來源：北京網際網路法院
轉自：京法網事
特別提示：凡本號註明「來源」或「轉自」的作品均轉載自媒體，版權歸原作者及原出處所有。所分享內容為作者個人觀點，僅供讀者學習參考，不代表本號觀點
在近期民法典出臺的背景下，個人信息保護成為社會關注的熱點。孫某某十年前上傳至校友錄的一張頭像證件照，突然出現在百度搜尋引擎網站，置頂於以其姓名為關鍵詞的搜索結果中，孫某某以該搜尋引擎網站侵犯其隱私權、個人信息權益為由，訴至法院。法院一審認定，姓名與證件照結合構成個人信息，雖孫某某未授權對涉案信息進行全網公開，但搜尋引擎網站無法預見一般公開網絡信息為未經授權公開的個人信息，其使用行為不存在過錯，但收到通知後應及時採取措施，因怠於採取措施行為造成損失的，構成侵權。
一審宣判後，雙方均未上訴，此案已生效。
1.證件照屬於肖像、隱私還是個人信息？
2.在無明確約定時，如何確定個人信息授權範圍？
3.搜尋引擎爬取網絡公開個人信息應負何種責任？
案情回顧
原告孫某某：搜尋引擎未經允許使用其頭像證件照，侵犯其隱私權和個人信息權益
孫某某主張，2018年10月，其在百度網站搜索姓名「孫某某」關鍵詞，發現百度網站非法收錄並置頂了其在校友錄網站上傳的個人帳戶頭像，即個人證件照。2018 年10月23日，孫某某向百度網站發出通知要求其刪除證件照，但未獲任何回復。
孫某某認為，涉案照片以及其與孫某某姓名的關聯關係涉及個人隱私、個人信息，在校友錄網站圖片源地址已關閉的情況下，百度公司上述行為構成侵權。故訴至法院， 要求判令百度公司賠償經濟損失1元和維權費用40元。
被告百度公司（涉案搜尋引擎網站運營者）：僅提供中立的搜尋引擎服務不構成侵權
百度公司辯稱，展示孫某某照片的行為不侵犯其個人隱私和個人信息權益。百度公司僅為網絡搜索服務提供者，提供中立的技術服務，涉案照片存儲於可正常瀏覽的第三方網頁，百度公司只是基於搜索功能實施了正常合法的抓取行為，因此，百度公司不構成侵權。
第三人搜狐公司（校友錄網站運營者）：被控侵權行為與我司無關
搜狐公司述稱，顯示有孫某某肖像的網站並非搜狐公司所運營，涉案信息與搜狐公司無任何關聯性，早在2012年到2013年間，校友錄網站已經對外停止服務和訪問，不存在授權任何人和機構使用校友錄任何信息的可能。綜上，孫某某的訴訟請求與搜狐公司無關。
事實認定
北京網際網路法院經審理查明，通過百度網站搜索孫某某姓名，搜索結果呈現孫某某個人證件照信息，該信息出現的具體過程如下：涉案照片由孫某某上傳至校友錄網站，存儲於校友錄網站的伺服器中。
雖校友錄網站的門戶地址已無法訪問，普通網絡用戶不能通過門戶網站常規訪問的方式查找到涉案照片信息，但由於校友錄網站存放照片的精確伺服器地址仍向用戶開放，通常的搜尋引擎爬蟲技術仍可訪問到涉案照片。百度網站在提供搜尋引擎服務的過程中，爬取到校友錄網站的涉案信息，當用戶對其發出相關搜索指令時，提供相關搜索結果。
爭議焦點
一、涉案姓名、照片及其關聯關係等信息是否屬於孫某某個人隱私或個人信息？
即將生效的民法典採取對隱私權和個人信息權益二元保護的體系，在此背景下，應精準劃定二者的界限，以明確不同權利類型下社會行為的自由和界限。
我國網絡安全法規定，個人信息是指以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別自然人個人身份的各種信息，包括但不限於自然人的姓名、出生日期、身份證件號碼、個人生物識別信息、住址、電話號碼等。一般認為，個人信息的認定標準為具有「可識別性」。涉案信息通過關鍵詞搜索加結果展示的形式，將「孫某某」這一自然人姓名和帶有其面目特徵信息的頭像照片進行關聯，成為可識別為唯一特定自然人的信息，該信息反映了孫某某面部形象的個體特徵，屬於個人信息。
