卢颖&王莉：个人信息的共同处理 | 微课程
，时长22:05
目录
张冰玢：随着科学技术信息技术的发展，人们对于智能化的要求越来越高，而智能化离不开数据的共享与协作。期间不可避免地涉及多主体对于个人信息的共同处理活动，这也就是我们今天要讨论的话题。今天我们很荣幸地请到了上海市第一中级人民法院民事审判庭副庭长卢颖法官。
卢颖：大家好，我是卢颖。
张冰玢：以及安徽省合肥市中级人民法院民一庭副庭长王莉法官。
王莉：大家好，我是王莉。
张冰玢：请两位法官结合理论和实践，给我们讲一讲个人信息的共同处理问题。王法官，现在老百姓对于个人信息保护的关注度越来越高，而科学技术的发展又使得个人信息被泄露的风险逐渐提升。在这样的背景之下，我们司法实践层面有没有发生相应的变化呢？
王莉：实际上，实务上的变化还是非常显著的。我们可以看一下近年来就个人信息保护案件的相关数据情况。从数据显示，2021年到2024年期间，个人信息保护案件的数量从年均的700件已经上升到年均的1000多件，而这四年的案件数量已经远超过之前20年的同类案件数的总量了。
卢颖：案件增长还是蛮快的。据我了解的话，我们院也同样就这一类案件还是明显呈现出持续上涨态势的。
王莉：是的，另外就是检察机关通过公益诉讼的方式来主张的个人信息保护的案件也是非常多的。我们追溯一下案件数量变化的原因，其实是目前信息化的发展非常迅速，涉及到个人信息的收集和处理的情况非常频繁，而其中也出现了大量的个人信息被非法收集和非法使用的这种情况。这种情况严重地损害了人民群众的合法权益，对市场经济的秩序和安全也造成了非常不好的影响。
所以我们国家对于相关的立法最近也有很多动作，包括电子商务法、包括民法典的相关规定，而且还有2021年的个人信息保护法，不断地完善了个人信息保护的法制保障。所以近年来，当个人信息权益受到侵害的情况下，选择到法院诉讼来保护自身权益的案件数量也是处于一个激增的状况。
卢颖：确实是这样的。我们也发现，就像刚才王法官所说的，个人信息侵权、个人信息保护这一类纠纷，事实上目前整个增长都是非常迅速的。特别是在人工智能又进入这样一个战场之后，我们就会发现，不仅仅是个人信息的处理主体呈现更加复杂的情况，这一类侵权案件也呈现出更加复杂、更加多样化的态势。那么，关于个人信息共同处理这一类侵权类案件也呈现出更加复杂的状况。
张冰玢：实际上我们关于个人信息共同处理的这类侵权案件的认定规则还是处于一种探索的阶段。那现在客观上这样个人信息共同处理的场景又越来越复杂，我们要怎么样来应对这样的一种状况呢？
卢颖：我觉得首先还是要从法律规定本身来看，我们也看一下民法典以及个人信息保护法里面关于共同处理者的规定。从这两个法律上来看，目前个人信息共同处理者基本是被定义为两个或两个以上共同决定个人信息处理目的及处理方式的组织或个人。那我觉得这其中最主要的一个关键点还是在于处理目的以及处理方式的共同决定这一块上。
张冰玢：听上去比较抽象，我们日常生活中会不会碰到相应的情况呢？
卢颖：我来举一个例子。就比如说现在有一台智能的冰箱，我们还是会按照我们日常的习惯往里面储存我们自己喜欢的蔬菜啦、水果啦零食啦之类的。
那这一个冰箱，它不但按照日常的情况来获取我们的饮食习惯，同时它还会向比如说生鲜APP提供我们所喜欢的各类食品的种类，方便生鲜APP获取我们的饮食习惯。同时它可能会发现我这个人每天都要吃冰激凌，然后它就非常智能地推断出可能我的健康状况存在一定的风险，所以它同时向保险公司也提供了这样的一个数据。那突然有一天，我可能发现我自己的保费增加了，因为保险公司认为我的健康风险比较高，可能会有这样一种情况在目前的这种情况或者说是未来的某种情况里面出现。
那这里就涉及到了一个多方主体，首先是数据的提供者，就是我本人，也就是可能的投保人，以及第二个就是数据的处理者，那在这个情况下其实就是这个冰箱、智能冰箱。另外是数据的使用者，那可能是生鲜APP，也可能是保险公司等等，来共同处理我这个个人的数据的这样一个情况，出现了多方主体来处理同一个信息集的这样一个情况。那我觉得这可能是目前或者说是在未来的情况下可能会遇到的一种场景。
