周某某诉广州某某电子商务有限公司个人信息保护案
【案件基本信息】
1.裁判书字号
广东省广州市中级人民法院(2022)粤01民终3937号民事判决书
2. 案由：个人信息保护纠纷 3.当事人
原告(被上诉人):周某某
被告(上诉人):广州某某电子商务有限公司(以下简称某电商公司)




五、隐私权、个人信息保护纠纷 263

【基本案情】
某电商公司系某平台的运营主体，用户可通过网站和 APP 使用该平台；周 某某系某平台的注册用户。
周某某因接到陌生电话，感到对方对其购物留下来的个人信息有所了解， 故，于2021年3月1日致电某平台客服，表示其系某平台客户，因担心个人信 息泄露，想知道某平台收集了哪些个人信息，希望某平台披露所收集到的其个 人信息。某平台客服表示：“用户有填写的信息，可以在APP 个人中心予以查 看，且这些信息采取了加密的保护措施，不会泄露；对于用户没有填写的信息， 某平台是没有办法展示的。”同日，周某某通过电子邮件向某平台隐私专职部 门邮箱发送邮件，请求公司披露相关内容。某电商公司未回复该邮件。
周某某向广州互联网法院提出以下诉讼请求：(1)某电商公司向周某某披 露其收集的周某某的相关个人信息；(2)某电商公司删除从周某某处收集到的 所有非必要信息。
一审中，某电商公司提交《周某某个人信息情况》,其中记载有周某某的 若干信息，已送达周某某。二审中，周某某称对于《周某某个人信息情况》涉 及的个人信息，某电商公司可以不再向其提供副本。
关于周某某“浏览记录”信息的披露。某电商公司称调取用户的全部浏 览记录成本非常高昂，将严重影响公司的正常业务运营。公司已在APP 中提 供了近一个月的浏览记录供用户查阅，完全满足周某某的合理需求，也符合行 业惯例。
关于“第三方SDK收集的个人信息”及“与第三方共享的个人信息”的 披露。某电商公司称，第三方SDK 收集的个人信息，由第三方SDK 自行收集 并上传、存储到第三方SDK 数据库中，某电商公司并未参与相关信息的收集、 上传、存储过程，无法提供相关具体个人信息；对于与第三方共享的用户具体 个人信息，若要披露，将会产生非常高昂的成本，某电商公司已经通过《与第 三方共享个人信息基本情况》披露了个人信息的相关处理情况，这种披露方式 也是工信部要求的方式和行业惯例。





264


中国法院2024年度案例 ·人格权纠纷


【案件焦点】
某电商公司是否应当向周某某披露其收集的相关个人信息，披露范围和形 式该如何确定。
【法院裁判要旨】
广州互联网法院经审理认为：某电商公司存在拒绝周某某行使权利请求的 行为，且拒绝理由不充分，周某某向某电商公司主张个人信息查阅、复制的请 求权，有事实和法律依据，依法应予以支持。某电商公司应当以常用的电子形 式提供个人信息副本，如excel 表格、word 文档等。周某某未提交证据证明某 电商公司存在应当主动删除其个人信息的情形，某电商公司根据周某某的授权 同意收集了相关个人信息，周某某要求某电商公司予以删除，无事实和法律依 据，对此不予支持。
广州互联网法院判决如下：
一 、电商公司于本判决发生法律效力之日起十日内提供自周某某注册某平 台 APP 之日起至该判决发生法律效力之日止的已收集到的个人信息，以及个人 信息处理的相关情况供周某某查阅、复制；
二、驳回周某某的其他诉讼请求。
某电商公司不服一审判决，提起上诉。广东省广州市中级人民法院经审理 认为：结合双方在诉辩过程中的陈述可知，周某某要求某平台向其披露个人信 息，实质上是主张个人信息查阅复制权。个人对于个人信息处理者收集的个人 信息，除存在依法不得查阅复制或权利滥用等情形外，均可依法行使查阅复制 的权利，并不以个人信息泄露或存在泄露风险为前提条件。周某某通过客服电 话、邮件等方式要求电商公司向其披露个人信息未果，遂向一审法院提起本案 诉讼，于法有据。
从实现查阅复制权的功能价值、保护个人合法权益的角度考虑，查阅复制 权的客体不仅包含个人信息本身，还应当包括个人信息处理情况。本案中，周 某某作为某平台APP 的注册用户，对于该APP 所收集的个人信息及相关处理 情况，有权要求电商公司进行披露。





