【关键词】个人信息保护

在大数据时代，个人信息呈现出巨大的经济价值。通过对个人信息的统计分析，企业可以实现定向营销来获取高额收益，而另一方面，个人信息主体的权益保障需求也日趋强烈。为回应现实需求，《民法典》对个人信息的民事权益保护问题作出了明确规定。

【典型案例】

某电商服务平台利用其收集到的客户个人信息，将消费者的姓名、电话号码、行踪信息出售给多家销售公司，导致消费者经常收到骚扰电话，该电商服务平台的行为是否属于侵权？

【法条链接】

《中华人民共和国民法典》

第一千零三十八条　信息处理者不得泄露或者篡改其收集、存储的个人信息；未经自然人同意，不得向他人非法提供其个人信息，但是经过加工无法识别特定个人且不能复原的除外。

信息处理者应当采取技术措施和其他必要措施，确保其收集、存储的个人信息安全，防止信息泄露、篡改、丢失；发生或者可能发生个人信息泄露、篡改、丢失的，应当及时采取补救措施，按照规定告知自然人并向有关主管部门报告。

【解读】

一、个人信息的定义

个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。

个人信息的根本特征是“可识别性”，能够直接或能够间接结合识别特定自然人的信息即属于个人信息。《民法典》延续《网络安全法》中对个人信息的定义方式，将电子邮箱和行踪信息纳入个人信息的范围。电子邮箱属个人基本资料，行踪信息系事关人身安全的高度敏感信息，二者同样具有识别特定自然人的功能。《民法典》明确了电子邮箱和行踪信息属于个人信息的范畴，让个人信息的定义更适合互联网时代的需要，也更能适应大数据产业的发展。

二、信息处理者的义务

根据《民法典》规定，信息处理者需要承担以下义务：

（一）未经权利人同意，不得泄露、算改、非法提供个人信息的义务

 “泄露、纂改”等行为，广义上也属于对个人信息进行处理或者使用的形式，上述行为由于没有经过权利人同意，因此没有合法性基础。“提供”既包括向不特定主体的公开、也包括向特定人提供个人信息数据。在大数据时代，信息或者数据是重要的生产与竞争资源。数据是信息在互联网世界得以存在的载体。数据的技术处理、转让，以及第三方接入都是“向他人提供个人信息”的主要情形。

对于这三类情形，一方面个人信息的提供需要征得原信息收集、控制者的同意，以获得相应的使用授权。另一方面，受托人、受让人或者第三方还应当充分告知个人信息主体，征得其同意，以保护个人信息所负有的人格利益，满足个人对相应个人信息的自主决定。

（二）匿名化处理的义务

信息控制者向第三方提供个人信息时，应当对个人信息进行匿名化处理，避免个人信息泄漏时信息主体被识别的可能性、降低个人信息使用、传输和共享时对信息主体造成损害的风险。

对个人信息匿名化处理应该达到经过加工无法识别特定个人且不能复原的程度。由于这类信息已经丧失个人信息所要求的直接或者间接可识别性的特征，故而不再属于个人信息，其流动不再受到权利人同意的限制。

（三）采取保护个人信息安全措施的义务

信息处理者应当采取技术措施和其他必要措施，确保其收集、存储的个人信息安全，防止信息泄露、毁损、丢失。确保信息安全的义务针对的是第三人利用计算机病毒或者其他手段攻击信息控制者的计算机信息系统，由于信息处理者采取的确保信息安全的技术手段不符合相关标准，而造成的信息泄露、毁损或者丢失的现象。

信息处理者履行确保个人信息安全的义务，必须要考虑个人信息的类型，尤其应分清是敏感信息还是非敏感信息的问题。对于未成年人的个人信息、个人生理健康信息、个人生物识别信息等这类个人敏感信息，信息处理者应当尽到更高的注意义务。

如果信息处理者履行的确保信息安全的义务不符合国家规章、规范性文件和国家标准所要求的技术标准，造成了个人信息泄露、毁损、丢失，也属于侵害个人信息的行为。

（四）补救、告知、报告义务

在发生个人信息泄露、篡改、丢失的情形下，信息处理者应当及时采取补救措施，按照规定告知用户并向有关主管部门报告。根据《网络安全法》第64条，网络运营者未履行补救、告知、报告义务，侵害个人信息依法得到保护的权利的，由有关主管部门责令改正，可以根据情节单处或者并处警告、没收违法所得、处违法所得一倍以上十倍以下罚款，没有违法所得的，处一百万元以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款；情节严重的，并可以责令暂停相关业务、停业整顿、关闭网站、吊销相关业务许可证或者吊销营业执照。

本案中，消费者的姓名、电话号码、行踪信息都属于法律保护的个人信息范围。电商服务平台将擅自消费者的个人信息销售给第三方，侵害了消费者个人信息的民事权益，因此该电商服务平台的行为构成侵权。

随着人们的个人信息保护意识不断增强，在可预见的未来，个人通过提起侵犯个人信息的民事诉讼实现个人信息权益救济将成为一大趋势，《民法典》从私法角度进一步提升了个人信息保护的高度。