担心本人信息有误，注册用户请求电子商务公司向其披露收集信息，广州法院：其实质是主张个人信息查阅复制权，依法应予保障

来源：广东省高级人民法院 2022年10月31日发布个人信息保护典型案例

周某某诉某电子商务公司个人信息保护纠纷案——依法保护个人信息查阅复制权

【基本案情】

2021年3月1日，周某某因担心某电子商务公司运营的平台获取并记载的其本人信息有误或被泄露，致电该平台客服，希望平台披露收集到的其本人信息。该平台客服表示：“用户有填写的信息，可以在APP个人中心予以查看，且这些信息采取了加密的保护措施，不会泄露；对于用户没有填写的信息，平台无法展示。”同日，周某某向该平台隐私专职部门邮箱发送电子邮件，请求披露其个人信息，平台未予回复。周某某遂诉至法院，请求某电子商务公司向其披露收集的个人信息。

【裁判结果】

广州市中级人民法院生效判决认为，周某某要求平台向其披露个人信息，实质是主张个人信息查阅复制权。个人信息查阅复制权是个人重要的法定权利，依法应予充分保障。周某某作为平台注册用户，有权要求平台披露收集的个人信息及相关处理情况。故根据案件具体情况，判决某电子商务公司提供其收集的周某某相关个人信息及其处理相关情况供周某某查阅、复制。

【典型意义】

个人信息查阅复制权是重要的基础性权利，对于防止个人因他人非法收集、处理个人信息而遭受人身财产权益损害具有重要意义。本案在切实保障信息主体合法权益的同时，引导个人信息处理者合规经营，对加强个人信息保护进行了有益的探索。

-----------------------------------------------------------------------------------------------------------------------------------------

从App中“复制”自己的个人信息，有多难？2021年12月底，澎湃新闻曾就50款热门APP作过调研。当时，仅11款APP提供了个人信息副本（例如微博至今无此功能）；所提供的个人信息副本，内容也很有限，基本都是用户自行填写的信息。

如何“复制”个人信息才算合理？欧盟的《一般数据保护条例》(General Data Protection Regulation, GDPR)提供了一种参考，GDPR认为个人信息副本应是结构化、普遍使用、可机读的形式。欧盟GDPR并未直接规定复制权，而是规定了可携权。可携权要求个人信息处理者提供结构化的、通用的、可机读的个人信息副本，以便提供给其他个人处理者，实现个人信息转移；副本内容为以用户同意为合法性基础的、通过自动化方式收集处理的个人信息。以亚马逊为例，个人信息副本中的内容包括：订单信息、地址信息、支付选项、订阅信息、搜索历史、配套设备信息、广告信息、用户支持沟通信息等。

在《个人信息保护法》（下称“《个保法》”）颁布之前，《民法典》就对查阅复制权作了规定，即“自然人可以依法向信息处理者查阅或者复制其个人信息”。《个保法》在《民法典》的基础上进一步规定，“个人有权向个人信息处理者查阅、复制其个人信息”；有本法第十八条第一款、第三十五条规定情形的除外。个人请求查阅、复制其个人信息的，个人信息处理者应当及时提供。”

目前涉及个人信息查阅复制权的诉讼案件，即平台领域的唯品会案（2022）粤01民终3937号。与原则性的法律规定不同，一二审法院在该案中对个人信息查阅复制权的行使前提、范围，以及个人信息的披露方式、时间作了具体的要求。本文将归纳、总结这些具体规则，为企业了解司法实践中法院的初步立场提供参考。

判决概要：

一审法院支持了原告提出的部分个人信息披露请求，限10日内提供；驳回了部分个人信息披露请求；驳回了删除所有非必要信息的请求。唯品会上诉，二审法院驳回，但将一审法院要求的披露时间从10日延长至了30日。原告未上诉。

二、核心规则总结：查阅复制权的行权前提、范围及个人信息的披露方式、时间

（一）查阅复制权的行权前提

根据一审判决，查阅复制权是《个保法》赋予个人信息主体的一项权利，其行使不以举证证明查阅动机为前提，也不以实名认证为前提。

本案中，唯品会抗辩称，原告称其因担心个人信息泄露，故提出查阅请求，但未举证证明其个人信息存在泄露的风险。对此，一审法院指出，动机不等于必要前提，无论是否有动机、出于何种动机都不影响信息主体行使此项权利。

另外，唯品会还抗辩称，原告未进行实名认证，唯品会无法依法核验其身份，故无法披露相关信息。一审法院指出，核验身份并不以实名认证为前提，通过绑定手机号等信息，同样可以核实个人信息主体身份。此外，唯品会既不告知原告验证真实身份的具体途径，也未在合理期限内对原告诉求作必要处理，已构成拒绝行权要求。

（二）查阅复制权的行权范围

如上所示，一审法院支持披露的个人信息包括两类：

唯品会自认已实际收集且应当披露的个人信息（包括用户注册信息、订单信息、收货信息、设备信息、IP地址等）；以及

唯品会与第三方共享的个人信息（包括支付信息、第三方SDK从唯品会收集的个人信息、共享给其他第三方的信息）以及浏览信息。

一审法院未支持披露的个人信息也包括两类：

唯品会未确认收集，原告亦无证据证明收集的个人信息（包括部分个人基本信息、设备信息、位置信息、日志信息等）；以及

唯品会用于个人画像的个人信息。

针对不同类型的个人信息，相关规则总结如下：

1. 平台《隐私政策》中包含但未实际收集的个人信息

根据一审判决，平台未承认收集，且信息主体无反证证明平台实际收集的个人信息，不属于应披露的范围。

本案中原告提供的个人信息清单系参考唯品会《隐私政策》中披露的、可能收集的个人信息所列。其中部分个人信息（如设备名称、GPS位置信息），唯品会未承认收集。因原告无相反证据证明唯品会存在收集行为，故法院未予支持。

2. 与第三方共享的个人信息及用户浏览记录

根据判决，与第三方共享的个人信息及用户浏览记录，平台不得以成本过高、不符合行业惯例等为由，拒绝提供。具体而言：

唯品会抗辩：

-不应披露与第三方共享的个人信息。一方面，相关检索数据量巨大，且需向大量广告商核实数据传输情况，成本高昂；另一方面，唯品会已根据工信部要求，发布《个人信息第三方共享清单》，披露基本情况（包括与第三方共享的个人信息种类、使用目的、使用场景和共享方式等），此种做法已符合行业惯例。

-仅应提供近1个月的浏览记录。一方面，浏览记录需要逐日筛选，成本高昂，且一旦产生示范效应，会对唯品会的正常运营，甚至互联网行业产生负面影响。另一方面，提供近1个月的浏览记录足以满足原告合理需求，且符合行业惯例。

法院针对唯品会的抗辩，认为：

-浏览记录及平台与第三方共享的个人信息，对于个人判断个人信息是否被滥用具有重要意义，应当依法披露；

-披露成本高：唯品会未提供充分证据，证明具体披露成本，且披露成本高并非法定免责事由；

-行业惯例：行业惯例仅能从一定程度上反应现有的个人信息保护水平，并非是否履行法定义务的决定性因素；

-已通过清单披露第三方共享个人信息：清单中列出的并非第三方实际收集的原告的个人信息，应当披露。

3. 用于用户画像的个人信息

用户画像是指“通过收集、汇聚、分析个人信息，对某特定自然人个人特征，如职业、经济、健康、教育、个人喜好、信用、行为等方面作出分析或预测，形成其个人特征模型的过程”，也即通过算法对个人信息的集合或部分集合进行自动化决策。

根据一审判决，如无法证明用户画像对个人权益产生重大影响，则相关披露要求不予支持。具体而言，《个保法》第二十四条第三款规定，通过自动化决策方式作出对个人权益有重大影响的决定，个人有权要求个人信息处理者予以说明，并有权拒绝个人信息处理者仅通过自动化决策的方式作出决定。因原告并未提交证据证明唯品会作出了对其个人权益有重大影响的自动化决策，法院不予支持相关个人信息披露请求。

由于原告没有上诉，二审法院并未对此作出分析。但我们认为，该判决或存在可商榷之处。首先，根据《个保法》和《APP违法违规收集使用个人信息行为认定方法》，处理个人信息，必须逐一明示收集使用的目的，用户画像也包含在内。其次，唯品会的隐私政策也实际披露了用于用户画像的个人信息类型，包括订单信息、浏览信息和购物习惯信息。第三，我们理解，《个保法》之所以设置第二十四条，是为了赋予个人信息主体质疑权和拒绝权，以防止对个人权益产生重大影响的自动化决策出错，个人信息主体没有其他请求复核的路径，而非剥夺个人信息主体的查阅复制权。另外，参考GDPR，第二十四条所指的“对个人权益有重大影响的决定”可能包括拒绝在线信贷申请、网络招聘或在线绩效评估等。

（三）个人信息的披露方式及时间

对于前述支持披露的个人信息，一审法院要求唯品会在10日内以Excel表格、Word文档等电子形式提供结构化的、通用的、可读的、可下载的个人信息副本，不包括截屏，也不包括APP内自查询。二审法院对此予以肯定，但将提供时长延长到了30日。

1. 披露方式：通用可读的个人信息副本

唯品会在上诉时抗辩称：

-其已向原告提供了便捷的APP内个人信息查阅途径；

-个人信息副本有多种形式，法律并未明确规定载体和形式，截屏、通过APP查阅同样可以完成对信息的复制；

-对个人信息副本形式要求过于严苛不符合我国当前的发展阶段，会对我国个人信息保护产生反作用。

一二审法院均认为：

-唯品会目前提供的APP内查阅途径仅能查到其收集的部分而非全部个人信息；

-复制权一般应当理解为提供副本，而非仅提供查阅途径；

-副本应采用书面形式，可纸质可电子，不限于excel表格、Word文档等形式，但应便于查阅。

2. 披露时间：10日→30日

《个保法》仅要求个人信息处理者及时提供个人信息，但未对“及时”一词作具体解释。一审法院将披露期限确定为10日，唯品会在上诉时未对此提出抗辩。但二审法院考虑到唯品会履行上述披露义务需耗费一定的成本和时间，主动将披露期限延长至了30日。这也与GDPR设置的一般披露期限相一致。

三、其他规则总结：《个保法》的溯及既往适用规则、删除权的行使规则

本案中涉及的其他规则还包括：《个保法》的溯及既往适用规则以及删除权的行使规则等，以下仅作简要介绍。

（一）《个保法》的溯及既往适用规则

本案中，由于一审最后一次庭审发生在《个保法》生效之前，因此唯品会主张，一审法院适用《个保法》违反“法不溯及既往”原则。对此，二审法院认为，本案为个人信息保护纠纷，案涉事实状态一直持续到《个保法》施行之后，且适用《个保法》可以更好地平衡双方的权利义务，妥善解决本案纠纷，因此适用《个保法》并无不当。

（二）删除权的行使规则

除查阅复制请求外，原告还提出了关于唯品会删除其非必要个人信息的诉请，但被一审法院以不符合《个保法》第四十七条规定的情形为由驳回。但是，我们理解，原告的上述请求属于第四十七条中的“个人撤回同意”这一个人有权请求个人信息处理者删除个人信息的法定情形，且删除非必要个人信息不会影响原告正常使用唯品会，因此，一审法院的判决或存在可商榷之处。由于原告没有上诉，二审法院并未审理该诉请。

四、我国平台领域个人信息查阅复制权的现状

自2022年5月13日二审判决作出，已历时2个月有余。我们理解，唯品会已经在法院规定的1个月期限内，按照判决向原告提供了相关个人信息。但是，这一判决短期内可能不会改变唯品会以及其他主流平台的通行做法。

唯品会：

查阅权方面：用户可在唯品会APP内查看账户信息（如基本资料、尺码信息）、个人基本信息（如手机号、验证邮箱）、订单信息、收藏、订阅、近期浏览足迹信息等，但无法查看IP地址、设备信息等其他信息。此外，与第三方共享的个人信息只能通过《个人信息第三方共享清单》查阅。

复制权方面：APP虽然提供了邮件导出个人信息的路径，但导出的文件是类似代码的英文格式，不便查阅。

淘宝：

查阅权方面：用户可以在APP个人信息采集清单中查阅淘宝采集的个人信息（包括基本信息、社交信息、交易信息——包括足迹、搜索记录等动态信息），以及近7天的使用日志，如图片信息、位置信息、设备信息等。此外，与第三方共享的个人信息也只能通过《个人信息共享清单》查阅。

复制权方面：APP可通过邮件发送excel形式的个人信息副本，但其中仅包括基本信息（会员名、绑定手机号及邮箱、昵称、个性签名、头像、注册时间）。

---------------------------------------------------------------------------------------------------------------------------------------

广州唯品会电子商务有限公司、周OO个人信息保护纠纷民事二审民事判决书

广东省广州市中级人民法院民事判决书（2022）粤01民终3937号

上诉人（原审被告）：广州唯品会电子商务有限公司，住所地广东省广州市荔湾区芳村花海街20号自编6号楼。

法定代表人：沈O，该公司执行董事兼总经理。

委托诉讼代理人：刘迎，北京市金杜律师事务所律师。

委托诉讼代理人：孙乐怡，北京市金杜律师事务所律师。

被上诉人（原审原告）：周OO，女，1994年10月11日出生，汉族，身份证住址北京市海淀区。

委托诉讼代理人：梁剑标，广东圣和胜律师事务所律师。

委托诉讼代理人：饶艳军，广东圣和胜律师事务所律师。

上诉人广州唯品会电子商务有限公司（以下简称唯品会公司）因与被上诉人周OO个人信息保护纠纷一案，不服广州互联网法院（2021）粤0192民初17422号民事判决，向本院提起上诉。本院依法组成合议庭进行审理。本案现已审理终结。

