被迫接受捆绑服务、处理不当造成个人信息有误、擅自收集使用个人信息、一不留神就“被默认”……

3月8日，中国消费者协会发布《2022年个人信息保护领域消费者权益保护报告》，列举侵害消费者个人信息权益问题，主要表现形式并建议，再次启动《消费者权益保护法》修订，完善消费者个人信息保护法律制度。

侵害消费者个人信息权益问题主要表现形式：

1、违反个人信息处理必要原则

《个人信息保护法》第5条、第6条分别规定了个人信息处理的必要性原则。虽然《个人信息保护法》已经颁行，但经营者违反必要性原则处理消费者个人信息的情况依然屡见不鲜。

【具体表现】

消费者基于出行、接受教育等必要需求而被迫接受捆绑服务，从而导致自身个人信息被不必要的服务提供者所获得。

2、违反个人信息处理质量原则

《个人信息保护法》第8条规定，处理个人信息应当保证个人信息的质量，避免因不准确、不完整对个人权益造成不利影响。

【案例】

在“梁某、广东某实业有限公司诉某科技有限公司网络侵权责任纠纷”中，原告发现被告运营的企业信用信息查询平台将与原告无关的“失信”“限高”“终本执行”等信息错误关联至其以及某实业公司名下，遂诉至人民法院。

法院认为，信用报告记录了梁某担任法定代表人等的企业以及相关企业的司法案件信息，属于梁某的个人信息。被告通过算法技术对个人信息进行收集、加工、整合，并向平台用户提供其加工、整合后的信用报告，对梁某的个人信息存在处理行为。被告提供的有关原告的个人信息有误，原告有权要求被告对其个人信息予以核实，并及时更正、补充。鉴于被告的行为侵害了原告的个人信息权益并造成损害，故判决某科技公司向梁某、某实业公司赔礼道歉并赔偿经济损失。

上述判例表明，平台等各类经营者主体原则上可以利用算法技术在合理范围内处理已经合法公开的个人信息，但应保证个人信息的质量，因算法运行错误导致个人信息不准确、不完整的，个人有权要求算法运用者承担更正、补充等相关民事责任。

3、违反“告知-同意”规则

“告知-同意”规则要求以在案件所处的具体场景中是否得到个人信息权益人同意作为判断个人信息处理是否合法的关键因素。虽然这一规则在立法中早已得到确定，但在丰富的商业实践中，常常因为获取同意的方式与手段存在瑕疵而导致争议。

【案例】

在“王某、深圳市腾讯计算机系统有限公司个人信息保护纠纷”一案中，即出现了个人信息权益主体撤销授权而个人信息处理者未停止收集与使用的情形。最终二审人民法院认定案涉个人信息并非微视APP（腾讯公司产品）提供服务所必须，未满足收集、处理个人信息的必要性原则。同时，微视APP在王某撤回同意后继续使用其个人信息的行为并未获得用户知情同意，不符合正当性要求。最终，二审人民法院改判腾讯支付王某参与诉讼的合理支出一万元。

“被默认”是近年来消费者个人信息保护面临的典型问题。允许平台采用格式合同方式修改用户协议是立法中公平公正兼顾市场效率的安排，但当前各平台经营者存在利用自身优势地位滥用这一权利的趋势，甚至于利用自身可以修改用户协议的有利条件，反复使用“默认”的方式撤回不利于其进行个人信息收集的意思表示。

4、侵害个人信息权益的损害赔偿范围有待确定

《个人信息保护法》第69条规定了处理个人信息侵权中“按照个人因此受到的损失”或者“个人信息处理者因此获得的利益”两种损害赔偿计算方式。

在司法实践中，侵害消费者个人信息的损害赔偿案件大致可以分为两种类型：

可以确定违法所得的案件，其损害赔偿确定较为简单，案件类型以检察院提起的公益诉讼为主。

【案例】

2021年11月1日，杭州互联网法院公开开庭审理公益起诉人拱墅区人民检察院诉被告刘某个人信息保护纠纷民事公益诉讼案，并当庭宣判，判令被告刘某承担损害赔偿金1.4万余元。

同一天，江苏省常州市中级人民法院公开宣判了公益诉讼起诉人常州市人民检察院与被告田某个人信息保护民事公益诉讼一案，依据《个人信息保护法》的规定，判决田某在国家级媒体上向社会公众赔礼道歉，并赔偿9512.7元。

无法确定违法所得的案件，其损害赔偿确定则主要以被侵权人受到的损害为主。这一类型的案件，主要以自然人提起的民事诉讼为主。

从2022年北京市各级人民法院审理的个人信息权益纠纷案件来看，因侵害个人信息权益所造成的损害往往难以判断且难以主张，当事人往往仅能够主张其维权所花费的律师费与取证费。

除实际损害外，也有当事人在诉讼中提起精神损害赔偿。

【案例】

在杭州市互联网法院审理的个人信息权益纠纷案件“吴某某诉上海某信息服务有限公司等违规提供用户个人信息保护纠纷案”中，当事人因其敏感个人信息遭受侵害而主张精神损害赔偿，获得了人民法院的支持。同样的，在山东省平度市人民法院审理的“贾友宝、青岛远海教育服务有限公司等个人信息保护纠纷”中，被告工作人员未经原告同意根据导出的号码拨打原告手机进行学历营销，原告主张的精神损害赔偿亦获得支持，并将金额酌定为3000元。

《报告》从强化消费者权益保护角度提出四点建议：

一是再次启动《消费者权益保护法》修订，完善消费者个人信息保护法律制度。

二是总结司法经验，针对责任界定、损害赔偿等争议问题及时出台配套司法解释，对法律的适用进行统一指导，推广公益诉讼保护方式。

三是加强行政治理，惩治侵害消费者个人信息权益的违法行为。

四是强化社会共治，积极发挥消协组织作用，持续加强消费教育，督促行业企业自律自治。