近期，广东高院和北京互联网法院相继公布了一系列个人信息保护典型案例，其中涉诉个人信息类型丰富，侵权形态多样。在众多案例中，有两例涉及未经同意发送商业短信侵害个人信息权益的案件，即王某与某信息公司网络侵权责任纠纷案以及罗某与深圳某科技公司个人信息保护纠纷案。在这两个案件中，互联网法院对个人信息和隐私以及二者的区别和联系进行了详细阐述，并就案涉行为是否构成侵害个人信息权益或隐私权进行了论证，为进一步规范商业推广行为提供参考。

一、案情概述

两起典型案例中，被告未经原告明确授权同意，擅自收集其手机号码，并通过短信方式向其发送应用营销信息。原告认为被告侵犯了其隐私权和个人信息权益，因此诉诸法院。具体情况如下：

二、争议焦点

（一）未经同意发送商业短信的行为是否侵害他人个人信息权益

（二）未经同意发送商业短信的行为是否侵害他人隐私权

（三）如构成侵权，被告应如何承担法律责任

三、基本概念辨析

（一）个人信息的概念

《民法典》第一千零三十四条规定：“个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。”

《个人信息保护法》（以下简称“《个保法》”）第四条规定：“个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。”《信息安全技术 个人信息安全规范》（GB/T 35273—2020）（以下简称“《安全规范》”）对个人信息的概念进一步明确为“以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息。”

《民法典》从“识别”的角度明确了个人信息的定义，而《个保法》则从“关联”的角度界定了个人信息涵盖的范围。根据上述规定，个人信息的核心特征在于其“可识别性”。这一要件既包括对个体身份的识别，即确定信息主体是谁，也包括对个体特征的识别，即确定信息主体是什么样的人。在判断个人信息时，应遵循识别和关联的路径进行综合考量。具体而言，识别是从信息到个人的过程，通过信息本身的特殊性来识别出特定的自然人；而关联则是从个人到信息的过程，如果已知特定自然人，那么在该特定自然人的活动中产生的信息即为个人信息。需要注意的是，个人信息的界定存在一定的相对性，往往还需要结合信息处理者的角度和具体使用场景进行判断。

（二）隐私的概念

《民法典》第一千零三十二条规定：“隐私是自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息。”同时规定，“个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定。”

（三）个人信息和隐私的区别

个人信息与隐私的概念存在交叉，个人信息包括属于隐私权客体的私密信息和非私密信息。两者的主要区别体现在以下几个方面：首先，个人隐私在客观上通常表现为私密、不为人知的状态，而在主观上，隐私权利人则具有保密、不愿被他人知晓的意愿。相比之下，个人信息无论是在客观还是主观层面都不要求具有私密性。其次，隐私权的行使主要是消极防御，而个人信息权益的保护不仅注重预防侵害，还鼓励信息主体积极利用，例如通过访问、更正、删除等方式行使其权利。最后，隐私权主要体现的是人格利益，侵犯隐私权主要导致的是精神损害；而个人信息权权利作为一种综合性权利，既涉及到人格权益的保护，也涉及到信息利用和流通价值的保护。

四、未经同意发送商业短信侵犯他人个人信息权益

（一）单独手机号码属于个人信息

首先，《民法典》在个人信息定义部分进行了列举，其中明确将电话号码纳入个人信息的范畴，确认手机号码属于个人信息。

其次，通过“识别”和“关联”两个路径的综合判断，在实名制背景下，单独手机号码已经足以直接识别特定自然人的身份。具体到案件中，涉案手机号码是原告实名注册的手机号码，与原告本人存在较强的一一对应关系，已具备将原告从众多自然人中区分并特定化的能力，因此涉案手机号构成个人信息。法院强调，“可识别性”要件中识别特定自然人并不要求必须知道该自然人的姓名。

（二）未经同意发送商业短信行为违法

根据原告收到被告发送商业营销信息的既有事实，结合短信发送的一般技术原理和短信营销过程，可以推断出被告存在以下处理行为：收集原告手机号码——存储手机号码信息——利用手机号码进行商业广告推送。

首先，根据《个保法》第十三条，个人信息处理者只有在取得个人同意或满足其他同意豁免情形时才可处理个人信息。在上述典型案例中，被告未获得原告的明确授权同意，原被告之间没有合同关系，原告也并未主动或授权第三方向被告提供案涉手机号码。同时，被告以商业营销为目的处理个人信息，不存在同意豁免情形。因此，被告不具备处理原告个人信息的合法性基础。

其次，根据《个保法》第十七条，个人信息处理者在处理个人信息前，应以显著方式、清晰易懂的语言真实、准确、完整地向个人告知其名称和联系方式、处理目的、处理方式、处理的个人信息种类、保存期限等事项。然而，在上述典型案例中，被告未履行告知义务，未向原告提供充分的信息告知，侵犯了原告作为个人信息主体的知情权。

五、未经同意发送商业短信是否侵犯原告隐私权

隐私权主要包括私人生活安宁和私人生活秘密两部分内容，就私人生活安宁而言，应考量权利人个人生活状态是否因为具体行为介入而产生变化，及该变化是否给个人生活造成一定程度的侵扰。

在王某与某信息公司网络侵权责任纠纷一案中，广州互联网法院认为，被告仅向原告的手机号码发送短信1次，且发送时间并非在深夜等明显不合时宜的时间段，在原告发送退订短信后，被告即立即停止再次发送短信。结合被告发送短信的次数、时间以及收到原告退订短信后的处理，被告行为并未达到侵扰原告私人生活安宁的程度。

值得注意的是，北京互联网法院则认为侵犯隐私权并不以“主观过错”和“损害后果”存在为必要前提，而应从行为主体情况、过错程度、行为性质及后果进行综合评价，认为被告作为专业的网络个人信息处理者，明显违反个人信息处理相关规定，存在向不特定受众实施类似行为的可能性。若因此种行为个体危害性轻微而不加以制止，将有更多的网络服务商加以效仿，因此认定被告违法获取原告手机号并向其发送营销信息，构成对原告私人生活安宁权的侵扰，侵犯了原告的隐私权。

六、责任承担

《民法典》第九百九十五条规定：“人格权受到侵害的，受害人有权依照本法和其他法律的规定请求行为人承担民事责任。受害人的停止侵害、排除妨碍、消除危险、消除影响、恢复名誉、赔礼道歉请求权，不适用诉讼时效的规定。”

第一千条规定：“行为人因侵害人格权承担消除影响、恢复名誉、赔礼道歉等民事责任的，应当与行为的具体方式和造成的影响范围相当。行为人拒不承担前款规定的民事责任的，人民法院可以采取在报刊、网络等媒体上发布公告或者公布生效裁判文书等方式执行，产生的费用由行为人负担。”

《个保法》第六十六条规定：“违反规定处理个人信息，或者处理个人信息未履行本法规定的个人信息保护义务的，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得，对违法处理个人信息的应用程序，责令暂停或者终止提供服务；拒不改正的，并处一百万元以下罚款；对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。

有前款规定的违法行为，情节严重的，由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照；对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款，并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。”

作者：：吴丹君律师团队

首发：微信公众号“大数据法律研究”