何嫣然

上海政法学院，法律学院，上海

收稿日期：2023年3月13日；录用日期：2023年5月5日；发布日期：2023年5月12日

摘要

各大网络平台于2022年上线显示用户IP属地信息功能，网络平台显示用户IP属地为强制显示，用户无法关闭对其IP属地信息的显示。用户IP属地信息具有特殊性，作为一项公开信息，应当对其的识别性采取严格标准，在IP属地信息与用户其他信息结合时，能够对信息主题进行识别，即用户IP属地信息属于个人信息。在以公共利益为理由对用户的个人信息进行合理使用时，应采取必要原则，现阶段各大平台强制公开用户个人IP属地信息超越了必要性使用的限度，应予以及时修正。

关键词

IP属地信息，个人信息，可识别属性，个人信息合理利用

Discussion on the Legal Properties of Acts of Displaying the IP Territory Information of Users

—Based on the Civil Code and the Information Protection Law

Yanran He

College of Law, Shanghai University of Political Science and Law, Shanghai

Received: Mar. 13^th, 2023; accepted: May 5^th, 2023; published: May 12^th, 2023

ABSTRACT

All major network platforms launched the function of displaying user IP affiliation information online in 2022. The display of user IP affiliation information on network platforms is mandatory, and users cannot turn off the display of their IP affiliation information. The user’s IP location information is special. As a piece of public information, strict standards should be adopted for its identification. When the IP location information is combined with other user information, the subject of the information can be identified, that is, the user’s IP location information belongs to personal information. When using users’ personal information reasonably on the grounds of public interest, the principle of necessity should be adopted. At this stage, the mandatory disclosure of users’ personal IP information by major platforms exceeds the limit of necessary use and should be corrected in a timely manner.

Keywords:IP Territory Information, Personal Information, Identifiable Attributes, Reasonable Use of Personal Information

Copyright © 2023 by author(s) and Hans Publishers Inc.

This work is licensed under the Creative Commons Attribution International License (CC BY 4.0).

http://creativecommons.org/licenses/by/4.0/

1. 问题提出

2021年由国家网信办发布的《互联网用户账号名称管理规定(征求意见稿)》第12条规定：互联网用户账号服务平台应当以显著方式，在互联网用户账号信息页面展示账号IP地址属地信息。境内互联网用户账号IP地址属地信息需标注到省(区、市)，境外账号IP地址属地信息需标注到国家(地区)。新浪微博平台“@微博管理员”于2022年4月28日宣布将在用户个人主页显示个人IP属地信息，同时在用户发布的微博以及评论中显示IP属地信息，用户无法选择开启或者关闭显示该信息。新浪微博称显示用户IP属地信息是为了“减少冒充热点事件当事人、恶意造谣、蹭流量等不良行为，确保传播内容的真实、透明”。随后，微信公众号文章评论区、抖音、快手、知乎等各大网络平台纷纷宣布将显示用户IP属地信息，近乎所有平台展示的境内IP属地信息精确度均为省级，境外IP属地信息精确度为国家，用户无法关闭显示IP属地。2022年6月颁布的《互联网用户账号信息管理规定(正式版)》第12条延续了征求意见稿中展示用户IP归属地信息的规定，但要求互联网信息服务提供者在合理范围内展示用户IP属地信息，展示目的是为了公众，为公共利益实施监督，而且并未对展示的IP地址精度进行规定。结合现各大平台对公开用户IP属地信息的具体情况，公开用户IP属地信息可被理解为各大网络平台在用户主页、或用户发表言论、评论时显示用户非精确性的实时IP地址信息，并且用户不可关闭或开启该公开显示的行为。

互联网平台对用户IP地址的使用大多是对其进行个性化推荐、提供与位置有关的服务(如导航服务)、广告投放等情形，用户可以选择对相关平台开启或关闭获取位置权限，但最近各大网络平台显示用户IP属地信息具有强制性，用户无法选择是否开启或关闭，由此引发了用户对该行为是否侵害用户个人信息权益的讨论，本文将从分析用户IP属地信息的性质入手，以《民法典》《个人信息保护法》为基础对互联网平台公开用户IP属地信息这一行为的合法性与合理性进行分析。

