喜报！北京互联网法院裁判文书获评第六届全国法院“百篇优秀裁判文书”

——罗某诉深圳某科技公司侵害个人信息纠纷案

本案为全国首例适用民法典裁判的APP强制收集用户画像信息侵权案，具有广泛的社会影响力和关注度。本案明确了其收集和处理中两个基本问题的重要规则。一是是否需要获取用户同意，二是如何认定“有效同意”。法院的判决为用户画像的产业应用确立明确的法律规则适用标准，能够为包括用户画像在内的个人信息处理行为提供清晰的指引，有助于数字经济产业规范、有序、健康发展。此案入选第十四届全国人民代表大会第二次会议上最高人民法院所做的工作报告、2022年度全国消费维权十大提名案例。

原告罗某诉称，被告在未告知隐私政策的情况下，要求用户必须填写“姓名”“职业”“学习目的”“英语水平”等内容才能完成登录，属于强制收集用户画像信息。原告诉至法院，要求法院判令被告向原告提供个人信息副本、停止侵权、删除个人信息、赔礼道歉并赔偿损失。被告辩称，根据被告服务的性质，需根据不同用户需求，为用户推荐合适的服务内容，因此，收集相关标签是提供服务所必须，并未违反个人信息收集的必要性原则，且该信息是原告主动填写，原告通过自己主动作出的行为同意了被告的收集行为。生效裁判经审理查明，根据原告取证显示，原告在登录涉案网站时，进入账号登录页面输入用户名和密码，点击登录，即出现若干问答界面，需要对用户“职业”“学习目的”“英语水平”等内容进行填写，填写完成后，还需填写个人基本信息界面，输入中英文名等必填内容才能完成注册，进入到首页使用界面。上述过程中并无“跳过”“拒绝”等选项，亦无关于同意收集个人信息的提示。

被告收集行为是否构成订立履行合同所必需

本院结合相关行业规范和产品功能设置等判定涉案收集行为是否属于订立、履行合同所必需：

第一，从相关行业规范和标准上看，《常见类型移动互联网应用程序必要个人信息范围规定》，学习教育类APP基本功能服务为“在线辅导、网络课堂等”，必要个人信息为注册用户移动电话号码。从该规定可见，被告作为学习教育类软件，不应将电话号码之外的个人信息作为必要收集范围。《个人信息保护法》和《个人信息安全规范》等均明确规定，个性化决策推送信息不应作为必要或唯一的信息推送模式，需同时提供不针对个人特征的选项或提供便捷的拒绝方式。据此，被告不得以其仅提供个性化决策推送信息这一种业务模式为由，主张收集用户画像信息为其提供服务的前提。

第二，从涉案软件或网站功能设置本身上看，履行合同所必须的范围，应限定在软件或网络运营者提供的基本服务功能，或用户在有选择的基础上自主选择增加的附加功能。本案中，被告抗辩其收集目的为针对不同用户需求、精准推送适合用户的个性化课程，属于为增进用户体验优化设置的一种信息推送模式，然而，被告软件或网站提供服务的基本功能为提供在线课程视频流和相关图文、视频等信息，对用户画像信息进行收集的目的并非用于支撑其基础服务功能，亦无证据表明本案原告曾自主选择使用该项优化设置功能，故被告以其软件或网站功能实现为由实施收集行为的依据不足。

被告是否取得“知情-同意”

根据已查明的事实，由于被告在未经原告允许的情况下为原告配置了账户和密码，导致原告登录被告网站和软件时与一般用户注册界面不同，未经过勾选个人信息相关知情同意的步骤，直接进入登录页面，因此，被告在原告登录过程中收集用户画像信息，未事先征得原告同意。

在此基础上，原告主张，即使勾选了同意界面，被告在登录环节强制收集非必要信息，仍构成侵权。本案中，涉案软件在用户首次登陆界面要求用户提交职业类型、学龄阶段、英语水平的等相关信息，未设置“跳过”“拒绝”等不同意提交相关信息情况下的登陆方式，使得提交相关信息成为成功登录、进入到功能使用首页的唯一方式。此种同意或对个人信息的提供，是在信息主体不自由或不自愿的情况下，强迫或变相强迫地作出，不能被认定为有效同意。因此，在首次登录页面设置相关个人信息收集界面，未提供跳过或拒绝等选项，属于对原告个人信息的强制收集，不产生获取有效授权同意的效力。

综上，被告未事先征得原告有效同意，在涉案两款产品中强制收集原告职业、学龄阶段、英语水平、学习目的等用户画像信息的行为构成侵权。

被告向原告提供个人信息副本、停止侵权、删除个人信息、赔礼道歉并赔偿损失2900元。