• 案件名称：俞延彬与浙江天猫网络有限公司等网络侵权责任纠纷案
• 法院：北京市海淀区人民法院
• 案号：（2018）京0108民初13661号
• 裁判日期：2019年12月10日
• 原告：俞延彬
• 被告: 北京乐友达康科技有限公司
• 被告: 支付宝（中国）网络技术有限公司
• 被告: 浙江淘宝网络有限公司
• 被告: 浙江天猫网络有限公司
• 裁判结果：四被告共同赔偿原告经济损失1元

建立适应融合发展的标准规范、竞争规则，引导实体零售企业逐步提高信息化水平，将线下物流、服务、体验等优势与线上商流、资金流、信息流融合，拓展智能化、网络化的全渠道布局。鼓励线上线下优势企业通过战略合作、交叉持股、并购重组等多种形式整合市场资源，培育线上线下融合发展的新型市场主体。建立社会化、市场化的数据应用机制，鼓励电子商务平台向实体零售企业有条件地开放数据资源，提高资源配置效率和经营决策水平。
——《国务院办公厅关于推动实体零售创新转型的意见》（2016）

一、案件事实

2018年1月31日，俞延彬作为消费者前往作为智慧门店的乐友清河门店购买了商品，使用支付宝进行支付。支付完成后，支付宝在俞延彬未勾选“授权淘宝获取你线下交易信息并展示”的情况下，将俞延彬的购物数据传输至淘宝网与天猫网。俞延彬认为乐友清河门店、支付宝、淘宝、天猫的行为构成侵犯个人信息，故诉至法院。

法院将案件重点交易链条总结为如下交易环节：

• 俞延彬通过乐友清河店的支付宝收款码扫码支付商品价款；
• 俞延彬将支付完成页面的“授权淘宝获取你线下交易信息并展示”前面的默认勾选√取消；
• 支付宝公司将收款后的用户身份识别代码上传到乐友公司的智慧门店平台；
• 智慧门店平台系统自动匹配该支付宝用户同时为淘宝网、天猫网用户；
• 淘宝网、天猫网分别将俞延彬在乐友清河店完成的交易信息推送到手机淘宝、手机天猫订单中显示。

我画了张流程图方便理解：

二、勾选行为是什么？

案件的关键在于：用户不勾选同意时，支付宝以何法律依据将用户线下购物产生的个人信息传输给淘宝或天猫？

支付宝公司辩称：

不是通过默认勾选的页面决定是否将信息传递给线下商户，页面应该是起到了一个告知用户的效果，但实际上页面本身的设计是由于没有从后台调取到用户的身份信息，所以它的设计没有传达出应该告知的内容。用户点击取消对勾后，默认为用户已经了解到这条信息，后续的订单信息仍然是通过这种数据传输的方式给了门店，所以后续的订单信息仍然是在手机淘宝中进行展示，没有再继续向用户来传递这条信息。这是一个告知，并不是一个授权。

简而言之，支付宝认为无论用户是否勾选“同意”，支付宝并不在乎，只是向用户打个招呼，即使用户不勾选“同意”支付宝依然认为用户已经同意。

但法院并不赞同这样的观点：

在支付宝支付完成页面有“授权淘宝获取你线下交易信息并展示”字样，从文字表述上来看，该表述显然是“授权”性质的条款，从用户的角度来说，如果将该段表述前的默认勾选√取消，则应当理解为淘宝将不再获取该笔线下交易的信息。但是在俞延彬将该默认勾选√取消后，也就是在俞延彬已经明确拒绝淘宝公司获取其线下交易信息并展示的情况下，在俞延彬完成第二笔交易时却不再出现该“授权”条款，俞延彬的淘宝、天猫订单中随即出现了线下交易的订单。支付宝公司辩称该“授权”条款实则为履行告知义务，但无论从表述上还是从实际交易情况来看，支付宝公司的解释均无法使人信服。

三、共享与同意

智慧门店之所以有智慧，在于线上线下数据的打通，这也是“新零售”的要义所在。通过线上线下数据的联通，实现更为精准的营销，优惠券、广告会更加精准地投放。但问题在于，线上线下的数据传输，会涉及多个法律实体，即使是集团内部不同公司间的数据共享仍然是一种将数据提供给第三方的行为。

案件中，支付宝公司、淘宝公司、天猫公司辩称，原告分别是其用户，各公司已经在其《隐私政策》中对收集、使用及共享个人信息的行为取得了原告的授权。但法院对各家公司的《隐私政策》进行了严格审核，并指出：

1. 支付宝公司《隐私政策》中明确只有获得同意才会共享用户个人信息。

2. 淘宝公司和天猫公司《隐私政策》关于“使用其关联公司提供的产品或服务”中并无“支付宝”当面付工具的使用。

进而法院认为三公司未经同意即共享原告个人信息具有主观过错，且网络运营者共享用户个人信息的行为不应概括授权：

如果认为网络运营者仅仅采用概括式的授权即履行了其告知义务，而在具体场景的应用中无需再次取得用户同意，则个人信息相关权益的所有人在进行该种授权时对于其个人信息的使用方式以及使用范围无法明确知晓，可能导致个人信息脱离于用户意志而被不当收集和使用，不利于对个人信息的保护。

法院总结道：

个人信息共享是一个融合了个人信息流动的动态的过程，在此过程中可能对个人信息安全带来一定的威胁，在个人信息共享的过程中个人信息使用者应当明确告知个人信息相关权益的所有人其使用信息的目的、范围，并获得个人信息相关权益的所有人的明确授权，以确认协议、具体场景下的文案确认动作等形式确认征求了用户的同意，并在获得的授权范围内使用该个人信息。乐友公司、支付宝公司、淘宝公司、天猫公司在明知其使用智慧门店中个人信息需要事先获得用户授权的情况下，并未实际取得用户授权，使用了俞延彬的个人信息，该行为侵犯了俞延彬对其个人信息享有的权益，构成共同侵权，依法应当承担相应的侵权责任。

新零售中的数据共享，关键在于保障消费者的知情权、选择权以及公平交易权。《消费者权益保护法》在个人信息保护领域有着不亚于《网络安全法》的重要性，尤其是在面向消费者的业务中，而向消费者告知数据共享的情况即是保障消费者知情权、选择权以及公平交易权的体现。因此，法院认为“原告诉请的知情权、选择权和公平交易权已经包含于俞延彬对其个人信息的支配控制权内涵中”。

四、新零售下设计“同意”

“合法、正当、必要”是我国确立的个人信息处理基本原则。所谓“必要”与“正当”紧密关联，是从个人信息主体，而非处理者的视角进行判断。根据诉讼中披露的《阿里巴巴智慧门店产品服务协议》条款来看，智慧门店设立目的是为现实智慧门店产品服务，支付宝公司将线下门店交易信息传输给淘宝公司，并通过淘宝公司获得用户在线上店处享受的优惠权益，以便线上线下门店实现线下门店引流等目的。法院认为：

该使用目的并非基于用户的“必要”，而是网络公司的商业考量。为用户之必要，则应当在收集、使用个人信息时，其所获取的个人信息应当以满足使用目的为限，不得超出范围收集和使用个人信息。

在新通过的《民法典》第一千零三十五条中，围绕“同意”构建了个人信息处理的规则。

处理个人信息的，应当遵循合法、正当、必要原则，不得过度处理，并符合下列条件：
（一）征得该自然人或者其监护人同意，但是法律、行政法规另有规定的除外；
（二）公开处理信息的规则；
（三）明示处理信息的目的、方式和范围；
（四）不违反法律、行政法规的规定和双方的约定。

目前，少有法律、行政法规在“同意”之外开口，比如《身份证法》对查验公民个人信息进行了规定，并不需要同意；《征信业管理条例》将企业的董事、监事、高级管理人员与其履行职务相关的信息排除于个人信息范围之外，也不以同意为使用规则。只要超出原有处理用户个人信息的范围，就应当重获“同意”。虽然在GDPR下围绕数据处理有若干种合法性基础，同意只是其中之一，但我国的个人信息处理规则目前仍是围绕同意构建。在案件中法院强调再次“个人信息控制者只有在取得用户知情同意的情况下，方可与他人对用户的个人信息进行共享。”此前在新浪微博诉脉脉、淘宝诉美景案中，法院无不以“同意”为原则，构建并强调了“三重授权”规则。