唯品会公司上诉请求：1.撤销一审判决第一项，改判驳回周OO全部诉讼请求或发回重审；2.本案一审、二审全部诉讼费用均由周OO承担。事实和理由：

一、唯品会公司已经充分保障和满足了周OO的个人信息查阅权，向周OO提供了便捷的个人信息查阅途径。1．唯品会公司通过APP的交互设计为周OO提供了便捷的个人信息查阅途径，并已经通过公示且经周OO同意的《隐私政策》和2021年3月1日的咨询电话向周OO明示了查询个人信息的途径和方式。根据国家标准GB/T35273-2020《信息安全技术个人信息安全规范》第8.7条关于响应个人信息主体的请求规定，个人信息处理者可以通过在应用程序或客户端软件中采用交互页面设计等方式为用户提供自行查阅个人信息的便捷途径，这属于对个人信息查阅权的保障。唯品会公司已经在唯品会APP中为用户提供了便捷的查阅个人信息的途径，对于周OO如何在唯品会APP查阅个人信息，唯品会公司在《隐私政策》中以及周OO致电唯品会客服时都进行了详细的释明。2．一审判决在附表2中列明判决唯品会公司应向周OO查阅披露的个人信息明细，其中包含唯品会公司从周OO收集的个人信息，这些信息周OO均可以通过唯品会APP或手机完成个人信息查阅。3．对于唯品会没有收集的周OO个人信息，唯品会无法披露也不应披露。唯品会公司未收集周OO的昵称信息，居住地信息周OO未向唯品会公司提供，一审法院在判决附表2要求唯品会公司向周OO提供昵称和居住地信息显然存在事实认定错误。4.唯品会公司在一审诉讼过程中提交证据《原告个人信息情况》，也再次满足了周OO的个人信息查阅权。唯品会公司在一审诉讼时提交的证据《原告个人信息情况》，对唯品会公司可以显示的周OO在唯品会APP注册账户的个人信息进行了列明，其中包括登录账号、注册时间、昵称、头像、性别、出生年月、绑定手机号、用户系统收集的微信等信息，也包括订单信息和收件信息。唯品会公司在诉讼过程中也再次满足了周OO的个人信息查阅权。

二、一审法院认定唯品会公司侵害了周OO的查阅权，事实认定和法律适用均严重错误。1．周OO在2020年3月1日致电唯品会客服并向唯品会发送电子邮件时未提供身份信息，唯品会公司也不掌握周OO的身份证号、真实姓名、邮箱、昵称等身份信息。对于2021年3月1日周OO对唯品会公司客服的致电，唯品会公司并非电信、银行等掌握用户实名认证身份信息的企业，作为购物类互联网公司，唯品会公司没有能力凭借仅在电信运营商处实名认证了的手机号码来验证该手机号的主体信息，不具备专业的身份识别手段和措施。即便唯品会公司在接到周OO电话时可以核查到该手机号以及该手机号注册的唯品会账号信息，但是因案涉唯品会账号并没有关联任何实名认证的身份信息，周OO致电时也没有提供其个人身份信息，唯品会公司无法核查该手机号对应的特定自然人，也无法验证致电人是否为案涉账号的信息主体。对于2021年3月1日周OO向唯品会公司发送的电子邮件，该邮件中可以显示的身份信息仅有发件人邮箱账号ｚｈｏ×××＠163．ｃｏｍ及邮箱昵称“周缦卿”。一审法院已经确认周OO从未向唯品会公司提供过上述电子邮箱信息，其电子邮箱昵称“周缦卿”也仅为周OO在下单时用做收件人名称。但是无论收件人名称还是电子邮箱昵称均没有实名要求，可以虚构和任意变更，本案中周OO使用的“周缦卿”亦是虚构的。并且，购物订单收件人与账户注册主体可以不是同一人。2．唯品会公司依据周OO的致电和匿名电子邮件无法验证其身份，一审判决关于唯品会公司无正当理由拒绝周OO行使查阅权的认定存在事实认定错误和法律适用错误。根据《中华人民共和国电子商务法》第24条规定：“电子商务经营者收到用户信息查询或者更正、删除的申请的，应当在核实身份后及时提供查询或者更正、删除用户信息。”国家标准GB/T35273-2020《信息安全技术个人信息安全规范》第8.7条规定：“响应个人信息主体的请求，对个人信息控制者的要求包括：在验证个人信息主体身份后，应及时响应个人信息主体的请求，……”可见用户查询个人信息均应当先验证其主体身份。但是个人信息处理者验证申请人主体身份的前提应当是该申请人先提供其个人身份信息以供核验。在本案中，周OO发送的电子邮件没有提供任何真实的个人身份信息，且唯品会公司不掌握案涉账号的实名认证信息，唯品会公司无法在周OO不先行提供个人信息的情况下验证其主体身份。一审法院忽视了个人信息处理者核实用户身份的前提是用户先行提供可供核实的身份信息，在本案中没有审查周OO在发送电子邮件时是否先提供了必要的个人身份信息，就认定唯品会公司拒绝了周OO的申请，属于严重的认定事实错误，适用法律错误。3．周OO要求查询个人信息系因担心其个人信息泄露，但是本案无证据证明其个人信息遭到泄露，唯品会公司也采取了符合标准的数据安全保护措施保护用户的个人信息，唯品会公司未侵害周OO任何权利，周OO也未遭受损害。

三、无论是从周OO在2021年3月1日首次联系唯品会公司还是至周OO提起本案诉讼时，周OO主张的自始至终均为查看个人信息，要求的是唯品会公司披露信息，没有主张其个人信息复制权受到侵害，也没有要求唯品会公司为其提供可供复制的个人信息副本。本案一审过程中，周OO没有提出明确的书面请求变更其诉讼请求。一审法院在审理时未区分个人信息查阅权和复制权，将查阅权和复制权混为一谈，不仅认定唯品会公司侵害了周OO的个人信息查阅、复制权，还判决要求唯品会公司为周OO提供可供下载的个人信息副本，超出了周OO的诉讼请求范围。

四、在周OO已经可以查阅其个人信息且未主张个人信息复制权的情况下，一审法院仍要求唯品会公司以Excel表格、Word文档等电子形式向周OO提供可供下载的个人信息副本，法律适用错误。个人信息副本有多种形式，目前尚无法律明确规定个人信息副本的载体和形式。截屏图片格式可以清晰的还原和展示用户个人信息，但是一审法院没有法律依据就将截屏排除在个人信息副本形式之外。而且周OO已经可以在唯品会APP、唯品会公司公开的《隐私政策》以及个人手机上查阅其个人信息，上述查阅个人信息的方式同样可以完成对信息的复制。但是一审法院将个人信息副本的提供形式限制为Excel表格、Word文档等电子形式，不仅超过现有法律规定，还实质上为唯品会公司及广大的个人信息处理平台在法律之外附加了额外的超重义务。一审法院的此种认定不符合当前我国个人信息处理和保护的发展阶段，对个人信息处理者过分苛以不符合实际的责任不仅增加个人信息处理者的负担，也将对我国的个人信息保护产生反作用。目前我国关于个人信息保护的有关制度还在建设和完善过程中，对于信息查阅、复制权的保障方式，可以类比已经形成成熟规范的公民知情权和政务信息公开制度。公民知情权是由法律明确规定和保障的，但是即便对于公民知情权，在申请政府信息公开时，法律也没有要求政府按照申请人要求公开的信息专门制作文档向申请人提供，政府告知申请人获取该信息的方式、途径即视为完成了告知义务。立法对公民知情权的保障都不苛求政府专门制作文档，告知获取途径即可，如果法院通过司法判决要求企业保障个人信息查阅、复制权时需要专门制作Word、Excel等形式的文档，不仅对企业不公平，不利于个人信息保护的发展，也将可能造成社会资源的浪费。据此，即便是个人信息处理者应向查询人提供电子化信息副本，但电子化信息副本的表现形式有很多种，个人信息处理者采取何种电子化信息副本形式也需要满足技术可行、成本可控等前提条件，无论何种方式，只要能够满足查询要求即视为履行了相关义务。

五、一审法院适用《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》）作出判决，违反“法不溯及既往”原则，存在法律适用错误。根据《个人信息保护法》第七十四条规定：“本法自2021年11月1日起施行。”本案从一审立案起诉(2021年6月12日)至第二次开庭(2021年9月27日)均在《个人信息保护法》颁布之前，本案审理过程中周OO也明确其请求权基础为《中华人民共和国民法典》（以下简称《民法典》）第一千零三十四条第一款的规定。一审法院适用2021年11月1日施行的《个人信息保护法》作出判决，显然违反了“法不溯及既往”的基本原则，存在法律适用错误，二审应予纠正。

周OO辩称：一审判决认定事实清楚、适用法律正确，唯品会公司的上诉请求没有事实和法律依据，请求二审法院驳回其上诉请求，维持一审判决。

一、唯品会公司称已通过APP为周OO提供了便捷的个人信息查阅途径，但通过APP能够查阅的个人信息是有限的，比如购物习惯，通过APP仅能查询到近一个月内浏览商品的记录。有些内容则非常笼统，比如一审判决附表2第7、8项，仅是向所有用户列明了可能的第三方以及可能与第三方共享的信息列表，但具体唯品会公司与哪些第三方共享了周OO的哪些个人信息内容是无法确定的，仍需唯品会公司披露。其次，即便是APP上能够查阅的内容，也无法确定是否与唯品会公司后台收集的信息一致。《民法典》第一千零三十七条除赋予了用户查阅、复制个人信息的权利外，还赋予了用户提出异议并要求修改的权利，在唯品会公司拒不提供其后台收集的周OO的个人信息的情况下，周OO无法核对收集的信息是否存在错误，无法保障其提出异议并要求修改的权利。再次，唯品会《隐私政策》列出的收集的用户信息远不止APP上展示的部分，根据《民法典》相关规定，并没有限制用户查阅、复制个人信息的范围。一审中唯品会公司仅提供给用户通过APP的方式查阅最基本的用户信息，没有保障用户查询、复制个人信息的权利。最后，无论周OO是否向唯品会平台提供了昵称信息和居住地信息，并不影响唯品会公司向周OO提供信息，在确实没有收集的情况下，相关项目留空即可。事实上，唯品会收集的大部分信息也并非周OO主动提供，而是唯品会平台主动收集的。唯品会公司一审提交的《原告个人信息情况》仅列明了有限的信息，并未保障周OO查询、复制个人信息的权利。唯品会公司一审中表示其仅收集了周OO能够从APP查询到的基本信息，所以仅能提供这些基本信息。但在一审判决作出后，唯品会公司在短时间内对APP进行了修改和调整，向用户提供更大范围的个人信息查阅内容，并提供了复制个人信息副本的途径，可见唯品会公司一审关于收集的用户信息的范围、提供用户查阅和复制个人信息的途径并不属实，关于向用户提供个人信息查阅、复制将损害公司权益且将不合理地增加公司运营成本的抗辩理由并不成立。

二、唯品会公司主张未侵害周OO的个人信息权，一审法院认定事实和适用法律错误的上诉理由不成立。首先，周OO在一审中提交的证据充分证明唯品会客服在通话中已明确知晓周OO的账户信息，而唯品会公司称无法核实用户身份信息，纯属狡辩。其次，即便如唯品会公司所说，通过电话或邮件均无法核实用户身份信息，在周OO通过唯品会公司提供的联系方式多次提出查询个人信息的情况下，唯品会公司应主动进行核实，引导周OO向其提供相关信息以核实用户身份，再向周OO提供查阅个人信息的途径，而唯品会公司却在通话过程中找理由拒绝周OO查阅个人信息的请求，也没有回复周OO后续发送的申请披露个人信息的邮件。《民法典》第一千零三十四条、一千零三十七条赋予了用户查询、复制平台收集的其个人信息，并在发现错误的情况下提出异议、要求更正和删除的权利，周OO作为唯品会平台客户，在合理怀疑个人信息泄露的情况下要求唯品会公司披露其个人信息，属于正当行使上述权利。在周OO两次要求唯品会披露个人信息的情况下，唯品会公司均不予处理，以不作为的方式侵害了周OO查询、复制个人信息的权利。

三、唯品会公司主张一审判决超出周OO诉请范围，存在程序错误的上诉理由不成立。首先，周OO在一审诉讼请求中主张的是“披露”，“披露”一词的行为主体是唯品会公司，要求唯品会公司“披露”就是行使其查询和复制的权利，这是一体两面的问题。其次，一审判决的内容是唯品会公司向周OO“提供”个人信息进行查阅和复制，在本案语境下，“披露”和“提供”两个词的含义是相当的，并不存在超出诉请范围的问题。即便认为“披露”不能等同于供“查阅和复制”，也仅能说明周OO一审的该项诉讼请求表述不够明确，而在周OO的起诉状、庭审辩论意见及庭后的代理词中均已明确提出是个人信息的查询和复制权受到侵害，属于对诉讼请求模糊的地方进行了明确。

四、唯品会APP提供的信息非常有限，且无法确认是否与唯品会后台收集的周OO的个人信息一致，周OO已经明确主张了个人信息复制权，因此唯品会公司关于“周OO已经可以查阅其个人信息且未主张个人信息复制权”的说法不成立。一审判决唯品会公司将表格中列明的周OO个人信息生成电子化的个人信息副本供周OO查阅和复制，并未限定一定要以Word、Excel等形式，仅是在说理时对唯品会公司提供个人信息的形式进行了举例式的建议，唯品会公司对一审判决理解有误。另，唯品会以行政机关的信息公开与其向用户提供个人信息的查阅和复制相比，不具有合理性，也没有任何事实和法律基础。唯品会和行政机关主体类型不同，行政机关依法应公开的信息与唯品会公司收集的用户的个人信息属性也完全不同，二者之间不存在可比较的地方。

五、一审判决适用《个人信息保护法》相关规定不存在法律适用错误。虽然周OO向唯品会要求披露其个人信息时以及一审立案、开庭时《个人信息保护法》均未正式施行，但直至2021年11月1日《个人信息保护法》实施后到2021年12月13日一审判决作出时，唯品会公司对周OO要求查阅、复制个人信息的请求仍未予以合理响应，即唯品会公司侵害周OO个人信息查阅、复制权的不作为行为持续到了《个人信息保护法》实施以后，一审判决适用《个人信息保护法》并无不当。

周OO向一审法院起诉请求：一、判令唯品会公司向周OO披露其在使用唯品会电商网站(××)及APP客户端(以下统称“唯品会平台”)的过程中唯品会公司收集的周OO的所有个人信息(具体内容见附表1)；二、判令唯品会公司删除在周OO身上收集到的所有非必要信息。

