企业处理个人信息是否已具备合法性基础？——个人信息保护诉讼裁判规则（中）

前言
大数据时代下，“个人信息保护”是个重要议题。
为回应当前数据产业发展的司法保护现实需求，广州互联网法院、温州市中级人民法院先后突破性地成立了全国首个涉数据纠纷专业合议庭、全国第一家数据资源法庭，两者均对涉及公民个人信息的侵权类民事纠纷进行专门审理，以期逐步形成对个人信息权益保护纠纷法律规则适用的专业判断，促进裁判规则统一。
立足于此，我们对涉及侵犯个人信息权益的民事案件进行筛选、梳理并推出“个人信息保护诉讼裁判规，通过重点分析法院如何认定案涉信息是否为个人信息、企业处理个人信息是否已具备合法性基础、举证责任如何分配以及侵权责任如何承担等争议焦点，为企业处理此类纠纷提供应对之策。
上期，我们通过案例深入分析了法院如何认定案涉信息是否构成个人信息（详情可阅：《法院如何认定是否构成个人信息？——个人信息保护诉讼裁判规则（上）》）。而在自然人提起的个人信息权益保护之诉中，被告企业作为个人信息处理者，通常从自身处理个人信息的行为符合法律法规要求进行答辩，因此法院在审判中如何认定企业是否已具备合法性基础是此类案件的判决关键，我们将在本期重点分析。
一、合法性基础的七法则：个保法定新规
此前，个人信息权益保护诉讼的主要适用依据为《民法典》《网络安全法》《消费者权益保护法》。《个人信息保护法》（以下简称《个保法》）接过保护个人信息权益的“大旗”后，企业处理个人信息的合法性基础有了更清晰的界定：
《个人信息保护法》第13条 符合下列情形之一的，个人信息处理者方可处理个人信息：
（一）取得个人的同意；
（二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；
（三）为履行法定职责或者法定义务所必需；
（四）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；
（五）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；
（六）依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；
（七）法律、行政法规规定的其他情形。
依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意。
从上述条款可知，企业处理个人信息的合法性基础大致可分为两类，其一是取得个人同意，其二是基于法定许可。
二、合法性基础的主要塞：取得个人同意
个人信息权益作为民事权利（权益）之一，遵循主体自愿原则，受双方意思自治保护，因此取得个人同意，是企业获得处理个人信息合法性基础的有效方式之一，也因较易满足，几乎成为了每个企业处理个人数据前的首选合规方案。不过，若我们细细考究，便会发现这一途径虽相较便捷，却处处面临考验。
考验一 “被动同意”的正当性
“不同意隐私政策即无法体验产品”的模式，恐怕大家已司空见惯。由于企业通常具有更强势的经营地位，用户往往面临着此种“被动同意”，那么，这种情况下的同意，是否可以视为用户与企业之间已就隐私政策达成有效合意呢？
消费者杜某曾就此提起诉讼，认为这是强制用户同意商家发布的隐私政策，双方之间的隐私协议应不成立（以下简称杜某案）【1】。对此，一审法院不予认可，指出企业已采用弹窗等方式提供隐私政策内容，并通过对相关条款设置弹窗、加黑等方式进行了提示并说明，应认定已履行提示或者说明义务。即使能够查实原告进行了多次否定的操作，因其最终选择了“同意”，已经符合了承诺的形式要件，并不能产生否认相关条款成立的法律效果。
换言之，法院在认定企业与用户之间是否已就隐私政策达成合意，主要是从企业提出的要约是否已经用户承诺、双方格式合同的订立是否符合《民法典》规定进行评判。如产品运营者能够以弹窗等显著方式提供隐私政策，并通过加粗、下划线、标红等方式对其中涉及用户重大权益的条款履行合理提示义务，那么在用户自行点击确认同意的情况下，法院仍倾向于认定企业与用户之间已就隐私政策达成合意。
不过值得注意的是，“被动同意”模式并未因此被正当化。