2. 用户IP属地法律性质探讨

2.1. 用户IP属地是否属于个人信息

随着网络信息时代的发展，越来越多的个人信息在网络上被收集处理，个人信息安全问题受到的关注与日俱增，而多家社交平台、短视频平台等网络平台公开用户IP属地的行为引发用户关注，关于平台公布用户IP地址属地的讨论主要围绕着平台公布用户IP是否违反个人信息保护的相关规定展开。为解决这一问题，首先需要明确个人IP属地信息是否属于个人信息。

个人信息的定义最早出现在欧洲，为合理利用个人信息、防止个人信息的泄露给社会秩序以及个人利益带来的损害，发达国家率先开展个人信息的立法活动。欧盟《一般数据保护法案》(以下简称GDPR)将个人信息称为“个人数据”(personal data)，在其第四条中对个人数据定义为：任何指向一个已识别或可识别的自然人(数据主体)的信息。我国台湾地区在《个人资料保护法》中将个人信息称为个人资料，并罗列了一系列个人信息包含的内容，如自然人姓名、出生日期、证件号码等。¹我国《民法典》第1034条第二款采取定义与列举结合的方式对个人信息规定²，与《网络安全法》第76条规定相似，也是世界范围内较为流行的立法方式。新出台的《个人信息保护法》第四条借鉴了GDPR的对个人信息的相关定义，并对《民法典》中个人信息定义进行了完善，即做出了排除性的规定，个人信息被匿名化处理后便不再属于个人信息，对过宽的个人信息范围进行了一定程度的限制。但相比于《民法典》从信息本身出发的“识别说”，《个人信息保护法》对个人信息的定义采用“关联说”，即从信息主体出发，认为只有已识别或可识别的该信息主体的有关信息才属于个人信息，关联说更强调个人信息的相对性，同一信息对于不同主体而言是否属于个人信息可能不同 [1] 。

根据以上的对个人信息定义的相关规定，可以将构成个人信息的要件总结为：首先，信息主体是自然人，我国《民法典》总则编将个人信息保护的内容放置于民事权利一章，位于第110条具体人格权的规定之后，此种位置安排说明自然人对个人信息享有民事权利 [2] ，个人信息立法目的在于保护自然人对个人信息享有的民事权益。其次，个人信息已经被记录，无论是以电子方式记录或是其他载体记录。最后，个人信息的重要特点是其具有识别性，无论是已被识别到的信息主体的信息或是具有识别到特定信息主体的可能性的信息。

个人信息强调“识别性”，“识别”指根据与特定人有关的信息对特定个体(identity)进行辨别、认识，个体有两层含义，一是个人身份，也称识别信息，即个人属性或标识(如姓名、身份证号、家庭地址等)；二是个性特征，也称关联信息，如个人习惯、个人爱好等。在网络平台中，识别的基本含义便是通过相关信息识别用户的个性特征，能否识别到用户身份取决于掌握的信息能否关联到具体的用户 [3] 。我国早期观点认为识别性仅限于直接识别，如2015年朱烨诉百度公司一案中³，二审法院认为百度公司进行的个性化服务的终端以及根据用户cookies所推送的信息的终端是浏览器，而非用户个人，因此驳回了原告要求认定百度公司侵犯其隐私权的诉求。但随着信息技术的不断发展，大数据时代数据控制者可以将海量的信息进行整合并对用户进行画像，描绘出用户的个体特征，个人信息的内涵不断扩大，网页搜索记录从早期的被认为不属于个人信息到现在普遍认为用户浏览记录、搜索信息属于个人信息。《网络安全法》第76条、《个人信息保护指南》第3.2条均规定“单独或与其他信息结合”识别该自然人的数据。面对海量的信息，能够单独确定到信息主体的信息实际上是非常少的，大多数信息都需要与其他信息结合方可对信息主体进行识别，若采取“单独识别”的标准将使得个人信息的涵盖范围较窄，不利于保护信息主体。关于目前社交平台上所公布的用户IP地址归属，大多都精确到用户实时所在的省份或直辖市，就单独这一地址信息而言是很难识别到信息主体身份。