一审法院认定事实：

一、有关周OO唯品会账号的情况

唯品会公司系唯品会平台的运营主体，用户可通过网站和APP使用该平台；周OO系唯品会平台的注册用户。

周OO提交的唯品会账户个人中心页面截图显示：在“个人中心”界面可以设置、查阅“个人资料”“账户与安全”“我的足迹”以及“我的订单”。通过一审庭审现场勘验，周OO在“个人资料”页面设置了头像、收货地址、购物习惯（购买对象、喜欢的商品）；在“账户与安全”界面，绑定了156××**541的手机号码；在“我的足迹”可以查阅周OO在一个月内的浏览商品记录；在“我的订单”可以查询周OO的订单详情，包括收件人姓名、收货地址、手机号码。周OO未提供的信息包括：邮箱、昵称、生日、实名认证、关联账号以及支付信息。

唯品会后台调取了周OO的信息，调取出来以文档格式展示：登陆账号、绑定账号为15×××41；注册时间为2019年2月1日；昵称为唯品会会员，性别女；无任何微信、QQ、小程序等登录过程中收集到的信息；两个收件人信息，收货人均标注为“周缦卿”，收货手机号与登陆账号相同。

二、有关周OO请求唯品会公司查阅个人信息的情况

2021年3月1日，周OO致电唯品会客服，表示其系唯品会客户，因其母亲接到陌生电话，对方对周OO购物留下来的个人信息有所了解，故担心个人信息泄露，想知道唯品会收集了哪些个人信息，希望唯品会披露所收集到的其个人信息（比如姓名、性别、出生年月、家庭信息、常用地址、联系方式，账户信息、设备型号操作系统版本、唯一的设备识别符、位置信息、IP地址等）。唯品会客服表示:“用户有填写的信息，可以在APP个人中心予以查看，且这些信息采取了加密的保护措施，不会泄露；对于用户没有填写的信息，唯品会是没有办法展示的，且鉴于登录账号6541用户即周OO本人账户没有实名认证，唯品会也是没有办法知道的。”

同日，周OO通过电子邮件“周缦卿〈ｚｈｏ×××＠163.ｃｏｍ〉”向唯品会隐私专职部门邮箱发送邮件，邮件内容称其刚致电了唯品会客服，客服称目前没有渠道向其披露公司所收集的个人信息，因焦虑个人信息被过多收集，请求公司披露相关内容，请求披露的内容同案涉起诉附件清单。唯品会公司未回复该邮件。

三、有关唯品会的注册流程以及隐私政策

根据唯品会APP注册流程显示，用户下载安装唯品会移动端后，首次打开唯品会APP，会出现“欢迎使用唯品会”的弹窗，向用户说明：1.为向您提供交易相关的基本功能，我们会收集、使用必要的信息。2.基于您的明示授权，我们可能会需要获取您的如下信息：2-1.位置信息（更精准的优惠商品推荐、更快捷的订单配送服务等）2-2.设备号信息（以保障您账号和交易安全）您有权拒绝或取消授权。……。窗口同时提供了可供阅读和下载的《唯品会隐私政策》，用户可以选择“同意”或者“不同意”。

用户在进入注册流程时，出现“注册协议及隐私证据”的弹窗，告知用户“需仔细阅读、充分理解《唯品会服务条款》《隐私条款》《唯品支付服务协议》中的条款内容后再点击同意注册，如不同意以上协议或其中任何条款约定，请停止注册。点击同意即表示用户已经阅读并同意上述协议。”用户可以选择“同意”或者“不同意”。

《唯品会隐私政策》载明内容包括：

我们如何收集和使用您的个人信息

（一）您授权我们收集和使用您个人信息的情形

1.实现网上购物和交易安全所必需的功能

（1）帮助您成为我们的会员。为成为我们的会员，以便我们为您提供会员服务，您需要提供手机号码、电子邮箱地址，并创建用户名和密码。……

（2）为您展示和推送商品和服务。这些信息包括：

设备信息：我们会根据您在软件安装及使用中授予的具体权限，接收并记录您所使用的设备相关信息（例如设备名称、设备型号、操作系统和应用程序版本、唯一设备标识符等）、设备所在位置相关信息（例如IP地址、GPS位置以及能够提供相关信息的WLAN接入点、蓝牙和基站等信息）

日志信息：我们会自动收集您对我们服务的详细使用情况，作为有关网络日志保存。例如您的搜索内容、浏览器类型、浏览记录、订单信息、IP地址、访问日期和时间及您访问的网页记录等。

（3）下单

当您准备对您购物车/购物袋内的商品进行结算时，唯品会系统会生成您购买该商品的订单。您需要在订单中至少填写您的收货人姓名、收货地址以及手机号码，同时该订单中会载明订单号、您所购买的商品或服务信息、您应支付的货款金额及支付方式……

2.改进我们的产品与/或服务所必须的功能

我们可能会收集您的订单信息、浏览信息、您的购物习惯进行数据分析以形成用户画像，用来将您感兴趣的商品或服务信息展示给您；或在您搜索时向您展示您可能希望找到的商品。

3.为您提供安全保障

我们可能使用或整合您的会员信息、交易信息、设备信息、有关网络日志以及我们关联公司、合作伙伴取得您授权或依据法律共享的信息，来综合判断您账户及交易风险、进行身份验证、检测及防范安全事件，并依法采取必要的记录、审计、分析、处置措施。我们还可能在应用程序中嵌入我们合作的第三方合作伙伴开发的应用安全类的软件工具开发包（在本隐私政策中简称“SDK”）收集您的设备信息、服务日志信息……

我们如何共享、转让、公开披露您的个人信息

2.我们可能会将您的个人信息与我们的关联方共享。

3.与授权合作伙伴共享：仅为实现本隐私政策中声明的目的，我们的某些服务将由我们和授权合作伙伴共同提供。我们可能会与合作伙伴共享您的某些个人信息，以提供更好的客户服务和用户体验。……目前，我们的合作伙伴包括以下类型：（1）商品或技术服务的供应商。（2）第三方商家。（3）委托我们进行推广的合作伙伴。为了使您能够使用上述服务及功能，我们的应用中会嵌入授权合作伙伴的SDK或其他类似的应用程序。我们向合作伙伴及第三方共享您的个人信息的情形逐项列举详见附件一《第三方SDK目录》（目录列明了SDK名称、所属机构、SDK用途、SDK收集的个人信息类型以及官网链接）。（4）合作金融机构或其他合作伙伴。……

您如何管理您的个人信息

1.访问和更正您的个人信息。（1）账户信息：移动端具体路径为：账户名称、个人资料信息：首页—左下角点击人形头像—点击唯品会会员头像-设置个人资料、账户名称、收货地址；修改登录密码、支付密码及绑定手机：首页-点击左下角人形头像-进入我的“账户与安全”-修改相应信息。（2）订单信息：移动端具体路径为：首页-点击左下角人形头像-全部订单-查看全部订单。（3）档案信息：移动端您可以在首页点击左下角人形头像-点击唯品会会员头像-进入“我的尺码”-填写、修改您的尺码信息。（4）您在使用我们的产品与/或服务过程中产生的其他个人信息需要访问或更正，请随时联系我们。我们会根据本隐私政策所列明的方式和期限响应您的请求。……

2.删除您的个人信息。您在我们的产品与/或服务页面中可以直接清除或删除的信息，包括订单信息、收货地址信息；在以下情形中，您可以向我们提出删除个人信息的请求：（1）如果我们处理个人信息的行为违反法律法规；（2）如果我们收集、使用您的个人信息，却未征得您的同意；（3）如果我们处理个人信息的行为违反了与您的约定；（4）如果您注销了唯品会账户；（5）如果我们终止服务及运营。

……

6.个人信息主体获取个人信息副本。您有权获取您的个人信息副本，您可以通过以下方式自行操作：进入个人中心，点击用户头像，然后进入个人资料获取。

7.响应您的上述请求。如果您无法通过上述方式访问、更正或删除您的个人信息，或您需要访问、更正或删除您在使用我们、产品与/或服务时所产生的其他个人信息，或您认为唯品会存在任何违反法律法规或与您关于个人信息的收集或使用的约定，您均可以通过本协议下方的方式与我们联系。为了保障安全，我们可能需要您提供书面请求，或以其他方式证明您的身份，我们将在收到您反馈并验证您的身份后的15天内答复您的请求。对于您合理的请求，我们原则上不收取费用，但对多次重复、超出合理限度的请求，我们将视情收取一定成本费用。……

如何联系我们

1.如您对本隐私政策或您个人信息的相关事宜有任何问题、意见或建议，请联系唯品会客户服务部，客户服务部电话：400-6789-888。……

3.我们设立了个人信息保护专职部门，您可以通过发送邮件至ｉｎｆ×××＠ｖｉｐｓｈｏｐ.ｃｏｍ的方式与其联系。

四、其他情况

周OO提交了电话号码156××******的实名信息，显示该号码身份证实名认证主体为周OO本人。

唯品会提交了安全等级保护三级认证、ISO27001:2013认证，拟证明唯品会已根据法律法规规定，采取了符合业务标准、合理可行的安全防护措施以保护用户的个人信息安全。

一审庭审中，唯品会确认平台收集周OO的信息包括：一是周OO自行提供的信息；二是系统自动收集、生产的信息。结合周OO申请披露的个人信息列表，唯品会公司确认其公司收集到的个人信息如下：

账户信息

账户注册时间、账号、昵称、头像

个人基本信息

性别、居住地、手机号码

设备信息

设备型号、操作系统版本、唯一设备标识符

日志信息

浏览记录、订单信息、IP地址

周OO的收货信息

收货人姓名、收货地址以及手机号码，及相应的订单号、所购商品或服务信息、支付的货款金额

一审庭审中，唯品会陈述并未查询到周OO有通过PC电脑端使用唯品会的情形，对此，周OO予以确认。

一审另查，经过一审庭审勘验周OO的手机系统权限设置，显示周OO授权唯品会APP的权限如下：使用时允许唯品会收集位置信息；储存空间处于可访问状态；麦克风、相机、电话、通讯录、短信、悬浮式等权限均处于拒绝唯品会访问状态。

一审诉讼中，周OO明确主张本案为侵权之诉，唯品会公司拒不向周OO披露个人信息的不作为构成对周OO个人信息查阅、复制权的侵害，因此，周OO请求排除妨碍、消除危险。

一审法院认为，本案系个人信息保护纠纷。案涉纠纷发生于《个人信息保护法》生效之前，但该法律事实持续至《个人信息保护法》施行后，因此，本案可适用《个人信息保护法》的相关规定。本案一审争议焦点为：一、周OO要求查阅、复制的信息是否属于个人信息；二、个人信息查阅、复制权的范围；三、唯品会公司是否侵害了周OO的查阅权和复制权，如侵权成立，唯品会公司应以何种方式保障周OO的查阅权、复制权的行使；四、周OO要求唯品会删除相关非必要个人信息的诉请能否得到支持。

一、周OO要求查阅、复制的信息是否属于个人信息

《民法典》第一千零三十四条规定：“个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。”《个人信息保护法》第四条规定：“个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。”

根据上述规定，个人信息认定的关键因素是“识别”，只有可以直接或间接识别特定自然人的信息才是个人信息。本案中，周OO要求唯品会公司披露的信息，其中个人资料中的姓名、电话号码、订单信息一般情况可以直接识别到特定自然人的身份和财产状况；其他如设备信息、位置信息、浏览记录等信息，虽然仅凭借该信息无法识别出特定的自然人，但与其他信息进行结合就可以识别出特定的自然人。因此，周OO诉请唯品会公司披露的以上信息属于个人信息的范围。

关于唯品会公司抗辩设备信息以及日志信息是系统自动记录的信息，兼具商业运营信息的属性，企业有权在合理范围内且在不损害用户权益的基础上加以利用。一审法院认为，设备信息是用户在使用唯品会APP过程中所持有的个人常用设备型号、唯一设备识别码等硬件信息；日志信息，特别是其中的订单信息涉及用户姓名、收件人姓名、收件地址与收货电话号码。以上信息显然是用户主动提供的，可以指向用户的身份信息、财产信息、上网记录信息以及个人常用设备信息，属于个人信息，即便唯品会要利用设备信息和日志信息进行商业运营，亦不影响其个人信息的界定，自然人许可他人使用个人信息，而这种许可并不视为自然人放弃或者转让了其个人信息权益。因此，周OO对其诉请唯品会公司披露的设备信息和日志信息具有个人信息权益，唯品会公司不应以商业利益为由拒绝周OO对设备信息和日志信息行使权利。

二、个人信息查阅权、复制权的范围

《民法典》第一千零三十七条第一款规定：“自然人可以依法向信息处理者查阅或者复制其个人信息。”《个人信息保护法》第四十五条第一款亦规定了个人有向个人信息处理者查阅、复制其个人信息的权利。据此，个人享有向个人信息处理者查阅、复制其个人信息的权利，周OO作为个人信息主体，有权向收集、处理其个人信息的唯品会公司查阅、复制其个人信息。

参考国家标准GB/T35273-2020《信息安全技术个人信息安全规范》，其中第8.1条将查阅的内容规定为：“个人信息控制者所持有的个人信息或者个人信息的类型；上述个人信息的来源、所用于的目的；已经获得上述个人信息的第三人身份或类型。”可知，个人信息查阅权、复制权的客体“个人信息”，不仅包括个人信息本身，还应该包括个人信息处理的相关情况。本案一审中，周OO诉请唯品会公司披露收集到的其所有个人信息，具体内容以附表1为准，而附表1内的请求内容不仅包括个人信息，也包含了个人信息处理的相关情况。唯品会公司确认收集到的个人信息属于唯品会公司正在处理的个人信息，应当依法提供给个人信息主体进行查阅和复制。至于周OO诉请披露的清单中所列其他个人信息以及个人信息处理的相关情况是否应在查阅、复制的范围，一审法院具体分析如下：

