甲公司网络侵权责任纠纷二审民事判决书

甲公司网络侵权责任纠纷二审民事判决书 北京市第四中级人民法院 民事判决书 (2024)京04民终1658号 上诉人(原审原告)：闵某。 被上诉人(原审被告)：某公司。 乙公司网络侵权责任纠纷一案，不服北京互联网法院(2023)京0491民初18063号民事判决(以下简称一审判决)，向本院提起上诉。本院于2024年11月29日立案后，依法组成合议庭，于2024年12月27日公开开庭审理了本案。本案现已审理终结。 闵某上诉请求：1.依法撤销一审判决；2.依法支持上诉人的全部诉讼请求。事实和理由：原审判决对“个人信息被删除”这一常见事实的举证责任的认定严重错误，违反基本事实、法律常识及原则，如成立将极大削弱《中华人民共和国个人信息保护法》(以下简称个人信息保护法)的保护效力，严重违背立法精神，将引发极为严重的社会后果。上诉人对被删除数据中含有上诉人个人信息的事实，已尽到举证责任。一审判决第13至17页事实查明部分，已经查明上诉人提交了其与相关工作人员的邮件沟通记录、手机设置录屏以及iCloud使用情况录屏情况材料的相关证据。一审判决对本案中“个人信息被删除”这一核心事实的证明责任，理解为需要“直接证据”加以证明，这是完全错误的，且违背常识。首先，任何主体都无法对已彻底删除且无法复原的数据，还能提交直接证明数据存在的材料。如果能用直接证据亦即“何种数据被删除”进行直接举证，那就意味着该数据其实没有被删除。对于该事实，任何人都仅能提供间接证据，以满足“高度盖然性”的标准予以举证，而上诉人在一审期间提交的证据材料，完全足以满足该要求。此外，上诉人已经在一审过程中提供了能够直接证明案涉手机中曾存有个人信息的证据，包括其已经被清空的案涉手机及上诉人与其联系人的iMessage信息录屏，以向一审法院提供其乙222公司实施侵权行为之日前手机中存在的部分个人信息。以上证据均可直接证明案涉手机在被被上诉人抹掉之前存在过上诉人的个人信息。而一审判决中并未提及该等证据、或武断地认为这类证据不属于其认可的“直接证据”，明显有失公允。如果案涉手机中未存有上诉人的任何个人信息，则上诉人不会在发现案涉手机数据被彻底清除的当天就立刻邮件联系HR及IT工作人员，质询为何其拥有的iPhone数据被清空，以及明确指明其中有“存储了十多年的个人数据(包括我已故祖父的视频和聊天记录)”。结合上诉人提交的iCloud使用情况录屏也可以说明，自2011年12月25日起，上诉人持续使用iPhone手机且无间断。根据常识可知，十多年的手机使用必然会积累大量的数据，而无论手机如何更换，在启用新手机时，新旧手机数据的传导同步是正常个人不会跳过的操作。即便不考虑旧手机的数据同步，至少在案涉手机的使用过程中，必然含有生成的微信聊天记录、视频、照片、通讯记录、短信、通讯录信息等个人信息。无论是结合被删除后上诉人与被上诉人的即时沟通，采用法律上的盖然性判断，还是民事诉讼法明确规定的无需举证证明的日常常识，都能得出“手机中存有个人信息”这一非常简单不过的事实。《最高法院关于适用〈中华人民共和国民事诉讼法〉的解释》第九十二条规定：“一方当事人在法庭审理中，或者在起诉状、答辩状、代理词等书面材料中，对于已不利的事实明确表示承认的，另一方当事人无需举证证明”；第九十三条规定，“当事人无需举证证....(二)众所周知的事实；(三)根据法律规定推定的事实；(四)根据已知的事实和日常生活经验法则推定出的另一事实...”。无论是结合被删除后上诉人与被上诉人的即时沟通，个人信息保护法及《中华人民共和国民法典》(以下简称民法典)中对“个人信息”的法律定义，还是民事诉讼法明确规定的无需举证证明的日常常识，都能得出“手机中存有个人信息”这一非常简单不过的事实。因此，上诉人在一审期间提交的证据材料，已经足以满足证明其手机中个人信息存在的要求。一审判决对于上诉人的举证要求明显不符合适用法律规定。此外，个人信息保护法第六十九条规定：“处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。”个人信息保护法数据权利人仅需证明其个人信息权益受到损害。但若以一审判决对闽韬的举证要求为标准，意味着数据权利人在涉案数据完全灭失后，需满足极高标准的举证责任来证明数据曾经存在才能够维护其合法权利。 二、一审判决存在事实认定和法律适用错误，案涉手机应归上诉人所有，被上诉人为员工所购买手机提供一定补贴的行为，属于“借用员工个人设备并支付少部分对价”。该行为既不可能导致员工个人手机成为“工作设备”，也不影响被上诉人应尊重和保护上诉人的个人信息权利，更勿论其并未尽到个人信息保护法所要求的告知义务。在判决书争议焦点部分第32页中，一审判决“根据双方当事人提交的证据，双方当事人对于涉案手机系为更好完成工作任务而购买且需要用于处理工作事务的事实并无明显争议。因此，本院认为应当将涉案手机定性为工作设备，该设备中相关信息内容，应当被推定为与工作相关的信息内容”及“本院认为被告的行为符合《中华人民共和国个人信息保护法》第十三条第一款第(二)项的规定，无需取得原告的同意，因此不存在过错”的事实认定和法律适用也完全错误，且有悖于常识。1.案涉手机属上诉人所有，被上诉人为员工购买的手机提供补贴的行为，属于“借用员工个人设备并支付少部分对价”。一审判决基于涉案手机需要处理工作事务，继而推定设备相关内容应当属工作相关的信息内容，根本上回避了案涉手机归属的认定。实际上，案涉手机是上诉人自费购买的设备，是上诉人的个人财产。由于被上诉人实际上断断续续有提供“公司购买直接配发的手机”的情形，如上诉人入职时曾经配发过一部iPhone7，在2023年又曾配发过一部iPhone13，在此期间较长时间内因为没有配发手机而短时间内采用补贴员工购机款的方式来保证员工得以使用个人手机用于工作。因此，案涉手机应当理解为：被上诉人在未能提供可用于正常工作的手机的一段期间内，借用的员工设备并支付了一定对价，工作只是用途之一，且该对价也不可能导致员工自己购买的个人财产变成一审判决所谓的“工作设备”。否则，被上诉人通过远小于设备价值的金额，直接获得了案涉手机的所有权和全部使用权，这种判决的导向是对公民个人财产的严重侵犯和掠夺。2.一审判决通过一个“工作设备”的描述，试图混淆“公司给个人购买设备用于工作”和“公司提供少部分补贴(实际为借用款)让员工购买可兼用于工作的个人设备”的区别。由此可见，上诉人在被上诉人处任职期间，用于工作的设备并非完全由被上诉人购买后提供，并不能直接以设备“兼用于工作”就推论，该设备属于工作设备，设备信息皆为工作信息。所有权也并不因为少部分补贴而转移给被上诉人，上诉人有权在手机里的工作软件之外使用手机的其他功能处理自己的个人信息，例如通话记录、短信、微信以及拍照和视频。3.无论案涉手机是否用于工作，也不应影响被上诉人应遵循个人信息保护法的要求，尊重和保护被上诉人的个人信息。上诉人在使用涉案手机时，确实需要处理工作事务，但在处理工作事务的同时也会处理日常生活事务，因此，涉案手机中的数据虽然涵盖工作相关的内容，但也必然会同时涉及上诉人的个人信息。员工个人信息的认定，不受信息存储介质权属的影响，丙公司所有的工作设备上处理工作，公司处理专属员工的个人信息也应遵守个人信息保护法的要求，前述规则在(2021)丁公司与马某劳动争议一审民事判决书中已被法院所释明。4.本案并不适用个人信息保护法第十三条第一款第(二)项的规定，被上诉人并未履行正当程序，一审判决中引用的各类被上诉人所属集团的规章制度并不符合“依法制定的劳动规章制度”的法律要求。被上诉人以及一审判决所援引的某集团(在美国特拉华州注册的一家投资银行，戊公司己公司的《全球员工通信政策和程序》等IT及通信政策，涉及职工培训及劳动纪律，且与劳动者的切身利益直接相关(个人信息保护是自然人在《中华人民共和国民法典》及个人信息保护法下的重要权利)，故适用《中华人民共和国劳动合同法》第四条。而上述某集团的全球政策未经过《中华人民共和国劳动合同法》下所规定的必要法定程序、未经职工代表大会或者全体职工讨论，不满足合法性要件。个人信息保护法第六十九条规定信息处理者对其不存在过错承担举证责任。然而，被上诉人没有、且无法证明上述政策的合法性，故无法依赖第十三条第一款第二项的规定对其侵权行为进行免责。倘若认定此类规章制度(庚公司直接制定、未经过中国法下合法程序便直接通知中国员工适用的规章制度)满足并构成个人信息保护法下“依法制定的劳动规章制度”，无疑表明中国法院认可任意外国公司随意制定的、涉及中国公民切身利益的政策，并绕过中国法律的强制性规定，对其违反中国法律的行为进行免责。5.退一万步讲，即便假设被上诉人履行了上述必要程序，其行为也需遵守个人信息保护法第十七条，关于个人信息处理规则告知的义务，以及遵守个人信息保护法第六条，关于个人信息处理的“最小必要”原则。无论案涉手机的所有权归何主体所有，被上诉人作为个人信息处理者，在上诉人履行劳动合同的过程中，应尊重和保护上诉人作为个人信息主体的个人信息权利。一审判决认为被上诉人有权依据个人信息保护法第十三条第一款第(二)项的规定，在不经上诉人同意的情况下处理其个人信息，实属适用法律错误。 三、被上诉人直接删除设备数据的行为，已完全超越了实施人力资源管理的必要性，一审判决的事实认定和法律适用完全错误，被上诉人实际上有能力选择更合理的措施，对工作相关的内容予以控制，而不是直接将案涉手机数据直接彻底清除。在判决书争议焦点部分第33至34页，一审判决认为“根据在案证据，被诉侵权行为系在原告离职时，出于实施人力资源管理的目的，基于已经公开告知的标准化工作流程，针对工作设备所实施的删除设备数据的行为，从其行为时间、行为方式、行为对象来看，并未超越实施的人力资源管理的必要性，属于《中华人民共和国个人信息保护法》第十三条第一款第(二)项所规定的情形，无需取得原告的同意”。