用错误。

6.2021年11月1日工业和信息化部《关于开展信息通信服务感知提升行动的通知》及附件《首批设立“双清单”、提升客服热线响应能力、优化隐私政策和权限调用展示方式的互联网企业名单》，拟证明工信部于2021年11月1日发布通知，要求互联网企业2021年12月底前完成“优化隐私政策和权限调用展示方式”，各相关企业应建立已收集个人信息清单和与第三方共享个人信息清单（个人信息保护“双清单”），并在APP二级菜单中展示，方便用户查询。某公司为工信部首批设立“双清单”、提升客服热线响应能力、优化隐私政策和权限调用展示方式的互联网企业之一，于2021年11月4日发布了“双清单”，走在互联网企业前列。

7.2021年5月11日中国打击侵权假冒工作网发布的《广东三部门联合召开互联网平台企业行政指导会》、2021年4月14日国家市场监督管理总局发布的《互联网平台企业向社会公开〈依法合规经营承诺〉（第一批）》、2020年11月6日市场监管总局等联合召开规范线上经济秩序行政指导会的相关报道，拟证明某公司在《个人信息保护法》颁布前后始终积极参与并接受主管部门的行政指导，按照法律、监管的要求履行个人信息合规义务。

周某某质证称，对证据1的真实性、合法性、关联性均不认可，该证据是某公司单方制作，周某某无法核实其真实性和合法性，且周某某在一审中提交的证据可以充分证明，某公司客服在通话的过程中已经明确知道周某某的账户信息。对证据2的真实性、合法性、关联性均不认可，该证据是某公司单方提供，周某某无法核实其真实性和合法性。另，某公司在一审程序中也从未否认过收到周某某邮件的事实，只是强调其无需向周某某披露信息。即便某公司确实没有收到周某某邮件，也是由于某公司系统恶意拦截的缘故，其应承担相应不利后果。某公司在与周某某的通话中已经明确地拒绝了周某某关于披露信息的请求，已经侵害了周某某的查阅、复制权，其是否收到邮件，不影响对其行为的定性；对于证据3、4的真实性和合法性认可，关联性不认可。因为该两份证据仅能证明某APP在一审判决作出后的状态，在一审判决作出前，某APP并未向用户提供查阅、复制个人信息途径和渠道，一审判决作出后，某公司对“某”APP进行调整完善、向用户提供查阅、复制部分个人信息的途径和渠道，只能说明某公司认可并以替代的方式履行了一审判决，并不能由此反推一审判决存在错误；对证据5的真实性、合法性、关联性均不认可，某公司是否如其所述对隐私政策进行了修改，周某某无法核实，在周某某已向一审法院起诉且经过两次开庭审理的情况下，某公司如果通过修改隐私政策或某APP满足了周某某查阅、复制个人信息的部分要求，则其应尽快通知周某某并向法院作出说明，但其在一审判决作出前既未告知周某某也未向法院说明。至于一审判决作出之后的修改，只能说明某公司认可并以替代的方式履行了一审判决，并不能由此反推一审判决存在错误。对证据6、7的真实性和合法性认可，关联性不认可，该证据无法证明某公司协助周某某实现了用户依照《民法典》第一千零三十四条、第一千零三十七条的规定享有的查阅、复制个人信息的权利，相反，在整个一审诉讼过程中，某公司始终拒绝周某某行使查阅、复制个人信息的权利。

二审查明：

1．关于周某某主张的“披露”的含义。一审中，周某某主张某公司可以通过书面的纸质方式，或是通过拷贝电子数据、发送电子邮件等方式向其披露个人信息。一审庭审中，某公司在答辩中陈述：“原告的诉请是要求披露，当然从我们的理解来看，这个披露可以理解为是查询跟复制这两个权利。”一审法院在庭审中归纳本案的争议焦点之一为“原告主张的个人信息查阅权、复制权以及删除权的权利性质是否具有可诉性”，周某某、某公司对此均未提出异议。

2．关于周某某“昵称”和“居住地”信息的收集。二审中，某公司主张未收集周某某的昵称和居住地信息，周某某确认并未在某APP上填写昵称和居住地信息。双方均确认周某某在某APP上的昵称为“某会员”，该昵称由某APP针对未填写昵称信息的会员统一自动生成。

3．关于某公司已披露的周某某个人信息。一审中，某公司提交《原告个人信息情况》，其中记载有周某某的登录账号、注册时间、昵称、性别、绑定手机号、收件人信息（包括收货人、区域ID、区域名称、详细地址、邮编、收货手机号、添加时间、送货方式等）等信息。上述《原告个人信息情况》已送达给周某某。二审中，周某某称对于《原告个人信息情况》涉及的个人信息，某公司可以不再向其提供副本。