（1）关于周OO所列清单中的“第三方SDK从唯品会公司收集到的其个人信息”。根据《唯品会隐私政策》中“您授权我们收集和使用您个人信息的情形——为您提供安全保障”条款约定“我们还可能在应用程序中嵌入我们合作的第三方合作伙伴开发的应用安全类的软件工具开发包（在本隐私政策中简称“SDK”）收集您的设备信息、服务日志信息……”可见，唯品会公司有向SDK共享用户信息的可能。至于第三方SDK实际收集了周OO的何种信息，虽然附件一第三方SDK目录中列明了可能嵌入的第三方SDK名称、用途以及收集个人信息类型，但实际内嵌于唯品会APP中的第三方SDK以及该SDK实际收集的用户具体个人信息，用户是无法查阅的。因此，唯品会公司仍有必要向周OO清晰列出实际内嵌第三方SDK收集的周OO个人信息，包括第三方SDK的具体名称，以及第三方SDK已经收集到的周OO个人信息基本情况，包括信息类型、信息内容、使用目的和使用场景。

（2）关于周OO所列清单中的“哪些信息被用于用户画像”。参考国家标准GB/T35273-2020《信息安全技术个人信息安全规范》第3.8条规定，用户画像是指“通过收集、汇聚、分析个人信息，对某特定自然人个人特征，如职业、经济、健康、教育、个人喜好、信用、行为等方面作出分析或预测，形成其个人特征模型的过程。”可知，用户画像是通过算法对个人信息的集合或部分集合进行自动化决策的过程。根据《个人信息保护法》第二十四条第三款规定，通过自动化决策方式作出对个人权益有重大影响的决定，个人有权要求个人信息处理者予以说明，并有权拒绝个人信息处理者仅通过自动化决策的方式作出决定。本案中，周OO并未提交证据证明唯品会公司作出了对其个人权益有重大影响的自动化决策，其诉求唯品会公司披露具体哪些信息被用于用户画像，无事实和法律依据，一审法院不予支持。

（3）关于周OO诉请披露的“对外分享的信息：共享给第三方的信息以及第三方的具体名称”。根据《唯品会隐私政策》的约定，唯品会公司可能会将用户的个人信息与其关联方、授权合作伙伴共享，合作伙伴包括商品或技术服务的供应商、第三方商家以及委托唯品会公司进行推广的合作伙伴。该隐私政策并未披露共享个人信息的关联方以及授权合作伙伴的具体名称，根据《个人信息保护法》第二十三条的规定，“个人信息处理者向其他个人信息处理者提供其处理的个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。”据此，唯品会公司有必要根据周OO的申请披露与第三方共享个人信息清单，列明第三方的具体名称以及共享给第三方的周OO个人信息，包括信息种类、信息内容、使用目的、使用场景和共享方式。

（4）关于周OO所列清单中的“支付信息：与唯品会合作的第三方支付机构从唯品会收集到的账户信息”，该信息仍属于上述唯品会公司共享给第三方的个人信息范畴，唯品会公司应根据周OO的申请予以披露。

（5）至于周OO所列清单的其它信息：姓名、出生年月日、电子邮箱；设备名称、移动应用列表、应用程序版本、语言设置、运营商网络类型等软硬件特征信息；GPS位置以及能够提供相关信息的WLAN接入点、蓝牙和基站；搜索内容、浏览器类型、访问日期、时间以及访问的网页记录等，唯品会公司未确认已收集以上个人信息，周OO亦无证据证明唯品会存在收集行为，故周OO主张查阅、复制以上个人信息，无事实和法律依据，一审法院不予支持。

三、唯品会公司是否侵害了周OO的查阅复制权，如侵权成立，唯品会公司应以何种方式保障查阅复制权的行使

（一）唯品会公司是否侵害了周OO的查阅权和复制权

个人信息查阅复制权，系个人信息处理公开透明原则的具体要求，是个人对个人信息处理享有知情权的具体体现，也是保障个人信息决定权的重要前提。关于唯品会公司抗辩提出的个人信息查阅权“可诉性”的问题，《个人信息保护法》第五十条的规定：“个人信息处理者应当建立便捷的个人行使权利的申请受理和处理机制。拒绝个人行使权利的请求的，应当说明理由。个人信息处理者拒绝个人行使权利的请求的，个人可以依法向人民法院提起诉讼。”据此，个人的查阅复制权被个人信息处理者无理由拒绝后，个人有权寻求司法救济，通过向法院提起诉讼而请求排除妨碍。考量周OO个人信息查阅权、复制权是否被侵害，应当从以下两个维度进行：（1）周OO是否已行使查阅复制请求权；（2）唯品会公司是否存在无正当理由拒绝的行为。结合本案，一审法院具体分析如下：

（1）周OO已行使查阅复制请求权

查阅复制权是个人在个人信息处理活动中的权利，但是，法律并未明确规定该权利行使的前提条件，对此，一审法院认为，个人只需要能够证明自己属于个人信息主体即可以行使查阅复制权。案涉周OO注册的唯品会账号虽然未进行实名认证，但周OO使用了其手机号码进行注册并绑定了账号，收货联系人手机号码亦与账号一致，且案涉周OO的手机号码已实名登记。根据《全国人民代表大会常务委员会关于加强网络信息保护的决定》第六条规定，电话号码必须实名登记，据此，电话号码这一信息可以识别出特定的自然人。周OO通过实名登记的移动电话联系了唯品会公司的客服，客服亦通过周OO的来电核实到周OO的注册账号，因此，周OO已经证明了其属于案涉账号的信息主体。

根据唯品会隐私政策的约定，用户在无法通过个人账户访问其个人信息或是使用产品过程中产生的其他个人信息时，可以通过拨打客服电话或者向唯品会隐私专职保护部门发送邮件的方式要求访问。周OO根据隐私政策的规定，先后通过致电客服和发送邮件的方式提出了查阅复制其个人信息的请求，可认定其已向唯品会公司行使了查阅复制请求权。

（2）唯品会公司存在无正当理由拒绝周OO行使查阅、复制权的行为

首先，周OO通过唯品会客服查询个人信息，唯品会客服陈述“用户有填写的信息，可以在APP个人中心予以查看；对于用户没有填写的信息，唯品会是没有办法展示的”，但根据唯品会隐私政策以及唯品会公司一审庭审中所确认的，除了周OO自行提供的个人信息，系统还会自动收集、生产信息，包括:设备信息（设备的型号、操作系统版本、唯一设备标识符）以及日志信息（订单信息、浏览信息、IP地址）。经过庭审勘验，可以确认周OO通过唯品会APP无法查阅设备信息以及日志信息中的IP地址。《个人信息保护法》第四十五条第一款规定了个人不得行使查阅、复制的两种情形：其一，本法第十八条第一款规定“法律、行政法规规定应当保密或者不需要告知的情形”；其二，本法第三十五条规定“国家机关为履行法定职责处理个人信息，……告知将妨碍国家机关履行法定职责的”。显然，设备信息和IP地址并不属于以上规定的两种情形，唯品会公司应当予以告知。

其次，关于周OO向唯品会公司个人信息专职保护部门发送邮件的请求，虽然周OO未附有个人的身份信息，其注册账号亦未提供电子邮箱，但周OO使用了其收货人姓名“周缦卿”作为邮件发送方，唯品会公司是可以向周OO验证身份的。《中华人民共和国电子商务法》第二十四条规定：“电子商务经营者应当明示用户信息查询、更正、删除以及用户注销的方式、程序，不得对用户信息查询、更正、删除以及用户注销设置不合理条件。电子商务经营者收到用户信息查询或者更正、删除的申请的，应当在核实身份后及时提供查询或者更正、删除用户信息。”参考国家标准GB/T35273-2020《信息安全技术个人信息安全规范》第8.7条规定，“响应个人信息主体的请求，对个人信息控制者的要求包括：在验证个人信息主体身份后，应及时响应个人信息主体的请求，应在30天内或法律规定的期限内作出答复及合理解释，并告知个人信息主体外部纠纷解决途径。”《唯品会隐私政策》中亦约定“为了保障安全，我们可能需要您提供书面请求，或以其他方式证明您的身份，我们将在收到您反馈并验证您的身份后的15天内答复您的请求。”可见，不论基于法律法规规定、国家相关标准，还是唯品会公司与周OO之间的约定，唯品会公司在接到周OO请求时的首要工作是验证其个人信息主体身份，然后在合理的期间作出答复，但唯品会公司在收到周OO发送的邮件后，并未作出任何处理，实质上是拒绝了周OO的申请。且在周OO对唯品会公司提起诉讼后，唯品会公司已经核实了周OO的个人信息主体身份，仍拒绝披露周OO在APP个人资料页面无法查看的信息。综上，一审法院认定唯品会公司存在无正当理由拒绝周OO行使查阅、复制权的行为。

（二）唯品会公司应以何种方式保障查阅复制权的行使

法律规定个人信息主体有权复制其个人信息，与之相对的就是个人信息处理者应当提供正在处理的个人信息的副本，这种副本的形式应当包括纸质的，也包括电子化的，其应当是结构化的、通用的及可读的。一审庭审中，唯品会公司陈述可以通过截屏的方式获取个人资料的个人信息，但截屏显然不属于通用的个人信息副本方式。鉴于唯品会公司在隐私政策中明确约定用户可以获取个人信息副本，因此，唯品会公司有必要提供一种通用的、可下载的个人信息副本方式，考虑到周OO以电子方式提出请求，唯品会公司也应当以常用的电子形式提供个人信息副本，如excel表格、word文档等。

综上，唯品会公司存在拒绝周OO个人行使权利请求的行为，且拒绝理由不充分，周OO向唯品会公司主张个人信息查阅、复制的请求权，有事实和法律依据，一审法院依法予以支持。根据周OO的申请，唯品会公司应当披露的内容包括：1.唯品会公司确认收集的周OO个人信息；2.嵌入唯品会APP第三方SDK的名称以及收集的周OO个人信息基本情况；3.唯品会公司共享给第三方的周OO个人信息基本情况（详见附表2）。

一审庭审中，周OO确认其未使用过唯品会电商网站(××)，因此，其诉请唯品会公司披露在使用网站期间收集到的所有个人信息，无事实和法律依据，一审法院不予支持。

四、周OO要求唯品会删除相关“非必要个人信息”的诉请能否得到支持

关于周OO删除权的诉请，一审法院认为，首先应探究唯品会公司收集的相关个人信息是否取得了周OO的同意；其次应分析唯品会公司是否存在主动删除周OO相关个人信息的情形。

首先，根据《个人信息保护法》第十三条第一款第一项规定，“取得个人的同意，个人信息处理者可处理个人信息。”唯品会公司提交的注册流程显示，用户注册唯品会APP时需“仔细阅读、充分理解《唯品会服务条款》《隐私条款》《唯品支付服务协议》中的条款内容后再点击同意注册”，周OO注册了唯品会APP用户，即表示其已经阅读并同意了《唯品会隐私政策》。根据隐私政策约定，唯品会公司可根据用户的授权收集设备信息、网络日志、收集用户消费习惯形成用户画像等，且根据庭审勘验，周OO可通过手机权限选择是否授权唯品会使用位置信息、相机、储存等信息。可见，唯品会公司虽然收集了周OO主张的“非必要个人信息”，但取得了周OO本人的同意。

其次，《个人信息保护法》第四十七条第一款规定：“有下列情形之一的，个人信息处理者应当主动删除个人信息；个人信息处理者未删除的，个人有权请求删除：（一）处理目的已实现、无法实现或者为实现处理目的不再必要；（二）个人信息处理者停止提供产品或者服务，或者保存期限已届满；（三）个人撤回同意；（四）个人信息处理者违反法律、行政法规或者违反约定处理个人信息；（五）法律、行政法规规定的其他情形。”本案并无证据表明唯品会公司存在以上应当主动删除周OO个人信息的情形，周OO述称其有理由怀疑唯品会公司收集“非必要个人信息”用于商业营销之用，并无证据予以证实。

综上，周OO未提交证据证明唯品会公司存在应当主动删除其个人信息的情形，唯品会公司根据周OO的授权同意收集了相关个人信息，周OO现要求唯品会公司予以删除，无事实和法律依据，一审法院对此不予支持。

综上所述，唯品会公司作为大型的网络购物平台，应当践行保护个人信息知情权的理念，优化产品设计，提供更加便捷的个人信息查阅复制途径，充分保障个人信息主体的查阅权和复制权，一审法院对周OO的诉讼请求，予以部分支持。依照《中华人民共和国民法典》第一千零三十四条、第一千零三十七条，《中华人民共和国个人信息保护法》第四条、第六条、第七条、第十三条第一款、第十八条第一款、第二十三条、第二十四条、第三十五条、第四十五条、第四十七条、第五十条，《中华人民共和国电子商务法》第二十四条，《中华人民共和国民事诉讼法》第六十四条之规定，作出判决：一、唯品会公司于该判决发生法律效力之日起十日内提供自周OO注册唯品会APP之日起至该判决发生法律效力之日止的已收集到的个人信息以及个人信息处理的相关情况供周OO查阅、复制（具体内容详见附表2）；二、驳回周OO的其他诉讼请求。一审案件受理费500元，由唯品会公司负担。

二审中，唯品会公司提交：

1.唯品会公司自行制作的2021年3月1日唯品会客服电话入线记录，拟证明2021年3月1日即周OO拨打唯品会客服电话当日，唯品会公司客服共入线电话1****个。唯品会客服每日入线海量来电，难以逐一核实来电人员的身份信息。

2.邮箱网关系统隔离记录截图，拟证明周OO2021年3月1日发送给唯品会公司的邮件因有禁用词被邮箱网关系统隔离，唯品会公司实际上并未收到该邮件，在不知晓周OO发送过邮件的情况下未对周OO邮件请求进行答复，不存在过错。

3.（2022）京方圆内经证字第3466号公证书，拟证明周OO在手机及唯品会APP上可以查阅复制其主张的个人信息，并可自行在唯品会APP上获取电子化的个人信息副本。周OO主张的账户信息、个人基本情况、日志信息、收货信息均可在APP“个人中心”中完成查阅，“购物习惯”由用户自行勾选并可随时更改，在“个人中心”中可以查阅用户选择的“购物习惯”。设备信息中的“设备型号、操作系统版本、唯一设备识别符”及日志信息中的“IP地址”在手机的“设置”功能里均可完成查阅。一审判决附表2中所列1-6项信息，周OO均可在其手机和唯品会APP中完成查阅。唯品会APP“个人中心”中向用户公示了《第三方SDK收集个人信息清单》，列明了第三方SDK的名称、使用场景、使用目的、收集个人信息字段、个人信息类型、所属机构及政策说明链接，周OO可在唯品会APP中完成查阅复制。唯品会APP“个人中心”中向用户公示了《与第三方共享个人信息列表》，列明了信息接收方、共享个人信息内容、使用场景、使用目的、共享方式及查阅具体服务方信息的渠道，周OO可在唯品会APP中完成查阅复制。唯品会APP“个人中心-隐私设置”中有“个人信息查看与导出”功能，用户可自行便捷地将电子化的个人信息副本发送到指定邮箱，周OO可自助获取。

