“校友录”里的证件照被爬，公开个人信息的使用边界在哪儿？|案例

　　强大的搜索引擎

　　为人们提供不少便利

　　但大数据时代

　　信息搜索的范围和边界在哪儿？

　　因证件照被百度收录而起诉索赔的网友

　　又会获得怎样的答案？

　　
·案情回顾·

　　原告孙某某：搜索引擎未经允许使用其头像证件照，侵犯其隐私权和个人信息权益

　　孙某某主张，2018年10月，其在百度网站搜索姓名“孙某某”关键词，发现百度网站非法收录并置顶了其在校友录网站上传的个人账户头像，即个人证件照。2018 年10月23日，孙某某向百度网站发出通知要求其删除证件照，但未获任何回复。

　　孙某某认为，涉案照片以及其与孙某某姓名的关联关系涉及个人隐私、个人信息，在校友录网站图片源地址已关闭的情况下，百度公司上述行为构成侵权。故诉至法院， 要求判令百度公司赔偿经济损失1元和维权费用40元。

　　被告百度公司（百度网站运营者）：仅提供中立的搜索引擎服务不构成侵权

　　百度公司辩称，展示孙某某照片的行为不侵犯其个人隐私和个人信息权益。百度公司仅为网络搜索服务提供者，提供中立的技术服务，涉案照片存储于可正常浏览的第三方网页，百度公司只是基于搜索功能实施了正常合法的抓取行为，因此，百度公司不构成侵权。

　　第三人搜狐公司（校友录网站运营者）：被控侵权行为与我司无关

　　搜狐公司述称，显示有孙某某肖像的网站并非搜狐公司所运营，涉案信息与搜狐公司无任何关联性，早在2012年到2013年间，校友录网站已经对外停止服务和访问，不存在授权任何人和机构使用校友录任何信息的可能。综上，孙某某的诉讼请求与搜狐公司无关。

　　·法院认定·

　　北京市互联网人民法院经审理查明，涉案照片由孙某某上传至校友录网站，存储于校友录网站的服务器中。虽校友录网站的门户地址已无法访问，但由于校友录网站存放照片的精确服务器地址仍开放，通常的搜索引擎爬虫技术仍可访问到涉案照片。百度网站在提供搜索引擎服务的过程中，爬取到校友录网站的涉案信息，当用户对其发出相关搜索指令时，提供相关搜索结果。

　　一、涉案姓名、照片及其关联关系等内容构成个人信息

　　一般认为，个人信息的认定标准为具有“可识别性”。涉案信息通过关键词搜索加结果展示的形式，将“孙某某”这一自然人姓名和带有其面目特征信息的头像照片进行关联，成为可识别为唯一特定自然人的信息，该信息反映了孙某某面部形象的个体特征，属于个人信息。虽然涉案信息中包含肖像照片，但由于二者保护的法益不同，构成要件、保护方式和损害结果等方面亦存在差异，因此，权利人有权根据被控侵权行为的实际情况，选择更为有利的权利主张方式。

　　本案中涉及的孙某某姓名和载有面部肖像的证件照，与私密照片不同，一般情况下，可适用于正常的社交场合，用于个人身份的识别和社会交往。孙某某自行将涉案照片上传于社交网站中，主动向一定范围内的网络用户进行披露，可见，主观上孙某某并无强烈的将该信息作为隐私进行隐匿的意愿，客观上该信息亦未处于私密状态。将涉案场景中利用的信息划入个人信息的保护范畴，更符合立法原意和当今网络社会下对上述信息利用的社会普遍认知。

　　二、被控侵权行为属于未经同意处理个人信息的行为

　　现行法律明确规定不得非法处理信息，收集、处理个人信息的行为，应在明示使用信息范围并经自然人同意的前提下进行，亦即，信息处理者应在被收集者授权同意的范围内处理信息，不得超范围传输、公开、使用个人信息。