但网络平台将用户IP属地在用户主页以及用户发言时向公众展示，属于公开的信息，作为已公开的信息，是否属于个人信息应采用绝对标准⁴进行判断。因为公开的信息可以被任何人获得，应考虑被世界上任意一方获得的可能性，并且信息一旦公开，信息控制者将无法控制信息的后续使用，无法再进行定期审查，因此对于已公开的信息还应考虑未来是否可被识别 [4] 。在用户主页中，用户的IP属地是随着用户所在地的改变实时改变的；用户每次的评论、发布的内容也会记录用户发布此内容时的所在的IP属地，在如今，个人进行跨省的流动属于常见现象，若对用户IP地址的变化进行记录，便很容易得出该用户的行动轨迹，若该行动轨迹具有一定特征：如大学生每年寒暑假返乡、春秋季开学，通过IP地址的变化便很容易发现其学生身份、家乡所在地以及学校所在地。在微博、抖音等社交平台中，用户往往会发布视频、照片等内容，而结合用户IP地址以及地址的变化，将更容易确定用户的所在地、行动轨迹进而识别信息主体的身份。在凌某某诉北京微播视界科技有限公司一案⁵中，被告方主张其获取的用户模糊的地理位置并非精确定位，因而不属于个人信息，而北京互联网法院认为该网络服务提供商的《隐私政策》中所指的“个人位置信息”并非仅限于个人的精确位置信息，而且该位置信息与手机号码等其他信息相结合时，能够识别到特定的人，因此模糊的位置信息也属于个人信息。

2.2. 个人IP地址是否属于敏感个人信息？

《个人信息保护法》第28条对敏感信息以“概念 + 列举”的方式做出了规定，敏感个人信息指“一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息”⁶。在法律视角下，“敏感信息”中的“敏感”一词并非指个人心理感受，是指法律对其有着高反应度，“敏感”对应的是“易导致自然人的人格尊严、人身以及财产安全受到侵害或受到威胁” [5] 。此条规定强调“风险”，即此类信息处理和泄露对属于信息主体的自然人具有更高的风险。在判断个人信息是否属于敏感信息时，应采纳“人格尊严标准”以及“人身、财产标准”进行判断 [6] ，即该信息的泄露容易导致信息主体人格尊严受到侵害、生命安全与健康受到威胁、财产遭受损失。除采取以上标准外，还应考虑处理个人信息的具体场景，结合处理人的身份、处理目的以及处理手段、可能造成的后果进行综合判断。应注意的是，对敏感信息的判断通常采用客观标准，即社会公众的一般观念，而非信息主体的主观感受进行判断。

用户IP属地是否属于敏感信息，笔者认为应考虑公开的用户IP地址的精确程度。网络平台中公布的用户IP地址精确到省级以及境外国家，精确度较低，在通常情况下无法与个人人格尊严产生直接关联，也无法对用户的人身、财产产生直接威胁，因此目前所公开的用户IP属地不宜被认定为敏感个人信息。

