互联网平台显示用户IP归属地法律问题探究

互联网平台显示用户IP归属地法律问题探究

张江蓉

昆明理工大学 650000

摘要：互联网平台以规制网络社区言论，净化网络空间为基准上线了自动显示用户IP归属地功能。平台和大多数网民认为IP归属地并不属于个人信息，也不属于隐私。仅从单一视角出发，一条信息难以得出结论，同样一个IP属地也不会引起波澜。事物具有多样性，影响是多元化的，在科技时代的今天，发达的再识别技术已经可以将部分个人信息与外部信息结合，精准识别的个人。在此种背景下，IP归属地属于个人信息，互联网平台未经用户同意显示IP归属地侵犯了公民的个人信息权益。

关键词：IP属地、个人信息保护、隐私权、网络传播秩序

一、问题的提出

在万物皆可互联的时代，信息爆炸影响了人民的生活，网络暴力、网络造谣、网络侵权等现象逐年攀升。为了维护网络传播秩序，抵制虚假信息，打击造谣传谣等不法行为。2021年中华人民共和国国家互联网信息办公室发布了《互联网用户账号名称信息管理规定（征求意见稿）》，对互联网进行了“清网”行动。为响应号召，2022年3月初，新浪微博率先发布公告，说明其将上线自动显示用户IP归属地的功能，以减少虚假信息的流动，随后4月28日该功能测试稳定后即上线。此后，抖音、小红书、今日头条等互联网应用软件都推出该功能。该功能的出现一时引发起网友的激烈讨论。显示IP属地是否可以净化网络空间？IP属地的显示会暴露我的住址吗？IP属地会是否侵犯个人信息和隐私权？除了这些基本问题的考虑，互联网平台自动显示IP归属地的这一行为的法律依据是什么？未经用户同意强迫显示IP归属地是否违反了《个人信息保护法》第13条？针对这些问题首先必须明确的一点是，IP归属地是否属于个人信息应根据运行软件是否支持用户任意查看功能，例如微博，小红书此类社交软件，就可以公开用户过去和最新发布的信息动态，其他用户可以进入特定人的账户页面查看他的信息，此时IP归属地属于个人信息；在微信社交软件中，除公众号和视频号外，普通用户仅在评论区留言时会显示IP归属地，并且不支持任意查看功能，在此种情形下不属于个人信息。本文主要说明的是在支持用户任意查看功能情形中公布的IP归属地性质。

二、IP归属地的法律属性定位

个人信息分化于隐私权，二者之间有着紧密的联系，在范围上也出现了部分交叉重叠，同时对个人信息的保护也被视为是对隐私保护的手段和重要支持，因此在区分隐私和个人信息两个基本范畴时有一定的难度。IP归属地的出现，再次引发对两者区别的讨论，明确IP归属地的属性，方能探讨相关的法律问题。[1]

（一）IP归属地与隐私的关系梳理

隐私是一个具有鲜明历史性的概念，其深受民族、历史、文化的影响，中西方文化历史背景的差异，致使我国对隐私的界定与西方国家有些区别，同时我国千年来一直以义务为本位，因此隐私受到我国法律重视的时间并不长。梳理IP归属地与隐私的关系，即IP归属地的法律性质是否为隐私受法律对隐私权的保护，首先需要确定隐私的概念，此处有一个概念的混淆，不少学者将“隐私”与“隐私权”两个概念混用，尽管依据牛津字典对隐私的解释，其确实可包含权利之意义，但不精确地使用二者不利于界定隐私。实际上“隐私”和“隐私权”具有不同的含义，隐私是一种陈述性事实性的概念，是隐私权保护的客体；而隐私权是一种人格权。自隐私一词的问世，就引发激烈的讨论，纵观国内外的研究可以发现对隐私的定义一直都没有一个较为满意的结论。[2]2020年我国《民法典》的颁布首次以官方文件的形式给予隐私法定的含义，第1032条第2款定义了隐私的含义“隐私是自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息”。该定义依然遵从了我国学界的通说，即构成隐私有两个要件“私”和“隐”。要件一“私”，可以从两个方面去理解。一方面，“私”是指与公共群体利益完全无关的事实。“公”与“私”的区分界限明显，任何与公共利益、群体利益挂钩的事情都不能称之为隐私；另一方面，“私”强调与隐私主体有很强的关联性和秘密性，即依据社会公序良俗去推定，该项隐私对于某个特定的自然人属于“极度私人的”、“私密的”，并且其知晓者参与者都是有限制的，同时此项隐私可能因为带有主体的羞耻心、感情等心理因素，是不希望被关注的。“私”是对自然人的物理空间、社会空间、心理空间非涉及公共利益区间私密性，私人化的强调。要件二“隐”则是指隐私主体具有合理的隐私期待，“隐”不是说对于某些事情，某个信息其事实状态完全不为人知，而是指隐私主体从主观上期待他人并不知悉的状态。

