中国社科院大学刘晓春已公开个人信息保护和利用的规则建构

　　【编者按】 随着＂互联网+政务服务＂的深入推进，政府部门通过互联网为公民提供越来越便捷服务的同时，也面临如何保护和利用已公开个人信息的问题。
　　已公开个人信息的保护和利用中，立法条文层次并不复杂，但是实践适用场景较为丰富，而且争议频发。《互联网法律评论》特约专家、中国社会科学院大学法学院刘晓春老师认为，应当在这个领域确立层次清晰的规则适用体系，明确类型化的规则，为复杂的实践场景应用提供更强的确定性。
　　本文原载于《环球法律评论》2022年第2期，《互联网法律评论》今日获得作者授权，编辑刊发此文。本文有删节，注释略，已经作者审核。
　　已公开个人信息在我国立法中被作为个人信息的一个专门类别加以规定，司法实践中，已经出现为数不少的判决，但对于具体规则适用尚未形成共识，而且对于最新立法条文及其构成要件，也尚未进行解释和适用。
　　一、 已公开个人信息保护的典型场景
　　一是政府在行使公共职权过程中公开的各类信息，成为数据产业收集和挖掘的重要对象，也引发了众多的争议和纠纷。
　　针对政府公开信息作为源头的企业信息、征信信息的再次利用、加工和传播，在侵犯公民个人信息罪的刑事司法实践中也成为重要的案件类型，受到高度关注。
　　二是搜索引擎对于公开信息的收集和展示也成为实践中一类重要的争议类型。
　　二、 已公开个人信息保护的三种立法模式及其理论梳理
　　（一）三种立法模式
　　1.已公开个人信息适用一般规则
　　这种模式以欧盟《一般数据保护条例》（General Data Protection Regulation）为典型代表，没有将已公开个人信息作为单独类别进行特殊规定，而是适用其关于个人信息处理的一般性规定，并无专门的特殊例外。但是，已公开个人信息在一些具体规则的适用中，也会呈现其特殊性。
　　在欧盟《一般数据保护条例》关于个人数据处理原则（第5条）和处理合法性基础（第6条）的规定中，都没有专门规定已公开个人信息的类型。在关于＂特殊类型的个人数据处理＂（第9条）中，一方面该条第一款规定禁止处理特定敏感类型的个人数据；另一方面，第二款规定了10种针对第一款的例外情形，其中（e）项规定的例外为：＂处理被数据主体明确无疑公开的个人数据＂。亦即，对于数据主体自行以明确无疑的方式进行公开的情形，数据处理者对该公开信息的处理可以不受第9条第1款的限制。但是，需要特别指出的是，第9.2(e)条的例外规定，并不能构成个人数据处理的合法性基础，即使满足自行公开这一例外情形，对于这些个人数据的处理依然需要满足第5条和第6条的规定，需要基于同意或者第6条规定的其他情形，才能获得处理行为的合法性。这是欧盟《一般数据保护条例》与我国立法将已公开个人信息处理规定为同意的例外情形最重要的区别。
　　根据欧盟《一般数据保护条例》第6条第1款的规定，除（a）项规定了同意作为合法性基础之外，（b）到（f）各项都可能构成处理已公开个人信息的合法性基础，其中，第（c）项履行法律义务之必要、第（e）项为公共利益或公务职权行使之必要，以及第（f）项追求合法利益之必要，都有可能涉及处理已公开个人信息的情况。特别是，对于前述涉及的已公开个人信息利用的典型场景，例如，针对政府公开信息进行商业数据库形式的加工，或者通过搜索引擎、数据抓取对公开信息的收集、利用和展示，通常落入第（f）项所规定之＂合法利益＂的可能性较大，也可能涉及公共利益的情形。
