在社交平台上“开盒挂人”——“非法搜集并公开他人姓名、手机号、身份证照片等个人信息，进而煽动网暴攻击”在网络时代屡有发生。当“前台匿名”账号被关联真实身份信息后公开，当社交平台漏洞成为信息泄露源头，法律责任应如何界定？近日，北京互联网法院审结一起社交平台“开盒挂人”案件，判定发布侵权内容的用户及未尽到信息安全保障义务的平台均须承担侵权责任。

基本案情

原告郑某某系某社交平台用户，2023年10月2日至4日间，被告张某在该社交平台某话题中持续发布多条内容，将原告社交平台账号与其对应的注册手机号、姓名、身份证照片等个人信息公开，配以人身攻击性质的侮辱性言论，并煽动网友网暴，导致原告收到大量恶评、验证码短信骚扰。此外张某还对除原告外的多名该社交平台用户实施了类似“开盒”行为。原告向该社交平台投诉后，平台仅将涉案内容设为“私密”或删除，未采取进一步措施。原告遂将平台运营主体某科技公司及张某诉至北京互联网法院，请求赔礼道歉并赔偿精神损害。

被告某科技公司辩称，其作为网络服务提供者，既非涉案侵权内容的发布主体，也已充分履行法定及约定义务。原告主张用户张某实施了侵权行为并通过客服渠道进行举报，公司已于发布当日处理该内容，不存在原告诉称的怠于采取必要措施的情形。此外，公司已于2014年通过信息系统安全等级保护三级测评和备案，用户注册信息采用加密存储，原告主张的个人信息泄露并无技术可能性。同时，该公司提供证据证明案发时原告账号主页并无手机号等个人信息的展示，也无法通过手机号搜到原告的账号，不存在原告主张的个人信息保护不到位的问题。

被告张某辩称，上述手机号虽由其所有，但其从不使用涉案社交平台，也不可能对原告进行任何言语侮辱以及侵犯个人信息行为。此外，原告提供证据显示发布被诉侵权账号发布相关内容的IP属地是在境外某国，而其从未去过该国，也无相关签证。

法院经审理认为

被告张某行为侵犯原告名誉权、隐私权及个人信息权益

本案中，被诉侵权内容发布账号绑定的手机号实名登记人为被告张某，被告张某当庭也自认案发期间该手机号登记在其名下，手机卡由其保管。张某主张被诉侵权内容发布IP属地为某国而其本人从未去过某国，且其未实际使用该账号，但并未提供证据证明涉案手机号、账号被盗用、冒用。原告并不认可张某的答辩意见，提出IP属地可以通过技术手段进行更改，且注册账号时必须使用手机验证码，某科技公司对此也予以认可。据此法院认定被告张某为涉案账号的实际使用人。张某未经原告同意在社交平台公开发布原告个人信息乃至敏感个人信息，并关联原告导致原告被骚扰的行为，侵扰了原告私人生活的安宁，构成对原告隐私权和个人信息权益的侵犯。被告张某发布内容中的侮辱性字词，贬损原告名誉，造成原告社会评价的降低，构成对原告名誉权的侵犯。

此外，被告张某在社交平台公开原告个人信息前，曾发布“……开你都开不明白吗？要不我教教你……”的文字内容并@原告账号，上述文字内容中的“开”是网络用语“开盒”的简称，意指获取并公开曝光他人隐私个人信息的行为。张某发布上述文字内容言语挑衅，足见其故意侵犯原告名誉权、隐私权和个人信息权益的主观恶意之大。

平台未尽到信息安全保障义务，亦构成侵权

根据证据显示，除原告外，至少还有五位该平台用户被张某以类似手段“开盒”，这五位平台用户的昵称也均是虚拟名称，前台均为匿名，被告张某获取上述五位平台匿名用户的姓名、身份证号码等个人信息的必要前提，是获取上述五位平台用户账号所对应的注册手机号码，而账号与绑定手机号码的关联关系理应仅由被告某科技公司收集并存储，他人只能从被告某科技公司处获取。如被告某科技公司不泄露相应后台信息，他人并不能将相关社交平台账号与其注册者个人信息相关联。被告某科技公司虽辩称原告账号绑定的手机号码并不必然是从其处获取，有可能系从原告家人、朋友处泄露，但未向法院提供相应证据，且在案证据中并无其他平台信息泄露的证据，即证据不足以证明其他平台有泄露原告手机号码与账号关联信息的可能性。

此外，被告某科技公司虽辩称已获信息系统安全等级保护三级备案，但该备案时间与案发时间相隔较久，其也未能举证证明其在案发时已履行充分的安全管理职责。在原告向平台举报涉案侵权账号后，被告某科技公司仍然没有意识到其运营的社交平台在用户个人信息安全方面存在管理和技术漏洞，仅仅对涉案侵权内容进行私密、删除等处理，对涉案账号进行禁言、扣信用分、自动隐藏等处置，而未及时采取其他有效技术措施防止用户个人信息的泄露，也没有向相关个人信息主体告知并向主管部门报告，导致至少另有五位该平台用户被张某以类似手段“开盒”。

《中华人民共和国个人信息保护法》第六十九条第一款规定，处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。我国《个人信息保护法》规定个人信息侵权责任适用过错推定，因此，在没有相反证据的情况下，能够推定被告某科技公司作为个人信息处理者泄露了包括原告在内的多名用户的个人信息，在数据安全管理上存在漏洞，未尽到个人信息安全保障义务，应当承担泄露用户个人信息的侵权责任。

裁判结果

判决被告张某以及某科技公司在涉案社交平台向原告郑某某赔礼道歉，赔偿原告郑某某精神损害及维权合理支出，驳回原告郑某某的其他诉讼请求。

法官说法

“开盒挂人”是新式网暴违法行为，其典型做法是“人肉搜索+网络暴力”，首先通过非法手段搜集他人隐私信息，并在网上公布，然后引导网民对被“开盒”者口诛笔伐。本案中，原被告因对明星赛事结果有不同认识产生争议，被告张某便对原告郑某某“开盒挂人”引导网民对其网络攻击。网络空间并非法外之地，虚拟账号一旦通过实名认证，即可与现实主体建立唯一对应关系。在虚拟空间发布针对特定账号的侵权内容，只要能够使他人识别、关联到现实主体，就构成对相应主体人格权益的侵害。同时，平台作为个人信息处理者，应当持续完善技术与管理措施，充分履行个人信息安全保障义务，共同营造清朗网络空间。

法官简介

法官 李文超

李文超，北京互联网法院审判管理办公室（研究室）主任、三级高级法官。

供稿：陈恒星、阳鑫怡

编辑：刘宛月