大数据时代侵害个人信息行为认定

　　案情简介
　　2019年6月27、28日，江苏省江阴市市场监管局要塞分局对辖区某教育培训机构现场检查时，在其营业场所办公室的电脑中发现一个名为“江阴”的文件夹。文件夹中是几十个标注江阴各个中小学名称的EXCEL表格，涵盖江阴市绝大部分中小学学生和家长的信息资料。
　　经执法人员初步清点，文件里含有“学校，学生姓名、性别、年级、班级，学生家庭地址，家长姓名及电话”内容的个人信息14万余条。执法人员还在当事人办公室内发现做过标记的上述EXCEL表格打印资料500余张。由于当事人的行为涉嫌非法收集、使用消费者个人信息，执法人员对当事人立案调查。

调查处理
　　执法人员通过电信部门调取当事人办公场所6部固定电话6个月内的通话记录，随机拨打通话记录中的部分电话及打印资料中做过标记的部分学生家长电话，并将这些通话录音作为证据固定。
　　经查，当事人主要面向小学初中学生提供非学历文化教育培训，通过不明渠道获得江阴市97所各类学校学生的个人信息14万余条。当事人在未取得学生家长同意的情况下，以打电话的方式推销商业性教育培训服务业务，在部分学生家长明确拒绝后，仍多次打电话推销业务。同时，当事人拨打电话后，在资料中标记推销业务的结果以及打电话的次数。当事人还在学校门口以发放小礼品的方式采集学生姓名、家长电话等个人信息，并打电话推销业务。
　　江阴市市场监管局认为，当事人的行为违反了《消费者权益保护法》第二十九条及《江苏省消费者权益保护条例》第十六条、第十八条的规定，构成侵害消费者个人信息行为。依据《江苏省消费者权益保护条例》第六十二条之规定，江阴市市场监管局对当事人罚款30万元。
　　由于当事人非法收集消费者个人信息数量巨大，符合涉嫌犯罪移送标准，江阴市市场监管局依法将案件线索移送江阴市公安局。

法律分析
　　《消费者权益保护法》及《侵害消费者权益行为处罚办法》对保护个人信息作出明确规定，为相关执法提供有力依据。根据《消费者权益保护法》的规定，侵害消费者个人信息行为的表现形式包括：经营者未经消费者同意使用消费者个人信息，经营者未经消费者同意或者请求向其发送商业性信息，经营者在消费者拒绝的情况下向其发送商业性信息等。
　　本案中，当事人收集、使用上述个人信息违背了合法、正当、必要的原则，未经过本人同意而使用个人信息，动机在于推送商业广告以获得商业竞争优势，最终目的在于挖掘潜在客户，促成商业交易。
　　近年来，由于我国不断加大对侵害消费者个人信息行为的打击力度，此类违法行为愈加隐蔽，对执法人员依法行政、固定证据提出更高要求。
　　《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（简称《解释》）第五条规定：“非法获取、出售或者提供公民个人信息，具有下列情形之一的，应当认定为刑法第二百五十三条之一规定的‘情节严重’……（三）非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息五十条以上的；（四）非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息五百条以上的；（五）非法获取、出售或者提供第三项、第四项规定以外的公民个人信息五千条以上的。”本案中，当事人收集的个人信息包含“学校，学生姓名、性别、年级、班级，学生家庭地址，家长姓名及电话”等内容，不能提供信息的合法来源，已达《解释》规定的入刑标准，江阴市市场监管局据此将本案移送公安机关。
　　由于侵害消费者个人信息案较难取证，能借鉴的既往案例较少，执法人员在对本案定性处罚时存在不同意见。
　　一是本案能否适用《消费者权益保护法》。对于认定当事人行为性质的法律适用，执法人员有不同观点。一种观点认为，当事人只是拨打电话推销，没有实际提供培训服务，也没有形成消费合意，不属于《消费者权益保护法》意义上的经营者和消费者，不能适用《消费者权益保护法》。
　　第二种观点认为，《消费者权益保护法》中的经营者是指从事生产、销售商品或者提供服务等经营活动的民事主体。《消费者权益保护法》立法本意是保护广大的消费者，是一个广义范畴。从当事人按照个人信息名单打电话的行为可以看出，当事人将电话接听者作为购买其课程培训服务的潜在消费者，消费者接到电话即等同于接受其推销服务。当事人未获得消费者同意，使用消费者个人信息向消费者多次反复推销课程培训，违背了收集、使用个人信息应合法、正当、必要的原则，应当适用《消费者权益保护法》。
　　江阴市市场监管局认为，《消费者权益保护法》的立法目的是为保护消费者的合法权益，其规范的应当是整个消费领域及消费关系，第二种观点符合法律的立法原意。最终，江阴市市场监管局采纳了第二种意见。
　　二是当事人行为性质如何认定。一种观点认为，根据执法人员现场查获的打印资料标记情况、当事人在多次询问笔录中的陈述，结合其经营范围和查获电子资料、文书资料中特定的指向对象（学生的家长），可以认定其行为性质。
　　第二种观点认为，本案查证的重点在于是否非法使用（包括明确拒绝后继续使用）个人信息，需要结合当事人笔录、证人证言等证据，明确相关证据同当事人和消费者个人之间的关系，非法即未获同意，使用即通过何种方式作出何种行为，对于现场查获证据的核实核对尤为重要。
　　江阴市市场监管局最终采纳了第二种观点。本案中，执法人员采取随机抽查的方式向消费者求证，并与现场查获的证据一一比对，由此印证当事人的违法行为和涉案个人信息数量范围。
　　三是当事人违法所得如何认定。一种观点认为，当事人非法使用消费者个人信息推销其教育培训业务，可将其通过打电话方式招徕的学员学费全部计算为违法所得。
　　第二种观点认为，当事人以电话邀约的方式推销其业务，消费者作为业务对象具有独立判断和自主选择的权利，现实过程中也不会仅凭来电确认交纳培训费用。学费并非当事人违法行为获取的利润，而是其通过违法行为获取生源，合法授课培训后的经营额。本案当事人未单独统计、无法提供仅以电话邀约方式办理培训业务的人数和收费金额。
　　江阴市市场监管局最终采纳了第二种观点，认定本案的违法所得无法计算。

案件思考
　　随着经济社会发展，消费者个人信息逐渐成为一种重要资源，也让一些不良商家动起歪脑筋。本案的查办，对不法商家起到较强震慑作用，对消费者起到教育和引导作用。一方面，通过对一些行业性、典型性问题集中约谈、警示宣传，增强经营者守法经营意识，树立尊重消费者个人信息依法得到保护权利的理念，切实规范行业秩序，营造市场公平竞争良好环境；另一方面，通过多种形式广泛宣传，教育和引导广大消费者主动保护个人信息，审慎同意经营者收集或使用个人信息的行为。
　　此外，拓宽案件线索来源渠道、通过大数据统计分析及时锁定重点行业和领域、不断提高专项执法行动的靶向性等做法，对有效遏制社会热点行业中侵害消费者权益行为的蔓延势头起到积极作用。

□江苏省江阴市市场监管局 蔡 轶