北京法官对庞理鹏诉趣拿公司、东方航空隐私权案的分析

陈晨 李思頔

【编者按】庞理鹏诉趣拿公司、东方航空隐私权纠纷案系最高法院发布的第一批涉互联网典型案例，是由网络购票引发的涉及航空公司、网络购票平台侵犯公民隐私权的纠纷。以下分析文章由北京市海淀区人民法院研究室法官助理陈晨、海淀区人民法院民五庭法官助理李思頔撰写，供大家学习研究。该文荣获全国法院系统2018年度优秀案例分析评选活动一等奖。

庞理鹏诉北京趣拿信息技术有限公司、中国东方航空股份有限公司隐私权纠纷案

  ——个人信息认定、举证责任分配及个人信息纠纷解决机制的重构

本案系最高法院发布的第一批涉互联网典型案例，是由网络购票引发的涉及航空公司、网络购票平台侵犯公民隐私权的纠纷，各方当事人立场鲜明，涉及的焦点问题具有代表性和典型性。本案终审判决于2017年3月27日作出，彼时所公布的《民法总则》首次通过民事基本法确立个人信息的法律地位，信息抓取类案件数量激增，个人信息纠纷解决面临巨大挑战。国内首起安全软件号码标注隐私权纠纷案、朱某诉百度隐私权纠纷案、新浪微博诉脉脉不正当竞争案、徐玉玉电信诈骗案等皆为近期引发的民事、刑事诉讼。本案作为国内个人信息保护典型案例，对个人信息保护以及隐私权侵权的认定进行了充分论证，兼顾了隐私权保护及信息传播的衡平，为个人信息司法保护提供了一个重要分析样本。以下，我们结合本案案情，以类案分析为方法，对当前个人信息司法救济现状及相关法律问题进行分析。

一、个人信息纠纷解决机制之样本分析

笔者以本案为基准，将信息抓取类案件裁判文书所涉高频词汇作为关键词，通过北京审判信息网导出裁判文书1383份[1]。案由涉及不正当竞争纠纷、隐私权纠纷及名誉权、知情权纠纷等，该组裁判文书基本囊括北京法院11-18年审结的信息抓取类民事案件，对个人信息纠纷解决研究具有典型示范意义。通过调研，笔者发现，当前个人信息司法救济存在以下特点：

第一，近三年个人信息隐私权纠纷案件数量增势明显。以笔者提取的82件隐私权纠纷为例，2015年案件数量16件，同比上升220%；2016年21件，同比上升31.25%；2017年36件，同比上升71%。近年通过诉讼进行个人信息救济的自然人数量逐渐增多。

第二，抓取信息类案件中，隐私权纠纷占比偏低。虽然信息抓取类隐私权纠纷案件数量有所增多，但案件数量占信息抓取类案件总量的比例仍属偏低。以笔者所选样本为例，隐私权纠纷82件，占比6%；不正当竞争纠纷818件，占比59%。

第三，信息抓取类隐私权纠纷胜诉比例偏低。以笔者所提取样本为例，不正当竞争纠纷的胜诉比例明显高于隐私权纠纷。笔者选取的83件信息抓取类隐私权纠纷中，胜诉比例仅为5%，且其精神损害赔偿皆未获得支持；但不正当竞争纠纷的胜诉比例却高达67%，且其损害赔偿皆得到法院不同比例的支持。

二、个人信息纠纷解决机制之实务困境

北京法院信息抓取类案件案由主要涉及不正当竞争纠纷与隐私权纠纷，个人信息司法救济则主要以隐私权纠纷为主。然而，该救济模式侵权行为及侵权责任认定方面存在困境。通过对企业数据与个人信息两种现有司法救济模式中同类侵权行为诉讼结果的检视对比，拟可反映单纯依靠隐私权纠纷进行个人信息救济的不当之处。

（一）侵权行为认定方面

1. 隐私权纠纷仅保护具有隐私属性的“个人信息”