4．关于周某某“浏览记录”信息的披露。二审中，某公司称周某某案涉账号于2019年2月1日注册，该账号中涉及的全部浏览记录目前某公司仍有储存。但用户的浏览记录的调取需要逐日筛选，某APP数据库每天收集、储存的用户浏览记录数据量非常巨大，某公司需要从每天数量巨大的浏览数据中检索出当天周某某账号对应的浏览记录数据，相关数据检索成本非常高昂，将严重影响公司的正常业务运营。根据国家标准GB／T35273-2020《信息安全技术个人信息安全规范》的规定，某公司有权不予提供全部浏览记录。且一旦成为先例将对其他用户产生示范效应，对某公司的正常运营将产生严重影响，甚至对整个互联网行业产生深远的负面影响。某公司已在APP中提供了近一个月的浏览记录供用户查阅，完全满足周某某合理需求，也符合行业惯例。

5．关于“第三方SDK收集的个人信息”及“与第三方共享的个人信息”的披露。一审庭审后，某公司对某APP的隐私政策及其相关附件设置进行了修改，其中包括修改《第三方SDK收集个人信息清单》，新增《与第三方共享个人信息基本情况》等，前者包括第三方SDK名称、使用场景、收集个人信息字段、个人信息类型、所属机构、政策说明等，后者包括信息接收方、共享个人信息内容、使用场景、使用目的、共享方式、备注信息等。周某某主张《第三方SDK收集个人信息清单》《与第三方共享个人信息列表》仅为统一模板，某公司应当向其披露第三方SDK收集的，以及某公司与第三方共享的周某某的具体个人信息。对此，某公司称，第三方SDK收集的个人信息，由第三方SDK自行收集并上传、存储到第三方SDK数据库中，某公司并未参与相关信息的收集、上传、存储过程，无法提供相关具体个人信息；对于与第三方共享的用户具体个人信息，某公司有实际收集，但若要披露，某公司需要按照业务功能在数据库中逐一检索查询，数据量非常巨大，若用户开启了“程序化广告”权限，还需要一一与大量的广告商核实数据传输情况，将会产生非常高昂的成本，某公司已经通过《与第三方共享个人信息基本情况》披露了个人信息的相关处理情况，这种披露方式也是工信部要求的方式和行业惯例。

6.2021年11月1日工业和信息化部发布《关于开展信息通信服务感知提升行动的通知》，决定自即日起到2022年3月底，开展信息通信服务感知提升行动，其中“重点任务”包括建立个人信息保护“双清单”，即“各相关企业应建立已收集个人信息清单和与第三方共享个人信息清单，并在APP二级菜单中展示，方便用户查询（2021年12月底前完成），已收集个人信息清单应简洁、清晰列出APP（包括内嵌第三方软件工具开发包SDK）已收集到的用户个人信息基本情况，包括信息种类、使用目的、使用场景等。与第三方共享个人信息清单应简洁、清晰列出APP与第三方共享的用户个人信息基本情况，包括与第三方共享的个人信息种类、使用目的、使用场景和共享方式等。”某公司在该通知确定的《首批设立“双清单”、提升客服热线响应能力、优化隐私政策和权限调用展示方式的互联网企业名单》中。

7．二审中，某公司确认以下信息为其实际收集且应当披露的周某某个人信息：“账户信息”中的账户注册时间、账号、头像，“个人基本信息”中的性别、手机号码，“设备信息”（设备型号、操作系统版本、唯一设备标识符），“日志信息”中的订单信息、IP地址，“收货信息”（收货人姓名、收货地址以及手机号码，及相应的订单号、所购商品或服务信息、支付的货款金额及支付方式），“购物习惯”等。

二审再查明，《个人信息保护法》于2021年11月1日施行。本案一审最后一次庭审时间为2021年9月27日。

本院经审理查明的其他事实与一审判决查明事实一致。

本院认为，本案为个人信息保护纠纷，本案二审主要争议问题是，周某某行使个人信息查阅复制权的范围和形式该如何确定。围绕某公司的上诉请求、理由以及双方的具体争议问题，本院分析如下：

