Topic
Personal Data
336 published works
ArentFox Schiff
ECJ Rules Exam Responses, But Not Questions, Score As Personal Data
ECJ Rules Exam Responses, But Not Questions, Score As Personal Data Anonymous (not verified) Thu, 01/18/2018 - 12:36 January 18, 2018 In a recent European Court of Justice Ruling, the…
Privacy & Information Security Law Blog
UK ICO Issues Unprecedented Fine Against Mobile Phone Retailer for Lax Security
On January 8, 2017, the UK Information Commissioner issued an unprecedented monetary penalty of 400,000 pounds against British mobile phone retailer, The Car Phone Warehouse Limited. Following an attack on…
Tech Law Blog
The expanding scope of ‘personal data’ – CJEU delivers judgment in Nowak
The EU Court of Justice (CJEU) has ruled that a candidate’s exam script is "personal data", as it constitutes information that is linked to him or her. The CJEU held that…
Technology Law Dispatch
Article 29 Working Party publishes guidelines on personal data breach notification
By Cynthia O’Donoghue, Kirill Albrecht
On 3 October 2017, the Article 29 Working Party (“WP29”) published draft guidelines on personal data breach notification (“Guidelines”) under the General Data Protection Regulation 2016/279 (“GDPR”). In this blog,…
La Revue
La CNIL publie le pack de conformité « véhicules connectés et données personnelles ».
Il s’agit d’un texte dense et prescriptif. Il porte à la fois sur les obligations au titre de la règlementation française de protection des données personnelles actuelle et sur le…
China Law Insight
Updated Privacy Policies, Do They Live up to the Hype?
By King & Wood
By Xue Han, Liu Keer, Xue Yingyuan King & Wood Mallesons‘ Corporate & Securities group Against the backdrop of cyber security law, Updated privacy policies, do they live up to…
China Law Insight
司法实践通常如何认定用户数据隐私权纠纷？
By King & Wood
作者：肖瑾 戴月 李苗洁 金杜律师事务所争议解决部 信息化时代下，用户个人信息数据化成为不可阻挡的趋势。此类数据是企业竞争的重要资源，一旦获取、使用、保护不当，企业将面临侵犯个人隐私权的风险。在我们近期代理的数据隐私权纠纷案件中，生产商、经销商、网络服务提供者常规的操作，竟引发了消费者提起的侵犯隐私权诉讼。 因此，我们以信息化时代为背景，就用户数据与用户隐私的关系、司法实践中如何认定侵权用户数据隐私权进行讨论，并就企业收集、使用、保护用户隐私数据的风险防范提出建议。 用户数据与用户隐私 （一）并非企业收集的所有用户个人信息数据都属于用户隐私 传统意义上的隐私权是指自然人享有的对其个人的、与公共利益、群体利益无关的个人信息、私人活动和私有领域进行支配并排除他人干涉的一种人格权。[i] 其中个人信息是指能够单独或者与其他信息结合识别自然人个人身份的各种信息，如自然人的姓名、出生日期、身份证号码、住址等[ii]。 用户数据由包含用户个人信息的数据和用户一般数据组成，用户隐私数据属于用户个人信息范畴，然而并非所有用户个人信息数据均属于用户隐私。隐私权保护的对应仅针对基因信息、医疗资料、健康检查资料、犯罪记录、家庭住址、私人活动信息等个人隐私及其他特定的可能对个人私有领域产生重大影响的个人信息数据。[iii]举例而言，自然人的电子行程安排（如飞机的起落时间、地点、航班信息）[iv]、自然人的生活或工作状态变化（如手机开机时间）[v]属于私人活动，该类信息为法律保护的隐私权对象。 而对于姓名、手机、年龄等个人信息，其本应向外界告示，是否属于隐私范围则需要根据具体情形进行分析。 如在庞某诉北京某信息技术有限公司等隐私权纠纷一案中，庞某认为北京某信息技术有限公司泄露了其姓名、电话、行程安排等事项，侵犯了其隐私权。北京市第一中级人民法院认为：第一，即使单纯的姓名和手机号不构成隐私信息，由于庞某的姓名、手机和行程信息形成了指向特定个人的整体信息，因而整体上构成隐私信息；第二，姓名作为一种身份识别信息，也属于个人信息自主的内容，即个人有权自主决定是否公开及如何公开其整体的个人信息。