在近期民法典出台的背景下，个人信息保护成为社会关注的热点。孙某某十年前上传至校友录的一张头像证件照，突然出现在百度搜索引擎网站，置顶于以其姓名为关键词的搜索结果中，孙某某以该搜索引擎网站侵犯其隐私权、个人信息权益为由，诉至法院。法院一审认定，姓名与证件照结合构成个人信息，虽孙某某未授权对涉案信息进行全网公开，但搜索引擎网站无法预见一般公开网络信息为未经授权公开的个人信息，其使用行为不存在过错，但收到通知后应及时采取措施，因怠于采取措施行为造成损失的，构成侵权。
一审宣判后，双方均未上诉，此案已生效。
1.证件照属于肖像、隐私还是个人信息？
2.在无明确约定时，如何确定个人信息授权范围？
3.搜索引擎爬取网络公开个人信息应负何种责任？
案情回顾
原告孙某某：搜索引擎未经允许使用其头像证件照，侵犯其隐私权和个人信息权益
孙某某主张，2018年10月，其在百度网站搜索姓名“孙某某”关键词，发现百度网站非法收录并置顶了其在校友录网站上传的个人账户头像，即个人证件照。2018 年10月23日，孙某某向百度网站发出通知要求其删除证件照，但未获任何回复。
孙某某认为，涉案照片以及其与孙某某姓名的关联关系涉及个人隐私、个人信息，在校友录网站图片源地址已关闭的情况下，百度公司上述行为构成侵权。故诉至法院， 要求判令百度公司赔偿经济损失1元和维权费用40元。
被告百度公司（涉案搜索引擎网站运营者）：仅提供中立的搜索引擎服务不构成侵权
百度公司辩称，展示孙某某照片的行为不侵犯其个人隐私和个人信息权益。百度公司仅为网络搜索服务提供者，提供中立的技术服务，涉案照片存储于可正常浏览的第三方网页，百度公司只是基于搜索功能实施了正常合法的抓取行为，因此，百度公司不构成侵权。
第三人搜狐公司（校友录网站运营者）：被控侵权行为与我司无关
搜狐公司述称，显示有孙某某肖像的网站并非搜狐公司所运营，涉案信息与搜狐公司无任何关联性，早在2012年到2013年间，校友录网站已经对外停止服务和访问，不存在授权任何人和机构使用校友录任何信息的可能。综上，孙某某的诉讼请求与搜狐公司无关。
事实认定
北京互联网法院经审理查明，通过百度网站搜索孙某某姓名，搜索结果呈现孙某某个人证件照信息，该信息出现的具体过程如下：涉案照片由孙某某上传至校友录网站，存储于校友录网站的服务器中。
虽校友录网站的门户地址已无法访问，普通网络用户不能通过门户网站常规访问的方式查找到涉案照片信息，但由于校友录网站存放照片的精确服务器地址仍向用户开放，通常的搜索引擎爬虫技术仍可访问到涉案照片。百度网站在提供搜索引擎服务的过程中，爬取到校友录网站的涉案信息，当用户对其发出相关搜索指令时，提供相关搜索结果。
争议焦点
一、涉案姓名、照片及其关联关系等信息是否属于孙某某个人隐私或个人信息？
即将生效的民法典采取对隐私权和个人信息权益二元保护的体系，在此背景下，应精准划定二者的界限，以明确不同权利类型下社会行为的自由和界限。
我国网络安全法规定，个人信息是指以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等。一般认为，个人信息的认定标准为具有“可识别性”。涉案信息通过关键词搜索加结果展示的形式，将“孙某某”这一自然人姓名和带有其面目特征信息的头像照片进行关联，成为可识别为唯一特定自然人的信息，该信息反映了孙某某面部形象的个体特征，属于个人信息。
对于百度公司关于肖像不属于个人信息保护对象的抗辩意见，法院认为，虽然涉案信息中包含肖像照片，但肖像权和个人信息权益所保护的法益并不相同，前者主要保护自然人肖像所体现的人格利益，包括肖像的制作专有权、使用专有权和利益维护权等；后者则主要保护可识别到特定自然人的利益，包括防止滥用、冒用引发的人身或财产损失等。由于二者保护的法益不同，构成要件、保护方式和损害结果等方面亦存在差异，因此，权利人有权根据被控侵权行为的实际情况，选择更为有利的权利主张方式。