4.唯品会APP导出个人信息副本的过程截图及提供的个人信息副本、2021年12月21日澎湃新闻文章《从APP中“复制”自己的个人信息，有多难？》，拟证明用户可以自行在唯品会APP获取电子化的个人信息副本。根据媒体对应用市场上五十款常用APP在个人信息查阅复制方面的测评报告，唯品会APP采取的提供个人信息副本方式是目前实践中的主流做法，且唯品会APP可以提供的个人信息副本包含的个人信息在目前市面上的APP中属于内容较为丰富的。一审法院认定唯品会“应当以常用的电子形式提供个人信息副本，如Excel、Word文档等”不符合当前实践中个人信息复制权的行使方式，违背个人信息保护实践的通常做法。

5.2021年9月10日、2021年11月4日、2021年12月10日、2022年2月8日唯品会更新隐私政策的公告及其发布的隐私政策和附件，以及唯品会APP隐私政策及附件修改对比表，拟证明唯品会公司已按照《个人信息保护法》的规定及主管部门要求，于2021年11月4日修改、发布了《第三方SDK收集个人信息清单》《与第三方共享个人信息基本情况》《APP权限使用情况列表》《个人信息收集与使用清单》，通过上述清单、列表的方式向用户披露个人信息收集、共享的情况。周OO可以在唯品会APP上通过《第三方SDK收集个人信息清单》、《与第三方共享个人信息基本情况》查阅第三方SDK收集的个人信息及与第三方共享的个人信息详情，唯品会已履行《个人信息保护法》规定的个人信息合规义务。唯品会公司跟随法律法规的变动不断完善更新隐私政策及个人信息保护政策，履行《个人信息保护法》规定的个人信息合规义务。一审法院没有查明《个人信息保护法》的生效时间及企业履行新法义务的时间，认定唯品会公司构成侵害周OO查阅复制权，存在事实认定错误和法律适用错误。

6.2021年11月1日工业和信息化部《关于开展信息通信服务感知提升行动的通知》及附件《首批设立“双清单”、提升客服热线响应能力、优化隐私政策和权限调用展示方式的互联网企业名单》，拟证明工信部于2021年11月1日发布通知，要求互联网企业2021年12月底前完成“优化隐私政策和权限调用展示方式”，各相关企业应建立已收集个人信息清单和与第三方共享个人信息清单（个人信息保护“双清单”），并在APP二级菜单中展示，方便用户查询。唯品会公司为工信部首批设立“双清单”、提升客服热线响应能力、优化隐私政策和权限调用展示方式的互联网企业之一，于2021年11月4日发布了“双清单”，走在互联网企业前列。

7.2021年5月11日中国打击侵权假冒工作网发布的《广东三部门联合召开互联网平台企业行政指导会》、2021年4月14日国家市场监督管理总局发布的《互联网平台企业向社会公开<依法合规经营承诺>（第一批）》、2020年11月6日市场监管总局等联合召开规范线上经济秩序行政指导会的相关报道，拟证明唯品会公司在《个人信息保护法》颁布前后始终积极参与并接受主管部门的行政指导，按照法律、监管的要求履行个人信息合规义务。

周OO质证称，对证据1的真实性、合法性、关联性均不认可，该证据是唯品会公司单方制作，周OO无法核实其真实性和合法性，且周OO在一审中提交的证据可以充分证明，唯品会公司客服在通话的过程中已经明确知道周OO的账户信息。对证据2的真实性、合法性、关联性均不认可，该证据是唯品会公司单方提供，周OO无法核实其真实性和合法性。另，唯品会公司在一审程序中也从未否认过收到周OO邮件的事实，只是强调其无需向周OO披露信息。即便唯品会公司确实没有收到周OO邮件，也是由于唯品会公司系统恶意拦截的缘故，其应承担相应不利后果。唯品会公司在与周OO的通话中已经明确地拒绝了周OO关于披露信息的请求，已经侵害了周OO的查阅、复制权，其是否收到邮件，不影响对其行为的定性；对于证据3、4的真实性和合法性认可，关联性不认可。因为该两份证据仅能证明唯品会APP在一审判决作出后的状态，在一审判决作出前，唯品会APP并未向用户提供查阅、复制个人信息途径和渠道，一审判决作出后，唯品会公司对“唯品会”APP进行调整完善、向用户提供查阅、复制部分个人信息的途径和渠道，只能说明唯品会公司认可并以替代的方式履行了一审判决，并不能由此反推一审判决存在错误；对证据5的真实性、合法性、关联性均不认可，唯品会公司是否如其所述对隐私政策进行了修改，周OO无法核实，在周OO已向一审法院起诉且经过两次开庭审理的情况下，唯品会公司如果通过修改隐私政策或唯品会APP满足了周OO查阅、复制个人信息的部分要求，则其应尽快通知周OO并向法院作出说明，但其在一审判决作出前既未告知周OO也未向法院说明。至于一审判决作出之后的修改，只能说明唯品会公司认可并以替代的方式履行了一审判决，并不能由此反推一审判决存在错误。对证据6、7的真实性和合法性认可，关联性不认可，该证据无法证明唯品会公司协助周OO实现了用户依照《民法典》第一千零三十四条、第一千零三十七条的规定享有的查阅、复制个人信息的权利，相反，在整个一审诉讼过程中，唯品会公司始终拒绝周OO行使查阅、复制个人信息的权利。

二审查明：

1.关于周OO主张的“披露”的含义。一审中，周OO主张唯品会公司可以通过书面的纸质方式，或是通过拷贝电子数据、发送电子邮件等方式向其披露个人信息。一审庭审中，唯品会公司在答辩中陈述：“原告的诉请是要求披露，当然从我们的理解来看，这个披露可以理解为是查询跟复制这两个权利。”一审法院在庭审中归纳本案的争议焦点之一为“原告主张的个人信息查阅权、复制权以及删除权的权利性质是否具有可诉性”，周OO、唯品会公司对此均未提出异议。

2.关于周OO“昵称”和“居住地”信息的收集。二审中，唯品会公司主张未收集周OO的昵称和居住地信息，周OO确认并未在唯品会APP上填写昵称和居住地信息。双方均确认周OO在唯品会APP上的昵称为“唯品会会员”，该昵称由唯品会APP针对未填写昵称信息的会员统一自动生成。

3.关于唯品会公司已披露的周OO个人信息。一审中，唯品会公司提交《原告个人信息情况》，其中记载有周OO的登录账号、注册时间、昵称、性别、绑定手机号、收件人信息（包括收货人、区域ID、区域名称、详细地址、邮编、收货手机号、添加时间、送货方式等）等信息。上述《原告个人信息情况》已送达给周OO。二审中，周OO称对于《原告个人信息情况》涉及的个人信息，唯品会公司可以不再向其提供副本。

4.关于周OO“浏览记录”信息的披露。二审中，唯品会公司称周OO案涉账号于2019年2月1日注册，该账号中涉及的全部浏览记录目前唯品会公司仍有储存。但用户的浏览记录的调取需要逐日筛选，唯品会APP数据库每天收集、储存的用户浏览记录数据量非常巨大，唯品会公司需要从每天数量巨大的浏览数据中检索出当天周OO账号对应的浏览记录数据，相关数据检索成本非常高昂，将严重影响公司的正常业务运营。根据国家标准GB/T35273-2020《信息安全技术个人信息安全规范》的规定，唯品会公司有权不予提供全部浏览记录。且一旦成为先例将对其他用户产生示范效应，对唯品会公司的正常运营将产生严重影响，甚至对整个互联网行业产生深远的负面影响。唯品会公司已在APP中提供了近一个月的浏览记录供用户查阅，完全满足周OO合理需求，也符合行业惯例。

5.关于“第三方SDK收集的个人信息”及“与第三方共享的个人信息”的披露。一审庭审后，唯品会公司对唯品会APP的隐私政策及其相关附件设置进行了修改，其中包括修改《第三方SDK收集个人信息清单》，新增《与第三方共享个人信息基本情况》等，前者包括第三方SDK名称、使用场景、收集个人信息字段、个人信息类型、所属机构、政策说明等，后者包括信息接收方、共享个人信息内容、使用场景、使用目的、共享方式、备注信息等。周OO主张《第三方SDK收集个人信息清单》《与第三方共享个人信息列表》仅为统一模板，唯品会公司应当向其披露第三方SDK收集的，以及唯品会公司与第三方共享的周OO的具体个人信息。对此，唯品会公司称，第三方SDK收集的个人信息，由第三方SDK自行收集并上传、存储到第三方SDK数据库中，唯品会公司并未参与相关信息的收集、上传、存储过程，无法提供相关具体个人信息；对于与第三方共享的用户具体个人信息，唯品会公司有实际收集，但若要披露，唯品会公司需要按照业务功能在数据库中逐一检索查询，数据量非常巨大，若用户开启了“程序化广告”权限，还需要一一与大量的广告商核实数据传输情况，将会产生非常高昂的成本，唯品会公司已经通过《与第三方共享个人信息基本情况》披露了个人信息的相关处理情况，这种披露方式也是工信部要求的方式和行业惯例。

6.2021年11月1日工业和信息化部发布《关于开展信息通信服务感知提升行动的通知》，决定自即日起到2022年3月底，开展信息通信服务感知提升行动，其中“重点任务”包括建立个人信息保护“双清单”，即“各相关企业应建立已收集个人信息清单和与第三方共享个人信息清单，并在APP二级菜单中展示，方便用户查询（2021年12月底前完成），已收集个人信息清单应简洁、清晰列出APP（包括内嵌第三方软件工具开发包SDK）已收集到的用户个人信息基本情况，包括信息种类、使用目的、使用场景等。与第三方共享个人信息清单应简洁、清晰列出APP与第三方共享的用户个人信息基本情况，包括与第三方共享的个人信息种类、使用目的、使用场景和共享方式等。”唯品会公司在该通知确定的《首批设立“双清单”、提升客服热线响应能力、优化隐私政策和权限调用展示方式的互联网企业名单》中。

7.二审中，唯品会公司确认以下信息为其实际收集且应当披露的周OO个人信息：“账户信息”中的账户注册时间、账号、头像，“个人基本信息”中的性别、手机号码，“设备信息”（设备型号、操作系统版本、唯一设备标识符），“日志信息”中的订单信息、IP地址，“收货信息”（收货人姓名、收货地址以及手机号码，及相应的订单号、所购商品或服务信息、支付的货款金额及支付方式），“购物习惯”等。

二审再查明，《个人信息保护法》于2021年11月1日施行。本案一审最后一次庭审时间为2021年9月27日。

本院经审理查明的其他事实与一审判决查明事实一致。

本院认为，本案为个人信息保护纠纷，本案二审主要争议问题是，周OO行使个人信息查阅复制权的范围和形式该如何确定。围绕唯品会公司的上诉请求、理由以及双方的具体争议问题，本院分析如下：

一、周OO的诉讼请求是否包含了行使个人信息复制权

根据查明事实，周OO的第一项诉讼请求为判令唯品会公司向其“披露”相关的个人信息。关于“披露”的含义，应当结合双方在诉辩过程中的陈述进行理解。一审中，周OO提出唯品会公司可以通过书面的纸质方式，或是通过拷贝电子数据、发送电子邮件等方式向其披露个人信息，明确表达出需要唯品会公司向其提供个人信息副本的诉求，客观上是在主张行使其个人信息复制权。唯品会公司在一审中也明确提出“披露可以理解为是查询跟复制这两个权利”，对于一审法院关于“原告主张的个人信息查阅权、复制权以及删除权的权利性质是否具有可诉性”的争议焦点归纳，双方均没有表示异议。由此可见，一审中，唯品会公司对周OO主张个人信息复制权的事实已充分了解。综上，本院认定，周OO的诉讼请求包含了行使个人信息复制权，唯品会公司上诉主张一审判决超出周OO的诉讼请求范围，不能成立，本院不予采纳。

二、本案是否可适用《个人信息保护法》

《个人信息保护法》的施行时间为2021年11月1日。虽然该法施行时间在本案一审最后一次庭审（2021年9月27日）之后，但本案为个人信息保护纠纷，案涉事实状态一直持续到《个人信息保护法》施行之后，且适用《个人信息保护法》可以更好地平衡双方的权利义务，有助于妥善解决本案纠纷。故一审法院适用《个人信息保护法》并无不当，唯品会公司上诉主张一审判决违反“法不溯及既往”原则，本院不予采纳。

三、周OO是否可以提起本案诉讼

根据双方的诉辩主张，周OO要求唯品会向其披露个人信息，实质上是主张个人信息查阅复制权。《个人信息保护法》第七条规定：“处理个人信息应当遵循公开、透明原则，公开个人信息处理规则，明示处理的目的、方式和范围。”第四十四条规定：“个人对其个人信息的处理享有知情权、决定权。”第四十五条规定：“个人有权向个人信息处理者查阅、复制其个人信息；有本法第十八条第一款、第三十五条规定情形的除外。个人请求查阅、复制其个人信息的，个人信息处理者应当及时提供。”查阅复制权，既是个人信息处理公开、透明原则的重要体现，也是个人实现信息处理知情权的重要途径，同时是个人行使更正、补充、删除等其他个人信息权利的重要前提。个人信息查阅复制权是个人重要的法定权利，依法应予充分保障。个人对于个人信息处理者收集的个人信息，除存在依法不得查阅复制或权利滥用等情形外，均可依法行使查阅复制的权利，并不以个人信息泄露或存在泄露风险为前提条件。本案中，周OO主张因担心个人信息泄露或个人信息有误，或唯品会公司将个人信息用于其他用途损害其利益，故向唯品会公司要求披露相关信息。此仅为周OO行使个人信息查阅复制权的动机，而并非必要前提条件。唯品会公司主张周OO没有提供证据证明其个人信息发生了泄露，且已采取了相关措施保护用户个人信息，因上述事由并非周OO行使个人信息查阅复制权的必要前提条件，本院对此不予确认。周OO通过客服电话、邮件等方式要求唯品会公司向其披露个人信息未果，遂向一审法院提起本案诉讼，于法有据。唯品会公司抗辩称其未能核实周OO的真实身份，且未收到周OO发送的邮件。唯品会公司作为个人信息处理者，对于用户提出的查阅复制请求，应当采取相应的技术措施验证用户的真实身份。根据查明事实，周OO曾通过致电客服、发送邮件等方式向唯品会公司主张权利，但唯品会公司并未告知周OO验证其真实身份的具体途径，也未在合理期间内对周OO的诉求作出必要处理，显属不当。且案涉邮箱是由唯品会公司向用户提供的联系方式，唯品会公司有义务保障该邮箱能正常接收用户的邮件，在其未能证明周OO发送的邮件存在不当内容，也从未在一审中否认收到该邮件的情况下，二审中以未收到该邮件为由进行抗辩，本院不予采纳。

