【按】2020年6月20日，最高人民法院就《关于涉网络知识产权侵权纠纷有关法律适用问题的批复（征求意见稿）》等3份文件向社会公开征求意见（具体见此）。笔者对于《关于涉网络知识产权侵权纠纷有关法律适用问题的批复（征求意见稿）》第四条有些许疑惑。原文示下：
四、网络用户、电子商务平台内经营者收到网络服务提供者、电子商务平台经营者转送的通知，可以向网络服务提供者、电子商务平台经营者提交不存在侵权行为的声明。接到声明的网络服务提供者、电子商务平台经营者应当将该声明转送发出通知的知识产权权利人，并告知其可以向有关部门投诉或者向人民法院提起诉讼。网络服务提供者、电子商务平台经营者在转送声明到达权利人后的合理期限内，未收到权利人已经投诉或者提起诉讼通知的，应当及时终止所采取的措施。上述声明，应当包括不存在侵权行为的初步证据以及网络用户的真实身份信息。
诚然，这是根据最新公布的《民法典》第一千一百九十六条的规定，但对于个人信息保护而言确实存在问题。另外，笔者对民诉法相关规定不是很熟稔，但此条文对网络用户的隐私（或者个人信息中的敏感信息）保护有所疑虑。不知这样规定，以后是否会网络用户产生一种"寒蝉效应”，对一部分恶意投诉产生心理恐惧，进而阻碍电商的有序健康发展。
此处，笔者比较认同北大薛军教授的意见，对于《民法典》第一千一百九十五条与第一千一百九十六条中关于提供“初步证据”与“真实身份信息”的要求，应该理解为：
这只是提示性的、注意性的规定，而非强制性要求，更不可能也不应该追求一个针对所有场景、所有类型的权益侵害情况下，都统一适用的合格通知的法定标准。严格来说，立法者应该放弃针对“合格通知”制定更加详细的法定标准的努力。这种努力不仅不可能获得成功，而且会干扰网络服务提供者自主决策的空间。……在未来的网络侵权制度的建构中，包括最高人民法院在内的裁判者在基于第1195条和第1196条发展出更加细致的规则的时候，应该通过类案的方法，将网络服务提供者在合格通知上的具体实践措施，与过错有无的判断紧密联系起来，进行一种反馈式的引导。（详见此处）
因此，对于薛教授所言的未来最高院的实施细则中，大体是可以做出更为妥帖的具体规范，而个人信息的保护也应作为一个重要标准。其实，笔者对于第1195条中强制性提供权利人”真实身份信息“的意见不大，因为根据人大杨立新教授所言：
……行使通知权的权利人的身份必须真实，要提交真实的身份信息，否则网络服务提供者无法判定其是否为权利人，也不构成通知权，网络服务提供者不承担满足通知人要求的义务。（参见杨立新. 民法典侵权责任编草案规定的网络侵权责任规则检视[J]. 法学论坛, 2019, 34(003): 93）
但对于网络用户而言（第1196条），确实应该考虑到个人信息保护这一个层面，所以做强制性规定是值得商榷的。故笔者对该征求意见稿的建议大致是：是否可以删修该句规定，将这部分对于“声明”内容的规定交于电商平台自行决定（一般而言，平台与用户之间有隐私保护协议，所以此处平台自治不是空话），即在有必要的情况下对用户信息进行公开（只针对合法权利人）。否则，可能造成电商的诸多困扰，甚至有人身安全的隐忧。或者说，给予提出“不存在侵权行为的初步证据”的网络用户一定的身份披露选择权（opt-out），由其自身决定是否向该具体的通知人公布身份。当然，这对于未出台的《个人信息保护法》是一种有益的思考，也许会在随后的条文中有所体现。
最近一个欧盟法院的判决引起了我们关于上述侵权人个人信息保护问题的再思考，为我国司法实践提供参考。在2020年7月9日，欧盟法院对Constantin Film Verleih v YouTube and Google Inc.案（具体见此）做出了判决——为了澄清版权所有者的知情权（right of information）范围，欧洲法院决定，欧盟第2004/48 号指令（知识产权实施指令，简称实施指令，enforcement directive）中设定的“地址”概念不包含IP地址、电子邮件地址和在线用户的电话号码，除非成员国法律另有规定。第8条原文示下：
Art. 8 Right of Information
1. Member States shall ensure that, in the context of proceedings concerning an infringement of an intellectual property right and in response to a justified and proportionate request of the claimant, the competent judicial authorities may order that information on the origin and distribution networks of the goods or services which infringe an intellectual property right be provided by the infringer and/or any other person who:
(a) was found in possession of the infringing goods on a commercial scale;
(b) was found to be using the infringing services on a commercial scale;
(c) was found to be providing on a commercial scale services used in infringing activities;
or (d) was indicated by the person referred to in point (a), (b) or (c) as being involved in the production, manufacture or distribution of the goods or the provision of the services.