五、隐私权、个人信息保护纠纷


265


关于“浏览记录”及“与第三方(包括第三方支付机构)共享的个人信 息”是否应当披露。浏览记录及平台与第三方共享的个人信息，是个人信息及 其处理情况的重要组成部分，该信息对于个人判断个人信息是否被滥用具有重 要意义，某电商公司作为个人信息处理者，应当依法向周某某披露上述信息相 关情况。关于披露成本的问题，因某电商公司未能提供充分证据证明具体的披 露成本，且披露成本高并非法定的免责事由，故，对于某电商公司的抗辩，不 予采纳。至于某电商公司提出的行业惯例问题，因行业惯例仅能从一定程度上 反映现有的个人信息保护水平，并非个人信息处理者是否履行法定义务的决定 性因素，与某电商公司是否应当披露上述信息并无必然关系。考虑到某电商公 司履行上述披露义务需要耗费一定的成本和时间，本院将披露期限从一审确定 的十日延长至三十日。
关于“第三方 SDK①收集的个人信息”是否应当披露。某电商公司主张并 未参与该类信息的收集、上传、储存过程，根据现有证据亦未能显示某电商公 司收集了上述信息，故，周某某要求某电商公司向其披露第三方 SDK 收集的个 人信息，依据不足，不予支持。
对于《原告个人信息情况》记载的注册时间、账号、昵称、性别、手机号 码等信息，应视为某电商公司已向周某某披露，某电商公司不需要再提供相关 副本。
某电商公司提供的查阅途径仅能查阅部分周某某的个人信息，且对于复制 权，一般应当理解为提供副本，仅提供查阅途径不能视为已满足周某某复制个 人信息的请求。副本应当采取书面形式，可为纸介质或者电子介质。从减少个 人信息处理者的披露成本、方便个人查阅的角度，某电商公司应当向周某某提 供电子化的副本，电子化副本不限于Excel表格、Word 文档等形式，电商公司 应当选择便于查阅的方式向周某某提供个人信息电子化副本。
广东省广州市中级人民法院依照《中华人民共和国民法典》第一千零三十 七条，《中华人民共和国个人信息保护法》第四条、第七条、第二十三条、第
① SDK:Software Development Kit,指软件开发工具包，以下不再另作提示。





266


中国法院2024年度案例。人格权纠纷


四十四条、第四十五条、第五十条，《中华人民共和国民事诉讼法》第一百七 十七条第二款之规定，作出如下判决：
一 、变更广州互联网法院(2021)粤0192民初17422号民事判决第一项 为：某电商公司于本判决发生法律效力之日起三十日内提供自周某某注册某平 台APP 之日起至本判决发生法律效力之日止的已收集到的相关个人信息，以及 个人信息处理的相关情况供周某某查阅、复制；
二、撤销广州互联网法院(2021)粤0192民初17422号民事判决第二项；
三、驳回周某某的其他诉讼请求。

【法官后语】
随着数字化时代的到来以及数字经济的蓬勃发展，强化个人信息保护已经 成为应对数字化挑战、保护个人合法权益、维护网络空间良好生态、促进数字 经济健康发展的重要举措。在个人信息权利体系中，查阅复制权属基础性权利 其既是个人信息处理公开、透明原则的重要体现，也是个人实现信息处理知情 权的重要途径，同时还是个人行使更正、补充、删除等其他个人信息权利的重 要前提。民法典、个人信息保护法均对个人信息查阅复制权进行了规定，但对 于权利行使的前提条件、具体范围、实现形式等具体问题，未有明确规定。本 案为我国首例个人信息查阅复制权纠纷案件，判决涉及个人信息查阅复制权行 使的若干重要问题。
一、个人信息查阅复制权的行使是否以个人信息遭受侵害或者存在相关风 险为前提条件
无论是民法典还是个人信息保护法，均未对个人信息查阅复制权利的行使 设定前提条件。一般情况下，个人行使查阅复制权，必定具备一定的动机，如 接到骚扰电话，怀疑个人信息泄露，或发现个人信息有误等，但该动机并非权 利行使的必要前提条件。若要求个人在行使权利时证明上述事实，必然会增加 权利行使的成本和负担，为个人行使查阅复制权以及其他个人信息权利造成不 必要的障碍。因此，个人信息处理者不得以“个人未能提供证据证明个人信息 遭受损害或存在风险”为由进行抗辩，从而拒绝个人行使查阅复制权的请求。




