从司法判例解读处理已公开个人信息的合法性标准

文 / 刘晓春　孟繁宇

随着数字化时代的发展，政府等公共机关、互联网企业等主体基于各种目的，对于已公开的个人信息进行不同层次的处理，由此产生了越来越多的信息处理主体与个人信息所有者之间的法律纠纷。近年来以“贝尔塔案”和“汇法正信案”为代表的诉讼案件在司法实务中出现了南北法院裁判规则不一致的情况，两个案件的被告同样都是商业化地处理裁判文书网已合法公开的裁判文书，但对于处理行为的合法性认定规则和标准存在不同。立法层面，在《中华人民共和国民法典》和《个人信息保护法》有关条文中，虽然对如何处理已公开的个人信息进行了约定，但是由于条文内容过于宽泛，对于具体条文的理解与适用尚未出台，同时司法实践中也对该问题的合法性标准的判罚尺度并未产生统一的共识。上述立法层面和司法实务层面的现状，一方面给相关与商业化处理已公开个人信息的企业合规构建造成了一定的困惑，另一方面也给后续不同地区法院对相似问题的认定带来了挑战。基于此，有必要从司法判例的视角出发，结合目前公开可查询的司法判决进行梳理和分析，为处理已公开个人信息相关纠纷的合法性标准提供思路和参考。

一、司法判例中处理已公开信息的常见场景

通过检索案例，有关处理已公开个人信息的诉讼案件中主要涉及的是，企业对于已公开信息的再次商业化利用而与个人信息主体之间产生的纠纷，其中已公开个人信息的类型主要可以分为两类，一类为政府机构和司法机关已经公开的个人信息，该类型的个人信息往往通过互联网的方式进行公开，被企业通过“爬虫”等数据抓取的方式进行获取后，再结合其商业模式进行处理和再次公开。例如，司法判决中出现较多的具体情况有，处理裁判文书网中的司法判例（“贝尔塔案”和“汇法正信案”等）、处理住建委网站公示的公租房承租人信息（冯某与深圳易图房屋租赁案）、处理各地律协网站可以查询到的律师执业信息（刘某诉成都华律案）等，这些公开信息比较容易被企业进行获取和再利用。另一类为个人或企业等主体已经将自己的个人信息通过互联网相关平台进行过公开，其他个人或企业等主体将上述信息进行了再次商业化处理，例如处理高德地图中已经公开的商家的联系方式、处理个人主动已经公示在网站中个人信息（周某诉常州海河案）等。

个人得知其个人信息被商业化处理之后采取民事诉讼的方式进行维权，其中涉及的主要请求权基础基于《中华人民共和国民法典》第四编人格权中隐私权、名誉权等，还涉及网络侵权责任、个人信息保护等相关规定。以司法实务出现较多的隐私权纠纷为例，法院在处理相关案件时往往不认为在被处理的个人信息符合《中华人民共和国民法典》和《个人信息保护法》有关公开信息的规定情况下会侵犯个人信息所有者的隐私权，因为隐私是指自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息。个人信息和个人隐私的保护范围存在交叉关系，构成私密信息的个人信息应通过隐私权加以保护。个人隐私和个人信息在保护客体、保护方式等方面均存在区别，从保护方式和保护客体的角度可以判断出处理已经公开的信息不构成对于隐私权的侵犯。因此，在大多数涉及隐私权的司法案件中，已公开信息不构成对于隐私权的侵犯已经成为司法实践中的共识，在此基础上根据处理信息是否符合相关规定来进一步界定处理信息的方式是否合法，例如依据《个人信息保护法》中有关合理范围和对个人权益重大影响的规定进行综合判断。

二、司法判例中处理已公开个人信息合法性标准

虽然现有立法层面对于处理公开个人信息的合法性在多部法律中得以体现，但是从条文本身的内容来看，难以直接适用于相关纠纷的处理当中，有必要从司法审判的角度进行梳理，总结法院在处理此种纠纷时其遵守的合法性标准具体如何应用。

（一）个人信息的“合法公开”是合法性的基础

《个人信息保护法》第13条在“知情同意”的基本框架下，还另外列举了五项可豁免于知情同意规则的法定处理情形和一项兜底规则，由此确立了个人信息处理合法性基础的二元结构，即以取得同意为原则，以豁免同意为例外。在法定的五项豁免情形中，“个人信息已公开”是处理个人信息豁免于知情同意规则的合法性基础。这一点，也是司法审判中判断合法性的基础，同时基于此前提之下具体不同类型的已公开个人信息在法院做出判决中也将作为价值权益判断的重要标准之一。