2. The information referred to in paragraph 1 shall, as appropriate, comprise:
(a) the names and addresses of the producers, manufacturers, distributors, suppliers and other previous holders of the goods or services, as well as the intended wholesalers and retailers;
(b) information on the quantities produced, manufactured, delivered, received or ordered, as well as the price obtained for the goods or services in question.
3. Paragraphs 1 and 2 shall apply without prejudice to other statutory provisions which:
(a) grant the rightholder rights to receive fuller information;
(b) govern the use in civil or criminal proceedings of the information communicated pursuant to this Article;
(c) govern responsibility for misuse of the right of information; or
(d) afford an opportunity for refusing to provide information which would force the person referred to in paragraph 1 to admit to his/her own participation or that of his/her close relatives in an infringement of an intellectual property right; or
(e) govern the protection of confidentiality of information sources or the processing of personal data.
具体案情
争议源于在线视频共享平台YouTube的一些用户未经授权上载由德国康斯坦丁电影公司（Constantin Film Verleih GmbH）发行的两部电影的完整版。电影公司要求YouTube及其母公司Google披露有此类侵权行为的用户个人信息。这家德国电影公司收到了虚构（fictitous）的用户名和邮政地址后，还要求提供其他数据，例如单个用户的电子邮件地址和电话号码，以及用于上传侵权视频以及最近访问该视频的IP地址。但是，YouTube和Google拒绝向电影公司透露此信息。随后，电影公司开始向法院起诉。
在一审中，法院完全拒绝了电影公司的请求，而上诉法院批准了电子邮件地址的公开，但不公开其余个人信息。该案在进入德国联邦最高法院之前，转交给了欧盟法院，要求其澄清实施指令第8条第2（a）款中的“地址”概念是否包含版权侵权者的IP地址、电子邮件地址和电话号码。随即欧盟法院于2020年7月9日作出了判决。
案件争议的核心是：可以将哪些个人信息透露给明显侵犯其版权的受害人（即权利人）。实施指令的第8条明确规定，要确保国家司法机关有能力下令，使平台披露与侵犯知识产权行为相关的源头和分发渠道的信息，其中就包括单个侵权人的“名称和地址”。该条款明确，这些有披露义务的主体包括商业服务提供商（适用于在此类侵权），因此这些主体可能涵盖中介组织（平台），如互联网服务提供商（ISP）和在线视频分享平台（如YouTube）。
欧盟法中的“地址”概念
根据欧盟法院咨询官Øe（AG）在本案建议中提出的论点，欧盟法院主张将第8条第2（a）款中设定的地址概念应解释为欧盟法中的自治概念（autonomous concept）。法院指出，既没有法律依据规定了可以由成员国法律确定该“地址”术语的范围和含义，又指出了该指令中缺少该术语的定义，这导致欧盟层面上需要独立和统一的解释。
Øe认为，“地址”是根据其在日常生活中人们的通常理解而解释的，其是“给定人的永久住所或惯常住所”，因此一般理解上仅涵盖邮政地址。而对实施指令立法的历史分析支持了这种解释，因为其准备工作和解释性文件中没有任何内容暗示，“地址”的含义会包括电话号码、电子邮件或IP地址。 欧盟法院进一步研究了该术语的使用背景，审查了欧盟法律的其他来源，并强调了欧盟立法者如何使用各自的特定术语，而不是使用通用的“地址”来始终指代电子邮件地址和IP地址。不难发现，对“地址”的狭义解释也符合实施指令的总体目标，即为版权所有人提供有效的救济措施，使他们能够识别侵权人，但与此同时，也要求通过“最低限度”原则来协调多方之间的权益平衡。
