原刊第051页 · 源PDF第53页
【裁判要旨】两个以上的个人信息处理者通过签署协议建立"统一服务平台体系”处理个人信息，需结合个人信息处理者之间的关系、个人信息处理者之间的约定、实际处理行为与约定的一致性、具体处理行为对个人权益影响等因素判断是否属于共同处理行为。个人信息共同处理者应在充分告知、取得个人同意的前提下处理个人信息，并遵循合法、正当、必要原则 对于高度敏感的个人信息，应取得用户的单独同意，否则，应就侵害用户信息权益、隐私权行为承担连带赔偿责任。
□案号一审：（2023）京（）491民初5576号 二审：（2（）2斗）京（）4民终162（）号
【案情】
原告：柴某。
被告：北京某信息服务有限公司（以下简称某信息公司）、北京某变换科技有限公司（以下简称某科技公司）、某某视界有限公司（以下简称某某视界公司）。
某信息公司系某新闻APP、某视频APP的实际运营者，某科技公司系某汽车A PP的原运营者，后某汽车A PP的运营者变更为案外人重庆某科技公司。
2021年11月1日，柴某使用手机注册了某视频APP,之后其使用该账号信息登录了某新闻APP和某汽车APP柴某在注册某视频APP时，签署了用户协议、隐私政策.其中用户协议第3.9条约定，
“你理解并同意，除你登录、使用某视频APP及相关服务外，你还可以用某视频APP账号登录使用公司及其关联
品。
方提供的其他软件、服务。你以某视频APP账号登录并使用前述服务时，将受到前述软件、服务的实际提供方的用户协议及其他协议条款约束。”隐私政策第1.1」注册、登录e条款明确规定：“为了保证在不同产品中向你提供一致化的服务，功能由相应联系的关联方产品通过统一服务平台体系提供服务。在该平台体系的服务范围内，我们与上述关联方产品将共同收集和处理你登录、使用产品的个人信息，并针对你注册使用的手机号码在不同产品中创建统一的数字标识，以实现功能的一致性:”在该条款项下附有统一服务平台体系的超链接文本，明确了统一
服务平台体系的服务范围，包括某新闻APP、某汽车APP、某视频APP等产
在使用案涉APP的过程中，柴某发现其账号昵称、头像、简介、动态、实名认证信息、粉丝和关注列表、私信等信息会在三款APP中进行同步显示与即时共享。柴某认为，其对使用涉案三款APP账号过程中形成的信息享有个人信息权益及隐私权，涉案三款APP的运营者在未经其有效同意的情况下，违法收集、存储、使用、共享其个人信息.已经构成对其个人信息权益及隐私权的侵害.遂向法院提起诉讼，要求三家公司在APP中增加有关征求用户同意三款A PP之间共享个人信息的单独同意选项、立即停止统一服务平台体系并提供所收集的柴某个人信息清
原刊第052页 · 源PDF第54页
单及使用范围、目的、方式，同时向柴某赔礼道歉并赔偿经济损失与合理费用。
某信息公司、某科技公司辩称，柴某关于停止统一服务平台体系及增加单独同意选项的请求，不具备法律基础，二被告基于统一服务平台体系处理原告个人信息.属于共同处理个人信息的行为，已通过用户协议、隐私政策、APP界面等内容和节点获得柴某的知情同意，不存在侵权行为，且二被告的个人信息处理行为并未给柴某造成任何损害。
某某视界公司辩称，其并非某新闻APP的运营方，未参与任何个人信息处理活动°
【审判】
北京互联网法院经审理认为：本案的争议焦点有三：一是柴某对其使用账号过程中形成的信息是否有个人信息权益及隐私权；二是某信息公司、某科技公司基于统一服务平台体系进行信息处理行为的性质；三是上述行为是否构成对柴某个人信息权益和隐私权的侵害。
关于柴某对其使用账号过程中形成的信息是否有个人信息权益及隐私权。个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。隐私是自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息。
