用户的头像和昵称到底该谁说了算？

　　巍巍道来 用户的头像和昵称到底该谁说了算

　　“头腾大战”正在进行的时段非常特殊，正值我国个人信息保护法正在起草、网络安全法实施近两年、民法典人格权法编正在审议之时，也是欧盟GDPR为代表的世界范围内全面加强个人信息保护的高峰时期。不论该案最后结果如何，都将在我国互联网个人信息保护发展里程碑上留下深刻印记。

　　我国网络安全法以法律的名义强化了网络实名制，用户的昵称和头像属于互联网账号的重要组成部分。按照实名制“前台自愿，后台实名”的原则，账号是互联网用户的主要标识。按照2015年国家网信办“账号十条”的相关规定，账号名称只要符合“九不准”原则，均受法律保护并可成为在网络环境代表真实身份的标识。

　　从这个角度讲，用户以账号名称为标识才能进行网络活动，以真实身份为基础才能将网络行为转化成民事法律行为。账号正是通过注册与真实身份认证制度的结合，才能达到获得法律行为的效果。同时，网络安全法第76条规定，能够单独或与其他信息结合可以识别到自然人身份的各种信息属于个人信息。账号名称中的头像和昵称，结合网络实名制的背景，完全能够对应自然人身份。所以，包括头像和昵称在内的账号性质属于个人信息。严格意义上讲，用户的数量、日活属于平台的核心竞争力，但用户的个人信息不是任何一家平台的财富。

　　必须指出，包括国外和国内互联网平台服务提供者在内，所有平台与用户接受服务前所签订的网民协议，都明确规定用户注册的账号所有权归属平台，用户只有使用权。这样规定的意义在于网络数据的合理采集、使用和处分，也在于平台在一些极端情况下，比如，破产、无法继续从某项服务获利、并购等情况，平台将有权终止相关服务。

　　考虑到账号所有权归属平台的惯例肇始于互联网草创时的原始积累阶段，数据权的崛起和对用户意愿的尊重让全世界立法者不断对此进行深刻反思。GDPR为代表的数据权反思立法，将用户对数据的权利上升到极致，用户对数据有多少权利，相对应的平台就有多少界限。特别是，GDPR在平衡数据控制者追求商业利益与用户权利关系时明确规定，合法商业利益不能超过用户基本权利与自由。当然，我们很难对“基本权利和自由”作出明确界定，但可以肯定的是，用户账号是基于身份关系的基础，当然是用户最基本的权利之一。

　　因此，即便网民协议中将账号所有权归属于平台，但账号中的个人信息属于隐私权，这种具有人身性质的权利应区别于财产性质的数据权，隐私权的所有权人只能是用户。

　　关于开放平台数据权与竞争关系的案件，必须提到新浪诉脉脉案，该案确立的“用户授权+平台协议+用户授权”模式能够很好地处理数据权属争议问题。不过，新浪诉脉脉案焦点在于非经平台和用户授权下的超授权获取数据问题。

　　“头腾大战”中的昵称与头像权利问题，其实是两个问题。一是非经平台授权，其他主体能否超越权限抓取关系链问题；二是非经平台授权，用户能否在其他平台使用头像和昵称问题。这两个问题性质不是一回事，前者属于竞争法规范领域，后者属于用户基本权利领域。

　　对于关系链抓取问题，属于平台数据财产权范围，应符合竞争法律规制。以往类似案件强调的是平台意愿先行的“平台之间的协议+用户再次授权”。在新型案件中，突出用户授权先行的“用户的授权+平台追认授权”模式是否能够突破，仍需司法的进一步认定。

　　昵称和头像问题，属于个人信息范围，这就如同身份证制作于公安机关，但权利归属于公民个人一样，个人信息不是平台的数据财产权利，虽然产生于肇始平台，但独立于平台，平台应尊重用户自己的选择。