內(nèi)容提要：我國刑事司法實踐中傾向于以未獲得信息主體“二次授權(quán)”同意為由，對擅自向他人出售或提供已公開的個人信息行為一律入罪規(guī)制，該做法有過度犯罪化之虞。已公開的個人信息兼具信息自決與信息利用兩個面向，同時承載著信息主體的安全保護訴求與信息處理者的價值利用訴求，兩者之間難免發(fā)生利益沖突。以個人信息自決權(quán)為保護法益的侵犯公民個人信息罪應(yīng)以追求利益平衡之價值取向重構(gòu)規(guī)制邏輯，引入《民法典》《個人信息保護法》等前置法所設(shè)計的已公開的個人信息“合理處理規(guī)則”來構(gòu)建本土化的利益平衡機制。在具體場景中應(yīng)圍繞處理目的、處理方式、處理結(jié)果三個層面，以符合個人信息公開的目的、沒有改變個人信息被公開時確定的用途、未侵害信息主體的重大利益來形塑合理處理的認定標準，從而劃定刑法對已公開的個人信息保護的司法邊界。
關(guān) 鍵 詞：侵犯公民個人信息罪 已公開的個人信息 信息自決 信息利用 合理處理
步入大數(shù)據(jù)時代，我們完全可能以“從無數(shù)記錄中捕獲出來的一個人的生活，從集成電腦網(wǎng)絡(luò)世界中編制出來一個‘數(shù)字人’”。深度挖掘個人信息潛在的商業(yè)價值與公共價值有賴于海量數(shù)據(jù)的匯集沉淀與整合處理，正如維克托•邁爾-舍恩伯格所言：“大數(shù)據(jù)的價值不再單純來源于它的基本用途，而更多源于它的二次利用。”由于收集已合法公開的個人信息無須征得信息主體的授權(quán)同意且成本相對較低，不少人從已公開的個人信息的二次利用中發(fā)現(xiàn)了牟利的“商機”——收集整合已公開的個人信息出售或提供給他人，這些個人信息有的被用于拓展業(yè)務(wù)范圍、開展市場營銷、推銷產(chǎn)品或服務(wù)等正常經(jīng)濟活動，也有的被用于開展跟蹤定位、實施電信詐騙、撥打騷擾電話、發(fā)送垃圾短信等違法犯罪活動，潛藏著濫用個人信息的風(fēng)險。“個人信息的失控將會打破社會交往過程的‘防火墻’，威脅與個人信息自決權(quán)相關(guān)的人身安全、財產(chǎn)安全及隱私安全等公民個體社會交往利益。”在此背景下，有必要明晰未經(jīng)信息主體同意、擅自向他人出售或提供已公開的個人信息行為罪與非罪的界限。
一、問題的提出：對已公開個人信息刑事司法保護的過度化
?。ㄒ唬┬淌滤痉ń忉尣杉{“二次授權(quán)規(guī)則”
作為帶有明顯的法定犯氣質(zhì)的侵犯公民個人信息罪，以“違反國家有關(guān)規(guī)定”為構(gòu)成要件之一，通常要參照民法、行政法等前置法的規(guī)定來合理確定出入罪邊界。在我國個人信息保護民事立法和行政立法尚處于空白階段時，刑事司法從積極預(yù)防濫用個人信息風(fēng)險的立場出發(fā)，率先介入規(guī)制擅自向他人出售或提供已公開的個人信息行為。2017年最高人民法院、最高人民檢察院聯(lián)合出臺的《關(guān)于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》（以下簡稱《侵犯公民個人信息罪司法解釋》）第3條第2款規(guī)定：“未經(jīng)被收集者同意，將合法收集的公民個人信息向他人提供的，屬于刑法第二百五十三條之一規(guī)定的‘提供公民個人信息’，但是經(jīng)過處理無法識別特定個人且不能復(fù)原的除外。”簡言之，刑事司法解釋將知情同意與否確定為判斷是否構(gòu)成侵犯公民個人信息罪的關(guān)鍵性標準，即便是向他人提供合法收集的已公開的個人信息也應(yīng)事先征得信息主體的同意。根據(jù)該規(guī)定，我國刑事司法實踐中普遍傾向于以未獲得信息主體“二次授權(quán)”同意為由，將擅自向他人出售或提供已公開的個人信息行為一律入罪規(guī)制。
案例一：李某侵犯公民個人信息案
被告人李某收集已在國家企業(yè)信用信息公示系統(tǒng)公開的工商企業(yè)登記信息（包含法定代表人姓名、聯(lián)系方式等個人信息），經(jīng)刪減、清洗后獲得各類個人信息共計18077條，出售給他人用于經(jīng)營房產(chǎn)信息咨詢服務(wù)、房屋產(chǎn)權(quán)抵押貸款代辦服務(wù)等業(yè)務(wù)，法院認定構(gòu)成侵犯公民個人信息罪。