个人信息中的私密信息适用有关隐私
权的规定；没有规定的，适用有关个人信息保护的规定。本案中，原告在使用涉案三款APP账号过程中形成的包括账号昵称、头像、简介、动态、粉丝及关注列表、实名认证信息、私信内容等信息，包含有原告的真实姓名、肖像、家庭住址、性别等信息，足以识别到原告本人，与原告具有直接关联性，属于以电子方式记录的与已识别的自然人有关的信息，故原告以上信息享有个人信息权益。尤其对于账号实名认证信息、私信内容等，具有髙度敏感性.一旦泄露或者非法使用，容易导致原告的人格尊严受到侵害或者人身、财产安全受到危害，应适用隐私权的规定，故原告对此享有隐私权。
关于某信息公司、某科技公司基于统一服务平台体系进行信息处理行为的性质。该行为是否属于共同处理行为，应综合考虑个人信息处理者之间的关系、个人信息处理者之间的约定、实际处理行为与约定的一致性、具体处理行为对个人权益影响，以及个人信息处理者的告知程度等因素综合判断。涉案三款APP的运营主体和运营内容具有较强的关联性，某信息公司、某科技公司共同约定了基于统一服务平台体系的个人信息处理目的、处理方式、处理范围等，且实际处理行为与上述约定具有一致性，对于用户来说，二公司的涉案个人处理行为具有整体性，也并未因处理个人信息的主体增多而显著增加个人信息被侵害的风险。因此，对原告在使用涉案三款APP过程中形成的个人信息的处理行为，属于个人信息保护法第二十条规定的共同处理个人信息的行为。
关于共同处理个人信息的行为是
否构成对柴某个人信息权益和隐私权的侵害。个人信息处理行为的形式合法性应当包括两方面的内容：一是个人信息的处理应当具有法律依据；二是个人信息处理者应当取得个人的同意.即符合“知情同意”规则，否则该等处理行为即属违法，除非法律另有规定=具体而言，法院要审查A PP是否对用户进行了充分告知.是否符合个人信息保护法的规定，保证个人用户“充分知情”且“自愿同意” o我国现行法律及相关规定并未对设置同意程序的方式作出具体规定，判断对个人信息收集和处理方式是否已有效告知应当在具体场景下进行分析。目前，大部分互联网平台或APP通常采取在隐私协议对个人信息的收集和处理方式进行告知.也有部分采取在用户协议予以告知，只要上述告知符合“充分知情”且“自愿同意”的标准，应当认定其合法性。
本案中经柴某公证证据显示的相关隐私政策未显示有关于“统一服务平台体系”的介绍内容及相关超链接文本就已经查明的事实来看，某信息公司与某科技公司相应文本中.存在对全部个人信息处理者的范围、对处理的个人信息种类以及对个人信息的处理方式的告知不够清晰、准确和完整。而且对于柴某的实名认证信息、私信信息，三款A PP未取得原告单独同意，不具有合法性基础。综上，某信息公司与某科技公司对个人信息的处理未保证个人用户“充分知情”且“自愿同意”，其相关收集、处理行为构成对柴某个人信息权益和隐私权的侵害，应当承担相应侵权责任。
北京互联网法院遂判决，自判决生效之日起7日内，被告某信息公司、
原刊第053页 · 源PDF第55页
某科技公司就侵害柴某个人信息权益及隐私权一事，向柴某出具书面致歉声明.向柴某赔礼道歉.致歉内容须经本院审核；自判决生效之日起7日内，被告某信息公司、某科技公司支付柴某经济损失19288元（含维权合理支出18788元）；驳回柴某的其他诉讼请求。
柴某及某信息公司和某科技公司均不服一审判决，提起上诉。
北京市第四中级人民法院经审理作出二审判决：驳回上诉，维持原判。
【评析】
