1.经寄件人许可同意，快递公司绑定寄件人身份信息、电话号码并不构成对寄件人个人信息的侵权，但寄件人明示快递公司解除该绑定，快递公司未在合理期限内解绑则构成侵权。
2.侵犯个人信息权益的，应当承担被侵权人为维权支出的合理律师费；造成严重精神痛苦的，应承担赔礼道歉、赔偿精神损害等责任。
基本案情
原告刘某某诉称：被告在收寄快件时，未经原告同意三次擅自使用原告身份证号寄送他人快递。原告发现后多次联系被告客服，要求被告解除原告身份证号与尾号为3433手机号的绑定，但被告始终未予处理。后原告委托律师向被告发送正式律师函，但被告仍置若罔闻，给原告造成精神损害，原告故起诉要求被告赔礼道歉、消除影响，并赔偿原告维权合理开支、经济损失及精神抚慰金共计50 000元。
被告北京某快递公司辩称：被告不存在非法使用原告个人信息寄送快递的行为。原告在首次下单时填写其个人信息及尾号3433的手机号，被告不可能知道该手机号是否为原告本人号码，故默认是原告的号码。涉诉三单快递是他人使用该手机号下单，与被告无关。原告下单前确认电子契约条款，而按照电子契约条款约定，被告已告知原告会对首次采集的信息进行保存。故被告留存原告的身份证信息符合法律规定及双方合同约定，不会影响原告任何合法权益。
第三人严某述称：涉诉三单快递是我用自己手机下单，后显揽收异常。尾号3433是公司公用电话号码，不知为何我寄送的快递后来切换成该号码下单。
法院经审理查明：用户首次下单时，需要录入寄件人的名称、电话号码、地址、身份证号等相关信息。首次下单时的电子运单契约条款第5条约定：“某快递为保护您的个人信息，可能会使用保密运单。某快递会对您寄件时在下单系统录入的信息予以保存。对于保密运单所隐匿的信息，您同意以某快递系统所查询的内容为准。”第7.2条约定：“出示有效身份证件，配合某快递工作人员进行身份查验、身份信息登记，如果您是受他人委托寄件，还应当提供委托人的有效身份证件。”某快递公司将录入的上述用户信息保存在其身份数据服务系统中（即《邮件快件实名收寄管理办法》中规定的实名收寄信息系统），且寄件人的名称、电话号码和身份证号会形成自动关联，此后以该电话号码下单寄件时，寄件人的身份证号就默认以首次记录的为准，除非寄件人提供新的身份证号。
刘某某与严某均是春雨公司员工，尾号3433是春雨公司的公用电话号码。一次在揽收严某寄送的快递时，某快递公司调用刘某某预留的尾号3433的电话号码、寄件人为刘会计、绑定刘某某身份证号的系统信息寄送快递，刘某某不同意某快递公司该行为，严某未予理会，某快递公司仍进行取件并寄送。另外两次严某不在场，某快递公司仍用刘某某预留的信息予以揽收寄送。2020年6月19日刘某某致电某快递公司客服，要求解除尾号3433电话号码与其身份证号的绑定，某快递公司未予处理。2020年7月2日刘某某通过律师向某快递公司发送律师函，要求解除刘某某身份证号与尾号3433的电话号码的绑定，并赔偿损失，某快递公司仍未予处理。刘某某提起本案诉讼后，某快递公司于2020年11月25日从其系统中删除了刘某某的身份证号。刘某某委托律师发送律师函及提起本案诉讼支出律师费1万元。
裁判结果
北京市顺义区人民法院于2021年4月29日作出（2020）京0113民初16062号民事判决：一、被告北京某快递公司于本判决生效之日起七日内内向原告刘某某书面赔礼道歉（赔礼道歉内容须经北京市顺义区人民法院审查；如拒绝履行，本院将择一全国发行的报纸刊登本判决书主要内容，费用由被告北京某快递公司负担）；二、被告北京某快递公司于本判决生效之日起七日内赔偿原告刘某某维权合理开支九千元及精神损害抚慰金一千元；三、驳回原告刘某某的其他诉讼请求。
宣判后，三方当事人未提出上诉，判决已发生法律效力。
