1. 引言
作为中文互联网上体量第一的即时通讯应用程序，微信拥有超过10亿的用户，掌握着巨大的用户以及庞大的用户信息。在如此体量的用户流量的催生下，越来越多的应用程序在其用户登陆界面中引入了微信账号登录方式，用于新用户更加快速地登陆并且增加其流量，与此同时，也满足了用户仅用一个账号即能登陆不同应用程序的需求。不难发现，用户在初次进入第三方应用程序，包括微信所内设的小程序时，需要将包括昵称、头像、好友列表信息、地址等在内的个人的微信信息授权给该程序，否则将无法获取相应的服务。然而，应用程序无差别收集用户信息来分析用户画像或用作其他用途是否侵犯用户个人信息权益及隐私权成为了一个新的互联网隐私问题。在黄某诉腾讯科技(深圳)有限公司等隐私权、个人信息权益网络侵权责任纠纷案中，微信强制用户同意授权其好友列表信息给微信读书应用程序，微信读书后将用户信息对外公开，该行为被法院认定构成侵权的结果引出了对好友列表信息保护问题——界定好友列表信息的法律性质以及如何进行保护。在尊重人格的时代背景下，维护个人信息权益与尊重个人隐私利益是规制网络活动中不可或缺的重要命题，因此需要结合现有的法律规范与法学理论进行探索与分析。
2. 好友列表信息保护的现实困境
微信中的好友列表信息的保护存在一些困境，好友列表信息法律性质没有被明确界定，易造成法律适用时法律规范选择上的困难。应用程序在好友列表信息收集时并未给予用户拒绝的权利，知情同意的原则在此种情况下几乎形同虚设。而在用户授权好友列表信息使用时，对于选择个别好友授权应用程序使用也存在局限性。
2.1. 好友列表信息法律性质不明
正如王利明教授所说：“两者的客体本身具有重合性，在外延上往往存在交叉，这尤其体现在私密的隐私信息与个人信息可能存在高度重合。” [1] 个人信息与隐私权在客体之间存在交叉的关系，根据《民法典》第1034条第二款将个人信息分为私密信息与非私密信息，其中私密信息适用有关隐私权的规定；而有些个人信息不属于隐私，例如姓名、性别等一些已经公开的信息，则属于个人信息权益的保护范围内。由此可见，私密信息本身作为个人信息的组成部分，同时又与隐私形成了交叉和重叠。
立法者通过列举，将部分个人信息列入了《民法典》的条文之中，同时为将来新型信息留下了解释的空间。由于立法规定个人信息与隐私之间的判断标准强调信息的“私密性”，而何为“私密性”却始终没有做出明确的定义，两者之间的界限始终模糊不清的情况，在法律层面上，两者存在着无法精准定义的问题。
隐私所指向的私密生活、私密空间和私密活动，这些私密性则反应了不容随意抛弃的个人人格尊严。客观上，人际交往作为社会生活的一部分，不仅会体现一个人的身份，更可能会因此影响到个人的社会性评价，从而影响个人的安宁生活。由于信息科技的发展，人际关系从线下移植到线上，通过好友列表信息将人与人之间的社交关系扁平化，使得好友间的亲疏远近无法通过列表信息简单的推导出来。“微信读书案”的法院亦持有相同的观点，认为仅有在信息主体与特定人之间的关系较为私密而不愿为他人知晓，和信息主体一定量的社交关系公开可能遭受他人对其人格的不当评价而不愿为他人知晓这两种情况下，才符合一般社会认知中对社交关系上承载合理的隐私期待。而法院这种只考虑一般社会认知的客观因素，明显没有考虑到信息主体的具体情况，亦有失偏颇。
现实生活中线下结交他人的场景，不同性格的人会选择截然不同的方式进行社交。外向型人格的人会通过聚餐、组织活动等公开的方式结识他人；而内向型的人则会选择更为单线的方式保持与他人的联系，第三人很难知道其与他人是否有私人关系或者有多密切的关系，进而通过共同好友了解对方。因此即使同是好友关系，个人也会选择性的对其展示自己的兴趣爱好，并不会向所有好友展示其私人生活的全貌，由此体现个人对私人生活的自治。
2.2. 好友列表信息收集时知情同意形同虚设
大数据技术为用户提供个性化定制服务的前提需要用户对平台授权个人信息的采集处理，而现下的应用程序对信息读取应用方式大多遵循知情同意原则，即用户在初次登陆第三方应用程序时，程序会通过隐私告知协议对用户的信息进行一次性的获取和采集。而一旦出现用户不同意的情况，则不能使用该程序，实质上知情同意原则名存实亡。应用程序平台方利用自己的强势地位，强制用户同意其收集并使用用户的相关信息。事实上，应用程序平台方所提供的用户协议往往以格式合同的形式呈现，并不能向用户提供菜单式的选择，因此，用户常常陷入“不同意就无法使用”的境地，难以以自己真实的意思表示而做出同意的授权。
