在线订票名下出现非本人机票 商家“转手”个人信息被认定侵权

　　在线订票后，名下竟出现非本人订购的“幽灵机票”，是谁在替我们“虚假出行”？如今，OTA平台（在线旅游平台）已成为多数人预订机票的首选渠道，个人信息一键上传即可完成操作，便捷高效的背后，信息泄露与滥用的风险也悄然潜藏。一旦平台内部分商家擅自“转手”，用户个人信息便可能流向未知领域，引发一系列纠纷。

　　近日，北京互联网法院审结了一起机票订购引发的个人信息侵权纠纷案件，明确平台内商家对外提供个人信息未取得消费者单独同意构成侵权，需承担相应民事责任。

　　案情显示，原告吴某通过某OTA平台订购甲市至乙市的机票。订票过程中，其姓名、身份证号、手机号、出行行程、支付信息等核心个人信息，先后在四被告之间流转。四被告分别为某OTA平台经营者、涉案订单收款方、平台内商家及某航空公司。

　　此后，吴某在航空公司官方App中发现，自己名下竟多出了两段非本人订购的行程机票，分别为乙市至丙市、丙市至丁市。吴某认为，这属于“幽灵机票”，系其个人信息被滥用所致，四被告作为个人信息共同处理者，在行程预订、收款等环节，未履行告知义务，未经授权处理其个人信息，共同侵害了个人信息知情权、决定权，要求四被告公开致歉，并共同赔偿经济损失和维权合理开支。

　　案件审理过程中，四被告均辩称无侵权行为。其中，平台经营者称已尽平台告知义务，个人信息流转是履行合同所需，并非共同处理；收款方称仅受托代收款项，未获取原告个人信息；平台内商家称其委托案外某票务代理公司订票，多订机票为案外人单方操作失误所致，其获取原告信息属于履行代订合同必要行为；航空公司则称其被动接收订票信息，已如实展示客票相关内容，对票务代理人的多订行为无监管过错。

　　北京互联网法院经审理查明，本案中，平台内商家无涉案航空公司出票代理资质，其从平台经营者处获取吴某个人信息后，未向吴某告知也未取得吴某同意，即将信息提供给案外票务代理公司，该公司工作人员多订了涉案争议机票。在此过程中，平台经营者向收款方传输的支付信息为去标识化处理的个人信息；航空公司系统中乙市至丙市的行程为虚拟行程，未实际出票，且已在其官方App中完整展示涉案客票相关信息。

　　法院经审理认为，原告吴某的姓名、身份证号、出行行程及去标识化的支付信息均属于个人信息，吴某对上述信息依法享有个人信息权益。四被告中，平台经营者、平台内商家、航空公司为个人信息处理者，且三者是基于不同合同关系、以不同目的和方式处理原告个人信息，相互之间无意思联络，不构成个人信息共同处理者；收款方为平台经营者处理支付信息的受托人，是个人信息处理者的受托人。

　　结合各被告的具体行为及责任，法院认为，平台经营者已在吴某购票环节显著披露信息处理相关内容，按最小必要原则传输个人信息，未侵害吴某个人信息权益；收款方按委托约定处理去标识化的支付信息，不构成侵权；航空公司如实展示客票信息，无信息隐瞒或主观过错，涉案争议机票为案外票务代理公司预订，不构成侵权。唯独平台内商家，在向案外人提供吴某个人信息时，未履行法定告知义务，也未取得吴某的单独同意，违反了个人信息处理的“告知-同意”规则，侵害了原告的个人信息知情权、决定权，依法应承担侵权责任。法院同时认定，平台经营者已尽到事前资质审查、事后纠纷协调处置等平台注意义务，无需对平台内商家的侵权行为承担连带责任。

　　法院判决，被告平台内商家就侵害个人信息权益一事以书面形式向原告赔礼道歉并赔偿维权合理开支，驳回原告其他诉讼请求。该案判决后，原被告均未上诉，该案判决已生效。

　　北京互联网法院法官张园解读，通过OTA平台订票，平台用户下单时填写的姓名、身份证号、出行行程、支付信息等，都是受法律保护的个人信息。根据个人信息保护法规定，去标识化是指个人信息经过处理，使其在不借助额外信息的情况下无法识别特定自然人的过程，因此去标识化处理后的信息仍属于个人信息范畴，同样受法律保护。

　　此外，个人信息保护法明确了以“告知-同意”为核心的个人信息处理规则，处理个人信息应在事先充分告知的前提下取得个人同意或者符合法定条件。个人信息处理者对外提供个人信息时，需履行明确、具体的告知义务并依法取得用户单独同意。

　　据介绍，为从源头上减少此类纠纷，北京互联网法院已向该OTA平台经营者发送司法建议。平台方表示将严格按照司法建议，督促从事机票预订业务的商户合规经营，同时加强日常核查监督，及时整改不合规经营行为。

　　张园强调，OTA平台经营者应切实履行平台监管责任，严把入驻商家资质审核关，及时处置侵权投诉，筑牢个人信息保护防线，避免因疏于监管承担连带法律责任。平台内商家应恪守“合法、正当、必要”原则处理用户个人信息，严格落实“告知－同意”规则，对外提供个人信息时，务必取得用户单独同意，严禁擅自流转、超范围处理、违规泄露用户信息。

　　法官也提醒广大消费者，在线选购机票、旅游产品时，务必仔细阅读隐私政策、授权声明，留意个人信息的处理范围、流转对象，一旦发现个人信息被擅自流转、违规使用，应及时留存证据，通过诉讼、投诉等方式依法维权。

来源：中国青年报