大数据时代的背景下，随着人工智能的普及、社会信息化的发展，每个人都不可避免地接触网络平台，大数据为人们带来便利的同时，也存在着诸多风险。网络平台不得不收集个人信息以维系其运营，保障网络安全。而使用者提供个人信息，难免受网络多平台数据流通、信息留痕等弊端的影响，导致个人信息在所难免地泄露，在此情形下，个人信息的安全也面临挑战。网络平台的信息收集并非法无禁止，判断其侵权界限与维护个人信息紧密相关。

网络平台收集个人信息的规则、原则

《中华人民共和国民法典》第1035条规定： 处理个人信息的，应当遵循合法、正当、必要原则，不得过度处理，并符合下列条件：（一）征得该自然人或者其监护人同意，但是法律、行政法规另有规定的除外；（二）公开处理信息的规则；（三）明示处理信息的目的、方式和范围；（四）不违反法律、行政法规的规定和双方的约定。个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开等。

1、合法、正当、必要原则。网络平台收集个人信息需存在正当性理由，应有明确、合理的目的。同时其收集个人信息的目的，不仅应当符合社会道德、公序良俗，更应当符合现行法律的规范。

2、“告知-同意”与“单独同意”规则。（1）规则解析。“告知-同意”规则即在网络平台在收集使用者的个人信息之前，需告知使用者，并征得使用者的同意。例如在下载安装软件后，进入软件后平台会要求使用者阅读声明并勾选“同意”或是“不同意”的选项，平台以此体现其履行了告知义务。然而实践中，如果用户不勾选“同意”选项，很大概率无法使用该软件。因此，使用者仅是被告知平台可能获取其个人信息，但使用者是否真正同意却仍待探究。

即便网络平台通过上述方式获得使用者的“同意”授权，也并不意味其可以无限地获取使用者的个人信息，“单独同意”规则对此情形进行了具体的限制，即《中华人民共和国个人信息保护法》第 29 条规定：处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。

敏感个人信息包括生物识别信息（指纹、面部特征）、宗教信仰信息、特定身份信息（如身份证号、护照号）、医疗健康信息、金融账户信息、行踪轨迹信息、不满十四周岁未成年人个人信息。对于敏感个人信息，需要平台获得使用者的单独同意，否则平台无权获取用户的敏感个人信息。

（2）案例。2022年7月21日，国家互联网信息办公室对滴滴全球股份有限公司违法收集个人信息处人民币80.26亿元罚款，对滴滴全球股份有限公司董事长兼CEO程维、总裁柳青各处人民币100万元罚款。

在此案例之中，滴滴公司违法收集用户手机相册中截图1196.39万条、收集乘客人脸识别信息1.07亿条、年龄段信息5350.92万条、未明确告知乘客情况下分析乘客出行意图信息539.76亿条。

滴滴公司的违法行为，不仅侵犯了使用者的敏感个人信息，更是违背了收集个人信息需以合法、正当、必要为原则，其收集个人信息数量之多，涉及之广，显然超出了合理的范围。

3、保障个人信息主体的权利。（1）法律规定。《中华人民共和国个人信息保护法》第六十九条第一款规定：处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。

《中华人民共和国民法典》第1037条规定：自然人可以依法向信息处理者查阅或者复制其个人信息;发现信息有错误的，有权提出异议并请求及时采取更正等必要措施。

自然人发现信息处理者违反法律、行政法规的规定或者双方的约定处理其个人信息的，有权请求信息处理者及时删除。

上述法律规定了个人信息主体的部分权利，例如查阅、复制权、更正权及删除权，网络平台有义务保障个人信息主体的合法权益。然而在实践中，存在部分网络平台阻碍使用者查阅、复制其个人信息，对使用者更正个人信息的行为持漠视态度，甚至在使用者注销平台账号成为困难，账号注销后平台仍使用其个人信息，这些行为是对使用者享有的个人信息合法权益的侵害。

随着信息公开化，言论自由的不断发展，网络平台匿名化发声更是深受民众喜爱，也因此引发部分极端网友在网络平台“开盒”，曝光他人的个人信息，对受害者造成了极大影响。而网络平台作为个人信息的承载平台，存在安全保障义务，在类似“开盒”事件中，除了实施“开盒”的行为人外，网络平台也侵犯了受害者的权利。

二、个人信息主体的维权路径

随着科技的发展，一系列技术工具的开发出现和被使用，给人民群众造成了很大的损失。一起来了解一下有哪些形式吧！

1、向相关部门进行投诉。《中华人民共和国个人信息保护法》第65条规定：任何组织、个人有权对违法个人信息处理活动向履行个人信息保护职责的部门进行投诉、举报。收到投诉、举报的部门应当依法及时处理，并将处理结果告知投诉、举报人。

当使用者发现网络平台过度收集个人信息之事，可以向网信部门、市场监督部门、公安机关等举报网络平台侵犯个人信息的具体行为。若网络平台确实存在侵权行为，相关部门会责令其改正，并处以行政处罚。

2、提起民事诉讼。《中华人民共和国个人信息保护法》第50条规定：个人信息处理者应当建立便捷的个人行使权利的申请受理和处理机制。拒绝个人行使权利的请求的，应当说明理由。

个人信息处理者拒绝个人行使权利的请求的，个人可以依法向人民法院提起诉讼。

使用者发现网络平台存在侵犯其个人信息的行为之时，可以向人民法院提起民事诉讼要求网络平台承担侵权责任，并要求赔偿损害。

然而在实践中，使用者维权的难度较大。第一，个人信息的界定也存在争议。个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。 因此个人信息具有可识别性和关联性，然而网络平台在处理使用者的个人信息之时，存在匿名处理使用者个人信息的情形，匿名化处理并不意味着网络平台免责，匿名化处理后的个人信息是否仍具有可识别性和关联性，往往需要进一步认定。第二，使用者往往在不知情的情形下向网络平台进行个人信息的授权。网络平台获取使用者授权的方式往往冗杂，文字叙述较长，大部分使用者不会一一阅读，在此情形下使用者进行授权后网络平台对其信息进行处理，是否真正侵权也需进一步认定。因此通过民事诉讼维权的前提是，使用者在使用过程中留存与网络平台的沟通证据，证明平台侵权，做到有备无患。

3、向公安机关报案。网络平台的侵权行为严重，对使用者造成极大损失之时，使用者应向公安机关报案，追究网络平台的刑事责任，以避免网络平台对使用者侵害的进一步扩张，最大程度地减少对使用者权益的损害。

作者介绍

京师大连实习律师--郜欣煜

北京市京师（大连）律师事务所实习律师郜欣煜，中共党员，本科法学专业，毕业于河南财经政法大学。思维严谨、逻辑性强，拥有深厚的文字功底和扎实的法律专业素养，专注民商事领域的案件办理。