二、争议焦点
（一）朱烨的网络活动踪迹是否属于个人隐私的问题
一审法院认为：个人隐私除了用户个人信息外还包含私人活动、私有领域。朱烨利用三个特定词汇进行网络搜索的行为，将在互联网空间留下私人的活动轨迹，这一活动轨迹展示了个人上网的偏好，反映个人的兴趣、需求等私人信息，在一定程度上标识个人基本情况和个人私有生活情况，属于个人隐私的范围。百度未经朱烨许可收集、利用了该特定行为产生的信息。
百度认为：本案中的搜索关键词和个性化推广内容与朱烨不存在特定指向关系，不存在网络侵犯隐私权的基础。Cookie技术是一项合法的、基础的、中立的工具，在全球范围内被谷歌、雅虎、亚马逊等网络服务商普遍采用。本案中的Cookie信息无法与特定的人相联系，也不包含《电信和互联网用户个人信息保护规定》第4条规定的个人身份识别信息，百度为客户在合作网站上展示推广的内容仅是一种个性化展现，百度所收集的仅是不可识别的网络行为碎片化信息，而非现实世界中具体的个人信息，根本不可能与朱烨发生对应识别关系。《最高人民法院关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》第12条第1款将“公开”作为互联网环境下侵犯隐私权的构成要件。
百度并未公开、宣扬朱烨隐私。朱烨搜索的“减肥”“丰胸”“人工流产”三个关键词，不包含朱烨的身份信息，不是朱烨的隐私。百度也根本不可能知悉搜索“减肥”“丰胸”“人工流产”等关键词的是朱烨。且百度并未向第三人提供、公开朱烨的信息，朱烨的信息在朱烨的电脑中，在其控制之下，并没有为公众所知悉。
二审法院认为：百度在提供个性化推荐服务中运用网络技术收集、利用的是未能与网络用户个人身份对应识别的数据信息，该数据信息的匿名化特征不符合“个人信息”的可识别性要求。网络用户通过使用搜索引擎形成的检索关键词记录，虽然反映了网络用户的网络活动轨迹及上网偏好，具有隐私属性，但这种网络活动轨迹及上网偏好一旦与网络用户身份相分离，便无法确定具体的信息归属主体，不再属于个人信息范畴。经查，百度个性化推荐服务收集和推送信息的终端是浏览器，没有定向识别使用该浏览器的网络用户身份。虽然朱烨因长期固定使用同一浏览器，感觉自己的网络活动轨迹和上网偏好被百度收集利用，但事实上百度在提供个性化推荐服务中没有且无必要将搜索关键词记录和朱烨的个人身份信息联系起来。
（二）百度使用Cookie技术收集上述信息，是否侵犯了朱烨知情权
一审法院认为：由于百度在网站中默认的是网民同意百度使用Cookie技术收集并利用网民的上网信息，网民可能根本就不知道自己的私人信息会被收集和利用，更无从对此表示同意，这就要求百度在默认“选择同意”时要承担更多、更严格的说明和提醒义务，以便网民对百度的行为有充分的了解，进而作出理性的选择。但百度网页中的《使用百度前必读》标识，虽有说明和提醒的内容，但该字却放在了网页的最下方，不仅字体明显较小，而且还夹放在“2014Baidu”与“京ICP证030173号”中间，实在难以识别并加以注意，无法起到规范的说明和提醒作用，不足以让朱烨明了存在“选择同意”的权利。
百度认为：百度网站首页《使用百度前必读》中的《隐私权保护声明》中已经明确告知用户使用Cookie技术是为用户提供服务，保障了用户的知情权。而且百度网站也提供了选择退出机制，朱烨可以通过关闭设置，非常轻松且没有任何成本地阻止推广结果的展现。同时，朱烨也可以通过浏览器对Cookie进行设置，包括禁用Cookie或清除Cookie。国家质量监督检验检疫总局、国家标准化管理委员会2012年11月5日批准发布的《信息安全技术公共及商用服务信息系统个人信息保护指南》（GB/Z 28828—2012）明确个人信息是指可为信息系统所处理、与特定自然人相关、能够单独或通过与其他信息结合识别该特定自然人的计算机数据。个人信息分为个人敏感信息和个人一般信息。收集个人敏感信息时，要得到个人信息主体的明示同意；收集个人一般信息时，可以认为个人信息主体默许同意，如果个人信息主体明确反对，要停止收集或删除个人信息。因此，本案中百度对于不属于个人信息的网络行为碎片化信息的收集更不需要明示同意。