2.3. 个人IP地址是否属于用户隐私？

在认定用户IP地址属于个人信息的前提下，探讨IP地址是否属于隐私这一问题应首先厘清个人信息与隐私之间的关系。隐私权的实质是自然人对抗他人泄露隐私、刺探隐私的加害行为，保护自身私人生活私密性的消极性权利，是对人的尊严的保护 [3] 。隐私权与个人信息权益存在一定的相似性：首先，两者的权益主体都为自然人，并且权益内容都是自然人对自己私人生活的自主决定；其次，隐私权来源于人格尊严的尊重，个人信息保护亦是发端于个人基本权利的保护，保护人的尊严是个人信息保护的基本目的，二者的立法目的存在相似之处；最后，部分个人信息属于隐私的范畴，使得二者的权益客体存在着交叉之处 [7] 。虽然隐私权与个人信息权益在主体、立法目的、客体以及合理性期待上存在着相似之处，但从上文论述可看出，“可识别性”是个人信息强调的重点，而隐私权则是强调“私密性”。隐私权的权利性质来看，隐私权属于精神性人格权，重心在于对隐私的保护使其不被泄露，属于消极的保护性权利；而个人信息包含了精神与财产的双重价值，属于主动性权利，除了保护个人信息不被泄露还包含对个人信息的利用 [8] 。鉴于以上的不同之处，我国大部分学者均认为隐私权与个人信息权益属于两种独立的人格权，两者存在交叉重叠之处，但不能相互替代或包涵 [9] 。

考虑到隐私与个人信息存在天然的联系，我国《民法典》将隐私与个人信息在同一章进行规定 [10] 。《民法典》又将个人信息区分为私密信息与非私密信息，并在第1034条第3款的规定私密信息适用隐私权的相关规定，因此可以认为“私密信息”成为了连接个人信息与隐私之间的桥梁。《民法典》中并未对“私密信息”的标准进行规定，但在第1032条将其与“私密空间、私密活动”并列，因此私密信息应是未公开的信息，而且是信息主体不愿被他人知晓的信息。“私密信息”可包括所有没有被公开的个人信息，其所涵盖的信息范围十分广泛 [11] ，凡是自然人不愿意为他人知晓的信息，都可以归为私密信息 [2] 。敏感信息与个人信息并不能等同，国内学者大多认为个人信息中的私密信息、敏感信息存在交叉关系 [5] 。

对于私密信息的判断，不能如同敏感个人信息的界定依据客观标准进行界定，应从“不愿为他人知晓”以及“私人生活的安宁”两个角度进行分析。“不愿为他人知晓”要求信息主体进行保密，凌某某诉北京微播视界科技有限公司一案中法院认为用户所在的城市在一定范围内被他人知悉，一般不具有私密性。程啸教授认为应进行个案分析，结合社会一般公众的认识以及判断标准，对信息是否属于私密信息进行判断，应考虑的因素有社会一般公众对该信息的认知，该信息对该自然人的人格尊严、人身财产安全的重要程度，对信息自由、社会正常交往的影响大小程度进行判断 [4] 。平台中公布的用户IP属地是否属于个人私密信息应当进行个案判断，即考虑每个人个体对自己所处的位置的敏感程度，信息主体对自己所处的位置是否进行保密。目前公布的用户IP地址精确为省级以及外国国家，精确度较为模糊，在普遍社会认知中该信息与自然人的尊严、人身安全等并无直接的联系，因此目前公布的用户IP地址在通常情况下不属于私密信息。

3. 公开用户IP地址行为性质探究

3.1. 公开用户IP属地并未取得用户同意

我国《民法典》《个人信息保护法》等有关个人信息保护的法律法规都明确了告知同意原则，⁷告知同意规则是处理个人信息的基本规则，体现了保护自然人人格尊严和人格自由，意味着并没有默认可自由使用、处理的个人信息，任何人不得侵犯自然人的个人信息权益 [12] 。若无此项规则，个人信息权益制度体系将无法建立。笔者查阅新浪微博平台个人信息保护政策发现，位置信息属于微博服务的特定功能，用户开启权限后平台将提供位置标记服务、精准和个性化服务内容，用户有权选择提供精准位置信息或粗略位置信息，不同意开启位置信息权限不影响正常使用微博的其他功能。⁸抖音平台隐私政策中，使用同城频道功能等地理位置相关服务需要用户进行地理位置授权，用户亦可拒绝授权，拒绝授权不影响其他功能正常使用。⁹以以上两个平台为例，用户对地理位置授权均是为了享受与地理位置相关的服务，用户亦可关闭对平台的地理位置授权，关闭地理位置授权不影响其他功能的使用。而公开用户IP地址并未在地理位置授权中，用户选择关闭地理位置授权后IP属地依然显示，相关社交平台对公布用户IP属地仅通过发布通知、官方消息等形式对用户进行通知，未取得用户的授权同意。