一、周某某的诉讼请求是否包含了行使个人信息复制权

根据查明事实，周某某的第一项诉讼请求为判令某公司向其“披露”相关的个人信息。关于“披露”的含义，应当结合双方在诉辩过程中的陈述进行理解。一审中，周某某提出某公司可以通过书面的纸质方式，或是通过拷贝电子数据、发送电子邮件等方式向其披露个人信息，明确表达出需要某公司向其提供个人信息副本的诉求，客观上是在主张行使其个人信息复制权。某公司在一审中也明确提出“披露可以理解为是查询跟复制这两个权利”，对于一审法院关于“原告主张的个人信息查阅权、复制权以及删除权的权利性质是否具有可诉性”的争议焦点归纳，双方均没有表示异议。由此可见，一审中，某公司对周某某主张个人信息复制权的事实已充分了解。综上，本院认定，周某某的诉讼请求包含了行使个人信息复制权，某公司上诉主张一审判决超出周某某的诉讼请求范围，不能成立，本院不予采纳。

二、本案是否可适用《个人信息保护法》

《个人信息保护法》的施行时间为2021年11月1日。虽然该法施行时间在本案一审最后一次庭审（2021年9月27日）之后，但本案为个人信息保护纠纷，案涉事实状态一直持续到《个人信息保护法》施行之后，且适用《个人信息保护法》可以更好地平衡双方的权利义务，有助于妥善解决本案纠纷。故一审法院适用《个人信息保护法》并无不当，某公司上诉主张一审判决违反“法不溯及既往”原则，本院不予采纳。

三、周某某是否可以提起本案诉讼

根据双方的诉辩主张，周某某要求某向其披露个人信息，实质上是主张个人信息查阅复制权。《个人信息保护法》第七条规定：“处理个人信息应当遵循公开、透明原则，公开个人信息处理规则，明示处理的目的、方式和范围。”第四十四条规定：“个人对其个人信息的处理享有知情权、决定权。”第四十五条规定：“个人有权向个人信息处理者查阅、复制其个人信息；有本法第十八条第一款、第三十五条规定情形的除外。个人请求查阅、复制其个人信息的，个人信息处理者应当及时提供。”查阅复制权，既是个人信息处理公开、透明原则的重要体现，也是个人实现信息处理知情权的重要途径，同时是个人行使更正、补充、删除等其他个人信息权利的重要前提。个人信息查阅复制权是个人重要的法定权利，依法应予充分保障。个人对于个人信息处理者收集的个人信息，除存在依法不得查阅复制或权利滥用等情形外，均可依法行使查阅复制的权利，并不以个人信息泄露或存在泄露风险为前提条件。本案中，周某某主张因担心个人信息泄露或个人信息有误，或某公司将个人信息用于其他用途损害其利益，故向某公司要求披露相关信息。此仅为周某某行使个人信息查阅复制权的动机，而并非必要前提条件。某公司主张周某某没有提供证据证明其个人信息发生了泄露，且已采取了相关措施保护用户个人信息，因上述事由并非周某某行使个人信息查阅复制权的必要前提条件，本院对此不予确认。周某某通过客服电话、邮件等方式要求某公司向其披露个人信息未果，遂向一审法院提起本案诉讼，于法有据。某公司抗辩称其未能核实周某某的真实身份，且未收到周某某发送的邮件。某公司作为个人信息处理者，对于用户提出的查阅复制请求，应当采取相应的技术措施验证用户的真实身份。根据查明事实，周某某曾通过致电客服、发送邮件等方式向某公司主张权利，但某公司并未告知周某某验证其真实身份的具体途径，也未在合理期间内对周某某的诉求作出必要处理，显属不当。且案涉邮箱是由某公司向用户提供的联系方式，某公司有义务保障该邮箱能正常接收用户的邮件，在其未能证明周某某发送的邮件存在不当内容，也从未在一审中否认收到该邮件的情况下，二审中以未收到该邮件为由进行抗辩，本院不予采纳。

四、某公司应当向周某某披露的个人信息范围

法律赋予个人查阅复制权，其目的是确保其对个人信息的知情权和保持应有的控制，避免因为非法收集、处理个人信息而致其人身财产权益遭受侵害。从实现查阅复制权的功能价值、保护个人合法权益的角度考虑，查阅复制权的客体不仅包含个人信息本身，还应当包括个人信息处理情况。本案中，周某某作为某APP的注册用户，对于该APP所收集的个人信息及相关处理情况，有权要求某公司进行披露。由于周某某并未对一审判决提起上诉，本院仅对一审判决确定的披露范围（附表2）进行评判：