　　关于孙某某对涉案信息授权的使用范围，本案中，双方均未就该项事实进行举证。从立法规定来看，信息处理者应明示使用信息的范围；从当事人举证能力和证据举例来看，由于存储涉案电子数据的网站门户早已对外关闭，孙某某客观上无法收集相应证据，而搜狐公司作为证据存储网站的管理者和信息处理者，其在提供证据信息和资源上占据优势的情况下，表示不清楚具体权限；从待证事实发生的盖然性来看，根据现有事实追溯的信息运用场景，校友录网站主要用于实现校内社群社交功能。

　　因此，法院认定，孙某某仅授权搜狐公司在一定权限范围内使用和公开涉案信息。搜狐公司将涉案信息置于公开网络后，百度公司的搜索行为使得涉案信息可被全网不特定用户检索获取，在客观上导致该信息在孙某某授权范围之外被公开，属于未经同意处理个人信息的行为。

　　三、百度公司应基于通知删除规则承担相应责任

　　个人信息侵权的归责基础以过错为前提。通知删除前，百度公司作为网络技术服务提供者是否存在主观过错，应结合是否进行人工编辑整理、应具备的信息管理能力、涉案信息侵权类型和明显程度、涉案信息社会影响程度以及是否采取了预防侵权的合理措施等因素综合进行判定：

　　涉案信息不属于裸照、身份证号等明显侵权或者极具引发侵权风险的信息，作为一般个人信息，存在权利人愿意积极公开、一定范围公开或不愿公开等多种可能的情形，为鼓励网络信息的利用和流通，对于网络公开的一般个人信息，应推定权利人同意公开，故百度公司在接到权利人的通知前，难以预见涉案信息是未经授权公开的信息，在通知删除前，百度公司对涉案信息不存在明知或应知的主观过错，不构成对孙某某个人信息权益的侵害。

　　通知删除后，网络服务提供者应及时采取必要措施，遏制侵权行为的扩大。个人信息权益作为人格利益的一种，在网络瞬时性传播的环境下，一旦被泄露即可能遭到无限扩散，进而引发难以修复的损害。为及时遏制侵权，立法要求网络服务提供者在收到通知时，应尽到合理审查义务并采取相应措施，否则将自行承担错误判断引发的风险。而从本案情况看，现有证据未显示百度公司采取过任何措施，实难认定其已尽到相应的合理审查义务。

　　综上，在收到删除通知后，百度公司在其有能力采取相匹配必要措施的情况下，未给予任何回复，其怠于采取措施的行为，导致涉案侵权损失的进一步扩大，构成对孙某某个人信息权益的侵害。

　　·判决结果·

　　法院认为，虽然孙某某未对涉案行为造成其财产损失的数额进行举证，但个人信息在互联网经济的商业利用下，已呈现出一定的财产价值属性，且遏制个人信息侵权的行为，需违法信息利用者付出成本对冲其通过违法行为所得的获益，本案原告主张的赔偿数额为1元，法院予以支持，并判决：

　　百度公司于判决生效之日起7日内赔偿孙某某经济损失1元和维权费用40元。

　　·典型意义·

　　在《民法典》加强个人信息保护背景下，此案为公开网络个人信息的使用和流通划定了边界，明确了信息源头主体应设置有效保护措施保障个人信息安全，并明确信息后续利用者对无法预见的超范围使用行为不存在过错。数据共享与个人信息权益保护之间存在一定的冲突，此案既保护了个体权益，亦防止对后续的信息流通、数据利用行为造成过大负担。数据被誉为互联网时代的石油，对其正当的再度利用可能产生难以预见的资源和社会经济价值，此案判决有利于鼓励信息传播与流通、促进公开信息的再度利用，为个人信息提供精准有效的司法保护，为数字经济发展提供有力的法律保障。

　　文章来源：公众号@北京互联网法院

　　编辑 | 杨 庆（实习）

　　维护 | 张子亮

　　主编 | 王秀敏