前述事实认定和法律适用完全错误，被上诉人所实施的删除设备数据行为，根本性地违反正当、合法、必要的原则，无论从行为时间、行为方式还是行为对象来看，都超越了实施的人力资源管理目的和必要性，无法适用个人信息保护法第十三条第一款第(二)项的处理场景。 四、一审判决存在事实认定和法律适用错误，上诉人对案涉手机中的非工作数据有自主处理权利，并决定需使用何种安全管理手段。一审判决在判决书争议焦点论述部分第34页，认为上诉人对其主张的个人信息灭失存在明显过错的认定也是非常错误的。如前所述，被上诉人基于“实施人力资源管理”所必需对案涉手机数据进行管理的范围应仅限于“工作信息”，上诉人作为员工，对被上诉人的数据正常管理预期范围也是“工作信息”，而不是日常生活使用过程中存储积累的个人信息。 五、某公司通过远程操作全部予以清除的案涉手机中的数据包含了闵某的个人信息。从一审法院认定的事实来看，某公司通过远程操作全部予以清除的案涉手机中的数据包含了闵某的个人信息，具体理由如下：第一，案涉手机是闵某持续占有、使用并用于工作与社会交往的个人通讯设备，必然产生大量承载个人信息的数据。案涉手机是闵某于2021年3月3日购置的iPhone12Pro手机，从其购置辛公司通过远程操作清除该手机上的全部数据，并将该手机恢复出厂设置前，闵某启用了并一直在占有、使用该手机，即通过其个人的手机号码以案涉手机进行了日常的通讯联络，包括处理工作事务与社会交往活动。因此，基于一般社会生活常识即可知晓，该壬公司产生的数据，也包括其从事个人的社会生活交往中形成的数据。在案涉手机所存储的数据中，只要是与闵某这一特定自然人相关的数据即构成民法典个人信息保护法所保护的自然人的个人信息。综上所述，在本案中案涉手机上使用的电话号码本身就属于闵某个人所有的情况下，某公司非常清楚员工会利用公司配备的手机同时处理工作事务和私人事务，癸公司业务相关的数据，也存储承载员工个人信息的数据即个人数据。否则，某公司的上述规定相当于剥夺员工正常使用私人手机号码基于生活所需注册APP、与亲友通讯等基本权利，属于无效的规定。第二，案涉手机的物权归属不影响对案涉手机中存储的数据是否包含个人信息的认定。案涉手机是闵某购置的iPhone12Pro手机，该手机的购置费用为8229.2元，某公司仅为闵某报销了5300元，而非全部的购置费用。子公司的内部规定，该手机被作为工作设备，需要在其上安装MDM插件，但是，前述从购置手机价款的分摊上来看，显然不能丑公司，寅公司按照所支付的价款比例形成按份共有的物权关系。退一步说，即卯公司，案涉手机被认定为工作设备，此种对案涉手机性质和所有权归属的认定，也不能用于判断案涉手机上是否存储个人信息。因为，案涉手机中的数据是否包含个人信息属于个人信息保护法的问题，而案涉手机的性质及其物权归属属于物权法的问题，这���两个不同的法律问题。案涉手机是否包含个人信息应当依据相关证据和民法典、个人信息保护法等法律关于个人信息的法律规定加以认定。一审法院以案涉手机应当定性为工作设备，继而推定其中存储的信息都是与工作相关的信息，不属于个人信息的观点不能成立。第三，个人信息被他人采取删除的处理行为时，受害人通过相关证据证明数据中有可能存在个人信息即满足举证责任的要求。依据个人信息保护法第4条第2款，个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等。同时，该法第69条第1款规定：“处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自已没有过错的，应当承担损害赔偿等侵权责任。”因此，个人信息权益被侵害的受害人在起诉他人侵害其个人信息权益时，应当依法证明其个人信息被他人非法处理，由此构成了对其个人信息权益的侵害。具体到本案，辰公司侵害其个人信息权益时，巳公司所处理，午公司的处理行为而对其个人信息权益构成了侵害。然而，“删除”个人信息这一处理行为不同于个人信息的收集、存储、使用、公开、转移等其他处理行为因，为存未公司采取远程操作的方式予以清除。在这种情形下，从举证责任上来说，闵某只能提出相关的间接证据所组成的证据链条来证明案涉手机上的数据具有包含个人信息的相当可能性即可，而不应当要求闵某就已经不存在的数据中是否包含个人信息以及包含哪些个人信息承担全部的举证责任。 某公司未经闵某同意删除其个人信息的行为侵害了闵某的个人信息权益，应当依法承担侵权责任。某公司利用远程操作全部清除案涉手机上包含了闵某个人信息的数据的处理行为，侵害了闵某的个人信息权益，应当依法承担侵权责任。具体理由如下：第一，某公司在实施远程操作清除案涉手机上闵某的个人信息前并未告知并取得闵某的同意。依据我国民法典第1035条第1款第1项以及个人信息保护法第13条第2款，个人信息处理者实施个人信息处理行为之前，应当告知并取得个人同意，除非法律、行政法规另有规定。从一审法院认定的事实来看，某公司在其员工闵某申请离职之后，甚至正式离职手续都尚未开始办理之时，明知其利用远程操作清除案涉手机上的全部数据的行为必然会删除闵某的个人信息的情形下，却没有依法履行告知义务并取得闵某的同意。此外，依据民法典、个人信息保护法上述的规定，即便存储申公司，某公司也不能基于其对案涉手机的所有权而享有处理闵某个人信息的法律根据。第二，某公司实施远程操作清除案涉手机上闵某的个人信息的行为并不符合法律、行政法规规定的可以无需取得个人同意情形。我国民法典第1035条第1款以及个人信息保护法第13条第1款第2-7项规定了个人信息处理者可以不取得个人同意处理个人信息的多种情形。一审法院认为，某公司在人力资源管理过程中制定了关于工作数据的管理制度，该公司出于实施人力资源管理的目的，基于已经公开告知的标准化工作流程，针对工作设备所实施的删除设备数据的行为，从其行为时间、行为方式、行为对象来看，并未超越实施人力资源管理的必要性，属于个人信息保护法第13条第一款第二项规定的情形，无需取得闵某的同意。一审法院的上述观点不能成立。一方面，个人信息保护法第5条和第6条明确规定了个人信息处理应当遵循的基本原则包括合法原则、正当原则、必要原则、目的限制原则和最小必要原则。无论是基于个人同意处理个人信息，还是基于法律、行政法规的规定在未取得个人同意的情形下即可处理个人信息，都应当遵守这些原则。个人信息保护法第6条第1款明确规定：“处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。”具体到本案，酉公司删除闵某的个人信息的行为是按照其依法制定的劳动规章制度实施的人力资源管理的要求，该删除行为也不符合个人信息保护法第13条第1款第2项规定的“所必需”的情形。因为，某公司在案涉手机上安装了MDM插件，其在相关戌公司，因此，在员工离职后，公司要通过远程操作删除工作数据，亥公司的目的。也就是说，某公司基于人力资源管理所必需的范围限于远程操作删除案涉手机上的工作数据，只有删除该等数据才能认为是实施人力资源管理所必需，甲23公司却采取了将手机数据全部删除，重置为出厂设置的方式，这显然超越了“所必需”的范畴。另一方面，某公司删除案涉手机的全部数据明显不符合个人信息保护法第6条第1款所要求的的“采取对个人权益影响最小的方式”。一方面，从技术角度上说，某公司并非要逐一核实删除的手机数据是否属于个人信息即可实现删除工作数据的目的。但是，某公司却采取非常简单粗暴的方式，直接将手机恢复出厂设置，从而导致闵某的重要的个人信息全部被删除。另一方面，酉公司不能通过技术手段区分个人信息与非个人信息，也完全可以在闵某申请离职后联系闵某，留出合理的时间，让其进行相应的个人信息的备份保存，在合理期间内或者离职流程中原本就有的工作交接结束后对其手机进行重置的安排。然而，某公司在明知员工的手机上必然存储个人信息的情况下，于员工仅仅是申请离职之时，不进行任何通知或提示，当即远程操作删除其手机上包含个人信息的全部数据的行为，完全违背了我国个人信息保护法律制度所确立的必要原则，该方式对个人权益造成了严重损害。 闵某对于其个人信息权益被侵害而遭受的损害不存在任何过错。本案中要确定闵某对于其个人信息的灭失是否具有过错，就必须要明确闵某对于其手机上存储的个人信息是否负有备份或存储的义务。在我国，并没有任何法律要求个人信息主体负有备份或存储个人信息的一般性法律义务。故此，只能根据本案的案情确定作为个人信息主体的自然人闵某是否知道或者应当知道其个人信息将面临灭失的风险。如果闵某知道或者应当知道，那么，其就负有相应的自我保护的义务，否则，他就不负有该义务。从本案的事实来看，某公司既没有明确禁止闵某在案涉手机上存储个人信息，也没有为闵某提供工作手机号而让员工得以完全隔离工作数据和个人信息，而是认可员工使用私人手机号来完成工作任务，更没有在采取远程操作删除数据之前对闵某进行通知或提示。因此，闵某并不负有定时备份或存储手机上的个人信息的义务。虽然从一般社会生活角度而言，人们为了防止手机丢失或被盗而导致重要数据或个人信息灭失的风险，应当更加对相关数据和个人信息进行备份。但这只是社会生活意义上的注意，而非法律规定的义务或被侵权人知晓损害风险时负有的义务。作为个人信息被侵害的受害人闵某，乙24公司在何时采取远程操作操作的行为，丙25公司会采取一种极端的做法即重置手机的方式程序来删除案涉手机上的全部数据。故此，闵某没有备份个人数据的义务，对于其个人信息的灭失的结果更不存在任何过错。 某公司辩称，一、一审法院依法分配本案举证责任，因闵某未提供任何证据证明案涉手机上载有其个人信息，依法认定无从谈及侵权行为的发生、侵权损害的产生，完全正确。根据《最高人民法院关于适用<中华人民共和国民事诉讼法>的解释》第九十条规定，当事人对自己提出的诉讼请求所依据的事实或者反驳对方诉讼请求所依据的事实，应当提供证据加以证明。