从案例看隐私和个人信息的界定和区分

刘晓春 王敏昊

隐私和个人信息保护成为数字经济时代最受关注的问题之一。目前，国内外都在抓紧进行隐私和个人信息的立法执法行动，完善相关政策规范。今年开始实施的《民法典》，将隐私和个人信息权益保护规定在人格权保护一章，并对两者的界定和区分进行了规定。正在制定中的《个人信息保护法》，也对个人信息的概念及其内部分类给出了基础性规定。近年来，我国法院针对隐私和个人信息的保护，在司法实践的具体案例中做出了多方面的探索，对这些典型案例的总结和梳理，可以为隐私和个人信息判断标准的确立和区分提供重要的参考依据，为立法立规提供借鉴，同时也为企业做好数据方面的合规工作提出指引。

一、微信读书案

1.个人信息和隐私的界定

在黄某诉微信读书案中，北京互联网法院一审判决认为，个人信息的核心是“可识别性”，包括对个体身份与特征的识别。具体的判断标准包括两条路径：从信息到个人的“识别”与从个人到信息的“关联”。关于隐私的界定，判决书着重讨论了个人信息与作为隐私权客体的私密信息的关系。判决指出，要从大数据时代下个人信息的公共价值、社会一般合理认知、互联网产品用户的差异性三个方面把握个人信息的性质，基于合理隐私期待维度对个人信息进行了三个层次划分：一是符合社会一般合理认知共识的私密信息；二是不具备私密性的一般信息，在征得主体的同意后即可正当处理；三是兼具防御性期待及积极利用期待的个人信息，此类信息的处理是否侵权，需要结合信息内容、处理场景、处理方式等，进行符合社会一般合理认知的判断。

2.社交关系和读书信息的法律定位

对于用户的社交关系，法院认为构成个人信息，被告所储有的用户识别码与主体身份之间具有强对应关系，可以识别特定自然人。而被告所展示的包括昵称、头像、识别码在内的社交关系信息的组合可以还原到相应用户的特定身份，符合从“信息到个人”的路径，具有识别性。关于社交关系是否构成隐私，法院认为在主体与特定人之间的关系较为隐秘而不愿为人所知、或主体社交关系的公开可能遭受他人对其人格的不当评价而不愿为他人知晓的情况下，社交关系具有合理的隐私期待。但具体到个案事实，由于本案中具体证据体现的微信的好友关系未能展示主体与好友真实的社交关系，不包含亲疏远近等敏感信息，因此不构成隐私。

对于用户的读书记录，法院认为该信息能够反映用户的阅读偏好，在已知特定自然人的情况下符合“从个人到信息”的路径，属于个人信息。关于读书信息是否构成隐私，法院认为在特定阅读信息落入了共识的私密信息范畴，或是与主体信息的组合足以达到对信息主体人格刻画的程度的情况下，用户的读书信息具有私密性。具体到本案中，原告被公开的阅读信息根据现有证据情况不符合这两项情形，因而不认定构成隐私。

二、抖音案

1.个人信息和隐私的界定

在凌某诉抖音案中，一审法院北京互联网法院认为，构成个人信息应满足两个要件，其中核心要件为可识别性，即可通过该信息识别到特定自然人；形式要件为有一定的载体，即以电子或者其他方式记录。判决指出，第一，可识别性同时包括对个人身份与特征的识别；第二，对可识别性的判断应当以信息处理者处理的相关信息组合为基础，如果多个信息在经过组合后可以识别特定自然人，则这种信息组合也属于个人信息。

关于隐私的界定，判决指出，隐私包括两方面内容，一方面是自然人的私人生活安宁；另一方面是自然人不愿为他人知晓的私密空间、私密活动、私密信息。特別需要注意的是，法院认为由于不同类型人群的隐私偏好不同、且互联网具有开放、互联和共享的特点，网络环境中对隐私的界定需要结合具体场景进行分析。

2.社交关系和地理位置的法律定位

法院认为原告的社交关系属于个人信息。从可识别性的角度来看，在已知特定人的情况下，社交关系可以识别特定人的特征，具有可识别性；从形式要件的角度来看，社交关系应当拥有诸如特定人的手机通讯录列表、社交软件中的好友列表和群列表等载体。

本案中，原告的主张范围为前述20位抖音用户与原告之间的好友关系，从被告提交的证据来看，被告至少掌握了原告与存储其信息的其他用户之间手机通讯录上的社交关系，且可以通过被告存储的数据汇总出原告与其他用户的社交关系列表，属于个人信息。值得注意的是，对于形式要件的认定，法院并未要求存在既有的社交关系列表，而只要能够通过涉案信息提取、汇总出相关列表即可。

关于社交关系是否构成隐私，法院认为基于通讯录的社交关系不具有私密性，属于用户迁移、拓展自身社交关系的主要利用对象，且在使用相关软件时用户亦同意软件对通讯录社交关系的读取行为。本案原告未能证明涉案信息具有需要特别考虑的情形，故不属于隐私。

法院认为原告的地理位置属于个人信息。依据前文所提到的可识别性的判断标准，在已知手机号码的情况下，手机号与地理位置的结合能够完成对特定人特征的识别，故属于个人信息。需要注意的是，这里的位置信息与定位的精准程度无关，即使是一个模糊的城市定位，仍不妨碍其构成个人信息。关于是否构成隐私，法院认为所在城市信息一般情况下不会加以保密，不具有私密性，本案原告亦未证明对该信息进行了特别的保密，或存在特殊场景下的特殊利益，故不属于私密信息，从而不构成隐私。

