7-10 服务提供商与电子邮件的规则 · 波仔的网络与信息安全课

📄 一句话概括

这两部法律管的是同一件事的两个方向：坏消息（被人诽谤）时法律帮你查发帖人、让平台删帖；好消息（发广告）时法律限制你别乱发——一个是【受害方的工具】，一个是【发送方的负担】。

📝 本节和前面几节的关系

7-9 讲的是【用了别人的作品】。本篇讲【被人用了你的名声】以及【你想给别人发消息】这两种情形下的规则。 它和 3-5 是同一件事的法律侧：3-5 讲钓鱼邮件怎么骗你，本篇讲群发广告邮件的法律边界在哪。 两者都围绕邮件，但一个讲安全，一个讲规则。

一、供应商责任限制法的两个方向

这部法律的名字容易误导：它不只管平台要不要赔钱，还管你出事之后能不能查到人。 两个方向要合起来看：

方向	问题	判断标准
损害赔偿责任的限制	平台要不要赔钱	是否知道侵权、且技术上能阻止
发信者信息的开示	能不能查到发帖人	2022-10-01 起可申请开示命令

这两句要连起来读：

① 平台不是【一律不赔】：明知侵权又拦得住却不动，照样要赔。
② 但受害方也不是【告平台就能拿数据】：先要满足开示要件，而且 2022 年新设的【发信者信息公开命令】把过去要先告平台、再告接入商的两次诉讼，合并成了一次。

讲得直白一点：你在网上被人诽谤，真正该做的事不是找平台理论，是走【开示命令】这条路去问【是谁发的】。 平台在这套法律里的定位是【中转方】——它既不承担主动审查的义务，也不对每一条内容负责；但它必须在满足条件时提供协助。

这套设计的经济学逻辑很清晰：如果平台要对每条内容负责，它就只能请人先审后发，成本高到平台经济不成立。 所以法律选择【让侵权者负责、让平台协助】——代价是：受害方要自己走到庭上，才能拿到那个名字。

2022 年的那次改动，是对【代价太高】这个问题的回应：把两次诉讼并成一次，让开示命令成为一条现实可用的路径。 这也是这套法律一路演进的主线：方向没变，一直在降低受害方拿到信息的成本。

二、动手 Demo：必须写进邮件里的三件事与罚则

换成发送方视角，规则就变成了具体的清单。 下面是特定电子邮件法要求群发广告邮件必须做到的事：

# 节选自本节 Demo 脚本 d10()：广告邮件的必备事项与罚则
rows = [
    ("发信者信息", "姓名（名称）、地址、能收投诉的邮箱或电话"),
    ("拒收方式", "必须提供 opt-out 手段，收到后 10 日内处理"),
    ("opt-out 链接的寿命", "发送后至少保持 180 天有效"),
    ("同意记录的保存", "要能拿得出【他同意过】的证据"),
    ("罚则", "1 年以下拘禁刑 或 100 万日元以下罚金；法人 3,000 万日元以下"),
    ("域外适用", "只要收信设备在日本国内，外国公司发送也适用"),
]
for a, b in rows:
    print(pad(a, 30) + b)

实跑输出：

==================================================================================================
三、必须写进邮件里的三件事与罚则
==================================================================================================
  项目                          要求
  发信者信息                    姓名（名称）、地址、能收投诉的邮箱或电话
  拒收方式                      必须提供 opt-out 手段，收到后 10 日内处理
  opt-out 链接的寿命            发送后至少保持 180 天有效
  同意记录的保存                要能拿得出【他同意过】的证据
  罚则                          1 年以下拘禁刑 或 100 万日元以下罚金；法人 3,000 万日元以下
  域外适用                      只要收信设备在日本国内，外国公司发送也适用

读这个输出：

前三行是【邮件里要有的东西】，后三行是【背后的记录与责任】。很多人只做到前面三行——发信者信息写了、拒收链接放了，但拿不出【他同意过】的记录。 这才是实务中真正的问题：同意记录通常是买来的名单里没有的。
第 3 行的【180 天】是个具体的数字，值得单独记：邮件发出去之后，那个【不再接收】的链接要活 180 天。为什么？因为用户可能过几个月才想起来去取消。这条规则的设计思路是【把便利留给接收方】——这与垃圾邮件的定义正好相反：判断垃圾邮件的标准不是【内容没价值】，是【接收方有没有控制权】。
第 6 行的域外适用值得单说：按【收信人的设备在哪】判断，不按【发送方的服务器在哪】。 所以从中国向日本的邮箱发广告邮件，同样受这部法律约束。 这个思路与 7-5 的 GDPR 相反：GDPR 看的是【服务面向谁】，邮件法看的是【收信人在哪】。 两套判断标准并存，是跨境业务常见的复杂性来源。

