综合类案件：东航与去哪儿网因泄露客户隐私信息被判赔礼道歉案

隐私通常指仅与特定人的利益或者人身发生联系且权利人不愿为他人所知晓的私人生活、私人信息、私人空间及个人生活安宁。传统隐私权是自然人享有的对私人秘密和私生活进行支配并排除他人干涉的一种人格权，但现代隐私权将这一概念拓展到信息自主权或信息控制权，突出权利人对信息的自我控制。

信息爆炸的大数据时代，隐私权侵权行为的隐蔽性、传播的瞬间性、后果的严重性给隐私权保护带来了巨大挑战。本案即是一起因网络购票引起的涉及东方航空及去哪儿网购票平台侵犯公民隐私权的纠纷，争议焦点如姓名、电话号码及行程安排是否属于隐私信息等都具有很强的代表性与典型性。在互联网的背景下如何界定隐私信息并衡平信息共享与隐私权保护，北京一中院的这则判例逻辑严谨，论理充分，具有很强的说服力。

诉讼主体

上诉人（原审原告）：庞理鹏
被上诉人（原审被告）：北京趣拿信息技术有限公司

被上诉人（原审被告）：中国东方航空股份有限公司

庞理鹏

2014年10月，我与鲁超在去哪儿网购买了东航机票。后我收到尾号0529号码发来短信，该短信列明了我的姓名、航班号等个人隐私信息，并告知我所购航班因机械故障取消。对方泄露了我的个人隐私信息，侵犯了我的隐私权。

趣拿公司

庞理鹏无证据证明其个人信息系我方泄露，我方不存在侵害其隐私权的行为。我方对平台内用户信息已进行加密处理，尽到了平台应尽的保密义务。

东方航空

我方没有泄露庞理鹏的姓名、航班号，不存在其主张的侵犯隐私权行为，不应承担侵权赔偿责任。

案情简介

2014年10月11日

庞理鹏委托鲁超通过去哪儿网订购了10月14日MU5492泸州至北京的东航机票。（去哪儿网订单详情页面显示该订单登记的乘机人信息包括庞理鹏姓名及身份证号，联系人信息、报销信息均为鲁超及其尾号1858的手机号。

2014年12月13日

庞理鹏尾号9949手机号收到尾号为0529的发件人发来短信：“…您预订的MU5492次航班由于机械故障已取消，请收到短信后及时联系客服办理改签业务…”鲁超拨打东航客服予以核实，客服人员确认该次航班正常，并提示庞理鹏收到的短信应属诈骗短信。鲁超在通话中向客服人员确认了尾号949系庞理鹏本人号码。

2014年10月14日

东航客服向庞理鹏号码发送通知短信：“…由于飞机故障，MU5492时刻调整至19时50分泸州蓝田机场起飞，预计22时30分到达北京首都机场…”鲁超遂拨打95530予以确认，得到答复为该次航班确因故障延误。当日19时43分，鲁超再次拨打95530确认航班时刻，被告知该航班已经取消。

海淀法院一审

海淀法院认为，无法确认趣拿公司和东航将庞理鹏过往留存的手机号与本案机票信息匹配，更无法推论趣拿公司和东航存在泄露上述信息的行为。涉案航班最终因飞机故障多次延误直至取消，该情形虽与诈骗短信所称“由于机械故障取消”的内容雷同，但不排除“因故障取消”系此类诈骗短信的惯用说辞，故仅凭航班状态与诈骗理由的巧合无法认定东航与诈骗短信存在关联。趣拿公司和东航在本案机票订购时未获取庞理鹏号码，现无证据证明趣拿公司和东航将庞理鹏过往留存的手机号与本案机票信息匹配予以泄露，且趣拿公司和东航并非掌握庞理鹏个人信息的唯一介体，法院无法确认趣拿公司和东航存在泄露庞理鹏隐私信息的侵权行为。