對於百度公司關於肖像不屬於個人信息保護對象的抗辯意見，法院認為，雖然涉案信息中包含肖像照片，但肖像權和個人信息權益所保護的法益並不相同，前者主要保護自然人肖像所體現的人格利益，包括肖像的製作專有權、使用專有權和利益維護權等；後者則主要保護可識別到特定自然人的利益，包括防止濫用、冒用引發的人身或財產損失等。由於二者保護的法益不同，構成要件、保護方式和損害結果等方面亦存在差異，因此，權利人有權根據被控侵權行為的實際情況，選擇更為有利的權利主張方式。
隱私是指自然人的私人生活安寧和不願為他人知曉的私密空間、私密活動、私密信息。本案中涉及的孫某某姓名和載有面部肖像的證件照，與私密照片不同，一般情況下，可適用於正常的社交場合，用於個人身份的識別和社會交往。根據孫某某的陳述，其自行將涉案照片上傳於社交網站中，主動向一定範圍內的網絡用戶進行披露，可見，主觀上孫某某並無強烈的將該信息作為隱私進行隱匿的意願，客觀上該信息亦未處於私密狀態。因此，涉案信息的屬性更接近於在某些場景下支持積極使用的個人信息。
雖孫某某主張上述信息洩露會導致濫用、甚至冒用，給其生活帶來困擾，但此種損害並非上述信息披露本身所帶來的，而是超出範圍和目的的公開，可能增加被非法濫用、引發人身財產損失的風險所致。可見，一般認為，單純的上述信息洩露本身並不能直接引致人格利益的重大損失，涉案信息保護的關鍵並非消極的隱匿而是防止濫用，更適於採取個人信息的路徑進行保護。
綜上，法院認為，涉案姓名、照片及其關聯關係等信息本身尚不足以構成私密信息，將涉案場景中利用的信息劃入個人信息的保護範疇，更符合立法原意和當今網絡社會下對上述信息利用的社會普遍認知。
二、被控侵權行為是否屬於未經同意處理個人信息的行為？
現行法律明確規定不得非法處理信息，收集、處理個人信息的行為，應在明示使用信息範圍並經自然人同意的前提下進行，亦即，信息處理者應在被收集者授權同意的範圍內處理信息，不得超範圍傳輸、公開、使用個人信息。
關於孫某某對涉案信息授權的使用範圍，本案中，雙方均未就該項事實進行舉證。就舉證責任分配，孫某某應就百度公司存在違法行為的事實進行舉證，百度公司應就其抗辯存在合法來源的事實依據進行舉證。同時，為追求當事人之間實質上的公平正義，就該項待證事實的舉證責任，應結合立法規定、當事人舉證能力、證據距離以及蓋然性經驗法則等因素在當事人之間合理地分配。
從立法規定來看，根據《中華人民共和國網絡安全法》的相關規定，信息處理者應明示使用信息的範圍，因此，一般情況下應由信息處理者對其明示使用範圍以及取得相應授權進行舉證；從當事人舉證能力和證據舉例來看，由於存儲涉案電子數據的網站門戶早已對外關閉，孫某某客觀上無法收集相應證據，而搜狐公司作為證據存儲網站的管理者和信息處理者，其在提供證據信息和資源上佔據優勢的情況下，表示不清楚具體權限；從待證事實發生的蓋然性來看，根據現有事實追溯的信息運用場景，校友錄網站主要用於實現校內社群社交功能，用戶在此網站內上傳頭像，一般係為尋找同學、好友等，在部分熟知人群範圍內開展社會交往，而非進行陌生人交友，或基於言論傳播、宣傳推廣等目的進行全網公開信息發布，故孫某某主張的事實具有一定合理性。
因此，法院認定，孫某某僅授權搜狐公司在一定權限範圍內使用和公開涉案信息。搜狐公司將涉案信息置於公開網絡後，百度公司的搜索行為使得涉案信息可被全網不特定用戶檢索獲取，在客觀上導致該信息在孫某某授權範圍之外被公開，屬於未經同意處理個人信息的行為。
三、百度公司是否構成對孫某某個人信息權益的侵害？
個人信息侵權的歸責基礎以過錯為前提。通知刪除前，百度公司作為網絡技術服務提供者是否存在主觀過錯，應結合是否進行人工編輯整理、應具備的信息管理能力、涉案信息侵權類型和明顯程度、涉案信息社會影響程度以及是否採取了預防侵權的合理措施等因素綜合進行判定：