案例二：柯某侵犯公民個人信息案
被告人柯某將在特定范圍內(nèi)公開（掛牌至房產(chǎn)中介門店）的房源信息（包含房東姓名、聯(lián)系方式、房產(chǎn)地址、門牌號碼等個人信息）以會員套餐的方式提供給房利幫網(wǎng)站會員付費查詢使用，獲利150余萬元，法院認定構(gòu)成侵犯公民個人信息罪。
通過在中國裁判文書網(wǎng)進行案例檢索發(fā)現(xiàn)，無論是完全向社會公開的個人信息（案例一）還是在特定范圍公開的個人信息（案例二）均被納入侵犯公民個人信息罪的行為對象范圍。例如，在李某侵犯公民個人信息案中，法院判決明確說明不采納買賣企業(yè)向社會公眾完全公開的個人信息不屬于值得刑法保護的個人信息的上訴理由和辯護意見。在柯某侵犯公民個人信息案中，法院判決認為涉案房源信息屬于限定公開的個人信息，房東向房產(chǎn)中介掛牌交易自有房產(chǎn)，只是希望房源信息在房產(chǎn)中介之間進行傳播，被告人在網(wǎng)站上公開房源信息，擴大了個人信息的知悉范圍，使個人信息陷入失控及濫用風(fēng)險，侵犯了公民的個人信息自決權(quán)。就他人對已公開的個人信息的處理權(quán)限而言，在王某侵犯公民個人信息案中，法院判決明確指出，行為人可以通過公開渠道來查詢、收集相關(guān)個人信息供自己使用，但如果要將從公開渠道獲取的個人信息經(jīng)整理后出售或提供給他人，則須征得被收集者同意，被告人王某從“企查查”網(wǎng)站下載企業(yè)信息，經(jīng)其刪減、清洗出姓名、聯(lián)系電話等個人信息，在未征得被收集者同意及未進行匿名處理的情況下向他人出售，屬于《刑法》第二百五十三條之一規(guī)定的“出售公民個人信息行為”。這些典型判例集中反映出我國刑事司法實踐將侵犯公民個人信息罪的保護法益——個人信息自決權(quán)視為具有排他性支配的絕對權(quán)，導(dǎo)致教條化理解知情同意原則，只關(guān)注形式上是否取得信息主體的同意，而忽視評價個人信息處理行為是否具有合理性、是否造成實質(zhì)的法益侵害，對未經(jīng)信息主體同意、擅自向他人出售或提供已公開的個人信息行為存在過度犯罪化問題。
?。ǘ┣爸梅ㄒ?ldquo;合理處理規(guī)則”
日前，已生效施行的《中華人民共和國民法典》（以下簡稱《民法典》）和《中華人民共和國個人信息保護法》（以下簡稱《個人信息保護法》）等前置法對已公開的個人信息的處理規(guī)則作出適當調(diào)整，不再將“二次授權(quán)”同意作為唯一的合法性基礎(chǔ)，立法意圖是避免對個人信息處理行為過度規(guī)制，促進個人信息的合理商業(yè)化利用，這將直接影響刑法上侵犯公民個人信息罪的司法適用。對于如何準確評價擅自向他人出售或提供已公開的個人信息行為，有學(xué)者從刑法謙抑性視角認為，如果限制已公開的個人信息的流轉(zhuǎn)、使用，反而與該信息公開的目的相違背，企業(yè)公布有關(guān)個人信息也是個體利益讓渡公共利益的結(jié)果，對該類信息加以合理利用，在普通民眾期待的范圍之內(nèi)，刑法的介入有“高射炮打蚊子”之嫌。另有學(xué)者從法律規(guī)范解讀層面提出：“《民法典》第1036條第（二）項為這一爭議問題作了明晰，即否定‘二次授權(quán)規(guī)則’……對已公開的個人信息的合理處理可以推定自然人概括同意。”在此基礎(chǔ)上，有學(xué)者主張：“在網(wǎng)上獲取這些已公開的個人信息是源頭行為，出售和提供給他人是下游行為，源頭行為合法，下游行為也不應(yīng)入罪。”此外，全國人大常委會在制定《個人信息保護法》的過程中也專門在第13條“個人信息處理的合法性基礎(chǔ)”中增設(shè)第6項“依照本法規(guī)定在合理的范圍內(nèi)處理個人自行公開或者其他已經(jīng)合法公開的個人信息”，并明確說明此種情形下處理個人信息，無須取得自然人同意。換言之，對于已公開的個人信息，只要處理行為在合理的范圍內(nèi)，則不應(yīng)當認定侵犯了公民享有的個人信息自決權(quán)。
