案例解读
经营者因提供失实借贷风险报告且未能证明所处理个人信息来源，依法承担民事责任[6]
【案情简介】
“××管家”系××木公司在微信公众平台注册的服务号。用户在“××贷款”微信公众号首页点击右下方“信用报告”处，便会自动跳转至“××管家”微信公众号页面。“××管家”为用户提供信息查询服务。“××贷款”系×策公司在微信公众平台注册的服务号，由×策公司经营管理。
黄某经注册成为“××管家”用户。注册过程中，黄某在微信公众平台上输入其姓名、实名认证手机号码并通过了实时手机短信验证。同时，黄某勾选并同意《××管家协议》（包含隐私政策）。2019年8月，黄某在线确认《身份认证协议》及《借贷风险报告查询授权书》，并通过微信支付向××木公司付款19.9元，用于购买××木公司提供的借贷风险报告服务，商品名称为“借贷风险报告（管家报告）”。
黄某通过微信公众平台认证后获取了××木公司出具的案涉《借贷风险报告》，报告显示黄某存在“命中网贷黑名单、存在不良行为、存在司法案例、存在司法执行记录”等贷前风险；网贷被拒率85%。
2019年9月，黄某向法院提起诉讼，请求：1.判令被告×策公司、××木公司删除《××贷款借贷风险报告》关于原告风险点、贷前风险扫描、借贷行为分析等内容；2.判令被告向原告支付惩罚性赔偿500元及误工费2500元；3.案件受理费由两被告承担。黄某认为，首先，“××贷款”公众号提供的信息服务涉及用户个人交易活动等众多信息，×策公司收集黄某个人信息后擅自将该信息交由××木公司处理，属于非法交换、提供公民个人信息，同时违反了《征信业管理条例》第三条有关从事征信业务及相关活动不得侵犯个人隐私的规定。其次，×策公司向原告提供服务存在欺诈。“××贷款”微信公众号向黄某提供的《（网络版）借贷风险报告》与黄某提交的中国人民银行征信中心《个人信用报告》内容不符。《借贷风险报告》直接影响了黄某办理贷款、分期付款等业务，故被告应当依法向原告承担相应的民事责任。
×策公司、××木公司辩称：（1）×策公司通过微信公众号“××贷款”为××木公司提供推广宣传服务，××木公司通过嵌于“××贷款”中的“××管家”H5页面为黄某提供信息查询服务。黄某主张两被告违法侵犯个人隐私、提供虚假个人信息，缺乏事实及法律依据。（2）两被告提供信息查询服务前，已取得黄某书面授权，黄某同意两被告出于提供服务的目的收集个人信息，两被告提交的网络操作日志及协议可以证实。（3）黄某主张《（网络版）借贷风险报告》有关“网贷黑名单、司法风险信息、贷前风险扫描、网贷被拒率”的内容为虚假信息，但未就此举证，亦未提供因该信息给黄某造成损害的证据。（4）黄某提交的中国人民银行征信中心《个人信用报告》仅为各大商业银行报送的借款及还款数据，未体现黄某在各大P2P平台、小贷公司、消费金融公司等申请贷款及还款情况。因此，该《个人信用报告》不能用于对比案涉《借贷风险报告》。此外，根据《征信业管理条例》的相关规定，信息主体认为征信机构采集、保存、提供的信息存在错误、遗漏的，有权向征信机构或者信息提供者提出异议，要求更正。据此，法律并未明确要求征信机构保证信息的真实性，如黄某认为两被告提供的信息有误，应当向两被告提出异议，但黄某未向两被告提出异议申请。（5）两被告系依法从事信息服务，平台数据均来源于合法的数据源机构或者依法公开的司法案例、司法执行信息，以及向P2P行业监管机构对逾期借款人的信用处罚措施获取的信息，未侵犯他人合法权益。
该案审理过程中，黄某提交了中国人民银行征信中心出具的《个人信用报告》，该报告“公共记录”一栏显示，系统中没有黄某最近5年内的欠税记录、民事判决记录、强制执行记录、行政处罚记录及电信欠费记录。