　　个人对已公开个人信息的处理行为也拥有完整的权利体系，包括知情权、访问权、更正权、删除权、限制处理权、可携带权、反对权等。涉及已公开个人信息处理的纠纷，目前为止多是围绕删除权（被遗忘权）的行使。在这类纠纷中，数据处理通常是基于第6.1（f）条规定的合法利益条款，而并非基于同意，在争议中通常会涉及至少两个层面的问题。第一个层面是合法利益作为合法性基础是否能够成立，这决定了处理行为本身是否合法；第二个层面是如果处理行为合法，原告是否可以有效行使删除权。在第二个层面，原告需要首先根据第21条主张反对权，并确保数据处理者的合法利益不能高于数据主体的利益、权利和自由。此外，涉及政府公开信息、搜索引擎、数据抓取公开信息的场景时，数据主体通常还需要证明，自己要求删除信息或主张＂被遗忘＂的请求，不会构成第17条第3款所规定的删除权的例外情形，特别是不会妨碍他人或公众＂行使言论和信息自由的权利＂，处理者执行公共利益或者官方职权的任务，以及基于＂公共利益、科学、历史研究或者统计目的＂的处理行为。
　　欧盟《一般数据保护条例》第九章规定了一系列具体处理情形，可以由成员国自行制定法律规则，设置个人信息保护的豁免和例外。在这些情形中，已公开个人信息的处理都可能构成其中重要的典型场景，这也在司法判决中得到了印证。
　　我国香港地区和日本也实行类似的立法选择。
　　2.个人信息概念中排除公开可得信息
　　这种模式以美国《加州消费者隐私法》（California Consumer Privacy Act of 2018）和《加州隐私权法》（California Privacy Rights and Enforcement Act）为代表，在＂个人信息＂的概念中将＂公开可得信息＂直接排除出去。
　　美国的个人信息保护立法在联邦层面呈现＂去中心化＂态势，并没有形成统一的立法文件，而是分散于涉及个人信息处理的多个具体领域。由于美国的个人信息保护具有比较明显的＂隐私权＂保护传统，立法语言也经常使用＂隐私＂一词，因此隐含的前提即将公开可得信息排除在保护范围之外。例如，美国《健康保险携带与责任法案》（Health Insurance Portability and Accountability Act）就规定，个人医疗数据的保护对象是＂非公开个人信息＂。
　　美国各州的隐私和个人信息保护立法沿袭了此种立法思路，其中影响力较大的是《加州消费者隐私法》和《加州隐私权法》，在＂个人信息＂的定义中皆规定不包括公开可得信息。作为例外，公开可得数据不包括未经消费者同意而由企业收集的消费者的生物信息。在加州之后通过的弗吉尼亚州的隐私权立法中，也采用了同样的模式，将＂公开可得信息＂从＂个人信息＂的概念中排除出去，不纳入立法保护的范畴。
　　美国在立法和执法中对公开信息抱有的开放态度，与其强调宪法第一修正案的言论自由的价值理念高度相关，这一价值取向也体现在针对公开可得信息的个人＂被遗忘权＂在美国并未得到积极支持。不过，针对未成年人自行发布的信息，加州制定专门的＂橡皮擦法案＂给予特殊保护。
　　3.已公开个人信息作为单独类别进行特殊规定
　　这种模式是在个人信息保护法中将＂已公开个人信息＂或＂公开可得信息＂作为一类单独列出，构成一种独立的合法性基础，亦即作为个人信息处理中获取＂同意＂义务的例外情形，我国《民法典》和《个人信息保护法》采用了此种模式，加拿大、新加坡、韩国等国家的立法也体现了这一特点。
　　我国关于已公开个人信息的规定体现在《民法典》第1036条和《个人信息保护法》第13条、第27条。对其的规定主要有三个层次：
　　01
　　个人自行公开或其他形式合法公开的个人信息，对其处理构成个人同意的例外，可以单独构成合法性基础。
