中国消费者报报道（记者桑雪骐）通过在线旅游平台（OTA）预订机票已成为人们的日常消费习惯。但是，让消费者想不到的是，自己下单时填写的个人信息，却可能被商家擅自流转出去。近日，北京互联网法院审结了一起因机票订购引发的个人信息侵权案。法院认定，平台内商家在未取得消费者单独同意的情况下，擅自将其个人信息提供给第三方，构成侵权，必须承担相应责任。

消费者吴某通过某OTA平台订购了一张从甲市飞往乙市的机票。订票过程中，他的姓名、身份证号、手机号、出行行程、支付信息等个人信息，先后在平台经营者、收款方、平台内商家、航空公司之间流转。

然而，吴某后来在某航空公司的官方App上发现，自己名下竟然莫名其妙多出了两段并非本人订购的行程：乙市飞丙市、丙市飞丁市。吴某认为，这是“幽灵机票”，自己的个人信息被滥用了。

案件审理中，各方各执一词。

平台经营者称已尽平台告知义务，个人信息流转系履行合同所需，并非共同处理。收款方称仅受托代收款项，未获取原告个人信息。平台内商家称其委托案外某票务代理公司订票，多订机票为案外人单方操作失误所致，其获取原告信息系履行代订合同必要行为。航空公司称其被动接收订票信息，已如实展示客票相关内容，对票务代理人的多订行为无监管过错。

法院审理后发现，平台内商家没有涉案航空公司的出票代理资质。它从平台经营者处获取吴某的个人信息后，既未向吴某告知，也未取得其同意，就擅自把信息提供给了案外的票务代理公司。结果，票务公司工作人员多订了那两段争议机票。

北京互联网法院最终认定，平台经营者已在消费者吴某购票环节显著披露信息处理相关内容，按最小必要原则传输个人信息，未侵害原告个人信息权益。收款方按委托约定处理去标识化的支付信息，不构成侵权。航空公司如实展示客票信息，无信息隐瞒或主观过错，涉案争议机票系案外票务代理公司预订，不构成侵权。平台内商家向案外人提供原告个人信息时，违反个人信息处理的“告知—同意”规则，侵害了原告的个人信息知情权、决定权，依法应承担侵权责任。同时，平台经营者已尽到事前资质审查、事后纠纷协调处置等注意义务，无需对平台内商家的侵权行为承担连带责任。

据此，法院判决平台内商家就侵害个人信息权益一事以书面形式向原告赔礼道歉并赔偿维权合理开支，驳回原告其他诉讼请求。

该案承办法官北京互联网法院法官张圆表示，根据《个人信息保护法》规定，去标识化是指个人信息经过处理，使其在不借助额外信息的情况下无法识别特定自然人的过程，因此去标识化处理后的信息仍属于个人信息范畴。另外，《个人信息保护法》明确了以“告知—同意”为核心的个人信息处理规则，处理个人信息应在事先充分告知的前提下取得个人同意或者符合法定条件。个人信息处理者对外提供个人信息时，需履行明确、具体的告知义务并依法取得用户单独同意。平台经营者应切实履行平台监管责任，严把入驻商家资质审核关，及时处置侵权投诉，筑牢个人信息保护防线，避免因疏于监管承担连带法律责任。平台内商家应恪守“合法、正当、必要”原则处理用户个人信息，严格落实“告知—同意”规则，对外提供个人信息时，务必取得用户单独同意，严禁擅自流转、超范围处理、违规泄露用户信息。消费者在线选购机票、旅游产品时，务必仔细阅读隐私政策、授权声明，留意个人信息的处理范围、流转对象，一旦发现个人信息被擅自流转、违规使用，应及时留存证据，通过诉讼、投诉等方式依法维权。