以本案为代表的隐私权纠纷中，涉诉信息是否具有隐私属性是侵权行为认定的前提条件。该界定标准将用户自行上传、公开展示或用于广泛查阅的电话号码、通讯簿等信息排除在外[2]。认为，经权利人许可在网上公开披露的个人资料已表明权利人放弃其隐私，视为其明知个人信息将被不特定的主体收集、挖掘、分析，相关信息应作为公共资源看待，不具有隐私权属性。[3]本案判决中也明确说明，隐私权纠纷保护可指向特定个体的自然人基因信息、病历资料、家庭住址、私人活动等整体信息。[4]这说明隐私权纠纷并未将隐私权作扩大解释，而是将“个人信息”限缩至隐私权范畴进行保护，排除未明显侵犯隐私权但侵害个人信息自决权的侵权行为。

而不正当竞争纠纷一般适用《反不正当竞争法》第二条兜底条款规制“APP越界索权”，关注APP运营商是否遵循自愿、诚信原则和公认的商业道德，而不关注受侵害客体本身的属性。其认为，即使是隐私权属性不明显的信息，只要平台恶意违规抓取信息违背诚实信用原则，即受到《反不正当竞争法》的规制。[5]

2. 隐私权纠纷仅保护具有实质侵害的信息泄露行为

隐私权纠纷要求对个人隐私权存在明显实质侵害。由于侵权行为隐秘、实损难以证明，法院一般不认定单纯抓取信息构成侵害隐私权。同时，司法实践将捆绑安装行为[6]、标记行为[7]、关联APP个人信息共享行为[8]及强制安装或私自保存[9]等对隐私权不存在实质侵害的行为都排除在规制范畴之外，只规制本案判决的对隐私权存在实质侵害的泄露行为[10]。而不正当竞争纠纷中，APP运营商恶意违约抓取用户信息的行为本身已违反《反不正当竞争法》第二条所规定的自愿、诚信原则，构成不正当竞争。[11]

（二）侵权责任认定方面

以笔者所掌握的样本为例，该类案件所涉侵权责任形式包括停止侵害、消除影响、赔礼道歉和损害赔偿四类。如本案中原告诉讼请求基本囊括以上四种，然而隐私权纠纷中对于损害赔偿的认定标准仍属偏高，自然人举证能力与证明标准严重失衡。主要表现如下：

1. 用户与APP运营商技术力量和信息掌握程度不对等

本案认定被告存在隐私侵权的一个关键依据，即认可用户与APP运营商技术力量和信息掌握程度的不对等性。本案生效裁判文书认为，从收集证据的资金、技术等成本上看，普通用户只能通过手机软件证明，上传个人信息后卸载相关APP无法同步删除其移动终端存储的cookie数据，但对“APP是否抓取信息”及“抓取行为与损害结果的因果关系”的举证能力较弱，用户与APP运营商技术力量和信息掌握程度的不对等使得作为个人信息真正权利人的自然人举证路径严重受阻。

而不正当竞争纠纷中，APP运营商作为数据权利人对后台信息的掌握程度明显较高，且多组个人信息所形成的数据库可通过侵权人因抓取行为所获得的用户访问量、相关广告等其他收益间接证明实际损害。[12]此外，不正当竞争纠纷还综合考量侵权方企业知名度、消费者权益保护等因素酌情确定损害赔偿数额。[13]

2. 现有侵权责任形式无法实现个人信息充分救济

以本案为代表的隐私权纠纷证明标准较为严苛，在精神损害赔偿方面，要求权利人证明APP运营商存在泄漏信息的高度可能，同时还需证明因泄漏行为导致实际经济损失或明显精神痛苦。[14]这也是最终法官没有支持庞理鹏精神损害诉讼请求的原因。这使得诉讼证明标准与自然人举证能力严重失衡，无法实现个人信息的充分救济。

首先，权利人财产损害赔偿司法救济路径缺位。信息抓取类案件中，权利人多无直接财产损失，而只能选择通过所得利益等证明间接财产损失。这使得无直接获利的情况下，权利人较难提供完整证据链条证明因泄漏信息本身造成财产损害，从而难以获得财产损害赔偿。笔者所提取的样本也尚未出现因泄漏信息而提起的财产损害赔偿。

其次，权利人精神损害赔偿司法救济路径受阻。精神损害赔偿的适用前提是客观上违反社会公共利益和社会公德并且引发明显精神痛苦。[15]当事人必须证明因行为人违反社会公共利益、社会公德侵犯隐私权，且引发明显精神痛苦，法院才可能支持其精神损害赔偿。[16]但泄露信息降低社会评价的证明难度较高，难以证明因泄漏信息本身造成明显精神痛苦。这使得司法实践中隐私权纠纷损害赔偿支持率较低。以笔者选取的北京法院1383份裁判文书为例，隐私权纠纷精神损害赔偿支持率为0。