数字时代下,个人信息带给商业市场无尽红利，巨大的数据体量经共享、分析后.能够实现精准的用户画像，使得商业营销产出大增。为提升平台运作效率、降低收集成本，同时为用户提供更加便捷的服务，很多互联网企业通过构建统一账号平台，实现账号信息的共享与互通，即用户在某个应用软件上注册账号后，能够直接使用该账号登录相关联的其他软件。然而，统一账号体系是通过技术中台的形式共享个人信息，往往存在多个不同的应用软件运营主体和信息处理主体，市场中基于统一账号平台共享个人信息有哪些类型，多个信息处理主体能否构成信息共同处理者，共同处理者的共享行为是否需要取得单独同意，在审判实践中仍存在诸多争议，本案即对此类案件的审理思路和认定规则做了探索和厘清。
一、共享个人信息的类型
实践中.共享个人信息外在表现形式多种多样，经梳理法律关系，主要存在以下三种类型。
（一） 向第三方提供信息
该种模式系个人信息控制者、处理者向第三方主体传输个人信息，原来的信息控制者和处理者并不会丧失原有的信息控制、使用、处理的权利，第三方取得个人信息的独立处理权限，可自主决定处理目的与方式。此行为即个人信息保护法第二十三条规定的“个人信息处理者向其他个人信息处理者提供其处理的个人信息的”行为，个人信息处理者应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。
（二） 关联公司、产品间的信息共
该种模式系公司之间基于股权控制、协议等形式形成关联关系，共享个人信息的行为。关联公司之间的信息共享，因不同的公司属于独立法人，不构成法律意义上的内部，本质是一个控制主体向另一个信息需求主体传输个人信息行为，仍属于向第三方提供信息。
（三） 技术中台信息共享
该种模式系基于数据互通的技术中台实现个人信息的共享，与传统共享模式的区别是所有参与方对收集的个人信息均具有控制权和处理权，打破了传统的产品间的信息壁垒。例如，开放银行模式下的个人信息共享,银行为
数据控制者，与个人和第三方机构形成“三角关系”.银行经过用户同意收集、处理个人信息，用户通过使用储存在银行的信息获得第三方的服务，在个人同意和法律规定下，银行和第三方形成合作关系，进行信息共享。®
本案中，某信息公司、某科技公司所运营的统一服务平台体系的管理采取集中管理、隔离存储的原则，即属于技术中台信息共享的模式。在统一服务平台体系下的应用软件将采集的个人信息存储在中台服务器中进行统一存储与处理，对安全漏洞检测、数据使用权限管理、后台数据处理活动监测与合规审计进行集中管理；在系统数据存储策略层面，则采取隔离措施与访问控制，不因统一服务平台体系而将不同端的数据直接混同.基于业务逻辑与用户授权情况，由各产品各自进行调用使用。例如，当用户在某视频APP完成实名认证后，用户的实名认证信息会被存储在中台服务器，统一服务平台体系下的其他软件如需处理个人信息，需要分别调用。
二、统一服务平台体系处理个人信息的法律性质
实践中，基于统一服务平台体系处理个人信息的情形纷繁复杂，既包括传统的委托他人提供服务的形式，也包括企业集团内部共享、部署第三方插件、介入第三方服务等。基于统一服务平台体系处理个人信息是否构成共同处理行为？个人信息保护法第二十条第一款规定.个人信息共同处理者应为“共同决定个人信息的处理目的和处
本页注释
①赵吟："开放银行模式下个人数据*享的法律规制”，载《现代法学》20204第3期
原刊第054页 · 源PDF第56页
理方式”的多个处理者。这一规定较为笼统，需要细化“共同决定个人信息的处理目的和处理方式”这一核心标准的判定，在与委托处理、向他人提供信息等多主体介入样态的对照区分中，统筹内外部视角.穿透表象识别法律关系的本质。
（一） 共同处理者与委托处理、向第三方提供信息的区别
依据个人信息保护法第二十一条和第二十三条的规定，“委托处理”中受托方不享有处理目的和处理方式的自主决定权，仅依据委托方的指令进行处理，在委托事项完成后，受托方应将处理的个人信息返还或者删除。此种模式系代理关系的延伸.若发生个人信息主体权益损害，应由委托方承担相应法律责任；若受托方基于自己的目的和利益处理个人信息，超出了委托方的委托范围，则由其承担相应法律责任。“向第三方提供信息”则发生个人信息控制权的转移，接收方受让个人信息后，即取得独立的个人信息处理者地位，有权自主决定处理的目的与方式，且接收方变更原先的处理目的、处理方式的，应当重新取得个人同意。
