链家的管理漏洞这么大，你还敢信任它吗？

综合整理自：新京报、新浪新闻

案情回顾

2017年4月6日，委托人赵某（甲方）与受托人北京链家房地产经纪有限公司（以下简称链家公司）（乙方）签订《房屋出售委托协议》，该协议主要约定甲方委托乙方以不低于1150万元的出售总价出售甲方名下建筑面积为89.53平方米的家庭唯一住房。甲方应当提供交易房屋的有效证件及资料，作为乙方提供委托服务的依据，乙方应妥善保管甲方提供的房屋钥匙及各种证件、资料等。

签约当日，赵某将其身份证复印件及涉案房屋产权证复印件提交给时任链家公司经纪人杨某东、宋某友。

之后，链家公司时任员工宋某华找到时任链家公司员工杨某东，并向其询问是否能提供北苑地区的业主个人信息以便宋某华办理居住证使用，杨某东遂将赵某的身份证复印件，涉案房屋产权证复印件提供给宋某华，之后宋某华持上述赵某的个人信息资料，伪造出租人赵某与承租人宋某华针对涉案房屋的租赁合同租期自2016年3月5日至2018年3月4日，至派出所为宋某华及其配偶吴某某办理了起始时间为2016年12月16日的北京市居住登记卡。

后因被赵某发现，2017年9月4日，宋某华将其及配偶吴某某登记的住址为涉案房屋的北京市居住登记卡注销。

赵某认为，链家公司作为国内有一定影响力的房地产中介服务机构，理应妥善保管好客户的个人信息资料。然而，链家公司疏于管理使得其员工宋某华、杨某东有机可乘，利用职务之便获取了其身份及房屋信息，严重侵犯了其民事权益，故诉至法院。

相关法条

《民法典》

第一百一十一条

自然人的个人信息受法律保护。任何组织或者个人需要获取他人个人信息的，应当依法取得并确保信息安全，不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息。

第一千零三十四条

自然人的个人信息受法律保护。

个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。

个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定。

第一千零三十五条

处理个人信息的，应当遵循合法、正当、必要原则，不得过度处理，并符合下列条件：

（一）征得该自然人或者其监护人同意，但是法律、行政法规另有规定的除外；

（二）公开处理信息的规则；

（三）明示处理信息的目的、方式和范围；

（四）不违反法律、行政法规的规定和双方的约定。

个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开等。

第一千零三十八条

信息处理者不得泄露或者篡改其收集、存储的个人信息；未经自然人同意，不得向他人非法提供其个人信息，但是经过加工无法识别特定个人且不能复原的除外。

信息处理者应当采取技术措施和其他必要措施，确保其收集、存储的个人信息安全，防止信息泄露、篡改、丢失；发生或者可能发生个人信息泄露、篡改、丢失的，应当及时采取补救措施，按照规定告知自然人并向有关主管部门报告。

法院观点

关于宋某华的责任问题

本案中，宋某华作为时任链家公司员工，了解中介公司员工在履行职务行为中会掌握客户的房产和身份证个人信息。基于此，宋某华出于为其个人及家属办理北京居住证之目的，询问关系较好的同事杨某东有无北苑地区的业主信息，并成功通过杨某东非法取得了赵某的房产信息和身份证信息，其后宋某华使用违法取得的赵某的个人信息，同时伪造出租人为赵某、承租人为宋某华的租赁合同办理了北京居住证，直至被赵某发现后方注销了居住证。宋某华非法使用赵某个人信息的行为构成民事侵权，应承担赵某个人信息被侵犯损害的全部赔偿责任。

关于杨某东、链家公司的责任问题

根据本案查明情况，时任链家公司员工杨某东明知宋某华使用赵某信息将用于非法目的，仍利用职务之便非法公开、提供赵某的个人信息给宋某华。杨某东与宋某华基于共同故意之意思表示实施的侵权行为，构成共同侵权，应承担连带侵权责任。《中华人民共和国侵权责任法》第三十四条规定，用人单位的工作人员因执行工作任务造成他人损害的，由用人单位承担侵权责任。本案中，杨某东将其在执行工作任务中获取的赵某信息非法公开并提供给宋某华，其侵权行为与其履行职务存在内在关联，因此，应由其用人单位链家公司承担杨某东的侵权责任，即由链家公司与宋某华对赵某承担连带侵权责任。