3.2. 公开个人IP属地目的探究

除告知同意原则之外，《民法典》《个人信息保护法》等法律也规定了无需告知同意个人信息处理方即可处理个人信息的情形。《民法典》第1036条第3款规定为维护公共利益可以不经自然人同意而合理使用个人信息。《民法典》规定无需取得同意处理个人信息主要基于公共利益的角度，《个人信息保护法》对其进行了一定的细化，《个人信息保护法》第13条第2至6款规定为履行合同或人力资源管理需要、为履行法定义务与法定职责需要、紧急情况下为保护自然人生命安全或财产安全、为公共利益实施新闻报道舆论监督需要合理使用个人信息、处理已经公开的个人信息以及法律、行政法规规定的其他情形，信息处理方不需要取得个人同意便可处理该个人信息。以上几项无需取得信息主体同意而处理个人信息的行为也被称为对个人信息的合理使用，个人信息的合理使用是基于价值权衡对个人信息权益进行的一定限制 [13] 。公布用户IP属地的依据是《互联网用户账号信息管理规定》第12条规定：互联网信息服务提供者应当在互联网用户账号信息页面展示合理范围内的互联网用户账号的互联网协议(IP)地址归属地信息，便于公众为公共利益实施监督。根据此规定，互联网平台公布用户IP属地是为了公众为公共利益而实施监督，为了公共利益是处理个人信息的正当目的之一。相比于个人利益，公共利益具有相对优位性，公共利益是更具高层次的根本性的重大利益，在个人利益与公共利益冲突时，公共利益应被优先考虑 [14] 。但“公共利益”是典型的较为抽象与宽泛的词语，其所涵盖的范围较大，公共利益的泛化容易导致个人利益受损害。根据《民法典》第132条，公共利益可分为国家利益与社会公共利益，国家利益一般指国家安全相关的政治、军事、能源等利益，社会公共利益普遍认为具有以下几种类型：社会公共秩序；社会经济秩序的健康、安全与效率；社会资源与社会机会的合理里用与保存；对弱势群体的保护；公共道德的维护；人类文明方向发展的条件 [15] 。为了避免公共利益目的被滥用，应当对其进行限缩，处理个人信息应当是为了实现特定并且明确的公共利益。《互联网用户账号信息管理规定》第12条虽规定公开用户IP属地信息的目的是为公共利益，该目的正当合法，但并未明确为何种公共利益，处理个人信息的目的并不明确。

3.3. 现行公布IP属地信息行为合理性探究

除了合法原则与正当目的原则，处理个人信息还需要遵循目的最小必要原则。《民法典》第1035条规定对个人信息的利用需要满足“合法、必要、正当”原则，其中正当原则要求信息处理者处理信息目的特定、明确、合理 [16] ，《个人信息保护法》第6条第1款亦规定了处理个人信息应当具有明确、合理的目的，并与处理目的直接相关，采取对个人权益影响最小的方式。