王莉：嗯，确实是这样。卢法官所说的，我们生活中的智能化的场景越来越多，包括我们日常会使用的健康运动的相关数据、体重的相关数据，包括这些数据都可能涉及到共同处理者的问题。但是我们也知道，个人信息的个人处理是涉及到很多的环节，那每一个环节都有可能出现多个主体。
卢颖：对，特别复杂。
王莉：是的。但是这个主体之间的关系它并不是完全一样的，是有多种的法律关系，其中有个人信息的数据共享、有个人信息的共同处理、还有个人信息的委托处理等多种法律情况。
张冰玢：那委托处理和数据共享又是什么样的情况呢？
王莉：个人信息的共享是指基本上有两方主体，一方是个人信息的提供者，一个是个人信息的接收方，但是他们两个是各自独立的个人信息主体，他们并不具有从属的关系。在个人信息共享的这种情况之下，如果出现了个人的信息权益受损，那这个法律责任的承担主体呢，一般来说，就是根据各方的各自的过错责任来承担相应的过错责任。
卢颖：那也就是说，我觉得其中最主要的一个关键点还是回到共同决定的判断上。
张冰玢：是的。
卢颖：那比如说在数据共享的情况下，事实上比如说像受托的处理者他是没有独立的处理目的的，是可以这么理解，对吧？那当然，这里面可能他也会有一种转化，比如说这个受托人，他在处理的过程中可能产生了跟委托人同样的处理的目的，那可能这种就会转化为是共同处理的情况，它本身也有一种转化的情况出现。
王莉：这个通常的个人委托处理的这种情况呢，如果是简单的符合法律规定的委托处理，他在个人信息权益受到损害的情况，对外承担责任的主体一般是委托方，而受托方在这个履行受托义务中发生有瑕疵行为的话，是通过委托方向受托方追责的方式来确定他的法律责任。
但是我们也要关注到，受托方如果在履行这个合同过程中有超出了相应的约定，做出了一些行为，而使自己成为一个独立的个人信息处理者的时候，他这个地位是确实会发生转化的，我们根据实际的情况来确定他的法律责任的承担。
张冰玢：那也就是说，其实从主体和行为上来看，委托处理、数据共享以及个人信息的共同处理都具有相似性，然后比较容易混淆。那我们到底要关注哪些关键事实来进行正确判断呢？
卢法官，我知道我们院有一起互联网投保案，是涉及到保险公司、保险经纪公司以及平台公司对消费者个人信息的一系列的处理活动，您能不能给我们讲一讲？
卢颖：这个案子也是我之前自己主审的，当时遇到的他什么样一个情况，我简要介绍一下。就是原告，他有某一天在搜索引擎上输入了自己的手机号，然后，就突然出现了自己曾经投保过的那个投保的信息，包括那个保单里的相应的一些个人信息都同时出现了。那么原告就非常奇怪，他想那总归是在某一个环节自己的个人信息被泄露了，但他也不能够确定到底是哪一家公司把他的个人信息具体泄露的。所以呢，就把可能接触到他信息的三家公司都告上了法庭。
那么在法庭上，大家都可以设想，那几个被告都不承认，对吧？大家都说，哎呀不是我做的，我是做的很好的啊，可能是对方做的，就这样，可能是对方侵权泄露了你的个人信息，都是这么来抗辩的。那么一审法院也驳回了原告的诉请，主要就是认为，你没有足够的证据来证明是某一方具体泄露了你的个人信息。
那原告二审中就很绝望了，原告说那我只能够知道自己的个人信息被泄露了，我没法去判断哪一方能够具体实施的这样一个行为。
王莉：这个举证责任是非常难实现。
卢颖：对，就很难的。那么我们在二审的时候就确实是做了一个实质性的审理，然后也审查了每一个环节。我们最终是认定首先平台公司是逃不掉的，平台公司肯定是有，因为它本身是直接的信息的处理者，那么他来承担责任。那同时的话是保险经纪人，因为他推荐了平台公司，然后他们之间有非常复杂的一些合作，那么让保险经纪人也来承担相应的责任了。
张冰玢：那我们为什么会认定保险经纪人和平台公司之间构成共同处理者呢？