此外，需要特别指出的是，作为在经营活动中大量获取客户个人信息的营利性法人，链家公司主要就是利用自身在市场上信息优势地位，为房地产市场买卖及租赁双方提供信息匹配的居间委托服务。因此，对市场信息的掌握是链家公司营利的核心要素，在链家公司提交的企业内部《职业道德行为守则》中，客户的个人信息归为该公司机密信息也可见客户信息对于链家公司经营营利的重要性。在利用客户信息获取利益同时，链家公司需要对客户信息承担高于一般经营实体的保管义务。

本案中，链家公司作为房地产经纪服务机构基于《房屋出售委托协议》，经纪人杨某东基于其履行职务的行为而成为了获取赵某身份证信息及房屋所有权证书信息的合法信息使用者、处理者。链家公司及其经纪人应保证其对赵某个人信息的使用仅系履行《房屋出售委托协议》合同目的之需要。

然而，作为企业员工的管理者，链家公司未建立信息安全的管理制度和操作规程，没有对客户信息安全风险提示，没有对客户敏感信息加密处理等严谨细致的管理制度保障客户的信息安全，从而无法确保经纪人谨慎依约合法使用公民个人信息。而且，通过庭审查明可知，链家公司要求经纪人必须将客户的身份证、房产证及合同信息拍照后上传至公司内网。链家公司可以预见，在这样的处理方式下会极大的增加侵犯客户个人信息行为发生的可能性和危险性，而链家公司对此没有采取任何实际有效的操作规程等防范措施予以风险的防控，公司员工可以轻易将业主个人信息泄露用于非法目的。

因此，本案侵权事实的发生与链家公司内部对客户个人信息的保护存在监管漏洞直接相关。因链家公司的管理存在过错，其亦应对赵某的个人信息被侵害的损害后果承担侵权责任。

法院判决如下：

一、被告链家公司于本判决生效后十日内在其官方网站首页以公告形式向原告赵某赔礼道歉，赔礼道歉公告的持续时间为连续三日；

二、被告宋某华于本判决生效后十日内向原告赵某出具书面道歉声明，向其赔礼道歉；

三、被告链家公司、宋某华于本判决生效后十日内连带赔偿原告赵某经济损失10万元；

四、驳回原告赵某的其他诉讼请求。

笔者观点

笔者认为，要界定个人信息权，首先应当明确的是个人信息权属于何种民事权利。我国《民法典》第四编人格权编对个人信息保护作出了具体的规定。由此可见，个人信息权的权利属性为人格权。因此，个人信息权是指自然人依法对其本人的个人身份信息所享有的支配并排除他人侵害的人格权，个人信息权的权利客体系个人信息。

在本案中，作为个人信息的呈现载体，赵某的身份证复印件及涉案房屋产权证所记载的姓名、身份证号码、住址、出生日期、房产信息等显然属于个人信息的范畴。

个人信息是人格权的客体，而不是财产权的客体。因此，作为人格权即个人信息权客体的个人信息，包含着两层人格利益：

首先，个人信息主要包含的是精神性人格利益，主要包括的是人格尊严、人格独立和人格自由的内容。人格标识的完整性与真实性，是主体受到他人尊重的基本条件。个人作为目的性的存在，只有消除个人对信息化形象被他人操纵的疑虑和恐慌，保持信息化人格与其自身的一致性而不被扭曲，才能有自尊并受到他人尊重的生存与生活。因此，个人信息对于信息主体的人格尊严、人格独立和人格自由的价值，是个人信息保护立法中首要考虑的因素。这就是个人信息所包含的精神性人格利益的内容。

其次，个人信息还具有财产性的人格利益内容。由于个人信息具有身份性的属性，存在被利用于市场的可能，因而存在转化为商业价值的可能性，对权利人发生财产的利益。同时，个人信息具有个人特征的可识别性，一旦被非法利用，不仅会为利用者发生财产利益，而且还会使权利人受到意想不到的财产损失。因此，应当对个人信息权进行特别的保护。