损害是所有损害赔偿责任的必备要件，没有损害就没有赔偿。在侵害个人信息权益的侵权赔偿纠纷中，权利人要求行为人承担侵权责任，至少应当证明存在被侵权的权利客体、侵权行为、损害结果以及因果关系。第一，闵某对存在侵权法律关系、其权利受到妨害的基本事实承担举证证明责任，但其未尽到举证责任，应承担相应的不利后果。本案中，闵某主张因删除案涉手机数据行为给其个人信息造成损害，某公司对此应当承担侵权责任。个人信息为闵某主张被侵权的权利客体，案涉手机是否存在个人信息是判断有无侵权行为、造成损害的基本前提。闵某应当首先提供证据证明案涉手机上载有其个人信息，同时应当提供相应的证据证明其所主张的信息内容确构成权利主体的个人信息。在此前提下，闵某应当继续提供证据证明被诉侵权行为给其个人信息造成损害后果。但是，对上述要件，闵某均未提供证据予以证明，其应当承担未完成举证责任的不利后果。第二，即便在一审法院释明举证责任后，闵某提供的所谓间接证据显然未达到法定的高度盖然性的证明标准。即使本案中闵某所需证明的事实属于消极事实，闵某在本案中的举证程度也明显过低，未能完成初步举证，更遑论达到高度盖然性的证明标准。在一审法院释明举证责任，要求闵某对其个人信息具体内容予以补强证明后，闵某提交的所谓“间接证据”一是其事发时单方发出的电子邮件，仅为其单方自述且邮件内容缺乏客观性及证明力，不能达到证明目的；二是iCloud服务购买情况，均无法直接证明案涉手机中确实存有闵某的个人信息，相反，iCloud云存储中保存了2012年的短信，更加说明了被诉侵权的删除行为与诉争的闵某个人信息(如有)丢失之间没有因果关系。第三，案涉手机为工作手机，不应用于个人事务，手机上是否载���个人信息不属于根据日常生活经验法则可以推定出的事实。相反，丁26公司的规章制度、戊27公司所有应仅用于工作事务，推定案涉手机上不存储闵某个人信息更符合常理。闵某在一审及上诉中主张，根据生活常识可知案涉手机内必然含有大量的个人信息，无需证明，但该观点并站不住脚。己28公司相关通信管理制度及政策，庚29公司业务，辛30公司所有的工作手机，不应当用于闵某个人事务，在此情况下，无法根据日常生活经验法则推定出工作手机上必然含有大量的个人信息。闵某据此来说明案涉手机上载有其个人信息属于免证事实，没有任何依据。相反，公司所有的案涉手机应仅用于工作事务，推定其不存储闵某个人信息更符合常理。基于上述，本案中闵某未提供任何证据证明案涉手机载有其个人信息、其个人信息受损等有关侵权法律关系是否存在的基本事实，不存在所谓“损害结果”，不可能触发任何侵权责任。第四，壬31公司与某集团是其个人信息的“共同处理者”、应承担连带责任，但其未提交任何证据证明共同实施所谓侵权行为，其主张亦不能成立。一方面，癸32公司并未实施被诉侵权行为这一事实均无争议；另一方面，壬31公司与某集团具有意思联络、为共同处理者，但未提供任何证据予以证明。本案中，某公司并非适格被告，子33公司对某集团的行为承担连带责任。 二、辛30公司设备，丑34公司政策，寅35公司相关业务而不应存储个人信息；一审判决认定删除行为不属于侵害闵某个人信息的侵权行为，某公司就闵某个人信息灭失的结果不存在过错，该认定符合事实且适用法律正确。实际上，一审判决已正确认定了闵某未尽到证明责任，足以据此判决驳回闵某的全部诉讼请求，然而一审法院并未止步于此，仍假设推定案涉手机中存有闵某个人信息的情况下，继续论述和分析了侵权责任的构成要件，卯36公司的行为不属于侵权行为，对闵某个人信息灭失的结果不存在过错的认定。第一，辛30公司设备，己28公司辰37公司三年为员工更换一次工作手机的惯例，某公司及某集团全部员工均配备移动电话设备，巳38公司所有。事实上，在案涉手机购买后，午39公司通信政策，未40公司手机上的MDM软件，而非安装于个人手机上的MAM软件。MAM和MDM的区别在于前者为在个人手机上安装的特定应用程序，申41公司仅能清除该应用程序；酉42公司手机上、通过恢复手机出厂设置的方式清除整个设备数据。案涉手机购置的特定时间段内，戌43公司购买后亥44公司甲45公司报销的方式，该调整是基于手机运营商政策变化所致。本案中，购买案涉手机的增值税发票(乙46公司而非上诉人个人)以及案涉手机安装MDM软件已足以证明，辛30公司财产。闵某为选择更高配置和型号的手机设备并支付价格差额的行为，并不导致案涉手机所有权及使用性质发生变化。第二，某公司及某集团的丙47公司相关业务，丁48公司所有，闵某对此知情且同意。戊49公司一审提交的第三组证据，某集团丙47公司相关业务，丁48公司所有。己50公司及某集团的上述管理制度和政策规定。闵某自庚51公司辛52公司北京代表处工作，壬53公司，癸54公司的副总裁，后晋升执行董事，子55公司的管理工作，对公司的各项管理制度当然比普通员工更为熟悉。此外，某公司第三组证据显示，通信和移动设备安全相关等制度和政策，均已告知闵某且闵某对此明确书面回复收悉(某公司一审证据15、20)，而丑56公司相应政策及程序(某公司一审证据18)。 三、即便假设案涉手机存有闵某个人信息，某公司及某集团依法有权处理闵某个人信息，因此案涉恢复手机出厂设置的行为不具有违法性，一审法院认定该行为非侵权行为正确。第一，《劳动合同》合法有效，闵某在《劳动合同》及公寅57公司及某集团有权持有及处理其个人信息。第二，某公司及某集团处理闵某个人信息亦符合法定例外情形，即不需要取得闵某个人同意，该处理行为不具有违法性。本案中，处理个人信息既已经取得闵某的同意，同时亦符合法定的无需取得个人同意之例外情形。个人信息保护法第十三条第一款规定了无需取得个人同意的法定例外情形，具体包括“为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需”。第三，某集团远程以恢复出厂设置的形式清除离职员工的手机数据，系公司标准流程，卯58公司辰59公司的通常做法，巳60公司相关规章制度；恢复手机出厂设置是技术上唯一可行且合理的方式。员工离职时，远程以恢复出厂设置的形式清除手机数据，系公司标准流程(某公司一审证据24)，卯58公司辰59公司的通常做法(某公司一审证据22-23)。此外需要强调的是，某集团在全球各国/地区设有19个办公室，过千员工，所使用的语言千差万别，单从技术角度来看，午61公司数据或是个人数据，通过远程自动化恢复手机出厂设置，是唯一可行且合理的方式。 四、某公司及某集团无法预见案涉手机被闵某违规用于个人事务，不具有侵害闵某个人信息的主观过错；闵某没有任何损害结果，其所谓损害结果实际与被诉侵权行为之间不存在因果关系，反而系因闵某自身不当存储导致，未62公司及某集团均不应当承担侵权责任。个人信息保护法第六十九条第一款规定，“处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。”首先，如前所述，申63公司所有且应用于工作事务，某公司及某集团有权处置公司所有的设备及所载信息。其次，酉64公司案涉手机载有其个人信息，即使存在个人信息丢失，也是因其不当存储、未事先另行拷贝导致，戌65公司还是某集团，均无法预见案涉手机被闵某违规用于个人事务，不具有未侵害闵某的个人信息权益的主观过错。 综上所述，闵某的诉讼主张不符合侵权的任一要件，其诉讼请求缺乏明显的事实和法律依据，一审判决充分查明且认定事实清楚、适用法律正确，恳请依法驳回闵某上诉、维持一审判决。 闵某向一审法院提出诉讼请求：1.亥66公司赔偿闵某精神损害抚慰金5000000元；2.亥66公司在国家级媒体登报就其侵权行为向闵某赔礼道歉；3.亥66公司承担律师费50000元，翻译费1440元。 一审法院认定如下事实： 一、相关主体情况 根据闵某提交的某集团年报，某公司系某香港公司甲67公司，乙68公司系某国际直接或间接拥有的公司，丙69公司，案丁70公司的所有业务和事务。 戊71公司员工，2018年3月31日，双方签订劳动合同及四方转移协议，约定双方之间建立劳动关系，己72公司的副总裁职位，其中劳动合同“1.聘用”部分约定：“庚73公司辛74公司规章和政策、中国法律、本合同条款和最佳行业惯例。”“5.不披露专有信息”部分约定：“a)除雇员根据本合同忠实履行其职责的需要外，雇员应对下述信息永久保密……某公司的或与某公司有关的任何保密或专有信息或商业秘密……壬75公司采取这些合理步骤以保障其专有信息的保密性是合理的和必要的。”“b)癸76公司的聘用因任何原因终止后，子77公司丑78公司有关的所有财产，包括但不限于通信、图纸、手册、信函、笔记、笔记簿、报告、程序、计划、提案、寅79公司专有信息的任何其他文件(无论是电子格式或其他格式)。”“12.卯80公司政策”部分约定：“……某公司可不时制定对雇员有约束力的政策和程序。该等政策和辰81公司不时予以修订。”“18.雇员确认”部分约定：“……雇员进一步确认，巳82公司经不时修订的员工午83公司要求不时签署该员工手册。”“20.陈述及保证”部分约定：“b)截至生效日及在聘用间内，其不会占有属于其原雇主或其关联方的任何资料、有形的、保密的或专有信息(包括文件、文档、磁盘或其他资料)。”“21.数据保护”部分约定：“签署本合同即表明雇员确认并同意，某公司或任何集团成员均可持有及处理作为其人员的雇员的个人(及敏感)资料和数据及其他业务记录；未84公司或任何集团成员的业务过程中使用该等资料……本第21条适用于通过任何媒介持有、使用或披露的资料。”2021年1月19日，某公司向闵某发送其被晋升为某公司执行总监的确认函，双方在“附件一：任职期间和离职后的限制”“14.不披露专有信息”部分约定：“除非与忠实履行您在本函下的职责有关，否则您应永远对代表处的任何机密或专有信息或商业秘密保密……您应承认并同意，代表处为了维护其专有信息的机密性而采取合理措施是合理且必要的。” 