“开盒挂人”致用户被网暴，社交平台因数据漏洞被判连带担责

新京报记者获悉，近日，北京互联网法院审结一起社交平台“开盒挂人”案件。2023年10月2日至4日间，因对明星赛事结果有不同认识、产生争议，郑某某在某社交平台的账号、姓名、手机号、身份证照片等个人信息被非法搜集公开，进而遭到大量网暴。

郑某某到社交平台投诉，但平台仅将涉案内容设为“私密”或删除，未采取进一步措施。郑某某发现，“开盒”自己个人信息的账号持有者，还曾多次非法搜集其他人信息。于是，郑某某将平台运营主体某科技公司、涉案账号持有者张某诉至北京互联网法院，请求赔礼道歉并赔偿精神损害。

北京互联网法院审理认为，发布侵权内容的用户及未尽到信息安全保障义务的平台均须承担侵权责任。

因对赛事结果持有不同意见，个人信息被“开盒”

新京报记者了解到，本案中，原告郑某某是某社交平台的用户。2023年10月2日至4日间，因对明星赛事结果有不同认识，郑某某在社交平台的账号及账号对应的注册手机号、姓名、身份证照片等个人信息，被非法搜集并在社交平台某话题中持续公开发布。另外，发布的内容还配上了人身攻击性质的侮辱性言论，煽动网友网暴。原告郑某某收到大量恶评、验证码短信骚扰。

庭审中，科技公司辩称，作为网络服务提供者，既非涉案侵权内容的发布主体，也已充分履行法定及约定义务。原告认为张某实施了侵权行为并通过客服渠道进行举报，公司已于发布当日处理该内容，不存在原告诉称的怠于采取必要措施的情形。

此外，科技公司表示，公司已于2014年通过信息系统安全等级保护三级测评和备案，用户注册信息采用加密存储。原告主张的个人信息泄露并无技术可能性。同时，该公司提供证据证明案发时原告账号主页并无手机号等个人信息的展示，也无法通过手机号搜到原告的账号，不存在原告主张的个人信息保护不到位的问题。

被告张某辩称，侵权内容发布账号绑定的手机号是自己的，但自己从不使用涉案社交平台，也不可能对原告进行任何言语侮辱以及侵犯个人信息行为。此外，涉案侵权账号发布相关内容的IP属地是在境外某国，而张某从未去过该国，也无相关签证。

非法获取并公开他人信息，侵犯名誉权、隐私权及个人信息权益

北京互联网法院经审理认为，本案中，被诉侵权内容发布账号绑定的手机号实名登记人为被告张某，被告张某当庭也自认案发期间该手机号登记在其名下，手机卡由其保管。张某虽主张被诉侵权内容发布IP属地为某国而其本人从未去过某国，且其未实际使用该账号，但并未提供证据证明涉案手机号、账号被盗用、冒用。

原告郑某某不认可张某的说法，并提出IP属地可以通过技术手段进行更改，且注册账号时必须使用手机验证码，科技公司对此也予以认可。

据此，法院认定，张某为涉案账号的实际使用人。张某未经原告同意在社交平台公开发布原告个人信息乃至敏感个人信息，并关联原告导致原告被骚扰的行为，侵扰了原告私人生活的安宁，构成对原告隐私权和个人信息权益的侵犯。张某发布内容中的侮辱性字词，贬损原告名誉，造成原告社会评价的降低，构成对原告名誉权的侵犯。

此外，张某在社交平台公开原告个人信息前，曾发布“……开你都开不明白吗？要不我教教你……”的文字内容并@原告账号。上述文字内容中的“开”是网络用语“开盒”的简称，意指获取并公开曝光他人隐私个人信息的行为。张某发布上述文字内容言语挑衅，足见其故意侵犯原告名誉权、隐私权和个人信息权益的主观恶意之大。

法院认为，被告张某行为侵犯原告名誉权、隐私权及个人信息权益。

平台存在数据安全管理漏洞，应当承担侵权责任

此外根据证据，除原告外，至少还有五位该平台用户被张某以类似手段“开盒”。

法院审理认为，张某获取上述五位平台匿名用户的姓名、身份证号码等个人信息的必要前提，是获取用户账号所对应的注册手机号码，而账号与绑定手机号码的关联关系理应仅由被告科技公司收集并存储，他人只能从被告科技公司处获取。

如果被告科技公司不泄露相应后台信息，他人并不能将相关社交平台账号与其注册者个人信息相关联。被告科技公司虽辩称原告账号绑定的手机号码并不必然是从其处获取，有可能系从原告家人、朋友处泄露，但未向法院提供相应证据，且在案证据中并无其他平台信息泄露的证据。

此外，被告科技公司虽辩称已获信息系统安全等级保护三级备案，但该备案时间与案发时间相隔较久，其也未能举证证明其在案发时已履行充分的安全管理职责。

在原告向平台举报涉案侵权账号后，被告科技公司仍然没有意识到其运营的社交平台在用户个人信息安全方面存在管理和技术漏洞，仅仅对涉案侵权内容进行私密、删除等处理，对涉案账号进行禁言、扣信用分、自动隐藏等处置，而未及时采取其他有效技术措施防止用户个人信息的泄露，也没有向相关个人信息主体告知并向主管部门报告，导致至少另有五位该平台用户被张某以类似手段“开盒”。

根据《中华人民共和国个人信息保护法》第六十九条第一款规定，处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。《中华人民共和国个人信息保护法》规定个人信息侵权责任适用过错推定，因此，在没有相反证据的情况下，能够推定被告科技公司作为个人信息处理者泄露了包括原告在内的多名用户的个人信息，在数据安全管理上存在漏洞，未尽到个人信息安全保障义务，应当承担泄露用户个人信息的侵权责任。

最终，法院判决被告张某以及科技公司在涉案社交平台向原告郑某某赔礼道歉，赔偿原告郑某某精神损害及维权合理支出，驳回原告郑某某的其他诉讼请求。

新京报记者了解到，“开盒挂人”是新式网暴违法行为，其典型做法是“人肉搜索+网络暴力”，首先通过非法手段搜集他人隐私信息，并在网上公布，然后引导网民对被“开盒”者口诛笔伐。

法院提醒，网络空间并非法外之地，虚拟账号一旦通过实名认证，即可与现实主体建立唯一对应关系。在虚拟空间发布针对特定账号的侵权内容，只要能够使他人识别、关联到现实主体，就构成对相应主体人格权益的侵害。同时，平台作为个人信息处理者，应当持续完善技术与管理措施，充分履行个人信息安全保障义务，共同营造清朗网络空间。

新京报记者 吴梦真

编辑 彭冲 校对 李立军