云服务商的侵权责任认定探析——以首例云服务器侵权案二审改判为视角
云服务作为新兴的服务行业，以其信息存储的方便、快捷性给信息时代带来巨大变革。云服务是以云计算技术为支撑发展起来的一种商业模式，通过近几年的发展，日益为人们所知晓并在生活与工作中使用，例如阿里云、腾讯云等。根据中国信息通信研究院发布的《云计算发展白皮书2019》的统计，全球云计算市场趋于稳定增长，为各国法律与政策所重视。云计算的应用已经深入到政府、金融、工业、交通、物流、医疗健康等传统行业。阿里云计算有限公司与北京乐动卓越科技有限公司关于侵害作品信息网络传播权纠纷作为首例云服务器侵权案，因涉及云计算行业发展、数据隐私安全保护与网络侵权纠纷等问题，一度成为行业内热议的话题。本文即以该案为视角，对云服务商的在侵权案件中的注意义务进行探究。
一、案情介绍
（一）案件源起
北京乐动卓越科技有限公司（以下简称“乐动卓越公司”）自主研发了手机游戏软件《我叫MTonline》，并取得了国家版权局核发的游戏软件著作权登记证书。该游戏软件于2013年1月与3月分别在手机安卓平台与苹果iOS平台上线。2015年8月，乐动卓越公司接到玩家投诉，www.callmt.com网站提供《我叫MT畅爽版》的iOS版、安卓版下载及游戏充值服务。经调查比对，乐动卓越公司发现上述版本游戏是侵权人非法复制《我叫MTonline》游戏的数据包，并通过callmt.com网站非法运营获利，上述行为侵害了乐动卓越公司游戏著作权的复制权、发行权、信息网络传播权。乐动卓越公司通过whois域名查询系统、域名备案系统，均无callmt.com网站的经营人相关信息。经调查发现，《我叫MT畅爽版》游戏内容存储于阿里云服务器，并通过该服务器向客户端提供游戏服务。2015年10月12日与10月29日，乐动卓越公司分别通过阿里云公司网站的“工单支持”版块、电子邮件与中通快递等方式先后向阿里云计算有限公司（以下简称“阿里云公司”）发出三次通知，要求其删除侵权内容，并提供服务器租用人的具体信息。然而，阿里云公司并未进行删除。因此，乐动卓越公司将阿里云公司起诉至北京市石景山区人民法院。
（二）一审判决【（2015）石民（知）初字第8279号】
乐动卓越公司向法院起诉阿里云公司，认为阿里云公司在收到其通知后，未采取必要措施防止侵权损失的进一步扩大，主张阿里云公司对损失扩大的部分与侵权人承担连带责任。一审法院审理后认为，阿里云公司作为云服务器提供商，虽然不具有事先审查被租用的服务器中存储内容是否侵权的义务，但在他人重大利益因其提供的网络服务而受到损害时，其作为云服务商应当承担相关义务，采取必要、合理、适当的措施积极配合权利人的维权行为，防止权利人的损失持续扩大。因此，一审法院支持了乐动卓越公司的诉讼请求，判决阿里云公司赔偿乐动卓越公司的经济损失250000元及诉讼合理支出11240元。
（三）二审改判【（2017）京73民终1194号】
阿里云公司不服一审法院的判决，认为一审法院认定相关事实与适用法律错误，且一审法院的判决忽视了云计算行业的特征，会带来恶劣的社会效果与不良司法导向，影响网络运行安全，因此向北京知识产权法院提出上诉。
二审法院认为阿里云公司属于网络服务提供者但不属于《信息网络传播权保护条例》的适用范围，应当根据《侵权责任法》第三十六条确定阿里云公司的责任。同时认为乐动卓越公司的通知无效，并结合云计算行业的特殊性认为阿里云公司在收到通知后采取的“转通知”的措施属于合理公允的措施。最终，二审法院对一审判决进行了改判，认为阿里云公司的行为并不构成侵权，判决撤销一审判决并驳回乐动卓越公司的全部诉讼请求。
二、云服务商的法律地位界定
（一）云服务商的概念与服务模式
根据《信息安全技术 网络安全等级保护基本要求》（GB/T 22239-2019）中对相关概念的定义，云计算是指通过网络访问可扩展的、灵活的物理或虚拟共享资源池，并按需自助获取和管理资源的模式。将云计算说成是一种模式是因为其通常都以一种服务的样态呈现，其本质是一种云计算技术。而云服务是指依托于云计算技术向用户提供服务的一种互联网络服务模式。云服务商则是指云计算服务的供应方。
根据中华人民共和国国家质量监督检验检疫总局、中国国家标准化管理委员会2014年9月3日发布的《信息安全技术 云计算服务安全指南》（GB/T31167-2014）等资料，云计算行业按照提供的具体服务模式，可以分为三个层级：第一层级IaaS（Infrastructure as a Service）、第二层级PaaS（Platform as a Service）及第三层级SaaS（Software as a Service）。具体服务模式内容如下：