进一步，在新零售的场景下，需要更多元化的“同意”获取方案。在案件中，支付宝、淘宝、天猫主张已在以往服务中获得了原告同意，但法院并不认可，这在某种程度上宣告了“一锤子式同意”方案的终结，“同意”需要传拆在业务场景中，结合纸质文件、员工培训、物联网设备、App等多元因素设计“同意”方案，层层管理用户同意。

无论如何设计“同意”方案，真正的难点在于用户选择“不同意”时该如何操作。在本案中，用户选择同意与否并没有实质区别，因此而导致纠纷。即使是在 《个人信息告知同意指南（征求意见稿）》中，也未对用户选择“不同意”的情形下个人信息控制者该如何处理提供明确指引。期待正式版本的标准能够更加完善。

五、尾声？

在俞延彬就涉案行为投诉后，支付宝公司、淘宝公司、天猫公司即立即查找了存在的问题，停止了侵权行为，未造成损害的扩大。

本案法院一审判决四被告共同赔偿1元，而原告要求赔礼道歉的诉讼请求被法院驳回（不知道被告们是否会上诉）。面对高昂的合规成本，支付宝公司、淘宝公司、天猫公司选择了整改，但或许有更多的企业愿意承担1元钱的不合规的风险吧。

以下是俞延彬诉天猫案一审判决书全文：

北京市海淀区人民法院

民 事 判 决 书

（2018）京0108民初13661号

原告：俞延彬，男，汉族，1980年10月30出生，住河北省三河市燕郊开发区。

委托诉讼代理人：崔红秀，北京智秀律师事务所律师。

被告:北京乐友达康科技有限公司，住所地北京市朝阳区。

法定的代表人：胡超，经理。

委托诉讼代理人：任士光，北京市中洲律师事务所律师。

被告:支付宝（中国）网络技术有限公司，住所地中国（上海）自由贸易试验区。

法定代表人:彭蕾，董事长。

委托诉讼代理人：周昌昊，男，支付宝（中国）网络技术有限公司职员。

被告:浙江淘宝网络有限公司，住所地杭州市余杭区。

法定代表人:张勇，董事长兼总经理。

委托诉讼代理人：朱晓宇，北京嘉润律师事务所律师。

委托诉讼代理人：姚震，北京嘉润律师事务所律师。

被告:浙江天猫网络有限公司，住所地浙江省杭州市余杭区。

法定代表人:张勇，董事长兼总经理。

委托诉讼代理人：朱晓宇，北京嘉润律师事务所律师。

委托诉讼代理人：姚震，北京嘉润律师事务所律师。

原告俞延彬与被告北京乐友达康科技有限公司（以下简称乐友公司）、被告支付宝（中国）网络技术有限公司（以下简称支付宝公司）、被告浙江淘宝网络有限公司（以下简称淘宝公司）、被告浙江天猫网络有限公司（以下简称天猫公司）网络侵权责任纠纷一案，本院依法适用普通程序，公开开庭进行了审理。原告俞延彬及其委托诉讼代理人崔红秀、被告乐友公司委托诉讼代理人任士光、被告支付宝公司委托诉讼代理人周昌昊、被告淘宝公司及天猫公司共同委托诉讼代理人朱晓宇、姚震到庭参加诉讼，本案现已审理终结。

原告俞延彬向本院提出诉讼请求：1.判令乐友公司向原告出具经原告审核的书面致歉声明；2.判令支付宝公司、淘宝公司、天猫公司分别向原告出具经原告审核的书面致歉声明，并将该书面致歉声明分别发布在支付宝网站（alipay.com）及支付宝客户端的首页、淘宝网（taobao.com）及淘宝客户端的首页、天猫网（tmall.com）及天猫客户端的首页醒目位置，持续至少三十日；3.判令四被告共同向原告赔偿经济损失1元；4.判令四被告共同赔偿原告精神损害抚慰金1元。事实与理由：近日，原告到位于北京市海淀区清河龙岗路清景园4号楼底商1号的北京乐友达康科技有限公司海淀清河母婴用品专营店（以下简称乐友清河店）购买商品，商品名称为“法国原装进口无氟牙膏”，并使用支付宝公司运营的支付宝客户端进行支付。支付完成后，原告发现支付宝的“支付完成”页面最后一行以很小的字体显示“授权淘宝获取你线下交易信息并展示”，并在其前面设置了“默认勾选”。为查询个人信息是否被泄露，原告在尚未对支付宝客户端进行任何进一步确认操作的情况下，立即打开淘宝公司运营的淘宝客户端进行登录查看，发现原告刚刚在乐友清河店发生的交易详细信息已经显示在淘宝客户端的订单中。随即原告又打开天猫公司运营的天猫客户端进行登录查看，发现原告刚刚在乐友清河店发生的交易详细信息已经显示在天猫客户端的订单中。为了避免之后的交易行为再次被泄露，原告打开支付宝客户端，在刚刚的支付完成页面上取消勾选授权，点击“完成”。此时，原告带着疑虑试图通过购买其他商品，验证取消授权是否确认完成。然而，在原告再次购买商品“宝宝面巾纸四层”以及之后的商品，用支付宝客户端进行支付后，“支付完成”页面中再也找不到“默认勾选”的“授权淘宝获取你线下交易信息并展示”字样，致使原告无法操作选择取消“默认勾选”，且原告之后的多次交易仍然立即显示在淘宝客户端和天猫客户端的订单中。原告的商品交易活动、行踪等均属原告个人信息，根据法律规定，原告的个人信息受法律保护。乐友公司作为与原告发生商品交易的经营者，将原告在其店铺的交易信息非法提供给支付宝公司；支付宝公司作为网络支付平台，在向原告提供支付服务的同时非法收集原告商品交易的详细信息和行踪活动，违背了网络服务经营者收集、使用个人信息应当遵循的合法、正当、必要的原则，且在未获得原告明示同意的前提下，还将非法收集的上述信息提供给淘宝公司、天猫公司；淘宝公司、天猫公司作为网络经营者同样违背了前述原则，非法收集原告的个人信息，并将该信息与淘宝账号进行关联使用。四被告的上述行为共同侵犯了原告对个人信息被收集、利用的知情权，以及授权他人利用的自主决定权等权利。根据法律规定，原告有权要求四被告立即停止侵权、赔礼道歉、赔偿经济损失。同时，四被告在原告并不知情的情况下，将原告线下交易的个人信息非法收集并与淘宝公司、天猫公司进行联网整合，使得原告处于担心个人信息及隐私有可能随时被泄露或被滥用的忐忑不安中，夜不能寐，造成严重精神创伤，四被告应当赔偿原告精神损害抚慰金。故诉至法院，请求判如所请。

被告乐友公司答辩称：不同意原告的诉讼请求。首先，涉案的信息包括门店、商品、图片、名称、数量、价格和商品总价订单、付款订单编号、支付宝交易流水号等。由上述信息内容可以得知，这些信息不仅仅是原告的购物信息，也是乐友公司的销售信息，但这些信息不包含任何可以识别消费者个人身份信息的相关内容。如果不是原告提起诉讼，乐友公司根本就不知晓有一位叫俞延彬的先生曾来购物。其次，乐友清河店系被告由线上管理系统统一管理的，实体门店作为销售方来说，收集相关的销售信息，既是经营所需，也是为了让客户在线下购物时，可以同步享受线上的优惠，进而提升服务水平。综上可知，在原告的整个消费过程中除了原告本人，没有任何第三方可以根据这些信息定位到原告。另外在整个消费过程中，原告也不存在任何受到侵害或者是产生损失的情形，原告所主张的侵权行为、赔偿损失以及道歉的要求没有任何的事实和法律依据。请求法院依法驳回其诉讼请求。