法院认为
法院生效裁判认为：本案争议焦点之一是某快递公司将尾号3433的电话号码与刘某某身份证号绑定一节是否构成侵权。法院认为，个人信息的收集、存储、使用应当遵循合法、正当、必要原则，不得过度处理，除法律、行政法规另有规定外，应征得该自然人同意。刘某某曾以尾号3433的电话号码下单寄送快递时向某快递公司出示过其身份证，且通过与某快递公司达成的电子运单契约条款同意某快递公司对该号码及身份证号进行保存，故此时某快递公司收集刘某某的个人身份证号信息并与该电话号码在其系统中关联存储并不构成对刘某某个人信息的侵权。但是，后刘某某已经通过客服电话明确向某快递公司表示不同意将其身份证号与该电话号码绑定，某快递公司未予处理。后刘某某就此正式发送律师函，通知某快递公司解除上述关联储存并删除系统中刘某某的个人信息，某快递公司对此仍未及时采取合理措施，此时某快递公司继续存储刘某某身份证号的行为已经侵害了刘某某对其个人信息的控制权。
本案争议焦点之二是某快递公司以刘某某身份信息寄送涉诉三单快递是否构成侵权。涉诉三单快递寄件人为严某，某快递公司未履行查验寄件人身份信息的义务，将寄件人登记为刘某某的身份证号等信息，构成对刘某某个人信息的非法使用，侵害了刘某某的权益。其中一单快递寄递时严某明知某快递公司使用刘某某的身份信息但未予以制止，亦存在一定过错，因刘某某明确放弃要求严某主张侵权责任，法院不持异议，某快递公司在其过错范围内承担相应责任。
本案争议焦点之三是某快递公司就其侵权行为给刘某某造成的损害承担何种民事侵权责任。法律规定，承担侵权责任的方式可以单独适用，也可以合并适用。各种责任形式的适用均旨在保护受害人的利益，是否存在侵权责任聚合，应当结合侵权行为、损害后果等因素进行综合判断，只有当一种责任形式不足以保护受害人时，才可以同时适用其他的责任形式予以合并保护。刘某某向被告客服投诉未果后通过发送律师函主张权利，为此支出维权费10000元。该律师费属于其维权的合理开支，某快递公司应在其过错范围内予以赔偿。刘某某在得知自己的身份信息被某快递公司非法使用后，通过客服投诉及发送律师函的方式维权，但均未得到某快递公司的回应，显然会使刘某某因个人信息失控而产生精神困扰，故某快递公司应就自己的行为向刘某某赔礼道歉并赔偿一定数额的精神损害抚慰金。关于赔礼道歉的形式，刘某某认可某快递公司的涉诉行为并未对其产生实际影响，故某快递公司进行书面赔礼道歉即可，对刘某某要求在北京市级新闻媒体上公开赔礼道歉之请求不予支持。刘某某就其主张的其他经济损失并未提交证据证明，故法院不予支持。
案例评析
伴随网购、异地办公的常态化，寄收快递成为人们日常工作生活中不可或缺的一部分。快递企业直接系统性掌握用户的姓名、住址或办公地址、身份证号、电话号码等重要个人信息，而近年来，快递行业屡屡出现大规模用户个人信息泄露事件，由此引发人们对快递行业个人信息安全的普遍担忧。在我国，个人信息权是一项新兴的民事权益，此前的《民法通则》中并没有个人信息保护的相关规定，企业侵害个人信息时主要承担行政、刑事责任，这样从理论上看似更有利于个人信息保护，但实则公法保护机制通常只在出现大规模用户个人信息泄露并引发舆论关注时才会触发启动，现实中作为个体的普通用户在个人信息被滥用时常常束手无策、诉诸无门，民事责任的缺失滋生出企业在对待用户个人信息时的傲慢与轻视，导致个人信息被滥用日益严重。“法与时转则治”， 2017年《民法总则》将个人信息作为一项人格权益加以保护，2020年《民法典》将之完全予以吸收并新增具体化规定，同时最高人民法院制定的《民事案件案由规定》中新增“个人信息保护纠纷”，立法司法齐发力，为个体寻求个人信息保护提供全方位私法救济途径。本案是一起典型的快递企业侵害用户个人信息引发的民事纠纷案件，被告某快递公司为目前国内快递行业的领军企业，其行为是否构成对原告个人信息的侵害以及应当承担何种民事责任，此认定对于规范快递行业个人信息保护具有重要意义。
