已公开的个人信息能随便用吗？
——《麦某波诉北京法某科技有限公司、北京律某信息技术有限公司网络侵权责任纠纷案（入库编号：2025-07-2-369-003）》解读
nload="this.removeAttribute('width'); this.removeAttribute('height'); this.removeAttribute('onload');" />
覃子轩
最高人民法院研究室
综合调研处四级调研员
胡敏
广州互联网法院
综合审判三庭一级法官
nload="this.removeAttribute('width'); this.removeAttribute('height'); this.removeAttribute('onload');" />
nload="this.removeAttribute('width'); this.removeAttribute('height'); this.removeAttribute('onload');" />
林北征
广州互联网法院
审判管理办公室（研究室）
二级法官
个人信息事关人民群众的切身利益，也与数字经济发展、社会公共利益息息相关。互联网时代，个人信息被合法公开的情形并不少见，既包括个人在社会交往中主动公开，也包括基于公共利益被依法公开等情形。一般而言，使用已合法公开的个人信息不再受到法律严格限制，《中华人民共和国民法典》和《中华人民共和国个人信息保护法》均规定了个人信息处理者可以在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息。但是，使用已公开的个人信息并非没有限制，不能“任性而为”。若不当使用该信息，仍可能构成对个人信息权益的侵害，甚至引发“人肉搜索”“网络开盒”等问题，因而有必要对使用已公开个人信息的限度加以明确。
实践中，一些网络平台对自行收集的已公开个人信息进行“二次加工”（收集、存储信息可视为“一次加工”，“二次加工”指对信息进行分析处理），是否仍属于合理使用，存在一定争议。对此，不应一概而论，宜区分情况作出处理。人民法院案例库入库参考案例《麦某波诉北京法某科技有限公司、北京律某信息技术有限公司网络侵权责任纠纷案（入库编号：2025-07-2-369-003）》明确了处理已公开个人信息的边界，即“个人信息处理者处理已公开个人信息超出合理范围的，不属于个人信息保护法第十三条第一款第六项规定的不需取得个人同意处理个人信息的情形，个人信息主体据此主张个人信息处理者侵犯个人信息权益的，人民法院依法应予支持”，为同类案件的审理提供借鉴和参考。现就有关问题解读如下：
一、处理已公开个人信息“合理范围”的界定
根据民法典第一千零三十六条第二项的规定，合理处理自然人自行公开的或者其他已经合法公开的信息，行为人不承担民事责任，但是该自然人明确拒绝或者处理该信息侵害其重大利益的除外。个人信息保护法第十三条第一款第六项是对上述规定的细化，将“在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息”作为无需取得个人同意的情形之一。民法典和个人信息保护法的立法本意是，基于个人信息具有一定社会属性，故允许在一定限度内共享利用，以降低社会运行成本，促进信息交流。但是，即便个人信息已经公开，自然人对其个人信息的控制能力并没有因此丧失，而对于处理已公开个人信息行为性质判断的落脚点，在于界定该处理活动是否属于“合理范围”。实践中，对于“合理范围”的界定尚无明确标准，亦存在一定认识分歧，有特定目的标准说、场景标准说、实践标准说、公开用途标准说等多种判断方法。从司法实践角度看，“合理范围”的界定，应当综合个人信息处理的目的、方式、对个人权益的影响等因素加以考量。
其一，从处理目的看，处理活动应当具有正当性。若个人信息处理者以非法商业营销、虚假宣传、不正当竞争等为主要目的，则其处理个人信息活动缺乏正当性基础，存在超出合理范围的可能。本案中，根据广州市律师协会发布的声明文件可知，北京法某科技有限公司（以下简称北京法某公司）为实现自身的商业目的，在案涉平台上展示的合作信息涉嫌虚假宣传。因此，北京法某公司使用麦某波已公开个人信息的行为本身即不具有正当性。