（一）关于某公司自认已实际收集且应当披露的个人信息

二审中，某公司确认周某某的“账户信息”中的账户注册时间、账号、头像，“个人基本信息”中的性别、手机号码，“设备信息”（设备型号、操作系统版本、唯一设备标识符），“日志信息”中的订单信息、IP地址，“收货信息”（收货人姓名、收货地址以及手机号码，及相应的订单号、所购商品或服务信息、支付的货款金额及支付方式），“购物习惯”等信息为其实际收集且应当披露的信息，本院对此予以确认。

（二）关于“昵称”与“居住地”信息是否应当披露

根据查明事实，周某某在某APP中的昵称为“某会员”，虽然该昵称由某APP自动生成，并非周某某自行填写，但根据《个人信息保护法》第四条关于“个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息”的规定，周某某作为某公司可识别的注册用户，其昵称仍属于个人信息范畴，至于该昵称为个人自行填写或是由系统自动生成，均不影响其性质的认定。据此，某公司应当向周某某披露其“昵称”信息。至于居住地信息，某公司主张其未收集，周某某亦确认并未填写该信息，根据现有证据亦不能认定某APP收集了该信息，故本院认定某公司不需要向周某某披露其居住地信息。

（三）关于“浏览记录”及“与第三方（包括第三方支付机构）共享的个人信息”是否应当披露

关于周某某在某APP注册以来的浏览记录及与第三方（包括第三方支付机构）共享的个人信息，某公司确认均有实际收集，但抗辩称若全部提供上述信息会使其承担高昂成本，也不符合行业惯例。对此，本院认为，浏览记录及平台与第三方共享的个人信息，是个人信息及其处理情况的重要组成部分，该信息对于个人判断个人信息是否被滥用具有重要意义，某公司作为个人信息处理者，应当依法向周某某披露上述信息相关情况。关于披露成本的问题，因某公司并未能提供充分证据证明具体的披露成本，且披露成本高并非法定的免责事由，故对于某公司抗辩，本院不予采纳。至于某公司提出的行业惯例问题，因行业惯例仅能从一定程度上反应现有的个人信息保护水平，并非个人信息处理者是否履行法定义务的决定性因素，与某公司是否应当披露上述信息并无必然关系。综上，某公司应当向周某某披露自周某某在某APP上注册之日起到本判决生效之日止的“浏览记录”及“与第三方（包括第三方支付机构）共享的个人信息”，后者应当包含信息种类、信息内容、使用目的、使用场景和共享方式等内容。考虑到某公司履行上述披露义务需要耗费一定的成本和时间，本院将披露期限从一审确定的十日延长至三十日。

（四）关于“第三方SDK收集的个人信息”是否应当披露

第三方SDK收集的个人信息，是指某公司合作伙伴通过在某APP中嵌入SDK收集的用户个人信息。某公司主张并未参与该类信息的收集、上传、储存过程，根据现有证据亦未能显示某公司收集了上述信息，故周某某要求某公司向其披露第三方SDK收集的个人信息，依据不足，本院不予支持。

需要指出的是，第三方SDK嵌入APP，一方面提升了APP兼容性和灵活性，节约了APP开发成本，但同时也带来了个人信息安全风险。虽然本院未支持周某某关于披露第三方SDK收集的个人信息的诉讼请求，但某公司作为某APP的运营方，仍应谨慎选择使用第三方SDK，通过加强动态监测和安全评估工作、完善与第三方SDK提供者的合作协议等有效举措，积极防范SDK安全漏洞、违法违规收集使用个人信息等风险，切实保障用户个人信息安全。

五、某公司已向周某某披露的个人信息

一审中，某公司提交了《原告个人信息情况》，其中记载了周某某的部分个人信息。二审中，周某某确认《原告个人信息情况》披露的周某某个人信息，某公司可以不再向其提供副本。故本院认定，对于《原告个人信息情况》记载的注册时间、账号、昵称、性别、手机号码等信息，应视为某公司已向周某某披露，某公司不需要再提供相关副本。至于“收件人信息”中的收货人姓名、收货地址、收货手机号等，因该信息与相关的订单信息相关联，但《原告个人信息情况》中并未披露与此相关联的订单信息，故某公司仍应当结合周某某的订单信息对收货人姓名、收货地址、收货手机号等信息进行重新披露。

