LinkedIn诉hiQ Labs反转，公开信息的“二次使用”规则梳理——个人信息角度

随着数字经济时代的到来，鼓励数据流动与个人信息保护的双重政策背景，已公开个人信息既具有数据的财产权属性，兼有个人信息强烈的身份属性，处理已公开个人信息需谨慎合法。2021年6月，针对LinkedIn诉hiQ Labs收集LinkedIn公开个人数据争议，对美国下级法院裁决禁止领英阻止hiQ访问其用户的公开信息迎来反转，美国最高法院驳回该裁决，以收集使用该类数据侵害LinkedIn用户的个人信息权益，发回旧金山第九巡回上诉法院重审，进一步反映已公开信息处理的多重利益博弈。笔者立足现行中国法体系已公开信息的法律规范、裁判观点，从保护个人信息语境梳理已公开信息的“二次使用”规则。[1]
一、处理已公开个人信息的立法规范
对已公开个人信息的立法规范主要有《民法典》第1036条、《个人信息保护法草案》第26条和第28条、《信息安全技术个人信息安全规范2020年》第9.5条及司法解释《最高人民法院关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》第9条规定（如下图1）。[2]

从规范效力看，上述法律规范除《个人信息保护法草案》尚未生效，《民法典》《信息安全技术个人信息安全规范》《最高人民法院关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》均有效实施。虽《个人信息保护法草案》未实施，但该草案关于已公开信息的二次处理规则最为全面详实。
从规范性质看，《民法典》《信息安全技术个人信息安全规范》《个人信息保护法草案》均将已公开个人信息区分为自行公开与其他依法公开的个人信息两类，《最高人民法院关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》属于特别规则，主要针对国家机关依职权制作的文书和公开实施的职权行为等信息来源所发布的信息的二次处理。关于“其他依法公开的个人信息”的范围，将于本文第二部分予以讨论。
从规范内容看，《信息安全技术个人信息安全规范》仅确立已公开个人信息无需授权同意，《个人信息保护法草案》将二次处理已公开个人信息的授权同意规则细化，将二次处理的过程是否超出个人信息被公开时的用途作为基点，衡量是否需要重新获得授权同意。《民法典》条款兼具防御规范和辅助规范，明确二次处理已公开信息无需承担法律责任，对“除非个人提出明确的拒绝或该种处理活动对个人信息重大权益存在重要影响”的但书条款，其中“合理”“重大利益”均需要个案考量，亦是裁判者进行法益衡量的正当性依据。[3]
二、关于“其他依法公开的个人信息”的范围
目前对已公开个人信息的立法规则，依据首次公开属于自行公开或其他依法公开两类予以列举，具体的处理规则并未区分。因《个人信息保护法草案》对处理个人信息依据种类较为全面，为便于梳理已公开个人信息的处理规则，依据此细化两类已公开个人信息，如图2。