2023年3月13日，申85公司总经理及案外人某集团工作人员发送离职通知，2023年3月29日至2023年4月12日期间，闵某与案外人某集团工作人员就闵某离职事宜进行沟通，2023年4月12日，案外人某集团工作人员通过邮件向闵某发送离职确认函以及离职员工关于披露机密信息须知，其中离职确认函载明双方于2023年4月23日终止劳动关系，闵某于2023年4月13日在该确认函上签字。经本庭询问，酉86公司无其他劳动纠纷。 二、被诉侵权情况 壬31公司于2023年3月13日在未经闵某许可也未告知闵某的情况下，由案外人某集团协助远程操作删除闵某储存在其手机中的个人信息，侵犯闵某的个人信息权益，经本庭核实，其中个人信息指的是微信聊天记录、视频、照片、通讯记录、短信、通讯录信息。就此，闵某提交了其与相关工作人员的邮件沟通记录以及手机设置录屏。证据显示： 2023年3月14日，闵某向Backhouse,Hugh、Jowett,Gina和Newson,Claire发送主题为“我的iPhone被清空”的邮件，内容为“现在怎么解决这个问题？MoelisIT部门的人清空了我的个人设备，让我损失惨重，我宝贵的个人信息再也找不回来了。我不知道也不关心这是有意还是无意之，后果是一样的。服务台的Caroline也帮不上忙，我搜索了各种方法来恢复我的数据。虽然我还在努力恢复数据，但也应该谈谈责任问题——公司要怎么弥补清除本人私人电话数据所造成的损失？”“我跟Caroline(姓名拼写可能有误)谈过了。由于数据未存储在iCloud或任何其他云端，因此基本上她也无法恢复。”“过去我从未听说过要清空离职员工的手机。无论是有意还是无意，这看上去很像是针对我。公司(通过安装在我私人手机上的配置文件)直接访问我的私人数据，本身就已经违度了很多司法管辖区的数据保护法，戌87公司还清空了我的数据。亥88公司给予过此种同意。”“如之前所述，中国时间今天晚上8：50左右(大概3小时之前)，我自己的iPhone手机被MoelisIT部门清空。这是我的个人财产，存储了十多年的个人数据(包括我已故祖父的视频和聊天记录)。甲89公司竟然会发生这种事。公司无权销毁我的个人数据。乙90公司计划对这一粗暴行为如何补救。我需要弄清真相，谢谢。”“这真的有必要？销毁我的个人数据？为了什么目的？这涉及到私事，不找到解决办法我是不会罢休的。”2023年3月17日，闵某向Backhouse,Hugh、Jowett,Gina、Newson,Claire和Ferguson,Ted发送邮件，内容包括“请记住，我们现在讨论的是我自己购买，Moelis报销了部分款项的私人手机。大概一年多之前(我记得是2021年)，Moelis的IT部门要求我们在手机上安装Mobilelron和Email+等程序，并且在安装之前，我们需要先在手机上安装一个配置文件。所有这些都是按照MoelisIT部门政策，在MoelisIT部门的帮助下完成的。我之前不知道也未被告知，MoelisIT部门能够通过该配置文件远程清空我的手机。2022年10月，公司向我们发放了一台工作手机，并且IT部门指示我们等到伦敦IT部门来北京考察时再指导如何把数据迁移到该工作手机。这是这件事发生之前我手机的设置情况。”同日，Jowett,Gina向闵某和Newson，Claire发送邮件，内容包括“为明确起见，你一直在询问这件事是谁做的——是Claire和我管理的HCM部门指示IT部门，启动针对所有离职并入职竞争对手的员工执行的离职程序。因此，是我们发出了终止系统访问权限的指令……我们专注于查清为什么你在用这台手机并将这台手机号码作为你的主要工作联系电话，以及为什么所有信息丢失，届时会给你作出回复。我们的很多系统和程序都是自动化操作，因此不存在具体是谁访问或采取该行动的问题。......”2023年3月23日，Newson,Claire向闵某、Jowett,Gina和Backhouse,Hugh发送邮件，内容包括“经向包括IT部门在内的所有相关团队了解情况，我们得出结论如下：所涉iPhone设备是你本人于2022年3月3日以人民币8229元的价格购买，并通过Moelis的标准费用报销程序报销了人民币5300元。由于该手机费用大部分是由Moelis支付，因此我们认为在你雇佣期间，该设备归Moelis所有，而在你离职后，该设备的所有权将转让给你。同Moelis拥有的所有设备一样，丙91公司设备的使用以及上面存储的数据。相关文件见2022年11月30日发给全体员工的《全球通讯政策》(2022年11月30日)(简称‘GCP’)。该政策在第36页援引了2021年3月3日的《移动安全政策》(简称‘MSP’)。在你辞职后，Moelis关闭了你的IT和网络访问权，丁92公司所有设备的访问权限，并进行了冻结和清除，以确保Moelis数据的安全。我们的调查确认，Moelis拥有的一部iPhone手机被清除，另外一台安卓设备(我们确定是你的个人设备)上的BlackberryWorkApp也被删除。该个人设备的电话号码是13xxx721，与你之前向HCM团队提供的私人手机号码一致。MSP第2.12条规定，‘个人设备将由Moelis信息技术服务台负责清空软件。’我们的调查显示，该软件(BlackberryWork)已从你的个人设备上删除，并且该软件外的个人数据未丢失。MSP在该条还规定，‘戊93公司不清空个人数据，但公司不保证在此过程中个人数据不被删除或清除。’我们的结论是，己94公司政策，Moelis的任何员工或流程未直接对你怀有恶意。我们完全理解你个人数据丢失的心情，但Moelis不承担任何责任。”经本庭询问，闵某认为删除其个人信息的行为系由某集团作出，庚95公司与某集团具有意思联络。 根据手机设置录屏，涉案手机安装有“RootMDMProfile”插件，该插件的权限包括抹掉所有数据和设置、锁定设备与移除密码、列出配置描述文件、安装/移除配置描述文件、列出预置描述文件、安装/移除预置描述文件、列出设备信息、列出网络信息、列出已安装的应用程序、列出安全限制信息、列出安全性信息应用设置以及安装与移除应用程序和数据。辛96公司员工的私人终端中安装有要求的权限控制插件，某公司在可以选择删除全部数据或删除特定应用程序和数据的情况下，直接删除全部数据，违反了必要性原则。 经本院核实，前述证据均不含闵某在本案中所主张的具体个人信息，对此本院向闵某释明，要求其进一步就其主张的具体个人信息提交相应证据，随后闵某向本院提交了iCloud使用情况录屏。证据显示：2011年12月25日，AppleID为“MinTao”的账户开通了iCloud服务，iCloud中最早同步存储的短信时间为2012年3月10日。2023年3月15日前，闵某未购买iCloud服务，2023年3月15日至2024年6月19日期间，闵某定期购买iCloud服务。闵某述称iCloud存储的信息中包含了多个手机的信息，其中免费存储的空间中包含涉案手机的少量内容，但客观上难以区分，只能通过比对手机购买时间推断出相关信息是闵某使用哪部手机期间储存的，且涉案侵权行为发生时，闵某未购买iCloud存储空间，相关微信、照片等空间占用较大的个人信息不可能被备份或恢复。 某公司对前述证据的真实性予以认可，但主张前述证据无法证明涉案手机上载有闵某的个人数据，更无从谈及闵某个人信息受损，闵某亦未提交证据证明涉案手机所载个人信息对其有重要影响，壬97公司在涉案手机恢复出厂设置之前也不知道涉案手机上是否有闵某的个人信息。 癸98公司所有，某公司提交了某集团工作人员为闵某等更换手机的邮件沟通记录、涉案手机购买费用及相关费用发票、费用报告、付款凭证。证据显示： 2020年12月2日，Hou,Pauline向Kelly,Lucy发送主题为“北京——手机设备”的邮件，内容包括“我们想征询您的意见。北京同事使用的移动电话从2017年一直用到现在(iPhone7)。一些银行家(Banker)在使用设备时遇到了速度慢的问题，他们正在寻求解决方案”，该邮件抄送了Lu,Yan。2022年12月11日，Lu,Yan回复前述邮件，发送了iPhone手机不同型号的报价，并标注“截至目前，我们北京办事处有8名员工，他们是闵某……”。2021年2月3日，Kelly,Lucy回复前述邮件称“请按照iPhone11128gb的标准采购设备”。2021年2月4日，Lu,Yan向“所有人-北京”发送主题为“移动设备更换”的邮件，内容包括“鉴于我们所有的手机设备已经发放超过3年了，目前的手机型号已经很难支持进一步升级了。子99公司IT批准，某公司北京的员工可以购买苹果11128GB手机，公司会报销5300元。当然，如果各位愿意自己支付额外差价，也可以买一个最新版的型号或者更大容量的手机。请提交报销凭证的时候告诉我各位购买的是什么型号的手机，以备我后续进行记录。” 2021年3月3日，丑100公司寅101公司出具北京增值税电子普通发票，其中载明的货物或应税劳务、服务名称包含“移动通信设备某IPHONE12PRO手机”以及“劳务某ACPROTECTIONPLAN全方位服务计划”，iPhone12Pro的价格为8229.2元。根据闵某2021年3月的费用报告，闵某曾在2021年3月3日以“硬件采购”为费用类型支出相关费用，卯102公司报销5300元，该笔支出的商务目的为“更换手机”。2021年4月20日，闵某的该笔费用得到全额报销。某公司另提交2021年5月3日至2023年4月19日期间的若干发票、付款凭证，其中发票载明的货物或应税劳务、服务名称均为“某电信服务某通信服务费”，金额为497.5元或500元，付款凭证显示闵某辰103公司报销。某公司述称闵某以某公司的名义购买了涉案iPhone12Pro手机，某公司为其报销了大部分手机款项，并支付了闵某因使用涉案手机产生的所有账单费用。 