二审法院认为：百度在《使用百度前必读》中已经明确告知网络用户可以使用包括禁用Cookie、清除Cookie或者提供禁用按钮等方式阻止个性化推荐内容的展现，尊重了网络用户的选择权。至于原审法院认为百度没有尽到显著提醒说明义务的问题，本院认为，Cookie技术是当前互联网领域普遍采用的一种信息技术，基于此而产生的个性化推荐服务仅涉及匿名信息的收集、利用，且使用方式仅为将该匿名信息作为触发相关个性化推荐信息的算法之一，网络服务提供者对个性化推荐服务依法明示告知即可，网络用户亦应当努力掌握互联网知识和使用技能，提高自我适应能力。经查，百度将《使用百度前必读》的链接设置于首页下方与互联网行业通行的设计位置相符，链接字体虽小于处于首页中心位置的搜索栏字体，但该首页的整体设计风格为简约型，并无过多图片和文字，网络用户施以普通注意义务足以发现该链接。在《使用百度前必读》中，百度已经明确说明Cookie技术、使用Cookie技术的可能性后果以及通过提供禁用按钮向用户提供选择退出机制，朱烨在百度已经明确告知上述事项后，仍然使用百度搜索引擎服务，应视为对百度采用默认“选择同意”方式的认可。《信息安全技术公共及商用服务信息系统个人信息保护指南》（GB/Z 28828—2012）5.2.3条规定：“处理个人信息前要征得个人信息主体的同意，包括默许同意或明示同意。收集个人一般信息时，可认为个人信息主体默许同意，如果个人信息主体明确反对，要停止收集或删除个人信息；收集个人敏感信息时，要得到个人信息主体的明示同意。”参考该国家标准化指导性技术文件精神，将个人信息区分为个人敏感信息和非个人敏感信息的一般个人信息而允许采用不同的知情同意模式，旨在保护个人人格尊严与促进技术创新之间寻求最大公约数。举重以明轻，百度在对匿名信息进行收集、利用时采取明示告知和默示同意相结合的方式亦不违反国家对信息行业个人信息保护的公共政策导向，未侵犯网络用户的选择权和知情权。
（三）使用Cookie技术记录用户上网信息，并向用户推送广告，是否构成侵权
二审法院认为：《最高人民法院关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》第12条第1款规定，网络用户或者网络服务提供者利用网络公开自然人基因信息、病历资料、健康检查资料、犯罪记录、家庭住址、私人活动等个人隐私和其他个人信息，造成他人损害，被侵权人请求其承担侵权责任的，人民法院应予支持。
该规定第12条强调了“利用网络公开个人隐私和个人信息的行为”和“造成损害”是利用信息网络侵害个人隐私和个人信息的侵权构成要件。本案中，百度利用网络技术通过百度联盟合作网站提供个性化推荐服务，其检索关键词海量数据库以及大数据算法均在计算机系统内部操作，并未直接将百度因提供搜索引擎服务而产生的海量数据库和Cookie信息向第三方或公众展示，没有任何的公开行为，不符合规定第12条规定的利用网络公开个人信息侵害个人隐私的行为特征。同时，朱烨也没有提供证据证明百度的个性化推荐服务对其造成了事实上的实质性损害。朱烨虽然在诉讼中强调自己因百度的个性化推荐服务感到恐惧、精神高度紧张，但这仅是朱烨个人的主观感受，法院不能也不应仅凭朱烨的主观感受就认定百度的个性化推荐服务对朱烨造成事实上的实质性损害。百度的个性化推荐利用大数据分析提高了推荐服务的精准性，推荐服务只发生在服务器与特定浏览器之间，没有对外公开宣扬特定网络用户的网络活动轨迹及上网偏好，也没有强制网络用户必须接受个性化推荐服务，而是提供了相应的退出机制，没有对网络用户的生活安宁产生实质性损害。
二审法院撤销南京市鼓楼区人民法院（2013）鼓民初字第3031号民事判决，驳回朱烨的全部诉讼请求。