非法收集、使用、出售个人信息 你中招了吗 ——省法院发布适用民法典典型案例（三十四）

01 【裁判要旨】

个人信息处理者非法收集、使用、加工、传输他人个人信息，非法买卖、提供或者公开他人个人信息的，应当承担损害赔偿等侵权责任。个人信息处理者违法处理个人信息，侵害了承载在不特定社会主体个人信息之上的公共信息安全利益，人民检察院、法律规定的消费者组织和由国家网信部门确定的组织可以依法向人民法院提起公益诉讼，公益损害赔偿按非法获利金额计算。

02 【基本案情】

被告张某某经营一家手机店，2020年7月至2021年7月，张某某利用经营中国移动代办点的便利，未经用户许可，多次使用用户实名制办理的手机号码非法提供并操作接收验证码，将用户手机号码和所接收的验证码一并出售给他人牟利，从中获利共计13595元,已被法院认定构成侵犯公民个人信息罪，判处有期徒刑七个月，缓刑一年，并处罚金人民币一万元。后公益诉讼起诉人毕节市人民检察院向法院提出诉讼，请求判令被告张某某承担损害赔偿13595元，并就其侵犯公民个人信息，损害众多消费者权益的行为在省级以上媒体公开赔礼道歉。

03 【裁判结果】

法院经审理认为，一是根据《中华人民共和国民法典》第一百一十一条和《中华人民共和国个人信息保护法》第六十九条之规定，公民的个人信息受法律保护，电话号码属于法律规定的个人信息，张某某将其在经营活动中获取的他人个人信息非法提供、使用，并出售获利，侵犯了不特定多数人的个人信息安全，损害了社会公共利益，应当依法承担损害赔偿责任。二是虽然张某某在刑事判决中被判处没收违法所得，但与赔偿损失的民事责任并非同一范畴，不能替代，张某某仍应承担民事赔偿责任，数额按照其获得的利益确定，即为13595元。遂判决张某某支付赔偿金13595元（该款项上缴国库），并要求其在贵州省级媒体公开向社会公众赔礼道歉。

04 【案例解读】

随着现代信息技术的发展，信息交流空前简单化和便捷化，不仅带来了社会生活的巨变，还给个人信息安全带来了威胁。个人信息关系到每个人的人格尊严，通过互联网非法获取、出售公民个人信息等行为，侵犯了不特定多数人的个人信息安全，损害社会公共利益。强化个人信息司法保护，符合人民群众所急所盼，有利于促进信息数据依法合理使用、推动数字经济健康发展。本案准确把握民法典维护个人信息权益的立法精神，聚焦维护不特定社会主体的个人信息安全，明确大规模侵害个人信息行为构成对公共信息安全领域社会公共利益的侵害，彰显司法保障个人信息权益、社会公共利益的决心和力度。

05 【相关法条】

《中华人民共和国民法典》第一百一十一条自然人的个人信息受法律保护。任何组织或者个人需要获取他人个人信息的，应当依法取得并确保信息安全，不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息。

《中华人民共和国个人信息保护法》第六十九条处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。前款规定的损害赔偿责任按照个人因此受到的损失或者个人信息处理者因此获得的利益确定；个人因此受到的损失和个人信息处理者因此获得的利益难以确定的，根据实际情况确定赔偿数额。

问

什么是个人信息，如何判断？

民法典第1034条采用概括加列举的方式，明确个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。判断是否为个人信息主要在于信息与个人之间的联系及可识别性，若缺乏必要的关联及识别性，则信息主体就难以主张其对于该信息享有相关权益，也就难以主张该信息为个人信息。

问

处理个人信息应当遵循哪些基本原则？

1.合法性原则。个人信息的收集、处理应具有法律依据并且符合所有的法律要求。一是收集、处理个人人信息的主体必须合法，主要为法律授权的主体、获得信息主体同意的信息收集机构等两类。二是收集、处理个人信息的手段必须合法。例如，个人信息的收集必须基于自然人或者监护人的同意，还要尽到收集、处理信息的相关公开公示义务，保证自然人的知情权等。

2.正当性原则。一是目的正当，信息收集者不能超越法律规定或者商业机构事先确定的目的收集其他信息，同时不能将收集的信息做超出目的的利用。二是手段正当，信息处理者处理相关信息要符合诚信原则要求，同时要尽量满足透明的要求，以便当事人能够充分了解相关信息的收集、使用目的，行使相关权利。

3.必要性原则。主要是指在从事某一特定活动时可以收集、处理，也可以不收集、处理时，尽量不收集、处理。在必须使用并征得权利人许可时，要尽量少地进行收集、处理。此外，个人信息的存储也应遵循存储时间最小化的原则，除却法律法规另有规定或个人信息主体另行授权，个人信息存储期限应为实现个人信息主体授权使用的目的所必需的最短时间。

问

个人信息保护与隐私权的区别？

民法典虽然将个人信息与隐私权保护规定于同一章节，但两者在客体、内容以及保护方式方面都存在区别。

1.客体方面。虽然两者都涉及的是自然人的身份、地位等信息，但隐私权包含的信息类型较窄，只有私密的个人信息才受隐私权的保护，而一般性的个人信息则不属于隐私权的保护范围，比如手机号码、工作单位、家庭地址等。

2.权利内容。个人信息权益主要是指对个人信息的支配与自主决定，具有主动性，个人信息可控并且可以积极利用。隐私权是一种消极的、防御性的权利，其重心在于防止个人私密信息不被泄露，以及隐藏个人隐私。

3.救济手段。隐私权的救济往往是通过侵权救济，而对于侵害个人信息的行为，既包括民事法律归责救济，又包括行政法或者刑法的管理性或者惩罚性手段予以规制。

承办法官：毕节市织金县人民法院 宋罡

案例撰写人：省法院民一庭 龙龑

（图片均来源于网络）

审核：赵映、金晶 |编辑：沈重阳