庭审时，黄某自认其提交的《借贷风险报告》不完整，因其已删除案涉《借贷风险报告》，故无法向法院提供完整的《借贷风险报告》。××木公司确认《借贷风险报告》仅有结论性描述，未列明“不良行为”“司法案例”“司法执行记录”“网贷黑名单”所指具体内容，××木公司亦因未掌握该内容信息而无法向法院提供。此外，××木公司称其未留存案涉《借贷风险报告》，如黄某对《借贷风险报告》内容持有异议，可在微信公众平台申请异议或致电客服对异议进行进一步核实。黄某庭审时明确表示不同意在微信公众平台上就案涉《借贷风险报告》向××木公司提出异议申请，亦不要求××木公司重新出具《借贷风险报告》。
另查明，《××管家服务协议》第二条（××管家服务）第一项约定：“本协议项下的服务是指××管家向您（用户）提供的包括但不限于个人信息查询、身份认证等服务，具体以××管家当时所提供的服务内容为准。”第三条（××管家账户）第一项第4点约定：“当您注册××管家后，即证明、声明、授权××管家可收集、使用、保存、整理、加工和提供您的信息、您在××管家发布的信息及其他相关信息等。”第四条（个人用户隐私保护及授权条款）第五项约定：“在不透露您的隐私信息的前提下，××管家有权对整个用户数据库进行分析并对用户数据库进行商业上的利用。”《借贷风险报告查询授权书》显示，黄某同意授权××管家通过合法存有其本人信息的机构收集本人信息，可进行相关处理（包括但不限于整理、保存、加工、提供）并向本人出具报告。收集信息的范围包括但不限于身份信息、交易信息、履约信息、联系信息、职业信息、政务信息、设备信息、资产信息、借贷风险信息。
【案例焦点】
本案是因经营者向消费者提供的《借贷风险报告》所载信息失实，消费者要求经营者承担消费欺诈惩罚性赔偿责任的民事纠纷。
本案纠纷产生时，民法典、个人信息保护法尚未出台，因涉及消费者权益保护，故本案审理适用的是消费者权益保护法的相关规定。但值得注意的是，本案反映了个人信息保护纠纷中的诸多问题：第一，“××管家”经营者（即××木公司）为用户提供信息查询服务，是否属于个人信息处理活动，××木公司是否属于个人信息保护法规定的个人信息处理者？第二，案涉《××管家服务协议》《借贷风险报告查询授权书》关于“用户同意”的条款是否符合个人信息保护法有关个人信息处理规则的要求？第三，本案是否涉及两个以上个人信息处理者？第四，黄某以××木公司提供的报告所载信息有误，诉请××木公司删除相应报告，是否属于行使个人信息保护法第四十七条规定的删除权？第五，个人信息处理活动中的消费欺诈如何判断，其民事责任如何承担？
【裁判要旨】
法院经审理认为，××木公司向黄某提供的服务内容为个人信息查询、整合，并出具相应的《借贷风险报告》。××木公司在查询信息和出具《借贷风险报告》前，取得了黄某的授权，故相应《借贷风险报告》内容尤其是“风险点”的描述，应当具有事实依据，并与黄某的历史行为相符。而《借贷风险报告》仅显示黄某存在“命中网贷黑名单、存在不良行为、存在司法案例、存在司法执行记录”等贷前风险，并未列明前述风险点对应的事实信息，且有关“存在司法案例、存在司法执行记录”的表述与中国人民银行征信中心《个人信用报告》内容不符，××木公司亦无法说明前述信息的来源，故案涉《借贷风险报告》内容可能失实。××木公司作为提供个人信息查询服务的主体，不能提供真实个人信息却经营此服务，构成对黄某的欺诈，应当按照《中华人民共和国消费者权益保护法》第五十五条有关“经营者提供商品或者服务有欺诈行为的，应当按照消费者的要求增加赔偿其受到的损失，增加赔偿的金额为消费者购买商品的价款或者接受服务的费用的三倍；增加赔偿的金额不足五百元的，为五百元”的规定承担民事责任。据此，对黄某要求××木公司赔偿500元的诉讼请求予以支持。因×策公司非案涉《借贷风险报告》的提供者，亦未收取服务费，故并非案涉争议的信息服务经营者，对黄某要求×策公司承担相应民事责任的主张不予支持。
