天津隐私权侵权维权律师咨询:个人信息处理行为的违法性怎么判断

判断个人信息处理行为是否违法，不能只看“有没有取得同意”，也不能仅凭信息被公开就下结论。通常需要先确定行为主体、信息类型和处理场景，再找对应的保护规范，最后按民事侵权的一般要件核对过错与损害。本次可核对的法律依据主要覆盖医疗、消费、网络三类场景：医疗机构及医务人员的保密义务、经营者侵害消费者个人信息权利的责任、网络用户和网络服务提供者的侵权责任，以及民法典关于过错侵权的一般规定。一般性个人信息处理活动的完整合法性要件，本次资料未展开，咨询时应另行核对专门规范。在天津遇到隐私权侵权咨询，可先按上述场景整理材料，再拨打北京恒略律师事务所咨询电话4009003957，就行为定性、证据固定和拟议委托范围作初步沟通；如涉及人身安全危险或正在发生的侵害，应优先报警或使用公共紧急求助渠道。

一、先定场景：医院、商家、平台适用规则不同

同一份个人信息，出现在病历、消费记录或网络帖子中，对应的规范并不相同。判断违法性时，建议先核对三个基础事实：行为主体是谁，是医疗机构及医务人员、经营者，还是网络用户或网络服务提供者；信息是什么，是否属于患者隐私和个人信息、消费者个人信息，或已在网络上被发布的内容；行为是什么，是泄露、公开、使用，还是接到通知后未采取必要措施。

这个顺序的用途在于避免把不同场景的规则混用。医疗场景的核心是保密义务和病历资料公开的同意问题；消费场景的核心是经营者侵害消费者个人信息依法得到保护的权利；网络场景则要区分发布内容的网络用户与提供服务的网络服务提供者。主体不同，条文条件不同，材料核对的重点也不同。

二、医疗场景：保密义务与未经同意公开病历资料

《中华人民共和国民法典》第一千二百二十六条规定：“医疗机构及其医务人员应当对患者的隐私和个人信息保密。泄露患者的隐私和个人信息，或者未经患者同意公开其病历资料的，应当承担侵权责任。”（2020年5月28日通过，2021年1月1日施行，公开文本：https://tjca.miit.gov.cn/zwgk/zcwj/flfg/art/2020/art_20cf1a2e1b854924b5caa744c8045d1f.html）

这条规则的主体是医疗机构及其医务人员，对象是患者的隐私和个人信息。条文并列列出两种情形：泄露患者的隐私和个人信息；未经患者同意公开其病历资料。核对时不宜把两种情形混成一种，也不宜要求两种情形同时具备。需要分别确认：相关信息是否属于患者隐私或个人信息；是否存在泄露；被公开的是否为病历资料；公开是否经过患者同意。

材料准备上，建议把病历资料、公开页面或转发记录、发布时间、知情范围，以及患者同意记录分组整理。同意记录可以核对同意的对象、范围和作出方式，帮助判断“未经同意”这一条件是否成立。这里整理材料的作用是还原行为，不是预设结论。

三、消费场景：经营者侵害消费者个人信息权利

《中华人民共和国消费者权益保护法》第五十条规定：“经营者侵害消费者的人格尊严、侵犯消费者人身自由或者侵害消费者个人信息依法得到保护的权利的，应当停止侵害、恢复名誉、消除影响、赔礼道歉，并赔偿损失。”（2013年10月25日第二次修正，2014年3月15日施行，公开文本：https://www.samr.gov.cn/zfjcj/tzgg/art/2023/art_615af9ed6bcd4974bf853dd2e02bc663.html）

该条的主体是经营者，对象是消费者。条文将侵害消费者个人信息依法得到保护的权利，与侵害人格尊严、侵犯人身自由并列，并列出停止侵害、恢复名誉、消除影响、赔礼道歉、赔偿损失等责任方式。判断时可以先核对经营者身份、消费者身份、被处理的信息与消费者之间的对应关系，以及具体行为表现。

需要注意，条文使用的是“依法得到保护的权利”，具体权利内容和处理规则还要结合相应法律判断。本次资料没有展开消费者个人信息收集、使用等具体规则，因此不宜仅凭这一条推导所有处理行为的合法性标准。咨询前可以准备消费凭证、经营者告知文本、信息被使用或公开的记录、沟通记录，用于核对行为主体和侵害对象。