被告支付宝公司答辩称，不同意原告的全部诉讼请求。第一，支付宝公司没有非法收集原告的个人信息，支付宝公司收集和使用的全部个人信息，都是经过原告授权的，根据支付宝公司的隐私权政策，在与原告的协议当中已经进行了明确的授权。关于原告关于支付宝公司向乐友公司以及淘宝公司、天猫公司分享了用户个人信息这一主张，支付宝公司只是根据支付宝服务协议的相应规定，以及跟乐友公司和天猫公司、淘宝公司的智慧门店的协议约定，向乐友公司提供了一个支付交易过程中的用户身份识别代码，该身份识别代码实质不包含原告的任何身份信息和隐私信息，只是一串没有办法被还原到身份信息的数字，它的作用在于识别，用来区分此消费者与其他消费者。无论是乐友公司还是天猫公司、淘宝公司都没有办法通过这串数字来还原到用户的任何个人身份信息和隐私信息。基于此，我公司不认可侵犯原告的隐私权，原告提供的证据也不足以证明我公司有隐私侵权行为。其次，对于原告主张我公司侵犯了原告的知情权、选择权和公平交易权，原告主张我公司没有告知原告会将整个订单信息传递给乐友公司和天猫公司、淘宝公司，因为支付宝其实仅是向乐友公司传递了订单的交易支付的交易信息，且该订单信息本身就是存储在乐友公司，不需要支付宝公司来传递。因此，支付宝公司没有收集信息，也没有向其他公司传递信息，没有向原告告知这个情况的义务。关于原告主张支付宝公司侵犯了其公平交易权和选择权，公平交易权其实质是等价有偿，原告选择支付宝来进行支付，原告也可以选择现金支付或者银行卡来进行支付，我公司对于原告的公平交易权和选择权没有任何的限制和侵犯。关于原告要求赔偿经济损失的诉讼请求，原告提供的证据不足以证明其因为此事遭受经济损失，原告支出的维权成本也不是必要支出，另外，原告提供的证据也不足以证明其实际支出了这笔费用。关于原告赔礼道歉的诉讼请求，即便存在侵权，侵权行为的损害后果以及承担责任的方式应当相适应，本案的最终结果仅限于俞延彬先生本人的淘宝天猫帐户当中显示了淘宝天猫智慧门店的订单信息，范围也仅限于俞延彬先生本人，而没有必要在官网主页上刊登道歉声明。

被告淘宝公司、被告天猫公司共同答辩称，不同意原告的诉讼请求，被告淘宝公司和天猫公司没有侵犯原告的个人信息或其他民事权益。第一，在本案中，原告购买商品的店铺是由开设在天猫商城上的线上店铺统一管理的线下门店，原告在接入天猫平台的线下门店购物，与通过淘宝天猫的线上店铺购物并没有本质的区别；第二，淘宝公司和天猫公司向原告提供的是阿里巴巴的智慧门店服务，原告接受淘宝公司和天猫公司的隐私政策，允许淘宝公司和天猫公司持有管理和共享订单信息，淘宝公司和天猫公司不存在泄露或者非法使用原告个人信息的行为；第三，本案的涉案信息属于订单信息，而非专属于原告的个人信息，淘宝公司和天猫公司依法依约享有保存、传输订单信息的权利，同时按照相关法律规定也应当承担保存和管理订单信息的法律义务；第四，在移动支付的时代，网络支付行为涉及多方主体的情况普遍存在，淘宝公司和天猫公司对于涉案订单信息的取得和使用方式合法正当，并且保持必要的限度，符合商业惯例，不属于法律禁止的侵权行为；第五，原告并未证明其财产上遭受了任何损失。同时，其主张的精神抚慰金，没有证据证明其遭受精神损害。综上，恳请法院驳回原告的全部诉讼请求。

当事人围绕诉讼请求依法提交了证据，本院组织当事人进行了证据交换和质证。结合举证质证情况、当事人陈述，本院认定事实如下：

2018年1月31日，俞延彬来到位于北京市海淀区清河龙岗路清景园4号楼底商1号的乐友清河店（乐友孕婴童），俞延彬购买儿童牙膏一盒，并使用华为手机中的支付宝app进行支付，在支付完成页面显示“支付成功59元，收款方为北京清河店”，页面中间显示“乐友成为会员可享专属权益”右侧可点击“成为会员”。在该页面底端有“授权淘宝获取你线下交易信息并展示”前方勾选框中为默认勾选状态。打开淘宝app，在订单详情页面显示“乐友-乐友孕婴童（北京清河店），法贝儿Biolane-法国原装进口无氟儿童牙膏苹果味40ml/盒，59元*1，商品总价59元，运费0,订单总价59元，实付款59元”页面下方显示订单编号、支付宝交易号、创建时间2018-01-3109:48:14、付款时间2018-01-3109:48:16、成交时间2018-01-3109:48:16。打开天猫app，在全部订单中第一个显示“乐友-乐友孕婴童（北京清河店）交易成功法贝儿Biolane-法国原装进口无氟儿童牙膏苹果味40ml/盒59元”下方可删除订单。俞延彬回到支付宝页面，将勾选框中的对号取消，在天猫和淘宝APP的订单中再刷新全部订单，查看已经不存在该交易订单。俞延彬随后又购买了“幼蓓宝宝面巾纸”一提，同样使用华为手机中支付宝app进行支付，在支付完成页面显示“支付成功17.90元，收款方为北京清河店”，下方显示“乐友成为会员可享专属权益”右侧可点击“成为会员”。页面底端无其他展示内容。打开手机中的淘宝app和天猫app，在“我的订单”中均可以找到其刚支付购买的纸巾的交易信息，包括交易店名、商品图片、商品名称、交易价格等。俞延彬交易全程未点击“成为乐友会员”。四被告对上述购买过程及显示内容的真实性无异议。

原告先后拨打淘宝客服、天猫客服、支付宝客服，对其主张被告侵权一事向三被告反映，并要求其予以解决。与淘宝客服的沟通记录显示“淘宝客服：实体店的显示一个交易信息，他一般不会显示在淘宝里面的……淘宝客服：帮您看一下，在今天是有付款，有一个17块9的，那笔是一个线下零售交易。俞：是一个线下零售交易，但是它交易完了以后，他会有一个选项，是不是授权淘宝获取你交易信息，它默认是勾选的，我把这项勾选给取消了，但是仍然体现在了我的淘宝账户里面。淘宝客服：目前的话就是说线下的一个新零售交易的话，它是针对一些签约，就是说当面付的这个商家，然后您在现有的一个当面付的链接基础上增加了一个就是说线下交易享受线上淘宝优惠的一个能力，它这个话因为是有涉及到淘宝，它会回流到淘宝，并可在淘宝用户淘宝账号名下展示相关订单信息，本身就是有这样一个功能的。俞：不可能的。因为它上面有个勾选项，是不是授权？我已经取消授权了。淘宝客服：授权的话，它是本身交易的一个流程，是会回流到淘宝上面的，您在淘宝买东西，然后在支付宝里面也会有显示。”俞延彬拨打天猫客服，通话记录记载“俞：今天上午我用支付宝购买了一个商品，然后最后购买的记录在咱们天猫的交易记录里面能够体现出来，这个是信息获取的话没有经过我的同意，这个怎么解决？天猫客服：这个的话支付宝和淘宝这是相通的。天猫客服：这里面它具体的东西，因为我也不是特别清楚，我建议您还是先去咨询一下那边支付宝。”俞延彬拨打支付宝客服，通话记录记载“支付宝客服：您打开您的手机支付宝，点击右下角有一个‘我的’，里面有一个账单……”。