卢颖：我们当时认定保险经纪人和平台公司之间构成信息的共同处理者，主要还是看他们的一个合作的关系。这里面，我们第一个环节是先确定了，就像我刚才介绍的，先确定了平台公司的责任，因为平台公司是实际的第一步来处理个人信息的这家公司。那么第二步，我们是来看这个保险经纪人和平台公司的关系，他们之间的合作。那从我们这个案子里面，是保险经纪人推荐了原告个人去使用这个平台公司，并且，他们中间还有一些非常复杂的联系都非常紧密的一些合作关系。从里面可以看出来，这保险经纪人也是实际地参与了处理个人信息的这样每一个环节，所以我们是判了保险经纪人和平台公司来共同的承担责任。
张冰玢：嗯，那相对而言，保险公司又是承担什么样的责任呢？
卢颖：保险公司我们在这个案子里面是没有让他承担责任，也是同样的一个判断的流程。首先是因为平台公司承担责任，那么保险公司在整个流程中我们总体的看下来，他跟平台公司之间其实没有一个直接的合作，也没有直接参与他个人信息的一个处理。从整个环节上来看，保险公司在整个处理过程中是没有相应的过错的。所以，我们当时就排除了保险公司承担责任。所以这案子判了之后呢，两家公司也很快就第一时间也就把这个赔偿也就都支付掉了，那原告也觉得就很放心，在这种情况下的话，终于把自己这个这个事情给解决掉了。
张冰玢：那也就是说是不是可以这样理解，首先我们要先关注处理主体之间存在客观的合作关系，然后呢，基于共同原因实施的处理行为，其次是处理主体给被侵权人造成了共同处理个人信息的外观表象，最后就是关注处理主体之间的合作模式，要能看出处理主体之间有共同决定的这样一个情况，又或者是处理主体之间的预先分工能够涵摄后续的共同决定。
卢颖：我觉得是这样的，我觉得概括得特别好。
张冰玢：那我还有一个问题要请教，个人信息保护法第20条第一款规定，个人信息共同处理者需要明确约定个人信息处理过程中的权利及义务，那显然我们刚才讲的那个案件没有详细的约定。那如果在有详细约定的情况下，我们是不是可以直接通过双方的约定就判定他们是个人信息的共同处理者了呢？
王莉：这个也是需要结合案件的实际发生的事实来进行确定的。之前有一个北京四中院的案件，对这一块内容有一个比较详细的论述，我觉得也非常有借鉴的意义。在这个案件过程中呢，有详细约定的这种情况来判断共同处理者。
具体的案情，主要是有三款APP分别由两个公司进行运营，但这是两个公司是基于一个统一的服务平台的一个体系来共享了个人账号中的个人信息。这两个公司之间存在有一个协议，这个协议是对个人信息的处理目的、处理方式、包括个人信息的处理种类，甚至于这个安全保障的内容都有了一个明确的约定。这个APP对用户的一个告知内容中呢，涉及到的个人信息的处理目的和处理方式呢，也具有一致性。
所以最终这个法院判决这两个公司作为三款APP的运营主体，从主体到运营内容具有极强的关联性，而且综合相关的信息可以证明两个公司之间实际上是通过协议形成了一个共同实施个人信息处理的一个行为，行为和约定具有一致性，且两公司的个人信息处理行为具有整体性，因此两公司的个人信息处理行为构成了个人信息的共同处理。
张冰玢：嗯，那也就是说，其实是在有约定的情况下，我们是来判断合同主体是否构成个人信息的共同处理者，然后再根据相关法律规定判断他们的共同处理行为是否构成侵权。
王莉：是的，抽象成一个判断的规则，主要是以下几个方面：第一个方面，是处理者之间是否具有关联性，包括主体之间、处理的内容和处理的方式之间是否具有关联性。第二个方面，就是各个个人信息的处理者，他们双方的约定是否涉及到个人信息的处理的目的、处理的方式、处理的内容，包括安全保障等内容。第三个方面，我们需要考虑的是在实际履行过程中，有没有按照双方协议的内容进行一致性的个人信息的处理行为。
张冰玢：嗯，明白了。也就是说，对于个人信息共同处理者的判断，我们要区分有没有约定，来进行认定规则的区分。首先在有约定的情况下，我们是判断合同的主体是否构成个人信息共同处理者，包括要审查主体的关联性、合同的具体约定以及行为和合同约定的一致性，来判断双方的主体性质，然后根据法律规定判断他们的共同处理行为是否构成侵权，之后才认定是否要承担相应的连带责任。
而在没有约定的情况下，我们首先先要确定个人信息权益受损环节的责任主体，然后判断其余主体是否与其构成个人信息的共同处理者，然后再认定双方对于损害的结果承担相应的连带责任。