| 名称 | 内容 |
第一层级 | 基础设施即服务（IaaS） | 云服务商向客户提供虚拟计算机、存储、网络等计算资源，提供访问云计算基础设施的服务接口。客户可在这些资源上部署或运行操作系统、中间件、数据库和应用软件等。 | 客户通常不能管理或控制云计算基础设施，但能控制自己部署的操作系统、存储和应用，也能部分控制使用的网络组件，如主机防火墙。 |
第二层级 | 平台即服务（PaaS） | 云服务商向客户提供的是运行在云计算基础设施之上的软件开发和运行平台，如：标准语言与工具、数据访问、通用接口等。客户可利用该平台开发和 部署自己的软件。 | 客户通常不能管理或控制支撑平台运行所需的低层资源，如网络、服务器、 操作系统、存储等，但可对应用的运行环境。 |
第三层级 | 软件即服务（SaaS） | 云服务商向客户提供的是运行在云基础设施之上的应用软件。客户不需要购买、开发软件，可利用不同设备上的客户端（如WEB浏览器）或程序接口通过网络访问和使用云服务商提供的应用软件，如电子邮件系统、协同办公系统等。 | 客户通常不能管理或控制支撑应用软件运行的低层资源，如网络、服务器、操作系统、存储等，但可对应用软件进行有限的配置管理。 |
根据上述表格可以看出，在三种服务模式中，云服务商的控制能力依次提高，而客户的控制能力依次降低，换句话说，云服务商提供的服务越基础，能够控制的范围越小越底层。
（二）本案阿里云公司的法律地位
1.典型的IaaS服务供应商
在本案中，阿里云公司为侵权人callmt.com网站提供云服务器租赁服务，为侵权人提供基础设施。“从服务内容看，云服务器租赁服务仅相当于传统模式下为用户提供了服务器设施设备、机房环境、带宽资源，使用户具备了接入互联网的基础条件，不包括上层内容服务。”callmt.com网站作为云服务器租赁服务的客户对其在服务器上部署的操作系统、应用等具有完全的控制权。据此，阿里云公司在本案中提供的服务模式属于典型的基础设施即服务模式，属于最基础的服务，同时也意味着阿里云公司无法直接控制服务器上的存储内容。
2.网络服务提供者
《侵权责任法》第三十六条针对的是一切发生于网络空间的侵权行为，其第一款规制的是直接实施侵权行为的网络服务提供者，而第二款与第三款则主要针对提供技术服务的网络服务提供者。上文已提及云服务属于由云计算技术支撑的提供互联网络服务的商业模式，云服务商因此该条规定并没有将云服务器租赁服务提供商排除在外，因此，阿里云公司作为云服务商属于《侵权责任法》第三十六条规制的网络服务提供者。同时，云服务商均满足《网络安全法》（以下简称“《网安法》”）、《网络安全等级保护条例（征求意见稿）》等相关法律法规对于适用对象的条件，因此云服务商也属于《网安法》框架下的网络服务提供者。
3.并非直接的数据控制者
在云计算服务的三种具体模式中，虽然服务内容有所差别，但三者均涉及服务供应商、云用户及其终端消费者之间的法律关系。在本案中，阿里云公司属于服务提供商，callmt.com网站构成云用户，而callmt.com网站的用户属于终端消费者。其中，阿里云公司作为云服务器租赁服务提供商仅向callmt.com网站（也就是云用户）提供基础设施服务，并不与终端消费者产生直接的法律关系。callmt.com网站收集、获取其用户的个人信息及数据，并将其存储于阿里云公司的云服务器上。callmt.com网站是直接的、实际的信息与数据控制者。云服务商无权制定数据、信息的收集、使用规则，也无权决定处理已收集或存储的个人信息，居于数据托管的法律地位。因此，虽然callmt.com网站的相关数据存储于阿里云公司的云服务器上，但阿里云公司并不是直接的数据控制者。
三、阿里云公司在本案的侵权责任
（一）本案应适用《侵权责任法》第三十六条
最高人民法院侵权责任法研究小组编著的《<中华人民共和国侵权责任法>条文理解与适用》一书明确认为，《侵权责任法》与《信息网络传播权保护条例》（以下简称“《条例》”）构成一般法与特别法的关系，涉及网络著作权侵权时，应注意优先适用《条例》。由于本案中乐动卓越公司就其软件作品主张信息网络传播权，故应当首先适用《条例》及相关司法解释。