支付宝公司提交2017年8月23日发布、2017年9月22日生效的“支付宝隐私权政策”，其中载明“为了您可以正常使用支付宝服务，在下列情形下您需要向我们提供一些信息；我们也会在下列情形下向合法存有您信息的第三方收集您的信息。”2、支付（5）当您向商家付款时，商家会将您的支付金额、支付对象传输给我们以确认是否是您的真实意思表示。按照法律法规及监管规定，我们需要对商家进行管理，如识别、防止其套现或欺诈，商家会将购买商品、收货地址、联系方式提供给我们。如您不同意商家提供该等信息，则无法完成付款。5、为了提供个性化服务及改进服务质量为提升您的服务体验及改进服务质量，或为防范风险，或者为您推荐更优质或更适合的服务，我们会收集您使用支付宝服务时的搜索记录，收集您与客户服务团队联系时提供的信息，收集您参与问卷调查时向我们发送的问卷答复信息，及您使用的服务类别和方式、使用服务时的操作信息以及有关您曾使用的移动应用和其他软件的信息；还会向支付宝关联公司和合作伙伴收集其合法留存的您的行为信息、交易信息。我们会对这些信息进行统计、分析，以为您提供更加准确、个性、流畅及便捷的服务，并会根据上述信息向您提供您可能感兴趣的广告，如您不希望接收该等信息，您可回复短信退订。为了提升处理效率，降低处理成本，或提高处理准确性，我们可能会委托有能力的支付宝关联公司来为我们提供这方面服务，但我们会要求该公司遵守严格的保密义务及采取有效的保密措施，禁止其将这些信息用于未经您授权的用途。6、为了提供服务状态通知及查询服务为了遵守法律法规及监管规定，也为了便于您查询交易状态或历史记录，我们会将您使用支付宝服务时的身份信息、交易信息、行为信息进行存档，并严格按照法律法规的规定对这些信息进行妥善保管。为了使您知晓使用支付宝服务的状态，我们会根据这些信息向您发送服务状态通知。7、其他以下服务会在征得您的同意后收集您的身份信息、联系方式、证件信息、交易信息或行为信息，且会按照本政策进行使用、分享、存储及保护；如您决定不提供该等信息，不会影响您使用支付服务。包括先乘车后付款等先享后付服务、蚂蚁森林、运动、证件夹、共享单车。8、在法律法规允许的范围内，我们可能会在以下情形中收集并使用您的个人信息无需征得您的授权同意：（1）与国家安全、国防安全有关的；（2）与公共安全、公共卫生、重大公共利益有关的；（3）与犯罪侦查、起诉、审判和判决执行等有关的；（4）所收集的个人信息是您自行向社会公众公开的；（5）从合法公开披露的信息中收集个人信息，如合法的新闻报道、政府信息公开等渠道；（6）用于维护服务的安全和合规所必需的，例如发现、处置产品和服务的故障。我们如何使用个人信息，其中载明了使用个人信息的情形，包括：（1）向用户发送商业性电子信息，向用户提供与之相关的产品信息；（2）实现本政策中“我们如何收集个人信息”所述目的。2、当我们要将信息用于本政策未载明的其他用途时，或要将基于特定目的收集而来的信息用于其他目的时，会以确认协议、具体场景下的文案确认动作等形式再次征求您的同意。我们如何共享、转让和公开披露个人信息中载明：共享个人信息的情形：仅在下列情形下与支付宝关联公司共享您的信息：1、在获取您同意的情况下与第三方共享您的信息。2、只有共享您的信息，才能提供您需要的服务，或处理您与他人的交易纠纷或争议。3、将您提供的信息用于管理您参与抽奖、竞赛或类似推广活动。4、为遵守适用的法律法规及监管规定、维护社会公共利益，或保护我们的客户、支付宝或支付宝员工的人身和财产安全或合法权益所合理必需的用途。5、根据法律法规及合理商业习惯，在接受来自其他主体的尽职调查时。6、如您授权第三方向我们查询、采集您在支付宝的信息，则我们会在法律法规允许范围内及您对第三方的授权范围内向第三方共享您的信息。7、跨境交易中。（二）转让：我们不会将您的个人信息转让给任何公司、组织和个人，但以下情况除外：1、事先获得您明确的同意或授权；2、根据适用的法律法规、法律程序的要求、强制性的行政或司法要求所必须的情况进行提供；3、在涉及合并、收购或破产清算时。在“您如何访问和控制自己的个人信息”中载明，用户可以通过支付宝官方网站登录支付宝账户对个人信息进行修改、改变授权范围、删除某笔交易信息或管理绑定的银行卡、注销支付宝账户等操作。

淘宝公司、天猫公司向本院提交了2017年8月21日版本的淘宝网隐私权政策（以下简称淘宝隐私政策）和2018年1月1日版本的天猫网隐私权政策（以下简称天猫隐私政策）。淘宝隐私政策中载明：“本政策适用于淘宝网产品或服务。如我们关联公司的产品或服务中使用了淘宝网提供的产品或服务（例如直接使用淘宝账户登录）但未设独立法律声明及隐私权政策的，则本政策同样适用于该部分产品或服务。”该隐私政策中定义个人信息指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息。在“我们如何收集和使用您的信息”中载明：为展示您账户的订单信息，我们会收集您在使用我们服务过程中产生的订单信息用于向您展示及便于您对订单进行管理。我们通过间接获得方式收集到您的个人信息“为确认交易状态及为您提供售后与争议解决服务，我们会通过您基于交易所选择的交易对象、支付机构、物流公司收集与交易进度相关的您的交易、支付、物流信息，或将您的交易信息共享给上述服务提供者。您可通过淘宝账号在我们提供的链接入口使用我们关联公司提供的产品或服务，为便于我们基于关联账号共同向您提供一站式服务并便于您统一进行管理，我们在淘宝网集中展示您的信息或推荐您感兴趣的信息，包括来自天猫、天猫国际、聚划算、飞猪、阿里通信、阿里云、菜鸟、饿了么、淘票票、口碑、阿里体育、旺彩、阿里云、机票火车票、旅行工具、蚂蚁花呗、借呗、阿里健康的信息。您可以通过淘宝首页、必备工具、添加卡片等功能发现、使用上述服务。当您通过我们产品或服务使用上述服务时，您授权我们根据实际业务及合作需要从我们关联公司处接收、汇总、分析我们确认其来源合法或您授权同意其向我们提供的您的个人信息或交易信息。如您拒绝提供上述信息或拒绝授权，可能无法使用我们关联公司的相应产品或服务，或者无法展示相关信息，但不影响使用淘宝网浏览、搜索、交易等核心服务。（四）我们可能使用或整合您的会员信息、交易信息、设备信息、有关网络日志以及我们关联公司、合作伙伴取得您授权或依据法律共享的信息，来综合判断您账户及交易风险、进行身份验证、检测及防范安全事件，并以非法采取必要的记录、审计、分析、处置措施。（五）我们将信息用于本政策未载明的其他用途，或者将基于特定目的收集而来的信息用于其他目的时，会事先征求您的同意。（六）征得授权同意的例外，包括1、与国家安全、国防安全有关的；2、与公共安全、公共卫生、重大公共利益有关的；3、与犯罪侦查、起诉、审判和判决执行等有关的；4、出于维护个人信息主体或其他个人的生命、财产等重大合法权益但又很难得到您本人同意的；5、所收集的个人信息是您自行向社会公众公开的；6、从合法公开披露的信息中收集个人信息的；7、根据您的要求签订合同所必需的；8、用于维护所提供的产品和服务的安全稳定运行所必需的；9、为合法的新闻报道所必需的；10、学术研究机构基于公共利益开展统计或学术研究所必要，且对外提供学术研究或描述的结果时，对结果中所包含的个人信息进行去标识化处理的；11、法律法规规定的其他情形。”天猫隐私政策的“我们如何共享、转让、公开披露您的个人信息”中载明：我们不会与天猫服务提供者以外的公司、组织和个人共享您的个人信息，但以下情况除外：1、在您主动选择情况下共享：若您主动通过天猫购买商品和服务，我们会根据您的选择，将您的订单信息与交易有关的必要信息与相关商品和服务的提供者共享来实现您向其购买商品或服务的需求，并促使其可以完成后续的售后服务。您可以在相关商品和服务的提供者从事经营活动的主页面查询其营业执照登载的信息或者其营业执照的电子链接标识，以辨识您的交易对象身份。2、在获取明确同意情况下共享：获得您的明确同意后，我们会与其他方共享您的个人信息。3、在法定情形下共享：我们可能会根据法律法规规定、诉讼争议解决需要，或按行政、司法机关依法提出的要求，对外共享您的个人信息。4、与关联公司共享：推荐您可能感兴趣的信息或保护天猫关联公司或其他用户或公众的人身财产安全免遭侵害，您的个人信息可能会与我们的关联公司共享。我们只会共享必要的个人信息，且受本隐私权政策中所声明目的的约束，如果我们共享您的个人敏感信息或关联公司改变个人信息的使用及处理目的，将再次征求您的授权同意。5、与授权合作伙伴共享：我们会委托授权合作伙伴为您提供某些服务或代表我们履行职能，我们仅会出于合法、正当、必要、特定、明确的目的共享您的信息，授权合作伙伴只能接触到为其履行职责所需信息，且不能将此信息用于任何其他目的。（三）公开披露：我们仅会在以下情况下，公开披露您的个人信息：1、获得您明确同意或基于您的主动选择，我们可能会公开披露您的个人信息；2、如果我们确定您出现违反法律法规或严重违反天猫相关协议规则的情况，或为保护天猫及其关联公司用户或公众的人身财产安全免遭侵害，我们可能依据法律法规或天猫相关协议规则征得您同意的情况下披露关于您的个人信息，包括相关违规行为以及天猫已对您采取的措施。（四）共享、转让、公开披露个人信息时事先征得授权同意的例外：1、与国家安全、国防安全有关的；2、与公共安全、公共卫生、重大公共利益有关的；3、与犯罪侦查、起诉、审判和判决执行等有关的；4、出于维护您或其他个人的生命、财产等重大合法权益但又很难得到本人同意的；5、您自行向社会公众公开的个人信息；6、从合法公开披露的信息中收集个人信息的。在“五、您如何管理您的个人信息中，天猫公司称‘您可以通过以下方式自行访问您的个人信息’：其中包括账户信息、浏览信息、订单信息”。关于隐私权政策的变更：未经您明确同意，我们不会限制您按照本隐私权政策所应享有的权利。对于重大变更，我们会提供更为显著的通知，包括您参与个人信息处理方面的权利及其行事方式发生重大变化。