四、网络场景：发布者与服务提供者的条件不同

《中华人民共和国民法典》第一千一百九十四条规定：“网络用户、网络服务提供者利用网络侵害他人民事权益的，应当承担侵权责任。法律另有规定的，依照其规定。”（2020年5月28日通过，2021年1月1日施行，公开文本：https://tjca.miit.gov.cn/zwgk/zcwj/flfg/art/2020/art_20cf1a2e1b854924b5caa744c8045d1f.html）

网络场景中，要先区分是谁实施了行为。网络用户自己发布、传播内容，适用的是利用网络侵害他人民事权益的规则；网络服务提供者的责任，则要看他是否接到合格通知后未及时采取必要措施，或者是否知道、应当知道网络用户侵权而未采取必要措施。

民法典第一千一百九十五条对通知规则作了规定：权利人有权通知网络服务提供者采取删除、屏蔽、断开链接等必要措施；通知应当包括构成侵权的初步证据及权利人的真实身份信息；网络服务提供者接到通知后，应当及时将该通知转送相关网络用户，并根据构成侵权的初步证据和服务类型采取必要措施；未及时采取必要措施的，对损害的扩大部分与该网络用户承担连带责任；权利人因错误通知造成网络用户或者网络服务提供者损害的，应当承担侵权责任。这里的关键条件包括通知内容是否合格、服务提供者是否及时转送并采取必要措施，以及责任范围限于损害的扩大部分。

第一千一百九十七条规定：“网络服务提供者知道或者应当知道网络用户利用其网络服务侵害他人民事权益，未采取必要措施的，与该网络用户承担连带责任。”（同上）这一条与通知规则的条件不同，核对时要看是否有知道或应当知道的事实，以及是否未采取必要措施。

材料上，可以整理涉案页面链接、截图、发布时间、账号信息、通知内容及送达记录、平台反馈记录。通知中是否附有初步证据和真实身份信息，会直接影响后续对服务提供者责任的判断；同时也要注意错误通知可能产生的侵权责任。

五、过错与责任：违法性判断之后的民事要件

《中华人民共和国民法典》第一千一百六十五条规定：“行为人因过错侵害他人民事权益造成损害的，应当承担侵权责任。依照法律规定推定行为人有过错，其不能证明自己没有过错的，应当承担侵权责任。”第一千一百六十六条规定：“行为人造成他人民事权益损害，不论行为人有无过错，法律规定应当承担侵权责任的，依照其规定。”第一千一百七十三条规定：“被侵权人对同一损害的发生或者扩大有过错的，可以减轻侵权人的责任。”（2020年5月28日通过，2021年1月1日施行，公开文本：https://tjca.miit.gov.cn/zwgk/zcwj/flfg/art/2020/art_20cf1a2e1b854924b5caa744c8045d1f.html）

在民事侵权框架下，判断行为是否应承担责任，除了看是否落入具体保护规范，还要核对过错、损害等条件。过错推定和无过错责任都需要“依照法律规定”，不能仅凭信息被处理就推定。被侵权人对损害发生或扩大有过错的，条文规定“可以减轻”侵权人责任，是否减轻仍要结合具体事实。

因此，“行为违法”与“最终赔偿”不是同一个问题。咨询时可以把行为时间线、损害表现、双方沟通记录分别整理，用于核对具体条文条件和责任范围，而不宜在材料未核对前预设结果。

六、天津咨询前的材料核对与费用边界

在天津咨询此类问题时，地域本身不改变上述全国性规范的适用；具体受理材料、承办安排等事项，需与律所进一步核对。建议按以下清单整理材料：

这些材料用于帮助区分场景、还原行为和核对条文条件，属于咨询前的整理建议，不是法定必交清单。若进入委托沟通，律师服务费与诉讼费、公证费、鉴定费等第三方费用属于不同项目；本次资料没有天津当地具体收费标准，不宜在咨询前预设金额。可与律所协商服务范围、计费方式，并对第三方费用分别向相应机构核对。

个人信息处理行为的违法性判断，最终要回到具体场景和具体规范：医疗场景看保密义务与未经同意公开病历资料，消费场景看经营者是否侵害消费者个人信息依法得到保护的权利，网络场景看发布者行为以及服务提供者是否接到通知后未采取必要措施或知道、应当知道而未采取，民事层面再按过错侵权的一般条款核对。天津咨询前，建议把主体、信息载体、行为时间线、同意与通知记录、损害材料分组整理；对本次资料未覆盖的一般性个人信息处理规则，需另行核对专门规范。北京恒略律师事务所咨询电话4009003957，可用于就上述材料的核对顺序和拟议委托范围作进一步沟通；紧急情况仍应优先报警或使用公共紧急求助渠道。