2023年2月23日，Alva,Connie代表Matthew,Scardina向Matthew,Scardina、闵某、Li,David、Choksey,Yatin发送主题为“会议邀请：移动项目部署——北京与香港之间的电话漫游要求”的邮件，内容为预定东部时间(美国和加拿大)2023年2月27日星期一上午8:30-9:00(UTC-05:00)的会议。2023年3月9日，Li,David回复前述邮件称“我期待向我的团队简要介绍即将推出的新手机+iPad……我对这一进程有一些问题，我们应该再通电话讨论，即：巳104公司手机？新手机和iPad将如何带到北京？”2023年3月13日，Matthew,Scardina回复前述邮件称“旧手机可以转移到个人/家庭账户。某公司不再收集旧手机”“我们本来打算在当地购买，如果您有更好的建议，请告诉我”“还有其他一些指导原则可以提供帮助。1.所有副总裁、ED和MD都会收到一台iPad。2.提供iPad键盘和铅笔……”，前述沟通邮件的收件人均包含闵某。 闵某对前述证据的真实性、合法性予以认可，对其证明目的不予认可，理由如下：第一，某公司员工午105公司统一从电信运营商采购，虽然由于电信运营商政策变化，某公司无法直接从电信运营商采购新的设备发放给员工，未106公司仍可以直接跟手机经销商采购设备再发给员工(2023年更换设备时采用的形式)，申107公司并未选择直接采购设备发放给员工的形式，而是通知员工自行购买手机，由公司按照报销标准报销部分费用，酉108公司报销部分金额的手机应当归员工所有，戌109公司就可以使用5300元获得更高规格的手机所有权，这与常识不符；第二，相关费用发票以及付款凭证与手机终端的归属无必然联系，无法用于手机所有权的证明；第三，某公司在沟通离职事宜时，未提及任何移动设备的归还要求，亥110公司所有，某公司就不可能不在离职交接沟通中予以确认，并要求返还，实际上，某公司并未在任何节点提及涉案手机的归还事宜；第四，员工个人信息的认定，不受信息存储介质权属的影响，涉案iPhone12Pro手机的归属与闵某个人信息受到侵害无关。 经一审法院询问，甲111公司就职期间共持有三部手机，分别为iPhone7手机、涉案iPhone12Pro手机以及iPhone13手机，其中iPhone7乙112公司统一采购后发给员工，丙113公司并未回收，也没有删除闵某的个人数据，iPhone13手机于闵某离职后发放，闵某并未激活，丁114公司，闵某对iPhone7戊115公司所有无异议。 某公司主张案外人某集团有权将涉案手机恢复出厂设置，且员工离职时，己116公司庚117公司标准流程。就此，某公司提交了某集团《移动设备安全政策》2.1版、邮件沟通记录、《全球通信政策和程序》、《电子通和程序》、《电子通信常见问题——全球》、IT系统截图、亚洲问卷认证-确认函、新闻报道截图、某集团员工离职内部通知邮件示例。证据显示： 某集团《移动设备安全政策》2.1版“1.2背景”部分规定：“某集团(下文简称‘某公司’、‘公司’、‘本公司’)的信息技术移动环境由移动应用管理(MAM)解决方案与移动设备管理(MDM)解决方案构成。”“1.4角色与职责”部分规定：“5)所有员工都必须熟悉本《移动设备安全政策》以及其他相关政策与程序。”“1.5.1范围”部分规定：“本《移动设备安全政策》辛118公司数据的所有用户。用户包括：某集团及其子公司的员工、壬119公司、供货商、承包商。癸120公司子121公司数据的一切设备。”“2.1合理使用”部分规定：“……私人使用的设备适用移动应用管理(MAM)解决方案，使用(私人设备上)的容器应遵守合理使用政策；公司管理的设备适用移动设备管理(MDM)解决方案，使用上述手机设备应遵守合理使用政策。凡《员工合理使用政策》关于应用程序和系统的引用同样适用于移动设备。”“2.2用户资格”部分规定：“……各商业主体将负责设备发放审批事宜。一旦发放了设备，并且/或者个人移动设备上安装了MAM方案，则上文范围1.5.1确定的所有用户将受本政策的制约……个人设备——丑122公司寅123公司合理使用政策的约束。”“2.6设备管理”部分规定：“所有移动设备至少都会努力支持下列管理控制措施：”其中MAM解决方案(范围：容器)包括密码参数管理、不活动超时、无效认证设备锁定以及远程容器清除与远程锁定，MDM解决方案(范围：设备)包括密码参数管理、不活动超时、无效认证设备锁定以及远程设备/应用程序清除与远程锁定。“2.12聘用/雇用终止”部分规定：“离职之前(员工离职当日)：卯124公司辰125公司信息技术服务台。对于个人设备而言，巳126公司信息技术服务台对其容器进行清除。午127公司的目标并非个人数据，但公司也不保证在此过程中不会删除或清除个人数据。在此过程中，未128公司服务台提供一切必要的合作和协助。用户有责申129公司数据。”“2.13丢失或被盗设备”部分规定：“酉130公司戌131公司自有设备丢失或被盗，亥132公司的信息技术服务台报告。公司自有移动设备将远程清除所有数据。对于由移动应用管理方案管理的个人设备，将清除设备中的容器。甲133公司不打算清除严格意义上的个人数据，乙134公司的数据区分开来，某公司对公司自有设备或自带设备上可能丢失的任何个人信息概不负责。” 2022年12月1日，Cortese,Michael向“所有员工；所有承包商”发送主题为“重要：新的《全球通信政策和程序》”的邮件，内容为“全体员工：已经发布了一份新的《全球通信政策和程序》(‘政策’)，以管理某集团的所有内部和外部商业通信……内容和通信标准适用于所有商业通信，无论其采用何种媒介(例如书面、口头、面对面、电话、电子应用程序、视频会议或其他方式)。政策还规定了使用电子通信的管理结构，丙135公司丁136公司自有设备策略。所有员工必须熟悉并严格遵守本政策。所有可被解释为商业通信的通信均受本政策的约束。戊137公司、其管理人员、主管及其员工带来严重的法律、监管和声誉损害。”前述邮件中包含附件《全球通信政策和程序》以及《电子通信常见问题——全球》，其中《全球通信政策和程序》“一、引言、原理和范围”部分载明：“……B.己138公司和分支机构，包括其所有高管、执行和管理委员会成员、员工、关联人士、注册代表、高级顾问、临时员工和实习生(统称为‘员工’)。”“六、公司系统/基础设施和移动设备”部分载明：“A.公司通信系统和基础设施……庚139公司的通信基础设施时应当知晓无隐私可言，并且其通信可能会被保留、监控和被发现。因此，鼓励员工使用个人设备进行此类个人通信。但严辛140公司的相关业务(上述语音通话除外)。B.壬141公司自有的移动电话设备，并且部分员工还会配备iPad(统称为‘公司自有设备’)……员工癸142公司子143公司相关业务……”“八、年度认证和培训”部分载明：“A.认证员工需要定期(至少每年一次)通过合规门户(ComplySci)确认其：(i)熟悉本政策；(ii)满足本政策规定的要求；和(iii)在目标确认期间，没有在未经认可的电子通信渠道上进行任何商业通信。新员工需要在新员工入职培训阶段通过合规门户确认本政策。”《电子通信常见问题——全球》“四、内容标准/监督/记录保存常见问题”部分载明：“8.丑144公司商业号码加入与私人朋友之间的连续文本消息群？如上述问题3所述，寅145公司资产处理个人事务。与朋友之间的连续文本或聊天群不属于‘偶尔’个人使用。我们鼓励你使用个人设备和电子通信渠道开展此类个人活动。”“五、移动设备常见问题”部分载明：“1.卯146公司自有设备的情况下，是否还能使用私人电话号码，与同事和客户发送非业务短信？可以，只要与业务无关，辰147公司自有设备，以免混淆。所有业务相关通信必须通过认可的通信渠道，在公司自有设备上进行。2.将公司自有设备用于业务用途和个人用途时，巳148公司存档并监管。我需要做些什么？公司需要监控通过认可的通信渠道发送的电子通信。所有消息都会受到审查并归档，并且可能会在诉讼或监管调查中披露。如果担心个人通信受到监控，应当使用单独的个人设备，用于与业务无关的通信……4.如果我离职，午149公司自有设备以及电话号码，归个人使用？未150公司的财产，申151公司酉152公司的财产，因此，你需要归还设备。不过，如果你选择保留手机号码，归个人使用，则需要将该号码转移到个人设备上……6.戌153公司AppleID？不可以，亥154公司甲155公司AppleID。”根据IT系统截图，乙156公司邮箱“【邮箱已隐去】”已收到前述邮件。亚洲问卷认证-确认函载明：“本确认函旨在确认您遵守了适用法律与规章要求……请确认您熟知下列政策和程序(丙157公司内网)，并且您将始终遵守其中规定的原则、标准和要求。全球政策、程序和流程：1.《商业行为准则与道德规范》；2.《全球行为准则》；3.《全球反腐败政策》；4.《某公司证券交易》；5.《保密信息管理政策和程序》；6.《相关候选人招聘政策》；7.《新业务流程-NBRC和CMC》；8.《公平与估值委员会指南》；9.《社交媒体政策与程序——香港和北京的政策、程序和流程》。1.《反洗钱政策》；2.《业务连续性计划》；3.《合规手册》；4.《公司治理政策》；5.《交易团队名单》；6.《礼品和招待申请表》；7.《客户身份査核清单》；8。《市场调査和墙内交易程序》；9.《个人交易政策》。”2022年3月29日，闵某完成前述认证。 2014年1月，《华尔街日报》发布题为“Yes,YourCompanyCanWipeYourPersonalPhone(forNow)”的新闻报道，指出“丁158公司(NationalWorkrightsInstitute)收到的员工最常见投诉之一是手机信息被抹除——公司远程抹除员工有时用于工作的个人智能手机的数据信息。