1.司法判例中合法公开的类型

鉴于现有可以查阅的司法判例，对于“合法公开”的类型司法实践中大致可以分为两类，一种为“强制公开”，即由政府机构、新闻媒体等在履行法定职责、法定义务等情况下，将个人信息进行公开，例如在裁判文书网将司法判决进行公开的情形，也包括依据《中华人民共和国公务员法》规定的将拟录取人员名单及相关个人信息进行公示、为公共利益实施新闻公开违法行为人的个人信息（郑某诉东方报业和百度案）、依据《最高人民法院关于公布失信被执行人名单信息的若干规定》将失信人个人信息进行公开等。《中华人民共和国民法典》第999条也规定了为公共利益实施新闻报道、舆论监督等行为的，可以合理使用民事主体的姓名、名称、肖像、个人信息等。这种公开个人信息的方式，在司法判例中基本不会在处理个人信息是否具备“公开合法性”的环节出现争议。

另一种为“自愿公开”，这在《个人信息保护法》第25条中有着明确的约定，明确的公开意愿包括明示和默示两种形式，前者是指个人通过口头或书面的方式表达公开意愿，后者则是指个人虽未通过口头或书面形式表达意愿，但从其信息处理行为本身可以推知出确定的公开意愿。

而“自愿公开”的方式往往在司法实践中容易产生一定争议，例如有的法院会在自愿公开的范围上进行进一步的界定，在一例案件中，被告一方作为电影制作方，在电影中将一家KTV已经公开的电话号码进行了公开，因此让原告一方遭受了大量的电话、短信骚扰。法院认为，手机号码系用户在通信活动中的身份识别数字代码，虽在机主特定使用范围内具有公开性，但并非向不特定范围非设限公开，应属个人隐私范畴内个人信息，依法受到隐私权保护（谭某诉乐动花开案）。尽管在该手机号为百度搜索中公开的个人信息，但是在适用范围上法院还是针对案件情况认定了处理该个人信息不属于法律规定的可以合法处理公开个人信息的范畴。由此也可以看出，已公开个人信息的类型也会成为法院对于处理行为的合法性认定的参照标准之一。

2.不同类型个人信息“合法公开”的判断标准应存在区别

“合法公开”作为处理已公开个人信息的合法性基础，在进行判断时应当根据不同类型做出不同的区别，切不可一刀切，要为类似案件司法审判的标准化提供前置性条件。同时，不建议让信息处理者对处理个人信息符合“合法公开”的标准过高，这种过高的标准反而违背了《个人信息保护法》关于已公开个人信息处理豁免例外的立法初衷，应当针对不同情形的已公开个人信息给予不同的合法性判断标准。

在政府行为主导下的个人信息“合法公开”的情形下，对于个人信息是否符合“合法公开”的判断在司法实践中明显要更为宽容，在比较有名的“贝尔塔案”和“汇法正信案”中，虽然最终法院针对同一公开的个人信息的判决不一致，但是在对于裁判文书网公布的司法判决是否符合“合法公开”的个人信息这一问题上并无争议，包括其他因政府行为导致的个人信息公开的诉讼中，鲜有发生对于政府行为公开个人信息合法性认定的判决。因此可以推断出对于因政府行为导致的个人信息的公开合法性的认定，法院的态度一般偏向于给予其较低的判断注意义务。但是在其他类型的个人信息进行“合法公开”判断时要进行区别对待，例如针对“自愿公开”的个人信息以及敏感信息等。其原因在于，相比于一般个人信息而言，敏感个人信息的处理具有更高的权益侵害风险，因此需要严格遵守《个人信息保护法》的特别处理规则。

（二）限制性规定对合法性标准的影响

对于处理公开的个人信息，《个人信息保护法》第27条进行限制性规定，即“合理的范围”“个人明确拒绝”和“对个人权益有重大影响”这三项事由。一旦发生上述事由，“个人信息已公开”的合法性基础便不再存在，未经同意不得对个人信息进行处理。个人明确拒绝是对于已经公开的个人信息处理推定同意的合法性基础的否定，如果个人明确拒绝了对于已公开个人信息的处理，那么“个人信息已公开”作为合法处理事由亦不再成立。“合理的范围”和“对个人权益有重大影响”的规定过于宽泛和模糊，在司法实践中一般结合信息处理的合法、正当、必要原则和公共利益与个人权益之间的价值判断来衡量。