四、唯品会公司应当向周OO披露的个人信息范围

法律赋予个人查阅复制权，其目的是确保其对个人信息的知情权和保持应有的控制，避免因为非法收集、处理个人信息而致其人身财产权益遭受侵害。从实现查阅复制权的功能价值、保护个人合法权益的角度考虑，查阅复制权的客体不仅包含个人信息本身，还应当包括个人信息处理情况。本案中，周OO作为唯品会APP的注册用户，对于该APP所收集的个人信息及相关处理情况，有权要求唯品会公司进行披露。由于周OO并未对一审判决提起上诉，本院仅对一审判决确定的披露范围（附表2）进行评判：

（一）关于唯品会公司自认已实际收集且应当披露的个人信息

二审中，唯品会公司确认周OO的“账户信息”中的账户注册时间、账号、头像，“个人基本信息”中的性别、手机号码，“设备信息”（设备型号、操作系统版本、唯一设备标识符），“日志信息”中的订单信息、IP地址，“收货信息”（收货人姓名、收货地址以及手机号码，及相应的订单号、所购商品或服务信息、支付的货款金额及支付方式），“购物习惯”等信息为其实际收集且应当披露的信息，本院对此予以确认。

（二）关于“昵称”与“居住地”信息是否应当披露

根据查明事实，周OO在唯品会APP中的昵称为“唯品会会员”，虽然该昵称由唯品会APP自动生成，并非周OO自行填写，但根据《个人信息保护法》第四条关于“个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息”的规定，周OO作为唯品会公司可识别的注册用户，其昵称仍属于个人信息范畴，至于该昵称为个人自行填写或是由系统自动生成，均不影响其性质的认定。据此，唯品会公司应当向周OO披露其“昵称”信息。至于居住地信息，唯品会公司主张其未收集，周OO亦确认并未填写该信息，根据现有证据亦不能认定唯品会APP收集了该信息，故本院认定唯品会公司不需要向周OO披露其居住地信息。

（三）关于“浏览记录”及“与第三方（包括第三方支付机构）共享的个人信息”是否应当披露

关于周OO在唯品会APP注册以来的浏览记录及与第三方（包括第三方支付机构）共享的个人信息，唯品会公司确认均有实际收集，但抗辩称若全部提供上述信息会使其承担高昂成本，也不符合行业惯例。对此，本院认为，浏览记录及平台与第三方共享的个人信息，是个人信息及其处理情况的重要组成部分，该信息对于个人判断个人信息是否被滥用具有重要意义，唯品会公司作为个人信息处理者，应当依法向周OO披露上述信息相关情况。关于披露成本的问题，因唯品会公司并未能提供充分证据证明具体的披露成本，且披露成本高并非法定的免责事由，故对于唯品会公司抗辩，本院不予采纳。至于唯品会公司提出的行业惯例问题，因行业惯例仅能从一定程度上反应现有的个人信息保护水平，并非个人信息处理者是否履行法定义务的决定性因素，与唯品会公司是否应当披露上述信息并无必然关系。综上，唯品会公司应当向周OO披露自周OO在唯品会APP上注册之日起到本判决生效之日止的“浏览记录”及“与第三方（包括第三方支付机构）共享的个人信息”，后者应当包含信息种类、信息内容、使用目的、使用场景和共享方式等内容。考虑到唯品会公司履行上述披露义务需要耗费一定的成本和时间，本院将披露期限从一审确定的十日延长至三十日。

（四）关于“第三方SDK收集的个人信息”是否应当披露

第三方SDK收集的个人信息，是指唯品会公司合作伙伴通过在唯品会APP中嵌入SDK收集的用户个人信息。唯品会公司主张并未参与该类信息的收集、上传、储存过程，根据现有证据亦未能显示唯品会公司收集了上述信息，故周OO要求唯品会公司向其披露第三方SDK收集的个人信息，依据不足，本院不予支持。

需要指出的是，第三方SDK嵌入APP，一方面提升了APP兼容性和灵活性，节约了APP开发成本，但同时也带来了个人信息安全风险。虽然本院未支持周OO关于披露第三方SDK收集的个人信息的诉讼请求，但唯品会公司作为唯品会APP的运营方，仍应谨慎选择使用第三方SDK，通过加强动态监测和安全评估工作、完善与第三方SDK提供者的合作协议等有效举措，积极防范SDK安全漏洞、违法违规收集使用个人信息等风险，切实保障用户个人信息安全。

五、唯品会公司已向周OO披露的个人信息

一审中，唯品会公司提交了《原告个人信息情况》，其中记载了周OO的部分个人信息。二审中，周OO确认《原告个人信息情况》披露的周OO个人信息，唯品会公司可以不再向其提供副本。故本院认定，对于《原告个人信息情况》记载的注册时间、账号、昵称、性别、手机号码等信息，应视为唯品会公司已向周OO披露，唯品会公司不需要再提供相关副本。至于“收件人信息”中的收货人姓名、收货地址、收货手机号等，因该信息与相关的订单信息相关联，但《原告个人信息情况》中并未披露与此相关联的订单信息，故唯品会公司仍应当结合周OO的订单信息对收货人姓名、收货地址、收货手机号等信息进行重新披露。

六、案涉个人信息的披露方式

如前所述，周OO请求唯品会公司向其披露相关个人信息情况，实质上是在行使查阅复制权。唯品会公司上诉主张其已向周OO提供了便捷的个人信息查阅途径，但根据查明事实，唯品会公司提供的查阅途径仅能查阅部分周OO的个人信息，且对于复制权，一般应当理解为提供副本，仅提供查阅途径不能视为已满足周OO复制个人信息的请求。一审法院判令唯品会公司以提供副本的方式向周OO披露个人信息情况，该披露方式能同时满足周OO查阅和复制的请求，本院予以确认。副本应当采取书面形式，可为纸介质或者电子介质。从减少个人信息处理者的披露成本、方便个人查阅的角度，一审判决唯品会公司向周OO提供电子化的副本，并无不当，本院予以维持。电子化副本不限于Excel表格、Word文档等形式，唯品会公司应当选择便于查阅的方式向周OO提供个人信息电子化副本。

综上，唯品会公司应当以电子副本的方式提供相关的个人信息及处理情况（详见附表3）供周OO查阅复制。

随着数字化时代的到来以及数字经济的蓬勃发展，强化个人信息保护已经成为应对数字化挑战、保护个人合法权益、维护网络空间良好生态、促进数字经济健康发展的重要举措。从个人角度，落实法律赋予其在个人信息处理活动中的权利，可以有效防范个人信息被随意收集、违法获取、过度使用、非法买卖等风险，防止不法分子利用个人信息侵扰其生活安宁，危害其生命健康和财产安全；从个人信息处理者的角度，充分保障用户的个人信息合法权益，可以有效提升其服务水平，增强其在数字经济时代的市场竞争力，虽然短期内可能会增加个人信息处理者的运营成本，但对其长远发展具有重要的积极作用。据此，个人信息处理者应当把个人信息保护的理念融入处理活动和业务实践的全流程，在个人信息收集、储存、使用、加工、传输等环节预先考虑个人信息权益保障的需求，为全面、高效履行个人信息权益保障法定职责奠定基础。

唯品会公司作为互联网企业，根据法律及监管部门的要求，适时对平台隐私政策及相关附件进行修改完善，不断提升用户个人信息权益的保障水平，对此应当予以肯定。但从本案的事实看，唯品会公司的个人信息查阅复制机制仍存在进一步完善的空间。建议唯品会公司对照《民法典》《个人信息保护法》及相关监管要求，充分发挥自身技术条件，运用信息化技术，建立常态化、便捷化的个人信息查阅复制响应机制，不断降低成本，提升效率，匹配平台用户需求，切实全面保障用户的个人信息查阅复制权。

综上所述，唯品会公司的上诉理由部分成立，对其上诉请求，本院予以部分支持。二审中唯品会公司提交了新的证据，案件事实发生了变化，本院对一审判决进行相应调整。根据依照《中华人民共和国民法典》第一千零三十七条，《中华人民共和国个人信息保护法》第四条、第七条、第二十三条、第四十四条、第四十五条、第五十条，《中华人民共和国民事诉讼法》第一百七十七条第二款之规定，判决如下：

一、变更广州互联网法院（2021）粤0192民初17422号民事判决第一项为：广州唯品会电子商务有限公司于本判决发生法律效力之日起三十日内提供自周OO注册唯品会APP之日起至本判决发生法律效力之日止的已收集到的相关个人信息以及个人信息处理的相关情况供周OO查阅、复制（具体内容见附表3）；

二、撤销广州互联网法院（2021）粤0192民初17422号民事判决第二项；

三、驳回周OO的其他诉讼请求。

本案一审案件受理费500元，由周OO、广州唯品会电子商务有限公司各负担250元；二审案件受理费500元，由周OO、广州唯品会电子商务有限公司各负担250元。

本判决为终审判决。

二〇二二年五月十三日书记员　　

附表1：周OO诉请唯品会公司披露的个人信息及个人信息处理的相关情况

账户信息

账户注册时间、账号、昵称、头像

个人基本信息

姓名、性别、出生年月日、居住地、手机号码、电子邮箱

设备信息

设备名称、设备型号、操作系统和应用程序版本、语言设置、移动应用列表、唯一设备标识符、运营商网络类型等软硬件特征信息

位置信息

IP地址、GPS位置以及能够提供相关信息的WLAN接入点、蓝牙和基站等信息

日志信息

搜索内容、浏览器类型、浏览记录、订单信息、访问日期和时间及您访问的网页记录等

收货信息

收货人姓名、收货地址以及手机号码，及相应的订单号、所购商品或服务信息、支付的货款金额及支付方式

支付信息

与唯品会合作的第三方支付机构从唯品会公司收集到的账户信息

原告的订单信息、浏览信息、购物习惯等

第三方SDK从唯品会公司收集到的其个人信息

对外分享的信息

共享给第三方的信息以及第三方的具体名称

请告知和披露原告的哪些信息被唯品会公司用于用户画像

以上信息，请求按要求全量披露，并对应说明收集的目的以及使用范围

附表2：一审判决唯品会公司应提供给周OO查阅复制的个人信息以及个人信息处理的相关情况

账户信息

账户注册时间、账号、昵称、头像

个人基本信息

性别、居住地、手机号码

设备信息

设备型号、操作系统版本、唯一设备标识符

日志信息

浏览记录、订单信息、IP地址

收货信息

收货人姓名、收货地址以及手机号码，及相应的订单号、所购商品或服务信息、支付的货款金额及支付方式

购物习惯

第三方SDK收集的个人信息清单

第三方SDK的名称，第三方SDK已经收集到的周OO个人信息，包括信息类型、信息内容、使用目的和使用场景

与第三方(包括第三方支付机构）共享的个人信息清单

第三方的具体名称以及共享给第三方的周OO个人信息，包括信息种类、信息内容、使用目的、使用场景和共享方式

以上信息生成电子化的个人信息副本

附表3：本院判决唯品会公司应提供给周OO查阅复制的个人信息以及个人信息处理的相关情况

账户信息

头像

设备信息

设备型号、操作系统版本、唯一设备标识符

日志信息

浏览记录、订单信息、IP地址

收货信息

收货人姓名、收货地址以及手机号码，及相应的订单号、所购商品或服务信息、支付的货款金额及支付方式

购物习惯

与第三方(包括第三方支付机构）共享的个人信息

第三方的具体名称以及共享给第三方的周OO个人信息，包括信息种类、信息内容、使用目的、使用场景和共享方式

以上信息生成电子化的个人信息副本

------------------------------------------------------------------------------------------------------------------------------

周OO、广州唯品会电子商务有限公司个人信息保护纠纷民事一审民事判决书

广州互联网法院民事判决书（2021）粤0192民初17422号

原告：周OO，女，1994年XX月XX日出生，汉族，住北京市海淀区。

委托诉讼代理人：饶艳军，广东圣和胜律师事务所律师。

委托诉讼代理人：梁剑标，广东圣和胜律师事务所律师。

被告：广州唯品会电子商务有限公司，住所地广东省广州市荔湾区芳村花海街20号自编6号楼。

法定代表人：沈O。

委托诉讼代理人：周超，公司员工。

委托诉讼代理人：麻策，浙江垦丁律师事务所律师。

原告周OO与被告广州唯品会电子商务有限公司（以下简称唯品会公司）个人信息保护纠纷一案，本院于2021年6月12日立案后，依法适用小额诉讼程序，在审理过程中，发现案件不适宜适用小额诉讼程序，根据《全国人民代表大会常务委员会关于授权最高人民法院在部分地区开展民事诉讼程序繁简分流改革试点工作的决定》，转为普通程序组成合议庭，公开开庭进行了审理。原告周OO及其委托诉讼代理人饶艳军、梁剑标，被告唯品会公司委托诉讼代理人周超、麻策在线参加诉讼。本案现已审理终结。