事实上，Acronis最近的调查发现，21%的企业会在员工辞职或被解雇时执行‘信息远程抹除’程序……文章中采访的一位人士购买了一部安卓手机……戊159公司员工表示已故亲人的照片消失不见了……因此，建议‘自带设备办公’的员工定期备份个人数据信息，以确保在保护企业信息的同时不会丢失个人重要信息。与此同时，企业也应当明确告知员工离职或被解雇后的处理措施。”2014年9月8日，一篇题为“EveryThreeMinutes,aWorker'sPersonalDeviceIsRemotelyWiped”的新闻报道指出“你可以携带自己的设备来工作，己160公司删除了你设备中所有宠物猫的照片，不要感到惊讶。Fiberlink(庚161公司，位于费城，辛162公司管理移动设备群)的数据显示，对员工的个人手机、平板电脑和笔记本电脑进行远程信息抹除的情况日益增多。Fiberlink客户数据库分析显示，今年上半年，Fiberlink的软件已抹除81000台设备，相比2013年下半年的51000台，抹除量有所增加。这相当于，每分钟有三台设备被抹除，或者说，每天有450台设备被抹除……然而，正如《华尔街日报》今年曾报道，这一趋势将带来一个令人担忧的后果：企业可远程抹除此类设备中的信息，不论是个人信息或是企业信息。多家企业的员工报告称，他们的联系人列表、逝去亲友的照片、宠物的照片，不见了。Fiberlink总裁ChrisClark表示，对专有或敏感信息安全性的担忧是触发设备信息抹除量增加的原因。他说，企业正在‘封锁企业数据信息，防止泄密’……在2013年7月至2014年6月的Fiberlink设备信息抹除中，49%是由于安全漏洞等原因触发该企业的抹除程序而自动完成的。其余是由IT员工进行的手动抹除。这种情况可能发生在员工离职或被解雇后，人力资源部门要求抹除……虽然这种做法愈发普遍，但仍存在法律上的不确定性。人力资源专业人士协会(SocietyforHumanResourceProfessionals)曾于11月向企业发出警告称，远程抹除‘会在未来的几天或几个月内接受法律的审查’……从好的方面来看，企业似乎越来越谨慎地仅针对企业信息进行抹除。在Fiberlink设备信息抹除中，37%是完全抹除，而63%是选择性抹除，这可能意味着个人信息并不受影响。”某公司述称员工离职时，案外人某集团人力部门会向IT部门发送格式和内容统一的通知邮件，例如：“请注意以下员工离职情况及各自的终止日期。谢谢大家。北京员工：闵某(北京)；员工编号：001851；职位：ED3；部门：投资银行业务部；雇佣关系结束日期：2023年6月11日；电子邮件地址：请尽快终止访问；电话分机：请尽快终止访问；网络接入：请尽快终止。” 闵某对前述证据的证明目的不予认可，主张无论是《移动设备安全政策》还是《全球通信政策和程序》，都没有就员工具体的个人信息处理规则予以释明，尤其是涉及敏感个人信息的场景，壬163公司提交的所有政策都未经民主公示程序，集团制度并非当然对闵某具有约束力，酉公司经过民主公示并送达了相关政策，根据政策内容来看，某公司也是需要根据处理数据场景来选择技术处理措施的，且政策中的个人信息丢失免责声明完全属于格式条款，某公司通过格式条款限制闵某权利的约定应当无效。此外，根据亚洲问卷认证-确认函，闵某于2022年3月29日知悉并遵守的政策中并不包含《移动设备安全政策》《全球通信政策和程序》以及《电子通信常见问题——全球》，该证据与本案无关。 某公司另主张涉案MDM插件系闵某自行在涉案手机上安装，为此提交了邮件沟通记录、《苹果手机-IOS安装指南》、某集团IT系统截图。证据显示：2021年2月5日，Ferguson,Ted向“ALL_EDs”以及Espinoza,Joe、Bateman,Rebecca、MatthewScardina、Salinas,Jonathan、Sadler,Steven、Calderone,Cori、Cao,Way发送主题为“新：在您的iPhone、iPad上，Mobilelron将取代Blackberry”的邮件，内容为“我们很高兴地宣布，我们将推出一种新的移动设备管理系统Mobilelron，它将取代您手机和平板电脑上的Blackbemy系统……您可以按照所附说明或观看视频指南……自行安装Mobilelron。您也可以找到有关推荐设置的指南和‘安装方法’说明……Mobilelron提供了许多优点和新功能：……2.Mobileron支持各种应用程序，包括笔记软件、Salesforce、Workday、紧急电子邮件访问、全球中继等等……4.安装Mobileron后，癸164公司来电的呯叫者ID，能够轻松签署PDF，使用注释PDFDocs@Work，子165公司的内联网，并可以访问OutlookNotes和Tasks。”前述邮件中包含附件《苹果手机-IOS安装指南》，丑166公司邮箱和密码以安装MDM软件，并在两处标注“某公司无权访问任何个人数据，包括文本、照片、通话或应用程序数据”。根据IT系统截图，乙156公司邮箱“【邮箱已隐去】”已收到前述邮件。某寅167公司开发运营，卯168公司采用，某公司通过与第三方公司合作，将该插件安装在员工的工作手机中，从而实现对企业工作内容的控制和监管。闵某述称本案中其主张的侵权行为系某公司违法删除闵某个人信息的行为，辰169公司巳170公司无关。 三、其他事实情况 闵某提交《委托代理合同》、律师费发票、上海浦东发展银行网上银行电子回单-贷记回单、翻译服务协议、翻译费发票、午171公司电子回单，证明支出律师费50000元，翻译费1440元。 就闵某主张的精神损失，闵某当庭称其计算方式为估算，未提交相关证据。 一审法院认为，本案的争议焦点为：涉案手机是否存有闵某的个人信息；如果涉案手机存有闵某个人信息，某公司的行为是否侵害了闵某的个人信息权益。 民法典第一千零三十四条规定：“自然人的个人信息受法律保护。个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定。”不同于生命、名誉等自然存在的权利客体，权利人主张其享有个人信息权益的，应当对权利客体(即具体的个人信息)是否存在予以证明，同时应当提供相应的证据证明其所主张的信息内容确构成权利主体的个人信息。 相关法律亦考虑到在个人与个人信息处理者的侵权责任纠纷中，个人相较于个人信息处理者一方系处于举证弱势地位。为了弥补相对处于弱势的个人在获取证据上的不足，平衡双方举证能力，因此个人信息保护法对于个人信息侵权责任纠纷的相关举证存在特别规定，即个人信息保护法第六十九条规定：“处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。”但是，特别规定主要针对侵权责任构成要件中的“过错”要件，因此其他的责任构成要件应当根据《中华人民共和国民事诉讼法》确立的“谁主张谁举证”的原则分配证明责任。 然而在本案中，即便在一审法院释明举证责任，要求闵某对其个人信息具体内容予以补强证明后，闵某也仅向一审法院提交了若干间接证据用以证明其主张的具体个人信息，例如关于手机数据被清除的邮件沟通记录、涉案手机iCloud服务购买情况等，由于这些证据均无法直接证明涉案手机中确实存有闵某的个人信息，因此闵某实际上并未能够提交相应证据证明其被侵害的具体内容，这就使得一审法院缺乏据以评价、论述的权利客体，更无从谈及侵权行为的发生、侵权损害的产生。 而即便一审法院根据本案被诉侵权行为(即“删除个人信息”)的特殊情况，认定闵某难以举证，而假设推定涉案手机中存有其个人信息，一审法院亦认为某公司的行为不属于侵害闵某个人信息的侵权行为，就闵某个人信息灭失的结果不存在过错。具体理由如下： 首先，关于涉案手机的性质。未172公司就涉案手机所属具有争议，但是根据双方当事人提交的证据，双方当事人对于涉案手机系为更好完成工作任务而购买且需要用于处理工作事务的事实并无明显争议。因此，一审法院认为应当将涉案手机定性为工作设备，该设备中相关信息内容，应当被推定为与工作相关的信息内容，某公申173公司关于工作数据的管理制度实施管理行为。根据某集团《移动设备安全政策》，某集团将员工酉174公司管理的设备，故其根据该政策在涉案手机上安装移动设备管理(MDM)解决方案，并无不妥。 其次，一审法寅233公司的行为符合个人信息保护法第十三条第一款第(二)项的规定，无需取得闵某的同意，因此不存在过错。个人信息保护法第十三条规定：“符合下列情形之一的，个人信息处理者方可处理个人信息：(一)取得个人的同意；(二)为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；(三)为履行法定职责或者法定义务所必需；(四)为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；(五)为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；(六)依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；(七)法律、行政法规规定的其他情形。依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意。”本案中，戊49公司提交的其与闵某签订的劳动合同、某集团《移动设备安全政策》2.1版、《全球通信政策和程序》、《电子通和程序》、《电子通和程序》、《电子通和程序》、《电子通信常见问题——全球》等证据，某公司在人力资源管理过程中制定了关于工作数据的管理制度。结合闵某关于涉案手机中存有其个人信息的主张，戌175公司在实施人力资源管理过程中侵害了闵某的个人信息权益。