杜某案的法院在判决最后建议平台运营者宜向用户提供以游客身份浏览相关网站内容等服务后，再作出是否同意隐私政策的缓冲期，并设置包括解除合同在内的选项供用户选择。而胡某诉上海某有限公司侵权责任纠纷中（以下简称胡某案）【2】，法院亦指出在隐私政策未指明企业关联公司、业务合作伙伴等处理个人信息的具体行为情况下，此种“被同意”方式属于以不正当手段变相胁迫、强制用户提供具体范围不够明确的个人信息，违反正当性原则，只是因企业并未借此肆意披露和以极端方式侵害个人信息权益，不宜全面否认双方隐私政策效力，除个别侵犯消费者个人信息权益的条款外，其余条款仍应为互联网企业为用户提供服务的前提和基础。
考验二 “概括同意”的有效性
既然用户有权请求确认侵犯消费者个人信息权益的特定条款或格式条款无效，便意味着取得用户一揽子授权的“概括同意”模式，并非必然有效。
结合现行法律法规、司法解释要求，该等侵犯消费者个人信息权益的无效格式条款具体可包括如《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》第11条提出的涉及要求自然人授予无期限限制、不可撤销、可任意转授权等处理人脸信息权利内容；《个保法》明确需取得用户单独同意的如处理敏感个人信息、向其他个人信息处理者提供其处理的个人信息（对外提供）、公开其处理的个人信息、向境外提供个人信息等行为。
如俞某与浙江某有限公司等网络侵权责任纠纷【3】中各关联主体间基于自身商业目的共享个人数据的行为，法院认为不应采取概括授权的方式，否则将导致个人信息相关权益的所有人在进行该种授权时对于其个人信息的使用方式以及使用范围无法明确知晓，不利于对个人信息的保护。这与胡某案判决观点一致，如通过隐私政策赋予企业将信息分享给可随意界定的关联公司、业务合作伙伴进行数据分析和商业利用，将进一步加重用户个人信息使用风险，不符合最小损害原则要求。即便企业已获得用户的“一揽子授权”，用户也有权主张该等内容属于侵犯消费者个人信息权益的无效格式条款。
考验三 “告知同意”的时效性
取得个人的同意，既要求同意机制有效，又要求告知内容准确。
根据《个保法》第17条，企业应在处理个人信息前以显著方式、清晰易懂的语言真实、准确、完整地向个人告知个人信息的处理主体、目的、方式、信息种类、保存期限等法定事项。若前述事项发生变化，如后续使用、披露、共享等处理个人信息的行为超出用户此前授权范围，则企业仍应重新取得用户同意。因此，履行告知同意义务，绝非一劳永逸，而需实时跟进。
如人脸识别第一案【4】中，被告野生动物世界虽在原告一开始办理指纹年卡时已取得有效同意获得原告照片，但此时原告提供照片的目的仅系为了配合指纹年卡的办理及使用，若被告擅自将收集的照片用于人脸识别，则构成扩大信息处理范围，超出事前约定的收集目的，违反了正当性原则，应向用户告知变更后的处理目的及方式并重新取得同意。
三、合法性基础的后防线：基于法定许可
若所有的个人信息处理行为都需经过信息主体的同意和确认，将不仅不利于数据的流动与利用，还会在特定情形下损害社会及公共利益。因此，为促进数据流通、挖掘数据价值、保障社会公共利益，《个保法》还规定了六类可豁免用户同意的情形。若企业处理个人信息的行为满足法定许可，则其可不再以取得个人同意为合法性基础，其中为履行法定职责或者法定义务所必需；依法在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息等两项法定豁免用户同意事由，在个人信息保护权益诉讼中更为常见。
为履行法定职责或者法定义务所必需
“为履行法定职责或者法定义务所必需”作为法定许可的情形之一，企业在司法实践中具体如何适用呢？
大荔县农村信用合作联社、刘某的个人信息保护纠纷一案【5】中，被告作为金融机构，虽在与原告签订借款合同前已向其告知如原告不能按照合同的约定及时履行还款义务，被告将会把原告的该情形如实上传至中国人民银行基础数据库，但由于实际报送原告信贷信息时未严格依照《征信业管理条例》规定事先告知原告本人，原告主张侵犯其权益并要求删除不良信息记录、赔偿损失。