第一，目前尚無證據表明，百度公司在涉案行為過程中，對涉案信息進行了超越搜尋引擎中立服務目的的選取、編輯、推薦；第二，百度公司作為全網信息搜尋引擎服務提供者，需對海量網際網路信息進行搜索、存儲、歸目等技術處理，不應苛求其對所有信息是否侵權進行逐條甄別和主動審查；第三，涉案信息不屬於裸照、身份證號等明顯侵權或者極具引發侵權風險的信息，作為一般個人信息，存在權利人願意積極公開、一定範圍公開或不願公開等多種可能的情形，為鼓勵網絡信息的利用和流通，對於網絡公開的一般個人信息，應推定權利人同意公開，故百度公司在接到權利人的通知前，難以預見涉案信息是未經授權公開的信息；第四，現有證據不能顯示涉案信息被大規模搜索或使用，以至於達到搜尋引擎運營者可明顯感知的程度；第五，百度公司已開通渠道，供權利人對可能存在的侵權行為進行投訴。
綜上，法院認為，在通知刪除前，百度公司對涉案信息不存在明知或應知的主觀過錯，不構成對孫某某個人信息權益的侵害。
通知刪除後，網絡服務提供者應及時採取必要措施，遏制侵權行為的擴大。具體到本案，百度公司從技術上具備通過屏蔽、斷開連結等方式遏制侵權信息擴散的能力，其在收到通知的情況下，對可能構成侵權的具體信息採取措施，並非對海量網際網路信息進行審查，並不會不合理地增加管理運營成本。
百度公司以孫某某缺乏侵權救濟基礎、投訴信息與事實不符為由，認為其並無採取措施之義務。對此，法院認為，雖然本案涉及的個人信息權益屬於新型的人格權益，且其指向的內容一般較為中性，在判定通知內容是否構成侵權時，較隱私權、名譽權、智慧財產權而言可能更為困難。然而，個人信息權益作為人格利益的一種，在網絡瞬時性傳播的環境下，一旦被洩露即可能遭到無限擴散，進而引發難以修復的損害。為及時遏制侵權，立法要求網絡服務提供者在收到通知時，應盡到合理審查義務並採取相應措施，否則將自行承擔錯誤判斷引發的風險。而從本案情況看，現有證據未顯示百度公司採取過任何措施，實難認定其已盡到相應的合理審查義務。
綜上，在收到刪除通知後，百度公司在其有能力採取相匹配必要措施的情況下，未給予任何回復，其怠於採取措施的行為，導致涉案侵權損失的進一步擴大，構成對孫某某個人信息權益的侵害。
判決結果
法院認為，雖然孫某某未對涉案行為造成其財產損失的數額進行舉證，但個人信息在網際網路經濟的商業利用下，已呈現出一定的財產價值屬性，且遏制個人信息侵權的行為，需違法信息利用者付出成本對衝其通過違法行為所得的獲益，故對孫某某主張的賠償數額予以支持，並判決：
百度公司於判決生效之日起7日內賠償孫某某經濟損失1元和維權費用40元。
本案圍繞個人信息相關裁判規則
進行了有益探索：
01
釐清個人信息和其他人格權益之間的關係，區分個人信息和隱私權、肖像權等救濟途徑的區別。肖像權和個人信息保護法益不同，在同時構成兩種權利救濟基礎的情況下，原告可以選擇有利的權利進行主張。
02
在缺乏明確授權證據的情況下，信息處理者一方具有法律規定的明示授權範圍的義務，同時，其作為證據存儲網站的管理者佔據信息和資源優勢，因此，對超越合理情形下的信息授權範圍負有舉證責任。
03
網絡服務提供者提供中立技術服務，進行一般公開網絡信息處理的行為不存在過錯，但在接到權利人通知的情況下，應盡到合理審查義務，視具體情況採取必要措施。
典型意義
在民法典加強個人信息保護背景下，此案為網絡個人公開信息的使用和流通劃定了邊界，明確了信息源頭主體應設置有效保護措施保障個人信息安全，並明確信息後續利用者對無法預見的超範圍使用行為不存在過錯。數據共享與個人信息權益保護之間存在一定的衝突與矛盾，此案既保護了個體權益，亦防止對後續的信息流通、數據利用行為造成過大負擔。數據被譽為網際網路時代的石油，對其正當的再度利用可能產生難以預見的資源和社會經濟價值，此案判決有利於鼓勵信息傳播與流通、促進公開信息的再度利用，為個人信息提供精準有效的司法保護，為數字經濟發展提供有力的法律保障。