在線訂票名下出現非本人機票 商家“轉手”個人信息被認定侵權

在線訂票后，名下竟出現非本人訂購的“幽靈機票”，是誰在替我們“虛假出行”？如今，OTA平臺(在線旅游平臺)已成為多數人預訂機票的首選渠道，個人信息一鍵上傳即可完成操作，便捷高效的背后，信息泄露與濫用的風險也悄然潛藏。一旦平臺內部分商家擅自“轉手”，用戶個人信息便可能流向未知領域，引發一系列糾紛。

近日，北京互聯網法院審結了一起機票訂購引發的個人信息侵權糾紛案件，明確平臺內商家對外提供個人信息未取得消費者單獨同意構成侵權，需承擔相應民事責任。

案情顯示，原告吳某通過某OTA平臺訂購甲市至乙市的機票。訂票過程中，其姓名、身份證號、手機號、出行行程、支付信息等核心個人信息，先后在四被告之間流轉。四被告分別為某OTA平臺經營者、涉案訂單收款方、平臺內商家及某航空公司。

此后，吳某在航空公司官方App中發現，自己名下竟多出了兩段非本人訂購的行程機票，分別為乙市至丙市、丙市至丁市。吳某認為，這屬于“幽靈機票”，系其個人信息被濫用所致，四被告作為個人信息共同處理者，在行程預訂、收款等環節，未履行告知義務，未經授權處理其個人信息，共同侵害了個人信息知情權、決定權，要求四被告公開致歉，并共同賠償經濟損失和維權合理開支。

案件審理過程中，四被告均辯稱無侵權行為。其中，平臺經營者稱已盡平臺告知義務，個人信息流轉是履行合同所需，并非共同處理；收款方稱僅受托代收款項，未獲取原告個人信息；平臺內商家稱其委托案外某票務代理公司訂票，多訂機票為案外人單方操作失誤所致，其獲取原告信息屬于履行代訂合同必要行為；航空公司則稱其被動接收訂票信息，已如實展示客票相關內容，對票務代理人的多訂行為無監管過錯。

北京互聯網法院經審理查明，本案中，平臺內商家無涉案航空公司出票代理資質，其從平臺經營者處獲取吳某個人信息后，未向吳某告知也未取得吳某同意，即將信息提供給案外票務代理公司，該公司工作人員多訂了涉案爭議機票。在此過程中，平臺經營者向收款方傳輸的支付信息為去標識化處理的個人信息；航空公司系統中乙市至丙市的行程為虛擬行程，未實際出票，且已在其官方App中完整展示涉案客票相關信息。

法院經審理認為，原告吳某的姓名、身份證號、出行行程及去標識化的支付信息均屬于個人信息，吳某對上述信息依法享有個人信息權益。四被告中，平臺經營者、平臺內商家、航空公司為個人信息處理者，且三者是基于不同合同關系、以不同目的和方式處理原告個人信息，相互之間無意思聯絡，不構成個人信息共同處理者；收款方為平臺經營者處理支付信息的受托人，是個人信息處理者的受托人。

結合各被告的具體行為及責任，法院認為，平臺經營者已在吳某購票環節顯著披露信息處理相關內容，按最小必要原則傳輸個人信息，未侵害吳某個人信息權益；收款方按委托約定處理去標識化的支付信息，不構成侵權；航空公司如實展示客票信息，無信息隱瞞或主觀過錯，涉案爭議機票為案外票務代理公司預訂，不構成侵權。唯獨平臺內商家，在向案外人提供吳某個人信息時，未履行法定告知義務，也未取得吳某的單獨同意，違反了個人信息處理的“告知-同意”規則，侵害了原告的個人信息知情權、決定權，依法應承擔侵權責任。法院同時認定，平臺經營者已盡到事前資質審查、事后糾紛協調處置等平臺注意義務，無需對平臺內商家的侵權行為承擔連帶責任。

法院判決，被告平臺內商家就侵害個人信息權益一事以書面形式向原告賠禮道歉并賠償維權合理開支，駁回原告其他訴訟請求。該案判決后，原被告均未上訴，該案判決已生效。

北京互聯網法院法官張園解讀，通過OTA平臺訂票，平臺用戶下單時填寫的姓名、身份證號、出行行程、支付信息等，都是受法律保護的個人信息。根據個人信息保護法規定，去標識化是指個人信息經過處理，使其在不借助額外信息的情況下無法識別特定自然人的過程，因此去標識化處理后的信息仍屬于個人信息范疇，同樣受法律保護。

此外，個人信息保護法明確了以“告知-同意”為核心的個人信息處理規則，處理個人信息應在事先充分告知的前提下取得個人同意或者符合法定條件。個人信息處理者對外提供個人信息時，需履行明確、具體的告知義務并依法取得用戶單獨同意。

據介紹，為從源頭上減少此類糾紛，北京互聯網法院已向該OTA平臺經營者發送司法建議。平臺方表示將嚴格按照司法建議，督促從事機票預訂業務的商戶合規經營，同時加強日常核查監督，及時整改不合規經營行為。

張園強調，OTA平臺經營者應切實履行平臺監管責任，嚴把入駐商家資質審核關，及時處置侵權投訴，筑牢個人信息保護防線，避免因疏于監管承擔連帶法律責任。平臺內商家應恪守“合法、正當、必要”原則處理用戶個人信息，嚴格落實“告知-同意”規則，對外提供個人信息時，務必取得用戶單獨同意，嚴禁擅自流轉、超范圍處理、違規泄露用戶信息。

法官也提醒廣大消費者，在線選購機票、旅游產品時，務必仔細閱讀隱私政策、授權聲明，留意個人信息的處理范圍、流轉對象，一旦發現個人信息被擅自流轉、違規使用，應及時留存證據，通過訴訟、投訴等方式依法維權。