六、案涉个人信息的披露方式

如前所述，周某某请求某公司向其披露相关个人信息情况，实质上是在行使查阅复制权。某公司上诉主张其已向周某某提供了便捷的个人信息查阅途径，但根据查明事实，某公司提供的查阅途径仅能查阅部分周某某的个人信息，且对于复制权，一般应当理解为提供副本，仅提供查阅途径不能视为已满足周某某复制个人信息的请求。一审法院判令某公司以提供副本的方式向周某某披露个人信息情况，该披露方式能同时满足周某某查阅和复制的请求，本院予以确认。副本应当采取书面形式，可为纸介质或者电子介质。从减少个人信息处理者的披露成本、方便个人查阅的角度，一审判决某公司向周某某提供电子化的副本，并无不当，本院予以维持。电子化副本不限于Excel表格、Word文档等形式，某公司应当选择便于查阅的方式向周某某提供个人信息电子化副本。

综上，某公司应当以电子副本的方式提供相关的个人信息及处理情况（详见附表3）供周某某查阅复制。

随着数字化时代的到来以及数字经济的蓬勃发展，强化个人信息保护已经成为应对数字化挑战、保护个人合法权益、维护网络空间良好生态、促进数字经济健康发展的重要举措。从个人角度，落实法律赋予其在个人信息处理活动中的权利，可以有效防范个人信息被随意收集、违法获取、过度使用、非法买卖等风险，防止不法分子利用个人信息侵扰其生活安宁，危害其生命健康和财产安全；从个人信息处理者的角度，充分保障用户的个人信息合法权益，可以有效提升其服务水平，增强其在数字经济时代的市场竞争力，虽然短期内可能会增加个人信息处理者的运营成本，但对其长远发展具有重要的积极作用。据此，个人信息处理者应当把个人信息保护的理念融入处理活动和业务实践的全流程，在个人信息收集、储存、使用、加工、传输等环节预先考虑个人信息权益保障的需求，为全面、高效履行个人信息权益保障法定职责奠定基础。

某公司作为互联网企业，根据法律及监管部门的要求，适时对平台隐私政策及相关附件进行修改完善，不断提升用户个人信息权益的保障水平，对此应当予以肯定。但从本案的事实看，某公司的个人信息查阅复制机制仍存在进一步完善的空间。建议某公司对照《民法典》《个人信息保护法》及相关监管要求，充分发挥自身技术条件，运用信息化技术，建立常态化、便捷化的个人信息查阅复制响应机制，不断降低成本，提升效率，匹配平台用户需求，切实全面保障用户的个人信息查阅复制权。

综上所述，某公司的上诉理由部分成立，对其上诉请求，本院予以部分支持。二审中某公司提交了新的证据，案件事实发生了变化，本院对一审判决进行相应调整。根据依照《中华人民共和国民法典》第一千零三十七条，《中华人民共和国个人信息保护法》第四条、第七条、第二十三条、第四十四条、第四十五条、第五十条，《中华人民共和国民事诉讼法》第一百七十七条第二款之规定，判决如下：

一、变更广州互联网法院（2021）粤0192民初17422号民事判决第一项为：广州某电子商务有限公司于本判决发生法律效力之日起三十日内提供自周某某注册某APP之日起至本判决发生法律效力之日止的已收集到的相关个人信息以及个人信息处理的相关情况供周某某查阅、复制（具体内容见附表3）；

