近日，上海市高级人民法院发布了2022年第一批参考性案例，其中第138号“吴某诉北京爱奇艺科技有限公司等隐私权、个人信息保护纠纷”案引起了我们的关注，该案是关乎因参与民事诉讼需要而对个人信息进行处理的案件，最终以法院驳回吴某的诉讼请求，认定爱奇艺向法院提交的有关吴某的个人信息以证明自身主张的行为合法正当，不构成侵权而告终。
自《个人信息保护法》（以下简称“《个保法》”）实施以来，公众对于个人信息保护的意识亦逐渐增强。2021年《民事案件案由规定》中新增了“个人信息保护纠纷”这一案由。这就意味着，侵犯隐私之外的个人信息权益的案件不再“流离失所”。当现行法律规范与制度不断为保护个人信息加码之时，曾经一些“司空见惯”的涉诉行为之正当性和合法性却值得进一步追问。比如，当企业作为民事诉讼中的原告，起诉自然人被告时，需从自己掌握的数据中提供如被告身份证号、联系方式、地址等具有可识别性的个人信息。该行为是否属于《个保法》中所规定的个人信息处理行为，又该如何适用《个保法》项下处理个人信息的相关规则？
根据民事诉讼中对个人信息进行处理的不同情况，我们选取了部分互联网公司的隐私政策进行调研，并分不同场景进行讨论。
一、互联网公司隐私政策中有关涉诉个人信息处理的规定盘点
根据我们的调研范围，所有企业的隐私政策中均未单独区分涉诉场景下处理个人信息的情形，从隐私政策的结构来看，可能包含在“个人信息的使用、共享或同意例外”内：
从调研情况来看，各公司的隐私政策对与司法有关的个人信息处理目的提前做了“预埋”。涉诉处理个人信息的行为在形式上常表现为个人信息处理者向其自身以外的主体提交个人信息，这种形式一般均认定为对外“提供”。然而，参考《互联网个人信息安全保护指南》第3.6条的规定，“个人信息的使用”被界定为“通过自动或非自动方式对个人信息进行操作，例如记录、组织、排列、存储、改编或变更、检索、咨询、披露、传播或以其他方式提供、调整或组合、限制、删除等。”据此定义，将涉诉处理个人信息区分为“因自己涉诉而使用”和“向涉诉第三方提供”具有一定的依据。
作为个人信息处理者来说，涉诉处理个人信息的行为若属于对个人信息的“使用”，则在实践中可直接落入《个保法》第十三条的规制范围；若涉诉处理个人信息的行为属于对外提供个人信息的，则在实践中的适用规则还可能受《个保法》第二十三条的影响。二者在涉诉处理个人信息是否能够豁免同意的风险承担上存在差异，故有进一步区分场景之必要。简要来说，是否属于“诉讼当事人主体”身份，即诉讼之于个人信息处理者是否存在合理利益会影响涉诉处理个人信息合法性的判断。下文仅从“民事诉讼”场景出发进行讨论。
二、作为“个人信息处理者”的企业身为民事诉讼的当事人
企业基于自身的诉讼利益而行事，即个人信息处理者为争议的一方当事人，在此情形下企业对个人信息的“处理”因存在合理利益而可以理解为是一种“使用”行为，这种“使用”是否能径行适用《个保法》第十三条之规定豁免同意即处理个人信息尚存在讨论的空间。
有观点认为，企业在诉讼过程中向法院提交相对方的个人信息以证明自身主张的行为可以落入《个保法》第十三条第一款第二项的规制范畴，即实施该行为系“为订立、履行个人作为一方当事人的合同所必需”。该观点将个人信息处理者通过民事诉讼方式去解决当事人双方间的争议理解为广义上合同的履行。届时，若个人信息处理者在起诉或应诉过程中需要使用个人信息的，则该涉诉处理个人信息行为可被认定为“履行个人作为一方当事人的合同所必需”。
比如网络游戏运营公司因实名制的要求会依法收集用户的姓名、身份证号等相关个人信息，或因为履行网络游戏服务合同而收集用户帐号、登陆IP、充值信息等，当游戏企业与用户发生纠纷时，基于“履行合同所必需”，游戏企业可为解决双方的纠纷而使用该等信息。不过需要注意的是，有些企业并未在隐私政策中根据处理目的对集数据的范围进行逐一说明，而是采用“一揽子”列举方式列入隐私政策中，不能排除这种一揽子列举条款因未尽说明或提示义务、不合理地免除或者减轻其责任，抑或是排除用户主要权利而导致被认定为无效的格式条款。
亦有观点认为，《民事诉讼法》第六十七、六十八条之规定系为该行为提供合法性基础的规范理据：
| 《民事诉讼法》 |
| 第六十七条当事人对自己提出的主张，有责任提供证据。 |
| 第六十八条当事人对自己提出的主张应当及时提供证据。 |