　　02
　　要符合该条合法性基础，处理行为应在＂合理范围＂，且不能＂侵害其重大利益＂或＂对个人权益有重大影响＂，否则依然需要取得个人同意。
　　03
　　个人可以通过明确拒绝来反对个人信息处理行为。
　　从现有规定看，已由个人自行公开或合法公开的个人信息，个人对其控制权能明显弱于未公开个人信息的情形，对应的个人信息处理行为也拥有更大的自由度。这集中体现在，处理行为不需要经过个人＂同意＂即具有合法性基础；也意味着基于＂用户同意＂的后续处理行为相关规则，例如＂单独同意＂＂撤回同意＂等规则，都不再适用。
　　不过，用户虽然不能一般性地通过＂事先同意＂来控制已公开个人信息的处理，相关法条还是给予用户＂事后拒绝＂的权利，这是类似于＂默示同意＂的＂选择退出＂机制，与《个人信息保护法》中规定的其他＂拒绝权＂相比，这是较为明显的差异。
　　除上述规定外，《个人信息保护法》中关于个人信息处理规则（第二章）和个人权利（第四章）是否作为一般性规则适用于已公开个人信息处理的情形，例如，告知义务、查阅、复制、更正等相关权利，虽然没有明确规定，但是在可适用情形下应当也具有约束力。
　　需要指出的是，个人针对已公开个人信息处理的拒绝权利，尽管在表现形式上与《个人信息保护法》第47条规定的删除权比较接近，但应是一种独立的权利。与欧盟《一般数据保护条例》规定删除权的多种例外情形不同，我国《个人信息保护法》无论是第47条关于删除权的规定，还是第27条关于拒绝权的规定，都没有规定基于公共利益、信息和言论自由等目的的例外情形，这有可能给规则具体适用带来一些潜在的问题。
　　另一方面，在合法性基础方面，已公开个人信息的处理有可能与第13条第1款第5项规定的＂为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息＂出现竞合。在具体规则适用中也有可能出现协调两种合法性基础之间关系的问题。
　　（二）不同立法模式比较与理论梳理：已公开个人信息的制度定位与价值取向
　　1.立法模式比较
　　在三种立法模式中，欧盟《一般数据保护条例》没有针对已公开个人信息进行专门的例外规定，仅在敏感个人信息处理中规定自行公开的情形，已公开个人信息适用一般性的例外规定。但是，由于其规定的例外层次较为丰富，包括＂合法利益＂＂言论和信息自由＂＂公共利益＂＂科学、历史、统计目的＂等，已公开个人信息可纳入例外的情形也较为丰富。
　　美国加州的立法模式则体现了对于公开可得个人信息的高度鼓励利用和流通的倾向，将特定类型的公开个人信息排除在法律适用范围之外，默认不予保护，仅在涉及未成年人保护时制定特殊立法。当然，在加州的隐私权立法中，即使对于一般个人信息，也是采用＂选择退出＂机制，其保护强度大致相当于我国《个人信息保护法》对已公开个人信息的保护程度。
　　中国的立法模式将已公开个人信息明确规定为获取同意的例外情形，体现了对其中公共利益和信息流通价值的重视。但是另一方面，＂合理范围＂＂个人权益重大影响＂等概念的范围边界尚不清楚，给信息处理者的义务范围带来不确定性，而且对＂拒绝权＂的行使也没有规定例外情形，在这点上反而不如适用一般规则的欧盟《一般数据保护条例》更有弹性空间。
　　2.理论梳理
　　已公开个人信息保护与利用的不同制度进路，体现出理论上的共识和分歧并存,可以总结为以下三个层次：
　　01
　　已公开个人信息相对于未公开的个人信息应具有更强的公共性，以及更强的公共利益属性。这一点可以认为已经达成共识。相比而言，要求在个人信息公开时进行更加严格的控制，而在公开后则通过推定或者选择退出等机制，来确保公开信息流动和利用可以在可控的成本范围内进行，应是更符合效率的做法，可节省巨额成本。