在“贝尔塔案”和“汇法正信案”中，案情背景均为被告公司对裁判文书网已经公开的裁判文书进行了收集、转载等处理，原告均要求对涉及自身的裁判文书进行删除。法院统一对于两被告转载行为即处理个人已被合法公开的信息的行为进行了合法性确认，但是法院对于原告是否有权要求被告删除转载的裁判文书做出了不同的认定。在“贝尔塔案”中，江苏省苏州市中级人民法院着重从个人对个人信息控制权和已合法公开信息二次流动价值比较的角度进行了分析，法院认为个人信息权益的核心在于个人对个人信息的知情同意权和控制权，衡量被告作为网络运营者的处理已公开信息的合法性时，应当遵从《中华人民共和国安全法》第四十一条有关处理个人信息应当遵循的原则。显然法院在本案中对两种权益价值进行了价值判断，在基于数据共享和个人信息保护之间法院认可了原告作为个人信息的主体不因自身的个人信息被合法公开而当然丧失了对个人信息的传播控制权，即拥有对二次传播权的拒绝权。法院更进一步根据被告拒绝原告删除相关裁判文书和公告文书认定了被告的此种行为违背了合法性、正当性和必要性原则，对原告构成了重大利益的影响。虽然案件判决做出时《个人信息保护法》并未颁布，本案中法院的审判思路中为个人行使拒绝权提供了一个具体应用的范例。

在“汇法正信案”中，北京市第四中级人民法院同样也是在个人信息权益与已公开信息涉及的公共利益和社会利益比较的角度进行了分析，但是与“贝尔塔案”不同的是，其论述的重点在于两个方面，一方面分析了被告收集和利用信息的合法性和正当性，另一方面是否侵害了原告的个人信息权益。法院认可被告对司法文书这类数据进行商业化处理的合法性和正当性，主要基于数字经济背景下这种处理方式所产生的经济价值，从而间接回应了对于被告此种处理公开信息的方式是符合合法、正当、必要原则的要求的，并不存在侵害个人信息权益的情形，并且法院认为因处理该公开信息对原告造成的不利后果可以通过其自身信用补救和相应社会信用修复机制弥补。另外，法院还从司法的公开性和保护公众的知情权、监督权等角度着重进行了论述。在公共利益与个人信息利益之间，法院选择了前者并拒绝了原告的删除权。

基于上述两个案例法院对于同一事实的最终的认定情况不难看出，关于处理已公开个人信息的限制性规定在司法实践中的应用是有可能存在差异。不同的法院在对公共利益和个人信息权益的价值进行权衡和判断时进行自由心证的空间较大，在对于裁判文书这类涉及国家机关依职权制作并公开的文书进行判断时，价值判断的结果很容易出现分歧。同时，“个人明确拒绝”也未能直接导致已公开的个人信息被处理后的删除义务。

在另外一例涉及合法公开个人信息的案件中，被告一方处理了律协网站中已公开的律师的执业信息，一审认为被告一方并无过错，但二审法院改判认为律师执业信息公开的目的是为了核定律师身份，虽然依法公开但未经本人同意不得用于当事人查证以外的其他用途。即便被告在收到原告通知后已经采取了必要措施，删除了相关注册信息，但最终被告仍承担了赔礼道歉的责任。由此可见，对于“合理的范围”“个人明确拒绝”和“对个人权益有重大影响”这三项构成合法性例外的事由，实践中应用的标准比较模糊，离形成共识尚有较大距离，处理已公开个人信息的主体如果想要规避风险，需要尽量缩减处理的范围，遵循目的限定和最小化原则，在不能确定是否合规时，通过积极寻求同意授权来获得合法性。

三、小结

对于处理已公开信息合法性标准的在立法层面的规定其实并不复杂，集中体现在《个人信息保护法》和《中华人民共和国民法典》的有关条文中，但是由于条文不够细致，在司法实务中可以直接适用的难度较大。结合司法判例的情况，一般法院核心论述的重点在于通过综合判断公共利益和个人信息权益的价值来衡量处理已公开信息的合法性标准。同时，在具体案件中，个人信息主体对侵害其重大权益的举证难度较大，在没有实质性证据作为支撑的前提下，法院基于诉讼双方利益的考虑，会在判决中进行一定的价值判断以维护公平正义。因此，对于处理已公开个人信息合法性的标准要从多个维度进行考量，既要考虑已公开个人信息的类型，也要考虑到处理行为是否超出合理范围、侵害个人重大权益、举证难易程度等因素。由于处理已公开个人信息可商业化运作的场景纷繁复杂，有必要尽快就关键问题和概念形成裁判和合规标准，这有助于司法实践中对于利益冲突之间的裁判，也可以为相关数据处理行为提供更加具有确定性的规则和指引。

（作者单位：中国社会科学院大学互联网法治研究中心，本文是中国社会科学院大学哲学社会科学实验室重大专项“科教融合背景下计算社会科学人才培养大数据分析计算平台建设”的阶段性成果（X20220112））