已公开个人信息的合规利用要点简析

随着数字化时代的纵深发展，数据的作用与价值愈发凸显，企业对于已公开个人信息的收集、使用、加工等处理需求愈发强烈。近期，Chat GPT这一现象级产品的面市，拉开了大语言模型产业和生成式AI（AIGC）产业蓬勃发展的序幕，而这类人工智能技术往往需要大量的个人数据用于模型训练，如何合法合规地开发利用已公开的个人信息，也成为相关从业者面临的一个难点。
我们认为，由于个人信息兼具“权益”与“资源”的双重属性，致使企业必须要在保护和利用之间寻得微妙的平衡。从立法的维度来看，我国虽已在《民法典》《个人信息保护法》中规定应如何保护和利用已公开的个人信息，但由于条文内容较为宽泛，企业难以清晰探知处理已公开个人信息的合规边界。而根据目前的司法实践，法院对于企业应用已公开个人信息案例所作出的判决态度却截然不同，立法层面的模糊性和司法实践的不统一增加了企业对于已公开个人信息合规使用边界的理解难度。有鉴于此，我们对已公开个人信息的合规要点进行如下简要分析。
一、场景梳理
企业获取、应用公开个人信息的商业场景及已公开个人信息的类型有哪些？
在商业实践中，企业通常采取“数据抓取”等方式收集、使用已公开个人信息。目前企业应用已公开个人信息的商业场景较为丰富，从业务目的的维度大致会涉及以下典型场景。

二、内涵澄清
企业应如何理解“已公开个人信息”的含义？
《个人信息保护法》第13条第1款第（六）项规定，个人信息处理者可以依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息。
从文义解释的立场出发，“公开”是指个人信息在客观上已经处于可由不特定的人获取的状态。同时，这一个人信息处理合法性基础的确立意味着，如相关个人信息处理活动满足该等要求，则个人信息处理者无需获取相关个人信息主体的同意，为企业开展业务提供了便利。
然而，在个人信息合规使用监管态势趋严的时代，企业对于个人信息的收集、使用往往需要秉持更加谨慎的态度。据此，应如何解读“个人信息自行公开”“其他已经合法公开的个人信息”的含义是企业合规使用已公开个人信息的首要前提。
1. 何为个人信息的自行公开？
对于自然人自行公开的个人信息，我国现行法律对自行公开行为没有明确规定。我们理解，在解释“自行公开”的概念时，应从多个维度予以综合判断。
1）主观上，个人信息主体需有自愿公开的意识
首先，“自行”意味着个人信息主体具有自愿、明确公开的自主意志。“是否属于个人主动/自愿的公开”，在很多情况下难以直接判断。曾参与《个人信息保护法》立法工作的程啸认为，如果作为信息主体的自然人能充分认识到其是在实施公开个人信息的行为及该行为所产生的后果，则可视为基于个人的主动/自愿的公开。因此，对于在自然人不知情的情况下所采集的个人信息不能被视为自然人自行公开的个人信息。例如，自然人在街道、机场、银行等公共场所活动时，其被相关图像采集设备所收集的人脸信息不应被视为自然人已经自行公开了其个人信息。
2）客观上，个人信息可被不特定第三人访问、处理
其次，“公开”意味着信息处于可被不特定第三人访问、处理的状态，即个人信息主体未对不特定的第三方设置访问限制等。由此，以微信朋友圈为例，如个人信息主体通过设置分组权限的方式发布其个人信息的行为不应被视为其已自行公开个人信息。
3）还需结合个人信息主体处于的平台信息发布生态进行判断
实践中，由于各平台信息共享传播机制各不相同，致使判定已公开的个人信息是否属于个人自愿的公开并非易事，仍需结合平台信息共享传播机制、用户所发布的具体内容、用户公开时的一般性理解与合理预期等因素进行综合考量。
在实际案例中，法院会结合用户的一般性理解及生活经验判断信息发布的性质。对于部分平台或信息，由于不同的用户群体对其具备不同的用法、偏好和期待有所不同，需结合信息内容、处理场景、处理方式等综合考虑。
例如，在孙长宝与北京搜狐互联网信息服务有限公司等人格权纠纷一案中，针对原告孙长宝要求搜索引擎删除其曾经发布在ChinaRen校友录的证件照及其姓名，法院认为校友录网站“主要用于实现校内社群社交功能，用户在此网站内上传头像，一般系为寻找同学、好友等，在部分熟知人群范围内开展社会交往，而非进行陌生人交友，或基于言论传播、宣传推广等目的进行全网公开信息发布”，进而认定原告主张的事实具有一定合理性。
该等结合个人信息主体处于的平台信息发布生态的判断方法具有普遍适用性。欧盟数据保护委员会在《关于定位社交媒体用户的指南》中阐释“明显公开的个人数据”含义时，便应用了这一判断方法。根据该指南，“明显”一词意味着必须具有高门槛，才构成该等豁免情形，且需要综合考量多个因素。以社交媒体上自行发布个人信息行为为例，需要考虑：
（1）社交媒体平台的默认设置
（2）社交媒体平台的性质(熟人社交为主抑或陌生人社交)
（3）发布信息页面的公开可访问性
（4）数据主体是否被明确告知他们发布的信息将被公开
（5）该信息是否是数据主体自行公布，或由第三方公布(例如，朋友发布的暴露敏感个人信息的照片)。[1]
我们认为，前述衡量要素亦可以为企业提供参考。
2. 何为其他已经合法公开的个人信息？
结合文义解释的方法论，“其他已经合法公开”的个人信息是指非由个人自愿公开，通常而言指由政府或法院等部门依法向社会公开的个人相关信息、合法的新闻报道等，发布部门公开此种类型的个人信息时，仍需要平衡公共利益和个体利益。