在侵害公民個人信息違法犯罪已逐漸形成龐大的黑灰色產(chǎn)業(yè)鏈且誘發(fā)電信詐騙等次生犯罪愈演愈烈的背景下，刑法教義學(xué)需要及時對已公開的個人信息處理規(guī)則的變動作出闡釋和回應(yīng)：前置法設(shè)計這一規(guī)則是基于何種利益衡量？是否屬于在合理范圍內(nèi)處理的判斷標準又是什么？整體法秩序下前置法的價值判斷對侵犯公民個人信息罪的司法認定會產(chǎn)生怎樣的影響？這些問題并不局限于解決某個案例遇到的疑難之處，而是對深入探討刑民一體化視野下侵犯公民個人信息罪的司法適用邏輯、合理確定擅自向他人出售或提供已公開的個人信息行為罪與非罪的界限具有建設(shè)性意義。實現(xiàn)公民個人信息自決權(quán)保護與數(shù)據(jù)有序自由流動、合理有效利用之平衡，從長遠看兩者應(yīng)當是正相關(guān)關(guān)系。
二、已公開個人信息的安全保護與價值利用之利益區(qū)分
任何法律均有其規(guī)范意義和目的，由立法者結(jié)合具體社會事實來制定，并由司法者在個案中加以適用，解釋法律規(guī)制的界限就是在實踐法律的意旨，“首先需要發(fā)現(xiàn)某項法律所要調(diào)整的各種利益，然后再探求法律上的判斷標準”。因此，確定出售或提供已公開的個人信息是否觸犯公民個人信息罪的標準，其前提是區(qū)分安全保護與價值利用兩大利益形態(tài)。已公開的個人信息同時承載著信息主體與信息處理者的雙重利益訴求：一方面，信息主體基于個人信息與其身份或社會活動的天然關(guān)聯(lián)性而享有人格利益，要求能夠控制自己的個人信息并自行決定是否被處理，從而確保已公開的個人信息處于安全狀態(tài)，免于因遭受篡改、濫用等不法侵害而對其人格尊嚴和自由發(fā)展產(chǎn)生不利影響，即安全保護訴求；另一方面，信息處理者則基于付出大量人力、物力、財力等成本從社會公共領(lǐng)域合法收集已公開的個人信息，對匯聚形成的新的數(shù)據(jù)集合享有一定的占有、使用的利益，希望可以深度挖掘海量個人信息所蘊藏的潛在價值并加以利用，從中獲取經(jīng)濟利益或市場競爭優(yōu)勢，即價值利用訴求。
（一）信息主體要求保護已公開的個人信息安全的依據(jù)：信息自決
不同于美國在司法判例中創(chuàng)設(shè)信息性隱私權(quán)，我國立法較大程度上借鑒的是歐洲以“個人信息自決權(quán)”為核心的個人信息獨立保護模式?！睹穹ǖ洹返谒木幍诹略趨^(qū)分隱私與個人信息的基礎(chǔ)上，明確規(guī)定“自然人的個人信息受法律保護”，并設(shè)計了處理個人信息的一般規(guī)則?！秱€人信息保護法》作為我國個人信息保護領(lǐng)域首部專門性法律，將“保護個人信息權(quán)益”作為首要立法目的，要求“國家建立健全個人信息保護制度，預(yù)防和懲治侵害個人信息權(quán)益的行為”，并在第44條進一步詳細規(guī)定：“個人對其個人信息的處理享有知情權(quán)、決定權(quán)，有權(quán)限制或者拒絕他人對其個人信息進行處理。”由此，個人信息自決權(quán)正式在國家立法層面得到承認與確立，并成為信息主體實現(xiàn)自我保護的有效工具。從信息自決的角度來看，對個人信息的保護，并非直接保護個人隱私，而是保護個人對其自身社會形象（soziale profile）的自我決定，因此，“保障個人自由和理智而作出選擇是處理個人數(shù)據(jù)的正當理由”。作為一般人格權(quán)具體化的個人信息自決權(quán)，應(yīng)被理解為一般性自我決定權(quán)的一種特殊形態(tài)，“透過對信息流通的管制，以賦予個人對于與其自身相關(guān)的資訊，能擁有決定在何種范圍內(nèi)、于何時、向何人、以何種方式加以披露或處分使用的自主權(quán)”。
關(guān)于自然人對已公開的個人信息是否仍然享有個人信息自決權(quán)，有觀點認為，公開后的個人信息進入社會公共領(lǐng)域，暴露在公眾視野下或為他人所知悉，在某種意義上即具有公有物的性質(zhì)。有學(xué)者從該立場出發(fā)，秉持“公開即意味著完全放棄權(quán)利”的觀點，認為：“既然由權(quán)利人自愿、合法地公布，也就意味著，權(quán)利人根據(jù)自己的主觀價值判斷行使了個人信息自決權(quán)，基于自我決定而主動放棄了對該信息的支配和控制……在此情形下，該個人信息通常不再具有值得保護性。”