依此观点，个人信息处理者为自身涉诉“使用”个人信息行为可被认定为《个保法》第十三条第一款第三项中的“履行法定义务”，即无需取得个人的同意。该观点的支持者认为，程序法上诉讼当事人有义务提供证据证明自己的主张，而当事人未提供证据或未及时提供证据的行为都将面临法律的负面评价且承担不利的后果。上述法律后果与实体法上因义务违反而遭致的后果在法律评价上趋同。
然而，该观点的反对者则认为，“举证义务”不等同于“法定义务”，民事诉讼程序中的“举证义务”实则是举证责任的分配，并不能将此理解为确有使用个人信息的合法必要性。换言之，基于程序法有关举证责任的规定并不能成为阻却侵害个人信息权益的事由。
综上所述，《民事诉讼法》第六十七、六十八条是否可作为公司自身涉诉场景下使用个人信息的合法性依据，仍存在争议，未形成统一的观点。笔者认为，当公司作为涉诉主体一方需要使用用户个人信息作为证据时，涉诉处理个人信息行为的合法性基础可能需要结合具体的案由、使用场景、信息类型、使用方式进行分析和评价。
【相关案例】上海市高级人民法院2022年第一批参考性案例第138号--吴某诉爱奇艺公司、融泰所隐私权、个人信息保护纠纷案
本案因原告吴某认为被告一爱奇艺公司的“会员专属广告”与其注册会员时的承诺不符而起，被告二北京市融泰律师事务所（以下简称律师事务所）委派律师为该案中爱奇艺公司的代理人出庭，向法院提交了包含原告在爱奇艺公司经营平台上的登录记录和观影记录的一系列证据。
该证据在法院审理中的庭前会议阶段，由律师代理爱奇艺公司举证，以证明原告在知晓爱奇艺公司行为的前提下也在继续使用爱奇艺公司提供的会员服务。
原告吴某认为，两被告提交原告的登录和观影记录并无必要，在无授权情况下直接查看和使用用户个人信息完全属于滥用权利和优势地位。两被告查看和披露前述登录记录和浏览观影记录行为侵犯了原告的权利，故另行诉至法院。
本案经上海市第二中级人民法院终审，认定吴某的用户登录、观影记录信息虽然属于其“个人信息”，但爱奇艺公司为了证明自己的主张，查看其收集的原告的上述记录并且向审理法院递交，其目的合法正当。在案件审理过程中，爱奇艺公司在不对外公开的庭前会议程序中，展示该记录，并未造成原告个人信息的不当泄露，未见对原告的不法损害后果；律师事务所作为爱奇艺公司的委托诉讼代理机构，接受爱奇艺公司委托向法院提交上述证据，目的合法正当，在不公开的庭前会议程序中展示，且其后要求不公开质证，已尽合理注意义务，并无违法行为发生，故两被告的上述行为不构成对原告吴某个人信息的侵害。
根据本案判决也可明确当公司作为诉讼当事人时，其为证明自己的主张而使用个人信息的行为具有一定的合法性基础。
三、作为“个人信息处理者”的企业并非民事诉讼的当事人
当作为“个人信息处理者”的企业并非民事诉讼的当事人时，诉讼对于其而言一般不存在合理的利益。届时，涉诉处理个人信息的行为系一种提供行为，该行为可能既存在无法落入《个保法》第十三条豁免同意规则的规制范畴内，亦可能受制于《个保法》第二十三条之规定。此时，仍需区分场景来衡量涉诉处理个人信息存在的风险，亦需要为其找寻一定的合法性依据。
场景1 ：企业应司法机关要求而处理
作为掌握大量个人信息的企业来说，会经常收到司法机关的调取证据通知或协查文书，为了查明事实，司法机关会要求企业提供与某件诉讼有关的信息，此类信息中可能包含用户个人信息，例如用户银行卡号、支付宝账单、消费记录等。
根据《民事诉讼法》第七十条规定，人民法院有权向有关单位和个人调查取证，有关单位和个人不得拒绝。一般来说，当企业收到司法机关的协查请求时，应当配合提供相关信息，这是企业的法定义务。
在某些特殊类型的民事案件中，相关法律或司法解释还对提供互联网服务的企业提出更为明确的信息提供义务。例如《最高人民法院关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定（2020修正）》第三条，原告起诉网络服务提供者，网络服务提供者以涉嫌侵权的信息系网络用户发布为由抗辩的，人民法院可以根据原告的请求及案件的具体情况，责令网络服务提供者向人民法院提供能够确定涉嫌侵权的网络用户的姓名（名称）、联系方式、网络地址等信息。网络服务提供者无正当理由拒不提供的，人民法院可以依据民事诉讼法第一百一十四条的规定对网络服务提供者采取处罚等措施。
在此场景下，企业无须向个人信息主体进行必要告知，可直接以“履行法定义务”作为豁免理由。
场景2 ：企业主动向涉诉第三方提供
