法治课|房客银屑病病情被发在酒店内部群,算不算泄露隐私?

内部工作群聊公开消费者个人信息算不算“泄露隐私”?
消费者张先生日前向澎湃公众互动平台“服务湃”(https://tousu.thepaper.cn)反映称,他在登巴客栈续订住宿时连续被拒。更让他气愤的是,包括他姓名、身份证号、皮肤病等敏感个人信息被公开在了登巴客栈内部工作群内,其中还包括“具有传染性皮肤病”等引人误解的标注。
2月24日,澎湃新闻刊发了标题为《客栈涉嫌泄露银屑病患者隐私信息拒其续订,消费者称将起诉》的报道,稿件一经发布引发热议。
内部工作群聊发布消费者隐私信息这一行为,在判定是否构成法律意义上的“信息泄露”时,关键依据有哪些?消费者入住酒店后,个人健康等隐私信息的控制权如何界定?商家内部使用此类信息的边界在哪里?
澎湃新闻(www.thepaper.cn)就此采访了华东政法大学法律学院副教授孙维飞、大成(上海)律师事务所合伙人赵云虎,一同探究合法使用个人信息的边界应该在哪里。
内部群传播也可能构成泄漏隐私
据澎湃新闻此前报道,涉事酒店登巴客栈浦东Costco开市客康桥东地铁站店工作人员在内部工作群,公布了消费者张先生的真实姓名、身份证号、银屑病等关键信息,张先生认为这是严重泄露个人隐私的行为,且散布不实信息。
那么,涉事酒店的上述行为能否判定构成法律意义上的“信息泄露”?华东政法大学法律学院副教授孙维飞表示,依据民法典第1032条和个人信息保护法第13条的规定,判定酒店是否构成信息泄露,主要看其行为是否正当、必要和合理。
赵云虎则指出,从信息性质来看,消费者张先生的姓名、身份证号属于个人信息保护法第4条定义的“个人信息”,而银屑病病情属于个人信息保护法第28条规定的“敏感个人信息”(涉及健康状态)。“酒店处理行为是否具有合法性,要看酒店在内部群公开信息的行为是否取得张先生同意,以及是否符合个人信息保护法第13条规定的‘履行合同所必需’或‘维护公共利益’等合法事由。”
从传播范围与必要性的角度分析,赵云虎认为,即使消费者张先生上述信息仅在内部群传播,但如果群成员范围超出必要限度(如非直接相关人员),或信息内容超出警示目的(如包含身份证号、不实标注“具有传染性”),则可能构成泄露。
健康信息属敏感个人信息,使用应有边界
消费者入住酒店后,个人健康等隐私信息的控制权如何界定?酒店在内部使用这些信息的边界在哪里?
“酒店不得擅自泄露到社会上,这个边界是很容易建立的。”孙维飞认为,在工作群中散布和工作毫无关系的信息自然也不正当,边界也容易确定。“本案的问题在于,公布消费者的信息是工作正当必要和合理行为吗?另外,还要考虑消费者有无主动告知自身皮肤状况的义务。”
赵云虎表示,消费者健康信息属于敏感个人信息和个人隐私,控制权归属于权利人本人,酒店仅在履行合同(如登记身份)或应对突发公共卫生事件时,可合法收集必要的健康信息。
对于这类信息的使用边界,“第一是目的必要性,仅限用于履行住宿合同所必需(如身份核验、安全保障)或是出于维护公共利益、应对突发公共卫生事件的目的。第二是手段匿名化,在酒店内部警示时应隐去身份证号等直接标识符。第三是内容真实性,不得传播未经核实的健康信息(如错误标注‘具有传染性’)。”赵云虎说。
消费者张先生称已向上海浦东新区法院起诉。那么消费者重点需要从哪些方面举证酒店存在泄露隐私的行为?
赵云虎表示,首先是举证酒店存在泄露行为,要提供内部群聊天记录截图(需公证)、第三方平台沟通记录。其次,要提供病历证明银屑病无传染性。
赵云虎指出,酒店即使是为了维护公共利益,也应当是采用必要的对消费者影响最小的方式。另外,消费者还可从精神损害、实际损失两方面进行举证。“这个需要从酒店未履行保密义务(如未限制群成员范围)、未核实信息真实性(如直接标注“具有传染性”)等方面进行举证。”