陈文煊 北京世宁律师事务所律师
（全文共3856字）
近日，北京互联网法院公开宣判了凌某某诉北京微播视界科技有限公司（抖音App的运营主体）隐私权、个人信息权益网络侵权责任纠纷一案（（2019）京0491民初6694号））。该案涉及备受关注的个人信息利益与互联网产业发展的权衡问题，法院在诸多前沿问题上进行了深入详尽的分析，当之无愧可被称为《民法典》颁布后个人信息保护第一案。一审法院就本案所作的大胆创新和突破，较好地平衡了个人信息保护与产业发展的需求，为相关行业健康、有序地创新及发展指明了方向。
本案的核心争议焦点之一涉及通讯录在社交App中的利用问题，涉及通讯录信息的使用是否需要取得通讯录持有人、以及每一条通讯录信息的指向主体双方的双重授权的问题。在一审判决中，法院明确提出了个人信息“合理使用”的概念和规则，并就个人用户注册抖音App之后，App对通讯录信息的使用，通过充分论证认定构成“合理使用”（一审判决书第40-43页），这一观点具有重要的现实意义和规范意义。
1、姓名和电话号码属于特殊的个人信息，具有社会属性，对其控制与占有不应被绝对化
一审判决认定：“姓名和手机号码的组合信息属于特定自然人的联系方式，一般用于社交联络，承载社交功能。随着社交活动在网络空间的发展，各类应用软件的广泛使用，手机号码亦不再局限于电话语音通话的场景，还常用于各类应用软件的账号创建、身份验证、搜索用户等场景，成为用户在网络上建立、拓展、迁移社交关系过程中经常被使用的信息。”（一审判决书第41页）
个人信息是非常特殊的权利或者权益客体，具有多种类型、包罗万象，不同的个人信息彼此之间的差异可能极大，对具体的个人信息的保护方式，以及“知情同意”的具体方式，应当进行个案化、场景化、特殊化的分析。就通讯录这种个人信息而言，其特殊性在于双向性、社会性、传播性，还应着重考虑“个人合理期待”（“个人隐私期待”系其涵盖内容）的问题。
姓名和电话号码属于特殊的个人信息，其具有社会属性，其控制和占有不应被绝对化。每个人向他人披露其电话号码，目的是在人与人之间建立社会交往，对他人在一定范围内使用及披露其电话号码具有明确的预期。任何一个用户将自己的手机号码提供给他人时，均建立了双方通过手机号进行联系的合理期待，这本身就构成了手机号和姓名使用的同意（仅仅有手机号还不够，与姓名匹配才能建立起沟通关系），或者至少形成了默示许可。在这种情况下，只要没有违背和超出这种预期，也没有违背公序良俗，就不存在侵害个人信息的行为，也不应当过分严格地加以限制，否则，将与人类社会的正常交往和信息流通的基本需求相悖。在互联网信息技术和商业模式高速发展的今天，个人工作和生活的互联网化程度已经达到了相当高的水平，在此环境下，个人在传播自己的手机联系方式的时候，也已有足够的预期，这些获得其手机联系方式的人会通过其他的社交App或者通讯工具，来与其建立起除了手机通讯录以外的联系路径。
例如，在实践中，A的亲朋好友B应C的请求，将A的电话号码提供给C、而没有征得A同意的情况是非常常见的，也没有违背社会善良风俗。而在本案中，甚至A（原告）的亲朋好友B（向“抖音”授权获取其通讯录的、存储有原告手机号码的用户）向“抖音”提供A的手机号码，其使用范围也仅仅是B希望将A和B之间在现实中的关系迁移到“抖音”虚拟社区中来，此时，“抖音”的角色只是一个中立的技术工具，其甚至不存在前述例子中C还会进一步利用A的手机号码（如打电话给A）的行为，只不过是方便了B这一业已从A处获得A 的手机号码的个人与A在“抖音”中建立联系而已。这里的用户上传通讯录，并不是向社会公开具体每个人的个人信息，涉及的仅是在本已建立社会关系的两个人之间，试图再行建立网络社交关系，并没有超出所涉两个人各自的合理预期范围。
2、通讯录中所记载内容的所有权应当属于通讯录所有人，抖音App在符合用户隐私期待的范围内已获得充分许可，用户对此有合理预期，无需双重授权
一审判决充分考虑了手机用户及其他有建立社交关系需求的用户利益、手机联系人利益、互联网行业发展三方面的利益平衡，认为“将现实生活中的社交关系迁移至网络空间是很多网络用户的合理需求。”（一审判决书第42页）“如果要求在任何使用场景下都必须严格征得双重同意，有可能会导致具体场景下利益的失衡。数据是数字经济时代重要的生产要素，信息是数据的基础，对个人信息过于绝对化的保护，可能导致个人信息处理和数据利用的成本过高，甚至阻碍信息产业的健康发展。”（一审判决书第40-41页）
