引用、转载网络已合法公开的个人信息是否构成侵权

□特约撰稿　刘洪华　李宇轩

依据《个人信息保护法》的规定，已合法公开的个人信息的处理，需满足三方面条件：在合理的范围内处理、信息主体未明确表示拒绝及特定情形下取得信息主体同意。

近日，北京互联网法院审结一起涉及“搬运”已公开录取名单的网络侵权纠纷案。该案中，被告在其所运营的公众号发文中引用某企业发布的包含原告小王个人信息的招聘录用名单时，虽作了打码处理，但仍可以识别出小王的姓名、学校、专业、学历等信息。小王认为，被告发布的文章侵害其隐私权和个人信息权益，并认为文章内容暗示其为“关系户”，构成名誉权侵权。小王与被告取得联系，告知其行为已构成侵权，被告未修改或删除涉案文章。小王遂诉至法院。经审理，法院认定，被告侵害原告的个人信息权益，判决被告删除涉案文章，赔礼道歉，赔偿原告维权合理支出。

该案的争议焦点是引用、转载网络已合法公开的个人信息是否构成侵权？大数据时代，生产数据和分享数据较常见。转载、引用互联网上已合法公开的个人信息并不必然构成侵权。《中华人民共和国个人信息保护法》第二十七条明确规定，个人信息处理者可以在合理的范围内处理已经合法公开的个人信息，但实践中因对网络已公开个人信息的不当处理引发的侵权纠纷时有发生，本文结合上述案例对法律理解与适用予以探讨。

网络已合法公开个人信息的界定与理解

《个人信息保护法》第二十七条规定：“个人信息处理者可以在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；个人明确拒绝的除外。个人信息处理者处理已公开的个人信息，对个人权益有重大影响的，应当依照本法规定取得个人同意。”该规定确立了已公开个人信息合理使用制度。依据规定，“已经合法公开的个人信息”，包括“个人自行公开或者其他已经合法公开的个人信息”，对此应从两方面把握。

首先，需明确何谓“公开”。“公开”指该信息向社会大众或不特定多数人开放，可以被社会大众或不特定多数人获取。需注意的是，个人在社交媒体仅向特定对象公开的个人信息，例如，与特定微信朋友的聊天或与特定微信朋友共享的照片资料等不可视为“已公开”，若将相关内容向更大范围传播将侵犯相关主体的权益。此外，我国立法区分个人信息与个人隐私，个人隐私具有私密性，不能被公开，传播他人隐私信息将构成隐私权侵权。

其次，如何理解“其他已经合法公开的个人信息”？笔者认为，可以结合《个人信息保护法》第十三条规定的处理个人信息的合法性要求来理解。《个人信息保护法》第十三条以列举方式规定了合法处理个人信息的七种情形，可以根据这些情形准确理解“其他已经合法公开”的含义。根据《个人信息保护法》第十三条的规定，下列信息可视为其他已合法公开的个人信息：一是因履行法定职责或者法定义务所必需公开的个人信息，例如公安机关为抓捕罪犯发布的犯罪嫌疑人的个人信息；二是为应对突发公共卫生事件或紧急情况下为保护自然人的生命健康和财产所必需公开的个人信息，例如因传染病预防而发布的患者行踪数据信息；三是为公共利益实施新闻报道、舆论监督等行为，在合理的范围内公开的个人信息；四是为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需公开的个人信息，例如本文前述案例单位招聘发布的录用名单。

处理已合法公开个人信息的限制性条件及适用

对于已合法公开的个人信息的处理，《个人信息保护法》第二十七条规定了三方面条件，即，在合理的范围内处理、信息主体未明确表示拒绝，以及特定情形下取得信息主体同意。

首先，必须在合理的范围内处理。现行立法没有明确何谓“合理的范围”，个人信息保护法草案二次审议稿第二十八条曾规定，“应当符合该个人信息被公开时的用途”。笔者认为，可从目的限制和用途限制角度理解，即对已公开个人信息的处理不能违背这些信息被公开时的目的或用途。例如，中国裁判文书网在其网页公告中指出，本裁判文书库信息查询免费，严禁任何单位和个人利用本裁判文书库信息牟取非法利益。因此，如果将从中国裁判文书网获取的文书有偿提供给他人，则不符合“在合理的范围内处理”。

其次，个人信息主体未明确表示拒绝该信息被处理。对于已经合法公开的个人信息，信息主体明确表示拒绝他人处理的，不得处理，已经进行转载、引用等处理行为的，应立即删除，否则将构成侵权。对于一般性已合法公开的个人信息的处理，法律并不要求事先取得信息主体的同意，而是赋予个人信息主体明确拒绝权。个人信息主体的“明确拒绝”，既可以在信息被处理前，也可以在信息被处理后告知信息处理者；既可以直接告知，也可以通过向有关机构投诉等方式表达。本文开篇所引案件，原告小王发现涉案文章后，与被告取得联系，指出被告的文章暴露其个人信息，并表示被告的行为构成侵权，构成明确拒绝被告处理其个人信息。

最后，对个人权益有重大影响的已公开个人信息的处理需依法取得个人同意。对个人权益有重大影响的已公开个人信息不能直接处理，必须事先取得信息主体的同意。取得信息主体同意的方式与要求依据《个人信息保护法》第十四条、第十五条和第十六条的规定确定。“对个人权益有重大影响”可以从该信息对个人生活状况、社会地位、发展前途及某些具体社会福利的得失角度进行考虑。2021年6月1日起实施的《信息安全技术　个人信息安全影响评估指南》第5.5.1条提出分析特定个人信息处理活动对个人权益影响的四个维度，即“限制个人自主决定权”“引发差别性待遇”“个人名誉受损或遭受精神压力”“人身财产受损”，为“对个人权益有重大影响”提供了详细的参照标准。

再看前文所述案例，“搬运”已公示的单位录用名单信息，构成侵权吗？答案是不一定会构成侵权。该案中的“录用名单”属于招聘单位合法公开的信息，信息属性上并非对个人权益有重大影响的信息，被告可以不经原告事先同意而在合理范围内予以处理。然而，被告侵权责任之构成，在于原告明确提出异议之后，被告没有采取修改或删除涉案信息的措施，以致侵犯了原告的个人信息权益。

本文为广东外语外贸大学师生共同研究项目“人工智能产品自主侵权的法律规制研究”（项目编号：21SS01）的阶段性研究成果。

（作者单位：广东外语外贸大学法学院）