对自行公开做扩大解释，包括个人信息主体主动自行公开和经授权同意公开两类。自行公开并非法律术语，目前重视保护个人信息的法律背景下，与经授权同意公开的个人信息相同，个人信息主体自行公开亦存在默认的公开范围。其他依法公开的个人信息依据《个人信息保护法草案》第十三条第一款第（二）项至第（七）项之规定，包括除取得个人同意外的所有情形。[4]其中，第（五）条及第（七）条更像兜底条款，笔者在该部分不做赘述，仅讨论第（二）项、第（三）项、第（四）项及第（六）项规定情形。当然，对其他依法公开的个人信息再次处理的规则，亦当然适用无需再授权的原则。
其中，第（二）项“为订立合同或者履行个人作为一方当事人的合同所必需”，如合同因履行等原因消灭，此时已公开的个人信息是否因已公开状态，二次处理是否具有正当依据，很大程度得进行个案考量。第（四）项“为应对突发公共卫生事件或者紧急情况下为保护自然人的生命健康和财产安全所必需”，第（六）项“为公共利益实施新闻监督、舆论监督等在合理范围内处理个人信息”，基于生命健康、公共利益等重大法益，该类个人信息的处理主体应比自行公开、依公务公开的个人信息的二次处理承担更重的注意义务，应更多衡量此类二次处理是否有必要性，尊重个人信息主体自决权益。
另，第（三）项为履行法定职责或者法定义务所必需，典型如《最高人民法院关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》规定的“国家机关依职权制作的文书和公开实施的职权行为等信息来源所发布的信息”。该类已公开信息享有最大权限的处理规则，网络用户、网络服务提供者保证处理信息精准、全面、及时更正即可。该类信息因公开原因及基础系相关法律规定，个人信息主体一般情况下不享有拒绝同意的权利，但二次处理对于个人信息主体存在重要影响除外，目前已有裁判旨在保护个人信息主体利益判令删除转载裁判文书。[5]此种情形下，拒绝同意的请求需当事人进行主张，但对个人信息主体存在重大影响是否由当事人提出，抑或法院应主动审查该事由存在，未有定论。同时，主张拒绝同意的当事人应对该事实承担相应的证明责任，裁判者需对个人信息公开行为保护的法益与拒绝二次处理的个人信息法益进行权益衡量。
三、已公开个人信息处理规则
根据已有的立法规则，已公开个人信息的处理规则：其一，对收集的个人信息，原则上不得公开，公开基础必须取得个人单独同意或者依照法律、行政法规另有规定；其二，二次处理已公开的个人信息信息必须遵循：1.合理原则，但目前法律规则对于“合理”内涵并未具体阐述；2.一般而言无需再次获得个人信息主体的授权，但存在两种例外规则，即个人信息主体明确拒绝，或二次处理侵害其重大利益。该种规则亦符合国外立法，一般的商业记录适用较为宽松的规则，除非权利人书面通知禁止信息的二次使用，则推定他同意，在法律和据以获得信息的合同约定中没有禁止性规定时，即使未经本人同意，信息的二次使用一般也被认为是合法的。[6]

一方面，处理已公开信息，无需重新取得授权。根据《民法典》第1035条第二款之规定，个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开等。简单来看，对已公开个人信息收集及使用，无论是“个人信息主体自行向社会公众公开的个人信息”，还是“从合法公开披露的信息中收集个人信息的”，均无需取得信息个体的授权。无论是收集阶段抑或使用该类已公开个人信息，均无需再授权，是受限定条件，并非绝对的无需授权即可处理。尤其是使用阶段，侧重于该二次处理是否对个人信息主体的权益造成重大影响。
另一方面，首次公开依据决定二次处理的范围、用途。已公开的个人信息，因首次公开的正当性依据、范围不同，二次处理的范围、用途等也不相同。个人信息处理者处理已公开的个人信息,应当符合该个人信息被公开时的用途。超出与该用途相关的合理范围的,应当依照本法规定取得个人同意。对公开时用途不明确的，个人信息被公开时的用途不明确的,个人信息处理者应当合理、谨慎地处理已公开的个人信息。此处对于“合理”“谨慎”的含义的理解，应结合个案具体因素判定，可结合二次处理已公开的个人信息是否对个人有重大影响的活动、是否存在明显超越个人信息自决权益的正当性等，判断是否需要再次进行授权。
另，二次处理需承担法律责任的情形有两种：当事人明确拒绝处理和该处理侵害个人信息主体的重大利益。关于当事人明确拒绝二次处理，此种情形下，依旧对已公开个人信息进行二次处理，需要承担侵害个人信息的法律责任。关于二次处理侵害个人信息主体的重大利益，主要是衡量个人信息公开的利益/扩大公开的利益、个人信息主体利益的博弈，取决于二次处理行为的手段、范围及目的等，主要有：1.将已公开个人信息进行关联整合形成可识别性的个人信息，如使用已公开的个人信息进行人肉检索，目前香港已有对人肉检索的禁止性规定，旨在避免对已公开的个人信息再次进行关联。[7] 2.《通信短信息和语音呼叫服务管理规定（征求意见稿）》第十六条禁止商业使用已公开的通讯录随意发送短信的行为。[8]该规定旨在禁止滥用已公开个人信息，重在保护个人信息主体免受打扰的利益。3.处理已公开的个人信息不得违反社会公德、公共利益。[9]修订前《最高人民法院关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》（2014年）第十二条明确规定违反社会公共利益、社会公德的方式使用已公开信息，应承担法律责任。
四、关于已公开个人信息再处理的司法裁判
《民法典》等已建立对已公开个人信息再处理的立法框架，法律规范模糊的“合理”“侵害个人信息主体重大利益”等，司法实践亦有部分关于处理已公开个人信息的裁判规则予以弥补释明。