在“微信读书案”中，法院认定存在原告所主张的事实，即原告黄某在使用微信登录微信读书时，在微信读书获得原告个人信息的授权页面中，原告必须选择同时授权微信读书获得其头像、昵称、性别、位置及共同使用应用的微信好友，否则将无法以微信帐号登录使用微信读书。被告腾讯公司也承认曾存在原告黄某所主张的一次授权情形，还称“用户若不同意收集某项信息则无法使用”是腾讯公司对微信读书运营模式的选择。
2021年3月22日，国家互联网信息办公室、工业和信息化部、公安部、国家市场监督管理总局四部门联合公开发布《常见类型移动互联网应用程序必要个人信息范围规定》(以下简称《规定》)，《规定》第4条明确了“App不得因为用户不同意提供非必要个人信息，而拒绝用户使用其基本功能服务”这一基本要求，而“微信读书案”中被告腾讯公司的辩称此为其运营模式之选择，倘若腾讯公司不尽快进行合规审查并实施相应整改措施，就有违反《规定》之嫌。
当前处在数字化时代，微信、支付宝等移动互联网应用程序成为了人们生活中不可分割、不可缺少的一部分，极大地影响着人们的工作与生活，若不使用这类应用程序，将可能成为被边缘化的“数字弱势群体” [2]。由此可见，用户被胁迫同意应用程序平台方的收集与使用其个人信息，面对这样的“霸王条款”，知情同意原则可谓是形同虚设。
2.3. 好友列表信息使用选择局限
在大数据产业的新型冲突中，信息主体个人自决基础薄弱，无法形成有效的、代表个人自主意识的信息被收集使用的判断，从而导致信息被收集使用的个人随意做出决定，不能体现信息主体对其个人生活是否公开等自主意志 [3]。就第三方应用程序强制获取所有好友列表信息的情况而言，用户没有自由选择是否授权其使用该信息的权利，更无自主选择其中哪些信息予以使用的权利。
信息主体个人始终是其私人生活的直接感受者，是最有资格和能力来判断何种信息泄漏或者应用是否侵犯了其个人信息或者隐私权益，因此个人的主观因素不容忽视。个人之间的差异必然导致他们对不同类型的个人信息有自己私密程度的判断。当用户授权给平台方时，其并没有选择何种信息进行公开、何种信息保留不开放的权利。应用程序收集好友列表信息后做出的处理是将使用该程序的好友推荐给用户，并且建议双方进行关注和了解，这将任何与信息主体有线上好友关系的个人都能了解到其兴趣爱好与私人活动，反之亦然。而网络社交好友运行机制的前提是此款程序的功能是社交或者通讯目的，双方基于此目的彼此之间自愿对对方开放联络方式。在其他功能领域，例如烹饪、阅读、运动、游戏等应用程序中，其程序的用户对平台所提供的非社交性资源有获取需求，而非社交需求。此时平台获取好列表信息并向双方推送好友及好友在平台上所分享的信息，这种利用好友列表信息的单一模式就有可能侵害到部分用户的权益。
3. 好友列表信息的法律性质分析
微信用户好友列表信息的保护首要问题是判断好友列表信息的法律性质。结合好友列表信息的特征以及其功能可知，其具有可识别性，能够识别至特定的自然人，因此其属于个人信息的范畴。根据隐私合理期待理论进行分析，好友列表信息在某些场景下具有隐私利益，也存在因用户个人主观意愿让渡其隐私利益而获得第三方应用程序中的功能服务的情形，故而好友列表信息不完全属于私密信息，需要根据实际应用场景与用户个人主观上的隐私期待程度，并且结合一般社会认知来进行判断。
3.1. 好友列表信息属于个人信息
根据《民法典》第1304条对个人信息的定义：“个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。”同样，在《中华人民共和国网络安全法》第76条第五款中也将个人信息的定义重点描述放在了“可识别性”的特征上。《信息安全技术个人信息安全规范》(以下简称《信息规范》)将反映特定自然人活动情况的各种信息也纳入个人信息的概念范畴内。由此可见，单个或组合能够定位到特定自然人身份与活动情况的各种信息便可以被认定为是“个人信息”，个人信息的核心是“可识别性”。