一、个人信息主体的“删除权”和“同意撤回权”
“知情同意原则”是个人信息处理中的黄金原则，具有“帝王条款”的地位。《民法典》明确规定了个人信息的定义、处理原则以及删除权等。其中，第一千零三十四条规定身份证号、电话号码均属于个人信息。第一千零三十五条规定，个人信息处理应当遵循合法、正当、必要原则，必须征得该自然人同意或其监护人同意，充分公开处理信息的规则，明示处理信息的目的、方式，并不得违反法律、行政法规和双方约定；第一千零三十七条第二款规定，自然人发现信息处理者违反法律、行政法规或者双方的约定处理个人信息的，有权请求信息处理者及时删除。该款规定了个人信息主体享有“删除权”。这是因为个人信息权是一种“积极性”的人格权，强调对个人信息的支配、利用、决定和保护。该个人信息权下的重要权能，还包含信息主体有权决定删除个人信息。
应当注意到，大数据时代各种新技术不断对传统理念提出新挑战。随着区块链技术的发展，许多数据信息一旦上链将很难删除，区块链本身的不可篡改性将使得“删除权”的适用在未来越来越受限。作为“同意”与“删除”两种操作之间的良性缓冲，应当赋予个人信息主体“同意撤回权”，即在基于同意而进行的个人信息处理活动中，允许信息主体撤回其同意，个人信息处理者不得继续对其信息进行处理，但该撤回不具有溯及力，不影响既往基于同意已经收集的信息，不产生删除已收集数据的效力。这是由于个人信息带有强烈的人格利益特性，人格利益保护具有特殊性，应当充分尊重权利人的自决权，类似于《民法典》第一千零二十二条第一款规定的肖像许可使用合同中的任意解除权。此外，个人信息主体的“同意”在性质上属于一种授权行为，“同意撤回权”也类似于委托合同的任意解除权。正在制定的《个人信息保护法（草案二次审议稿）》第十六条第一款规定：“基于个人同意而进行的个人信息处理活动，个人有权撤回其同意。个人信息处理者应当提供便捷的撤回同意的方式。”该条即规定了“同意撤回权”。该法虽尚未通过，但其背后蕴含的法理可以通过法律解释的方式在司法裁判中予以运用。
快递行业中，用户基于登陆快捷、交易便捷化目的而同意快递企业对其个人信息进行保存，用户并未因该同意授权行为获得任何经济利益，其撤回同意并不会给企业造成损失，因此不应对用户同意撤回权设定限制条件。用户可随时撤回同意，快递企业应当提供便捷的撤回同意方式，并立即停止其继续收集、存储的行为。本案中，刘某某于首次下单时在电子运单契约中同意某快递公司对其录入的身份证号、电话号码等个人信息进行保存，某快递公司基于刘某某的同意对其个人信息进行关联保存，以使之后的交易更加便利化，这既符合双方合同约定，也是快递行业“快”之必要条件，该行为本身并不构成侵权。但是，随后某快递公司不顾刘某某的反对，使用刘某某的身份证号寄送他人快件，某快递公司该行为既不符合快递实名收寄的相关法律规定，也违反了双方约定，因此刘某某享有删除权，有权要求某快递公司删除此前订单中保存的其身份证号，同时刘某某有权撤回此前的同意，要求某快递公司停止将其身份证号与电话号码进行关联保存。
二、侵害自然人个人信息的民事责任
个人信息作为人格权范围内的一项重要民事权益，在遭受侵害或妨害时，自然人可依据人格权请求权寻求救济，如单纯适用人格权请求权不能对受害人实现全面救济，可同时适用侵权损害赔偿请求权。两种请求权相比，人格权请求权侧重事先预防，目的在于防止妨害行为的持续、使人格权恢复原状，主观上不需要行为人具有过错，客观上一般不要求发生实际损害结果，且不受诉讼时效的限制。侵权损害赔偿请求权重在事后救济，目的在于赔偿损失，需要行为人主观上具有过错，客观上要求损害实际发生且与不法行为具有因果关系，损害赔偿请求权属于债权请求权，因此受到诉讼时效的限制。个人信息主体可根据具体情况择一行使，必要时也可一并行使。