【案例一】2016年 刘某诉乐视网公开视频案
乐视网利用刘某之母张明接受南都娱乐周刊采访的陈述制作成视频予以发布，涉案视频标题和引述文章之内容指向的对象为黄xx嫖娼事件女主角， “所嫖女子”、“沈阳人”、“变性已4年”的字眼，视频包括事主的姓名、籍贯、变性的事实及时间、工作及行踪等个人信息。刘某以乐视网未经授权发布该视频侵害其隐私权，诉至法院。乐视网以被诉视频来源于报道，信息已非刘馨予个人的秘密，属于公开信息，公布视频均援引已公开的信息，不侵害刘某相关权益。法院认定视频涉及信息系不愿为他人知晓之个人隐私，涉案视频在互联网公开发布必然会造成刘馨予个人隐私信息的公然传播，会造成其社会评价的降低，涉案视频侵害刘馨予人身权益的程度明显，作为涉案视频发布者的乐视公司具有过错，应承担赔礼道歉、赔偿损失等法律责任。
本案终审时间为2016年，相关个人信息二次处理的法律规则均未生效，该裁判折射出二次处理已公开的个人信息，一旦牵涉个人信息主体的重大利益需满足正当、合法、必要条件，谨慎进行二次处理。

【案例二】2015年 王某诉360手机卫士标记号码案
360手机卫士软件的“防窃听”模块通过在互联网上大数据比对得出机主信息并在来电情形下显示，王某给第三人电话时，被显示为“浙江维特网络信息有限公司合肥分公司法人”。王某主张该行为侵害隐私权诉至法院。360手机卫士软件的运营者即本案被告，抗辩获取手机号码对应的标记信息均来源于公开渠道，被告亦提供相关投诉更正渠道，作为一个软件平台都没有任何过错。法院认定，被告通过大数据比对功能，确定该手机号码与浙江维特网络信息有限公司合肥分公司相对应，并进行标记，其信息并无错误，且软件标记的企业信息，而非公民个人信息。恶意侵犯通话中主叫方人格权的故意，而客观上原告亦不能举证其朋友或者客户在使用该功能后，反馈出某些负面影响，庭审现场拨打证实360手机卫士已经将原告的号码标记取消。被告已证实其获取手机号码对应的标记信息均来源于公开渠道，因此亦不能认定被告标记号码的行为侵犯了其隐私权，判令驳回原告诉讼请求。
本案时间较早，因案由系侵害隐私权纠纷，与个人信息确存在诸多不同，但基本审理思路仍遵循违法行为、损害结果、过错及因果关系四要件，认定使用已公开信息进行来电标记的行为因来源于公开渠道不具有违法性，不具有损害结果。

【案例三】2020年 百度抓取校友录头像案
原告授权搜狐公司在校内网公开其头像，在授权范围内进行使用与公开，后百度对该头像等个人信息进行抓取、公开被全网不特定用户检索获取。原告主张该行为侵害个人信息权益，诉至北京互联网法院。被告百度辩称，肖像不属于个人信息，不适用个人信息保护路径，该信息属于原告自行公开的信息，被告属于网络信息服务提供者，仅提供搜索引擎服务并不存储该头像信息，仅基于搜索功能实施了正常合法的抓取行为，不构成侵权。
法院认定：其一，信息处理者承担使用个人信息来源合法的举证责任，认定原告仅授权搜狐信息公司在一定权限范围内使用和公开涉案信息，而非全网公开使用。被告的搜索行为使得涉案信息可被全网不特定用户检索获取，在客观上导致该信息在原告授权范围之外被公开，违反了立法关于个人信息使用的相关规定，属于违法使用个人信息的行为。其二，被告作为信息网络服务提供者，通知删除的情节系考量侵权责任认定的关键因素，对通知删除前后的情况分别予以评述被告作为信息网络服务提供者：涉案信息并非明显侵权或存在高度侵权风险的个人信息，不应对网络服务提供者苛以事先审查责任，被告亦不具备预见涉案信息构成侵权的可能性，故在通知删除前，被告对涉案信息不存在明知或应知的主观过错，不构成对原告个人信息权益的侵害，在收到删除通知后，被告在其有能力采取相匹配必要措施的情况下，未给予任何回复，其怠于采取措施的行为，导致涉案侵权损失的进一步扩大，构成对原告个人信息权益的侵害。