综上所述，遵循隐私的两个基本要件IP归属地并不属于隐私。公布IP归属的多是支持用户任意查看功能的社交软件，用户注册后其在平台上发布的信息本身就是向社会公众不确定人群投送的，说明是具有公开性的且很有可能涉及公共利益或群体利益，对此用户是明知的，很明显这不属于“私”范围；同时在互联网时代，很多人是通过大数据推送争取曝光率，获取收益，因此“隐”一要件也并不符合，用户甚至还希望自己发送的信息被大范围知晓，但其可能不希望暴露真实的物理地址。

（二）IP归属地属于个人信息

在分析IP归属地是否属于个人信息时，无法回避IP地址与IP归属地的关系。IP地址是《信息安全技术 个人信息安全规范》明确列举出来的个人信息。IP地址是IP协议统一的一种地址格式，是互联网上每一个网络、每一台上网设备的逻辑地址，用以屏蔽物理地址的差异，具有明显的唯一性。属于《民法典》第1034条和《个人信息保护法》第4条定义的个人信息，是可直接识别性个人信息。那么IP归属地是否与之有关？首先，必须明确的一点是IP归属地并不等同于IP地址。其次，IP地址是网络逻辑地址，而IP属地是网络逻辑地址的物理地址。当明确一个IP地址后，只需要在IP查询工具上搜索即可获取IP所在的大致地理位置，该地理位置便是IP属地，目前各互联网用户平台仅将属地显示到国家和省一级，具体位置并未得到暴露。IP地址是法律直接列举的个人信息，属于直接识别性信息，IP归属地是对IP地址进行处理后得到的结果。毋庸置疑，IP地址属于明确列举的个人信息，那么基于IP地址处理后得到的IP归属地是否属于个人信息？

在厘清这个问题前，首先要明确个人信息的概念及其识别方式。对于个人信息的保护和相关法律的制定，我国一直晚于大多数国家，因此在这方面有所欠缺。针对个人信息的概念一直没有具体定论，我国对于个人信息的定义散落在不同法律法规中。2020年5月《民法典》第1034条规定了个人信息的定义并列举出一些属于个人信息的类型，2021年11月《个人信息保护法》生效该法第4条再次定义了个人信息。两次正式立法对个人信息概念的规定并不一致，这不由让人产生困惑，定义的不统一，由此带来的困难是对个人信息识别的困难。但从两个规定中可以看出我国立法对于个人信息的界定所采模式为“识别+关联”模式。在该模式中“识别”为核心要件，识别包括“已识别”和“可识别”两种情况。根据WP29工作小组（Article 29 Data Protection Working Party）的观点，“已识别”是指当某个自然人在一群人中与其他成员“有区别”时，那么该自然人就被视为“已识别”。“可识别”则是指某个自然人目前还未被识别，但将来有被识别的可能性。通常“可识别”是决定该信息是否为个人信息的关键，也是学界争议的焦点。“可识别”细分为直接识别和间接识别，直接识别是指仅需通过某个单独的信息就可以直接识别出特定自然人；间接识别是指通过某个单独的信息无法识别出该特定自然人，但是通过关联其他信息即可识别到。[3]目前，法律规定的可直接识别出自然人的信息有身份证号码、生物识别信息、住址、电子邮箱、IP地址等。而间接识别信息的范围在逐渐扩大，识别难度也比较大，IP归属地就属于不易界定的间接识别信息。

综合上述，IP归属地仅仅是对IP地址进行信息处理后显示的物理地址，从空间地域信息维度出发，其并不属于个人信息。正如前文提及的一样，在不支持用户任意查看功能的软件中，平台显示用户的IP归属地并不会引起什么影响，IP归属地在中国境内只显示到省一级，在中国境外只显示到国家。依据《民法典》第1034条和《个人信息保护法》第4条的规定去看，省份名和国家名不能单独识别特定的自然人，也不属于已识别的信息，IP归属地并不会暴露特定的自然人，毕竟在显示的区域内有众多的用户，可识别性极低。在此种情况下，显示IP归属地对抑制谣言起到了一定的作用。然而在支持用户任意查看功能的软件中，一切又不能如此绝对的看待。我国对个人信息的识别模式为“识别+关联”，识别虽是核心，关联的重要性也不可小看。当平台支持任意查看功能时，再显示用户IP归属地，识别特定的自然人就没有那么复杂，尽管不能直接识别，但结合该用户分享的其他信息时，每个信息之间形成了连接点，一张完整的信息网就能“捕获”该特定的自然人。在此种设定中，“关联”性强调地是，若已知既定个人，知晓关于该特定自然人的进一步信息也属于个人信息。[4]例如，用户乙在某平台分享了自己生活场景的一角以及自拍（信息A），到当地某餐厅吃饭丙提及店名（信息B），单独从一个信息出发似乎还不能识别该用户，倘若其在某帖子、论坛下发表言论显示了其IP归属地（信息C），其他用户进入用户乙的个人页面，通过信息A+信息B+信息C+信息N…增加了识别特定用户乙的机率。[5]笔者认为IP归属地属于个人信息。信息本身不会直接到来损害，会带来损害所处得场景，完整得场景很容易识别信息主体，继而对个人信息权益造成威胁，因此必须对信息流通时的整体场景进行评估。[6]《个人信息保护法》的立法目的就是保护公民的信息安全，在网络技术日益精进的今天，大量的信息充斥，很多新闻信息的真假已经难以区分，网友激进言论引发众多网络暴力事件。显示IP归属地是否真的能净化空间？是否真的抑制得住谣言？而这小小举动是否会引起新一轮“地域黑”和新一起“网络暴力”呢？