隐私是指自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息。本案中涉及的孙某某姓名和载有面部肖像的证件照，与私密照片不同，一般情况下，可适用于正常的社交场合，用于个人身份的识别和社会交往。根据孙某某的陈述，其自行将涉案照片上传于社交网站中，主动向一定范围内的网络用户进行披露，可见，主观上孙某某并无强烈的将该信息作为隐私进行隐匿的意愿，客观上该信息亦未处于私密状态。因此，涉案信息的属性更接近于在某些场景下支持积极使用的个人信息。
虽孙某某主张上述信息泄露会导致滥用、甚至冒用，给其生活带来困扰，但此种损害并非上述信息披露本身所带来的，而是超出范围和目的的公开，可能增加被非法滥用、引发人身财产损失的风险所致。可见，一般认为，单纯的上述信息泄露本身并不能直接引致人格利益的重大损失，涉案信息保护的关键并非消极的隐匿而是防止滥用，更适于采取个人信息的路径进行保护。
综上，法院认为，涉案姓名、照片及其关联关系等信息本身尚不足以构成私密信息，将涉案场景中利用的信息划入个人信息的保护范畴，更符合立法原意和当今网络社会下对上述信息利用的社会普遍认知。
二、被控侵权行为是否属于未经同意处理个人信息的行为？
现行法律明确规定不得非法处理信息，收集、处理个人信息的行为，应在明示使用信息范围并经自然人同意的前提下进行，亦即，信息处理者应在被收集者授权同意的范围内处理信息，不得超范围传输、公开、使用个人信息。
关于孙某某对涉案信息授权的使用范围，本案中，双方均未就该项事实进行举证。就举证责任分配，孙某某应就百度公司存在违法行为的事实进行举证，百度公司应就其抗辩存在合法来源的事实依据进行举证。同时，为追求当事人之间实质上的公平正义，就该项待证事实的举证责任，应结合立法规定、当事人举证能力、证据距离以及盖然性经验法则等因素在当事人之间合理地分配。
从立法规定来看，根据《中华人民共和国网络安全法》的相关规定，信息处理者应明示使用信息的范围，因此，一般情况下应由信息处理者对其明示使用范围以及取得相应授权进行举证；从当事人举证能力和证据举例来看，由于存储涉案电子数据的网站门户早已对外关闭，孙某某客观上无法收集相应证据，而搜狐公司作为证据存储网站的管理者和信息处理者，其在提供证据信息和资源上占据优势的情况下，表示不清楚具体权限；从待证事实发生的盖然性来看，根据现有事实追溯的信息运用场景，校友录网站主要用于实现校内社群社交功能，用户在此网站内上传头像，一般系为寻找同学、好友等，在部分熟知人群范围内开展社会交往，而非进行陌生人交友，或基于言论传播、宣传推广等目的进行全网公开信息发布，故孙某某主张的事实具有一定合理性。
因此，法院认定，孙某某仅授权搜狐公司在一定权限范围内使用和公开涉案信息。搜狐公司将涉案信息置于公开网络后，百度公司的搜索行为使得涉案信息可被全网不特定用户检索获取，在客观上导致该信息在孙某某授权范围之外被公开，属于未经同意处理个人信息的行为。
三、百度公司是否构成对孙某某个人信息权益的侵害？
个人信息侵权的归责基础以过错为前提。通知删除前，百度公司作为网络技术服务提供者是否存在主观过错，应结合是否进行人工编辑整理、应具备的信息管理能力、涉案信息侵权类型和明显程度、涉案信息社会影响程度以及是否采取了预防侵权的合理措施等因素综合进行判定：
