從司法判例解讀處理已公開個人信息的合法性標準

劉曉春 孟繁宇

隨著數字化時代的發展，政府等公共機關、互聯網企業等主體基于各種目的，對于已公開的個人信息進行不同層次的處理，由此產生了越來越多的信息處理主體與個人信息所有者之間的法律糾紛。近年來以“貝爾塔案”和“匯法正信案”為代表的訴訟案件在司法實務中出現了南北法院裁判規則不一致的情況，兩個案件的被告同樣都是商業化地處理裁判文書網已合法公開的裁判文書，但對于處理行為的合法性認定規則和標準存在不同。立法層面，在《中華人民共和國民法典》和《個人信息保護法》有關條文中，雖然對如何處理已公開的個人信息進行了約定，但是由于條文內容過于寬泛，對于具體條文的理解與適用尚未出臺，同時司法實踐中也對該問題的合法性標準的判罰尺度并未產生統一的共識。上述立法層面和司法實務層面的現狀，一方面給相關與商業化處理已公開個人信息的企業合規構建造成了一定的困惑，另一方面也給后續不同地區法院對相似問題的認定帶來了挑戰。基于此，有必要從司法判例的視角出發，結合目前公開可查詢的司法判決進行梳理和分析，為處理已公開個人信息相關糾紛的合法性標準提供思路和參考。

一、司法判例中處理已公開信息的常見場景

通過檢索案例，有關處理已公開個人信息的訴訟案件中主要涉及的是，企業對于已公開信息的再次商業化利用而與個人信息主體之間產生的糾紛，其中已公開個人信息的類型主要可以分為兩類，一類為政府機構和司法機關已經公開的個人信息，該類型的個人信息往往通過互聯網的方式進行公開，被企業通過“爬蟲”等數據抓取的方式進行獲取后，再結合其商業模式進行處理和再次公開。例如，司法判決中出現較多的具體情況有，處理裁判文書網中的司法判例（“貝爾塔案”和“匯法正信案”等）、處理住建委網站公示的公租房承租人信息（馮某與深圳易圖房屋租賃案）、處理各地律協網站可以查詢到的律師執業信息（劉某訴成都華律案）等，這些公開信息比較容易被企業進行獲取和再利用。另一類為個人或企業等主體已經將自己的個人信息通過互聯網相關平臺進行過公開，其他個人或企業等主體將上述信息進行了再次商業化處理，例如處理高德地圖中已經公開的商家的聯系方式、處理個人主動已經公示在網站中個人信息（周某訴常州海河案）等。

個人得知其個人信息被商業化處理之后采取民事訴訟的方式進行維權，其中涉及的主要請求權基礎基于《中華人民共和國民法典》第四編人格權中隱私權、名譽權等，還涉及網絡侵權責任、個人信息保護等相關規定。以司法實務出現較多的隱私權糾紛為例，法院在處理相關案件時往往不認為在被處理的個人信息符合《中華人民共和國民法典》和《個人信息保護法》有關公開信息的規定情況下會侵犯個人信息所有者的隱私權，因為隱私是指自然人的私人生活安寧和不愿為他人知曉的私密空間、私密活動、私密信息。個人信息和個人隱私的保護范圍存在交叉關系，構成私密信息的個人信息應通過隱私權加以保護。個人隱私和個人信息在保護客體、保護方式等方面均存在區別，從保護方式和保護客體的角度可以判斷出處理已經公開的信息不構成對于隱私權的侵犯。因此，在大多數涉及隱私權的司法案件中，已公開信息不構成對于隱私權的侵犯已經成為司法實踐中的共識，在此基礎上根據處理信息是否符合相關規定來進一步界定處理信息的方式是否合法，例如依據《個人信息保護法》中有關合理范圍和對個人權益重大影響的規定進行綜合判斷。

二、司法判例中處理已公開個人信息合法性標準

雖然現有立法層面對于處理公開個人信息的合法性在多部法律中得以體現，但是從條文本身的內容來看，難以直接適用于相關糾紛的處理當中，有必要從司法審判的角度進行梳理，總結法院在處理此種糾紛時其遵守的合法性標準具體如何應用。

（一）個人信息的“合法公開”是合法性的基礎

《個人信息保護法》第13條在“知情同意”的基本框架下，還另外列舉了五項可豁免于知情同意規則的法定處理情形和一項兜底規則，由此確立了個人信息處理合法性基礎的二元結構，即以取得同意為原則，以豁免同意為例外。在法定的五項豁免情形中，“個人信息已公開”是處理個人信息豁免于知情同意規則的合法性基礎。這一點，也是司法審判中判斷合法性的基礎，同時基于此前提之下具體不同類型的已公開個人信息在法院做出判決中也將作為價值權益判斷的重要標準之一。