以本案中的微信读书应用程序为例，腾讯公司获取的信息包括用户的昵称、头像、OPEN_ID以及共同使用微信读书的微信好友的OPEN_ID。这些信息虽然不包括微信帐号、手机号等可直接识别特定个人的信息，但是，OPEN_ID本身就是微信生成的识别用户的识别码，结合昵称、头像、OPEN_ID以及多个OPEN_ID之间的好友关系链等信息的组合并未达到匿名化和去标识化的程度，特别是OPEN_ID与用户主体身份具有强对应关系，在特定场景下结合其他数据仍可还原到相对应用户的具体主体身份信息。从微信读书对上述信息组合的实际使用场景来看，好友列表信息实际上达到了识别性标准。例如，在共同好友之间互相推送可能认识的人，双方便可从彼此的微信好友列表中确定其共同好友。
根据《信息规范》的附录认定个人信息的路径包括两种，其一是具有识别性，可以通过单个或者多个结合在一起的具有特殊性信息识别特定自然人，即从信息到个人；其二便是关联性，已识别的特定人在其活动范围内所产生的信息皆属于个人信息，即从个人到信息。
3.2. 好友列表信息不完全属于私密信息
微信除了存储联系人的功能之外，同时具有显著的社交互动特征。此外，目前许多移动互联网应用程序采用了微信账号进行一键注册的注册方式，之后可能会伴随授权使用用户微信好友列表，如果用户没有在意即同意授权，平台方就可名正言顺地使用用户好友列表信息，利用其社交链实现平台内部产品之间的引流。在上述情况下，用户对好友列表中的社交关系层面的信息可能存在隐私合理期待。
根据《民法典》第1034条第三款的规定，个人信息中的私密信息，适用有关隐私权的规定。由此可见，隐私与个人信息具有一定的交叉，个人信息可分为私密信息与非私密信息。虽然《民法典》没有提供具体方式区别二者，但可以从适用隐私权保护规定中得出，私密信息是具备“隐私”特征、具有隐私利益的信息 [4]。微信中的好友列表信息属于个人信息的范畴，但是是否属于个人信息中的私密信息还需要进一步判断。
“微信阅读案”的法院认为，“不愿为他人知晓”的“私密性”强调主观意愿，其不完全取决于隐私诉求者的个体意志，应当符合社会一般合理认知。由此可见，该法院认为判断是否属于隐私应当考虑是否具备隐私诉求者的个体意志，并且是否符合社会一般合理认知。而在其后的说理中，从合理隐私期待维度上，法院将个人信息划分为符合社会一般合理认知下共识的私密信息、不具备私密性的一般信息、兼具防御性期待及积极利用期待的个人信息。笔者认为该分类存在缺陷，即没有用其提出的标准予以判断，亦即《民法典》规定的“不愿为他人知晓”的构成要件是否成立，而是仅仅评价好友列表信息是否属于社会大众认知下的“私密”。换言之，法院在判断过程中削弱了隐私的主观性，转而强调隐私的社会属性，忽视了隐私所承载的权利人的人格尊严。
结合其他类似案件的判决书裁判主文来看，在当前的司法实践中，司法机关采用的说理大多与美国的隐私合理期待理论相类似，但是司法机关对于隐私合理期待理论的内涵以及具体操作方式都存在些许漏洞。美国联邦最高法院在1967年的卡兹案(Katz v. United States)中明确了隐私合理期待的判断步骤以及判断标准，利用该标准可以确定应受保护的隐私的界限。隐私合理期待判断步骤分为两步，第一步为主观标准的判断，即判断自然人主观上是否希望其隐私利益受到保护，是否拥有隐私应受保护的预期。第二步为客观标准的判断，即依照一般社会观念，判断在案件中该自然人的隐私期待是否合理且被社会客观认可。
若要根据隐私合理期待理论对微信好友列表信息进行分析，首先应当进行主观标准的判断。
微信好友列表信息作为信息，被使用是其价值得以实现的第一要义。随着大数据时代互联网科技的不断进步，多元化的应用程序在获取微信好友列表信息后呈现出不同的、丰富的使用方式。例如，游戏类应用程序获取好友列表信息意为使用户与列表中好友进行游戏；社交功能的应用程序使用好友列表信息后，会自动提醒已使用该程序的用户其好友开始使用该程序。因此，用户个人对于不同应用程序获取微信好友列表信息后使用的隐私期待会存在一定差别。