对此，法院认为被告向金融信用信息基础数据库提供信贷信息系其法定职责，虽在上报征信时没有事先告知原告本人，但并不是造成原告不良征信形成的原因，就此内部行政管理问题，监管部门已对主要负责人进行了监管约谈并作出行政处罚，原告请求被告立即消除其名下不良征信记录，并要求被告赔偿损失等，没有事实及法律依据。
这意味着，本案法院认定被告处理个人信息的合法性基础系为履行法定职责所必需，虽在业务操作流程上存在瑕疵，构成违规，但并不构成对原告个人信息的违法处理。
此处值得更进一步探讨的问题是，若企业所履行的“法定职责”或“法定义务”的“法定”仅为部门规章或行业规范，其是否仍可以此作为处理个人信息的合法性基础？对此，目前学术界仍存在较大争议，有待后续立法及司法实践的释明。
在合理范围内处理个人自行公开或者其他已经合法公开的个人信息
企业适用此合法性基础应满足如下三个条件：
1.处理的个人信息客观上处于已合法公开的状态
已经合法公开的个人信息常见如政府、法院等国家机关依法公开的个人征信数据，个人主动在企业黄页网站、中国产品网网页相关链接披露的手机号，企业工商登记对外显示的个人联系方式、姓名等。如信息公开范围仅限于特定服务提供方、指定好友等特定公众，则不构成合法公开。
2.处理的行为需在合理范围内
合理范围的界定，应至少包括使用目的与用户自行公开信息的目的相符，使用行为未构成对用户自行公开信息的篡改等。
如商家基于增加业务量之目的自行公开了个人的联系方式，而第三方企业从公开渠道获取后对其进行电话营销，或擅自利用政府网站公示的从业人员资格证号等信息将其注册成为本平台用户等，均与用户信息公开的目的相悖，刘某、成都华律网络服务有限公司的个人信息保护纠纷案【6】便是如此。该案被告未经原告同意从湖南省司法厅主管的如法网公开信息中收集了其律师执业证信息后用于核定律师身份以外的其他用途，超出合理范围，构成侵权。
3.处理的行为未被用户拒绝也未侵害其重大利益
即便企业满足合理范围内使用合法公开信息的两大条件，如用户在发现使用行为后已明确提出拒绝请求，或企业的使用行为侵害了用户重大权益，例如对用户产生了负面的不良评价，那么企业的处理行为同样缺乏合法性基础。
四、合法性基础的小贴士：企业应对之策
结合个人信息保护纠纷的裁判观点，基于《个保法》第13条规定的七法则，我们在合法性基础方面为企业提供如下应对之策：
企业以取得个人同意为合法性基础的，建议应首先以弹窗等显著形式提示用户确认隐私政策内容并设置用户主动勾选、点击、发送“同意”或类似操作确保用户真实意愿的表达；其次，通过下划线、加粗、斜体、标红等方式对其中涉及用户重大权益的条款进行合理提示；再者，企业还需结合《数据安全法》《个保法》等相关规定就特殊或变更后的数据处理行为使用弹窗、浮窗、短信、邮件、消息推送等方式取得用户单独或重新同意；最后，如有可能，企业还可通过设置游客模式、解除合同选项等功能进一步保障用户权益的实现。
企业以为履行法定职责或者法定义务所必需为合法性基础的，建议应尽可能检索确认是否存在可直接适用的法律或行政法规规定，以确保豁免用户同意义务具备充分的合法性基础，此外如其他监管文件相较《个保法》有更高要求，则企业同样应履行上述义务，否则存在违规风险。
企业以在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息为合法性基础的，应首先确认所涉信息是否确已属于能够被不特定人所知悉的公开状态，而在具体处理过程中，亦应注意使用目的与用户自行公开信息的目的相符、使用行为未构成对用户自行公开信息的篡改等，避免处理方式和目的超出合理范围，同时建议企业向公众提供提起异议、申诉的路径，以便在收到个人反馈后及时调整个人信息的处理行为及策略。
注释
【1】北京互联网法院一审民事判决书，（2019）京0491民初23942号。
【2】浙江省绍兴市中级人民法院二审民事判决书，（2021）浙06民终3129号。
【3】北京市海淀区人民法院一审民事判决书，（2018）京0108民初13661号。
【4】浙江省杭州市中级人民法院二审民事判决书，（2020）浙01民终10940号。
【5】陕西省大荔县人民法院一审判决书，（2022）陕0523民初162号。
【6】湖南省长沙市中级人民法院二审民事判决书，（2021）湘01民终11420号。