三、车辆使用数据案件

日前，特斯拉涉及的车辆行驶数据事件引起社会高度关注，引发了车辆行驶这类行为数据是否构成车主个人信息和隐私的讨论。在同样涉及车辆使用数据的余某诉查博士案中，一审法院广州互联网法院将是否能够单独或与其他信息结合识别特定自然人作为判断个人信息构成的关键，并认定该案中的车辆使用数据既不构成个人信息，也不构成隐私。

对于涉案历史车况信息，第一，法院认为其无法单独识别特定自然人。首先，涉案信息不包括特定人的身份信息、行踪信息、通讯信息等直接识别特定人的信息，所包括的车架号仅能识别特定车辆，维保数据与碰撞数据不包含维保机构的位置信息与具体日期；其次，从社会公众的一般认知来看，涉案信息只能反映车辆的使用情况，并不能反映原告所主张的驾驶习惯、驾驶特征、消费能力、消费习惯；最后，涉案信息已进行脱敏处理，且产生车况信息的主体不一定是特定自然人，而可能包括车主的亲友、同事等，无法识别特定的实际使用人。

第二，涉案信息无法与其他信息结合识别特定自然人。法院认为，虽然存在第三方信息与车况信息结合识别到特定自然人的可能性，但结合识别的成本较高，可以不予考虑。此外，涉案信息已经过脱敏处理，且作为商业秘密不予公开披露，降低了一般公众结合识别的可能性。

关于隐私的讨论，本案中，法院将判定该信息的公开是否会对原告的私人生活带来不当干扰以及该信息是否具有私密性作为判断是否构成隐私的标准。从私人生活安宁的角度来看，车辆交易场景下涉案信息无法识别到特定自然人，原告亦无提供证据证明其他生活安宁受到不当打扰。从私密性的角度来看，涉案信息部分可以直接被观察到，不符合隐秘状态的条件；部分信息属于在公共场所发生的事件，为了社会的正常交往，应当隐私权边界进行合理界定，不应当认定其为隐私内容。

此外，法院还认为，从二手车交易市场发展的角度看，历史车况信息的披露有助于减少信息不对称风险和交易安全隐患、保障消费者知情权，不应当被界定为隐私。

四、隐私和个人信息区分的司法原则和发展趋势

从现有的司法实践看，隐私和个人信息的区分是法院判断的一个首当其冲的重要问题，对于两者概念的准确把握和解释，从具体个案的处理，到对于企业合规和产业实践、用户利益保护形成指导性规则和标准，都有十分重要的规则建构性意义。在这个领域涌现出一批各个具体应用场景的案例并形成裁判规则，对此进行定期提炼，可以总结出相应的司法原则和发展趋势。

首先，总体上来看，个人信息和隐私不可避免存在交叉之处，特别是隐私中的私密信息，应当属于个人信息的范畴，这在《民法典》的立法条文中亦有体现。此外，在实践探讨中，私密空间及其涉及到的相关信息，也有可能存在和个人信息交叉讨论的可能性。在出现重叠交叉的情况，应当以隐私权的规则来进行处理，这一方面体现了《民法典》的立法原则，另一方面，隐私权作为人格权的一种，相对于个人信息作为一种权益，应有更周全更高强度的保护，从而构成了“个人信息—隐私”递进保护的一种架构。对于构成隐私的个人信息，至少应当参照敏感个人信息的保护强度，在获取同意的方式、安全保障措施以及后续传播利用等方面，设置更强的保护义务。

其次，从目前案例的解决思路看，法院倾向于将隐私和个人信息的概念放在不同抽象程度上进行判断，隐私更强调具体事实和场景，强调个案中的具体情节判断，综合考虑某些信息是否符合隐私的要件；而个人信息相对抽象和宽泛，可以在一般意义上判断某类信息是否属于个人信息，而不必过于拘泥于特定场景。

再次，对于个人信息的认定，目前看来，由于“可识别性”标准要求的只是一种可能性，导致认定成为个人信息的可能性相对来说比较大，并引发存在不确定性的争论。在特斯拉车辆行驶数据事件的讨论中，亦有不少专业人士认为具有唯一性的车辆识别码，是有可能和其他数据结合指向特定个人，从而构成个人信息。但在本文提到的判决书中，法院认为识别的可能性较低，从而认为车辆使用数据不构成个人信息。总体来看，在日后越来越多样的数据类型场景中，法院认定特定数据类型构成个人信息的可能性相对来说会呈现比较宽松的趋势，而对隐私的认定则有可能相对更谨慎。

另一方面，个人信息由于包罗万象，内部也有进一步分层的必要，比如按照目前《个人信息保护法》设定的一般个人信息和敏感个人信息的分层，是根据对个人利益侵害的风险程度来判断；也可以根据个人信息的保密状态进行区分，已公开的个人信息一般来说就不会再构成隐私。从发展趋势来看，随着个人信息保护相关法律法规的进一步完善，我国将出现更加细致、分层、分行业的个人信息保护标准和规范，例如，金融个人信息、儿童个人信息等，都有特殊的保护规范。这些立法、执法范畴的标准形成，有可能和司法个案中探索的规则结合起来，呈现更加具体化、精细化的发展方向，一方面形成分门别类的个人信息认定规则，另一方面，也可能为提炼更加抽象的认定标准提供素材和契机。

区分隐私和个人信息，准确界分這些概念的范围，一方面需要准确了解这些具体规范里的规定和价值取向，结合《民法典》等法律法规的标准进行进一步斟酌，另一方面，也要兼顾保护和发展，寻找既能满足用户个人信息保护需求，又能促进数据要素正常流通的规范体系。个人信息保护将形成立法体系、行政监管、司法裁判、标准规范、自律规则等多个层面的综合立体的规则体系，在实践和理论的碰撞中一步步走向成熟，提供具有中国特色的治理方案。