內部工作群聊公開消費者個人信息算不算“泄露隱私”？

消費者張先生日前向澎湃公眾互動平臺“服務湃”（https://tousu.thepaper.cn）反映稱，他在登巴客棧續訂住宿時連續被拒。更讓他氣憤的是，包括他姓名、身份證號、皮膚病等敏感個人信息被公開在了登巴客棧內部工作群內，其中還包括“具有傳染性皮膚病”等引人誤解的標注。

2月24日，澎湃新聞刊發了標題為《客棧涉嫌泄露銀屑病患者隱私信息拒其續訂，消費者稱將起訴》的報道，稿件一經發布引發熱議。

內部工作群聊發布消費者隱私信息這一行為，在判定是否構成法律意義上的“信息泄露”時，關鍵依據有哪些？消費者入住酒店后，個人健康等隱私信息的控制權如何界定？商家內部使用此類信息的邊界在哪里？

澎湃新聞（www.kxwhcb.com）就此采訪了華東政法大學法律學院副教授孫維飛、大成（上海）律師事務所合伙人趙云虎，一同探究合法使用個人信息的邊界應該在哪里。

內部群傳播也可能構成泄露隱私

據澎湃新聞此前報道，涉事酒店登巴客棧浦東Costco開市客康橋東地鐵站店工作人員在內部工作群，公布了消費者張先生的真實姓名、身份證號、銀屑病等關鍵信息，張先生認為這是嚴重泄露個人隱私的行為，且散布不實信息。

那么，涉事酒店的上述行為能否判定構成法律意義上的“信息泄露”？華東政法大學法律學院副教授孫維飛表示，依據民法典第1032條和個人信息保護法第13條的規定，判定酒店是否構成信息泄露，主要看其行為是否正當、必要和合理。

趙云虎則指出，從信息性質來看，消費者張先生的姓名、身份證號屬于個人信息保護法第4條定義的“個人信息”，而銀屑病病情屬于個人信息保護法第28條規定的“敏感個人信息”（涉及健康狀態）。“酒店處理行為是否具有合法性，要看酒店在內部群公開信息的行為是否取得張先生同意，以及是否符合個人信息保護法第13條規定的‘履行合同所必需’或‘維護公共利益’等合法事由。”

從傳播范圍與必要性的角度分析，趙云虎認為，即使消費者張先生上述信息僅在內部群傳播，但如果群成員范圍超出必要限度（如非直接相關人員），或信息內容超出警示目的（如包含身份證號、不實標注“具有傳染性”），則可能構成泄露。

健康信息屬敏感個人信息，使用應有邊界

消費者入住酒店后，個人健康等隱私信息的控制權如何界定？酒店在內部使用這些信息的邊界在哪里？

“酒店不得擅自泄露到社會上，這個邊界是很容易建立的。”孫維飛認為，在工作群中散布和工作毫無關系的信息自然也不正當，邊界也容易確定。“本案的問題在于，公布消費者的信息是工作正當必要和合理行為嗎？另外，還要考慮消費者有無主動告知自身皮膚狀況的義務。”

趙云虎表示，消費者健康信息屬于敏感個人信息和個人隱私，控制權歸屬于權利人本人，酒店僅在履行合同（如登記身份）或應對突發公共衛生事件時，可合法收集必要的健康信息。

對于這類信息的使用邊界，“第一是目的必要性，僅限用于履行住宿合同所必需（如身份核驗、安全保障）或是出于維護公共利益、應對突發公共衛生事件的目的。第二是手段匿名化，在酒店內部警示時應隱去身份證號等直接標識符。第三是內容真實性，不得傳播未經核實的健康信息（如錯誤標注‘具有傳染性’）。”趙云虎說。

消費者張先生稱已向上海浦東新區法院起訴。那么消費者重點需要從哪些方面舉證酒店存在泄露隱私的行為？

趙云虎表示，首先是舉證酒店存在泄露行為，要提供內部群聊天記錄截圖（需公證）、第三方平臺溝通記錄。其次，要提供病歷證明銀屑病無傳染性。

趙云虎指出，酒店即使是為了維護公共利益，也應當是采用必要的對消費者影響最小的方式。另外，消費者還可從精神損害、實際損失兩方面進行舉證。“這個需要從酒店未履行保密義務（如未限制群成員范圍）、未核實信息真實性（如直接標注“具有傳染性”）等方面進行舉證。”