1.人格权请求权
《民法典》第九百九十五条规定，人格权受到侵害的，受害人可要求停止侵害、排除妨害、消除危险、消除影响、恢复名誉、赔礼道歉。人格权请求权各种责任形式的适用均旨在保护受害人的利益，应当结合侵害人格权的具体行为方式和影响范围等因素进行综合判断，同时还应当将被侵权人的心理感受及所受煎熬、痛苦的程度纳入考虑范围。在上述责任方式中，赔礼道歉旨在给予被侵权人精神抚慰，弥补受害人所遭受的精神痛苦，类似于精神上的恢复原状。而消除影响需要以实际造成负面影响为前提，例如造成受害人社会评价降低、给受害人工作、就业、生活带来妨害等。
快递行业实行实名登记制，寄件人需对寄递物品安全性、合法性承担相应责任，而身份证号与自然人身份具有唯一对应性，因此如快递企业擅自使用其身份证号寄送他人物品，该行为易使得用户因无法预测将来是否需要承担相应法律责任而陷入焦虑与不安。本案中，刘某某因某快递公司擅自使用其身份证号寄送他人物品陷入焦虑与不安，这种主观上的焦虑与不安从其多次联系某快递公司客服、聘请律师发送律师函等一系列客观行为中可见一斑。但某快递公司均未予以回应，某快递公司对刘某某个人信息保护诉求的漠视态度进一步加深刘某某的精神痛苦，因此某快递公司应向刘某某进行赔礼道歉。但由于某快递公司该行为并不具有公开性，并未实际造成降低社会评价、妨害工作生活的负面影响，因此刘某某要求消除影响之请求缺乏依据。
2.侵权损害赔偿请求权
人格权请求权重在恢复人格，自然人可以同时依据侵权责任编之规定，要求侵权人承担损害赔偿责任。侵权损害赔偿包括财产损害和精神损害两个方面。
个人信息权益遭受侵权，因维权支出的合理律师费属于与侵权行为具有因果关系的财产损害，侵权人应当予以赔偿。这是因为在大数据时代，侵害个人信息的案件中，侵权人的违法成本较低，而权利人的维权成本较高，法院支持权利人维权支出的合理律师费，可以有效调整这种不平衡状态。而且在我国，个人信息作为一种新兴民事权益，此前多以行政法、刑法等公法方式予以保护。现《民法典》将其明确为一项重要的人格权益，赋予个人通过民事诉讼这一途径进行维权的权利，法院支持个人维权支出的合理律师费将会产生良好的外部效应，通过个案的民事赔偿责任促进企业强化个人信息保护意识，以达到防微杜渐的预防警示作用，从根本上减少大规模用户信息泄露的严重事件发生。本案中，刘某某通过自己联系客服维权，某快递公司未予回应，导致刘某某只能通过聘请律师发送正式律师函以及提起诉讼的方式维权，其支出的律师费属于与某快递公司侵权行为具有因果关系的财产损失，其有权要求某快递公司予以赔偿。
依据《民法典》第一千一百八十三条之规定，个人信息作为一项人格权益，在其遭受侵害造成严重精神损害的，被侵权人有权请求精神损害赔偿。“严重精神损害”是精神损害赔偿的法定条件。所谓“严重”应当结合具体案件中被侵权人的精神痛苦程度来加以认定。本案中，某快递公司不顾刘某某反对，使用其身份证号寄送他人快递，侵害刘某某对个人信息的自主决定权，且对刘某某多次合法维权置若罔，给其造成严重的精神损害，因此对其要求精神损害赔偿之请求亦应当予以支持。
综上，法院在审理个人信息保护纠纷民事案件时，应统筹结合《民法典》总则编、人格权编、侵权责任编的各项规定，正确处理侵害个人信息的民事责任认定。与此同时要注意结合行业特点，努力在个人信息保护和行业发展之间找寻平衡点，既不能放任行业“潜规则”野蛮生长，亦不可因噎废食一刀切。