版权和个人信息保护之间的平衡
欧盟法院在本案中强调，实施指令的宗旨是：在版权人与用户（公众）之间取得权利和利益的平衡。更准确地说，本案的冲突发生在版权人的知情权与对用户个人信息的保护之间。
回溯历史，欧盟法院并不是第一次要求实施指令第8条的适用达到利益平衡，在2015年的案例C-580 / 13 Coty Germany GmbH v Stadtsparkasse Magdeburg（具体见此）中，法院就强调必须调和对立两方的基本权利并实现公正的平衡。法院强调，即使在由第8条第3（a）款规定成员国立法机构应向版权人授予更广泛的知情权，也应该在实践中努力达到各方利益的平衡。（更多细节详见：http://copyrightblog.kluweriplaw.com）
台湾地区2009年《著作权法》修正案的启示
上述是欧洲的案例分析，而在立法方面，台湾地区在2009年5月公布的《著作权法》修正案为保护用户个人信息方面做出了示范。从立法背景看，本修正案主要是缘起于美国DMCA，其历经三年讨论，最后以专章的方式增订在法律之中（第六章之一“网络服务提供者之民事免责事由”）。在讨论中就有涉及用户个人信息问题（在台湾地区，“用户”称为“使用者”，而“个人信息”称为“个人资料”）。在公布后的第九十条之九中规定：
資訊儲存服務提供者應將第九十條之七第三款處理情形，依其與使用者約定之聯絡方式或使用者留存之聯絡資訊，轉送該涉有侵權之使用者。但依其提供服務之性質無法通知者，不在此限。
前項之使用者認其無侵權情事者，得檢具回復通知文件，要求資訊儲存服務提供者回復其被移除或使他人無法進入之內容或相關資訊。
……
而后根据台湾地区智慧财产局2009年11月公布的《网路服务提供者民事免责事由实施办法》第5条规定：
本法第九十條之九第二項所稱回復通知，應載明下列事項，並由使用者或
其代理人簽名或蓋章：
一、使用者或其代理人之姓名或名稱、地址及聯絡電話、傳真號碼或電子郵件信箱。
二、請求回復被移除或無法進入之內容之聲明。
三、足使網路服務提供者知悉該內容之相關資訊。
四、表示使用者基於善意，認為其有合法權利利用該內容，而該內容被移除或使他人無法進入，係出於權利人或其代理人不實或錯誤之陳述。
五、同意資訊儲存服務提供者將回復通知轉送予權利人或其代理人。
六、註明如有不實致他人受損害者，使用者願負法律責任。
前項回復通知，應用書面或經電子簽章之文件，以郵寄、傳真或電子郵件方式為之。但網路服務提供者認電子郵件無須採用電子簽章者，不在此限。
以代理人名義提出第一項之回復通知者，應同時聲明其已受使用者委任，並載明使用者之姓名或名稱。
所以，结合上述两条分析，只有用户发出声明（回复）之后，网络服务提供者（台湾地区将ISP细分为四类，即连线服务提供者、快速存取服务提供者、资讯存储服务提供者以及搜寻服务提供者。此处是资讯服务提供者）才能像权利人或通知人发送用户的个人信息（这与民法典规定相同）。换言之，若网络服务提供者没有进入“避风港”程序、未收到声明或其本身不是资讯存储服务提供者，那么就根本不需要向权利人透露用户个人信息。但对于具体要透露的信息而言，台湾地区的立法明确地进行了罗列，相较于欧盟更为详尽。而对于大陆而言，可以借鉴台湾地区对于声明（反通知）内容的规定，来制定未来的具体实施办法。
【后记】诚然，笔者对本案的关注主要是“先入为主”地结合了最高人民法院的司法文件，以版权保护与用户个人信息保护之间的拉锯切入，但对于上述欧盟案例还有一些需要关注的是：欧盟对“地址”这个术语统一解释成仅涵盖邮政地址，这会引起人们对法院形式化和过时的理解术语的关注。因为，在当今社会，电子邮件地址已经在很大程度上取代了物理地址的作用和功能。
整体而言，本次欧盟法院的判决似乎没有偏向实用主义，而是继续在原旨主义的老路上对版权法律进行了限制性的解释。该案中，法院拒绝以目的为导向的推理路径，但实际上在这种解释方式加剧了立法上各成员国之间的不一致性。有鉴于此，本案仍然有悬而未决的问题是，在欧盟版权法规适用中，与数据保护相关的立法（如GDPR）应该如何融入。
可见在当前欧洲数据保护的热潮下，欧盟法院的判决对保护在线用户的个人信息表现出了一种高度的敏感性，这也算是算是当前欧洲最大的“政治正确”之一。笔者发现，不论是欧盟法院还是欧盟成员国各级地方法院，在GDPR正式公布之后，对于涉及数据保护的任何法律领域的案件，都持有一种高度的觉察力和敏感性。这种态度反映在判决或决定中，就是即使文本上完全没有涉及数据保护（如GDPR）的内容，但让人始终都觉得法官在文书写作时，GDPR始终高悬其头顶。没错，最典型的例子就是今年6月，BGH对脸书反垄断案做出的临时决定，短短几段几乎没有提及数据保护法律，但是读者只要去认真研读，一定会领会其中深意。当然，BGH这种做法很可能是刻意在其判案中回避欧盟法律（不仅是GDPR，还有TFEU），目的是防止该案上升到欧盟法院层面。至于其目的的深意，笔者仍在思考中。
不论如何，在全世界范围内，该案对于版权侵权人个人信息保护问题的讨论，算是开了一个好头。至于中国的《民法典》第1195与1196条中的“真实身份信息”的规定，笔者更认同薛军教授的观点，法律不应强制要求个人信息的披露，使用个案思维，给司法一定的解释与适用空间。（本文终）
联系客服