三、特定电子邮件法的四条例外

法律不是禁止所有广告邮件，它规定了四类【可以发】的情形：

例外	意思
① 事前同意（Opt-in）	对方明确说要收
② 已向社会公布邮箱的营业者或个人	名片、官网上的地址，用于业务联络
③ 与广告主有交易关系的人	既有往来关系
④ 已向发送方提供邮箱的人	自己给过地址

但第 3 条还有一句话管着所有四条：

只要对方表示【不要再发了】，不管落在哪一条例外里，都必须停。 也就是说：例外只解决【第一次能不能发】，opt-out 解决【以后还能不能发】。

这组例外的设计藏着一个很实用的区分：例外 ② 和 ④ 关心的是【这个地址是怎么得到的】，例外 ① 和 ③ 关心的是【有没有关系】。 两者合起来，覆盖了商务邮件的绝大多数正当场景——但都不包括【从别处买来的名单】。 这就是为什么买名单这件事在实务中风险极高：它往往既没有同意（①）、也没有公布来源（②）、也没有往来关系（③）、也不是对方给你的（④）。

四、三个场景的判定

做法	判定	理由
向勾选过订阅的客户发新品通知	可以	有同意记录
从买来的名单向 1 万个地址发促销	不行	拿不出同意记录
向官网公开的 info@ 地址发业务提案	可以	第 2 条例外，但对方喊停就要停

第一条的【有记录】三个字是关键：

举证责任在发送方——监管不需要证明【他没同意】，是发送方要证明【他同意过】。 这个举证方向与 7-5 讲的 GDPR 完全相同——都是把证明责任压给了处理数据的一方。 由此可以推出一个实务动作：订阅页面上的勾选框设计、勾选时间、IP 与来源渠道，都要留档——因为没有这些，【他勾过】就只是一句自述。

第三条给了一个有用的安全区：向企业公开的邮箱发业务提案是允许的。所以 B2B 的 outreach 不是不能做——但它有一条硬线：对方一旦表示拒绝，必须立刻停，而且要停在下一次发送之前。 这也解释了为什么正规的 B2B 邮件系统都有【退订黑名单】这个功能——它不是营销工具，是合规工具。

五、⚠️ 2026 现状

【这部法律 2025 年改了名字】。 2024 年修正（法律第 25 号）后，2025-04-01 起官方名称改为【信息流通平台对处法】。 教材里的【供应商责任限制法】是旧称，但两个名字指的确是同一条法律的不同阶段。 改名背后是定位的变化：从【限制供应商的责任】变成【规范信息流通平台的对处义务】——同一部法律，重心从【免责】偏向了【作为】。
【同一次修正加了两条新义务】。 一次是大型平台必须快速处理删除申请（不再能无限期拖延）；另一次是扩大可申请开示的信息范围（例如手机等联系方式）。两条都指向同一个方向：让受害方更快拿到结果。 这与本篇第一节讲的演进主线一致——这套法律每一次修改，都在降低【维权的成本】。
【邮件侧的执法重点在【同意记录的伪造与缺失】】。 因为发送方要自证同意，实务中最常见的问题是【记录是补做的】。判断一份订阅数据靠不靠谱，有个简单的问法：【这个邮箱是什么时间、通过哪个页面、勾选了哪一项获得同意的】——答不上来，这份名单就不能用。
【AI 让群发成本降到接近零，法律约束反而更重要】。 过去要发一万封邮件需要人工整理名单，现在生成一封像样的邮件几乎不要成本。这让【匿名大规模群发】变得非常容易——也正是这部法律从严的方向。对个体来说，实用的一条防身规则是：任何要求你点链接、且发件人信息不全的群发邮件，先去官网核实而不是直接点（对应 3-5 那套识别方法）。下一篇进入【文件与签名】：不出事的时候没人关心，出事的时候它是唯一能救命的东西。