综上，海淀法院一审判决驳回庞理鹏的全部诉讼请求。

庞理鹏不服一审判决，上诉至北京一中院。

北京一中院二审

争议焦点

1、本案涉及的姓名、电话号码及行程安排是否可以通过隐私权纠纷而寻求救济；

2、根据现有证据能否认定涉案隐私信息是由东航和趣拿公司泄露；

3、在东航和趣拿公司有泄露庞理鹏隐私信息的高度可能之下，其是否应当承担责任；

4、中航信更有可能泄露庞理鹏信息的责任抗辩事由是否有效成立。

一、本案涉及的姓名、电话号码及行程安排等事项是否可以通过隐私权纠纷而寻求救济。

东航在本案二审中提出，姓名、电话号码及行程安排等事项是运输合同中的内容，不构成隐私信息，因而其并没有侵犯隐私权的行为。对此，法院认为，姓名、电话号码及行程安排等事项首先属于个人信息。在现代信息社会，个人信息的不当扩散与不当利用已经越来越成为危害公民民事权利的一个社会性问题，因此，对于个人信息的保护已经成为全球共识。我国《全国人民代表大会常务委员会关于加强网络信息保护的决定》也明确提出要对个人信息进行保护。即将于2017年10月1日实施的《民法总则》第一百一十一条也明确规定自然人的个人信息受法律保护。但是，在对个人信息进行保护的思路上，各国却有不同看法，从而形成了不同的立法例。有的将个人信息归属于隐私权进行保护（美国），有的则将个人信息归属于一般人格权或直接作为个人信息权进行保护（德国）。与国外的分歧一样，我国法律界对个人信息的保护思路也存在与上述情况相似的争鸣。然而，专业的争鸣本是为了更好地服务于权利保护的实践，如果因为专业争鸣未能达成共识就放弃对民事权益进行保护，岂非本末倒置？因此，无论对于个人信息的保护思路有如何的分歧，都不应妨碍对个人信息在个案中进行具体的保护。

本案中，庞理鹏被泄露的信息包括姓名、尾号9949手机号、行程安排（包括起落时间、地点、航班信息）等。根据《最高人民法院关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》第十二条的界定，自然人基因信息、病历资料、健康检查资料、犯罪记录、家庭住址、私人活动等是属于隐私信息的。据此，庞理鹏被泄露的上述诸信息中，其行程安排无疑属于私人活动信息，从而应该属于隐私信息，可以通过本案的隐私权纠纷主张救济。

至于庞理鹏的姓名和手机号，在日常民事交往中，发挥着身份识别和信息交流的重要作用。因此，孤立来看，姓名和手机号不但不应保密，反而是需要向他人告示的。然而，在大数据时代，信息的收集和匹配成本越来越低，原来单个的、孤立的、可以公示的个人信息一旦被收集、提取和综合，就完全可以与特定的个人相匹配，从而形成某一特定个人的详细而准确的整体信息。此时，这些全方位、系统性的整体信息，就不再是单个的可以任意公示的个人信息，这些整体信息一旦被泄露扩散，任何人都将没有自己的私人空间，个人的隐私将遭受巨大威胁，人人将处于惶恐之中。因此，基于合理事由掌握上述整体信息的组织或个人应积极地、谨慎地采取有效措施防止信息泄露。任何他人未经权利人的允许，都不得扩散和不当利用能够指向特定个人的整体信息。本案中，如果诈骗分子仅仅知道庞理鹏的姓名或手机号，则无法发送关于航班取消的诈骗短信；如果诈骗分子仅仅知道庞理鹏的行程信息，则亦无法发送关于航班取消的诈骗短信。而恰恰是诈骗分子掌握了庞理鹏的姓名、手机号和行程信息，从而形成了一定程度上的整体信息，所以才能够成功发送诈骗短信。因此，本案中，即使单纯的庞理鹏的姓名和手机号不构成隐私信息，但当姓名、手机号和庞理鹏的行程信息（隐私信息）结合在一起时，结合之后的整体信息也因包含了隐私信息（行程信息）而整体上成为隐私信息。

另外，隐私权于1890年提出后经过一百多年经济社会的发展，已经不再局限于提出时的内涵。随着对个人信息保护的重视，隐私权中已经被认为可以包括个人信息自主的内容，即个人有权自主决定是否公开及如何公开其整体的个人信息。就姓名而言，自然人本就对其姓名拥有姓名权。但同时，姓名本身也是一种身份识别信息，它和手机号及行程信息结合起来的个人信息也应属于个人信息自主的内容。基于此，将姓名、手机号和行程信息结合起来的信息归入个人隐私进行一体保护，也符合信息时代个人隐私、个人信息电子化的趋势。

综上，法院认为本案涉及的姓名、电话号码及行程安排等事项可以通过隐私权纠纷而寻求救济。

二、根据现有证据能否认定涉案隐私信息是由东航和趣拿公司泄露。

东航和趣拿公司在本案审理过程中都主张，庞理鹏没有证据证明其个人信息是东航或趣拿公司泄露，因而东航和趣拿公司不存在侵犯隐私权的行为。对此，法院认为，基于人类科学技术和认识手段的限制，现实中的客观事实经常不能通过事后的证明被完全还原。因此，诉讼中的证明活动，往往是一种受限制的认识活动，而并非无止境的绝对求真过程。基于这一认识，法律设计了证明标准规则，即对待证事实的证明达到何种程度即可确认该事实存在的规则。根据《最高人民法院关于适用〈中华人民共和国民事诉讼法〉的解释》第一百零八条之规定，对负有举证证明责任的当事人提供的证据，人民法院经审查并结合相关事实，确信待证事实的存在具有高度可能性的，应当认定该事实存在。对一方当事人为反驳负有举证证明责任的当事人所主张事实而提供的证据，人民法院经审查并结合相关事实，认为待证事实真伪不明的，应当认定该事实不存在。据此，本案中的关键是看庞理鹏提供的证据能否表明东航和趣拿公司存在泄露庞理鹏个人隐私信息的高度可能，以及东航和趣拿公司的反证能否推翻这种高度可能。