第一，目前尚无证据表明，百度公司在涉案行为过程中，对涉案信息进行了超越搜索引擎中立服务目的的选取、编辑、推荐；第二，百度公司作为全网信息搜索引擎服务提供者，需对海量互联网信息进行搜索、存储、归目等技术处理，不应苛求其对所有信息是否侵权进行逐条甄别和主动审查；第三，涉案信息不属于裸照、身份证号等明显侵权或者极具引发侵权风险的信息，作为一般个人信息，存在权利人愿意积极公开、一定范围公开或不愿公开等多种可能的情形，为鼓励网络信息的利用和流通，对于网络公开的一般个人信息，应推定权利人同意公开，故百度公司在接到权利人的通知前，难以预见涉案信息是未经授权公开的信息；第四，现有证据不能显示涉案信息被大规模搜索或使用，以至于达到搜索引擎运营者可明显感知的程度；第五，百度公司已开通渠道，供权利人对可能存在的侵权行为进行投诉。
综上，法院认为，在通知删除前，百度公司对涉案信息不存在明知或应知的主观过错，不构成对孙某某个人信息权益的侵害。
通知删除后，网络服务提供者应及时采取必要措施，遏制侵权行为的扩大。具体到本案，百度公司从技术上具备通过屏蔽、断开链接等方式遏制侵权信息扩散的能力，其在收到通知的情况下，对可能构成侵权的具体信息采取措施，并非对海量互联网信息进行审查，并不会不合理地增加管理运营成本。
百度公司以孙某某缺乏侵权救济基础、投诉信息与事实不符为由，认为其并无采取措施之义务。对此，法院认为，虽然本案涉及的个人信息权益属于新型的人格权益，且其指向的内容一般较为中性，在判定通知内容是否构成侵权时，较隐私权、名誉权、知识产权而言可能更为困难。然而，个人信息权益作为人格利益的一种，在网络瞬时性传播的环境下，一旦被泄露即可能遭到无限扩散，进而引发难以修复的损害。为及时遏制侵权，立法要求网络服务提供者在收到通知时，应尽到合理审查义务并采取相应措施，否则将自行承担错误判断引发的风险。而从本案情况看，现有证据未显示百度公司采取过任何措施，实难认定其已尽到相应的合理审查义务。
综上，在收到删除通知后，百度公司在其有能力采取相匹配必要措施的情况下，未给予任何回复，其怠于采取措施的行为，导致涉案侵权损失的进一步扩大，构成对孙某某个人信息权益的侵害。
判决结果
法院认为，虽然孙某某未对涉案行为造成其财产损失的数额进行举证，但个人信息在互联网经济的商业利用下，已呈现出一定的财产价值属性，且遏制个人信息侵权的行为，需违法信息利用者付出成本对冲其通过违法行为所得的获益，故对孙某某主张的赔偿数额予以支持，并判决：
百度公司于判决生效之日起7日内赔偿孙某某经济损失1元和维权费用40元。
本案围绕个人信息相关裁判规则进行了有益探索：
01
厘清个人信息和其他人格权益之间的关系，区分个人信息和隐私权、肖像权等救济途径的区别。肖像权和个人信息保护法益不同，在同时构成两种权利救济基础的情况下，原告可以选择有利的权利进行主张。
02
在缺乏明确授权证据的情况下，信息处理者一方具有法律规定的明示授权范围的义务，同时，其作为证据存储网站的管理者占据信息和资源优势，因此，对超越合理情形下的信息授权范围负有举证责任。
03
网络服务提供者提供中立技术服务，进行一般公开网络信息处理的行为不存在过错，但在接到权利人通知的情况下，应尽到合理审查义务，视具体情况采取必要措施。
典型意义
在民法典加强个人信息保护背景下，此案为公开网络个人信息的使用和流通划定了边界，明确了信息源头主体应设置有效保护措施保障个人信息安全，并明确信息后续利用者对无法预见的超范围使用行为不存在过错。数据共享与个人信息权益保护之间存在一定的冲突与矛盾，此案既保护了个体权益，亦防止对后续的信息流通、数据利用行为造成过大负担。数据被誉为互联网时代的石油，对其正当的再度利用可能产生难以预见的资源和社会经济价值，此案判决有利于鼓励信息传播与流通、促进公开信息的再度利用，为个人信息提供精准有效的司法保护，为数字经济发展提供有力的法律保障。
（文章来源：数据法盟）
