在社交平台上“开盒挂人”——“非法搜集并公开他人姓名、手机号、身份证照片等个人信息，进而煽动网暴攻击”在网络时代屡有发生。近日，北京互联网法院审结一起社交平台“开盒挂人”案件，判定发布侵权内容的用户及未尽到信息安全保障义务的平台均须承担侵权责任。

张某“开盒”并煽动网暴

平台仅将内容设“私密”或删除

因对明星赛事结果有不同认识产生争议，2023年10月，本案被告张某在某社交平台发布了多条内容，将郑某某的社交平台账号与其对应的注册手机号、姓名、身份证照片等个人信息公开，配以人身攻击性质的侮辱性言论，并煽动网友网暴，导致郑某某收到大量恶评、验证码短信骚扰。此外，张某还对其他多名平台用户实施类似“开盒”行为。

被“开盒”的郑某某投诉后，平台将相关内容设为“私密”或删除，未采取进一步措施。原告郑某某于是将平台运营主体某科技公司及张某诉至北京互联网法院，请求赔礼道歉并赔偿精神损害。

法院认定

张某和平台均侵权

法院根据种种证据，认定张某是涉案账号的实际使用人，张某的行为侵犯原告名誉权、隐私权及个人信息权益。此外，被告张某在“开盒”前，还曾发布“……开你都开不明白吗？要不我教教你……”的文字内容并@原告账号，上述文字内容中的“开”是网络用语“开盒”的简称，意指获取并公开曝光他人隐私个人信息的行为。法院认为，张某发布上述文字内容言语挑衅，足见其故意侵权主观恶意之大。

法院还认定平台未尽到信息安全保障义务，也构成侵权。法院认为，获取除郑某某以外其他五位平台用户的个人信息的必要前提，是获取账号所对应的注册手机号码，而账号与绑定手机号码的关联关系理应仅由被告某科技公司收集并存储，他人只能从被告某科技公司处获取。

被告某科技公司虽辩称在2014年已获信息系统安全等级保护三级备案，但该备案时间与案发时间相隔较久，也未能举证证明其在案发时已履行充分的安全管理职责。在原告向平台举报涉案侵权账号后，被告某科技公司仅仅对涉案侵权内容进行私密、删除等处理，对涉案账号进行禁言、扣信用分、自动隐藏等处置，而未及时采取其他有效技术措施防止用户个人信息的泄露，也没有向相关个人信息主体告知并向主管部门报告，导致至少另有五位该平台用户被张某以类似手段“开盒”。

《个人信息保护法》第六十九条第一款规定，处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。我国《个人信息保护法》规定个人信息侵权责任适用过错推定，因此，在没有相反证据的情况下，能够推定被告某科技公司作为个人信息处理者泄露了包括原告在内的多名用户的个人信息，在数据安全管理上存在漏洞，未尽到个人信息安全保障义务，应当承担泄露用户个人信息的侵权责任。

北京互联网法院最终判决被告张某以及某科技公司在涉案社交平台向原告郑某某赔礼道歉，赔偿原告郑某某精神损害及维权合理支出。

北京互联网法院法官李文超提醒，网络空间并非法外之地，虚拟账号一旦通过实名认证，即可与现实主体建立唯一对应关系。在虚拟空间发布针对特定账号的侵权内容，只要能够使他人识别、关联到现实主体，就构成对相应主体人格权益的侵害。同时，平台作为个人信息处理者，应当持续完善技术与管理措施，充分履行个人信息安全保障义务，共同营造清朗网络空间。