但由于本案被告阿里云公司不属于《条例》所规定的四类网络服务提供者（网络自动接入和传输服务提供者、自动缓存服务提供者、链接和搜索服务提供者、网络空间存储服务提供者），且《著作权法》《条例》均未对除上述四项网络服务之外的服务进行一般性规定，故本案不能适用《信息网络传播权保护条例》的规定，而应当适用《侵权责任法》第三十六条认定阿里云公司所应承担的法律责任。
（二）本案“转通知”应认定为阿里云公司所采取的必要措施
1.阿里云公司在本案中不具备采取删除、屏蔽或者断开链接措施的技术能力
首先，《信息安全技术云计算服务安全指南》（GB/T31167—2014）（以下简称“《云计算服务安全指南》”）7.3.2规定，云服务商未经客户授权，不得访问、修改、披露、利用、转让、销毁客户数据。因此，阿里云公司作为云服务器租赁服务者提供者，其负有极为严格的安全保护义务、保密义务和隐私保护义务，不允许其接触用户存储的信息内容，遑论对内容进行核实、处理甚至删除了。
其次，由于阿里云公司提供的是云服务器租赁服务，基于该服务的技术特点，阿里云公司所能采取的与“删除、屏蔽、断开链接”相同效果的措施是“关停服务器”或“强行删除服务器内全部数据”。而阿里云公司所对外租赁的服务器中不可能只存储callmt.com网站的相关数据，其还包括门户网站、视听网站、电子商务平台、社交平台、信息存储和发布平台及各类应用软件平台。若强令阿里云公司采取“关停服务器”或“强行删除服务器内全部数据”等措施，将可能严重影响与本案无关的云服务客户的正常运营。
因此，在本案中阿里云公司不宜采取删除、屏蔽或者断开链接等措施。
2.“转通知”应认定为阿里云公司所采取的必要措施
《条例》确立了较为完备的“通知—删除”规则，而《侵权责任法》第三十七条则在此基础上，针对更广泛的网络服务提供者和服务类型制定了“通知-必要措施”规则：“……网络用户利用网络服务实施侵权行为的，被侵权人有权通知网络服务提供者采取删除、屏蔽、断开链接等必要措施。网络服务提供者接到通知后未及时采取必要措施的，对损害的扩大部分与该网络用户承担连带责任。
网络服务提供者知道网络用户利用其网络服务侵害他人民事权益，未采取必要措施的，与该网络用户承担连带责任。”
而在最高人民法院83号指导案例（威海嘉易烤生活家电有限公司诉永康市金仕德工贸有限公司、浙江天猫网络有限公司侵害发明专利权纠纷案）中，法院亦指出，侵权责任法第三十六条所规定的网络服务提供者接到通知后所应采取必要措施包括但并不限于删除、屏蔽、断开链接。“必要措施”应根据所侵害权利的性质、侵权的具体情形和技术条件等来加以综合确定。
因此，《侵权责任法》第三十六条对网络服务提供者接到权利人的有效通知后应当采取的必要措施采取了开放性规定，为行业治理和司法实践提供了探索空间。
而在前述案例中，法院亦认为，天猫公司将有效的投诉通知材料转达被投诉人并通知被投诉人申辩当属天猫公司应当采取的必要措施之一。因此与本案不适合直接采取删除等措施的类似情况下，“转通知”体现了网络服务提供者“警示”侵权人的意图，从而在一定程度上有利于防止损害后果扩大，可以成为“必要措施”从而使得网络服务提供者达到免责条件。
3.“通知”的法律要求
无论是“通知-删除”规则还是“通知-必要措施”规则，合法有效的通知是网络服务提供者采取必要措施的前提。在本案中，二审法院推翻了一审法院对于乐动卓越公司所发送三次通知的有效性认定。
（1）通知的方式
二审法院否认乐动卓越公司第一次通知的有效性的主要理由在于，其发送通知的方式不符合法律要求。
乐动卓越公司的第一次通知是通过阿里云公司官方网站中的“工单支持”版块进行。而该版块为阿里云公司专业工程师为客户解决云产品技术问题而设立的沟通通道，并非投诉通道。与此同时，阿里云公司官方网站已经明确设置了投诉通道（包括知识产权侵权举报通道），在此情况下，二审法院认为若仍认可该通知的有效性，则可能不适当地扩大了阿里云公司的注意义务。因此，第一次通知不具有有效性。
在最高人民法院83号指导案例中，法院认为《侵权责任法》第三十六条的“通知”既可以是口头的，也可以是书面的。因此，建议权利主体在自身权益受到侵害而需要投诉时，需要尽可能地通过官方的投诉途径进行，比如通过网络服务提供者公示的联系电话或电子邮箱进行口头或书面的通知，并保存好通知的证据。
（2）通知的内容