1.司法判例中合法公開的類型

鑒于現有可以查閱的司法判例，對于“合法公開”的類型司法實踐中大致可以分為兩類，一種為“強制公開”，即由政府機構、新聞媒體等在履行法定職責、法定義務等情況下，將個人信息進行公開，例如在裁判文書網將司法判決進行公開的情形，也包括依據《中華人民共和國公務員法》規定的將擬錄取人員名單及相關個人信息進行公示、為公共利益實施新聞公開違法行為人的個人信息（鄭某訴東方報業和百度案）、依據《最高人民法院關于公布失信被執行人名單信息的若干規定》將失信人個人信息進行公開等。《中華人民共和國民法典》第999條也規定了為公共利益實施新聞報道、輿論監督等行為的，可以合理使用民事主體的姓名、名稱、肖像、個人信息等。這種公開個人信息的方式，在司法判例中基本不會在處理個人信息是否具備“公開合法性”的環節出現爭議。

另一種為“自愿公開”，這在《個人信息保護法》第25條中有著明確的約定，明確的公開意愿包括明示和默示兩種形式，前者是指個人通過口頭或書面的方式表達公開意愿，后者則是指個人雖未通過口頭或書面形式表達意愿，但從其信息處理行為本身可以推知出確定的公開意愿。

而“自愿公開”的方式往往在司法實踐中容易產生一定爭議，例如有的法院會在自愿公開的范圍上進行進一步的界定，在一例案件中，被告一方作為電影制作方，在電影中將一家KTV已經公開的電話號碼進行了公開，因此讓原告一方遭受了大量的電話、短信騷擾。法院認為，手機號碼系用戶在通信活動中的身份識別數字代碼，雖在機主特定使用范圍內具有公開性，但并非向不特定范圍非設限公開，應屬個人隱私范疇內個人信息，依法受到隱私權保護（譚某訴樂動花開案）。盡管在該手機號為百度搜索中公開的個人信息，但是在適用范圍上法院還是針對案件情況認定了處理該個人信息不屬于法律規定的可以合法處理公開個人信息的范疇。由此也可以看出，已公開個人信息的類型也會成為法院對于處理行為的合法性認定的參照標準之一。

2.不同類型個人信息“合法公開”的判斷標準應存在區別

“合法公開”作為處理已公開個人信息的合法性基礎，在進行判斷時應當根據不同類型做出不同的區別，切不可一刀切，要為類似案件司法審判的標準化提供前置性條件。同時，不建議讓信息處理者對處理個人信息符合“合法公開”的標準過高，這種過高的標準反而違背了《個人信息保護法》關于已公開個人信息處理豁免例外的立法初衷，應當針對不同情形的已公開個人信息給予不同的合法性判斷標準。

在政府行為主導下的個人信息“合法公開”的情形下，對于個人信息是否符合“合法公開”的判斷在司法實踐中明顯要更為寬容，在比較有名的“貝爾塔案”和“匯法正信案”中，雖然最終法院針對同一公開的個人信息的判決不一致，但是在對于裁判文書網公布的司法判決是否符合“合法公開”的個人信息這一問題上并無爭議，包括其他因政府行為導致的個人信息公開的訴訟中，鮮有發生對于政府行為公開個人信息合法性認定的判決。因此可以推斷出對于因政府行為導致的個人信息的公開合法性的認定，法院的態度一般偏向于給予其較低的判斷注意義務。但是在其他類型的個人信息進行“合法公開”判斷時要進行區別對待，例如針對“自愿公開”的個人信息以及敏感信息等。其原因在于，相比于一般個人信息而言，敏感個人信息的處理具有更高的權益侵害風險，因此需要嚴格遵守《個人信息保護法》的特別處理規則。

（二）限制性規定對合法性標準的影響

對于處理公開的個人信息，《個人信息保護法》第27條進行限制性規定，即“合理的范圍”“個人明確拒絕”和“對個人權益有重大影響”這三項事由。一旦發生上述事由，“個人信息已公開”的合法性基礎便不再存在，未經同意不得對個人信息進行處理。個人明確拒絕是對于已經公開的個人信息處理推定同意的合法性基礎的否定，如果個人明確拒絕了對于已公開個人信息的處理，那么“個人信息已公開”作為合法處理事由亦不再成立。“合理的范圍”和“對個人權益有重大影響”的規定過于寬泛和模糊，在司法實踐中一般結合信息處理的合法、正當、必要原則和公共利益與個人權益之間的價值判斷來衡量。

