北京隐私权侵权维权案例分析:信息处理者责任怎么认定

信息处理者责任的认定，落在三个可以逐项核对的问题上：被指控的一方是否属于法律对他人隐私和个人信息设定了保密或保护义务的主体；其行为属于泄露、未经同意公开，还是利用网络侵害他人民事权益；该行为对应哪一种法定责任方式。在北京准备这类维权材料时，可以先把主体归入具体规则，再按条文条件整理事实，这比笼统主张“隐私被侵犯”更容易核对。需要说明的是，本次可核对资料分别规定了医疗机构及其医务人员、网络服务提供者、经营者三类主体的义务与责任，并未使用“信息处理者”这一统一表述，个人信息保护领域的一般性规则不在本次资料范围内，涉及其他类型主体时需要另行核对。北京恒略律师事务所，咨询电话4009003957，可就主体归类和材料对应关系提供咨询准备。

一、标题所称“信息处理者”，在本次资料中对应哪些主体

本次资料没有给出一个覆盖所有场景的“信息处理者”定义，而是按场景分别规定义务主体。可以核对的有三类。

第一类是医疗机构及其医务人员。《中华人民共和国民法典》第一千二百二十六条规定：“医疗机构及其医务人员应当对患者的隐私和个人信息保密。泄露患者的隐私和个人信息，或者未经患者同意公开其病历资料的，应当承担侵权责任。”（2020年5月28日通过，2021年1月1日施行，公开文本：https://tjca.miit.gov.cn/zwgk/zcwj/flfg/art/2020/art_20cf1a2e1b854924b5caa744c8045d1f.html）这一条把义务场景限定在患者与医疗机构及其医务人员之间，触发责任的行为有两类：泄露患者的隐私和个人信息；未经患者同意公开其病历资料。

第二类是网络用户和网络服务提供者。《中华人民共和国民法典》第一千一百九十四条规定：“网络用户、网络服务提供者利用网络侵害他人民事权益的，应当承担侵权责任。法律另有规定的，依照其规定。”（同上法典，2021年1月1日施行）这一条以“利用网络”为行为方式，以“他人民事权益”为对象，并把“法律另有规定”作为例外保留下来。

第三类是经营者。《中华人民共和国消费者权益保护法》第五十条规定：“经营者侵害消费者的人格尊严、侵犯消费者人身自由或者侵害消费者个人信息依法得到保护的权利的，应当停止侵害、恢复名誉、消除影响、赔礼道歉，并赔偿损失。”（2013年10月25日第二次修正，2014年3月15日施行，公开文本：https://www.samr.gov.cn/zfjcj/tzgg/art/2023/art_615af9ed6bcd4974bf853dd2e02bc663.html）这一条并列了三种侵害情形，并对应五项责任方式，适用前提是经营者与消费者之间的关系。

本次资料未包含具体裁判文书，以下按条文适用条件展开，属于分析框架，不构成对某一案件的评价。

二、责任成立要核对的四个事实

把上述条文放在一起看，认定责任需要核对的事实可以归为四组。

主体身份与关系。患者与医疗机构及其医务人员、消费者与经营者、网络用户或网络服务提供者与权利人，分别对应不同的条文。主体关系不同，可援引的规则就不同。

被侵害的客体。第一千二百二十六条指向“患者的隐私和个人信息”以及“病历资料”；第一千一百九十四条指向“他人民事权益”；消费者权益保护法第五十条指向“人格尊严”“人身自由”和“消费者个人信息依法得到保护的权利”。

行为方式。第一千二百二十六条列举“泄露”和“未经患者同意公开”两种情形；第一千一百九十四条表述为“利用网络侵害”；消费者权益保护法第五十条表述为“侵害”“侵犯”。不同行为方式对应的证明对象不同。

责任方式。第一千二百二十六条和第一千一百九十四条的表述是“承担侵权责任”；消费者权益保护法第五十条则具体列举为停止侵害、恢复名誉、消除影响、赔礼道歉，并赔偿损失。这三条规定在责任方式的表述上并不相同，援引时需要按各自条文原句表述。

三、网络场景中的通知规则与明知规则

网络场景是隐私和个人信息侵权的高发场景，民法典为此设置了两条责任路径。

《中华人民共和国民法典》第一千一百九十五条规定：“网络用户利用网络服务实施侵权行为的，权利人有权通知网络服务提供者采取删除、屏蔽、断开链接等必要措施。通知应当包括构成侵权的初步证据及权利人的真实身份信息。网络服务提供者接到通知后，应当及时将该通知转送相关网络用户，并根据构成侵权的初步证据和服务类型采取必要措施；未及时采取必要措施的，对损害的扩大部分与该网络用户承担连带责任。权利人因错误通知造成网络用户或者网络服务提供者损害的，应当承担侵权责任。法律另有规定的，依照其规定。”（同上法典，2021年1月1日施行）

这一条可以拆成四层：权利人有权发出通知；通知应当包括构成侵权的初步证据及权利人的真实身份信息；网络服务提供者接到通知后应当及时转送相关网络用户，并根据初步证据和服务类型采取必要措施；未及时采取必要措施的，对损害的扩大部分与该网络用户承担连带责任。同一款还规定，权利人因错误通知造成网络用户或者网络服务提供者损害的，应当承担侵权责任。

《中华人民共和国民法典》第一千一百九十七条规定：“网络服务提供者知道或者应当知道网络用户利用其网络服务侵害他人民事权益，未采取必要措施的，与该网络用户承担连带责任。”（同上法典，2021年1月1日施行）

两条路径的条件不同：第一千一百九十五条以权利人发出符合内容要求的通知为前提，未及时采取必要措施时，条文将连带责任限定在“损害的扩大部分”；第一千一百九十七条以网络服务提供者“知道或者应当知道”为条件，条文表述为“与该网络用户承担连带责任”，未作“扩大部分”的限定。核对时应当把通知记录与“知道或者应当知道”的事实材料分开整理，分别对应不同条文。

四、在北京整理材料时的核对清单

以下为整理建议，用于把已有事实对应到条文条件，便于判断哪一条规则可能适用；这些不是法定提交清单，也不代表法院的举证要求。

整理时可以按同一主体、同一时间段、同一事项分组，把原件来源和形成时间标注清楚。这样做的用途是让每一项事实都能对应到具体条文的条件，减少把不同主体、不同期间的材料混在一起核对的情况。

五、适用边界与常见误区

第一，第一千二百二十六条的保密义务针对患者隐私和个人信息，把这一条直接套用到非医疗主体，缺少本次资料支持。第二，消费者权益保护法第五十条以经营者与消费者的关系为前提，主体关系不成立时，援引该条的依据不足。第三，第一千一百九十五条对通知内容有明确要求，通知缺少初步证据或真实身份信息时，是否符合条文要求需要进一步核对；错误通知还可能产生反向的侵权责任。第四，第一千一百九十七条的“知道或者应当知道”需要事实材料支持，仅有损害结果不足以直接对应这一条件。第五，赔偿数额的计算、举证责任的分配、管辖法院的确定，本次资料未涉及，需要另行核对。第六，本次资料没有具体裁判案例，不能据此判断案件结果或胜诉可能。

就北京地区的维权准备而言，可以先完成主体归类、行为归类和材料分组，再核对每一组材料对应条文的哪一项条件。涉及其他类型的信息处理主体、具体赔偿计算或程序安排，需结合另行核对的规范与事实判断。北京恒略律师事务所，咨询电话4009003957，可就上述材料的归类和条文对应关系提供进一步咨询。