对此一审法院认为，根据在案证据，被诉侵权行为系在闵某离职时，出于实施人力资源管理的目的，基于已经公开告知的标准化工作流程，针对工作设备所实施的删除设备数据的行为，从其行为时间、行为方式、行为对象来看，并未超越实施的人力资源管理的必要性，属于《中华人民共和国个人信息保护法》第十三条第一款第(二)项所规定的情形，无需取得闵某的同意。亥176公司应当采取更为合理措施的主张，并未提交相应证据证明更为合理措施的存在。甲177公司应当审核涉案手机(闵某主张该手机为个人设备)中的具体信息后再行删除相关工作信息。对此一审法院认为，乙178公司审核筛选员工个人手机中的信息的权利，反而可能导致员工的个人信息遭到侵害，壬97公司实际上并不能掌握明确辨别个人信息和工作信息的标准。 再次，一审法院认为，闵某就其主张的个人信息灭失存在明显过错。根据在案证据，丙179公司作为工作设备加以管理，即涉案手机已经安装了MDM插件，故闵某知晓或者应当知晓在涉案手机中的个人信息存在灭失风险，进而应当自行妥善保管。而事实上，闵某并未使用iCloud云端备份或者采取其他有效措施备份个人数据，丁180公司会对设备进行数据处理的情况下，戊181公司或者提前采取保护措施，故对其个人信息灭失的结果存在明显过错。 此外，己182公司关于本案为劳动争议应当劳动仲裁前置的主张，一审法院认为明显缺乏事实依据，闵某享有的个人信息权益可以独立于其他法律关系而存在，劳动者与用人单位之间的侵权法律关系并不必须依附于劳动合同关系，庚183公司的该项辩称一审法院不予采纳。 综上所述，一审法院依照《中华人民共和国民法典》第一千零三十四条，《中华人民共和国个人信息保护法》第十三条，《中华人民共和国民事诉讼法》第六十七条，《最高人民法院关于适用<中华人民共和国民事诉讼法>的解释》第九十条之规定，判决驳回闵某的全部诉讼请求。 二审期间，双方均未向法庭提交新证据。本院结合一审证据对争议事实补充查明如下：一是案涉手机的性质，以及是否可以存储员工个人信息。根据《移动设备安全政策》《全球通信政策和程序》《电子通讯常见问题——全球》的规定，公司管理的移动设备包括两种，辛184公司自有设备，壬185公司自有设备，从上述政策中可以看出，某公司将自有设备列为公司所有财产，在职期间允许个人使用，癸186公司。而本案的特别之处在于，子187公司许可的情况下，自行支付了部分手机购置费用，但双方就共同购置的设备归谁所有，即原则之外的例外情形并无明确约定，从离职时双方沟通的邮件中可以看出，某公司一方仍将该设备视为公司自有设备，只表达了离职后案涉手机归属闵某的意思表示。本院认为在不考虑案涉手机的所有权归属的前提下，丑188公司政策的规定，以及闵某同意安装MDM方案的管理软件的事实，案涉寅189公司自有设备，卯190公司自有设备的管理政策。辰191公司自有设备可否处理员工个人信息一节，从上述政策中未见禁止性规定。首先，从《移动设备安全政策》中记载的目的看，巳192公司自有设备的管理，午193公司所有数据的安全，并未排斥个人信息的存储。该政策具体规定如下：1.1.目的与目标本政策旨在根据信息安全政策的要求，未194公司的《信息安全政策》。《移动设备安全政策》对于确保安全地访问、存储和删除个人/申195公司数据至关重要。本政策的目标是，确保：公司的敏感数据受到保护，防止通过移动设备擅自访问此类数据。公司存储在移动设备上的敏感数据是安全且受到保护的。安全酉196公司的敏感数据。其次，《电子通讯常见问题——全球》中第五条，移动设备常见问题里也允许处理私人事务：1.卯146公司自有设备的情况下，是否还能使用私人电话号码，与同事和客户发送非业务短信可以，只要与业务无关，辰147公司自有设备，以免混淆。所有业务相关通信必须通过认可的通信渠道，在公司自有设备上进行。2.将公司自有设备用于业务用途和个人用途时，巳148公司存档并监管。戌197公司需要监控通过认可的通信渠道发送的电子通信。所有消息都会受到审查并归档，并且可能会在诉讼或监管调查中披露。如果担心个人通信受到监控，应当使用单独的个人设备，用于与业务无关的通信。此份文件对设备的财产权属和信息归属还做了规定：4.如果我离职，午149公司自有设备以及电话号码，归个人使用？未150公司的财产，申151公司酉152公司的财产，因此，你需要归还设备。不过，如果你选择保留手机号码，归个人使用，则需要将该号码转移到个人设备上。亥198公司甲199公司财产，但其数据权益的归属，乙200公司丙201公司。第三，《全球通信政策和程序》第六条中，也仅是鼓励员工使用个人设备进行个人通信，禁丁202公司的相关业务。其中，戊203公司自有设备存储个人信息的规定。第四，己204公司自有设备存储个人信息被误删的场景。《移动设备安全政策》的2.13条，丢失或被盗设备中规定：甲133公司不打算清除严格意义上的个人数据，乙134公司的数据区分开来，某公司对公司自有设备或自带设备上可能丢失的任何个人信息概不负责。庚205公司误删个人信息做了免责规定。辛206公司对自有设备存储个人信息，已有充分预期。以上政策中，壬207公司鼓励使用个人设备处理个人通信，癸208公司自有的设备之中。 二是案涉手机是否存储了闵某的个人信息。考虑个人信息权益损害案件，受害人一方举证困难的实际情况，其证明责任的标准应采用高度可能性的判断标准。本院认可闵某提交的专家法律意见书中的意见，即可以根据日常经验法则判断，案涉手机是由闵某持续占有、使用，并用于工作与社会交往的通讯设备，必然产生大量承载个人信息的数据。基于2023年3月14日，子209公司一方发送的“我的iPhone被清空”的投诉邮件，公司政策中未禁止自有设备存储个人数据的事实，及公司误删个人信息的免责声明，结合日常生活经验法则来判断，可以确信案涉手机上存储了闵某的手机号码、通讯记录等个人信息，这一待证事实具有高度的可能性。 丑210公司关于移动设备管理政策。闵某自述，寅211公司要求安装了相关监控软件，但公司并未告知MDM管理模式的相关后果。某公司提交的证据可以看出《移动设备安全政策》《全球通信政策和程序》《电子通讯常见问题——全球》等文件中，有公司自有设备的管理、使用，及离职后清除设备信息等规定。其中《全球通信政策和程序》《电子通讯常见问题——全球》，卯212公司一方于2022年12月1日发送给全体员工。闵某亦称收到过邮件，但未仔细阅读。《电子通讯常见问题——全球》五、移动设备常见问题，14.辰213公司移动设备解决方案有关的其他技术与最终用户指南请访问移动培训资源内联网页面……该处亦提供了与移动设备解决方案有关资源的链接。巳214公司关于移动设备管理的政策。 四是关午215公司政策。《移动设备安全政策》第2.1版，2.12条聘用/雇用终止记载：离职之前(员工离职当日)卯124公司辰125公司信息技术服务台。对于个人设备而言，巳126公司信息技术服务台对其容器进行清除。午127公司的目标并非个人数据，但公司也不保证在此过程中不会删除或清除个人数据。在此过程中，未128公司服务台提供一切必要的合作和协助。用户有责申129公司数据。双方对上述条款中的“离职当日”的理解存在分歧。案涉手机是在2023年3月13日，即闵某提交离职申请当天，被恢复的出厂设置。闵某认为，“离职当日”指雇佣关系终止之日，即双方确认的2023年4月23日；甲23公司认为，闵某提交离职申请之日，即为“离职当日”。未216公司提供的某申217公司的通常做法，酉218公司发出终止访问的指令为两种情况，一种是通知雇佣关系结束的时间和终止访问的时间一致；另一种是终止雇佣关系的时间早于终止访问通知邮件的发出时间，此时终止访问的指令为“尽快终止”。本院认为，戌219公司一方的惯常做法，离职当日，应理解为终止雇佣关系的时间。此种解释方式更能够说明上述两种情形存在的合理性。按照《移动设备安全政策》的规定，个人设备清除容器的时间为员工离职当日，公司亥220公司。而本案中，公司并未通知闵某交还手机，而是在闵某递交辞呈当日即采取了远程设备清除的手段，且清除设备的时间亦非雇佣关系结束之日。2023年3月13日，公司发出关于闵某离职和终止访问的通知邮件，可以佐证上述事实。该邮件记载的雇佣关系结束时间为2023年6月11日，第二次邮件修正的雇佣关系结束时间为2023年4月23日，而终止访问的指令却为“尽快终止”。由此可知，某公司并未按照《移动设备安全政策》进行操作。 本院另补充查明如下事实：《全球通信政策和程序》第八条年度认证和培训规定：员工至少每年一次通过合规门户确认熟悉本政策。《移动设备安全政策》2.8.操作系统和应用程序安全标准：禁止为了绕过安全控制措施或安装无授权软件而修改移动操作系统软件或环境，包括越狱或刷机解锁。禁止任何其他可能导致设备保修无效或违反适用支持协议的行为。某公司信息技术部可能会采取适当的措施，对此等设备进行补救，包括对设备进行物理检索或远程清除，以使其恢复并达到制造商的规格。 本案二审查明事实对一审查明事实错误的部分进行了更正，其他事实与一审查明事实一致。 本院认为，结合诉辩双方意见，甲221公司侵犯其个人信息权益的主张是否成立。 首先，需要判断清除案涉手机的行为是否导致闵某的个人信息灭失。民法典第一千零三十四条规定，自然人的个人信息受法律保护。个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定。个人信息保护法第四条规定，个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等。本案中，如二审查明事实所述，乙222公司丙223公司自有设备同时处理工作事务和私人事务的情况下，丁224公司业务相关的数据，以及闵某的个人信息数据。其中，电话号码、影像资料、通讯记录等信息属于用电子方式记录的，可直接或间接识别特定自然人，或与其有关的各种信息。