在“貝爾塔案”和“匯法正信案”中，案情背景均為被告公司對裁判文書網已經公開的裁判文書進行了收集、轉載等處理，原告均要求對涉及自身的裁判文書進行刪除。法院統一對于兩被告轉載行為即處理個人已被合法公開的信息的行為進行了合法性確認，但是法院對于原告是否有權要求被告刪除轉載的裁判文書做出了不同的認定。在“貝爾塔案”中，江蘇省蘇州市中級人民法院著重從個人對個人信息控制權和已合法公開信息二次流動價值比較的角度進行了分析，法院認為個人信息權益的核心在于個人對個人信息的知情同意權和控制權，衡量被告作為網絡運營者的處理已公開信息的合法性時，應當遵從《中華人民共和國安全法》第四十一條有關處理個人信息應當遵循的原則。顯然法院在本案中對兩種權益價值進行了價值判斷，在基于數據共享和個人信息保護之間法院認可了原告作為個人信息的主體不因自身的個人信息被合法公開而當然喪失了對個人信息的傳播控制權，即擁有對二次傳播權的拒絕權。法院更進一步根據被告拒絕原告刪除相關裁判文書和公告文書認定了被告的此種行為違背了合法性、正當性和必要性原則，對原告構成了重大利益的影響。雖然案件判決做出時《個人信息保護法》并未頒布，本案中法院的審判思路中為個人行使拒絕權提供了一個具體應用的范例。

在“匯法正信案”中，北京市第四中級人民法院同樣也是在個人信息權益與已公開信息涉及的公共利益和社會利益比較的角度進行了分析，但是與“貝爾塔案”不同的是，其論述的重點在于兩個方面，一方面分析了被告收集和利用信息的合法性和正當性，另一方面是否侵害了原告的個人信息權益。法院認可被告對司法文書這類數據進行商業化處理的合法性和正當性，主要基于數字經濟背景下這種處理方式所產生的經濟價值，從而間接回應了對于被告此種處理公開信息的方式是符合合法、正當、必要原則的要求的，并不存在侵害個人信息權益的情形，并且法院認為因處理該公開信息對原告造成的不利后果可以通過其自身信用補救和相應社會信用修復機制彌補。另外，法院還從司法的公開性和保護公眾的知情權、監督權等角度著重進行了論述。在公共利益與個人信息利益之間，法院選擇了前者并拒絕了原告的刪除權。

基于上述兩個案例法院對于同一事實的最終的認定情況不難看出，關于處理已公開個人信息的限制性規定在司法實踐中的應用是有可能存在差異。不同的法院在對公共利益和個人信息權益的價值進行權衡和判斷時進行自由心證的空間較大，在對于裁判文書這類涉及國家機關依職權制作并公開的文書進行判斷時，價值判斷的結果很容易出現分歧。同時，“個人明確拒絕”也未能直接導致已公開的個人信息被處理后的刪除義務。

在另外一例涉及合法公開個人信息的案件中，被告一方處理了律協網站中已公開的律師的執業信息，一審認為被告一方并無過錯，但二審法院改判認為律師執業信息公開的目的是為了核定律師身份，雖然依法公開但未經本人同意不得用于當事人查證以外的其他用途。即便被告在收到原告通知后已經采取了必要措施，刪除了相關注冊信息，但最終被告仍承擔了賠禮道歉的責任。由此可見，對于“合理的范圍”“個人明確拒絕”和“對個人權益有重大影響”這三項構成合法性例外的事由，實踐中應用的標準比較模糊，離形成共識尚有較大距離，處理已公開個人信息的主體如果想要規避風險，需要盡量縮減處理的范圍，遵循目的限定和最小化原則，在不能確定是否合規時，通過積極尋求同意授權來獲得合法性。

三、小結

對于處理已公開信息合法性標準的在立法層面的規定其實并不復雜，集中體現在《個人信息保護法》和《中華人民共和國民法典》的有關條文中，但是由于條文不夠細致，在司法實務中可以直接適用的難度較大。結合司法判例的情況，一般法院核心論述的重點在于通過綜合判斷公共利益和個人信息權益的價值來衡量處理已公開信息的合法性標準。同時，在具體案件中，個人信息主體對侵害其重大權益的舉證難度較大，在沒有實質性證據作為支撐的前提下，法院基于訴訟雙方利益的考慮，會在判決中進行一定的價值判斷以維護公平正義。因此，對于處理已公開個人信息合法性的標準要從多個維度進行考量，既要考慮已公開個人信息的類型，也要考慮到處理行為是否超出合理范圍、侵害個人重大權益、舉證難易程度等因素。由于處理已公開個人信息可商業化運作的場景紛繁復雜，有必要盡快就關鍵問題和概念形成裁判和合規標準，這有助于司法實踐中對于利益沖突之間的裁判，也可以為相關數據處理行為提供更加具有確定性的規則和指引。

（作者單位：中國社會科學院大學互聯網法治研究中心，本文是中國社會科學院大學哲學社會科學實驗室重大專項“科教融合背景下計算社會科學人才培養大數據分析計算平臺建設”的階段性成果（X20220112））