淘宝公司与天猫公司共同辩称，原告使用的是淘宝平台下开设的智慧门店服务，其目的在于方便商家统一管理线上线下销售活动和提升用户的体验，且涉案订单信息是乐友官方旗舰店集中管理的线下门店订单信息，并非单纯的原告个人信息，该订单信息是记录智慧门店的订单信息，并针对具体用户显示其个人订单信息，有合同依据和法律依据，且属于合理、必要的行为。二被告提交《阿里巴巴智慧门店产品服务协议》（20170911版），该协议的签约主体由申请开通阿里巴巴智慧门店产品服务（以下简称智慧门店服务）的淘宝平台商家（甲方）以及甲方指定的线下商户（乙方）与淘宝公司（丙方）、支付宝公司（丁方）签署。是淘宝公司、支付宝公司旨在为广大的商家提供基于淘宝网/天猫电商平台（淘宝平台）交易收单的解决方案订立的，其中明确了甲方使用丙丁智慧门店服务的相关权利义务。其中，智慧门店服务是指由丙方开发的基于丁方向乙方提供的当面付产品而实现消费者身份和权益识别功能，并在交易支付环节实现优惠券抵扣、线上交易订单创建等功能的软件产品。协议约定：5.1.1通过丁方当面付产品实现淘宝用户身份识别功能；5.1.2通过识别用户身份关联生成甲方淘宝平台相关交易订单及实现优惠券权益抵扣的功能；5.1.3以及与当面付产品交易管理相关的软件服务，包括但不限于订单管理、维权和交易纠纷处理等的软件系统。通过以上功能为甲乙方实现线下门店引流、促进用户入会和交易成交、数字化营销等目的。5.2、丁方提供如下服务：丁方向乙方提供当面付产品，乙方可通过已有的收银系统或具备相应功能的手机等设备，识别用户手机或其他乙方实际支持的无线终端上的条形码、二维码、声波等发起收银，并完成乙方与用户之间的款项收付。为现实智慧门店产品服务，丁方将乙方交易信息传输给丙方，并通过丙方获得用户在甲方处享受的优惠权益，以便甲乙方实现线下门店引流等目的。7.1.2甲乙方均在此特别同意，在用户合理授权的情况下，当用户在乙方线下商户使用丁方当面付支付服务时，丁方可将用户支付宝账户提供给丙方，丙方匹配对应的用户淘宝账号并获取用户淘宝账号下甲方提供的相关优惠券或其他优惠权益后，将用户优惠权益信息同步丁方，以实现用户支付时享受优惠权益；同时，在用户支付后，丁方将支付订单相关商品信息、支付信息提供丙方，用于生成甲方相关交易订单。甲乙方自行维护二者之间的授权绑定关系。甲乙方应在使用本服务前合理提示并获得用户同意在乙方线下商户的支付信息会同步到用户淘宝账号及甲方线上店铺。7.1.7甲乙方使用丙方提供的智慧门店产品服务后，视为甲乙方已向丙方及丁方授权获取和存储所有消费者及交易数据，在未征得丙方同意的情况下，不得通过丙方平台以外的任何途径对外公开。7.2.1丙方负责智慧门店产品的整体规划、设计、开发和运营等工作，实现智慧门店产品的一系列服务，并为该服务提供技术支持和日常维护服务。同时，丙方有权制定使用本产品服务的申请条件，并对甲乙方的准入进行单方面的筛选。7.3.5丁方按照本协议约定将用户在乙方的交易信息传输给丙方，并从丙方处获得用户在甲方处享受的优惠权益或其他优惠信息反映在用户账单上，优惠资金由甲方或其他优惠提供方和乙方自行解决。9.3甲乙方知悉并同意，为便于向用户提供更好的服务，丙丁方将在最终用户自愿选择服务或者提供信息的情况下收集用户的信息，并将这些信息进行归集整合。9.5丙丁方产品服务将会自动存储甲乙方交易，并对该等信息保密，但甲乙方向其用户提供交易数据信息的行为可视为甲乙方自行公开该等信息，对此丙丁方不承担保密责任。乐友公司签订了该智慧门店服务协议，乐友公司同时运营天猫“乐友官方旗舰店”，其后台数据显示，乐友智慧门店系统中对乐友公司各门店线上线下的订单进行统一管理。

淘宝公司、天猫公司还辩称常用网络支付在为用户提供支付便利的同时，普遍存在商家以外多个主体接触、登载、记录交易信息的情形。并提交了网络支付实例的网页打印件作为证据。

庭审中当事人各方针对本案焦点问题，发表了如下意见：

1、关于侵权行为：原告主张本案中四被告侵犯了其三项权利：（1）消费者的个人信息保护权，法律依据是《中华人民共和国民法总则》第111条、《中华人民共和国消费者权益保护法》第29条、《中华人民共和国网络安全法》第22条；（2）隐私权，本案涉及的个人信息是隐私权的一个体现，法律依据是《中华人民共和国侵权责任法》第2条；（3）消费者知情权、选择权以及公平交易权，法律依据是《中华人民共和国消费者权益保护法》第8条、第9条、第10条。原告主张其在乐友清河店购买商品时并不知晓天猫公司、淘宝公司、支付宝公司和乐友公司之间有智慧门店协议，支付宝公司的隐私条例中也没有提及智慧门店，被告没有尽到告知义务，告知其如果选择了智慧门店的一个商家，采用任何的支付方式，用户的信息记录都会同步显示。

关于涉案行为的法律定性，淘宝公司、天猫公司辩称该行为不为法律禁止，法律规定的侵犯“个人信息”的行为，通常是指未经公民许可，非法收集、使用、加工、传输、泄露、篡改、毁损，或者非法买卖、提供、公开隐私性质的个人信息。本案中支付宝、淘宝、天猫等关联公司共同管理原告的同一账户，当原告通过支付宝支付价款后，前述公司自动将购物信息同步到原告自己的同一账户，该账户只有原告自己能进入，是为了方便原告进行查询、对账，未向任何第三人公开或买卖不构成对原告个人信息的侵害。

庭审中，原告主张在进入乐友清河店进行交易时，店内工作人员没有提示其店铺是智慧门店，也同时有天猫旗舰店和淘宝旗舰店，在店铺上也没有相关标识。乐友公司辩称，按照其规定，是要求店员进行提示的，电子支付无论是银行返还的还是支付宝或者微信返还的，都是一串编码，凭这个编码可以通过银联或者其他机构确认到是现实当中的某一个人，但是作为商家，乐友公司没有这个能力，所以付款的结果支付宝公司返回给乐友公司的是一串编码，乐友公司仅凭这个编码无法确认现实中具体的消费者。乐友公司辩称传统的销售信息的统计是用比较原始的方式人工记录，随着技术进步，前台的收银结果可以直接进行电脑自动记录，作为一家智慧门店可以使用线上统一管理一个门店，消费者消费之后，可以进行信息的自动统计，整个过程中没有任何的信息收集行为。乐友公司没有义务告知消费者店铺的类型或者通过何种方式进行销售信息的统计。前台有一个付款码，二维码可以看出来乐友清河店是智慧门店的形式。乐友公司将销售信息自动登记在与淘宝公司、天猫公司合作建立的智慧门店的管理系统上，前台的营业员做完销售记录之后，一整套信息就会自动登记，不涉及信息共享的问题，而是乐友公司平台的自动管理和记录。