（二） 个人信息共同处理者的判断标准
个人信息共同处理者系两个或两个以上共同决定个人信息的收集、存储、使用、加工、传输、提供、公开等处理方式之目的，以及以合同方式进行的组织或个人。具体包括三个构成要求：一是主体为两个或两个以上个人信息处理者.主体的类别以及其关联关系并不影响主体的确认。二是多个处理者之间对于个人信息的处理目的和处理方式都是自主决定的，且存在意思
表示的联络。三是处理目的和处理方式由多个处理者共同决定，但其中“共同决定”“处理冃的和处理方式”均系较为抽象的概念，需要结合具体案件中具有法律意义的事实去判断是否构成共同处理。结合具体案件，可以从以下因素进行考虑：1.个人信息处理者之间的关系；2.个人信息处理者之间的约定；3.实际处理行为与约定的一致性；4.具体处理行为对个人权益影响；5.个人信息处理者的告知程度等。
本案中，某信息公司和某科技公司具有较强的关联性.涉案三款APP基于共同业务目的收集和处理数据.即使用统一服务平台下运营的任一款产品账号即可登录并使用其他产品，且三款A PP之间基于统一服务平台体系共同处理的用户信息的使用场景与目的均一致。此外.两家公司运营的统一服务平台实行集中管理、隔离存储的原则.即在系统的管理层面对安全漏洞进行检测、数据使用权限进行管理、后台数据处理活动进行检测，在系统存储策略层面，基于业务逻辑与用户授权情况.由各产品各自调用使用：因此.对于个人信息处理方式系两家公司自主决定的。从外观上来看，两家公司处理个人信息的行为具有整体性，并未因处理个人信息的主体增多，而显著增加个人信息被侵害的风险。再次，涉案三款APP围绕个人信息处理目的、处理主体、处理方式对用户的告知内容具有一致性。因此，两家公司系共同处理者，如侵害个人信息权益造成损害的.应当依法承担连带责任。
三、共同处理个人信息侵权责任认定
个人信息保护法将告知同意规则
作为个人信息处理的合法性基础，并规定了无须个人同意的例外情形。个人的同意“应当由个人在充分知情的前提下自愿、明确作出”，这要求个人信息处理者在满足“充分知情的前提”的条件下，向个人履行充分的告知义务。
（一） 个人明确同意的前提：对个人信息处理行为充分知情
个人信息保护法第十四条将“充分知情”作为个人明确同意有效性的基石，其合理性在于两个方面。一是意思表示有效性。充分知情是个人与处理者就信息处理达成真实合意的基础。
不知情或知情不充分，可能导致同意意思表示存在瑕疵（如重大误解、欺诈）,影响其效力：二是保障个人信息自决权。明确同意旨在实现个人对信息处理活动的自主决定。唯有充分了解处理情况，个人才能有效行使自决权。“充分知情”的具体内容虽未在个人信息保护法第十四条详尽列举，但结合该条第二款（变更需重新同意）及“充分”之要求，个人至少需知悉处理冃的（为何处理）、处理方式（如何处理）、处理的个人信息种类（处理哪些信息）、其他关键事项（如处理期限、处理者身份等），以确保对处理活动整体有充分理解：
（二） 保障充分知情的关键：信息处理者履行告知义务
个人的充分知情高度依赖个人信息处理者有效履行法定的告知义务，个人能够在多大程度上对信息处理行为了解知情.主要由个人信息处理者告知的内容所决定。该义务要求处理者以显著方式、清晰易懂的语言，真实、准确、完整地告知个人处理相关事项，其标准高于一般告知义务.以满足“充分
原刊第055页 · 源PDF第57页
知情”要求。如信息处理者未尽到告知义务，将有可能导致个人对信息处理行为存在重大误解或者遭受欺诈，影响个人同意的意思表示效果。