必要原则要求信息处理者规范处理手段，在必要的限度内处理个人信息，将处理个人信息对个人权益的影响降至最小。必要原则要求信息处理不得超出处理目的、信息处理应造成最小损害、并且对信息出路进行利益衡量。在基于公共利益对于个人信息权益进行限制时，应尽量缩小采集的个人信息的主体采集内容，使其对个人信息权益的限制与损害降到最低。《互联网用户账号信息管理规定》第12条相比于征求意见稿中增加了“合理范围”也是必要原则的体现。网络监督一般指公众借助网络对政府机关、公众人物、公共事件等事务进行评论、批判、建议等行为，网络监督有着监督范围广、时效性强、影响范围广等特点，在当下，网络监督在我国舆论监督中发挥着重要的作用，在自媒体时代，普通网络用户个人可以通过网络发表自己的观点，发挥舆论监督作用，为我国法制建设与社会进步做出重要贡献。舆论监督的目的是为了维护公共利益与监督公权力，因此并非所有的舆论监督都能不经同意处理他人个人信息，与公共利益无关的或是仅仅涉及个人的不道德行为的舆论监督不适用《个人信息保护法》第13条第1款第(六)项的规定情形 [17] 。在平台所有用户主页与其所有发言、评论公布用户的IP属地信息，涉及范围过广，并非所有用户的所有发言均涉及舆论监督与公共利益，将用户IP属地信息公布于近乎所有的用户活动中，属于过度处理用户个人信息，有侵害用户的个人信息之嫌疑。由于网络舆论传播速度快、传播范围广、传播内容难以被控制等特点，容易造成一定的负面影响，网络平台方以及服务提供方均责任和义务维护和谐稳定的网络环境。笔者认为公布用户IP属性的重要作用在于通过IP属地信息帮助用户判断网络言论的真实性，但并非所有言论都需要对其真实性进行判断，现阶段各大平台在用户主页展示用户IP属地信息的显示方式与公共利益并无直接联系，若用户仅进行浏览或是发表与公共利益无关的言论，但其IP属地信息依然在其主页被公开，此时对个人信息的处理与公共利益这一处理目的无直接关系，属于对用户个人信息的不合理利用；其次，信息的过度处理和公布迫使个体的表达趋于温和与主流，令个体决策程序短路 [18] ，也不利于发挥网络监督的积极性。

综上，信息处理者处理个人信息应以对信息主体进行告知并取得其同意为原则，在为了维护公共利益等目的可以不经个人同意对个人信息进行合理使用，但在处理个人信息时依然需要遵循“合法、正当、必要”的原则对个人信息合理使用。因此，公布用户IP属地需要对公开的目的进行明确，将“公共利益”的范围进行限缩，避免其处理个人信息范围的不当扩大。其次，应考虑必要原则，尽量减少对个人信息权益的影响，平台服务方可在社会关注的热点问题等涉及公共领域的话题以及新闻评论中公布参与用户的IP属地，用户可自行选择是否在特定发言中公布自己的IP属地信息以此增加该信息的可信度，在不涉及公共利益的领域不宜公开用户的IP属地信息。

4. 结语

随着信息时代的发展，在大数据算法的加持下，越来越多的信息被收集处理，随着收集、处理范围的不断扩大，这使得个人被识别的可能性大大提高，因此扩大个人信息的涵盖范围是大势所趋。现阶段网络平台公布的用户IP属地信息作为向社会公开的信息，个人IP属地可以被任何人知悉，信息处理者无法控制该公开信息的后续使用，判断公开信息是否属于个人信息应采取绝对标准，不仅需要考虑现在的识别可能性，还需考虑将来的识别可能性。当IP属地信息与其他信息结合时，具有了识别用户身份的可能性，因此应认定用户IP属地属于个人信息。《互联网用户账号信息管理规定》中规定公布个人IP属地是为了公共利益而进行监督，公共利益属于合理使用个人信息的正当理由之一，但公共利益的内涵与外延过于模糊，仅凭“公共利益”作为处理理由不符合“目的特定、明确”的个人信息处理原则，在有更为合理的处理选择的前提下，选择全方位公开用户IP属地信息，处理范围过大，亦不符合个人信息处理中的必要原则。平台方应对用户IP地址的展示进行精细化规定，在个人信息权益与公共利益之间寻求平衡，避免过度公开用户个人信息。

文章引用

何嫣然. 显示用户IP属地信息行为法律性质探讨——基于《民法典》与《个人信息保护法》
Discussion on the Legal Properties of Acts of Displaying the IP Territory Information of Users—Based on the Civil Code and the Information Protection Law[J]. 争议解决, 2023, 09(03): 770-777. https://doi.org/10.12677/DS.2023.93103

参考文献