被告支付宝公司辩称，支付宝公司基于其隐私政策，使用关联账号进行交易，相关订单信息体现在相关的客户端上进行集中展示。非智慧门店业务的，在使用支付宝进行支付后也是要返还给商家一串编码，在智慧门店业务的情况下，支付宝公司将该串编码上传到商家指定的平台上，这个平台是商家委托淘宝公司、天猫公司开发的，如果用户本人将其支付宝账号和淘宝账号进行过关联，那么这个后台系统收到了支付宝的付款信息之后，可以在系统的匹配下看到支付宝对应的淘宝用户，可以展示出来，这是用户本人曾经自己操作过自己的支付宝和淘宝关联的账户。从商家的角度来说，他们只是能够区分到有一个用户买了某样商品，但是无法知晓用户是谁。针对第一次购买的时候有默认勾选同意选项，第二次交易时没有这个选项，支付宝公司辩称不是通过默认勾选的页面决定是否将信息传递给线下商户，页面应该是起到了一个告知用户的效果，但实际上页面本身的设计是由于没有从后台调取到用户的身份信息，所以它的设计没有传达出应该告知的内容。用户点击取消对勾后，默认为用户已经了解到这条信息，后续的订单信息仍然是通过这种数据传输的方式给了门店，所以后续的订单信息仍然是在手机淘宝中进行展示，没有再继续向用户来传递这条信息。这是一个告知，并不是一个授权。

2、关于个人信息：原告在本案中主张的个人信息主要指交易信息，具体表现为两条交易记录，包括店铺信息、商品价格、购买门店、商品规格等信息。针对涉案信息是否为个人信息，双方的诉辩意见如下：原告主张，根据《中华人民共和国网络安全法》第76条的规定，用户的信息包括了个人信息和非个人信息。本案中的交易信息，是一个个人行为的痕迹信息，可以和其他信息结合起来识别自然人的个人身份。被告乐友公司辩称涉案信息包括门店、商品图片、商品名称、数量价格、实付款、订单编号、支付宝交易流水号，这些信息不仅是原告的购物信息，也是被告的销售信息，但该信息并不包括可以识别个人身份的相关信息。乐友公司作为智慧门店的线下实体店，收集相关销售信息一是经营所需，二是为让客户在线下购物时可以享受线上优惠，提升服务水平。乐友公司认为其收集的涉案信息除顾客本人外没有任何第三方可以根据这些信息定位到现实中的顾客本人，其自行收集汇总销售信息不存在侵权。支付宝公司辩称原告使用支付宝进行交易，应当视为双方均可各自保有该交易信息，支付宝公司向乐友公司传递的信息不包括原告个人信息，只是支付宝的用户识别代码，但是其没有提供客户身份信息，其提供信息是按照最小必要原则，没有违反隐私政策的相关约定。淘宝公司、天猫公司共同辩称涉案信息属于订单信息，不是专属于原告的个人信息，涉案交易及类似交易中，反映在淘宝、天猫客户端中的信息包括：（1）在“我的订单”页面包括：店铺名称、商品名称、交易价格；（2）点击进入“订单详情”页面后包括：店铺名称、商品名称、商品数量、交易价格（商品总价、运费、订单总价、红包、实付款）、订单编号、支付宝交易号、创建时间、付款时间、成交时间、退款退货说明。上述信息既是消费者的购物信息、也是智慧门店的销售信息，既属于消费者，也属于商家。淘宝公司、天猫公司系受平台商家委托提供信息处理服务。根据《电子商务法》的相关规定，淘宝公司、天猫公司有权利且有义务记录、保存、管理订单信息。涉案订单信息的取得和使用方式是：淘宝公司、天猫公司接受智慧门店签约商家的委托，处理涉案订单信息，支付完成页面的提示，是为了更好地保障用户的知情权。涉案订单信息的取得，遵循合法、正当、必要、适度原则，并未收集、获取明显超出本次交易活动必要范围的原告个人信息。涉案订单信息的使用方式是：一方面该信息仅在与交易有关的线上商家、线下门店、支付工具支付宝及淘宝、天猫平台后台系统中加密流转，且淘宝、天猫从制度和技术上均采取了较强的保密措施，防止被他人窃取或流失；另一方面，原告可以随时删除订单，而平台不会干预。

3、关于智慧门店服务：支付宝公司辩称商家为了管理会员用户，建立相应的会员体系，在传统会员体系中商家会收集用户的姓名及手机号等信息，现在智慧门店的交易模式下，让商家和其展示途径中不接触个人身份信息的情况下，可以享受到传统会员服务，这是对传统信息体系的保护，应得到法律的支持和认可。淘宝公司、天猫公司辩称，针对加入“智慧门店”服务的线下门店，消费者在购物时，通过支付宝扫码，支付宝将订单信息传递给“智慧门店”平台，“智慧门店”平台立即与该门店对应的线上商家所设置的优惠信息进行匹配，如有优惠活动（红包、优惠券等），且消费者此前已通过现场扫码、线上领取等方式获得红包或优惠券的，系统自动对用户的线下购物进行同步扣减、抵消，使用户在线下购物时能够享受该商家的线上优惠。

原告委托北京智秀律师事务所代理本案诉讼，律师费约定一审1万元，原告提交律师费发票及银行电子回单。

庭审中，俞延彬确认涉案侵权行为已经停止，撤回对于停止侵权的诉讼请求。

原告立案时将乐友清河店作为本案共同被告起诉至本院，经查乐友清河店系乐友公司的分公司，且在开庭后已经注销，原告撤回对乐友清河店的起诉。

以上事实，有光盘、委托代理协议、发票、银行回单、购物小票、支付宝隐私权政策、淘宝隐私权政策、天猫隐私权政策、阿里巴巴智慧门店产品服务协议、网页打印件以及本院庭审笔录等在案佐证。

本院认为，综合诉辩各方意见，本案争议焦点为：一、各被告是否构成侵权，侵犯了原告何种权利；二、如构成侵权，各被告之间应当承担何种侵权责任。

一、各被告是否构成侵权，侵犯了原告何种权利

原告在本案中主张被告侵犯了其消费者的隐私权、个人信息保护权及知情权、选择权及公平交易权，本院对原告主张能否成立逐一分析如下：

（一）隐私权

《中华人民共和国民法总则》第一百一十条规定“自然人享有生命权、身体权、健康权、姓名权、肖像权、名誉权、荣誉权、隐私权、婚姻自主权等权利。”隐私权，是指自然人享有的私人生活安宁与私人生活信息依法受到保护，免受他人侵扰、知悉、使用、披露和公开的权利。隐私权的特点在于其私密性，而本案中原告所主张各被告未经其许可展示出的信息具体指交易信息，表现为两条交易记录，包括店铺信息、商品价格、购买门店、商品规格交易信息，而上述交易信息均已公开，且交易发生在俞延彬与乐友清河店两者之间，交易信息属于二者共有，不具有私密性，因此不属于俞延彬的隐私权权利范围，俞延彬在本案中起诉各被告侵犯其隐私权不具有事实和法律依据，本院不予支持。

（二）个人信息

1.涉案信息是否为个人信息

从客体范围、权利性质、权利内容和保护方式等要素来看，个人信息相关权利与隐私权存在区别，但亦有交叉。个人信息相关权利的主要特点在于个人信息具有可识别性，而隐私权中隐私的主要特点在于其私密性。但上述界限并非泾渭分明，结合公序良俗原则，应该认为，对于个人信息中已经对外公布、通过合法渠道可以查阅或者获知的信息不属于隐私的范畴，将无法受到隐私权的保护。而对于不为外界广泛知悉且公民本人也并不希望外界广为知悉的个人信息，则属于隐私范畴,可以受到隐私权的保护。

《中华人民共和国民法总则》第一百一十一条规定“自然人的个人信息受法律保护。任何组织和个人需要获取他人个人信息的，应当依法取得并确保信息安全，不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息。”《中华人民共和国网络安全法》中对于个人信息定义为“以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等。”本案中，交易链条涉及到如下交易环节：1.俞延彬通过乐友清河店的支付宝收款码扫码支付商品价款；2.俞延彬将支付完成页面的“授权淘宝获取你线下交易信息并展示”前面的默认勾选√取消；3.支付宝公司将收款后的用户身份识别代码上传到乐友公司的智慧门店平台；4.智慧门店平台系统自动匹配该支付宝用户同时为淘宝网、天猫网用户；5.淘宝网、天猫网分别将俞延彬在乐友清河店完成的交易信息推送到手机淘宝、手机天猫订单中显示。交易信息中包含了商品信息、店铺信息、购买时间、商品价格等，其基础性的信息均来源于用户的交易行为，通过用户的支付信息等痕迹信息可以形成用户身份识别代码，淘宝公司据此识别用户关联的淘宝账号等，这些信息显然可以通过与其他信息结合的方式识别出自然人的身份信息，属于个人信息。各被告辩称该交易信息属于乐友公司的销售信息。本院认为，交易信息产生于交易行为，交易行为的双方均对该交易信息享有相应权益，但是商主体仅在无明确约定的情况下，对静态的、无法直接识别交易相对方身份的信息享有权益，即乐友公司当然可以对其销售的商品的名称、店铺信息、商品价格、购买时间等信息进行记录留存或使用。然而将交易信息进行一定程度的技术处理，形成用户身份识别代码，则可能与其他的信息结合识别出自然人的身份，从而构成个人信息。因此，该信息是交易信息，不影响该信息同时具有可识别性，其亦是俞延彬本人的个人信息。支付宝公司虽然辩称用户身份识别代码不包含原告的任何身份信息和隐私信息，任何人无法通过该代码识别出原告本人，但是从涉案交易行为的结果来看，确实可以通过该代码匹配到该用户的淘宝账户、天猫账户，这些信息相结合完全可以用来识别自然人的个人身份。且在《阿里巴巴智慧门店产品服务协议》中明确载明“通过支付宝公司当面付产品实现淘宝用户身份识别功能”，可见，各被告对于本案中所涉信息可以识别出淘宝用户身份系明知。本院认定，本案中所涉及到的交易信息属于个人信息。