另有學(xué)者基于“個人信息自決權(quán)并不關(guān)注信息的‘隱’與否，而只關(guān)注此項信息是否能夠識別‘個人’”的本質(zhì)特征，主張“公開僅是有限讓渡權(quán)利”的觀點，認為已公開的個人信息雖然不具有私密屬性但仍然具有可識別性，無疑屬于法律意義上個人信息的范疇，“即便主體允許數(shù)據(jù)控制者收集并共享相關(guān)個人信息，這也并不意味著其讓渡了所有個人信息權(quán)利”，對于已公開的個人信息，信息主體仍享有一定的控制權(quán)。筆者認為，自然人公開自己的個人信息僅意味著其在一定程度上同意他人對這些個人信息的處理，但并不意味著信息主體徹底放棄對其個人信息的控制，更不意味著信息處理者可以任意處理已公開的個人信息。
由于已公開的個人信息依然與個人社會形象的塑造密切相關(guān)，表征的是信息主體的人格尊嚴與自由發(fā)展等核心利益，所以信息主體對已公開的個人信息的自我決定在法律上仍有保護的必要，自然人對已公開的個人信息同樣享有個人信息自決權(quán)。具體而言，這種“信息自決”主要包括兩層含義：其一，公開個人信息的行為應(yīng)當是信息主體在知情的前提下自愿、明確作出的或者按照法律、行政法規(guī)進行公開，并且其有權(quán)自我決定個人信息公開的內(nèi)容、方式、程度、范圍等事項；其二，個人信息公開之后就進入了社會公共領(lǐng)域，任何人都有獲取的可能，并可以對已公開的個人信息做進一步處理，但后續(xù)處理活動可能偏離最初公開個人信息的目的或用途，導(dǎo)致信息主體的社會形象被扭曲，進而影響其參與社會生活和人格的自由發(fā)展，故信息主體有權(quán)限制或拒絕他人對已公開個人信息的處理。“個人信息自決權(quán)的實現(xiàn)，國家有義務(wù)透過法律規(guī)定，建構(gòu)個人信息不至于處于當事人毫無自主可能性的狀態(tài)下。”否則，已公開的個人信息無限制地“被處理”將不可避免使個人遭受“被決定”之侵害。為保障信息主體對已公開的個人信息的適度控制、防止已公開的個人信息被他人濫用，《民法典》第1036條和《個人信息保護法》第27條均賦予自然人明確拒絕處理的權(quán)利以及在處理行為對個人信息權(quán)益有重大影響時信息主體的同意權(quán)，從而保證信息自決得以貫徹。需要格外強調(diào)的是，保護信息主體對已公開的個人信息的自我決定權(quán)并非為了排除信息處理者的處理活動，而是要求信息處理者從誠實信用的角度，在處理活動中尊重信息主體的意愿，充分考慮信息主體的合法權(quán)益，這有利于建立數(shù)字經(jīng)濟的信任基礎(chǔ)。
（二）信息處理者要求挖掘已公開的個人信息價值的依據(jù)：信息利用
信息自決并不意味著個人對與其有關(guān)的個人信息的絕對排他性控制，而是指在個人信息利用方面，個人不是處于被處理的地位，而是主動地知情、參與其中，對已公開的個人信息，應(yīng)鼓勵以適當?shù)姆绞竭M行二次利用。我國《個人信息保護法》已明確將“促進個人信息合理利用”納入立法目的，并在第13條允許信息處理者無須預(yù)先取得信息主體同意即可在合理范圍內(nèi)處理個人自行公開或者其他已經(jīng)合法公開的個人信息。那么，公開個人信息的行為就可以理解為自然人“默示同意”信息處理者合理利用這些個人信息，信息處理者只要是通過合法方式收集這些已公開的個人信息就享有合理利用并獲取經(jīng)濟利益的正當權(quán)利，乃是實現(xiàn)個人信息社會價值的必然選擇。
當前，對包括已公開的個人信息在內(nèi)的數(shù)據(jù)資源的挖掘利用已成為市場主體獲取經(jīng)濟效益的基本商業(yè)模式與核心競爭力。2020年3月30日，中共中央、國務(wù)院印發(fā)的《關(guān)于構(gòu)建更加完善的要素市場化配置體制機制的意見》明確提出“加快培育數(shù)據(jù)要素市場”，首次以中央文件的形式將數(shù)據(jù)正式提升為與土地、勞動力、資本、技術(shù)并列的生產(chǎn)要素，要求充分挖掘提升數(shù)據(jù)資源的價值，研究根據(jù)數(shù)據(jù)性質(zhì)完善產(chǎn)權(quán)性質(zhì)。