(一)某科技公司的个人信息处理行为,是否侵害了王某的个人信息权益并对其造成损害,应否承担损害赔偿等侵权责任?
《中华人民共和国个人信息保护法》(以下简称《个人信息保护法》)第六十九条第一款与《中华人民共和国民法典》(以下简称《民法典》)第一千一百六十五条规定相衔接,规定个人信息处理者侵害他人个人信息权益的,应按照过错推定原则认定是否承担损害赔偿等侵权责任。
由此可知,侵害个人信息权益的侵权责任构成要件为:
1.个人信息处理者实施了个人信息处理行为;
2.存在个人信息权益受损害的事实;
3.个人信息处理者不能证明自己没有过错;
4.个人信息处理行为与损害事实之间存在因果关系。
从本案已查明的事实可知,被告某信息科技公司获取原告王某的相关个人信息,是在原告想要免费试用案涉网站相关服务功能时主动提供的。同时,在原告提供相关个人信息时,该网站已通过介绍的方式,告知其收集用户个人信息的目的和用途,对此原告也是知悉的。因此,被告收集原告个人信息符合《个人信息保护法》第十三条第一款第一项规定的合法性基础,不存在侵害原告个人信息的行为。此后,被告公司的客服人员曾两次通过原告提供的电话信息向其推销免费试用服务,在遭到原告拒绝后,已将其个人信息从营销系统中屏蔽,未再进行使用,被告的行为并未超越原告同意个人信息处理时的目的范围。
关于原告称被告公司对外泄露其个人信息,仅提交了手机收到4次骚扰来电的材料,尚不足以证明被告存在违规对外提供其个人信息的行为,故对原告的该项主张不予采纳。综上,法院认为某科技公司不存在侵害王某个人信息权益,需承担侵权责任的情形,对王某的损害赔偿、赔礼道歉等诉讼请求不予支持。
(二)某科技公司在个人信息处理中是否存在拒绝王某行使删除权请求的情况,是否侵害其在个人信息处理活动中的权利?
法院认为,根据《个人信息保护法》第五十条的规定,侵害当事人在信息处理活动中程序性权利、保护性权利,当事人提起诉讼,人民法院应予救济的构成要件为:
1.当事人行使程序性、保护性权利具有法定或约定的事由;
2.当事人向个人信息处理者提出了有效的程序性、保护性权利的申请;
3.个人信息处理者无正当理由拒绝当事人行使程序性、保护性权利,或对当事人提出的申请不予理睬。
何谓当事人向个人信息处理者提出了有效的申请,应分不同情形进一步予以细化明确:
(1)个人信息处理者未建立便捷的个人行使权利的申请受理和处理机制的,可视为个人信息处理者对当事人提出的申请不予理睬;
(2)个人信息处理者建立有便捷的个人行使权利的申请受理和处理机制的,当事人未按申请受理方式提交申请,不应认定当事人向个人信息处理者提出了有效的权利申请,但个人信息处理者接收并明确表示拒绝的除外。
何谓便捷的个人行使权利的申请受理机制应从两个方面进行解释:
(1)受理个人行使权利的申请机制,是指个人信息处理者在个人信息处理活动中,对外建立的接收个人行使权利的渠道、通道、途径;
(2)便捷的申请受理机制,是指个人信息处理者建立的接收申请的渠道应当位置显著、易于查找,且使用方便、快捷,没有设置不合理的障碍。一般而言,对于采用交互式页面提供产品或服务的,宜直接设置操作简单的交互式页面接受申请。同时,也鼓励并行采用人工客服电话、电子邮箱等多种途径接受申请。
本案争议的关键在于,原告是否向被告提交了有效的删除申请。若原告提交了有效的删除申请,被告未予理睬,则侵害了原告的删除权,应承担删除义务及赔偿合理维权费用等民事责任;若原告未提交有效的删除申请,且被告在获悉其删除意愿后已及时删除其个人信息,则不应认定其侵害了原告的删除权。
经查,被告在案涉网站分别建立了“在线客服和人工客服电话”两种申请受理渠道,且均处于网站显著位置,不难查找发现。同时,经检测,这两种方式均可有效受理用户提出的删除权申请,故可认定该网站建立有便捷的个人行使权利的申请受理和处理机制。然而,原告却选择向被告公司在案涉网站中预留的销售电子邮箱发送删除申请。因原告未按被告提供的便捷方式提交申请,考虑到信息处理者销售经营业务繁重、内容机构专业分工明确等因素,由此产生的申请被迟疑、忽视、未及时回复等不良后果,不应由已尽到法定义务的信息处理者被告公司承担,而应由存在疏忽的原告自负,故依法应认定为原告未向被告提交有效的删除申请。
此外,在原告提起本案诉讼后,被告知悉其删除个人信息意愿后,已在第一时间对原告在案涉网站中提供的个人信息进行了删除。故被告不存在侵害原告的删除权、应承担民事责任的情形,对原告请求被告删除其个人信息、赔偿合理维权费用等诉讼请求不予支持。
最终,法院依法驳回王某的诉讼请求。一审宣判后,双方均未上诉,该案判决已生效。
《个人信息保护法》第五十条第二款与第六十九条针对侵害个人信息权益造成损害和侵害个人在个人信息处理活动中的权利的两种不同情形,分别构建两种不同的请求权基础。
《个人信息保护法》第六十九条规定的请求权基础是,个人信息处理者的信息处理行为侵害当事人的个人信息本权(或原权)权益且造成损害的情况下,当事人可基于侵权责任的请求权基础,向个人信息处理者请求损害赔偿等侵权责任。
《个人信息保护法》第五十条第二款规定的请求权基础是个人信息保护请求权,个人信息处理者在信息处理过程中,侵害当事人对个人信息所享有的程序性权利、保护性权利的情况下,如侵害个人信息查阅、复制权、转移权、更正权、删除权等,当事人可基于个人在个人信息处理活动中的权利的请求权基础,向个人信息处理者请求为或不为一定行为,通过落实、实现当事人所享有的程序性权利、保护性权利,以最终保障、圆满当事人的个人信息本权(或原权)权益。
之所以规定个人信息保护请求权,原因在于个人信息与个人信息处理活动的特殊性,其具有以下几个方面的意义:
1.赋予个人在信息处理活动中的程序性权利、保护性权利,是个人信息本权(或原权)权益所体现的个人对个人信息具有自主性的内在要求;
2.赋予个人在信息处理活动中的程序性权利、保护性权利,是个人信息处理活动必须立足于“个人——个人信息处理者”的特殊关系模型所决定的,个人信息具有无形性,难以被个人独占地、排他地支配和控制,个人虽然是其个人信息的主体,但个人信息可以被其他社会主体进行处理,而个人对此往往毫不知情。因此,必须在信息处理活动中,在“个人——个人信息处理者”相对关系中,赋予个人对抗信息处理者的一定手段和工具,以保障其个人信息本权权益的圆满;
3.赋予个人在信息处理活动中的程序性权利或保护性权利,是预防个人信息本权权益受到侵害的必然要求,程序性权利或保护性权利并不是完全左右个人处理活动、控制个人信息客体的权利,而是更好地防御个人信息处理活动对个人信息本权权益的侵害行为。