三、以案释法
企业应如何理解已公开个人信息的“合理范围使用”？
根据《个人信息保护法》第27条之规定，个人信息处理者可以在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；个人明确拒绝的除外。个人信息处理者处理已公开的个人信息，对个人权益有重大影响的，应当依照本法规定取得个人同意。
相较于《个人信息保护法(草案二次审议稿)》提出的，“个人信息处理者处理已公开的个人信息，应当符合该个人信息被公开时的用途”，《个人信息保护法》第27条使用“合理范围”一词，虽在一定程度上扩张了个人信息处理者处理已公开个人信息的自决程度和范围，但由于该语词具有一定的模糊性，难以直观把握具体的判断标准，在司法实践中容易产生争议。
以梁某与北京汇法正信科技有限公司网络侵权责任纠纷案和伊某与苏州贝尔塔数据技术有限公司人格权纠纷案为例，两案的案情背景均为被告公司对裁判文书网已经公开的裁判文书进行了收集、转载等处理，原告均要求对涉及自身的裁判文书进行删除，但是两个法院对于个人权益与社会公共利益之间的平衡有所不同，据此对于原告是否有权要求被告删除转载的裁判文书做出了不同的认定。我们对法院裁判结论及理由进行了对比梳理。

虽然上述案例中两法院最终的裁判态度有所区隔，但两法院的“三性一平衡”的裁判思路，即考量企业收集、使用已公开个人信息过程的“合法性”“正当性”“必要性”以及“社会公共利益与个体个人信息权益之平衡”，或可以为企业界定对已公开个人信息合理范围使用提供判断尺度的参考。
四、合规要点
企业对已公开个人信息的合规使用要点分析
1. 企业对已公开个人信息的收集与使用应当符合合法性原则
合法收集、使用已公开个人信息是企业履行合规义务的前提基础。根据《个人信息保护法》第10条之要求 [2]，这意味着，个人信息处理者已公开个人信息的目的应是合法的，不得侵害自然人的人格尊严和财产权益，不能损害社会公共利益或国家利益。从收集途径上看，对于自然人自行公开的个人信息不应当包含非法公开或泄露的个人信息，对于从其他已经合法公开的个人信息不得通过法律法规所禁止的技术手段非法爬取。
2. 企业对已公开个人信息的收集与使用应当具有正当性
在考量“正当性”时仍应从对已公开个人信息的处理目的与处理方式两个维度予以判断。就处理目的而言，企业使用已公开个人信息时，不得以收集自然人个人隐私等不当目的进行数据处理活动。就处理方式而言，企业处理已公开个人信息时不得通过误导、欺诈、胁迫等不公正的方式处理其个人信息。
3. 企业对已公开个人信息的收集与使用应当满足必要性
“必要性”意味着个人信息处理者在处理已公开个人信息时应当具有明确、合理的目的，其处理活动应当与处理目的直接相关，对于实现个人信息处理目的而言是必要的。具体而言，个人信息处理者采取合法手段收集公开的个人信息时，应限制在实现处理目的所需要的最小范围内，不得过度地收集这些个人信息。另外，对于处理已公开的个人信息中的敏感个人信息，应具有充分的必要性且需采取严格的保护措施，否则不得处理。
4. 企业处理已公开个人信息时应充分保障个人信息主体权益
由于“社会公共利益与个体利益之平衡”是司法实践认定企业对已公开个人信息的处理是否在合理范围的重要评价指标，企业若需对已公开个人信息进行商业化处理，便应在个人信息主体权益与企业自身利益之间寻得平衡。如对个人信息主体权益造成严重影响，原则上该等数据处理活动非属合理范围内使用。据此，企业应在充分保障个人信息主体权益的基础上，合理利用相关数据，进而发挥数据价值。
5. 其他企业应关注的合规要求
尽管公开的个人信息不需经过信息主体的同意即可在合理范围内被处理，但《个人信息保护法》第27条列出了两个限制情形，仍需企业予以重点关注。
1）个人信息主体明确拒绝
如个人信息主体获知其公开的个人信息被处理后，向个人信息处理者提出行使对个人信息处理的拒绝权，此时企业应当优先保障个人信息主体权益，停止对相关个人信息的处理。
2）对个人权益有重大影响
如若企业的处理行为对个人信息主体权益造成重大影响，应当按照《个人信息保护法》的有关规定取得个人同意。对于企业应该如何判断其再处理行为对个人权益造成重大影响，我们建议企业在开展相关业务过程中应自行或聘请第三方专业机构开展个人信息保护影响评估，以判断相关业务的个人信息处理行为的风险等级，并根据评估结果决定下一步行动。
此外，由于对个人权益是否造成重大影响的判断贯穿于企业理解、适用《个人信息保护法》第13条、第27条的全程，我们建议企业应当根据业务实际开展情况设立与其相匹配的投诉通道，并设立相应的内部处理机制制度，及时响应个人信息主体的诉求，以满足合规要求。
参考文献
[1] [ European Data Protection Board，Guidelines 8 /2020 on the Targeting of Social Media Users，adopted on 13 April 2021， paras 127 － 129．]
[2] 任何组织、个人不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息。不得从事危害国家安全、公共利益的个人信息处理活动。