作者：金茂律师事务所  万波 律师  王书玥 律师助理 

一、问题的引出

近日，杭州互联网法院对一起因购物信息公开引发的个人信息保护纠纷案 作出了驳回原告起诉的裁定。

在该案中，杜某诉称：其是某网购平台用户，曾在该平台多次购买商品。某日，其在购物过程中，被平台发布的“好友圈好友等你开拼手气红包”字样吸引，遂点击该字样，随后页面跳出“进圈并邀请好友”的跳转链接，杜某继续点击进入“好友圈”。随后，杜某发现其在该平台的购物记录被自动公开并分享，部分购物记录被朋友看到和提醒，使其产生隐私受到侵犯的感受。杜某认为，依据《个人信息保护法》第十四条和第四十四条的规定，被告在处理用户个人信息时，侵犯其知情权和决定权，严重违反诚实信用原则，造成了相应精神损失，故向法院提起诉讼，要求被告停止侵权、赔礼道歉并赔偿损失。

平台方则辩称：杜某在用户注册时，平台已通过协议约定明确告知用户收集及使用用户个人信息的方式、范围及目的，并获得用户同意，且未收到杜某对其个人信息处理活动的查询申请或投诉信息，故不存在侵犯个人信息权益的行为。同时，平台提交了关于行使个人信息权利的申请受理和处理机制路径的相关材料。

而杭州互联网法院最终作出驳回起诉的依据是认为，起诉的前置条件是企业拒绝个人行使权利的请求。那么，我们个人信息主体在维护自身权利时应注意哪些要点呢？

二、相关法规

根据《个人信息保护法》的相关规定，个人信息主体拥有查阅权、复制权、更正权、删除权、撤回同意权等权利，具体条款可见《个人信息保护法》第四十四条至四十八条的规定，即第四章“个人在个人信息处理活动中的权利”的内容。

此外，还有一些散落在其他章节的个人信息主体权利。例如在第二十四条第三款规定了：“通过自动化决策方式作出对个人权益有重大影响的决定，个人有权要求个人信息处理者予以说明，并有权拒绝个人信息处理者仅通过自动化决策的方式作出决定。”

不过，本文所探讨的重点不在于这些权利本身，而在于个人如何实现上述权利。

作为个人信息处理者，“应当建立便捷的个人行使权利的申请受理和处理机制（《个人信息保护法》第五十条）”。除此之外，关于响应个人信息主体请求的时间期限，虽然在《个人信息保护法》中并没有明确规定，但在《App违法违规收集使用个人信息自评估指南》的第9.32项以及《网络安全标准实践指南 移动互联网应用程序（App）收集使用个人信息自评估指南》的第6.3项、《App违法违规收集使用个人信息行为认定方法》的第六点中，均提出了“十五个工作日”的时限要求。在2021年11月14日公布的《网络数据安全管理条例（征求意见稿）》中，也在第二十三条中直接规定自收到申请起“十五个工作日”内处理并反馈。

通常来说，个人信息处理者，即企业会给用户提供实现个人信息主体权利的入口。

以QQ为例，用户可以从“设置”中进入“个人信息保护设置”，从而查询或更正自己的个人信息，开启或关闭“个性化推荐”。

因此，在大多数情况下，我们可以通过企业提供的线上入口或客服，来实现个人信息主体的权利。

《个人信息保护法》第五十条规定：“个人信息处理者应当建立便捷的个人行使权利的申请受理和处理机制。拒绝个人行使权利的请求的，应当说明理由。个人信息处理者拒绝个人行使权利的请求的，个人可以依法向人民法院提起诉讼。”

故，根据第五十条第二款的规定，在企业拒绝个人的行权请求时，个人是有权向人民法院提起诉讼的。

三、案例分析

而在文章开头的案例中，原告杜某并未向平台提出行权请求。

杭州互联网法院认为，该案系网络侵权责任纠纷中的个人信息保护纠纷，结合案情和证据材料作程序审查，并未对侵权情形作实体审理。《个人信息保护法》第五十条和第六十九条对个人信息的司法保护做出了规定。前者适用于个人在个人信息保护法第四章所规定的个人信息权利受到侵害或妨碍，但没有产生损害时所产生的一种“个人信息权利请求权”；后者适用于个人信息权益受到侵权损害而产生的一种“侵权损害赔偿请求权”。只要个人信息权利受到侵害或侵害即将发生，用户即可请求行为人承担停止侵害、排除妨碍、消除危险等民事责任，在构成要件上无需考虑个人信息处理者的主观过错和造成实际损害的因素。其目的在于为个人信息权利提供一种防御性的保护，避免侵权行为进一步产生实质化的损害后果。同时，因个人信息流动大、使用频率高、范围广，在实践中，用户向个人信息处理者积极主张权利，是最快捷、最便利、最有效的维权方式。《个人信息保护法》第五十条第二款的诉权是以“个人信息处理者拒绝个人行使权利的请求”为前提，设置了个人向法院提起请求权救济的前置条件。本案中，被告平台通过协议约定和后台设置，构建了个人行使权利的申请受理及处理机制，杜某可通过以上方式行使个人信息知情权和决定权。但杜某提起本案诉讼前并未向平台（信息处理者）提出请求，而是径行向法院请求救济其在个人信息处理活动中享有的权利，显然不符合法律规定中关于“个人信息权利请求权”的起诉受理条件。

综上，杭州互联网法院作出了驳回起诉的裁定。同时，承办法官向杜某充分释明了权利救济的前置条件，引导其直接向个人信息处理者进行维权。

承办法官也指出：《个人信息保护法》第五十条的前置条件不仅直接明确信息处理者的权利保障义务，同时也有效避免司法资源的浪费。本案旨在探索信息主体行使个人信息权利时诉权的前置条件的司法审查标准，厘清《中华人民共和国个人信息保护法》第五十条与第六十九条不同请求权的适用条件，引导当事人直接向信息处理者或信息保护履职部门进行维权，同时避免司法介入过多而抑制个人信息的有效传播和共享，强调个人信息处理者所应承担的权利保障义务。网购平台作为平台服务提供者，处理大量用户的个人信息，应当建立起便捷高效的个人信息申请受理和处理机制，为个人信息主体行使权利提供救济渠道，当事人可直接通过该渠道实现权利的行使。用户在向法院提起诉讼前，应先向信息处理者和信息保护履职部门寻求权利救济，进而通过多方参与，共同守护我们的个人信息安全。

从该案的裁决中可以看出，法院作出驳回起诉的决定主要出于引导原告以“最便捷”的途径——即直接向平台请求，来实现个人信息主体权利的考虑。我们不难理解，诉讼案件的起诉到审理到判决生效的时间往往都长达几个月甚至几年，以如此长的周期来实现个人信息主体的权利，未免有些“不划算”。同时，也有浪费司法资源的弊端。

四、小结

杭州互联网法院的这一裁决，看似是为个人信息主体权利的实现设置了一重“障碍”——将“企业拒绝个人行使权利”作为起诉的前置条件，实际上是引导用户直接与企业进行沟通交涉，毕竟企业才是直接掌握个人信息的主体，个人直接与企业面对面沟通不失为最高效的解决问题的方式。从另一方面来说，这也是防止个人滥用权利的表现。

作为个人，应合理行使法律赋予你的权利，而不是进行一些无意义且对企业来说成本高昂的行权行为，在权益受到侵害时积极、正确地维权。而对于个人信息处理者的企业来说，为符合合规要求，应尽快规范并畅通内部个人信息响应流程，保障在规定期限内完成用户行权请求处理并反馈，同时避免不合理的成本负担，防止个人滥用权利。