社交网站显示IP属地信息是否侵犯个人隐私

陕西浩公律师事务所 民商事研究院 文章/朱子明

近日，目前众多互联网平台普遍落地IP地址信息强制公开政策，诸多互联网平台开始公示用户的省级IP地址。平台用户无法自行选择公开或关闭其IP地址信息。那么公开IP属地信息是否侵犯个人隐私？

1.个人信息的定义

《网路安全法》（2017年6月1日）第七十六条：以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息。

《互联网个人信息安全保护指南》（2019年4月1日）第3.1条：以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息

《信息安全技术个人信息安全规范》(GB/T 35273-2020以下简称”《35273号规范》（2020年1月1日），3.1条：个人信息，以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反应特定自然人活动情况的各种信息。

《民法典》（2021年1月1日）第一千零三十四条：以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息

《个人信息保护法》（2021年11月1日）第四条：个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。

《35273号规范》指出判定个人信息应当考虑两个路径，符合两个情形之一的信息均应判定为个人信息：一是识别，即从信息到个人，由信息本身的特殊性识别出特定自然人，个人信息应有助于识别出特定个人。二是关联，即从个人到信息，如已知特定自然人，由该特定自然人在其生活中产生的信息（如个人位置信息、个人通话记录、个人浏览记录等）即为个人个人信息。

2.IP属地信息不属于个人信息

目前我国法律并未给出个人信息的具体判断标准，但在全国首例大数据产品竞争案，淘宝诉美景案中，法院对于网络用户的行为痕迹信息与标签信息适用“可识别性”标准，最终认定该信息不属于个人信息；在四川省德阳市旌阳区法院在火锅店扫码点餐案中认定“微信头像、昵称、地区”等信息虽不具有可识别性，但具有“关联性”，最终适用“关联性”认定标准给予个人信息保护，可见《35273号规范》规定的个人信息“可识别性”和“关联性”认定标准均已被部分法院认可。

个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等。个人信息要求的可识别对象不再限定为自然人身份，只要与特定自然人有关即可。而IP属地信息应该是属于匿名化处理后的信息，IP属地信息不属于个人信息，不受个人信息保护法保护。

目前大家普遍热议的平台公开IP地址信息的依据是《互联网用户账号名称信息管理规定》第十二条的规定：互联网信息服务提供者应当在互联网用户账号信息页面展示合理范围内的互联网用户账号的互联网协议（IP）地址归属地信息，便于公众为公共利益实施监督。

而根据《民法典》第一千零三十六条规定了处理个人信息的三项免责事由，其中第（三）项为“为维护公共利益或者该自然人合法权益，合理实施的其他行为”，该项包括两层意思：一是，目的为维护公共利益或该自然人合法权益；二是，限定为合理实施，不能超出合理范围。因此，为了便于公众为公共利益实施监督，而公开IP属地信息也符合民法典的规定。

3.公开IP属地信息并未侵犯个人隐私

《民法典》第一千零三十二条：隐私是自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息。IP属地信息也只是公开到省级，这不足以达到侵害个人生活安宁的程度。

4.司法和行政对未经用户同意收集IP地址信息行为的认定

《民法典》、《个人信息保护法》等都规定处理个人信息的基本原则为合法、正当、必要，并且原则上需要征得用户同意。目前司法、行政均已发生未经用户同意收集IP地址信息侵犯个人信息权的案例。

某音APP、某瓣APP曾因未经用户同意收集其个人位置信息被诉至北京互联网法院侵犯用户个人信息和隐私权，在某音案中法院认定因手机号码具有可识别性，在收集了手机号码的情况下，被告收集的位置信息与手机号码信息组合，能够识别到特定人，属于个人信息，应征得用户同意。

某APP曾因未经用户同意搜集MAC地址、IMEI、AndroidID等信息被认定为非法获取、出售、向他人提供个人信息，最终受到行政处罚（深福公（天安）行罚决字[2022]33751号）。