　　02
　　已公开个人信息依然包含个人权益属性，但相对于未公开个人信息，这主要体现为一种受限的个人决定权。本质上已公开个人信息依然属于个人信息权益保护的范畴而并未完全进入公有领域。
　　03
　　已公开个人信息的公共性和私权性之间的权衡，需要存在动态和弹性的调整空间。由于不同场景涉及的利益平衡状态的差异性，公共性和私权性之间的界分需要进行类型化调整。具体到制度设计上，应有必要避免做出一刀切的规则设定，通过设置例外情形等方式，留出规则弹性适用的空间。
　　三、 我国已公开个人信息处理规则的体系建构与适用
　　（一）个人信息的＂合法公开＂
　　1.合法公开的类型
　　第一，个人自行公开。这一情形属于个人对于其个人信息行使决定权的组成部分。个人自行公开的情况可以类比于基于个人同意的信息处理。对于个人自行公开的界定标准，在某些情况下可能引起争议。
　　如何通过个人的行为或者表意确定是否＂自行公开＂，可以有不同的判断标准。欧盟《一般数据保护条例》第9.2（e）条下的个人＂明确无疑＂的＂自行公开＂界定，因其构成敏感个人信息处理禁止的例外，根据欧盟数据保护委员会（European Data Protection Board）发布的相关指南，对其构成要件的要求十分严格，必须达到毫无疑义的程度，需要综合考量多个因素。
　　美国《加州隐私权法》中所列的＂公开可得信息＂中，企业只要有合理依据相信相关个人信息是由消费者本人公开披露即可符合，采用了一种十分宽松的认定方法。我国立法者对＂自然人自行公开＂的解释是＂自然人主动将自己的某些个人信息向社会公开＂。由于与欧盟《一般数据保护条例》适用于敏感个人信息的第9.2（e）条在立法目的和定位上的不同，我国对于这一要件的认定可以不必过于严格，根据自然人的行为以及相关媒介（如社交媒体）的技术设置等特征，能够推断出其存在公开其个人信息的意图即可。
　　第二，经过个人同意的公开。这类公开通常由个人信息处理者做出，一定程度上可以认为是广义＂自行公开＂的一部分，但是由于在行为样态上与直接的个人＂自行公开＂具有比较明显的区别，实践中将其单独作为一种类别可以更方便规则适用。＂公开＂作为个人信息处理的一种对个人利益影响较大的特定情形，《个人信息保护法》对其合法性要求进行了强化的规定，＂公开＂个人信息的行为需要获取个人的＂单独同意＂，并进行个人信息保护影响的评估。
　　第三，政府公开。政府公开的情形还可以进一步细分为基于立法事务、行政职权的公开，以及司法公开等。政府在制定信息公开规则时，需要充分考虑各方主体及其利益的多元性，亦需要重点考虑公共利益，做出特定的利益衡量。
　　第四，媒体和舆论公开。媒体和舆论公开属于合法公开的一种情形，但是与《个人信息保护法》第13条第1款（5）项的规定会出现竞合的情况。此外，《民法典》第990条也规定了人格权的＂合理使用＂情形。根据立法者的解释，＂舆论监督＂的定义是＂社会公众运用各种传播媒介对社会运行过程中出现的现象表达信念、意见和态度，从而进行监督的活动＂，从而其主体不限于新闻媒体机构，体现了对于公众言论自由等价值的维护。
　　第五，其他个人或企业的公开。其他个人或企业未经个人同意而公开个人信息的情形，较有可能落入非法公开的范畴，但是实践中公开情形包罗万象，亦有可能存在其他具备合法性和合理性的公开情形。
　　2.对于公开＂合法性＂的注意义务