數(shù)據(jù)之所以被視為信息社會的基礎(chǔ)性生產(chǎn)要素，原因恰恰不在于單個數(shù)據(jù)可以直接描述或識別自然人的某個特征，而在于海量數(shù)據(jù)之間相互關(guān)聯(lián)，通過加工、使用等數(shù)據(jù)處理環(huán)節(jié)可以從中抽象出社會活動的普遍特征、發(fā)現(xiàn)數(shù)據(jù)背后隱藏的客觀規(guī)律，產(chǎn)生預(yù)測未來的價值。正如有學(xué)者指出：“數(shù)據(jù)挖掘把數(shù)據(jù)分析的范圍從‘已知’擴大到‘未知’，從‘過去’推向了‘將來’。”大數(shù)據(jù)的技術(shù)特征決定了單一的個人信息是沒有市場價值的，必須收集和利用大量個人信息才能實現(xiàn)商業(yè)價值的提升，“數(shù)據(jù)要素市場主體最重要的貢獻正在于，其投入的實質(zhì)性勞動，將分散的個人數(shù)據(jù)匯集成為一個體量巨大的數(shù)據(jù)集合，使個人數(shù)據(jù)脫離了原始的自然狀態(tài)，從而實現(xiàn)了從分散到集合、從人格利益到財產(chǎn)價值、從小數(shù)據(jù)到大數(shù)據(jù)的轉(zhuǎn)變”。個人信息的有序流動與挖掘利用正是數(shù)據(jù)價值的生產(chǎn)過程，也是數(shù)據(jù)權(quán)益的生成基礎(chǔ)。杭州互聯(lián)網(wǎng)法院在審理我國首例涉微信數(shù)據(jù)權(quán)益認定不正當競爭案時，依據(jù)數(shù)據(jù)形態(tài)區(qū)分“單一數(shù)據(jù)個體”與“數(shù)據(jù)資源整體”，明確信息處理者對兩者享有不同的數(shù)據(jù)權(quán)益：就單一數(shù)據(jù)個體而言，網(wǎng)絡(luò)平臺在收集過程中雖然付出了一定的勞動，但并未提供創(chuàng)造性勞動成果，故只能依其與用戶的約定享有有限使用權(quán)；但就數(shù)據(jù)資源整體而言，系網(wǎng)絡(luò)平臺通過長期經(jīng)營、投入大量人力和物力積累聚集而成，經(jīng)挖掘利用能夠為網(wǎng)絡(luò)平臺帶來商業(yè)利益與競爭優(yōu)勢，網(wǎng)絡(luò)平臺對其應(yīng)當享有競爭性財產(chǎn)權(quán)益。換言之，網(wǎng)絡(luò)平臺享有數(shù)據(jù)權(quán)益的原因不在于其對單個數(shù)據(jù)的采集而在于對數(shù)據(jù)資源的匯聚與利用。
保護信息處理者合理利用已公開的個人信息獲取正當?shù)纳虡I(yè)利益已經(jīng)成為大數(shù)據(jù)時代的共識，“因為這有利于促進信息的流動與利用，對于網(wǎng)絡(luò)信息社會和數(shù)字經(jīng)濟的發(fā)展是有利的，可以增進公共福祉”。信息處理者將大量已經(jīng)公開的個人信息匯聚在一起，形成新的數(shù)據(jù)集合，通過對原始數(shù)據(jù)進行聚合、清洗、加工、分析后形成衍生數(shù)據(jù)，具備高度的應(yīng)用價值和經(jīng)濟價值。兼具非物質(zhì)性與財產(chǎn)性的衍生數(shù)據(jù)作為創(chuàng)造性智力成果，普遍被認為是大數(shù)據(jù)時代產(chǎn)生的一項新型無形財產(chǎn)，作為一種競爭性財產(chǎn)權(quán)益已得到司法實踐的認可。2021年1月1日起施行的《民法典》通過引致條款首次將數(shù)據(jù)納入民事法律關(guān)系的調(diào)整對象和保護客體。2021年6月10日，第十三屆全國人大常委會第二十九次會議審議通過的《中華人民共和國數(shù)據(jù)安全法》（以下簡稱《數(shù)據(jù)安全法》）進一步以法律條文的形式申明“國家保護個人、組織與數(shù)據(jù)有關(guān)的權(quán)益，鼓勵數(shù)據(jù)依法合理有效利用，保障數(shù)據(jù)依法有序自由流動，促進以數(shù)據(jù)為關(guān)鍵要素的數(shù)字經(jīng)濟發(fā)展”。那么，信息處理者合理利用已公開的個人信息所享有的數(shù)據(jù)財產(chǎn)權(quán)益理應(yīng)受到法律的保護。