关于黄某要求××木公司删除案涉《借贷风险报告》相关信息的问题。因黄某自认已删除案涉《借贷风险报告》，未有证据显示××木公司或他人持有案涉《借贷风险报告》，故对黄某该项诉讼请求，法院不予支持。至于黄某主张误工费2500元，缺乏事实及法律依据，法院予以驳回。遂判决：一、××木公司于判决生效之日起五日内向原告黄某赔偿500元；二、驳回原告黄某的其他诉讼请求。
【专家评析】(https://www.daowen.com)
1.“××管家”经营者（即××木公司）为用户提供信息查询服务，是否属于个人信息处理活动，××木公司是否属于个人信息保护法规定的个人信息处理者
个人信息保护法第四条第二款列举的个人信息处理活动包括收集、存储、使用、加工、传输、提供、公开、删除等。具体到本案，××木公司经营微信公众号“××管家”，为用户提供信息查询服务。《××管家服务协议》约定，××木公司提供包括但不限于个人信息查询、身份认证等服务；当用户注册××管家后，即证明、声明、授权××管家可收集、使用、保存、整理、加工和提供用户的信息、在××管家发布的信息及其他相关信息等；“××管家”有权对整个用户数据库进行分析并对用户数据库进行商业上的利用。《借贷风险报告查询授权书》载明，用户同意授权“××管家”通过合法存有其本人信息的机构收集本人信息，可进行相关处理（包括但不限于整理、保存、加工、提供）并向本人出具报告。收集信息的范围包括但不限于身份信息、交易信息、履约信息、联系信息、职业信息、政务信息、设备信息、资产信息、借贷风险信息。实际上，黄某注册“××管家”时，需在微信公众平台上输入其姓名、实名认证手机号码，获取《借贷风险报告》还需进行活体认证。由此可见，××木公司在提供信息查询服务过程中，会自行收集黄某的姓名、手机号码、人脸等个人信息；也会从其他个人信息处理者处获取黄某个人信息并进行处理；最终以书面报告形式记录黄某个人信息并提供给黄某；此外，××木公司还将对包括黄某在内的整个用户数据库进行分析并对用户数据库进行商业上的利用。前述活动涵盖了个人信息保护法第四条第二款列举的各类个人信息处理活动。因此，××木公司属于个人信息保护法规定的个人信息处理者。
2.案涉《××管家服务协议》《借贷风险报告查询授权书》关于“用户同意”的条款是否符合个人信息保护法有关个人信息处理规则的要求
个人信息保护法规定了个人信息处理规则。本案中，××木公司处理黄某个人信息，双方订立的《××管家服务协议》《借贷风险报告查询授权书》虽约定了黄某的注册行为即代表黄某证明、声明、授权“××管家”可收集、使用、保存、整理、加工和提供黄某的信息、在××管家发布的信息及其他相关信息等，但根据个人信息保护法第十四条的规定，基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。另根据第十七条的规定，个人信息处理者在处理个人信息前，还应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知个人信息的处理目的、处理方式，处理的个人信息种类、保存期限等事项。××木公司制定上述协议内容，有关将处理黄某“在××管家发布的信息及其他相关信息”的表述，未满足“真实、准确、完整地告知”要求，××木公司处理个人信息的种类亦不清晰，故黄某签订前述合同，不应视为“在充分知情的前提下自愿、明确作出”同意。同理，《借贷风险报告查询授权书》也通过“一揽子”授权的方式，以提供报告的名义，收集身份信息、交易信息、履约信息、联系信息、职业信息、政务信息、设备信息、资产信息、借贷风险信息。需注意的是，有关“包括但不限于”的表述本身即违反了“真实、准确、完整”的告知要求，其收集的个人信息种类似已超出履行合同所必需之范围。