当社交关系的一方选择向社交App的运营者提供其现实或者在其他虚拟场景下的人际关系以实现社交关系的互联网化时，对于App而言，其获取该种社交关系即具有合法性、正当性基础。就通讯录的性质而言，通讯录与每个自然人具体的姓名、电话号码不同，体现的是整体的信息，每个人的通讯录都各不相同，其应当作为一个整体来考虑，通讯录中所记载内容的所有权应当属于通讯录所有人，抖音App在符合用户隐私期待的范围内已获得充分许可，用户对此有合理预期，从这个意义上讲，无需再获取双重授权。
讨论双重授权，其实探讨的是通讯录所有人是否需要经过每一位联系人的授权，才能将载有他人联系方式的通讯录授权App读取访问；如果通讯录所有权人还需要逐一取得具体每一位联系人的同意，才能上传其通讯录，否则即涉嫌未经许可披露他人信息，有可能因此被起诉至法院，这与社会常识相悖。从App运营商角度来说，我国法律、法规、行政规章、司法实践、甚至国家标准均从未对通讯录的所有权进行界定，也没有要求在这种情形下必须取得通讯录所涉具体每个人及通讯录所有人的双重授权。从互联网行业从业者及社会公众的一般认知及普遍操作来说，均认为在此情形下获得通讯录所有权人的授权似已足够。实践中，行政执法部门也从没有对从业者作出类似要求、审查或者处罚。在此情形下，要求被告对此必须提前预见并采取措施，超越了现行法律规定，也对被告施加了无法预期的法律义务和标准。因此，只要在符合一方授权的范围、以及以符合用户隐私期待的范围和方式使用，均未给通讯录的双方用户造成损害，就未侵害用户的个人信息和隐私，此时要求App再向另一方获得授权，既无必要，亦不可行。
3、个人信息的收集，与其使用的方式、使用的目的、使用的范围密切相关，不应将信息收集的问题和信息使用的问题完全割裂开来
一审判决认为，（抖音App）“就读取、匹配和推荐行为而言，该信息处理基于社交功能，根据用户的社交需求，对于社交关系成立与否进行判断，并进一步根据用户的意愿做出推荐或者不推荐的选择，是实现社交功能常见和必要的步骤。在这一过程中，原告的姓名和手机号码并未被公开披露，亦没有证明存在直接泄露等风险，对于原告的其他人身和财产利益并没有产生潜在侵害的可能性。”（一审判决书第41-42页）
从我国的各项相关规定上看，信息的收集、使用总是被置于一起进行规定的。在此前诸多个人信息侵权案件中，收集和使用行为也通常被结合起来考虑。事实上，单纯的收集行为本身，往往也很难存在损害后果，上升不到承担民事责任的高度，反而可以用于改善服务质量、提升用户体验。
与之类似，在本案中，从个人信息的使用方式和使用目的来看，抖音App中“可能认识的人” 只是展示在原告私人控制的个人抖音账号中，对象只是推荐给原告一个人查看，没有对外公开或披露，其目的是方便原告更好地使用App所带有的社交功能，无论是信息的使用方式、使用目的、使用范围，都是正当的，没有损害原告的合法权益，反而为原告带来社交上的便利。因此，被告基于其他用户上传其通讯录中所记载的原告信息而进行的推荐，其目的和手段均是正当的、合法的。
需要特别指出的是，我们的观点并非认为在任何情况下，对通讯录信息的使用均只需要获得通讯录所有人单方的授权就足够了，出于保护个人信息和隐私的需要，在某些情形下，需要取得双方的“双重授权”。但是，对于通讯录信息的使用，在如同本案中所涉及的情形，即“抖音”APP在获得用户的明确授权、目的和使用方式仅仅限于对已经存在和建立的社交关系的互联网化、且给予了用户退出的选择权、未超越用户隐私期待的情况下，有关的获取、存储、使用通讯录的行为是合法、正当的。我们完全赞同，在其他的一些情形下，如未经授权利用通讯录信息对用户进行诈骗广告推送、暴力催收高利贷等行为，应当受到严格的规制。因此，任何“一刀切”的规则——在任何情况下必须获得通讯录双方的授权、或者在任何情况下只需要获得通讯录单方的授权，都是不可取的，应当作具体的、个案的、场景化的分析。
值得注意的是，从立法政策层面上说，个人信息“合理使用”情形的适用范围，与“个人信息”定义的宽窄问题是息息相关的。如果个人信息定义较为宽泛，则合理使用的门槛应较低、构成合理使用的情形应更为广泛；反之，如果与个人有关的信息需要满足一定条件才构成“个人信息”，则合理使用的情形和范围则应收窄，以此平衡个人信息保护和产业利用的关系。
“合理使用”规则对于互联网企业的启示是，个人信息纷繁复杂、种类繁多、情况多样，其收集、存储、使用、共享、公开等方面，均存在着诸多需要具体情况具体分析的法律问题。在产品和流程设计、《用户协议》、《隐私政策》或者《个人信息保护政策》的构建、企业内部合规操作流程搭建的过程中，需要仔细考虑特定场景下的合法性和合规性问题。 取得用户“知情同意”的具体方式，则可以具体视个人信息的具体类型、内容、性质、敏感程度、使用方式、使用目的和使用范围等因素而综合评判选择。