个人可能同时拥有多个微信账号处理不同的社交关系，也可能在其好友列表里对好友进行简单地、自定义分组形式地备注。由此可知，微信用户的好友列表信息的私密性将会因人、因具体关系而有所不同。因此，用户在同一应用程序中对于列表中不同好友有着不同的合理期待程度，比如在游戏类应用程序中，用户的游戏信息不希望被上司看到，但希望在同事、朋友中备受瞩目。
微信作为中国即时通讯应用程序的代表，因为拥有庞大的用户群体，所以不同的用户在主观上对好友列表信息使用的期待必然存在差异。一些用户则无所谓其欲使用的应用是否收集其微信好友列表信息，而部分用户会存在不想让其好友知晓其亦使用某应用程序的心理。在交友类应用程序方面，热衷于交友的用户会积极利用应用程序提示的“可能认识的人”来建立新的社交关系；部分用户会厌烦其推荐，并希望自己的账号信息不被好友的好友所看到、不被陌生人所打扰。
其次，对微信中的好友列表信息进行客观标准的判断。
是否符合一般社会观念的合理期待也随着大数据时代的发展而变化，也因应用程序使用微信好友列表信息的场景的不同而存在区别。如果仅将微信好友列表信息简单对应个人信息中的私密信息，可能会极大限制部分移动互联网应用程序某些功能的发展，无法满足部分用户对于程序使用的需求。
因此，不能将微信好友列表信息笼统地纳入个人信息中的私密信息，而是要根据不同的实际应用场景和用户不同的隐私期待程度来进行判断。在司法实践方面，司法机关对于好友列表信息的定性要同时考虑隐私诉求者的主观意愿与社会一般合理认知，二者缺一不可。
4. 好友列表信息保护的完善路径
应用程序在收集个人信息时应当遵循合法、正当、必要三项基本原则，因此应当完善应用程序的必要个人信息范围，非必要的情况下尽量不收集用户的微信好友列表信息。应用程序平台方还应当严格落实告知同意原则，在收集阶段设立区别化的用户同意机制，以对不同收集使用目的的好友列表信息进行区分，予以不同的“同意”程度。与此同时，平台方还应当最大程度地给予用户好友列表信息使用的自决权，使得用户能够根据自身特性、主观意愿，筛选部分好友列表来被应用程序使用。
4.1. 设立区别化的用户同意机制
知情同意的形同虚设使得用户在不知情或没有被赋予选择权时，同意了应用程序平台方对其好友列表信息的收集，甚至可能授权平台方收集其不愿公开的部分私密信息。故而，对于好友列表信息在收集阶段切实地落实知情同意原则，有利于保障用户的合法权益。而用户的同意必须遵循自愿的原则，收集阶段平台方不能强迫用户同意其收集行为，也不能使用默示同意的方式来获得用户的许可。
欧盟的《一般数据保护条例》(GDPR)第4条第11款对“同意”专门做出了限定：数据主体的“同意”是指数据主体通过一个声明，或者通过某项清晰确信的行动而自愿做出的充分知悉的、不模糊的、明示同意对其相关个人数据进行处理的意愿 [5]。在一般社会共识的情况下，类似于好友信息列表这些个人信息是否有采集的必要以应用的必要，需要基于信息主体自由及充分知悉的基础上做出清晰明确的意思表示。
由于微信好友列表信息收集的情景各异，故而所采取的同意的形式不可以千篇一律，而应当具有一定的差异性，设立区别化的、合理的用户同意机制。基于Helen Nissenbaum教授提出的个人信息采集、处理和利用中涉及隐私保护的情境完整性理论，应用程序平台方对于用户好友列表信息的采集，应当符合用户对由行为以及全部事件等因素共同构建的情境下隐私的合理期待。如果应用程序平台方的收集用户微信好友列表信息行为，超出了用户基于该情境下的隐私合理期待，则可能会侵害到用户的隐私。因此，只有用户处于真实的意思表示而明确地表示同意后，应用程序平台方之收集才能具有合法性基础。
按照收集行为后续使用可能会给用户带来的影响为导向进行划分，可以分为以下三种用户同意情境：可能被除用户外第三人发现的使用方式、深层次后续分析用户画像的使用方式以及其他使用方式。对于为前两者使用的收集，平台方在意图获取用户好友列表信息时应获取用户的明确同意，除此之外，其他情境下用于其他使用目的则可以取得用户的一般同意。若平台方使用用户的微信好友列表信息进行后续处理，将存在被除信息主体以外的其他用户所知晓的风险，则在收集时平台方应当取得用户的明确同意的表示。倘若平台方借助该信息深度分析得出用户画像，并将可能侵害到用户的人格利益，因此，平台方在为该使用目的而收集时，应当充分告知用户其使用目的使用户知情，并且获取其明确同意。