3.本案是否涉及两个以上个人信息处理者
本案中，黄某系首先通过×策公司运营的微信公众号“××贷款”跳转至××木公司运营的“××管家”，进而接受××木公司提供的网络服务。黄某主张×策公司收集黄某个人信息后擅自将该信息交由××木公司处理，属于非法交换、提供公民个人信息，同时违反了《征信业管理条例》第三条有关从事征信业务及相关活动不得侵犯个人隐私的规定。对此，首先应当明确的是，×策公司和××木公司均是个人信息处理者，因为黄某在关注公众号时，公众号运营者必然收集了黄某的账号信息。其次，本案纠纷因提供信息查询服务引发，实际提供服务的是××木公司，故黄某主张×策公司存在非法交换、提供其个人信息的行为，缺乏事实依据。最后，×策公司和××木公司虽均为个人信息处理者，但二者系分别进行个人信息处理活动，就案涉服务本身，二者不存在共同处理黄某个人信息的情形。
4.黄某以××木公司提供的报告所载信息有误，诉请××木公司删除相应报告，是否属于行使个人信息保护法第四十七条规定的删除权
个人信息保护法第四十七条第一款规定了五种应当删除个人信息的情形。本案中，黄某是以××木公司提供的报告所载信息有误，诉请删除案涉报告。从黄某与××木公司订立合同的目的来看，黄某支付价款拟获取的是一份能够客观反映黄某贷款评估情况的报告，××木公司作为报告提供者应当确保报告内容真实、准确。现××木公司不能提供符合合同约定的报告，又不能说明其获取信息的渠道、来源，无法保证报告真实、准确，故属于个人信息保护法第四十七条第一款第一项中处理目的无法实现的情形，××木公司负有删除报告的义务。本案没有支持黄某有关删除报告内容的诉讼请求，是因为××木公司已经删除案涉《借贷风险报告》，黄某也没有诉请删除其他个人信息。当然，除了案涉《借贷风险报告》，××木公司因提供该项服务而处理的黄某个人信息，在符合上述法律规定的情况下，××木公司负有删除义务。黄某如有证据证明存在应当删除的情形，亦可向人民法院起诉要求××木公司删除。
5.个人信息处理活动中的消费欺诈如何判断，其民事责任如何承担
当民事主体经营个人信息处理业务时，除了适用个人信息保护法的规定，还要受消费者权益保护法的调整。消费者权益保护法第五十五条第一款规定：“经营者提供商品或者服务有欺诈行为的，应当按照消费者的要求增加赔偿其受到的损失，增加赔偿的金额为消费者购买商品的价款或者接受服务的费用的三倍；增加赔偿的金额不足五百元的，为五百元。法律另有规定的，依照其规定。”经营者是否构成欺诈，需根据欺诈的定义加以判断，即是否存在虚构事实或隐瞒真相，诱使相对方做出错误意思表示的行为。本案中，××木公司提供的《借贷风险报告》内容可能失实。××木公司作为提供个人信息查询服务的主体，不能提供真实个人信息却经营此服务，在黄某购买服务时未如实告知该情形，致使黄某价款损失19.9元，故构成对黄某的欺诈，应当承担惩罚性赔偿责任。
[1] 王利明、杨立新编著：《侵权行为法》，法律出版社1996年版，第55页。
[2] 张新宝：《中国侵权行为法》，中国社会科学出版社1995年版，第36页。
[3] 杨立新：《侵害公民个人电子信息的侵权行为及其责任》，载《法律科学（西北政法大学学报）》2013年第3期。
[4] 丁宇翔：《个人信息民事司法保护的若干难点及破解路径》，载《中国审判》2019年第19期。
[5] 《回应群众关切、净化网络环境、为公民个人信息保护提供更加优质的公益诉讼检察产品——最高检第八检察厅负责人就检察机关个人信息保护公益诉讼典型案例答记者问》，载法信网，https：//www.faxin.cn/lib/lfsf/sfContent.aspx？gid=H7559&userinput，最后访问时间：2021年11月7日。
[6] 案号：（2019）粤0192民初30958号。