在企业未收到司法机关请求时，能否主动向涉诉第三方提供用户个人信息？笔者认为，尽管第三方处于民事诉讼阶段，对某些用户个人信息确有获取的必要，但此时企业难以“履行个人作为一方当事人的合同所必需”“履行法定义务”等事由作为主动向涉诉第三方提供个人信息的豁免理由，因为此时相应的事实基础并不存在。
依据《个保法》第二十三条之规定，个人信息处理者向其他个人信息处理者提供其处理的个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。
因此，若企业未按前述规定获得个人信息主体单独同意的，则属于擅自向涉诉第三方提供个人信息，可能涉及“违法提供”而面临侵犯用户合法权益的风险。
【相关案例】钟某与广东格兰仕集团有限公司个人信息保护纠纷【案号：（2021）桂04民终889号】
2019年6月，原告钟某在京东商城“格兰仕冰洗京东自营旗舰店”购买了一台小型家用化妆品冰箱。该冰箱购买页面部分信息为：晒单送两年整机延保。但原告在收到商品却被客服告知不参与晒单送两年整机延保活动。原告钟某认为京东公司、京东达资公司在销售产品过程中存在欺诈，遂将京东公司、京东达资公司起诉至该院。
因原告与京东公司、京东达资公司发生纠纷，被告主动将发送给原告《电子质保卡》的邮件内容和显示原告电子邮箱账号信息的截图提供给京东公司、京东达资公司，原告认为被告的行为构成了侵权，遂另行向法院起诉成讼。
争议发生时，个保法尚未生效，本案法院以《民法典》作为审理依据。法院认可被告出于送达电子延保卡的目的收集、使用原告的电子邮箱账号的正当性和必要性，但却认为欠缺“合法性”。
判决书原文摘录
根据《中华人民共和国民法典》第一千零三十五条规定：“处理个人信息的，应当遵循合法、正当、必要原则，不得过度处理，并符合下列条件：（一）征得该自然人或者其监护人同意，但是法律、行政法规另有规定的除外；（二）公开处理信息的规则；（三）明示处理信息的目的、方式和范围；（四）不违反法律、行政法规的规定和双方的约定。个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开等。”被告并不是法律授权的可以收集、使用个人信息的主体，也没有取得原告同意而成为合法的信息收集者，亦不能提供证据证明其取得原告电子邮箱账号的途径，因此被告收集原告的电子邮箱账号不具备合法性。
最终法院认定，被告应京东公司、京东达资公司的要求提供了为原告处理电子延保卡的邮件截图，但在提供时没有对原告的电子邮箱账号信息进行技术处理，也未征得原告的同意，事后亦没有告知原告，因此被告的行为侵犯了原告的个人信息。
尽管法院认定被告侵权的说理与论证包含了多个原因，但格兰仕公司在“未征得原告（钟某）的同意”前提下擅自将包含原告个人信息的邮件截图发送给京东公司已经是明确的违法行为。
笔者认为，企业应涉诉第三方要求而主动提供争议相对方个人信息的，可能还需要征得个人的单独同意。这就意味着，即使在企业在隐私政策中设有相关规定，按现行个保法第二十三条的规定仍显不足，况且几乎无取得个人单独同意的现实可能。在此情形下，企业所需承担的违法或侵权风险较大。
四、建议
针对以上分析，企业在面对民事诉讼场景下处理个人信息的情况，应注意从以下几方面降低自身风险：
避免擅自向涉诉第三方提供用户个人信息，应以司法机关协查文书作为提供的必要前提。
在依法对外提供用户个人信息时，应核对所提供的个人信息是否超出了司法协查文书范围，避免“过度”处理用户个人信息。
作为诉讼当事人时，企业在提供用户个人信息作为证据时应注意履行必要的保护义务，如在证据副本、复印件中对用户个人信息进行脱敏处理，可视情况向法院提出不公开质证、不公开庭审甚至不公开判决的请求。
参考内容
1.《中华人民共和国个人信息保护法》第十三条、二十三条
2.《中华人民共和国民法典》第一千零三十五条
3.《中华人民共和国民事诉讼法》第六十七、六十八、七十条
4.《最高人民法院关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定（2020修正）》第三条
5.《互联网个人信息安全保护指南》第3.6条
6.《民事案件案由规定》第十七条
7. 上海市高级人民法院2022年第一批第138号参考性案例
8. 钟某与广东格兰仕集团有限公司个人信息保护纠纷【案号：（2021）桂04民终889号】
9. 参见“中国法律评论”公号发布文章：“熊定中：民事诉讼中处理个人信息行为的合法性依据”，https://mp.weixin.qq.com/s/uqui2Xntc5bQQMjVuT4D3A.