已公開的個人信息兼具私人屬性與公共屬性，附著在其上的利益同時具有“信息自決”和“信息利用”兩個面向，卻歸屬于不同的權(quán)利主體，導(dǎo)致信息主體與信息處理者之間難免發(fā)生安全保護與價值利用的利益沖突：信息主體希望盡可能地控制個人信息的流向和用途，保護自身人格利益不受侵犯；而信息處理者則希望已公開的個人信息能夠最大限度地自由流動和有效利用，并從中獲取經(jīng)濟利益。信息主體與信息處理者之間的利益沖突給侵犯公民個人信息罪的司法適用帶來挑戰(zhàn)，能否調(diào)和平衡兩者的利益沖突成為檢驗侵犯公民個人信息罪司法邊界合理性的“試金石”。
三、利益平衡視角下侵犯公民個人信息罪的司法認定標準
在保護個人信息權(quán)益與促進個人信息合理利用之雙重立法目的的驅(qū)動下，《民法典》《個人信息保護法》所設(shè)計的已公開的個人信息的處理規(guī)則是以“合理處理”作為免除獲得“二次授權(quán)”同意的限制性條件，形成本土化的利益平衡機制，修正了此前《侵犯公民個人信息罪司法解釋》“重信息自決、輕信息利用”的價值失衡傾向。遵循法秩序統(tǒng)一性原理，已公開的個人信息適用侵犯公民個人信息罪的司法邊界取決于《民法典》《個人信息保護法》等前置法為平衡信息主體與信息處理者之間的利益沖突所設(shè)計的“合理處理規(guī)則”。具體而言，個人信息被合法公開后，當處理活動在合理處理范圍內(nèi)時無須取得信息主體的同意，當處理活動超出合理范圍時仍應(yīng)取得信息主體的同意。在秉持利益平衡理念的基礎(chǔ)上，判斷是否構(gòu)成“合理處理”須進一步結(jié)合《民法典》第1036條和《個人信息保護法》第27條中處理已公開的個人信息的相關(guān)規(guī)定，圍繞處理目的、處理方式、處理結(jié)果三個層面予以細化，針對具體處理行為形成相對明確精細且具有可操作性的“合理處理標準”。這對于合理劃定侵犯公民個人信息罪的司法邊界、甄別值得刑法處罰的侵犯個人信息自決權(quán)行為具有積極的實質(zhì)法治機能。
?。ㄒ唬┨幚砟康模悍蟼€人信息公開的目的
個人信息被公開往往基于特定目的，例如，自然人為征婚交友主動在網(wǎng)絡(luò)平臺公開姓名、肖像、出生日期、聯(lián)系方式、教育經(jīng)歷、工作職業(yè)、經(jīng)濟收入等個人信息；人民法院為促使被執(zhí)行人自覺履行生效法律文書確定的義務(wù)，向社會公布失信被執(zhí)行人名單信息；衛(wèi)生行政部門為防控疫情傳播向社會發(fā)布傳染病感染者行蹤軌跡信息?；凇秱€人信息保護法》要求處理個人信息應(yīng)當遵循合法、正當、必要和誠信原則并具有明確、合理的目的，界定處理已公開的個人信息是否在合理范圍內(nèi)，首先需要從主觀層面評估“數(shù)據(jù)主體在收集個人數(shù)據(jù)的語境中，是否可以合理地預(yù)期會基于此種目的而進行數(shù)據(jù)處理”，即處理目的與信息主體公開個人信息的目的基本一致。當處理活動在具體場景下符合信息主體的合理預(yù)期時，所創(chuàng)設(shè)的法益侵害風(fēng)險在信息主體的可接受或容許范圍內(nèi)，也就符合個人信息公開的目的（處分意思），“即使沒有明示的同意，也得以推定信息主體默示同意對其個人信息的提供或者利用，因欠缺法益侵害性而不構(gòu)成犯罪”。反之，如果處理活動偏離或違背個人信息公開的目的，可能對信息主體人格的自由發(fā)展產(chǎn)生不利影響，應(yīng)當重新取得信息主體的同意。
主觀目的是刑事司法中認定侵犯公民個人信息罪的必要構(gòu)成要件之一。就擅自向他人出售或提供已公開的個人信息而言，是否符合個人信息公開的目的直接影響實質(zhì)違法性有無的判斷。對于“符合個人信息公開的目的”的理解應(yīng)以符合信息主體合理預(yù)期的正當目的為限，不能為了非法目的而處理已公開的個人信息。在正常的經(jīng)濟活動或社會交往中，為實現(xiàn)正當目的，擅自向他人出售或提供已公開的個人信息不會侵害信息主體的人格尊嚴與自由發(fā)展，并不具有實質(zhì)違法性，但司法實務(wù)中將此類情形入罪規(guī)制的案例不在少數(shù)。例如，某公司為尋找潛在客戶、開展市場營銷，要求業(yè)務(wù)員從商貿(mào)網(wǎng)站上廣泛收集企業(yè)公開發(fā)布的管理人員姓名、職務(wù)、手機號碼等個人信息，并授意業(yè)務(wù)員與他人交換上述信息以獲取更多客戶信息，被認定構(gòu)成侵犯公民個人信息罪。