其二，从处理方式看，对已公开个人信息的处理不应超出必要限度。通常情况下，个人信息的处理方式不同，对个人信息权益的介入程度和可能构成侵权的风险等级也不同。对已公开个人信息进行简单处理，如制作信息索引，对公开内容进行一般性展示等，并无不可。对个人信息进行深度分析，生成用户画像，则需审慎评估其必要限度。若分析加工结果失实或带有偏见，极易对个人造成误解或歧视，则可能导致处理行为超出合理范围。本案例中，案涉平台爬取已公开信息，通过算法规则统计麦某波既往判决胜诉率等指标，生成了用户画像，但案涉平台分析的结果与实际情况存在较大出入，未客观反映麦某波的律师执业能力。因此，北京法某公司对麦某波已公开个人信息的使用显然超出了必要限度。
其三，从对个人权益的影响看，处理活动不应对个人权益造成重大不利影响。评判标准不仅包括财产性权益，也包括人格尊严、声誉评价、获得公平交易机会等非财产性权益。本案例中，北京法某公司在案涉平台展示其与麦某波有合作关系，但实际双方并未合作，案涉平台展示内容会误导潜在客户引流到案涉平台，从而截取麦某波与潜在客户的商业合作机会，对麦某波个人权益造成明显影响。因此，足以认为北京法某公司对麦某波已公开个人信息的使用超出了合理范围。
二、对已公开个人信息进行“二次加工”构成侵权的认定
“二次加工”是指对原始信息进行分析、整合、改编并生成衍生数据的行为。在多数商业活动中，简单的转载个人信息并不会产生经济价值，网络平台通常会从各个渠道收集信息后，再进行大数据处理，形成有一定价值的新的数据内容。一般情况下，对已公开个人信息进行“二次加工”并不违法，信息处理者还可以享有对新的数据产品的使用、经营性权益。但是，当“二次加工”行为缺乏准确性、客观性，并对个人权益造成不利影响时，则仍会构成对个人信息权益的侵害。司法实践中，判断“二次加工”是否构成对个人信息权益的侵害，则需要妥当认定是否超出了“合理范围”。
本案例中，案涉平台通过算法规则统计麦某波既往判决胜诉率等指标，展示其“收费标准”“执业年限”“胜诉率”“执业证照片”等信息，可为有律师服务需求的用户提供数据支持与参考，帮助挑选适合的律师。上述行为即使用麦某波的个人信息生成了用户画像：首先，案涉平台通过网络爬虫等技术手段从公开渠道收集了涉及麦某波执业信息的原始数据。其次，运用特定算法或规则对原始数据进行分析、计算、整合，生成了“执业年限”“胜诉率”等衍生数据。再次，结合平台自身设定的“收费标准”“合作次数”“平台认证”等标签，生成了麦某波的用户画像，并在其运营的网站及小程序上进行公开展示。最后，通过标注“请勿私下合作”等方式将其商业模式嵌入信息展示中。这一系列加工信息的行为使得原本相对分散、客观的已公开个人信息，经过平台筛选、加工、评价，转变成了带有强烈商业导向的数据产品。
根据前述分析，案涉平台对麦某波已公开个人信息的处理行为超出了合理范围，不属于个人信息保护法第十三条第一款第六项规定的不需取得个人同意处理个人信息的情形，故仍需要取得麦某波个人同意。根据个人信息保护法第十七条有关告知义务的规定，即使处理的是已公开个人信息，也应当以显著方式、清晰易懂的语言真实、准确、完整地告知个人。然而，案涉平台为麦某波设定“收费标准”、显示麦某波“执业年限”“胜诉率”等信息，均未告知麦某波。因此，案涉平台超出合理范围收集、使用、加工并展示麦某波已公开个人信息，未告知麦某波本人，未获得其个人同意，且生成、展示的用户画像不真实、不准确，北京法某公司的处理行为构成对麦某波个人信息权益的侵害。
有必要强调的是，如何在促进个人信息合理利用与保障个人信息权益之间寻求平衡，是人民法院审理类似案件的重要考量。《中共中央 国务院关于构建数据基础制度更好发挥数据要素作用的意见》指出：“推动数据处理者按照个人授权范围依法依规采集、持有、托管和使用数据，规范对个人信息的处理活动，不得采取‘一揽子授权’、强制同意等方式过度收集个人信息，促进个人信息合理利用。”这为人民法院准确理解适用个人信息保护法有关处理个人信息的规则进一步指明了方向。其中，对于利用算法对个人信息进行“二次加工”行为，必须准确把握“合理范围”的界定，审慎作出认定，既要支持正当的数据信息处理活动，又要依法保障个人信息权益，为数字经济的健康有序发展提供有力司法服务和保障。
来源：人民法院报·8版
责任编辑：刘强｜联系电话：（010）67550722丨电子信箱：zxzh@rmfyb.cn
新媒体编辑：逯璐
nload="this.removeAttribute('width'); this.removeAttribute('height'); this.removeAttribute('onload');" />