4.2. 赋予用户好友列表信息使用的信息自决权
信息主体需要被赋予信息自决权，在信息的收集阶段根据个人对信息的隐私合理期待等因素认定该信息为个人信息或者私密信息，否则，在出现类似“微信读书案”中的好友列表信息这种新型信息的纠纷时，由司法机关进行具体案例具体分析，造成司法资源紧缺的同时也会出现对于个人主观因素的考察难以用现有技术实现的困境。
欧盟在立法中并未采取按照个人信息之性质一刀切地纳入择入式同意，而是将其置于一种可以灵活调节的区间之内。平台需要授予用户信息的自主决定权，由信息主体自身根据实际情况确认何为自己的私密信息，何为自己的一般个人信息，再将自己的个人信息进行授权同意。微信朋友圈中所使用的分组显示以及仅共同好友才可见彼此之间的评论，对好友进行分类管理便是用户对好友列表信息进行自决的一种体现，由其决定自己的私人生活对特定人群进行展示，以保护其安宁生活。好友信息列表信息也应当纳入择入式同意的适用范畴之内，令用户可以根据自身特性来选择是否对其好友及特定好友公开自己私人生活。
4.3. 完善应用程序的必要个人信息范围
应用程序平台方的应用程序在收集个人信息时应当遵循必要原则，但目前存在以下问题：个人信息的收集超过其业务功能的实际需求；实际收集或者实际被开放的权限超出用户当时所知的授权范围；应用程序的新增服务申请收集的个人信息超出用户原有同意范围，倘若用户不同意其新的收集行为，则应用程序有权终止提供其原有服务 [6]。
在大数据时代的背景下，个人信息存在个人自主、社会交流和公共利益相互融合的价值。如果隐私涵盖私人领域中与公共事务无关的所有信息，并且都得到绝对地保护，那么将不利于信息的使用与流通。个人信息应当强调利用与保护的平衡，而不是仅仅追求保护。换句话说，个人信息的主要目的不是对个人信息的绝对保护，而是在一定范围内对个人信息进行合理地处理与利用。因此，个人信息应当被合理地进行分“场景”探讨，以进行相应地合理利用与保护。
《民法典》第1035条明确了处理个人信息应当遵循合法、正当、必要三项基本原则，其中的必要性原则暗含不同场景下所需收集的不同个人信息的必要性存在差异，并可能随着场景发展而产生变化。《规定》将常见类型移动互联网应用程序明确划定了39种类型，也就是39类“场景”。由《规定》的内容可知，除了即时通信类应用程序的必要个人信息要求收集即时通信联系人账号列表，其余类型对此只字未提。“微信读书案”中涉案移动应用程序为《规定》中的电子图书类，《规定》明确表示无须个人信息即可使用其基本功能服务。换而言之，除即时通信类以外，其他类型应用程序并没有收集并使用用户好友列表信息的必要性。
而结合实际情况可知，网络游戏类应用程序可以分为单人游戏与多人联机游戏，笔者认为只有多人联机游戏应用程序具有收集并使用好友列表信息的必要性，因为在此类游戏中，用户与某一平台好友共同游戏为其主要功能之一；其他类型的网络游戏应用程序并非必须使用好友列表信息，在没有好友的情况下，用户也可以从中体验游戏乐趣。
因此，在充分考虑好友列表信息的性质、功能与作用下，关注好友列表信息中私密信息的问题，将移动互联网应用程序的“场景”以及必要个人信息范围进一步细化与完善，并且有效落实相关规定，对好友列表信息的处理做到合法、正当且必要。
5. 结语
信息科技发展带来的数据信息井喷式激增的现实情况不过是在这一二十年内形成的，而由此现状引发的个人信息保护问题，相关的学术理论认识和制度建构都尚处于不断探索的阶段。司法实践中出现大量引发社会关注的涉及用户好友列表信息的案例，使得微信用户的好友列表信息法律性质以及保护方式的讨论逐渐成为了社会热点问题。微信用户的好友列表信息具有可识别性，因此属于个人信息的范畴，但不能简单将其归入个人信息下的私密信息，而是根据不同的实际应用场景以及用户不同的隐私期待程度来判断是否为私密信息。“微信读书案”的司法机关利用“合理隐私期待”试图对好友列表信息进行分层讨论具有积极意义，但仍然需要进一步探索其适用方式。在保障信息主体的合法权益与实现信息的流通价值前提下，对于好友列表信息的保护要从规制应用程序平台方行为的角度出发，最大程度上赋予信息主体信息自决权，在《民法典》的框架下不断进行完善与发展。