【案例四】2021年 梁某诉汇法网再公开裁判文书案
梁某因劳动争议案件的裁判文书在中国裁判文书网公开，后被告汇法网在其经营网站转载公开，梁某认为该行为损害其隐私权及个人信息，诉至法院。二审法院认定，转载的案涉裁判文书来源于北京法院审判信息网，上述网站系本市人民法院对外发布审判信息的权威性网站，被上诉人在转载过程中未对原裁判文书进行增删、改动，不存在不当行为，转载案涉文书亦不存在过错，不需要为其转载行为承担侵权责任。
该案系《民法典》《最高人民法院关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》相关规定出台后最新的裁判观点，明晰国家机关利用公务行为处理并公开的个人信息的二次处理规则，一般情形下优先保护司法公开、行政公开的法益。

【案例五】2020年 伊某诉启信宝再公开裁判文书案
贝尔塔公司转载中国裁判文书网及人民法院公告网上发布的涉案文书，转载至启信宝网站，任何人均可在该网站上搜索、查询到上述文书。伊某系上述文书的案件当事人，上述法律文书分别记述了伊某涉及的四起纠纷情况。贝尔塔公司转载上述文书时，未获得中国裁判文书网和人民法院公告网主办单位的授权，亦未征询伊某的意见。伊某以人格权纠纷诉至法院。二审法院认定：在伊某联系贝尔塔公司要求删除相关文书之前，贝尔塔公司公开文书的行为应认定并未侵害伊某对其个人信息的知情同意权，尚不构成非法公开他人信息的侵权行为。涉案文书已在互联网上合法公开，贝尔塔公司基于公开的渠道收集后在其合法经营范围内向客户提供、公开相关法律文书，属于对已合法公开信息的合理使用。在伊某联系贝尔塔公司要求删除文书之后，贝尔塔公司仍以中国裁判文书网已公开诉争文书为由拒绝删除涉案文书，则构成对伊某个人信息的非法公开使用。
该案表明在个人信息主体拒绝同意二次处理前，该行为不具有违法性，当个人信息主体提出拒绝该二次处理后，应停止该种行为，否则应承担相应的法律责任。已公开个人信息的二次处理，应妥当平衡已经合法公开的个人信息流通与个人信息主体对信息传播控制之间的关系，既要重视保护自然人的个人信息权益，同时也应该兼顾信息技术提升、经营模式创新、大数据产业发展对推动社会进步所起的积极作用。
1、已公开个人信息的“二次使用”指为获取信息时的主要目的之外的目的而使用信息，该解释源自《美国隐私法学说判例与立法》中国民主法制出版社，第207~208页
2、近期《个人信息保护法草案》征求意见稿三审正在进行，《个人信息保护法》作为个人信息领域的基本法，属于个人信息处理规则的基石。
3、吴香香：《民法典请求权基础检索手册》，中国法制出版社，第148页。
4、（二）为订立合同或者履行个人作为一方当事人的合同所必需（三）为履行法定职责或者法定义务所必需（四）为应对突发公共卫生事件或者紧急情况下为保护自然人的生命健康和财产安全所必需（五）依照本法规定在合理范围内处理已公开的个人信息（六）为公共利益实施新闻监督、舆论监督等在合理范围内处理个人信息（七）法律法规规定的其他情形。
5、（2019）苏05民终4745号
6、《美国隐私法学说判例与立法》中国民主法制出版社，第207~208页
7、据报道，香港首宗违反《私隐条例》“人肉搜索”案件于2020年11月判刑， 违反包括《个人资料（私隐）条例》（《私隐条例》）第64(2)条“披露未经资料使用者同意而取得的个人资料”的罪行。参见https://www.sohu.com/a/476151867_161795
8、第十六条任何组织或个人未经用户同意或者请求，或者用户明确表示拒绝的，不得向其发送商业性短信息或拨打商业性电话。用户未明确同意的，视为拒绝。用户同意后又明确表示拒绝接收的，应当停止。
9、《最高人民法院利用网络侵害人身权益司法解释理解与适用》引用185页