原告周OO向本院提出诉讼请求：一、判令被告向原告披露原告在使用唯品会电商网站(××)及APP客户端(以下统称“唯品会平台”)的过程中被告收集的原告的所有个人信息(具体内容见附表1)；二、判令被告删除在原告身上收集到的所有非必要信息。事实和理由：原告周OO是唯品会平台的注册用户，并在该平台数次购物。原告在注册唯品会账号的过程中，按唯品会平台要求填写了邮箱账号、手机号码等个人信息；在购物的过程中，按唯品会平台要求填写了收货人、收货地址、手机号码等个人信息；此外，原告还在唯品会平台填写或使用了其他个人信息。同时，根据《唯品会服务条款》《唯品会隐私政策》《唯品支付用户服务协议》等文件的内容，唯品会平台还会在各种情形下主动获取、收集、使用用户的信息。因担心个人信息泄露或唯品会平台获取并记载的原告个人信息有误，或将原告个人信息用于其他用途损害原告利益，原告于2021年3月1日向《唯品会隐私政策》中载明的客户服务电话致电，要求唯品会平台向原告披露其获取的原告相关信息，但客服回复称平台仅会收集用户主动填报的信息，不会收集其他信息，并告知原告可自行通过APP客户端查看相关信息，平台无法披露。同日，原告又通过《唯品会隐私政策》中载明的个人信息保护专职部门邮箱发送邮件，说明相关情况并要求披露信息，但直至原告起诉之日，被告未给原告任何回复。此外，根据国信办秘字[2021]14号《常见类型移动互联网应用程序必要个人信息范围规定》第五条第(六)项规定“网上购物类，基本功能服务为“购买商品”，必要个人信息包括：1.注册用户移动电话号码；2.收货人姓名(名称)、地址、联系电话；3.支付时间、支付金额、支付渠道等支付信息。而从被告的隐私政策内容看，被告收集了很多非必要信息(比如手机设备信息、网络IP信息、位置信息等等)，原告有理由怀疑被告收集上述非必要信息，用于商业营销之用，根据国信办秘字[2021]14号《常见类型移动互联网应用程序必要个人信息范围规定》第四条“App不得因为用户不同意提供非必要个人信息，而拒绝用户使用其基本功能服务”的规定，原告有权在继续使用账户的情况下，要求被告删除非必要信息，并继续通过登录账户，进行网页浏览、下单和支付等基本功能服务。原告认为，原告对其个人权利享有的权益受法律保护，有权依法向信息处理者查阅或者复制其个人信息，被告作为信息处理者，依法应配合原告在内的平台用户查阅或者复制其个人信息；被告经原告请求披露相关信息后，拒不向原告披露其收集的原告的个人信息，侵害了原告的个人信息查询权，应依法承担相应的法律责任。原告作为信息的权益主体，有权要求删除被告收集到的非必要信息，并继续使用相关服务。综上所述，为维护自身合法权益，原告特诉至法院，请求判决如请。

被告唯品会公司辩称，唯品会公司遵循合法、正当及必要原则，在原告同意的合理范围内处理个人信息，并不违反法律、行政法规的规定及与原告的约定。同时，唯品会公司已充分保障原告实现查阅、复制等数据权益，也采取了符合业界标准且合理可行的数据安全保护措施以保护原告的个人信息，原告要求删除其个人信息没有法律及合同依据。具体答辩意见如下：

一、唯品会公司遵循合法、正当及必要原则，在原告同意的合理范围内处理个人信息，并不违反法律、行政法规的规定及和原告的约定。为了确保符合法律法规的要求，唯品会公司实施了如下措施：（1）在用户首次下载安装唯品会App后即通过弹窗之明显方式，向用户提示告知了唯品会App个人信息保护政策的核心内容，帮助原告在内的用户理解唯品会App的个人信息处理的规则，并由用户决定是否继续使用；（2）用户在进入注册流程时，唯品会App继续以弹窗方式，简洁清楚地提示各项协议内容并供用户确认同意；（3）唯品会App上述公开的个人信息规则，均明示了收集、使用信息的目的、方式和范围，所收集的个人信息均是和经营活动具有必要直接关系的，在涉及敏感类个人信息（如地理位置等）时还会单独逐项取得用户的同意。在本案中，原告是唯品会App的注册用户，其在安装、注册并使用唯品会App时，已同意上述公示的个人信息保护规则。

二、唯品会公司已充分保障原告实施查阅、复制等数据权益。（一）唯品会公司已经根据法律规定以及约定，对原告的主张进行了响应并提供了查阅复制方式，原告称未获响应不符合事实。首先，唯品会公司已经通过客服咨询进行了响应并解决了原告的问题。其次，原告以私人邮箱方式提出查阅复制个人信息，但唯品会公司难以核实电子邮箱发送人的真实身份及其和原告之间的关系，故不予提供是合法合理的，这并非属于不合理的条件。最后，唯品会公司通过交互界面直接提供查询复制以便于个人信息主体在线行使其访问、更正、删除、撤回授权同意、注销账户等控制权益，说明交互界面响应也是一种常见的响应方式。（二）对于相关系统自动收集且非用户主动提交或生成的信息，具有“个人信息+商业运营信息”多重属性，基于现有普遍的行业内技术能力，即使不响应原告的查询复制请求，也不会对个人信息主体合法权益带来风险和损害。根据现有法律法规，个人信息目前并不具备和其它人格权一样享有绝对的“法定权利”，上述日志信息和设备信息是系统自动记录的信息，若其和原告个人信息关联后可作为个人信息，但这些信息显然也是通过唯品会公司投入巨大的系统资源，并在正常商业运营中收集的常见的系统信息，也兼具商业运营信息的属性，这是数字时代的“生产要素”，企业有权在合理范围内且在不损害用户权益的基础上加以利用。（三）对于唯品会公司未收集的其它个人信息，唯品会公司无法向原告提供查阅和复制，原告应当先行举证唯品会公司是否存在收集行为。

三、唯品会公司采取符合业界标准且合理可行的数据安全保护措施以保护原告的个人信息，原告仅仅以“担心”之个人主观看法，要求删除其相关个人信息没有法律及合同依据。原告对国信办秘字[2021]14号《常见类型移动互联网应用程序必要个人信息范围规定》中关于“必要个人信息”的理解并不正确。作为购物类产品，唯品会App遵照最小必要规则，仅要求用户提供购物场景（基本业务功能）中的必要个人信息，即可实现完整的购买流程，无须为了购物而必须同意提供其它个人信息。唯品会App只会收取与其经营活动直接相关的信息，不会收集其它非必要个人信息。

四、司法应当充分考虑个人信息自决权和社会成本之间的平衡，也应当平衡个人信息保护和数据要素合理流动中的产业发展问题，适度允许互联网产品在保障个人信息安全且不损害个人利益的前提下合理使用个人信息。同时，个人信息查阅和副本权利的可诉性也需要深入思考，如果任何一个用户都在可便捷实现查阅副本权的情况下，仍执意通过司法诉讼方式主张，则无疑会不当地浪费宝贵的司法资源。

综上，请求法院依法驳回原告的全部诉讼请求。

各方当事人通过本院诉讼平台提交了证据，并通过本院诉讼平台和庭审过程对证据的真实性、合法性、关联性充分发表了意见。对本案有关事实，本院认定如下：

一、有关周OO唯品会账号的情况

唯品会公司系唯品会平台的运营主体，用户可通过网站和APP使用该平台；周OO系唯品会平台的注册用户。

周OO提交的唯品会账户个人中心页面截图显示：在“个人中心”界面可以设置、查阅“个人资料”“账户与安全”“我的足迹”以及“我的订单”。通过庭审现场勘验，周OO在“个人资料”页面设置了头像、收货地址、购物习惯（购买对象、喜欢的商品）；在“账户与安全”界面，绑定了156××**541的手机号码；在“我的足迹”可以查阅周OO在一个月内的浏览商品记录；在“我的订单”可以查询周OO的订单详情，包括收件人姓名、收货地址、手机号码。周OO未提供的信息包括：邮箱、昵称、生日、实名认证、关联账号以及支付信息。

二、有关周OO请求唯品会公司查阅个人信息的情况

2021年3月1日，周OO致电唯品会客服，表示其系唯品会客户，因其母亲接到陌生电话对方对周OO购物留下来的个人信息有所了解，故担心个人信息泄露，想知道唯品会收集了哪些个人信息，希望唯品会披露所收集到的其个人信息（比如姓名、性别、出生年月、家庭信息、常用地址、联系方式，账户信息、设备型号操作系统版本、唯一的设备识别符、位置信息、IP地址等）。唯品会客服表示:“用户有填写的信息，可以在APP个人中心予以查看，且这些信息采取了加密的保护措施，不会泄露；对于用户没有填写的信息，唯品会是没有办法展示的，且鉴于登录账号6541用户即周OO本人账户没有实名认证，唯品会也是没有办法知道的。”

三、有关唯品会的注册流程以及隐私政策

《唯品会隐私政策》载明内容包括：

我们如何收集和使用您的个人信息

（一）您授权我们收集和使用您个人信息的情形

1.实现网上购物和交易安全所必需的功能。

（1）帮助您成为我们的会员。为成为我们的会员，以便我们为您提供会员服务，您需要提供手机号码、电子邮箱地址，并创建用户名和密码。……

（2）为您展示和推送商品和服务。这些信息包括：

（3）下单

2.改进我们的产品与/或服务所必须的功能

3.为您提供安全保障

我们如何共享、转让、公开披露您的个人信息

2.我们可能会将您的个人信息与我们的关联方共享。

您如何管理您的个人信息

……

如何联系我们

1.如您对本隐私政策或您个人信息的相关事宜有任何问题、意见或建议，请联系唯品会客户服务部，客户服务部电话：400-6789-888。……

3.我们设立了个人信息保护专职部门，您可以通过发送邮件至ｉｎｆ×××＠ｖｉｐｓｈｏｐ.ｃｏｍ的方式与其联系。

四、其他情况

周OO提交了电话号码156××******的实名信息，显示该号码身份证实名认证主体为周OO本人。

庭审中，唯品会确认平台收集周OO的信息包括：一是周OO自行提供的信息；二是系统自动收集、生产的信息。结合周OO申请披露的个人信息列表，唯品会公司确认其公司收集到的个人信息如下：

账户信息

账户注册时间、账号、昵称、头像

个人基本信息

性别、居住地、手机号码

设备信息

设备型号、操作系统版本、唯一设备标识符

日志信息

浏览记录、订单信息、IP地址

原告的收货信息

收货人姓名、收货地址以及手机号码，及相应的订单号、所购商品或服务信息、支付的货款金额

庭审中，唯品会陈述并未查询到周OO有通过PC电脑端使用唯品会的情形，对此，周OO予以确认。

另查，经过庭审勘验周OO的手机系统权限设置，显示周OO授权唯品会APP的权限如下：使用时允许唯品会收集位置信息；储存空间处于可访问状态；麦克风、相机、电话、通讯录、短信、悬浮式等权限均处于拒绝唯品会访问状态。

诉讼中，周OO明确主张本案为侵权之诉，唯品会公司拒不向周OO披露个人信息的不作为构成对周OO个人信息查阅、复制权的侵害，因此，周OO请求排除妨碍、消除危险。

以上事实，有唯品会账户个人资料页面截图、账号注册流程截图、唯品会隐私政策、系统订单截图及当事人陈述等证据在案佐证。

本院认为，本案系个人信息保护纠纷。案涉纠纷发生于《中华人民共和国个人信息保护法》生效之前，但该法律事实持续至个人信息保护法施行后，因此，本案可适用个人信息保护法的相关规定。本案的争议焦点为:一、周OO要求查阅、复制的信息是否属于个人信息；二、个人信息查阅、复制权的范围；三、唯品会公司是否侵害了周OO的查阅权和复制权，如侵权成立，唯品会公司应以何种方式保障周OO的查阅权、复制权的行使；四、周OO要求唯品会删除相关非必要个人信息的诉请能否得到支持。

一、周OO要求查阅、复制的信息是否属于个人信息

《中华人民共和国民法典》第一千零三十四条规定：“个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。”《中华人民共和国个人信息保护法》第四条规定：“个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。”

关于唯品会公司抗辩设备信息以及日志信息是系统自动记录的信息，兼具商业运营信息的属性，企业有权在合理范围内且在不损害用户权益的基础上加以利用。本院认为，设备信息是用户在使用唯品会APP过程中所持有的个人常用设备型号、唯一设备识别码等硬件信息；日志信息，特别是其中的订单信息涉及用户姓名、收件人姓名、收件地址与收货电话号码。以上信息显然是用户主动提供的，可以指向用户的身份信息、财产信息、上网记录信息以及个人常用设备信息，属于个人信息，即便唯品会要利用设备信息和日志信息进行商业运营，亦不影响其个人信息的界定，自然人许可他人使用个人信息，而这种许可并不视为自然人放弃或者转让了其个人信息权益。因此，周OO对其诉请唯品会公司披露的设备信息和日志信息具有个人信息权益，唯品会公司不应以商业利益为由拒绝周OO对设备信息和日志信息行使权利。

二、个人信息查阅权、复制权的范围

《中华人民共和国民法典》第一千零三十七条第一款规定：“自然人可以依法向信息处理者查阅或者复制其个人信息。”《中华人民共和国个人信息保护法》第四十五条第一款亦规定了个人有向个人信息处理者查阅、复制其个人信息的权利。据此，个人享有向个人信息处理者查阅、复制其个人信息的权利，周OO作为个人信息主体，有权向收集、处理其个人信息的唯品会公司查阅、复制其个人信息。

参考国家标准GB/T35273-2020《信息安全技术个人信息安全规范》，其中第8.1条将查阅的内容规定为：“个人信息控制者所持有的个人信息或者个人信息的类型；上述个人信息的来源、所用于的目的；已经获得上述个人信息的第三人身份或类型。”可知，个人信息查阅权、复制权的客体“个人信息”，不仅包括个人信息本身，还应该包括个人信息处理的相关情况。本案中，周OO诉请唯品会公司披露收集到的其所有个人信息，具体内容以附表1为准，而附表1内的请求内容不仅包括个人信息，也包含了个人信息处理的相关情况。唯品会公司确认收集到的个人信息属于唯品会公司正在处理的个人信息，应当依法提供给个人信息主体进行查阅和复制。至于周OO诉请披露的清单中所列其他个人信息以及个人信息处理的相关情况是否应在查阅、复制的范围，本院具体分析如下：