二、撤销广州互联网法院（2021）粤0192民初17422号民事判决第二项；

三、驳回周某某的其他诉讼请求。

本案一审案件受理费500元，由周某某、广州某电子商务有限公司各负担250元；二审案件受理费500元，由周某某、广州某电子商务有限公司各负担250元。

本判决为终审判决。

审判长　　陈　嘉　贤　

审判员　　乔　营　　　

审判员　　李　　　　婷

二〇二二年五月十三日

书记员　　李书琪朱妙瑜

附表1：周某某诉请某公司披露的个人信息及个人信息处理的相关情况账户信息

账户注册时间、账号、昵称、头像个人基本信息

姓名、性别、出生年月日、居住地、手机号码、电子邮箱设备信息

设备名称、设备型号、操作系统和应用程序版本、语言设置、移动应用列表、唯一设备标识符、运营商网络类型等软硬件特征信息位置信息

IP地址、GPS位置以及能够提供相关信息的WLAN接入点、蓝牙和基站等信息日志信息

搜索内容、浏览器类型、浏览记录、订单信息、访问日期和时间及您访问的网页记录等收货信息

收货人姓名、收货地址以及手机号码，及相应的订单号、所购商品或服务信息、支付的货款金额及支付方式支付信息

与某合作的第三方支付机构从某公司收集到的账户信息原告的订单信息、浏览信息、购物习惯等第三方SDK从某公司收集到的其个人信息对外分享的信息

共享给第三方的信息以及第三方的具体名称请告知和披露原告的哪些信息被某公司用于用户画像以上信息，请求按要求全量披露，并对应说明收集的目的以及使用范围

附表2：一审判决某公司应提供给周某某查阅复制的个人信息以及个人信息处理的相关情况账户信息

账户注册时间、账号、昵称、头像个人基本信息

性别、居住地、手机号码设备信息

设备型号、操作系统版本、唯一设备标识符日志信息

浏览记录、订单信息、IP地址收货信息

收货人姓名、收货地址以及手机号码，及相应的订单号、所购商品或服务信息、支付的货款金额及支付方式购物习惯第三方SDK收集的个人信息清单

第三方SDK的名称，第三方SDK已经收集到的周某某个人信息，包括信息类型、信息内容、使用目的和使用场景与第三方（包括第三方支付机构）共享的个人信息清单

第三方的具体名称以及共享给第三方的周某某个人信息，包括信息种类、信息内容、使用目的、使用场景和共享方式以上信息生成电子化的个人信息副本

附表3：本院判决某公司应提供给周某某查阅复制的个人信息以及个人信息处理的相关情况账户信息

头像设备信息

设备型号、操作系统版本、唯一设备标识符日志信息

浏览记录、订单信息、IP地址收货信息

收货人姓名、收货地址以及手机号码，及相应的订单号、所购商品或服务信息、支付的货款金额及支付方式购物习惯与第三方（包括第三方支付机构）共享的个人信息

第三方的具体名称以及共享给第三方的周某某个人信息，包括信息种类、信息内容、使用目的、使用场景和共享方式

以上信息生成电子化的个人信息副本

杭州互联网法院发布个人信息保护十大典型案例之九：杜某诉某网络公司个人信息保护纠纷案——个人信息权利请求权诉权行使的前置条件

来源：杭州互联网法院

（2022）浙0192民初4330号

杭州互联网法院发布个人信息保护十大典型案例之九：杜某诉某网络公司个人信息保护纠纷案

个人信息权利请求权诉权行使的前置条件

【入选理由】

本案系首例个人信息权利请求权诉权行使前置条件审查的典型案例。《中华人民共和国个人信息保护法》填补了我国个人信息保护的专门立法空白，但实践中如何准确适用法律，如何厘清个人信息权利请求权基础，如何解决多部法律协调适用的选择难题，明确不同请求权所形成的司法保护路径选择等，均有待进一步探索完善。本案旨在探索信息主体行使个人信息权利时诉权的前置条件的司法审查标准，厘清《中华人民共和国个人信息保护法》第五十条与第六十九条不同请求权的适用条件，敦促不得滥用个人信息保护诉权，同时避免司法介入过多而抑制个人信息的有效传播和共享，强调个人信息处理者所应承担的权利保障义务，引导当事人直接向信息处理者或信息保护履职部门进行维权。

【案例索引】

一审：杭州互联网法院（2022）浙0192民初4330号

【案情介绍】

原告杜某系某电商平台（系被告某网络公司运营）用户，并在该平台多次购买商品。某日，杜某在购物过程中，被平台发布的好友圈好友等你开拼手气红包字样吸引，遂点击该字样，随后页面跳出进圈并邀请好友的跳转链接，杜某受吸引点击进入好友圈。随后，杜某发现其在该平台的购物记录被自动公开并被分享到好友圈为其自动设定的第三人视线之下。社会交往中，朋友通过此功能看到了其购物记录的部分信息，杜某认为隐私受到了侵犯。对此，杜某曾向该电商平台咨询好友圈的功能。杜某认为，某网络公司在对用户个人信息处理活动中未依法保障自身的知情权和决定权，侵犯了个人信息权的合法权益，且已严重违反诚实信用原则，造成了相应精神损失，并在诉讼中明确其系依据个人信息保护法第十四条和第四十四条的规定，认为某网络公司构成对其对个人信息的处理享有知情权、决定权的侵害。某网络公司提交了关于行使个人信息权利的申请受理和处理机制路径的相关材料，并指出，杜某在用户注册时，已通过协议约定明确告知用户收集及使用用户个人信息的方式、范围及目的，并获得用户同意，且未收到杜某对其个人信息处理活动的查询申请或投诉信息，不存在侵犯个人信息权益的行为。