卢颖：我觉得是这样的，就像我们之前那个案子里面体现的也是这样的一个思路。
张冰玢：那个人信息的共同处理是否能直接适用共同侵权的认定规则呢？
王莉：个人信息保护法第20条第2款有规定啊，个人信息处理者共同处理个人信息，侵害个人信息权益，造成损害的，应当依法承担连带责任。对于该款法律规定，从草案到正式版本其实有一个变化的过程，从一审稿的依法承担连带责任，到二审稿的应当承担连带责任，一直到正式稿的依法应当承担连带责任。
目前对该条款的理解，实务界包括理论界是有一定的争议性的。有观点认为，这个条款实际上是一个引致性的条款，具体的法律适用会指向民法典1168到1171条的相关规定。还有的观点是认为，这一条就是直接可以作为个人信息共同处理侵权的一个请求权基础。
从我个人来说，我其实觉得第二个观点我是比较赞同的，因为就是个人信息保护案件它有它的一个特殊性，包括从当事人双方的一个举证能力、强弱势地位的这种角度出发，采用后者的观点更有利于当事人合法权益的保护。不知道卢法官是什么意见？
卢颖：我也同意这个观点。我觉得，其实个人信息共同处理中的共同，它其实是一个比较客观和中立的这样一个概念，那和共同侵权的这样一种情况我觉得还是有不同的。
张冰玢：嗯，明白了。刚才呢，我们也对个人信息的共同处理问题进行了一个比较详尽的剖析。那现在实际上在人工智能加入的这样的一个情况下，共同处理的场景将会越来越复杂，包括还会有一个算法黑箱的问题。在这样的情况下，我们刚才总结的这样的一个认定规则是否会有相应变化呢？
卢颖：我们目前暂时还没有遇到过这一类的案件，但是我们可以预料到，因为人工智能的加入真的是像海啸一般的这样一种力量，其实是来冲击我们目前的审判以及案件的情况。那我们可以想，在未来可能很多种新的情况它都会有发生，那它影响到的我觉得这些像主体的一些复杂性啊、那案情的一些新类型啊、新情况啊，我个人是觉得不会影响到我们之前所概括出的这一个处理规则，因为这个处理规则我觉得还是很原则的，可以适用于很多新类型的复杂的情况的。
王莉：嗯，确实。不过值得注意的是，在开发者、运营者、用户三元侵权的结构之下，人工智能运营者，他是有一定的特殊性的。虽然运营者一般来说是作为一个平台的一个角色出现，虽然也有可能作为一个侵权主体，但是考虑到运营者平台实际的情况之下，我们还是要考虑他仅作为一个服务者的角色来进行定位。
张冰玢：也就是说，人工智能加入下，虽然主体发生了更为复杂的变化，侵权结构也发生了变化，但是实际上对于认定规则是不会有影响的，我们只需要注意到其中人工智能的运营者有一个平台提供网络服务者这样的一个特殊的角色。
王莉：是的。现在全球范围之内，运用人工智能进行人肉搜索、包括图片视频换脸的这种违法行为，甚至是犯罪行为均不少见。我们也可以预期到，在人工智能运用的背景之下，个人信息侵权的形势会越来越严峻。而我们现在目前实践过程中对人工智能的性质、包括对法律关系的影响、算法伦理等这些东西，我们还是在一个探索的过程中。所以面对目前的这种情况之下，虽然我们现在遇到的因人工智能侵权的案件数量并不多，但是我们可预期的情况之下，面对这种个人信息侵权逐渐加重的情况下，我们是必须要加以关注，尽快地探索出相关的法律规则。
卢颖：确实是这样的。就现在人民群众对于自己的个人信息的保护，那么如果说遇到自己个人信息被泄露的情况，其实大家都是越来越重视的。
王莉：是的。
卢颖：而且如果说在多方这种复杂的主体侵权的情况下，自己的信息随时被泄露，然后又不知道到底经历了怎么样的一个过程，其实大家都会很没有安全感。所以我觉得我们包括今天所探讨的这样一个问题、一些规则的明确，我觉得对于目前的现状、目前的情况都是非常有意义的。
张冰玢：感谢两位法官的精彩讲解。今天的微课程，两位法官给我们具体讲解了法律规定以及具体案例，带我们系统性地了解了个人信息共同处理的认定规则，同时也拓展分析了在人工智能加入的场景下个人信息共同处理可能会出现的新形势。好，以上就是我们本期金色天平微课程的全部内容，感谢大家的关注，我们下期再见。
卢颖：谢谢大家，再见。
王莉：再见。
视频拍摄、剪辑：龚史伟