因而法院认定，案涉姓名、电话号码及行程安排等事项属于隐私权的保护对象。 而在王某与北京凌云互动信息技术有限公司名誉权纠纷、隐私权纠纷案一案中，王某被人肉搜索其姓名、工作单位等个人信息。北京市朝阳区人民法院从信息的取得方式、披露方式、披露范围、披露目的及披露后果等因素综合认定，在王某婚姻不忠行为被披露的背景下，网民利用被披露的信息，开始搜索其个人信息，并出现了上门骚扰等严重后果，致使王某正常工作和生活秩序受到严重影响，因此该类个人信息属于隐私权范畴。 在信息化时代的特殊背景下，法院越来越倾向于将能够指向特定个人的信息进行一体保护，以适应个人隐私、个人信息数据化的趋势。 （二）用户隐私数据的法律保护 就用户数据、用户个人信息数据及用户隐私数据的保护，法律对网络运营者（包括网络的所有者、管理者和网络服务提供者）提出了不同的要求。 用户数据的保护 对于用户数据[vi]，根据《网络安全法》，无论其是否涉及用户个人信息，网络运营者均具有安全保护义务，并应提供符合国家强制性要求的设备或产品，以保障网络免受干扰、破坏或未经授权的访问，防止用户数据泄露或被窃取、篡改。 另外，根据《侵权责任法》，若网络用户利用网络运营者服务实施侵权行为的，企业在收到权利人要求删除、屏蔽、断开连接等要求的通知后，应采取必要的措施，否则将与网络用户就扩大的损害承担连带责任。 用户个人信息的保护 对于用户个人信息，在其保护方面，法律提出了更高的要求。早在2012年全国人大常委会即通过《关于加强网络信息保护的决定》，其中明确规定了国家保护公民个人电子信息。网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。网络运营者针对收集的用户个人信息应严格保密，并建立健全用户信息保护制度等。 《消费者权益保护法》和2017年6月1日起实施的《网络安全法》对此均进行了更加细致的规定。但是，《网络安全法》也就禁止向他人提供个人信息规定了例外情形，即经过处理无法识别特定个人且不能复原的信息除外[vii]。 若未能依法收集、使用个人信息，个人有权要求网络运营者删除其个人信息；有关主管部门有权责令改正，并依情形给予警告、没收违法所得、罚款、责令暂停相关业务、停业整顿、关闭网站、吊销相关业务许可证或吊销营业执照等行政处罚；如向他人出售或提供公民个人信息，情节严重或特别严重的，依《刑法》将被判处拘役至七年有期徒刑不等，并处或者单处罚金[viii] 用户隐私数据的保护 如果企业侵犯了用户隐私数据，则除上述保护方式外，企业还将根据《民法总则》（2017年10月1日起将根据《民法总则》）、《侵权责任法》等法律进一步承担侵权责任，承担责任的方式包括停止侵害、赔偿损失、赔礼道歉等等。在网络社会发达的今天，此类诉讼不仅可能对企业声誉造成影响，也极可能引发其他用户提起同类诉讼，从而造成企业的进一步损失。 司法实践中对侵犯用户隐私的认定 尽管司法实践中，个别法院适用了《最高人民法院关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》（以下简称“《利用网络侵害人身权益民事纠纷的规定》”）第十二条，认为仅需要满足“利用网络公开个人隐私和个人信息的行为”和“造成损害”两个构成要件，即可认定构成侵犯用户隐私，但我们更加赞同大多数法院的观点，即侵犯隐私权应满足四个条件：具备违法行为、具有损害事实、因果关系和主观过错。具体而言： （一）企业具有侵犯用户隐私权的行为，一般表现为公开用户隐私数据 非法搜取、刺探隐私信息是否为侵犯隐私权的行为，在传统隐私权案件中存在争议。然而目前在利用信息网络侵犯隐私权的案件中，一般认为，侵犯隐私权的行为仅指公开（包括泄露、披露、宣扬等）隐私信息的行为。如在北京某科技有限公司与朱某隐私权纠纷一案中，南京市中级人民法院认为，网络运营者（在取得用户同意的前提下）搜集海量数据和Cookie信息仅在计算机系统内部操作，并未向第三方或公众展示或公开，并不满足《规定》第十二条的“利用网络公开个人隐私和个人信息的行为”特征。…
Technology Law Dispatch
ICO confirms that consent is not the ‘silver bullet’ for GDPR compliance
By Cynthia O’Donoghue, Kirill Albrecht
In her blog last week, the UK Information Commissioner, Elizabeth Denham, tackled the issue of consent under the GDPR. This blog, the second in a series to be published by…
Employment Law Worldview
Practical guidance on the GDPR – Part 1
At our recent webinar on “GDPR Compliance: How UK Employers Can Meet the 25 May 2018 Deadline” we were asked a number of questions via the chat facility. Those questions…
Technology Law Dispatch
German Federal Supreme Court confirms: Dynamic IP addresses may constitute personal data
By Dr. Alexander Hardinghaus, Dr. Thomas Fischl, Sven Schonhofen
According to a press release dated 16 May 2017, and following the Court of Justice of the European Union’s (CJEU) preliminary ruling in Case C-582/14 dated 19 October 2016 (see our previous blog),…