五、隐私权、个人信息保护纠纷 267

二 、个人信息查阅复制权的客体是否包括个人信息处理情况
《中华人民共和国民法典》第一千零三十七条和《中华人民共和国个人信 息保护法》第四十五条均规定个人有权向个人信息处理者查阅复制其“个人信 息”。法律赋予个人查阅复制权，其目的是确保其对个人信息的知情权和保持 应有的控制，避免因非法收集、处理个人信息而致其人身财产权益遭受侵害。 从实现查阅复制权的功能价值、保护个人合法权益的角度，仅允许个人查阅复 制个人信息是远远不够的。个人信息的处理情况，如与第三方共享个人信息的 相关情况等，对于判断个人信息权益是否遭受侵害具有举足轻重的作用。因此， 有必要让个人充分了解其个人信息的处理情况，这也是《中华人民共和国个人 信息保护法》第四十四条明确规定“个人对其个人信息的处理享有知情权、决 定权”的重要原因。为了切实保障个人的知情权，查阅复制权的客体不仅包含 个人信息本身，还应当包括个人信息处理情况。
三 、APP 提供者是否需要承担披露第三方SDK 收集的个人信息的义务
作为辅助APP 开发的工具，第三方 SDK能够大幅度提高互联网企业开发 APP的效率、降低开发成本、解决服务资质限制、满足产品业务功能需要。现 实中，APP 提供者与SDK 的提供者可能存在以下关系：一是委托或代表关系， 即APP 提供者委托 SDK 提供者处理个人信息，或SDK 提供者按照 APP 提供者 的指导或要求，代表APP 提供者处理个人信息；二是共同控制关系，即 APP 提供者与SDK提供者共同决定个人信息的处理目的和方式；三是各自处理关 系，即APP 提供者和SDK 提供者均以单独身份向用户提供服务，且均自行决 定处理个人信息的目的和方式。在前两种情形下，应当认定宿主APP提供者为 SDK 收集的个人信息的处理者，承担提供相关个人信息处理情况给个人查阅复
制的义务。在第三种情形下，由于APP 提供者并未参与SDK 对个人信息的收 集，不承担该部分个人信息的披露义务，若在此情形下判令APP 提供者披露 SDK 收集的个人信息相关情况，可能会造成倒逼APP 参与第三方SDK 个人信 息收集的后果，增加个人信息处理者的数量，反而提高了用户个人信息的风险。 本案中，由于未有证据证明电商公司与第三方SDK提供者存在委托或共同处理





268


中国法院2024年度案例 ·人格权纠纷


个人信息的关系，故，法院对于周某某要求电商公司披露第三方SDK 收集的个 人信息相关情况的诉请，不予支持。
四 、查阅复制成本过高是否属于个人信息处理者的免责理由
一般说来，个人行使查阅复制权必然会增加个人信息处理者的成本负担， 特别是在查阅复制的个人信息种类众多、时间跨度大的情况下。对于查阅复制 的成本问题，民法典和个人信息保护法均未涉及。原则上，个人信息处理者不 能以成本过高为由拒绝个人行使查阅复制权的请求，其理由在于：查阅复制权 属个人的法定权利，从个人信息处理者的角度，充分保障用户的个人信息合法 权益，可以有效提升其服务水平，增强其在数字经济时代的市场竞争力，虽然 短期内可能会增加个人信息处理者的运营成本，但对其长远发展具有重要的积 极作用。故，个人信息处理者不应以成本过高为由拒绝履行法定义务，相反， 应当以此为契机推动系统、机制和服务的升级换代，切实提升自身的合规化水 平和市场竞争力。
五、查阅复制权该采取何种方式实现
查阅复制权，包含了查阅和复制两种权利。若个人行使复制权或同时行使 查阅复制权，则个人信息处理者应向个人提供个人信息副本。本案中，电商公 司抗辩称其已向周某某提供了便捷的个人信息查阅途径，但提供查阅途径不能 视为已满足周某某复制个人信息的请求，故，法院对其抗辩不予采纳。个人信 息副本应当采取书面形式，包括纸介质或者电子介质。从减少个人信息处理者的 披露成本、方便个人查阅的角度，可采取电子副本的方式。至于电子副本的格 式，实务中不应作过多限制，只要该格式能满足个人便利查阅个人信息的需求 即可。
本案裁判倡导：个人信息处理者应当把个人信息保护的理念融入处理活动 和业务实践的全流程，在个人信息收集、储存、使用、加工、传输等环节预先 考虑个人信息权益保障的需求，为全面、高效履行个人信息权益保障法定职责 奠定基础。
编写人：广东省广州市中级人民法院 陈嘉贤