（一）庞理鹏提供的证据能否表明东航和趣拿公司存在泄露庞理鹏个人隐私信息的高度可能。

本案中，鲁超通过去哪儿网为庞理鹏和自己向东航订购了机票，并且仅仅给去哪儿网留了自己的手机号，而非庞理鹏的手机号。但是，由于庞理鹏以前曾经通过去哪儿网订过机票，且是东航的常旅客，现有证据显示东航和去哪儿网都留存有庞理鹏的手机号。同时，中航信作为给东航提供商务数据网络服务的第三方，也掌握着东航的相关数据。因此，从机票销售的整个环节看，庞理鹏自己、鲁超、趣拿公司、东航、中航信都是掌握庞理鹏姓名、手机号及涉案行程信息的主体。但从本案现有证据及庞理鹏、鲁超在整个事件及诉讼中的表现看，庞理鹏和鲁超的行为并未违背一名善意旅客所应有的通常的行为方式。在没有相反证据予以证明的情况下，法院确信庞理鹏、鲁超在参加购买机票的民事活动及本案民事诉讼活动时具备诚实、善意的通常状态，不属于自己故意泄露个人信息而进行虚假诉讼。所以，上述主体中，可以排除庞理鹏和鲁超泄露庞理鹏隐私信息的可能。在排除了庞理鹏和鲁超的泄露可能性之后，趣拿公司、东航、中航信都存在泄露信息的可能。而从收集证据的资金、技术等成本上看，作为普通人的庞理鹏根本不具备对东航、趣拿公司内部数据信息管理是否存在漏洞等情况进行举证证明的能力。因此，客观上，法律不能也不应要求庞理鹏确凿地证明必定是东航或趣拿公司泄露了其隐私信息。而从庞理鹏已经提交的现有证据看，庞理鹏已经证明自己是通过去哪儿网在东航官网（由中航信进行系统维护和管理）购买机票，并且东航和去哪儿网都存有庞理鹏的手机号。因此，东航和趣拿公司以及中航信都有能力和条件将庞理鹏的姓名、手机号和行程信息匹配在一起。虽然，从逻辑上讲，任何第三人在已经获知庞理鹏姓名和手机号的情况下，如果又查询到了庞理鹏的行程信息，也可以将这些信息匹配在一起，但这种可能性却非常低。因为根据东航出具的说明，如需查询旅客航班信息，需提供订单号、旅客姓名、身份证号信息后才能逐个查询。而第三人即便已经获知庞理鹏姓名和手机号，也很难将庞理鹏的订单号、身份证号都掌握在手，从而很难查询到庞理鹏的航班信息。而与普通的第三人相比，恰恰是趣拿公司、东航、中航信已经把上述信息掌握在手。此外，一个非常重要的背景因素是，在本案所涉事件发生前后的一段时间，东航、趣拿公司和中航信被多家媒体质疑存在泄露乘客信息的情况。这一特殊背景因素在很大程度上强化了东航、趣拿公司和中航信泄露庞理鹏隐私信息的可能。

综上，法院认定东航、趣拿公司存在泄露庞理鹏隐私信息的高度可能。

（二）东航和趣拿公司的反证能否推翻上述高度可能诉讼中东航和趣拿公司都提供证据表明其采取措施尽到了对客户信息的安全保密职责，因而没有侵犯庞理鹏隐私权。

东航在二审中提交的证据，还表明信息泄露也可能是犯罪分子所为。对此，法院认为，东航和趣拿公司的反证表明其自身采取了一定的安全管理措施，且犯罪分子窃取信息也是可能的泄露原因。但在法院已经确认东航、趣拿公司存在泄露庞理鹏隐私信息的高度可能的情况下，东航和趣拿公司并未举证证明本案中庞理鹏的信息泄露的确是归因于他人；也并未举证证明本案中庞理鹏的信息泄露可能是因为难以预料的黑客攻击；同时也未举证证明庞理鹏的信息泄露可能是其自身或鲁超所为。在这种情况下，东航、趣拿公司存在泄露庞理鹏隐私信息的高度可能很难被推翻。更何况，在本案事件所处时间段内，东航和趣拿公司都被媒体多次质疑泄露乘客隐私，国家民航局公安局甚至发文要求航空公司将当时的亚安全模式提升为安全模式。这些情况都表明，东航和趣拿公司的安全管理并非没有漏洞，而是存在提升的空间。因此，法院确认东航和趣拿公司存在泄露庞理鹏个人隐私信息的高度可能。