（1）关于周OO所列清单中的“第三方SDK从唯品会公司收集到的其个人信息”。根据《唯品会隐私政策》中“您授权我们收集和使用您个人信息的情形——为您提供安全保障”条款约定“我们还可能在应用程序中嵌入我们合作的第三方合作伙伴开发的应用安全类的软件工具开发包（在本隐私政策中简称“SDK”）收集您的设备信息、服务日志信息……”可见，唯品会公司有向SDK共享用户信息的可能。至于第三方SDK实际收集了周OO的何种信息，虽然附件一第三方SDK目录中列明了可能嵌入的第三方SDK名称、用途以及手机个人信息类型，但实际内嵌于唯品会APP中的第三方SDK以及该SDK实际收集的用户具体个人信息，用户是无法查阅的。因此，唯品会公司仍有必要向周OO清晰列出实际内嵌第三方SDK收集的周OO个人信息，包括第三方SDK的具体名称，以及第三方SDK已经收集到的周OO个人信息基本情况，包括信息类型、信息内容、使用目的和使用场景。

（2）关于周OO所列清单中的“哪些信息被用于用户画像”。参考国家标准GB/T35273-2020《信息安全技术个人信息安全规范》第3.8条规定，用户画像是指“通过收集、汇聚、分析个人信息，对某特定自然人个人特征，如职业、经济、健康、教育、个人喜好、信用、行为等方面作出分析或预测，形成其个人特征模型的过程。”可知，用户画像是通过算法对个人信息的集合或部分集合进行自动化决策的过程。根据《中华人民共和国个人信息保护法》第二十四条第三款规定，通过自动化决策方式作出对个人权益有重大影响的决定，个人有权要求个人信息处理者予以说明，并有权拒绝个人信息处理者仅通过自动化决策的方式作出决定。本案中，周OO并未提交证据证明唯品会公司作出了对其个人权益有重大影响的自动化决策，其诉求唯品会公司披露具体哪些信息被用于用户画像，无事实和法律依据，本院不予支持。

（3）关于周OO诉请披露的“对外分享的信息：共享给第三方的信息以及第三方的具体名称”。根据《唯品会隐私政策》的约定，唯品会公司可能会将用户的个人信息与其关联方、授权合作伙伴共享，合作伙伴包括商品或技术服务的供应商、第三方商家以及委托唯品会公司进行推广的合作伙伴。该隐私政策并未披露共享个人信息的关联方以及授权合作伙伴的具体名称，根据《中华人民共和国个人信息保护法》第二十三条的规定，“个人信息处理者向其他个人信息处理者提供其处理的个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。”据此，唯品会公司有必要根据周OO的申请披露与第三方共享个人信息清单，列明第三方的具体名称以及共享给第三方的周OO个人信息，包括信息种类、信息内容、使用目的、使用场景和共享方式。

三、唯品会公司是否侵害了周OO的查阅复制权，如侵权成立，唯品会公司应以何种方式保障查阅复制权的行使

（一）唯品会公司是否侵害了周OO的查阅权和复制权

个人信息查阅复制权，系个人信息处理公开透明原则的具体要求，是个人对个人信息处理享有知情权的具体体现，也是保障个人信息决定权的重要前提。关于唯品会公司抗辩提出的个人信息查阅权“可诉性”的问题，《中华人民共和国个人信息保护法》第五十条的规定：“个人信息处理者应当建立便捷的个人行使权利的申请受理和处理机制。拒绝个人行使权利的请求的，应当说明理由。个人信息处理者拒绝个人行使权利的请求的，个人可以依法向人民法院提起诉讼。”据此，个人的查阅复制权被个人信息处理者无理由拒绝后，个人有权寻求司法救济，通过向法院提起诉讼而请求排除妨碍。考量周OO个人信息查阅权、复制权是否被侵害，应当从以下两个维度进行：（1）周OO是否已行使查阅复制请求权；（2）唯品会公司是否存在无正当理由拒绝的行为。结合本案，具体分析如下：

（1）周OO已行使查阅复制请求权

查阅复制权是个人在个人信息处理活动中的权利，但是，法律并未明确规定该权利行使的前提条件，对此，本院认为，个人只需要能够证明自己属于个人信息主体即可以行使查阅复制权。案涉周OO注册的唯品会账号虽然未进行实名认证，但周OO使用了其手机号码进行注册并绑定了账号，收货联系人手机号码亦与账号一致，且案涉周OO的手机号码已实名登记。根据《全国人民代表大会常务委员会关于加强网络信息保护的决定》第六条规定，电话号码必须实名登记，据此，电话号码这一信息可以识别出特定的自然人。周OO通过实名登记的移动电话联系了唯品会公司的客服，客服亦通过周OO的来电核实到周OO的注册账号，因此，周OO已经证明了其属于案涉账号的信息主体。

（2）唯品会公司存在无正当理由拒绝周OO行使查阅、复制权的行为

首先，周OO通过唯品会客服查询个人信息，唯品会客服陈述“用户有填写的信息，可以在APP个人中心予以查看；对于用户没有填写的信息，唯品会是没有办法展示的”，但根据唯品会隐私政策以及唯品会公司庭审中所确认的，除了周OO自行提供的个人信息，系统还会自动收集、生产信息，包括:设备信息（设备的型号、操作系统版本、唯一设备标识符）以及日志信息（订单信息、浏览信息、IP地址）。经过庭审勘验，可以确认周OO通过唯品会APP并无法查阅设备信息以及日志信息中的IP地址。《中华人民共和国个人信息保护法》第四十五条第一款规定了个人不得行使查阅、复制的两种情形：其一，本法第十八条第一款规定“法律、行政法规规定应当保密或者不需要告知的情形”；其二，本法第三十五条规定“国家机关为履行法定职责处理个人信息，……告知将妨碍国家机关履行法定职责的”。显然，设备信息和IP地址并不属于以上规定的两种情形，唯品会公司应当予以告知。

其次，关于周OO向唯品会公司个人信息专职保护部门发送邮件的请求，虽然周OO未附有个人的身份信息，其注册账号亦未提供电子邮箱，但周OO使用了其收货人姓名“周缦卿”作为邮件发送方，唯品会公司是可以向周OO验证身份的。《中华人民共和国电子商务法》第二十四条规定：“电子商务经营者应当明示用户信息查询、更正、删除以及用户注销的方式、程序，不得对用户信息查询、更正、删除以及用户注销设置不合理条件。电子商务经营者收到用户信息查询或者更正、删除的申请的，应当在核实身份后及时提供查询或者更正、删除用户信息。”参考国家标准GB/T35273-2020《信息安全技术个人信息安全规范》第8.7条规定，“响应个人信息主体的请求，对个人信息控制者的要求包括：在验证个人信息主体身份后，应及时响应个人信息主体的请求，应在30天内或法律规定的期限内作出答复及合理解释，并告知个人信息主体外部纠纷解决途径。”《唯品会隐私政策》中亦约定“为了保障安全，我们可能需要您提供书面请求，或以其他方式证明您的身份，我们将在收到您反馈并验证您的身份后的15天内答复您的请求。”可见，不论基于法律法规规定、国家相关标准，还是唯品会公司与周OO之间的约定，唯品会公司在接到周OO请求时的首要工作是验证其个人信息主体身份，然后在合理的期间作出答复，但唯品会公司在收到周OO发送的邮件后，并未作出任何处理，实质上是拒绝了周OO的申请。且在周OO对唯品会公司提起诉讼后，唯品会公司已经核实了周OO的个人信息主体身份，仍拒绝披露周OO在APP个人资料页面无法查看的信息。综上，本院认定唯品会公司存在无正当理由拒绝周OO行使查阅、复制权的行为。

（二）唯品会公司应以何种方式保障查阅复制权的行使

法律规定个人信息主体有权复制其个人信息，与之相对的就是个人信息处理者应当提供正在处理的个人信息的副本，这种副本的形式应当包括纸质的，也包括电子化的，其应当是结构化的、通用的及可读的。庭审中，唯品会公司陈述可以通过截屏的方式获取个人资料的个人信息，但截屏显然不属于通用的个人信息副本方式。鉴于唯品会公司在隐私政策中明确约定用户可以获取个人信息副本，因此，唯品会公司有必要提供一种通用的、可下载的个人信息副本方式，考虑到周OO以电子方式提出请求，唯品会公司也应当以常用的电子形式提供个人信息副本，如excel表格、word文档等。

综上，唯品会公司存在拒绝周OO个人行使权利请求的行为，且拒绝理由不充分，周OO向唯品会公司主张个人信息查阅、复制的请求权，有事实和法律依据，本院依法予以支持。根据周OO的申请，唯品会公司应当披露的内容包括：1.唯品会公司确认收集的周OO个人信息；2.嵌入唯品会APP第三方SDK的名称以及收集的周OO个人信息基本情况；3.唯品会公司共享给第三方的周OO个人信息基本情况。（详见附表2）

庭审中，周OO确认其未使用过唯品会电商网站(××)，因此，其诉请唯品会公司披露在使用网站期间收集到的所有个人信息，无事实和法律依据，本院不予支持。

四、周OO要求唯品会删除相关“非必要个人信息”的诉请能否得到支持

关于周OO删除权的诉请，本院认为，首先应探究唯品会公司收集的相关个人信息是否取得了周OO的同意；其次应分析唯品会公司是否存在主动删除周OO相关个人信息的情形。

首先，根据《中华人民共和国个人信息保护法》第十三条第一款第一项规定，“取得个人的同意，个人信息处理者可处理个人信息。”唯品会公司提交的注册流程显示，用户注册唯品会APP时需“仔细阅读、充分理解《唯品会服务条款》《隐私条款》《唯品支付服务协议》中的条款内容后再点击同意注册”，周OO注册了唯品会APP用户，即表示其已经阅读并同意了《唯品会隐私政策》。根据隐私政策约定，唯品会公司可根据用户的授权收集设备信息、网络日志、收集用户消费习惯形成用户画像等，且根据庭审勘验，周OO可通过手机权限选择是否授权唯品会使用位置信息、相机、储存等信息。可见，唯品会公司虽然收集了周OO主张的“非必要个人信息”，但取得了周OO本人的同意。

其次，《中华人民共和国个人信息保护法》第四十七条第一款规定：“有下列情形之一的，个人信息处理者应当主动删除个人信息；个人信息处理者未删除的，个人有权请求删除：（一）处理目的已实现、无法实现或者为实现处理目的不再必要；（二）个人信息处理者停止提供产品或者服务，或者保存期限已届满；（三）个人撤回同意；（四）个人信息处理者违反法律、行政法规或者违反约定处理个人信息；（五）法律、行政法规规定的其他情形。”本案并无证据表明唯品会公司存在以上应当主动删除周OO个人信息的情形，周OO述称其有理由怀疑唯品会公司收集“非必要个人信息”用于商业营销之用，并无证据予以证实。

综上，周OO未提交证据证明唯品会公司存在应当主动删除其个人信息的情形，唯品会公司根据周OO的授权同意收集了相关个人信息，周OO现要求唯品会公司予以删除，无事实和法律依据，本院对此不予支持。

综上所述，唯品会公司作为大型的网络购物平台，应当践行保护个人信息知情权的理念，优化产品设计，提供更加便捷的个人信息查阅复制途径，充分保障个人信息主体的查阅权和复制权，本院对周OO的诉讼请求，予以部分支持。依照《中华人民共和国民法典》第一千零三十四条、第一千零三十七条，《中华人民共和国个人信息保护法》第四条、第六条、第七条、第十三条第一款、第十八条第一款、第二十三条、第二十四条、第三十五条、第四十五条、第四十七条、第五十条，《中华人民共和国电子商务法》第二十四条，《中华人民共和国民事诉讼法》第六十四条之规定，判决如下：

一、被告广州唯品会电子商务有限公司于本判决发生法律效力之日起十日内提供自原告周OO注册唯品会APP之日起至本判决发生法律效力之日止的已收集到的个人信息以及个人信息处理的相关情况供原告周OO查阅、复制（具体内容详见附表2）；

二、驳回原告周OO的其他诉讼请求。

案件受理费500元，由被告广州唯品会电子商务有限公司负担。

如不服本判决，可在判决书送达之日起十五日内，向本院递交上诉状，并按照对方当事人的人数提交副本，上诉于广东省广州市中级人民法院。

审判长　　曹　钰

审判员　　朱晓瑾

审判员　　冯立斌

二〇二一年十二月十三日

法官助理　　宁沁宜

书记员　　潘钰丹

附表1：周OO诉请唯品会公司披露的个人信息及个人信息处理的相关情况

账户信息

账户注册时间、账号、昵称、头像

个人基本信息

姓名、性别、出生年月日、居住地、手机号码、电子邮箱

设备信息

设备名称、设备型号、操作系统和应用程序版本、语言设置、移动应用列表、唯一设备标识符、运营商网络类型等软硬件特征信息

位置信息

IP地址、GPS位置以及能够提供相关信息的WLAN接入点、蓝牙和基站等信息

日志信息

搜索内容、浏览器类型、浏览记录、订单信息、访问日期和时间及您访问的网页记录等

收货信息

收货人姓名、收货地址以及手机号码，及相应的订单号、所购商品或服务信息、支付的货款金额及支付方式

支付信息

与唯品会合作的第三方支付机构从唯品会公司收集到的账户信息

原告的订单信息、浏览信息、购物习惯等

第三方SDK从唯品会公司收集到的其个人信息

对外分享的信息

共享给第三方的信息以及第三方的具体名称

请告知和披露原告的哪些信息被唯品会公司用于用户画像

以上信息，请求按要求全量披露，并对应说明收集的目的以及使用范围

附表2：本院判决唯品会公司应提供给周OO查阅复制的个人信息以及个人信息处理的相关情况

账户信息

账户注册时间、账号、昵称、头像

个人基本信息

性别、居住地、手机号码

设备信息

设备型号、操作系统版本、唯一设备标识符

日志信息

浏览记录、订单信息、IP地址

收货信息

收货人姓名、收货地址以及手机号码，及相应的订单号、所购商品或服务信息、支付的货款金额及支付方式

购物习惯

第三方SDK收集的个人信息清单

第三方SDK的名称，第三方SDK已经收集到的周OO个人信息，包括信息类型、信息内容、使用目的和使用场景

与第三方(包括第三方支付机构）共享的个人信息清单

第三方的具体名称以及共享给第三方的周OO个人信息，包括信息种类、信息内容、使用目的、使用场景和共享方式

以上信息生成电子化的个人信息副本