三、互联网用户平台显示IP归属地合规性分析

IP地址是明确规定的个人信息，而IP归属地是平台对已经获取的IP地址进行处理后而公开的信息，因此公开IP归属地属于对个人信息的处理行为。那么就需依据《个人信息保护法》的规定去分析此行为的合法性，依据《个人信息保护法》第13条的规定，法律明确列举了七种情形下可以可以对个人信息进行处理。（一）取得个人的同意；（二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；（三）为履行法定职责或者法定义务所必需；（四）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；（五）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；（六）依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；（七）法律、行政法规规定的其他情形。依据该条的规定可以发现在处理个人信息时必须遵循“告知——同意”规则，第一项的规定是基本原则，第二项至第七项是例外原则。

首先，平台公开IP归属地的行为不符合第13条第一款第一项的规定，即未取得用户个人同意。以微博为例，其对公开IP归属地先前没有任何提示和通知，仅发布三条微博在官方账户，在很多人都还不知晓的情况下就上线了此功能。同时在《隐私政策》和《用户协议》中也未显示该功能。这表明平台并未取得用户同意，不符合第一项的规定。同时从法条具体内容看，也不符合第二项、第四项、第六项的规定。

其次，抛开第七项兜底条款的规定，还剩余2种情形。针对第三项的规定“为履行法定职责或者法定义务所必需”。目前尚未有法律、法规对平台公开IP归属地有所规定。与之有关的是国家互联网信息办公室于2021年10月26日公开的征求意见稿《互联网用户账号名称信息管理规定（征求意见稿）》第12条规定“互联网用户账号服务平台应当以显著方式，在互联网用户账号信息页面展示账号IP地址属地信息。境内互联网用户账号IP地址属地信息需标注到省（区、市），境外账号IP地址属地信息需标注到国家（地区）。”依据该规定显示IP归属地确实合法，但该文件仅是征求意见稿没有任何法律效力。互联网平台没有任何合法依据去支持其强制公开用户IP归属地的行为。

最后，第五项规定的情形是“为了公共利益而进行新闻报道和舆论监督时在合理公开个人信息”。互联网平台认为公开IP归属地可以维护信息传播秩序，但传播秩序于新闻报道、舆论监督有什么关系呢？同时第五项规定的“合理范围”怎么确定呢？在具体场景下，例如监督一般是针对公众人物的信息监督，普通公众是否也要接受舆论监督呢？法律规定需要对未成年人个人信息进行特别保护，而平台对所有用户都公开IP归属地，这样的行为是否超过了合理范围？

总之，目前公开用户IP归属地的几大平台既没有取得用户同意，也不符合法律的例外规定，公开用户IP归属地的行为有可能涉及违法。

结语

IP归属地一类“间接识别信息”目前大部分不被认定为个人信息。但《个人信息保护法》的立法初衷就是维护好个人信息的安全，并且互联网技术的突飞猛进，应当考虑到信息的“关联性”，“间接识别信息”一旦加上其他额外信息就可识别出特定信息主体，增加暴露个人信息的危险性。因此，笔者建议互联用户平台应当对其处理的个人信息做好保护影响评估，减少用户信息暴露风险，合理平衡数据运用和个人信息隐私的保护。

[1] 石佳友.隐私权与个人信息关系的再思考[J].上海政法学院学报，2021（05）.

[2] 徐亮.论隐私权[D].湖北：武汉大学，2005.

[3] 李黎.个人信息概念的反思：以“识别”要件为中心[J].信息安全研究，2021（08）.

[4] 张新宝.《<中华人民共和国个人信息保护法>释义》[M].北京：人民出版社，2021：39-42.

[5] 高亚平，纪倩.IP归属地≠IP地址，网络平台公开IP属地的合规评析[Z].德恒探索，2022年5月10日.

[6] 王苑.敏感个人信息的概念界定与要素判断——以《个人信息保护法》第28条为中心[J].环球法律评论，2022（02）.