明确法律边界保护已公开个人信息

刘珊

近年来，司法实践中不断出现提供或出售已公开个人信息的案件，亟待司法机关对已公开个人信息的刑法保护问题进行研究。已公开个人信息具有可识别性，直接影响个人在社会生活中的形象。如果任何人获取后可以随意处理，或公开与使用脱离了个人所允许的范畴，信息主体的个人形象就有被破坏的风险，可能极大影响其社会交往或侵犯其人格权。

此外，已公开个人信息的处理涉及个人信息自决权与信息流通之间的平衡，信息流通又关乎数据经济发展的效率和质量。由此可见，合理确定已公开个人信息的刑法保护边界至关重要。

“合理处理”应成为侵犯公民个人信息罪的违法阻却事由

2017年，“两高”发布《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》。这一解释把信息主体是否同意，作为判断行为是否构成犯罪的重要标准。但在大数据环境下，逐一取得信息主体的同意难以在实践中操作。

民法典和个人信息保护法规定，在合理范围内对已公开个人信息进行处理即为合法。笔者认为，“合理处理”应成为侵犯公民个人信息罪的违法阻却事由。依据如下：

其一，法益定位。侵犯公民个人信息罪保护的是公民信息自决权。未经同意处理信息虽在一定意义上侵犯了公民信息自决权，但从更高层次意义上讲，是为了保障信息在社会上的合理流通。因此，法律在合理限度内接纳此类行为。

其二，法秩序统一原理。民法或行政法上合法的行为不应认定为构成犯罪。民法典、个人信息保护法均将“合理处理”列为免责事由。因此，依据法秩序统一原理，对于民法典、个人信息保护法允许的“合理处理”，不应追究刑事责任。

其三，兼顾双重目的。“合理处理”兼顾信息安全保护与信息有序流动的平衡，符合立法意图。对符合“合理处理”情形的行为，应免除刑事责任。

“合理处理”的范围认定

上文提及，“合理处理”系侵犯公民个人信息罪的正当化事由，但何为“合理处理”，目前在司法实践中却没有明确统一的标准。笔者认为，确定这一标准的前提是要区分自行公开与依法强制公开。举例而言，个人在招聘软件上公开其个人简历，在社交平台上发布个人照片，在婚礼网站上公开个人信息，都属于自行公开。法院公开裁判文书，在国家企业信用信息公示系统上公布企业相关信息，这些属于依法强制公开。

就自行公开信息的再处理而言，自行公开的主体一般为信息主体本人，其往往是基于生活、工作、娱乐等需求而公开的，不涉及社会公共利益，也没有放弃个人信息权利。故对自行公开信息再处理，原则上不能超越信息公开时法益处分所涉及的合理范围，即应尊重信息主体公开时的处分状态。对此应从以下三个方面进行判断：

一是信息处理要符合个人信息公开的目的。信息处理者对已公开个人信息的处理不得违背信息公开时的最初使用场景与合理期待。当处理行为在主体合理预期范围内时，法益侵害风险也应在主体可承受的范围内。这种情形构成“合理处理”，可启动违法阻却事由。

不过，如果个人信息公开的目的无法明确，信息处理者应负有注意义务，应合理、谨慎地处理已公开个人信息。在这一问题上，可以根据信息公开的平台性质、隐私政策，信息主体在被告知个人信息公开时的选择行为等因素进行综合推断。

二是处理方式要符合个人信息被公开时的用途。对个人信息进行收集时的初始语境应得到尊重，其后续传播以及利用不得超出初始语境。超越初始场景的处理，若使得信息流向了低风险场景，则不会增加主体被识别或侵害其私域的风险，可认定为未超出最初用途。若使得信息流向了高风险场景，则应当取得信息主体的同意，否则属于超出初始用途，构成侵犯公民个人信息罪。

三是未侵害信息主体的重大利益。信息主体在公开个人信息时就承担了一定的风险，这种对信息权利的让渡是有限度的，并非任由他人处理。对个人信息的处理应当控制在必要限度内，采用对个人权益影响最小的方式。所谓侵犯信息主体重大利益，指的是处理已公开个人信息可能损害或严重威胁自然人的生活安宁、人格尊严、人身权益、财产安全等公民重大利益。如果信息主体收集已公开个人信息出售给他人，用于实施电信网络诈骗等违法犯罪活动，属于损害自然人的生活安宁与财产安全，系侵犯信息主体重大利益。

已公开个人信息的刑法规制应符合刑法谦抑性原则

就依法强制公开的个人信息而言，其具有一定的公共性，也是社会交往中所需要的。依法强制公开的个人信息涉及个人权利的让渡以及信息流通的需求，系公共利益与个人信息法益相互平衡与妥协的结果。而对于信息进行再处理，也需要平衡二者的利益。依法公开个人信息是为了公共利益需要，此时信息主体更多地让渡了个人权利，承担了较高的容忍义务。收集这类个人信息并再次提供，只是提高了信息流通的效率。退一步讲，即使没有收集并提供信息的行为，公众依然可以获取到上述信息。因此，这种处理结果未侵害信息主体的重大利益，属于合理使用范围。

概言之，若处理自行公开的个人信息符合上文界定的“合理处理”，且未被信息主体明确拒绝的情况下，此行为不构成犯罪。若处理依法强制公开的个人信息未侵犯信息主体的重大利益，不构成犯罪。此外，单纯的合法获取、查询行为也不构成犯罪。合理确定处理已公开个人信息的刑法保护边界，是刑法谦抑性的体现。

来源：检察日报