【裁判内容】

杭州互联网法院于2022年6月23日作出（2022）浙0192民初4330号民事裁定书：本案立案后，结合案情和证据材料作程序审查，并未对侵权情形作实体审理。原告杜某主张网络购物信息在其不知情情况下由被告某网络公司所经营的电商平台处理，导致原告杜某不愿被他人知晓的个人信息在一定范围内公开，侵犯了原告杜某在个人信息处理活动中的知情权、决定权，造成原告杜某人格利益受损，故本案系网络侵权责任纠纷中的个人信息保护纠纷。个人信息保护法第五十条和第六十九条分别对个人信息的司法保护做出了规定。前者适用于个人在个人信息保护法第四章所规定的个人信息权利受到侵害或妨碍，但没有产生损害时所产生的一种个人信息权利请求权；后者适用于个人信息权益受到侵权损害而产生的一种侵权损害赔偿请求权。由于个人信息权利请求权的请求权基础为民法典第九百九十五条规定的人格权保护，只要个人信息权利受到侵害或侵害即将发生，即可请求行为人承担停止侵害、排除妨碍、消除危险等民事责任，在构成要件上无需考虑个人信息处理者的主观过错和造成实际损害之要件，其目的在于保障个人信息权利的行使和排除对个人信息权利的妨害，从而为个人信息权利提供一种防御性的保护，避免侵权行为进一步产生实质化的损害后果，最终达到恢复个人信息权利人对人格利益圆满支配状态，保障个人人格的完整性。同时，因个人信息流动大、使用频率高、范围广，如果直接向法院起诉，不但会造成不必要的诉累，增加个人信息处理的成本，而且可能导致诉讼频发、浪费司法资源，甚至成为恶意诉讼人滥用诉权的工具。实践中，通过向个人信息处理者的积极主张，应是最快捷、最便利、最有效的维权方式。基于此，个人信息保护法第五十条第二款明确规定个人信息处理者拒绝个人行使权利的请求的，个人可以依法向人民法院起诉。换言之，本条的诉权是以个人信息处理者拒绝个人行使权利的请求为前提，即设置了个人向法院提起请求权救济的前置条件。也就是说，个人信息主体应先向个人信息处理者请求行使具体权利，只有在个人信息处理者无正当理由拒绝履行义务或一定期限内不予以处理，或者个人信息处理者提供的申请受理机制失效的情况下，个人方可向法院提起诉讼以获得救济。本案中，被告某网络公司已通过协议约定和后台设置构建了个人行使权利的申请受理及处理机制，原告杜某可通过以上方式行使个人信息知情权和决定权。但原告杜某提起本案诉讼前并未向被告某网络公司（信息处理者）提出请求，而是径行向本院请求救济其在个人信息处理活动享有的权利，显然不符合法律规定中关于个人信息权利请求权的起诉受理条件，故驳回原告杜某的起诉。

【裁判要旨】

1.当个人信息主体以《中华人民共和国个人信息保护法》第四章所规定的个人信息权利受到侵害或妨碍，但没有产生损害时所产生的一种个人信息权利请求权行使诉权，应以个人信息处理者拒绝个人行使权利的请求为受理前提。因个人信息流动大、使用频率高、范围广，如果直接向法院起诉，不但会造成不必要的诉累，增加个人信息处理的成本，而且可能导致诉讼频发、浪费司法资源，甚至成为恶意诉讼人滥用诉权的工具。实践中，个人信息主体根据现有法律规定，向个人信息处理者积极主张权利，应是最快捷、最便利、最有效的维权方式。

2.个人信息权利行使的落实有赖于处理者的尊重和依法履行保护义务，故个人信息保护法全面规定了个人在信息处理中的权利，并明确规定个人信息处理者应当建立便捷的个人行使权利的申请受理和处理机制，强化个人信息处理者的权利保障义务。只有在申请受理和处理机制未建立、有限时间内未答复、无正当理由拒绝或机制失效等情况下，方可向法院行使诉权。

北京互联网法院发布8起个人信息保护典型案例之五：郭某等与深圳某科技公司等个人信息保护纠纷案——死者近亲属对死者个人信息权益的行使应符合合法、正当、必要原则

来源：北京互联网法院

北京互联网法院发布8起个人信息保护典型案例之五：郭某等与深圳某科技公司等个人信息保护纠纷案

死者近亲属对死者个人信息权益的行使应符合合法、正当、必要原则

裁判要旨

死者近亲属为自身合法、正当利益，可对死者的相关个人信息行使查阅、复制、更正、删除等权利；网络服务提供者在用户死亡后停用其账号，未排除近亲属通过其他合理途径行使上述权利的，不构成侵权。