需要强调的是，法院认定本案中趣拿公司和东航存在泄露的高度可能是基于如下因素：一是趣拿公司和东航都掌握着庞理鹏的姓名、身份证号、手机号、行程信息；二是其他人整体上全部获取庞理鹏的姓名、身份证号、手机号、行程信息的可能性非常低；三是2014年间，趣拿公司和东航都被媒体多次质疑存在泄露乘客隐私的情况。正是在以上三个因素同时具备的情况下，法院才认定东航和趣拿公司存在泄露庞理鹏个人隐私信息的高度可能。

三、在东航和趣拿公司有泄露庞理鹏隐私信息的高度可能之下，其是否应当承担责任。

本案为一般侵权责任纠纷，归责原则为过错责任。如上所述，东航和趣拿公司均有泄露隐私的高度可能性，但其是否应该承担责任归根到底还须审查其是否有过错。近些年来，对公民个人隐私以及个人信息的保护已成为社会共识。2013年新颁布的《中华人民共和国消费者权益保护法》第二十九条第二款中明确规定，经营者及其工作人员对收集的消费者个人信息必须严格保密，不得泄露、出售或者非法向他人提供。经营者应当采取技术措施和其他必要措施，确保信息安全，防止消费者个人信息泄露、丢失。这是在立法层面上对消费者个人隐私和信息的保护，也是对经营者保护消费者个人信息的强制性规定。经营者违反了该条规定，即视为其存在过错。

本案中，东航和趣拿公司作为各自行业的知名企业，一方面因其经营性质掌握了大量的个人信息，另一方面亦有相应的能力保护好消费者的个人信息免受泄露，这既是其社会责任，也是其应尽的法律义务。诚然，对个人信息的保护是一个逐步的过程，从社会现实来讲不宜苛责过甚。但从法院现有证据看，东航和趣拿公司在被媒体多次报道涉嫌泄露乘客隐私后，即应知晓其在信息安全管理方面存在漏洞，但是，该两家公司却并未举证证明其在媒体报道后迅速采取了专门的、有针对性的有效措施，以加强其信息安全保护。而本案泄露事件的发生，正是其疏于防范导致的结果，因而可以认定趣拿公司和东航具有过错，理应承担侵权责任。

四、东航和趣拿公司所提出的中航信更有可能泄露庞理鹏信息的责任抗辩事由是否有效成立。

东航和趣拿公司在诉讼中认为东航所用系统是中航信开发维护的，并且中航信也掌握东航的旅客信息，因而更有可能是中航信泄露庞理鹏隐私信息，所以东航和趣拿公司应该免责。对此，法院认为，根据上一节的判理，中航信的确与东航、趣拿公司一样存在泄露庞理鹏信息的高度可能。但是，本案中，庞理鹏并没有起诉中航信，而中航信也并非必须加入本案诉讼。理由如下：

第一，如果本案中东航和中航信都泄露了庞理鹏的隐私信息，则东航和中航信基于各自的泄露行为均应向庞理鹏承担侵权责任，此时，东航和中航信对庞理鹏构成不真正连带责任。而在不真正连带责任中，作为受害人的庞理鹏有权选择起诉侵权人。本案中，庞理鹏起诉了东航和趣拿公司，而没有起诉中航信，可以认为系庞理鹏行使了选择权。

第二，如果本案中的确是中航信泄露了庞理鹏的隐私信息，则从东航和中航信之间的关系看，中航信仅仅是对内向东航提供信息网络服务的人，是为了东航更好地开展工作而为其提供服务的。外部的订票者并不在意、也不知道东航的订票系统是由谁来维护和管理的。无论由谁管理和维护，订票的消费者都认为是在向东航订票。因此，在对外关系上，即便是中航信泄露了庞理鹏的隐私信息，也可以由东航首先承担责任。东航在承担责任后可以依据其与中航信之间的服务合同条款，在相关证据具备的情况下，向中航信主张权利。因此，庞理鹏起诉东航而不起诉中航信并无不当。

综上，北京一中院认为，东航和趣拿公司存在泄露庞理鹏隐私信息的高度可能，并且存在过错，应当承担侵犯隐私权的相应侵权责任，应当赔礼道歉。

二审法官：丁宇翔、 白云、王国庆，法官助理：刘雅璠。