　　个人信息处理者需要根据不同情况承担＂合法性＂判断的注意义务。总体来说，为促进公开个人信息公共价值的实现，不应给主体施加过高的注意义务，否则，在大多数初始公开合法性难以判断的情形中，已公开个人信息的规定将形同虚设。
　　第一，根据初始公开的不同类型，其判断难度也各不相同，注意义务的认定标准也应有不同。
　　第二，根据个人信息的不同类型，适用不同的注意义务标准。对于敏感个人信息等可能给个人带来较高风险的已公开个人信息，以及未成年人等特殊群体的个人信息，处理者应当承担更高的注意义务。
　　第三，根据不同的个人信息处理行为模式，确定不同的注意义务标准。但对于特定领域个人信息进行垂直、深度处理和加工的处理者，则有可能承担比搜索引擎更高的注意义务。
　　（二）已公开个人信息处理行为的＂合理范围＂和＂个人权益重大影响＂
　　第一，需要厘清＂合理范围＂与个人信息初始公开目的的关系。从立法历史可见，立法者放弃了＂符合初始公开用途＂的限定标准，采用了更加宽泛的＂合理范围＂表述，一定程度上也是回应了确定初始公开用途难度过高的质疑。由此可见，现行立法中的＂合理范围＂应当不受初始公开用途和目的的限制。
　　有学者认为，若处理行为与该信息公开目的没有根本抵触，则属于合理范围，但如果明显违背初始公开目的、明显改变已公开个人信息的用途的情形，应当认为超出合理范围，甚至有可能构成侵犯公民个人信息罪。另有学者认为，针对已公开个人信息的合理处理，应作相对宽泛的理解，原则上，只要法律法规没有明确禁止的处理行为，均可以认定为合理。这两种观点中，后一种虽然可能偏于宽泛，但应当更接近立法原意。
　　第二，在确定＂合理范围＂时，或可参照欧盟《一般数据保护条例》中已公开个人信息利用的常见合法性基础＂合法利益＂原则的认定方法，将数据处理者或第三方的合法利益与数据主体的利益进行比较。但由于是已合法公开的个人信息，其中应当体现相当的信息和自由权利、公众知情权等公共利益，因此衡量的天平应当适当向数据处理者和公众倾斜。除非数据主体可以证明自己具有明显超越处理者和第三方利益的情形，否则应当认定处理行为属于＂合理范围＂。
　　第三，需要确定＂个人权益重大影响＂的认定标准并厘清其与＂合理范围＂的关系。除违法和侵权等法律禁止的行为，也可能存在其他处理行为对个人权益产生重大影响的情形。但是，在确定已公开个人信息的处理行为是否需要经过个人同意时，还需要与其他因素和价值考量进行平衡，并不只是单向考察针对个人信息主体的利益影响。
　　＂个人权益重大影响＂和＂合理范围＂之间，应是互斥的关系，如若能够符合＂合理范围＂的要件，则通常不会对个人权益造成重大影响；反之亦然。由于两个概念都具有抽象性，虽然立法条文中将两者分开规定，在实际规则应用中，较难想象会存在两者并存的情形。在这个意义上可以认为，不对个人权益造成重大影响，可以作为解释＂合理范围＂的认定情形之一。
　　第四，个人权益可以通过个人行使＂拒绝权＂机制得到保护，只要信息处理者提供较为便捷的行使拒绝权的渠道，则并无必要基于＂个人权益重大影响＂和＂合理范围＂确立针对信息处理者过于严格的标准。通过将证明责任和拒绝权利分配给数据主体，来取得已公开个人信息上各方主体利益的相对平衡。
　　第五，针对政府公开信息与搜索引擎两种典型场景，＂合理范围＂的确定应当尽量宽泛。
　　（三）拒绝权的行使与例外
　　1.拒绝权及其行使
　　拒绝权的规定表明，我国的已公开个人信息处理规则并非一项完全的＂同意豁免＂规则或者＂合理使用＂制度，而是将个人的决定权从同意为基础的＂选择进入＂机制减损为一种＂选择退出＂机制，类似于知识产权法中的默示许可制度。＂选择退出＂机制下，虽然也使得个人针对已公开个人信息掌握一定决定权，但是与＂选择进入＂机制不同，个人需要承担个人信息利用的调查和了解成本，控制风险的成本转移到个人信息主体身上，结果上导致个人信息控制权的弱化。