（三）个人同意的意思表示应具有明确性
个人同意要求个人的同意表示必须清晰、无疑义，能够明确认定其同意个人信息处理者处理其个人信息，未作同意表示或意思表示模糊（如模棱两可）的情形，均不能认定为明确同意。
例如，个人阅读并明确同意载明具体处理方式与期限的隐私政策条款，即构成明确同意。
明确同意关注的是同意内容的明确性，而非表达形式是明示（语言、文字）或默示（通过行为推断）=民法典第一百四十条虽区分明示与默示意思表示，但明确同意本身并不排斥默示方式。只要能从行为（如使用特定服务即视为同意）或特定情境（符合民法典第一百四十条关于沉默视为意思表示的条件）中清晰地推断出个人明确的同意意愿，即可构成明确同意。
概括授权（一揽子授权）允许处理者在不确定范围内或以多种方式处理个人信息，其与明确同意并非对立概念。关键在于个人是否在知情基础上作出了明确的概括授权意思表示。
若授权范围或方式虽多样但边界清晰（非完全开放），且个人意思明确，则概括授权可构成明确同意。然而，实践中概括授权易导致个人难以准确知悉处理细节，存在过度收集风险，例如，在“黄某诉深圳某计算机公司等隐私
权、个人信息保护纠纷案”中，法院认为，即便是同一个人信息处理者在关联产品中共享用户个人信息，该个人信息处理行为也应当在个人充分知情的前提下，自愿、明确地作出同意.不能仅以用户概括性地同意用户协议为由，认定个人信息处理者对个人尽到了充分告知和取得用户同意的义务。在该案中，人民法院即否定了个人信息处理者以概括授权的方式取得个人同意行为的效力。①
为平衡个人信息权益保护与社会经济快速发展，应对个人信息采取区分原则。首先，对于个人信息中的一般信息，适用概括同意机制。一般个人信
任。
息对个人人格的影响较小，比如非敏感购物信息，经营者经过脱敏处理后将其共享给第三方合作伙伴，形成用户画像从而为用户进行个人化广告推荐，用户如果不希望个性化推荐可以通过经营者提供的退出选项，拒绝个性化推荐。其次，对于敏感信息和私密信息.适用单独同意机制。敏感信息和私密信息如果被不当使用，会给个人造成人格损害，在同意时应当单独同意模式，尤其是向第三方共享敏感信息、私密信息时，还应当获得个人的特别同意，不得适用捆绑同意，最后，对于不需要同意的个人信息应当明确，但以维护国家安全和公共利益为冃的的个人信息共享不需要获取同意。
具体到本案而言，某信息公司和某科技公司所运营的三款APP中公示的用户协议和隐私协议中未对关联方进行详细列举，对于增加的其他软件及平
台未进行充分告知，导致用户对个人信息处理者的范围未充分知情；用户协议中事先告知内容亦不能使一般用户意识到其在一款APP账号使用过程中形成的私信内容，将同步出现在以自身名义自动生成的其他APP账号之中，导致用户对处理的个人信息种类、处理方式未充分知情，两公司未尽到充分告知义务，构成对柴某个人信息权益的侵害。且在处理用户柴某个人信息时未区分处理普通信息和敏感信息，对于敏感个人信息，未取得用户的单独同意，不具有合法性基础.构成对柴某隐私权益的侵害，两公司应当共同承担责
结语
随着互联网技术的高速发展，各网络平台在为用户提供服务时不可避免地需要处理大量的个人信息，网络服务提供者在个人信息保护中处于关键地位。需要肯定的是，网络平台数据共享可以在一定程度上打破数据孤岛，加速技术与商业模式的创新，对于统一服务平台体系等优化资源配置的商业模式创新，人民法院应当予以鼓励与支持，而不能以其可能侵犯个人信息权益为由一概否定。数据共享的创新价值需通过技术进步与规则完善充分释放，用户权益保护要求法律、技术与伦理的多维协同，唯有将法律所规定的知情同意规则与区分原则落到实处，方可实现个人信息权益保障与促进科技发展之间的平衡。
（作者单位：北京市第四中级人民法院北京市房山区人民法院）
本页注释
①参见（2019）京0491民初16142号.