30 秒实验

今天做两个动作，各 15 秒：

翻一下你的垃圾邮件箱，随便点开一封，找发信者信息和拒收链接。 找不到地址或找不到退订入口的，就是这部法律意义上的违规邮件——数量比你想象的多。
再想一想你最近一次主动下单的网站，它的订阅勾选框是默认勾上的还是空白的。 默认勾选在设计上是【诱导】，在合规上是【同意不成立】的常见理由——这一条与 7-2 讲的 opt-in 是同一套逻辑。

这一节要带走的一句是：这两部法律把网络上的【发声】分成两半来管——别人发出伤害你的内容，法律帮你找人和删除；你要发出东西给别人，法律要求你先证明对方愿意收。

常见误区

错误：平台上有诽谤我的内容，直接告平台要个说法。——纠正：平台的定位是【中转方】，它不承担主动审查义务。正确路径是两条并行：① 向平台申请删除（依据平台的条款与侵权认定流程）；② 走【发信者信息公开命令】查明发帖人。 只盯着平台，你最多拿到【内容被删除】，拿不到【责任承担】。 而 2022 年的修法正是为了让第二条路变得现实可行。
错误：广告邮件只要写了退订方式就合法了。——纠正：退订方式只是三件必备事项之一，更关键的是【你凭什么发】——有没有同意记录、是不是落在四条例外里。而且退订链接还有两个硬要求容易被忽略：收到退订后 10 日内处理、链接保持 180 天有效。实务中最常见的违规不是没有退订按钮，是【退了还发】。
错误：我从公开渠道拿到的名单，就可以放心群发。——纠正：【公开可查】不等于【可以用于营销】。名片和官网上的地址属于例外 ②，但它限定的用途是【业务联络】——把个人公开的邮箱拿去群发促销，很容易超出这条例外。 判断方法：你发的这封邮件，是【针对对方这个人】还是【针对一份名单】——后者基本都需要同意记录。
错误：反正是发给外国客户，日本的法律管不着。——纠正：邮件法按【收信设备在日本国内的收发信记录】判断，不按发送方在哪。所以从中国向日本邮箱发广告邮件，同样受约束。这条规则对跨境电商和外贸业务尤其重要——名单来源和退订机制要按对方国家的规则设计，而不是按自己的习惯。 这也再次印证 7-5 那句判断：跨境业务的默认动作，是按最严的那一套做。

自测三问（点开对答案）

1. 为什么法律要让平台【不必主动审查】？ —— 因为**主动审查的成本会让平台经济不成立**。**每天数以亿计的内容，逐条人工判断既不可能也不可靠**，**而自动过滤又必然误伤**。**法律选择的分工是：平台提供【协助能力】（删除通道、信息开示），侵权者承担【实体责任】**。**这个分工的代价落在受害方身上**——**你要自己走到开示命令这一步**。**所以这部法律历次修改的方向，都是【降低受害方的成本】**——**2022 年合并诉讼也是这样，2024 年扩大开示范围也是这样。** 2. 【同意】在邮件法和在个人信息法里，是一回事吗？ —— **核心含义相同，但落地形态不同**。**个人信息法里的同意解决的是【能不能处理你的数据】；邮件法里的同意解决的是【能不能给你发消息】**。**两者在实务中共用同一套记录**——**订阅页面上的勾选框通常同时满足两边**。**关键点都是【举证责任在发送方】**（7-2 的 opt-in 与本篇第 4 行的【同意记录】是同一条）。**所以一家公司如果真的要合规，正确的做法是【把同意做成一份可追溯的记录】，而不是分别应付两部法律。** 3. 为什么这两部法律要放进同一节课里讲？ —— 因为**它们是同一件事的正反两面，共用一套基础设施**。**查发帖人需要平台留下与管理日志**，**发广告需要平台提供退订通道**——**两者都依赖同一个前提：【平台在中间承担记录与协助的功能】**。**从安全从业者的角度，这两部法律给出了一个共同的原则**：**网络上的行为要可追溯、要可撤回**。**可追溯对应本篇第一节（开示命令），可撤回对应第二节（opt-out）。** **把这两个词记住，再看后面 7-11 的【推定】与【时间戳】，会发现整章法律都在做同一件事：给数字世界的行为建立可信的记录。**

☐ 下一节（7-11 电子文档管理的相关法律）