　　不过，＂选择退出＂机制下，已公开个人信息的处理者依然需要承担《个人信息保护法》第17条规定的告知义务，这使其在一定程度上需要分担信息传递的成本。不过，由于缺乏取得个人同意的环节，已公开个人信息通常是批量处理，如果要求逐一联系信息主体进行告知，实质上会架空已公开个人信息基本规则，无法实现其立法目的。因此，可考虑允许处理者通过公示方式进行一揽子告知的方式，来履行其告知义务。
　　对于已公开个人信息主体控制权的弱化，其合理基础当然是建立在已公开个人信息本身所具有的公共价值基础之上。当已公开个人信息是基于个人＂自行公开＂或基于个人同意的公开的情形下，这已经不能称之为一种弱化，而实际上是个人行使个人信息决定权的一种表现。在这两种情形下，个人行使＂拒绝权＂，有点类似于＂撤回同意＂，并可据此行使删除权。
　　个人信息主体行使拒绝权的形式和要件，可以参照民法上关于网络侵权的＂通知删除＂机制。不过，网络侵权领域的＂通知删除＂机制指向的网络服务提供者并非侵权行为的直接实施者，＂通知删除＂机制还有相应的反通知等程序；而在已公开个人信息保护中，＂拒绝权＂行使的对象是个人信息的处理者，即直接行为人，一般也不会有转交通知和反通知等步骤。因此，行使＂拒绝权＂与＂通知删除＂规则虽然在形式和效果上存在相似之处，但依然是在原理和制度上彼此独立的权利行使机制。
　　2.拒绝权的例外
　　《民法典》和《个人信息保护法》中规定的针对已公开个人信息的拒绝权，皆未规定例外情形。但是，已公开个人信息的不同公开类型下，是否可以毫无例外的全部行使拒绝权，尚存疑虑。
　　对于个人自行公开、基于个人同意的公开这两种情形，个人行使拒绝权一般而言应无疑义。但是，对于政府公开，媒体和舆论公开的情形，个人行使拒绝权是否应当受到限制，是否应当考虑信息流通、言论价值、公众知情权、科学研究等公共价值，应有很大讨论空间。
　　借鉴欧盟《一般数据保护条例》中规定的相关例外规定，在我国关于已公开个人信息拒绝权的制度设计中，应当也创设例外规则。这些例外可以包括以下三种情形。
　　第一，政府公开信息作为初始公开的情形，对其的后续处理行为原则上不应允许个人行使拒绝权。此时也可能存在对个人信息主体造成不利影响的情形。但是，这种影响应当在政府信息初始公开的时候就进行充分考虑，将其与信息公开的公共价值进行充分权衡从而做出决定。《最高人民法院关于人民法院在互联网公布裁判文书的规定》中，提出对特殊裁判文书隐名处理的要求，公布裁判文书应保留部分个人信息（包括自然人的姓名等）等的要求。就个人信息的匿名化、去标识化等措施，应依据这些规定，将其对个人权益可能造成的损害及其合比例性问题，在初始公开阶段即进行充分考虑。
　　此外，个人信息主体如对初始公开中政府行为的合法性存疑，可以通过挑战该种初始公开行为的方式来实现权利的维护和救济。
　　第二，基于新闻报道和舆论公开信息的后续处理，原则上不应允许个人行使拒绝权。
　　第三，其他由他人合法公开的情形，应视其具体情况，由执法机关或法官进行具体利益衡量，在此基础上做出个案的裁决，决定是否支持拒绝权的行使。
　　作者：刘晓春
　　《互联网法律评论》特约专家
　　中国社会科学院大学互联网法治研究中心执行主任，法学博士
　　【免责声明】 此文仅代表作者个人观点，与本平台无关。本平台对文中陈述、观点判断保持中立，不对所包含内容的准确性、完整性或可靠性提供任何明示或暗示的保证。