再次，停止侵害等侵权责任形式间接影响消费者自由选择权。排除其他救济途径后，权利人只能选择停止侵害、消除影响、赔礼道歉来进行个人信息的司法救济。如确实存在侵权行为，造成权利人权益受损，请求多会得到支持。但是，在目前技术水平无法达到完全避免个人信息读取或使用的情况下，停止侵权意味着权利人可能被迫放弃APP相关功能的使用权，停止使用相关服务。这从消费者权益保护角度，又影响消费者的自由选择权，使其选择权逐渐降低甚至完全消失。[17]

三、当前信息抓取类案件纠纷解决机制考量因素

（一）当前立法欠缺相应激励机制

我国民事法律对于个人信息的保护相对模糊且略显原则。现有民事法律体系只确立了个人信息的法律地位和基本行为规范，尚未明确个人信息范畴及具体权利，欠缺必要的个人信息民事救济路径，而《网络安全法》等法律则主要从公法层面规定侵犯信息安全所应承担的行政处罚责任。[18]针对性的个人信息民事救济路径相对缺位。

（二）责任填平原则导致具体人格权诉讼倾向较为明显

我国《侵权责任法》核心功能在于补救，损害赔偿责任适用填补原则，即对不幸的受害人的损害进行填补，赔偿存在明显精神损害或造成经济损失的侵权行为。[19]然而，大数据时代个人信息的价值不再单纯来源于它的基本用途，而更多源于它的二次利用。[20]信息只有通过二次收集整理形成企业或政府大数据才蕴含经济价值，单个权利人对个人数据享有的经济利益不明显，在现有侵权责任法体系下单纯侵犯信息自决权的抓取行为、捆绑安装行为等很难认定存在明显精神损害或造成实际经济损失，损害赔偿难获法院支持；即使获得支持，数额通常较小，甚至出现诉讼成本倒挂现象。

（三）案由确立简单盲目影响司法救济力度

首先，司法案由的确定对于当事人准确选择救济途径具有较大引导作用。司法实践中，法官一般根据当事人诉讼请求的直接表述，按照最高法院《民事案件案由规定》（2011）的规定选择案由，其所反映的是法院对诉讼争议所含法律关系的概括。[21]案由主要功能是确定法院受理案件的类型，并根据纠纷类型准确选择救济途径。[22]虽然审判庭可根据实际诉讼标的和法律关系对立案庭确定的案由进行调整，但是立案庭初步确立的案由对于当事人诉讼请求、救济方式及案件的整体走向仍有极为重要的作用。错误的立案案由存在先入为主的误导，易影响当事人的举证及法官对案件的正确判断，浪费司法资源甚至导致错误裁判。[23]

其次，案由确立的简单盲目性一定程度影响个人信息的司法救济力度。一审法院立案时多依据当事人在立案阶段所提供的材料，尤其是当事人的诉讼请求确定具体案由，而未充分考虑当事人主张民事法律关系的性质。[24]同时，隐私权纠纷在先案例较多，一定程度上加剧了实务中选择隐私权纠纷进行个人信息司法救济的盲目性，使得法院多依照当事人的诉讼请求将案由确定为第6项隐私权纠纷。案由确立的简单盲目性使得诉讼中侵权行为和损害赔偿的认定都倾向于以人格权相关法律作为诉讼依据，导致诉讼请求集中于因侵害隐私权而提起的停止侵害、消除影响和精神损害赔偿。而法院则将“个人信息”简单等同于“隐私”范畴，只规制实质损害隐私，只赔偿明显精神痛苦，一定程度影响了对个人信息的司法救济力度。

四、现有法律框架内个人信息纠纷解决机制的重构

如上所述，当前我国个人信息司法救济路径仍以隐私权纠纷为主，由于保护权益局限、举证能力与证明标准失衡、损害赔偿认定标准较高，用户个人信息司法救济路径严重受阻。笔者认为，拟可通过逻辑、实践两层面探究现有法律框架内个人信息司法救济之应然路径，对个人信息纠纷解决机制进行重构。