基本案情

李某为四原告的近亲属，生前从事某平台北京地区的外卖配送业务。四被告为该平台相关运营主体和雇佣单位。2021年李某意外去世。四原告为维护自身合法权益，尝试登录李某在员工端APP上的账号查阅李某的考勤记录等个人信息，但发现该账号已被停用，相关信息无法查阅。四原告认为，四被告停用李某账号的行为导致其无法查阅李某的个人信息，进而严重阻碍其维护自身合法权益，侵犯了其享有的个人信息权益请求权。另外，四原告认为四被告基于各自的业务需要，均曾处理李某的上述个人信息。因此，四原告将四被告起诉到法院，请求法院判令四被告提供其主张的李某相关个人信息，并承担相应的侵权责任。四被告辩称，在李某去世后停用其账号属于正常管理活动，虽然停用了李某的账号，但在员工端APP的隐私政策中对于用户及近亲属调取个人信息有清晰指引，已经提供了供四原告调取李某个人信息的其他合理途径。

裁判结果

法院经审理认为，首先，四原告要求四被告提供李某的考勤记录等特定个人信息，属于对李某的相关个人信息行使权利；其次，经查上述个人信息可能涉及李某死亡原因，四原告已经据此另案起诉，四原告系通过对李某的个人信息主张权利来维护自身利益，并且不违反法律规定和公序良俗；最后，本案并无证据显示李某生前对其死后近亲属如何行使对其个人信息的权利作出相应安排，四原告有权对李某相关个人信息主张权利。本案中，李某的账号还涉及案外第三人的个人信息、商业信息等内容，因此四被告之一的深圳某公司作为网络服务提供者不允许四原告直接登录李某账号行使权利并无不妥。经查，深圳某公司确已在员工端APP的隐私政策中规定了就个人信息保护问题行使权利的联系部门及具体联系方式，深圳某公司不存在拒绝四原告行使权利的情况。因此，深圳某公司已为四原告行使权利提供了其他合理途径，其停用李某账号的行为并未直接排除四原告就李某相关个人信息行使权利。此外，四被告确未控制四原告主张的个人信息，四被告不构成侵权，也无法提供李某个人信息。综上，四原告全部诉讼请求缺乏事实和法律依据，法院不予支持。

一审裁判作出后，当事人均未上诉，判决已发生法律效力。

典型意义

近亲属对死者个人信息的查阅、复制等权利是《个人信息保护法》明确的重要权利。本案一是明确了个人死亡后，个人信息处理者仍然应当承担死者个人信息权益保护的义务，允许死者近亲属查询、复制死者的个人信息；二是明确了个人信息处理者对于死者个人信息保护义务的履行边界，包括提供调取死者个人信息的其他合理途径基于业务关联的其他个人信息处理者不再实际控制死者的个人信息等；三是确认了自然人在查询、复制个人信息的合理边界，即需要符合合法、必要、正当原则。本案判决为死者个人信息的保护模式提供了有益指引。

杭州互联网法院发布个人信息保护十大典型案例之四：王某诉某银行股份有限公司个人信息保护纠纷案——银行处理个人征信信息是否侵害个人信息权益

来源：杭州互联网法院

（2021）浙0192民初5426号

杭州互联网法院发布个人信息保护十大典型案例之四：王某诉某银行股份有限公司个人信息保护纠纷案

银行处理个人征信信息是否侵害个人信息权益

【入选理由】

本案例围绕个人信息保护的争议展开，并于《个人信息保护法》施行当日宣判，获得了社会广泛关注。自然人有独立人格，有权防范他人不当处理涉及个人的信息，以维护宪法赋予个体享有的人格自由与尊严。于此同时，个人信息权益作为一项人格权益并非绝对权，需权衡个人信息上存在的个人利益、社会利益和公共利益。在对该项权益进行保护时，应在保护个人尊严和自由、规范个人信息处理活动的同时，促进个人信息合法合理使用。本案中，征信信息不同于一般个人信息，其既可以防范风险，为交易安全创造条件，又可以促使个体保持良好信用，以较低的交易成本获得较多的交易机会，而缺乏良好信用记录的个人则相反。本案通过厘清征信信息的法律属性，明确信贷业务机构处理征信信息行为的审查标准，以及个人信息权益保护的两项请求权基础，对逾期的不诚信行为进行否定性评价，引导个人维护自身良好信用，促进征信业健康发展，构建诚实守信的社会信用体系，形成诚信受益，失信惩戒的社会环境。体现了个人信息保护的时代精神，对类案处理有一定的参考价值。

【案例索引】

一审：杭州互联网法院（2021）浙0192民初5426号

【案情介绍】

2021年4月26日，原告王某发现其个人征信报告中有若干比由被告某银行的放款记录，其中2021年1月13日放...