東航和去哪兒網被判道歉並不冤

02-04

旅客龐某因自己2014年19月在去哪兒網購買東航機票後馬上收到詐騙簡訊，疑似個人信息被泄露，遂狀告東航和去哪兒網侵權，北京海淀區法院一審認為，無法確認趣拿公司（即去哪兒網）和東航存在泄露信息的侵權行為，駁回了龐某的訴訟請求。日前，北京市一中院二審認為，東航和「去哪兒網」存在泄露龐某個人隱私信息的高度可能，應當承擔侵犯隱私權的相應侵權責任，判決前述兩家公司對龐某進行公開道歉。（圖片用戶購機票後信息遭泄露，東航與去哪兒被判道歉_民航新聞_民航資源網）

　　判決出來後，東航和去哪兒網都覺得自己冤。但是靜下心來仔細想想，其實作為互聯網服務提供商來講，他們還真不能算冤。在這場並不算複雜的官司里，他們輸給了自己。

　　首先，旅客龐某狀告兩公司，法律依據很充足。《侵權責任法》第36條規定了網路用戶和網路服務提供商的侵害民事權益應負法律責任，第2條明確了被侵害的民事權益的範圍（完整的民事權利），《消費者權益保護法》第19條明確了作為消費者的旅客也是享有個人信息依法得到保護的權利，第29條相應也規定了經營者保護消費者個人信息安全的義務，第50條規定了經營者侵害消費者個人信息依法得到保護的權利的應當停止侵害、恢複名譽、消除影響、賠禮道歉，並賠償損失。當然，《合同法》、《民用航空法》也原則規定了旅客享有安全運輸的權利，此處的安全擴張解釋到個人信息安全也不會和法理有衝突。

　　其次，一審法院以無法確認經營者存在侵權行為為由駁回龐某訴訟要求，表面上看來符合「過錯責任原則」，但是卻沒有考慮到如果機械適用這一歸責原則，對原告龐某的舉證責任分配顯失公平，龐某並沒有能力「誰主張，誰舉證」，提出證據證實是東航和去哪兒網泄露了他的個人信息，且龐某在購票過程中沒有主動泄露自己個人信息的必要，出現個人信息被泄露的結果與其購票行為不存在因果關係，有機械適用法律之嫌。二審法院則根據旅客龐某和經營者（即東航、去哪兒網）在航空運輸合同簽訂過程中的地位等實際情況，認定一審法院實質上是對龐某加以了不可能完成的舉證義務，並予以了糾正。值得注意的是，二審法院雖然沒有明確根據《最高人民法院關於民事訴訟證據的若干規定》第7條的規定直接將舉證責任分配給東航和去哪兒網，但還是認定東航和去哪兒網存在泄露龐某個人隱私信息的高度可能，故應當承擔侵犯隱私權的相應侵權責任，體現了法律的公平的同時，也契合了利用司法手段倒逼包括東航和去哪兒網在內的網路服務提供者有效提高保護個人信息安全能力水平的初衷。

　　第三，二審法院認定東航和去哪兒網存在泄露龐某個人隱私信息的高度可能，並非無的放矢。在網上，關於去哪兒網等網路機票銷售商發生泄露旅客個人信息的投訴並不少見，旅客個人購票信息竟然也可以成為「商品」被買賣，甚至形成了「產供銷一條龍」的黑色生產鏈，大量旅客購票信息被泄露的源頭指向其實也很明確，網路機票銷售商（無論直銷還是分銷）都難以洗脫嫌疑。民航局公安局於2014年10月開展的「打擊防範非法侵入民航信息系統犯罪」專項行動，重點打擊的就是此類違法犯罪。而且在本案所涉事件發生前後的一段時間裡，東航、去哪兒網等多家公司屢次被媒體質疑存在泄露乘客信息的情況，說明其當時的安全管理水平不算高。2014年下半年至2015年初，央視等多家媒體時有報道，有用戶投訴包括東航在內的多家航空公司和去哪兒網等多家票務平台泄露個人信息，進而引來退改簽詐騙等麻煩。企業安全漏洞反饋平台烏雲網也在那段時間披露東航系統漏洞，直指訂單信息泄露風險。在這樣一個背景下，通過高度蓋然性的證明標準來認定東航、去哪兒網存在泄露龐某購票信息「高度可能」也不失是一個可以被廣泛接受的結果。

　　網路時代，個人信息是網路交易的前提和基礎，一旦泄露將會給信息安全造成極大威脅。對包括龐某在內的旅客來說，個人信息安全雖然不能和生命財產安全相提並論，但仍然是自己的合法權益，需要得到應有的保護。中國互聯網協會在2015年發布的《中國網民權益保護調查報告（2015）》顯示，78.2%的網民個人身份信息被泄露過，2016年發布的《中國網民權益保護調查報告(2016)》中這個數據攀升到84%，調查還表明92%的網民最重視的權益是隱私權。所以，對包括東航和去哪兒網在內的網上機票銷售營業者來講，一方面因其經營性質掌握了大量個人信息，另一方面亦有相應能力保護消費者個人信息免遭泄露，這既是其社會責任，也是應盡的法律義務。

目前，國家對個人信息安全保護和網路侵權的重視程度越來越高，面對日益猖獗的個人信息泄露問題，中國民航局也擬出台部門規章，保護民航業旅客信息安全。在這種趨勢下，那些提供公共或專業服務、涉及個人信息儲存和利用的機構，其承擔的相關法律義務將會更加明確，標準會更高；那些採取非法手段獲取個人信息的行為的違法成本相應水漲船高，懲治措施也將更加嚴厲。所以，與其在這裡有空喊冤，還不如沉下身去認真履行個人信息保護的法定義務，努力提高自身安全管理水平，切實重視和防範信息安全風險。