2.涉案交易过程的具体分析

本案中，在整个交易的链条中，俞延彬自愿选择了支付宝公司的支付宝付款方式，采用扫码支付的方式进行了支付，在交易的第一个环节完全出于其真实的意愿为之；此时已经在支付完成时在支付宝后台中形成了一串代表某一支付宝用户在特定时间地点采用支付宝进行了支付的代码，按照支付宝公司与俞延彬之间的服务合同，依照支付宝公司的隐私政策，支付宝公司此时收集俞延彬个人信息符合双方的服务合同约定，也符合隐私政策中关于“收集信息”的告知。支付宝公司将收款后的用户身份识别代码上传到乐友公司的智慧门店平台，该行为是否具有可苛责性，本院认为，支付宝作为一款支付工具，通过开放接口给乐友公司的方式将交易记录及时给乐友公司反馈，符合当前商主体对电子支付的需求，该交易记录中不直接包含身份信息，乐友公司仅凭该交易信息无法知晓消费者的个人身份信息，该种方式符合法律规定，也符合支付宝公司与用户之间的服务合同、隐私政策的相关规定。基于乐友公司、支付宝公司、淘宝公司、天猫公司之间的智慧门店相关协议，支付宝公司将用户身份识别代码上传到乐友公司的智慧门店平台，便于乐友公司对自己的交易信息进行整理，亦不具有可苛责性。

俞延彬在第一次购物时，在支付宝支付完成页面有“授权淘宝获取你线下交易信息并展示”字样，从文字表述上来看，该表述显然是“授权”性质的条款，从用户的角度来说，如果将该段表述前的默认勾选√取消，则应当理解为淘宝将不再获取该笔线下交易的信息。但是在俞延彬将该默认勾选√取消后，也就是在俞延彬已经明确拒绝淘宝公司获取其线下交易信息并展示的情况下，在俞延彬完成第二笔交易时却不再出现该“授权”条款，俞延彬的淘宝、天猫订单中随即出现了线下交易的订单。支付宝公司辩称该“授权”条款实则为履行告知义务，但无论从表述上还是从实际交易情况来看，支付宝公司的解释均无法使人信服。按照《阿里巴巴智慧门店产品服务协议》中的约定“通过支付宝公司当面付产品实现淘宝用户身份识别功能、通过识别用户身份关联生成乐友公司淘宝平台相关交易订单及实现优惠券权益抵扣的功能”，可见，支付宝公司与淘宝公司、天猫公司系通过共享交易信息的方式实现了淘宝、天猫用户的身份识别并关联生成了淘宝、天猫平台的交易订单，这一行为是乐友公司、支付宝公司、淘宝公司和天猫公司之间就原告交易信息的共享行为。

3.网络运营者共享用户个人信息行为的法律评价

本院认为，个人信息控制者只有在取得用户知情同意的情况下，方可与他人对用户的个人信息进行共享。

信息共享属于信息使用的一种，是信息控制者将其收集到的信息与他人进行分享的行为。支付宝公司辩称其仅是进行了信息的传输，对此本院认为，在案证据显示，使用支付宝支付完成后，淘宝、天猫订单中即显示有涉案交易信息，说明支付宝公司与淘宝公司、天猫公司之间就用户的交易信息进行了共享，否则淘宝公司、天猫公司并未参与到原告与乐友公司之间的交易，无从识别原告淘宝、天猫账户，且信息共享行为既包括信息的收集也包括信息的传输行为。从信息控制者的角度来说，将信息共享给其他主体，是信息控制者对信息使用范围的扩张。从信息共享者的角度来说，其接收他人共享的信息的行为本质上是对信息的收集行为。可见，信息共享涉及到个人信息的再利用，可能导致个人信息的反复收集、利用，如不对此进行规制，将可能导致个人信息遭受不当使用，给个人信息的安全造成风险。

依照法律规定，信息共享行为应当取得个人信息相关权益所有人的知情同意。《中华人民共和国网络安全法》第四十一条规定，网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。网络运营者不得收集与其提供的服务无关的个人信息，不得违反法律、行政法规的规定和双方的约定收集、使用个人信息，并应当依照法律、行政法规的规定和与用户的约定，处理其保存的个人信息。第四十二条规定，网络运营者不得泄露、篡改、毁损其收集的个人信息；未经被收集者同意，不得向他人提供个人信息。网络运营者应当采取技术措施和其他必要措施，确保其收集的个人信息安全，防止信息泄露、毁损、丢失。《中华人民共和国消费者权益保护法》第二十九条也规定“经营者收集、使用消费者个人信息，应当遵循合法、正当、必要的原则，明示收集、使用信息的目的、方式和范围，并经消费者同意。经营者收集、使用消费者个人信息，应当公开其收集、使用规则，不得违反法律、法规的规定和双方的约定收集、使用信息。经营者及其工作人员对收集的消费者个人信息必须严格保密，不得泄露、出售或者非法向他人提供。经营者应当采取技术措施和其他必要措施，确保信息安全，防止消费者个人信息泄露、丢失。在发生或者可能发生信息泄露、丢失的情况时，应当立即采取补救措施。经营者未经消费者同意或者请求，或者消费者明确表示拒绝的，不得向其发送商业性信息。”网络运营者收集、使用用户所提供的个人信息，应当依照法律规定，使用范围限于必要范围，且应当向用户明示收集、使用信息的规则，同时应当取得用户同意。前述“必要范围”应指的是为用户之必不可少，而非仅凭网络运营者为运营者之必要。从《阿里巴巴智慧门店产品服务协议》的相关约定来看，智慧门店设立目的是为现实智慧门店产品服务，支付宝公司将线下门店交易信息传输给淘宝公司，并通过淘宝公司获得用户在线上店处享受的优惠权益，以便线上线下门店实现线下门店引流等目的。该使用目的并非基于用户的“必要”，而是网络公司的商业考量。为用户之必要，则应当在收集、使用个人信息时，其所获取的个人信息应当以满足使用目的为限，不得超出范围收集和使用个人信息。

