一、引言

在互联网时代，个人信息被合法公开的情形日益普遍，既包括个人在社会交往中主动公开的信息，也包括基于公共利益被依法公开的信息。然而，使用已公开的个人信息并非没有限制，若不当使用，仍可能构成对个人信息权益的侵害，甚至引发“人肉搜索”“网络开盒”等严重问题。因此，有必要对使用已公开个人信息的限度加以明确。本文将结合入库参考案例《麦某波诉北京法某科技有限公司、北京律某信息技术有限公司网络侵权责任纠纷案》，对已公开个人信息的合理使用边界进行解读。

二、案例背景与基本案情

入库编号：2025-07-2-369-003。该案例涉及北京法某科技有限公司（以下简称北京法某公司）对麦某波已公开个人信息的处理行为。北京法某公司通过其运营的平台，收集、存储并展示了麦某波已公开的个人信息，包括执业年限、胜诉率、收费标准等，并生成了用户画像。麦某波认为北京法某公司的行为超出了合理范围，侵犯了其个人信息权益，遂提起诉讼。法院经审理认为，北京法某公司的处理行为超出了合理范围，不属于《中华人民共和国个人信息保护法》第十三条第一款第六项规定的不需取得个人同意处理个人信息的情形，故判决支持了麦某波的诉讼请求。

三、使用已公开个人信息的法律基础与限制

（一）法律基础

《中华人民共和国民法典》和《中华人民共和国个人信息保护法》均规定了个人信息处理者可以在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息。这一规定基于个人信息具有一定社会属性，允许在一定限度内共享利用，以降低社会运行成本，促进信息交流。

（二）限制条件

尽管法律允许处理已公开的个人信息，但并非没有限制。根据《中华人民共和国个人信息保护法》第十三条第一款第六项及第二十七条的规定，个人信息处理者处理已公开个人信息时，若对个人权益有重大影响，仍需取得个人同意。此外，即使处理的是已公开个人信息，个人信息处理者也应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知处理目的、方式等信息。

四、处理已公开个人信息“合理范围”的界定

（一）处理目的的正当性

处理活动应当具有正当性。若个人信息处理者以非法商业营销、虚假宣传、不正当竞争等为主要目的，则其处理个人信息活动缺乏正当性基础，存在超出合理范围的可能。在本案中，北京法某公司为实现自身的商业目的，在案涉平台上展示的合作信息涉嫌虚假宣传，因此其使用麦某波已公开个人信息的行为本身即不具有正当性。

（二）处理方式的必要性

对已公开个人信息的处理不应超出必要限度。通常情况下，个人信息的处理方式不同，对个人信息权益的介入程度和可能构成侵权的风险等级也不同。对已公开个人信息进行简单处理，如制作信息索引、对公开内容进行一般性展示等，并无不可。但对个人信息进行深度分析、生成用户画像等，则需审慎评估其必要限度。若分析加工结果失实或带有偏见，极易对个人造成误解或歧视，则可能导致处理行为超出合理范围。在本案中，北京法某公司通过算法规则统计麦某波既往判决胜诉率等指标，生成了用户画像，但分析结果与实际情况存在较大出入，未客观反映麦某波的律师执业能力，因此超出了必要限度。

（三）对个人权益的影响

处理活动不应对个人权益造成重大不利影响。评判标准不仅包括财产性权益，也包括人格尊严、声誉评价、获得公平交易机会等非财产性权益。在本案中，北京法某公司在案涉平台展示其与麦某波有合作关系，但实际双方并未合作。案涉平台展示内容会误导潜在客户引流到案涉平台，从而截取麦某波与潜在客户的商业合作机会，对麦某波个人权益造成明显影响。因此，足以认为北京法某公司对麦某波已公开个人信息的使用超出了合理范围。

五、“二次加工”行为的合法性判断

“二次加工”是指对原始信息进行分析、整合、改编并生成衍生数据的行为。在多数商业活动中，简单的转载个人信息并不会产生经济价值，网络平台通常会从各个渠道收集信息后，再进行大数据处理，形成有一定价值的新的数据内容。然而，当“二次加工”行为缺乏准确性、客观性，并对个人权益造成不利影响时，则仍会构成对个人信息权益的侵害。在本案中，北京法某公司通过算法规则统计麦某波既往判决胜诉率等指标，展示其“收费标准”“执业年限”“胜诉率”“执业证照片”等信息，生成了带有强烈商业导向的数据产品。这一系列加工信息的行为使得原本相对分散、客观的已公开个人信息，经过平台筛选、加工、评价，转变成了可能对麦某波造成不利影响的数据产品。因此，北京法某公司的“二次加工”行为超出了合理范围，构成对麦某波个人信息权益的侵害。

六、对司法实践的启示

（一）明确处理已公开个人信息的边界

本案明确了处理已公开个人信息的边界，即个人信息处理者处理已公开个人信息超出合理范围的，不属于不需取得个人同意处理个人信息的情形。这一裁判规则为同类案件的审理提供了借鉴和参考，有助于统一裁判尺度，保障个人信息权益。

（二）平衡个人信息保护与利用的关系

在促进个人信息合理利用的同时，必须保障个人信息权益不受侵害。个人信息处理者应当遵循合法、正当、必要和诚信原则，不得通过误导、欺诈、胁迫等方式处理个人信息。同时，应当采取必要措施保障所处理的个人信息的安全，避免因个人信息不准确、不完整对个人权益造成不利影响。

（三）强化告知义务与同意机制

即使处理的是已公开个人信息，个人信息处理者也应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知处理目的、方式等信息。若处理活动对个人权益有重大影响，仍需取得个人同意。这一要求有助于增强个人信息处理的透明度，保障个人的知情权和选择权。

七、结论

使用已公开的个人信息并非可以“任性而为”。个人信息处理者必须在合理的范围内处理已公开个人信息，遵循合法、正当、必要和诚信原则，不得超出必要限度或对个人权益造成重大不利影响。同时，应当强化告知义务与同意机制，保障个人的知情权和选择权。北京舟岛律师事务所将持续关注此类案例的发展动态，为客户提供更加专业、精准的法律服务。