《条例》第十四条规定通知书应当包含下列内容：①权利人的姓名（名称）、联系方式和地址；②要求删除或者断开链接的侵权作品、表演、录音录像制品的名称和网络地址；③构成侵权的初步证明材料。
《最高人民法院关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》第五条规定，依据《侵权责任法》第三十六条第二款的规定，被侵权人以书面形式或者网络服务提供者公示的方式向网络服务提供者发出的通知，应当包含下列内容：①通知人的姓名（名称）和联系方式；②要求采取必要措施的网络地址或者足以准确定位侵权内容的相关信息；③通知人要求删除相关信息的理由。
法院在最高人民法院83号指导案例指出，《侵权责任法》第三十六条的“通知”内容应当包括权利人身份情况、权属凭证、证明侵权事实的初步证据以及指向明确的被诉侵权人网络地址等材料。
综合上述规定和案例，可以看出，通知具备有效性的关键在于能否使网络服务提供者准确识别权利人、准确快速定位侵权内容并易于对侵权行为作出判断。而乐动卓越公司的第二份通知与第三份通知均不符合上述要求，因此皆被二审法院认定为无效通知。
（三）阿里云公司无需承担侵权责任
首先，根据上文的分析，乐动卓越公司所发送的三份通知皆因不符合法律要求而未生效力，因此阿里云公司在未接到有效通知的情况下并不负有采取必要措施的义务。
其次，即使阿里云公司收到了乐动卓越公司所发送的有效通知，在无法采取删除、屏蔽或者断开链接等措施的情况下，阿里云公司及时采取“转通知”措施亦应被认定为达到免责条件。
再次，《侵权责任法》第三十六条第二款，网络服务提供者构成侵权的，是对损害的扩大部分与网络用户承担连带责任，而非独立的损害赔偿责任。
但在（2017）京0105刑初1334号刑事案件中，已查明直接侵权人即《我叫MT畅爽版》经营者在运营涉案游戏及其他游戏共取得收入270余万元，在前述刑事案件审理过程中，直接侵权人与乐动卓越公司商定赔偿乐动卓越公司经济损失400万元。因此，乐动卓越公司因涉案侵权行为而受到的损失已经实际获得了其认可的弥补。故即使阿里云公司构成帮助侵权并应当依法承担赔偿责任，亦不应判决阿里云公司额外再向乐动卓越公司支付赔偿款项。
因此，在本案中阿里云公司无需承担支付赔偿的侵权责任。
四、行业及法院对云服务商隐私数据安全保护的态度
针对该案件，云计算行业领域与法律界均给予了高度关注。若按照一审判决，云服务商在接到投诉后应当立即对用户的数据进行审查，这势必会对云计算行业的数据安全与隐私保护带来极大的挑战，使本来就存在网络安全风险的云计算行业带来更大的安全隐患，带来不良的司法指引效果，影响云计算行业的发展。
对此，阿里云公司在涉诉背景下发出声明，表示保护客户数据隐私是阿里坚守的生命线，并以保护数据隐私为第一原则。阿里云公司作为具有广泛影响力的云服务商，其重视隐私数据保护的态度也代表了云计算行业的普遍态度。
法院最终在二审改判，判决认定阿里云公司不承担数据侵权的责任，也代表着法院对云服务商隐私数据安全保护的支持。二审判决一方面根据现有法律的规定分析阿里云公司的责任，另一方面也兼顾云计算的特殊行业规范、行业伦理以及云计算行业的发展现状对阿里云公司所承担的隐私数据安全责任进行了解读，认为隐私数据安全是云计算行业的敏感问题，会影响到更为广泛的社会及公共利益，“对云计算服务提供者在侵权领域的必要措施和免责条件的要求过于苛刻”，会给“给行业发展带来巨大的负面影响”，也会“严重影响用户对其正常经营和数据安全的信心”。
本案作为国内首例云计算服务责任案，二审的改判为未来云计算行业发展确立了明确的法律规则，具有重大意义。
结语
该案的判决为云服务用户使用云计算服务以及云服务商提供云计算服务注入一针“强心剂”，云服务商在应对侵权通知时可明确拒绝实施可能侵犯其用户隐私利益的行为而无需顾虑承担连带侵权责任的风险。同时，这一判决也增强了用户对云服务商正常经营和数据安全的信心，有利于我国云计算产业的持续稳健发展。
【参考资料】
【1】（2017）京73民终1194号民事判决书.
【2】冯刚. 《云计算知产侵权第一案 云计算服务提供者侵害著作权责任边界之澄清》. (2019-03-01) [2019-05-08]. https://mp.weixin.qq.com/s/4G59LLLsmhjXhgjJF0MkXg.
本文仅为我们对相关法律、法规及政策的一般解读，不能作为正式的法律意见和建议，如果您有特定的问题，请与观韬中茂律师事务所联系咨询事宜。