上述案件中，企業(yè)在商貿(mào)網(wǎng)站上公開相關(guān)個人信息是為了進行促進業(yè)務(wù)往來、商品交易，而行為人是基于尋找潛在客戶、開展市場營銷等正當目的而交換合法收集的已公開的個人信息，兩者的目的大致相同，可以說處理活動符合個人信息公開的目的，那么不宜認定為犯罪。如果信息處理者基于幫助詐騙、惡意騷擾等非法目的，擅自向他人出售或提供已公開的個人信息，必將加劇對公民人身財產(chǎn)安全及生活安寧的威脅，顯然違背了信息主體的合理預(yù)期，與其公開個人信息的目的相抵觸，因而具有刑法意義上的實質(zhì)違法性，有必要發(fā)動刑罰權(quán)予以規(guī)制。
?。ǘ┨幚矸绞剑簺]有改變個人信息被公開時的用途
根據(jù)“情境脈絡(luò)完整性”理論，個人信息被公開時的具體場境（初始用途）應(yīng)得到尊重，其后的流轉(zhuǎn)及利用不得超出原初的情境脈絡(luò)。換言之，行為人的后續(xù)處理活動（出售、交換、提供、使用等行為）須與個人信息被公開時的用途沒有根本性抵觸，不得用于實施違法犯罪活動或侵害信息主體的基本權(quán)利。例如，《全國法院被執(zhí)行人信息查詢使用聲明》第3條規(guī)定：“查詢?nèi)吮仨氁婪ê侠硎褂貌樵冃畔?，不得用于非法目的和不正當用途?rdquo;因此，符合個人信息被公開時用途是合理處理的應(yīng)有之義，與《個人信息保護法》所確立的謹慎處理已公開的個人信息的立法精神相契合，處理方式既要足以實現(xiàn)預(yù)定的個人信息處理目的，又要對信息主體的不利影響最小，旨在合理限定已公開的個人信息的用途范圍。有學(xué)者指出，基于特定用途對個人信息的處分是法益的一部分，如果信息處理者擅自處理已公開的個人信息沒有改變其用途，則沒有侵害信息主體的法益處分自由，屬于合理處理也就不必獲得“二次授權(quán)”同意，應(yīng)當予以出罪；反之，如果處理行為明顯改變個人信息被公開時的用途，在沒有獲得“二次授權(quán)”同意的情況下，則考慮入罪規(guī)制的必要性。
在司法實踐中，對“沒有改變個人信息被公開時的用途”應(yīng)采取相對寬泛的理解，原則上只要處理活動沒有違反法律、法規(guī)的禁止性規(guī)定即可認定為用途合法，至少不能認定為構(gòu)成犯罪。特別是從促進已公開的個人信息有序流動與合理利用的立場出發(fā)，“只要不是謀取非法利益，就沒有違反個人信息公開時的用途”，應(yīng)當避免要求二次用途與初始用途必須保持絕對一致的極端認識，防止將擅自向他人出售或提供已公開的個人信息進行正當營利活動的行為機械地入罪。例如，被告人羅某將從公開渠道獲取的企業(yè)登記信息（包含企業(yè)管理人員和財務(wù)人員的姓名、聯(lián)系方式等個人信息）提供給他人用于推銷POS刷卡機業(yè)務(wù)，被認定構(gòu)成侵犯公民個人信息罪。這一定罪結(jié)論值得商榷，企業(yè)開展市場交易活動需要金融支付、結(jié)算工具的支持，利用已公開的個人信息在向其推銷POS刷卡機業(yè)務(wù)與企業(yè)的經(jīng)營發(fā)展需求相吻合且從事的是合法的商業(yè)活動，對該個人信息的處理具有相對合理性，并沒有改變個人信息被公開時的用途，宜認為該處理行為仍在初始公開場景的范疇之內(nèi)，刑法也就不必介入。
（三）處理結(jié)果：未侵害信息主體的重大利益
個人信息被以合法的方式公之于眾后，不特定的多數(shù)人都可以通過公開渠道獲悉，“合理處理這些已公開的個人信息，即使對某自然人造成了影響，行為人原則上也不承擔法律責任。”換言之，為了實現(xiàn)特定目的，信息主體必須承擔一定的風(fēng)險，讓渡一定的個人信息自決權(quán)。但須注意的是，這種個人信息自決權(quán)的讓渡或責任豁免是有限度的，并不意味著他人可以任意處理已公開的個人信息、侵害信息主體的重大利益。信息處理者應(yīng)當在實現(xiàn)其合理的處理目的的最小范圍內(nèi)采取對個人權(quán)益影響最小的處理方式?！睹穹ǖ洹返?036條第2項在以“合理處理”作為免責事由的同時也規(guī)定了例外情形，若處理已公開的個人信息侵害信息主體重大利益的，行為人仍不能免除責任。