《阿里巴巴智慧门店产品服务协议》中明确约定，在用户合理授权的情况下，当用户在线下商户使用支付宝公司当面付支付服务时，支付宝公司可将用户支付宝账户提供给淘宝公司，淘宝公司匹配对应的用户淘宝账号并获取用户淘宝账号下门店提供的相关优惠券或其他优惠权益后，将用户优惠权益信息同步支付宝公司，以实现用户支付时享受优惠权益；同时，在用户支付后，支付宝公司将支付订单相关商品信息、支付信息提供淘宝公司，用于生成门店相关交易订单。线下门店应在使用智慧门店服务前合理提示并获得用户同意在线下商户的支付信息会同步到用户淘宝账号及线上店铺。从这一约定来看，支付宝公司、天猫公司和淘宝公司对于智慧门店获取用户个人信息，淘宝公司会匹配用户的支付宝账户和淘宝账户，以及该项服务需要取得用户授权系明确知晓的。乐友公司应当在原告使用支付宝进行当面付时，即对淘宝同步其信息的事宜进行告知，乐友公司当庭亦自认应当履行告知义务，但未向原告明确告知。而支付宝公司、淘宝公司、天猫公司亦应当就该个人信息共享行为取得原告的同意。支付宝公司、淘宝公司、天猫公司辩称，原告分别是其用户，各公司已经在其《隐私政策》中对收集、使用及共享个人信息的行为取得了原告的授权。对此，本院认为，首先，个人信息共享行为应当取得用户的知情同意。支付宝公司提交的《隐私政策》中明确约定了获取用户同意为共享个人信息的前提。在支付宝公司的《隐私政策》中约定“仅在下列情形下与支付宝关联公司共享您的信息：1、在获取您同意的情况下与第三方共享您的信息。”在淘宝公司的《隐私政策》中约定“我们不会与天猫服务提供者以外的公司、组织和个人共享您的个人信息，但以下情况除外：2、在获取明确同意情况下共享：获得您的明确同意后，我们会与其他方共享您的个人信息。”且在淘宝公司和天猫公司《隐私政策》关于“使用其关联公司提供的产品或服务”中并无“支付宝”当面付工具的使用。以上事实说明，支付宝公司、天猫公司、淘宝公司明确知晓其涉案智慧门店服务需要取得用户授权。综合在案证据，三公司事实上明知应取得用户授权，而在未取得授权的情况下使用了用户的个人信息，具有一定的主观上过错。其次，网络运营者共享用户个人信息的行为不应概括授权。淘宝公司、天猫公司辩称其在《隐私政策》中对可能涉及用户个人信息的情形提前告知和提示用户注意，但其并未针对其提供的本案所涉智慧门店服务专门、明确地告知用户并获取用户的授权。如果认为网络运营者仅仅采用概括式的授权即履行了其告知义务，而在具体场景的应用中无需再次取得用户同意，则个人信息相关权益的所有人在进行该种授权时对于其个人信息的使用方式以及使用范围无法明确知晓，可能导致个人信息脱离于用户意志而被不当收集和使用，不利于对个人信息的保护。最后，网络运营者即使向用户告知了其将共享用户的个人信息，在用户明确拒绝的情况下，亦不得再实施个人信息的共享行为。本案中，原告第一次支付完成后，在支付完成界面已经出现了“授权淘宝获取你线下交易信息并展示”字样，原告应当已经知晓其交易信息会在淘宝、天猫订单中出现，但是原告将该默认勾选取消，应当视为原告明确拒绝各被告对其个人信息实施共享行为，用户主观上不希望淘宝公司获取其线下交易并进行展示，则各被告理应遵从用户意愿，不应再对用户交易信息进行共享。但各被告未遵从用户意愿，反而在后续交易中不再征求用户同意，该行为违背用户意志，不当收集和使用了用户的个人信息。

综上，个人信息共享是一个融合了个人信息流动的动态的过程，在此过程中可能对个人信息安全带来一定的威胁，在个人信息共享的过程中个人信息使用者应当明确告知个人信息相关权益的所有人其使用信息的目的、范围，并获得个人信息相关权益的所有人的明确授权，以确认协议、具体场景下的文案确认动作等形式确认征求了用户的同意，并在获得的授权范围内使用该个人信息。乐友公司、支付宝公司、淘宝公司、天猫公司在明知其使用智慧门店中个人信息需要事先获得用户授权的情况下，并未实际取得用户授权，使用了俞延彬的个人信息，该行为侵犯了俞延彬对其个人信息享有的权益，构成共同侵权，依法应当承担相应的侵权责任。

（三）知情权、选择权以及公平交易权

俞延彬在本案中还主张被告侵犯了其消费者知情权、选择权以及公平交易权，对此本院认为，《中华人民共和国消费者权益保护法》中规定的知情权、选择权和公平交易权，是指消费者享有知悉其购买、使用的商品或者接受的服务的真实情况的权利、有自主选择提供商品或者服务的经营者的权利以及在购买商品或者接受服务时，有获得质量保障、价格合理、计量正确等公平交易条件、拒绝经营者的强制交易行为的权利。而本案中，俞延彬自愿选择支付宝当面付进行支付，各被告未侵犯其选择权和公平交易权。在俞延彬第一次交易过程中使用支付宝支付涉案产品，其支付宝完成页面已经显示了“授权淘宝获取你线下交易信息并展示”字样，因此原告已经知晓涉案交易信息可能出现在其淘宝订单中，且本案中，各被告的侵权行为体现在未获取俞延彬本人同意的情况下，对其个人信息进行共享，原告诉请的知情权、选择权和公平交易权已经包含于俞延彬对其个人信息的支配控制权内涵中，无需再对原告主张的知情权、选择权和公平交易权再次支持。本院对俞延彬的该项诉讼请求不予支持。

二、各被告应当承担的侵权责任

个人信息相关权益受法律保护，个人信息受到侵害时，个人信息相关权益所有人有权要求侵权人停止不法侵害、删除个人信息并赔偿经济损失。本案中，俞延彬确认涉案侵权行为已经停止，撤回对于停止侵权的诉讼请求，本院对此不持异议。俞延彬就本案主张经济损失1元，考虑到个人信息的价值难以估量，原告在本案中仅主张1元的经济损失，本院对其该项诉讼请求予以支持。俞延彬还要求四被告向其赔礼道歉并赔偿其精神损害抚慰金，本院认为，《最高人民法院关于确定民事侵权精神损害赔偿责任若干问题的解释》中规定因侵权致人精神损害，但未造成严重后果，受害人请求赔偿精神损害的，一般不予支持，人民法院可以根据情形判令侵权人停止侵害、恢复名誉、消除影响、赔礼道歉。因侵权致人精神损害，造成严重后果的，人民法院除判令侵权人承担停止侵害、恢复名誉、消除影响、赔礼道歉等民事责任外，可以根据受害人一方的请求判令其赔偿相应的精神损害抚慰金。赔礼道歉和精神抚慰金都是精神损害责任承担的方式，侵权责任的承担方式应当与侵权行为的情节和侵权结果的影响范围相适应。本案中，俞延彬自认其既是支付宝公司的用户，也是淘宝公司、天猫公司的用户，支付宝公司与淘宝公司、天猫公司对俞延彬个人信息共享的行为虽然不符合相关法律规定，侵犯了俞延彬的个人信息相关权益，但从侵权结果和情节来看，涉案交易信息仅最终展示在俞延彬淘宝、天猫个人交易记录中，未对其造成严重损害。且在俞延彬就涉案行为投诉后，支付宝公司、淘宝公司、天猫公司即立即查找了存在的问题，停止了侵权行为，未造成损害的扩大。对于精神损害赔偿来说，其前提是有损害事实，并且必须是确定的，即损害后果在客观上是可以认定的，而俞延彬未举证证明其精神损害的实际发生，也未举证证明精神损害的严重后果，本院对俞延彬主张的赔礼道歉及精神损害抚慰金的诉讼请求不予支持。

信息时代，数据及信息的使用价值对于经济社会的便捷化、高速化发展具有重大意义，智慧门店的创新型便捷门店服务给社会生活带来了便捷，但与此同时更应注重保护个人信息相关权益所有人对其个人信息享有的权益，尤其是互联网行业内的领军企业，不能为发挥个人信息的经济效用，而忽视个人信息相关权益的保护。

综上，本院依照《最高人民法院关于确定民事侵权精神损害赔偿责任若干问题的解释》第八条，《中华人民共和国网络安全法》第二十二条第三款、第四十一条、第四十二条、第七十六条，《中华人民共和国消费者权益保护法》第二十九条，《中华人民共和国民法总则》第一百一十条、第一百一十一条，《中华人民共和国侵权责任法》第十五条，《中华人民共和国民事诉讼法》第六十四条之规定，判决如下：

一、本判决生效之日起七日内，被告北京乐友达康科技有限公司、被告支付宝（中国）网络技术有限公司、被告浙江淘宝网络有限公司、被告浙江天猫网络有限公司共同赔偿原告俞延彬经济损失1元；

二、驳回原告俞延彬的其他诉讼请求。

如果未按本判决指定的期间履行给付金钱义务的，应当依照《中华人民共和国民事诉讼法》第二百五十三条之规定，加倍支付迟延履行期间的债务利息。

案件受理费50元（原告已预交），由被告北京乐友达康科技有限公司、被告支付宝（中国）网络技术有限公司、被告浙江淘宝网络有限公司、被告浙江天猫网络有限公司共同负担，于本判决生效之日起七日内交纳。

如不服本判决，可在判决书送达之日起十五日内向本院递交上诉状及副本，按照不服一审判决部分的上诉请求数额交纳上诉案件受理费，上诉于北京市第一中级人民法院。

审　判　长　　刘佳欣

人民陪审员　　梁铭全

人民陪审员　　袁　卫

二〇一九年十二月十日

书　记　员　　吴　洁

来源：送法上网

作者：时雨行