原标题：今日头条案：通讯录到底是不是个人隐私信息？！
近日，在刘先生状告今日头条侵犯个人隐私案件中，今日头条代理律师辩称通讯录不属于个人隐私信息的说法在网上引起轩然大波，大家普遍认为今日头条有强词夺理之嫌，通讯录显而易见属于个人隐私信息。
那么，通讯录到底是不是个人隐私信息，笔者从以下五个方面为大家一一分析，阐述通讯录的内涵、性质、以及应该如何收集使用。
首先，通讯录包含哪些信息？
今日头条代理律师认为，通讯录信息不属于原告个人隐私信息，电话号码在日常民事交往中发挥信息交流作用，不但不应保密，反而是需要向他人告示。
通讯录仅仅是姓名、电话号码吗？通讯录至少包含了三层信息。第一层是个人信息主体的姓名、电话号码；第二层是联系人信息，包括联系人的姓名、昵称、电话号码、公司、职位、地址、生日等信息；第三层是个人信息主体的社交网络关系信息，包括个人身份信息、家庭信息、其他社会关系信息等。
对于个人信息主体来说，通讯录是个人累积多年社交关系网的一种呈现，而且上述信息中包含了个人敏感信息范畴中的信息种类。所以，通讯录不仅仅是“电话号码”单一信息。
其次，通讯录是否属于个人信息？
《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第一条规定“通信通讯联系方式”属于“公民个人信息”；国家推荐标准《信息安全技术 个人信息安全规范》（以下简称“旧版安全规范”）第3.1条则明确，个人信息包括“通信通讯联系方式”。
而2019年6月25日发布的《信息安全技术 个人信息安全规范（征求意见稿）》（以下简称“新版安全规范”）附录B中表B.1“其他信息”与旧版安全规范相比，删除了“个人电话号码”，而增加了“通讯录、好友列表、群组列表”，从新版安全规范的变化可以看出，通讯录由于其丰富的内涵，不仅属于个人信息，还应列入个人敏感信息范畴。
第三，通讯录信息是否属于个人隐私信息？
个人隐私是指公民个人生活中不愿为他人（一定范围以外的人）公开或知悉的秘密，如个人财产、身体缺陷等；而隐私权是个人享有的、与公共利益无关的个人信息、私人活动和私有领域进行支配的一种人格权。
并非所有个人信息主体享有的个人信息都属于个人隐私的范畴，个人信息主体基于社会交往和公共管理的需要，必须在一定范围内向社会特定人或者不特定人公开个人信息，但是这种公开是有条件的，如在多大程度上公开，向谁公开，接收人需要承担什么样的责任和义务等。
在法学博士凌先生起诉抖音、多闪案件中，凌先生无意让其好友、联系人等知晓其在使用抖音APP，但是抖音、多闪却向其推荐了多位“好友” ，包括好友的好友、同学的同学、前女友等等，都出现在推荐列表中。可想而知，凌先生也会出现在其他“好友”的推荐列表中。这种基于通讯录信息而产生的社交关系用途并非个人信息主体愿意公开使用的范围。
凡是涉及个人不愿为他人知道的信息，无论该信息的公开对权利人造成的影响是积极的还是消极的，无论该信息是否具有商业价值，只要该信息不属于公共领域并且本人不愿意公开，就应当受到隐私权的保护。
此外，今日头条代理律师认为，虽然通讯录中包含有个人姓名、电话等信息，但是这些信息并非原告本人的信息，而是其社会网络成员的信息，因此通讯录不属于原告的“隐私信息”。
尽管通讯录中其他联系人的信息非个人信息主体的本人信息，但是该等信息是基于个人信息主体的身份而形成的一个集合，当单一社会网络成员的信息由于一定的规则组合在一起成为新的信息集，就具有了不同的意义，不能简单认为与个人信息主体无关。
可见，通讯录应属于隐私信息。
第四，为何网络运营者对通讯录收集趋之若鹜？