（一）合理选择侵权诉讼和违约诉讼

侵权责任与违约责任的核心区别在于所保护利益的不同。违约责任关注履行利益，核心目的是通过赔偿使当事人处于如同合同完全履行的状态，以维护当事人意思自治、鼓励合同交易达成；而侵权责任本质上保护人身利益或精神利益，不考虑当事人约定、直接以实际损害为前提。[25]两者的适用差异在于：一是关于因果关系的证明。因果关系是侵权责任的构成要件，主张侵害隐私权，必须证明侵权行为与实际损害之间存在因果关系；而违约责任中因果关系的重要性远不及侵权责任，只需当事人构成违约，即可主张违约责任，而无需证明因果关系。二是关于精神损害赔偿的适用。只有侵权责任可主张精神损害赔偿，违约责任不得适用。[26]三是关于继续履行的诉讼请求。合同纠纷可主张继续履行合同，而侵权责任只能主张停止侵害、消除影响和赔偿损失。

1. 对于明显侵害固有利益的侵权行为建议适用侵权责任进行救济

明显侵害隐私权等固有权益，权利人举证难度相对较小；适用侵权责任无须解除合同，可直接主张停止侵害、消除影响；同时，在引发明显精神痛苦的前提下可主张精神损害赔偿。

2. 对于未明显侵害现有法律框架内固有利益的情况下，建议适用网络服务合同进行救济

法律目前只确定了个人信息的法律地位，相关配套民事法律责任及救济体系缺位，如主张侵害个人信息权难获法院支持[27]，而违约责任只需证明违规使用信息，举证难度较低，对于恶意捆绑、违规存储等行为都可纳入合同法保护范畴。

（二）在证据规则及损害赔偿标准等方面发挥法官释明权积极作用

通过侵权责任与违约责任的分工协作可初步解决隐私权纠纷举证责任高、权益保护范围窄的问题，但仍无法解决用户举证难、赔偿低、维权难的现实问题。在信息抓取类案件中，法官拟可通过释明引导权利人灵活运用诉讼证据规则、增加或变更诉讼请求，适当调整类案审判思路，以推动现有法律框架内个人信息司法救济路径的合理转换。

1. 诉讼中充分发挥法官释明权在举证引导中的积极作用

在隐私权纠纷中，对查清权利人的实际损害、侵权人的侵权获利确有困难的，可通过证据规则合理分配举证责任，引导当事人对判赔参考因素积极举证，提高个人信息救济的合理性。法官拟可通过询问当事人被诉侵权APP授权范围、信息使用方式、是否可在他平台中查到诉争信息、是否存在间接经济损失或精神痛苦等判定侵权事实，并引导权利人提交公证书、网页截图、发票等证据，甚至可以在双方同意的情况下进行现场勘验。

2. 裁判认定时可通过释明权灵活运用举证转移等民事证明规则

在隐私权纠纷中，对于权利人举证难度较大的侵权事实，法官拟可运用民事证据高度盖然性标准[28]，在权利人可证明涉案信息特殊性、信息泄露渠道单一性、被诉侵权APP获取信息可能性或者因果关系的较高关联性的情况下，如对方提出抗辩则举证责任转移，要求其对未实施相应行为或其他免责事由进行举证，如未提出有力反证，则可根据高度盖然性标准认定其侵害隐私权。[29]

3.在损害赔偿认定时，可充分考虑权利人的合理支出及获利返还

由于权利人直接证明实际损失难度较大，在权利人为购买APP相关服务支出费用的情况下应充分考虑其间接损失。[30]对间接损失的认定，要综合考虑案件的难易程度、诉讼代理人的工作强度、律师是否出庭应诉等多个因素，拟可包括个人信息许可使用费用、因信息不当利用而支出的额外费用、为制止信息抓取或使用采取措施产生的费用、维权合理费用等。同时，拟可参考《侵权责任法》第二十条获利返还规则，结合其抓取、使用信息的目的，尝试通过认定APP运营商收集数据可获得的预期利益来认定损害赔偿数额，并依照完全赔偿原则对权利人遭受的个人信息损害进行填补。

4. 可通过法官释明权对精神损害赔偿认定进行扩大解释

可将安宁生活权益纳入个人信息的保护范畴。[31]对于因信息泄露而导致权利人安稳安静生活状态受到严重侵扰的，应认定为因侵害人格权而引发明显精神痛苦，支持相关精神损害赔偿诉求。此外，对恶意侵权或重复侵权等侵权情节严重的，要依法从高赔偿或考虑进行惩罚性赔偿，防止出现诉讼成本倒挂。

