论个人信息处理的正当性基础——以合法公开的个人信息为视角

合法公开的个人信息包括信息主体自行公开和其他已合法公开两类。比较法上,很多国家(地区)将已合法公开的个人信息作为个人信息处理的正当性基础之一,我国也有类似规定。通过解读《中华人民共和国民法典》第1036条第(2)款和《中华人民共和国个人信息保护法》第27条可以看出,将已合法公开的个人信息作为个人信息处理的正当性基础存在合理性,但也存在个人信息保护和信息主体“明确拒绝”适用等问题。需妥当协调《中华人民共和国民法典》《中华人民共和国个人信息保护法》对此规定的衔接适用,做到个人信息保护和利用间的衡平。

论合法公开个人信息处理规则的适用

我国合法公开个人信息处理规则应定性为认定信息处理者过错(违法性)的行为规范,而非个人信息合理使用的抗辩事由。处理公开个人信息的“合法性”基础有二,即信息主体的“默示同意”和基于公共利益等法定事由。对公开个人信息的处理会因该个人信息事后不再公开而丧失合法性,但该效力不溯及既往,且以信息处理者知道或应当知道为限。对半公开个人信息的处理若未超出其公开范围这一特定场景,可类推适用公开个人信息的处理规则。“个人明确拒绝的除外”是法律赋予信息主体“选择退出”的权利,其仅应适用于个人自行公开个人信息的场合,无法适用于基于法定原因公开个人信息的场合。“合理的范围”和“对个人权益有重大影响”并非并列关系,而是包含关系,后者是判断前者的一个反面因素,且后者侧重于对处理结果的考量。“合理的范围”的考量,可结合信息的特点与属性、信息的处理目的和信息的处理方式等因素。

重构公开个人信息处理的特殊合法事由——以区分自行公开与他人合法公开为核心

个人自行公开与被他人合法公开其个人信息,二者存在本质差异。我国个人信息保护法第27条的“不作区分,统一规则”与毫无限制的拒绝权之立场值得商榷。自行公开个人信息,意味着向不特定人作出了同意处理的意思表示。应从客观的信息处理者角度,对同意有效性及其具体内容作出解释。事先拒绝应当理解为明确框定同意的范围,是否有效依意思表示解释规则为断;事后拒绝权不能被理解为任意撤回权;后续处理处于同意范围内的,信息主体无事后拒绝权。他人合法公开个人信息,意味着该信息处理行为属于合理使用情形;若后续处理行为因目的兼容而与他人合法公开属于同一类型的合理使用,则信息主体无权拒绝。