1、营销推广
运营者读取通讯录后，会进行电话号码的匹配，系统会自动邀请尚未加入的联系人，通过通讯录形成推广链，可以实现快速扩张用户数量，提升品牌知名度。
2、社交关系
对于社交软件来说尤为重要，形成人际网络关系圈，与认识的人进行互动，可以增强客户黏性和忠诚度，很多非社交软件也在增加社交功能，而通讯录是建立社交关系网的重要途径之一。
3、特定行业需求
比如金融借贷类平台，目前普遍收集通讯录信息，一是可以通过通讯录信息交叉验证借款人的真实性，实施反欺诈，二是在借款人逾期还款或失联时，可以向其亲朋好友追讨或获取借款人新的联系方式。
4、以备不时之需
运营者在收集通讯录信息时，可能和其本身的业务功能没有关系，但是，在数据为王的时代，运营者普遍认为，信息收集得越多，数据沉淀越多，日后开展其他业务时才会有足够的“素材”。
第五，通讯录应该如何收集使用？
1.通讯录的收集
根据《网络安全法》中的第四十一条规定:“网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。”
对于“必要”的界定为，不收集该等信息会导致网络运营者的业务功能无法实现。也就是说，运营者收集通讯录必须是为了其业务功能的正常实现，除此之外，还应向个人信息主体告知收集使用的目的、方式和范围，如果个人信息主体不同意收集使用，运营者不应强制收集或超范围收集使用。
比如，对于金融借贷类平台来说，基于其对借款人的风控功能，平台可以收集借款人的通讯录，但是平台不能将已收集的通讯录信息用于向借款人以外的其他联系人进行贷后催收，否则就属于超范围使用。
2.通讯录的共享
在法学博士凌先生起诉抖音、多闪案件中，抖音将其用户的通讯录共享给多闪，这种共享是否必须？很显然，这种共享不是实现业务功能所必须的共享，无论抖音还是多闪都不应将该种授权同意条款打包在隐私政策中让用户一揽子授权同意。对于非必要性共享，运营者应该通过弹窗等方式主动获得用户授权，并向用户表明共享的目的、数据类型，以及接收方的类型等。
3.通讯录的使用
笔者认为，除了法律法规、行业的特殊监管要求以外，通讯录在完成支持业务功能使命后的合理期限内，运营者就应该将其删除或进行匿名化处理，但是，基于通讯录不可小觑的商业价值，运营者普遍的做法是予以长期保留，即使用户已经注销账户。
在刘先生状告今日头条侵犯个人隐私案件中，刘先生通过拒绝读取通讯录以及授权读取空白通讯录的方式没能抵挡住今日头条继续使用其原有的通讯录信息。在个人信息主体撤回授权同意的情况下，原有的个人信息应该怎样使用？
根据新版安全规范7.9条：个人信息控制者应向个人信息主体提供撤回收集、使用其个人信息的授权同意的方法。撤回授权同意后，个人信息控制者后续不应再处理相应的个人信息。
如何理解“后续不应再处理相应的个人信息”？比如突然有一天，我不想让大家知道我在刷抖音，撤回了通讯录授权，平台就应该不再基于以前收集的通讯录继续向我推荐好友，或将我推荐给其他好友，否则这个撤回同意就没意义了。
总结
笔者基于刘先生状告今日头条案件进行了一些个人的思考，目前数据安全和个人信息保护方面的法律法规尚不健全，相关规定尚未落地，多数还处于征求意见阶段，对于运营者的合规责任也是有诸多争议。但是笔者认为，在相关监管要求还未正式落地前，企业应该多自查，提前做好备用整改计划，当监管规定正式落地后，能够较为轻松地应对合规与商业利益之间的冲突。
参考文献：
王利明 《隐私权概念的再界定》
作者：张丹律师/上海市华诚律师事务所
请律师，找案源，就上律赢惠！返回搜狐，查看更多
责任编辑：