[1]检索时间为2018年4月12日，共导出北京法院信息抓取类案件1383份，其中包括“软件隐私权”所导出的裁判文书42件，“数据隐私权”所导出的裁判文书88件，“抓取隐私权”所导出的裁判文书6件，“软件不正当竞争”所导出的裁判文书667件；“数据不正当竞争”所导出的裁判文书549件；“抓取不正当竞争”所导出的裁判文书31件。

[2]北京市西城区人民法院（2015）西民初字第28460号国内首起安全软件号码标注隐私权纠纷案、美国“hiQ Labs, Inc.v. Linkedin Corporation”案皆持该观点。

[3]北京市西城区人民法院（2015）西民初字第28460号民事判决书。

[4]北京市西城区人民法院（2015）西民初字第28460号民事判决书。

[5]参见北京知识产权法院（2016）京73民终588号民事判决书。

[6]参见黑龙江省哈尔滨市道里区人民法院（2013）里民三初字第1953号民事判决书。

[7]参见北京市西城区人民法院（2015）西民初字第28460号民事判决书。

[8]参见北京市海淀区人民法院（2018）京0108民初13661号民事案件，该案现正在审理中。

[9]参见北京市海淀区人民法院（2018）京0108民初12676号民事案件，该案现正在审理中。

[10]参见北京市第一中级人民法院（2017）京01民终509号民事判决书。

[11]参见北京知识产权法院（2016）京73民终588号民事判决书。

[12]参见北京知识产权法院（2016）京73民终588号民事判决书。

[13]参见北京知识产权法院（2017）京73民终2102号民事判决书。

[14]参见北京市第一中级人民法院（2017）京01民终509号民事判决书。

[15]王利明：《侵权责任法研究（上）》，中国人民大学出版社2016年版，第549-550页。

[16]参见北京市第一中级人民法院（2017）京01民终509号民事判决书。

[17]刘新炎等：《隐私保护和企业权利平衡需更多实践》，载《南方都市报》2018年3月21日第17版。

[18]在“法律法规数据库”以“个人信息”为关键词进行检索，涉及“个人信息”主要包括《民法总则》《网络安全法》《消费者权益保护法》《旅游法》等11部，主要从公法层面规定企业责任及其侵犯信息安全所应承担的行政处罚责任。参见法律法规数据库 http://search.chinalaw.gov.cn/search2.html，访问时间2018年5月1日。

[19]王利明：《侵权责任法研究（上）》，中国人民大学出版社2016年版，第506页。

[20]维克托·迈尔·舍恩伯格，肯尼思·库克耶：《大数据时代生活、工作与思维的大变革》，盛杨燕，周涛译，浙江人民出版社2013年版，第197-198页。

[21]曹建明：《人民法院民事案件案由规定理解与适用》，人民法院出版社2008年版，第1页。

[22]罗东川，黄建中：《<民事案件案由规定>的理解与适用》，载《人民司法》2008年第5期，第18-23页。

[23]参见薛同忠，何友成：《关于立案案由的几点思考》，载《江苏经济报》2003年7月9日第B03版。

[24]宋旺兴：《论民事案由确定制度的完善》，载《法律适用》2012年第2期，第66-69页。

[25]王利明：《侵权责任法与合同法的界分——以侵权责任法的扩张为视野》，载《中国法学》2011年第3期，第114页。

[26]王利明：《合同法研究（第2卷）》，人民大学出版社2011年版，第406页。

[27]参见王利明：《违约责任和侵权责任的区分标准》，载《法学》2002年第5期，第45-52页。

[28]参见李国光主编：《最高人民法院<关于民事诉讼证据的若干规定>的理解与适用》，中国法制出版社2002年版第462页。

[29]江伟主编：《民事诉讼法》，高等教育出版社2013年第4版，第225页。

[30]陈龙业：《解析网络隐私权侵权的损害与赔偿——以“艳照门”事件为中心》，载《政治与法律》2008年第04期第15-18页。

[31]刘保玉，周玉辉：《论安宁生活权》，载《当代法学》2013年第2期，第49-56页。