故在对承载上述信息的移动设备进行删除处理时，势必会导致闵某的个人信息丢失。 其次，某公司是否为被诉行为的责任主体。某公司一再强调案涉手机的清除操作是某集团做出的，自己并非信息处理者，但不能否认的是，某公司是基于劳动合同以及公司移动设备管理政策对员工手机实施管理的主体，其肩负政策通知、教育培训，并及时向相关部门告知员工离职情况启动设备管理措施等职责，故可以将其认定为参与处理闵某个人信息的主体。戊225公司在一审中提出本案属于劳动争议案件的抗辩。《中华人民共和国劳动争议调解仲裁法》第二条规定，中华人民共和国境内的用人单位与劳动者之间，因确认劳动关系，订立、履行、变更、解除和终止劳动合同，除名、辞退和辞职、离职，工作时间、休息休假、社会保险、福利、培训以及劳动保护，劳动报酬、工伤医疗费、经济补偿或者赔偿金等发生的争议属于劳动争议，己226公司实施人力资源管理行为中侵犯其个人信息权益为由提起的网络侵权责任纠纷，并非上述法律规定的劳动争议纠纷。综上，庚227公司系被诉行为的责任主体，并无不当，本院予以确认。 第三，某公司是否承担侵权责任。《中华人民共和国个人信息保护法》第十三条规定，符合下列情形之一的，个人信息处理者方可处理个人信息：(一)取得个人的同意；(二)为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；(三)为履行法定职责或者法定义务所必需；(四)为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；(五)为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；(六)依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；(七)法律、行政法规规定的其他情形。本案中需要考量的是，某公司清空案涉手机数据的行为，是否符合上述规定中“实施人力资源管理所必需”的情形。根据二审查明事实可知，某公司并未按照《移动设备安全政策》2.12条聘用/辛228公司自有设备。如按此规定处理的话，闵某在交还手机的同时，必然会将个人信息移除，本案纠纷亦不会发生。即便参照个人设备管理，手机留给员工个人使用时需要清除设备数据，公司清除操作的时间亦不符合政策中所述的雇佣关系解除之日清除的规定。从措施适当性评价，如前所述，公司壬229公司敏感信息，癸230公司数据的安全，而非忽略或无视移动设备中存储的个人信息，正如2.13条所述，“某公司不打算清除严格意义上的个人数据”。从政策体系上分析，《移动设备安全政策》2.6条列举了不同的管理措施：“密码参数管理”“不活动超时”“无效认证设备锁定”“远程设备/应用程序清除与远程锁定”，而后续条款针对离职、设备丢失或被盗、越狱或刷机等不同情形，分别采取的不同层级的管控措施。其中“设备清除”作为终极措施，只在2.13条规定的设备丢失或被盗，以及2.8条规定的操作系统和应用程序安全受到危害的情形出现时才适用。而第2.13条规定的“某公司对公司自有设备或自带设备上可能丢失的任何个人信息概不负责”的免责条款，也是在该前提下才能产生免责效力。子231公司抗辩意见中所述，某公司可以不区分情况随意采取《移动设备安全政策》2.6条规定的各项措施，删除闵某个人信息而不承担侵权责任的话，那丑232公司政策违反个人信息保护法第六条规定的最小必要原则的问题了。综上，寅233公司采取的措施缺乏合理性，卯234公司相关政策的规定，其行为并非个人信息保护法第十三条第一款第二项规定的实施人力资源管理所必需的免责情形。一审判决对该项事实认定错误，导致法律适用有误，本院予以纠正。 第四，某公司承担责任的方式。民法典第九百九十五条规定，人格权受到侵害的，受害人有权依照本法和其他法律的规定请求行为人承担民事责任。受害人的停止侵害、排除妨碍、消除危险、消除影响、恢复名誉、赔礼道歉请求权，不适用诉讼时效的规定。个人信息保护法第六十九条规定，处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。前款规定的损害赔偿责任按照个人因此受到的损失或者个人信息处理者因此获得的利益确定;个人因此受到的损失和个人信息处理者因此获得的利益难以确定的，根据实际情况确定赔偿数额。民法典第一千一百七十三条规定，被侵权人对同一损害的发生或者扩大有过错的，可以减轻侵权人的责任。本案中，辰235公司的过错行为导致闵某个人信息权益遭受损害，由此产生的损失，某公司应当承担损害赔偿责任；巳236公司员工，根据现有证据，午237公司相关政策，在此前提下，未238公司自有设备处理个人信息时，应当及时备份个人数据，以避免出现规章制度中已经释明的风险发生。故闵某未认真阅读相关文件政策，未妥善保管个人信息，对损害发生具有一定的过错，可以适当减轻侵权人的责任。 民法典第九百九十八条规定，认定行为人承担侵害除生命权、身体权和健康权外的人格权的民事责任，应当考虑行为人和受害人的职业、影响范围、过错程度，以及行为的目的、方式、后果等因素。第一千条规定，行为人因侵害人格权承担消除影响、恢复名誉、赔礼道歉等民事责任的，应当与行为的具体方式和造成的影响范围相当。本案中，申239公司酉240公司政策不当而产生的损害，受到损害的范围不涉及公共领域，其公开致歉的诉讼请求，超出损害后果发生的范围，综合考虑侵权方式、范围、情节等因素，本院认为书面形式致歉的方式更为适宜。至于精神损害的赔偿，《最高人民法院关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》(2020年修正)第十一条规定：“网络用户或者网络服务提供者侵害他人人身权益，造成财产损失或者严重精神损害，被侵权人依据民法典第一千一百八十二条和第一千一百八十三条的规定，请求其承担赔偿责任的，人民法院应予支持。”就本案而言，闽韬系基于其个人信息灭失而提出的精神损害赔偿请求。其提出对自己精神伤害较大的祖父的影像资料并不属于闽韬的个人信息，而其他个人信息的灭失，难以认定为闽韬遭受严重的精神损害的原因。故该项请求，本院不予支持。《最高人民法院关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》第十二条规定，被侵权人为制止侵权行为所支付的合理开支，可以认定为民法典第一千一百八十二条规定的财产损失。综上，本院将根据双方的过错程度、侵权行为方式、损害后果等具体情况，对闵某主张的公证费、律师费等合理开支，酌情予以支持。 需要进一步说明的是，某公司一再强调员工离职，戌241公司的通常做法和标准流程。亥242公司基于保护商业秘密的考量，甲243公司数据优于员工个人数据的保护政策，乙244公司的通行做法。在中西方技术竞争激烈的当下，这种管理模式也起到了保护跨国企业技术秘密的良好效果。但将海外人力资源管理政策引入中国，应当遵循中国法律的规定，按照个人信息保护法、劳动法等相关法律，进行充分告知，征求意见，涉及个人信息的处理要遵循正当、合法、必要的基本原则。本案中，某公司的政策，针对不同情况，制定了不同梯度的管控措施，相对较为完善，但仍存在着部分个人信息处理的方式和处理时间未明确告知的问题；政策落实层面，案涉版本的《移动设备安全政策》于2021年3月3日实施，丙245公司及时将其推送全体员工，丁246公司按要求开展年度培训和员工确认签收等证据，戊247公司相关政策。在本案的事实调查中，己248公司发送过邮件之外，员工并未从其他渠庚249公司政策，即便是通知员工安装MDM插件时发送的邮件，以未见设备管控措施及后果详尽告知员工，辛250公司政策的知晓度不高，这也是本案纠纷发生的主要原因之一。壬251公司以此为鉴，不断改进管理模式，在保护自身利益的同时，关注员工的合理需求，创造以人为本的工作环境，建立开放、包容的文化氛围，来提升员工的忠诚度与满意度，使员工与企业能够和谐共振，相互促进，共同发展。 综上，闵某的上诉请求部分成立，本院予以支持。依照《中国人民共和国民法典》九百九十五条、九百九十八条、第一千条、第一千一百七十三条、一千一百八十二条、第一千一百八十三条、第一千零三十四条、《中华人民共和国个人信息保护法》第十三条第一款第二项、第六十九条、《最高人民法院关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》(2020年修正)第十一条、第十二条、《中华人民共和国民事诉讼法》第一百七十七条第一款第二项之规定，判决如下： 一、撤销北京互联网法院(2023)京0491民初18063号民事判决； 二、某公司于本判决生效之日起十日内以书面形式向闵某赔礼道歉，致歉内容须经一院法院审核，如逾期不履行该义务，一审法院将根据闵某的申请，在人民法院公告网刊登本判决主要内容，癸252公司承担； 三、某公司于本判决生效之日起十日内赔偿闵某合理开支8000元； 四、驳回闵某的其他诉讼请求。 一审案件受理费25557元，子253公司负担557元(本判决生效后十日内交纳)；闵某负担25000元(已交纳)。二审案件受理费25557元，子253公司负担557元(本判决生效后十日内交纳)；闵某负担25000元(已交纳)。 本判决为终审判决。 审 判 长 张勤缘 审 判 员 于颖颖 审 判 员 王 娟 二〇二五年一月二十三日 法官助理 张 伟 书 记 员 赵玉雪 本案法律依据 中华人民共和国劳动争议调解仲裁法 第2条 中华人民共和国劳动合同法(2012修正) 第4条 中华人民共和国劳动法(2018修正) 中华人民共和国民法典 第1000条 中华人民共和国民法典 第1034条 中华人民共和国民法典 第1035条1款1项 中华人民共和国民法典 第1173条 中华人民共和国民法典 第1182条 更多