從處理結(jié)果層面評價何為“重大利益”一般應(yīng)以個人信息自決權(quán)所表征之自然人的人格尊嚴與自由發(fā)展為基礎(chǔ)，所謂“侵害信息主體重大利益”的情形，是指處理已公開的個人信息可能損害或嚴重威脅自然人的生活安寧、人格尊嚴、人身權(quán)益、財產(chǎn)安全等公民個體社會交往利益。例如，信息處理者濫用已公開的個人信息對用戶進行“數(shù)據(jù)畫像”，進而通過差別定價實施“大數(shù)據(jù)殺熟”，導(dǎo)致該自然人在接受商品或服務(wù)的過程中遭受歧視，侵害消費者的人格尊嚴和公平交易權(quán)；又如，信息處理者收集已公開的個人信息后出售或提供給他人，用于撥打騷擾電話、發(fā)送垃圾短信、實施電信詐騙等違法犯罪活動，危及信息主體的生活安寧或人身財產(chǎn)安全。
合理處理本質(zhì)上是一種謹慎的注意義務(wù)，即要求信息處理者不得以違背個人信息公開的目的、改變個人信息被公開時的用途或侵害信息主體的重大利益的方式處理已公開的個人信息。根據(jù)由目的正當、用途合法、損害最小三個要素組成的“合理處理標準”來分析前述擅自向他人出售或提供已公開的個人信息典型案例。在案例一中，被告人李某將從國家企業(yè)信用信息公示系統(tǒng)中獲取的已公開的個人信息出售給他人用于拓展經(jīng)營業(yè)務(wù)、推銷產(chǎn)品或服務(wù)等正常經(jīng)濟活動，這并不違背企業(yè)通過在征信系統(tǒng)公示相關(guān)信息實現(xiàn)促進自身經(jīng)營發(fā)展之目的，從事正當營利活動所追求的是合法利益，沒有改變個人信息被公開時的用途，也未侵害信息主體的生活安寧、人格尊嚴、人身安全、財產(chǎn)安全等重大利益。因此，其屬于在合理范圍內(nèi)處理已公開的個人信息，不應(yīng)成立侵犯公民個人信息罪。而在案例二中，房利幫網(wǎng)站獲取房源信息并非為了促進房產(chǎn)交易，而是將房源信息作為商品用于出售牟利，與房東發(fā)布房源信息的目的相悖，超出了房東的合理預(yù)期，從事非法經(jīng)營明顯改變了房源信息的用途，使個人信息陷于失控風(fēng)險，極易被不法分子所濫用，侵害房東的生活安寧及人身財產(chǎn)權(quán)益，顯然無法認定構(gòu)成“合理處理”，具有刑事入罪規(guī)制的必要性。
四、結(jié)語
隨著人們的社會行為和日常交往不斷數(shù)字化，個人不可避免在各式各樣的網(wǎng)絡(luò)信息系統(tǒng)中留下“數(shù)據(jù)腳印”，我們已不再是單一的“生物人類”，而是被賦予了“數(shù)字人類”的新屬性，在“萬物數(shù)字化”的智慧社會出現(xiàn)“生物人”與“信息人”并存的局面。“人權(quán)觀念已經(jīng)不能再僅僅建立在傳統(tǒng)自然人的基礎(chǔ)上，它在很大程度上也要建立在數(shù)字化的‘信息人’基礎(chǔ)上”，以“數(shù)字人權(quán)”為代表的第四代人權(quán)應(yīng)運而生，“‘數(shù)據(jù)權(quán)利’更是其中最耀眼的一項引領(lǐng)性新興人權(quán)”。從數(shù)據(jù)權(quán)利的配置來看，已公開的個人信息兼具私人屬性與公共屬性，信息主體與信息處理者基于自身利益考量提出不同類型的權(quán)利訴求，在深層次意義上是個人信息自決權(quán)與個人信息利用權(quán)的博弈與制衡。以個人信息自決權(quán)為保護法益的侵犯公民個人信息罪應(yīng)當摒棄對已公開的個人信息呈現(xiàn)過度保護傾向的“二次授權(quán)規(guī)則”，引入《民法典》《個人信息保護法》等前置法為平衡信息主體與信息處理者利益沖突所設(shè)計的“合理處理規(guī)則”重構(gòu)規(guī)制邏輯，基于本土化的利益平衡機制審慎確定擅自向他人出售或提供已公開的個人信息行為罪與非罪的界限，兼顧保護個人信息權(quán)益與促進個人信息合理利用之雙重目的。
【劉雙陽，東南大學(xué)法學(xué)院博士研究生。本文系國家社會科學(xué)基金重大項目“數(shù)字經(jīng)濟的刑事安全風(fēng)險防范體系建構(gòu)研究”（21&ZD209）、國家社會科學(xué)基金一般項目“網(wǎng)絡(luò)智能時代個人信息泛在泄露與刑法有效保護研究”（19BFX076）階段性成果?！?br />
?。ㄘ熑尉庉?杜磊）
京公網(wǎng)安備 11010102003980號