在我国，最早规定公开的个人信息的是2014年最高人民法院颁布的《关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》(以下简称《利用信息网络侵害人身权益规定》)。该解释原第12条第1款规定¹，网络用户或者网络服务提供者利用网络公开自然人基因信息、病历资料、健康检查资料、犯罪记录、家庭住址、私人活动等个人隐私和其他个人信息，造成他人损害，被侵权人请求其承担侵权责任的，人民法院应予支持；但是，具有该款所列举的6种情形之一的除外，其中，第4种情形为“自然人自行在网络上公开的信息或者其他已合法公开的个人信息”。从该规定可知，《利用信息网络侵害人身权益规定》将个人信息已经被合法公开作为免除网络用户或网络服务提供者利用网络公开个人隐私和其他个人信息这一特定侵权行为的免责事由。在司法实践中，法院多援引该规定，论证被告无需承担侵权责任。遗憾的是，作为早期的个人信息保护规范，该规定的内容很大程度上被《民法典》有关隐私与个人信息保护的规定所取代。在《民法典》实施前夕的司法解释修订浪潮中，第12条被全部删除，现已无法作为裁判的直接依据。相比之下，仍然有拘束力的《解释》第13条显得更为重要²。根据该规定，网络用户或者网络服务提供者，根据国家机关依职权制作的文书和公开实施的职权行为等信息来源所发布的信息，在特定四种再利用情形下侵害他人人身权益的，行为人需要承担人格权侵权责任。但在具体的司法实践中，符合特定四种情形的案件凤毛麟角。进一步考察《解释》的制定背景与内容可以发现，该司法解释虽基本认可个人信息的合法权益并给予针对性保护，但并未赋予个人信息独立的人格权地位。行为人利用信息网络侵害他人的个人信息，只有在侵害他人姓名权、名誉权、荣誉权、肖像权、隐私权等人身权益并造成损害时，才需要承担民事责任 [ 7 ] 。《解释》第12条作为早期关于个人信息的保护规范，仅规制因信息的不当公开或泄露所造成的侵害。解释制定者认为，通过民事司法保护个人信息，有其内在的制度要求：以违法收集、利用为代表的其他侵犯个人信息的行为治理，有待立法进一步明确治理手段、赔偿方式、损害认定 [ 8 ] 。但更为深层次的原因在于，私密信息的公开系属典型的隐私权侵害；而个人信息的违法收集与使用，与隐私的关联则稍显疏远。由于隐私权旨在保护非公知的私事，凡是任何人均可阅览的公开事项，非属可保护的隐私 [ 9 ] 。该理念下，第12条第4项的例外规定应运而生，法院亦多将其作为再利用行为的合法性依据。《解释》第13条，表面上虽能够调整依法公开个人信息的再利用行为，但最高人民法院制定该条文的目的，主要在于明确“媒体侵权”(“新闻侵权”)行为的具体判断标准 [ 8 ] 。从规范制定背景和立法意旨延续的角度上来说，条文的实质，是对当时《民法通则》第101条(现《民法典》第1024条)中，“侮辱、诽谤”等名誉权侵权行为要件，在“媒体侵权”与依法公开信息再利用语境中的具体解释。“添加侮辱性、诽谤性信息”自然构成典型的名誉侵权；“信息不符、拒不更正”则更接近于名誉权行为要件中的“虚假事实陈述”，非属个人信息保护的规范体系。由于规范适用前提的模糊与构成要件的宽泛，第13条已从原初“媒体侵权”领域逐渐拓展至一般性的依法公开信息再利用场景中。整体而言，《民法典》《个人信息保护法》颁布实施前，依法公开个人信息多通过传统人格权侵权损害的方式进行间接保护。法院借由《解释》第12条、第13条等规范，深入分析名誉权、隐私权的构成要件，对再利用争议进行裁判。但是，作为不特定人所知的公开信息，显然难以划入传统个人隐私的范畴；而通常的信息再利用行为，也很难与“侮辱、诽谤”划上等号。因此，传统针对依法公开个人信息再利用行为的侵权诉讼，均难以得到法院的支持。但随着今日《民法典》《个人信息保护法》的实施，个人信息保护作为独立的客体与案由出现。这意味着，依法公开个人信息的保护模式，正在发生转变。

个人信息保护的模式转变，有着深刻的社会动因。过去很长一段时间，信息因其低廉的生产流通成本和高昂的排他使用成本，长期作为公共领域的公共素材或材料出现 [ 10 ] 。公开信息更是如此，是任何人均可自由使用的资源。但智能化时代，信息技术的巨大进步，对信息收集、处理和利用产生翻天覆地的影响。这意味着，无论是被储存或被记载的信息，还是用作进一步分析、挖掘的信息，几乎没有任何边界——无论是时间边界、空间边界还是数量边界 [ 11 ] 。这种信息技术的飞速发展，给人们的信息自主、隐私保护、人身财产安全乃至人格独立，都带来了巨大的风险和挑战。总体而言，依法公开信息的再利用行为，可以类型化为以下三个维度的风险：信息储存风险、信息传播风险与信息聚合风险。

依法公开个人信息经历了间接保护到直接保护的模式转变，但尚缺少稳定的秩序状态。大数据时代下依法公开个人信息的开发利用需求，与个人信息风险控制、权益保护间的紧张关系，是目前依法公开个人信息的最主要矛盾，也是秩序混乱、争论迭出的首要原因。本文讨论的第27条“合理”处理规则，即是这种矛盾在规范层面的体现。司法实践中，关于依法公开个人信息的直接保护，始于本文伊始提到的“伊某与苏州贝尔塔数据技术有限公司人格权纠纷案”与“梁某与北京汇法正信科技有限公司网络侵权责任纠纷案”。彼时个人信息的直接保护，仅有《民法总则》第111条等原则性条款支撑，尚难为依法公开个人信息再利用争议，提供有效确定的裁判指引。欣喜的是，法院均未回避该新兴问题，并以高度相似的路径展开分析，但在最终的结论上存在差异。

在侵权责任的框架中，诉争再利用行为是否构成对个人信息权益侵害，其请求权基础为《侵权责任法》第6条(即《民法典》第1165条)。在侵权责任的要件证明过程中，首先需要认定依法公开个人信息的再利用，属于《侵权责任法》第6条“侵害他人民事权益”的行为。此即违法性要件的另一种表述：除有违法阻却事由外，侵犯权利的违法性应当被推定；而利益在侵权责任中是否受保护，关键是判断该利益是否属于法律保护的利益 [ 21 ] 。若采严格的权利形式主义立场，现行法律均未承认自然人的个人信息权利。这就使得，法官需要对具体场景下，原告的个人信息利益是否属于法律保护，进行充分证立。但在界定受法律承认的利益保护范围时，不应当忽略不同利益之间可能存在的对立或者矛盾，需要从价值上考量相互冲突或对立的利益：一方面，应考虑是否存在需要尽可能充分保护的利益；另一方面，要尽可能赋予其他人最大的行为自由 [ 22 ] 。

综上所述，规制模式的更迭变迁中，以隐私权、名誉权为核心的旧秩序几乎被推翻，如今承继下来的《最高人民法院关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定(2020修正)》第9条，几乎无法有效满足依法公开个人信息保护的现实需要。但法官显然不能“保持一种因循守旧的态度并承诺在未来案件中反复延续其前辈犯下的错误” [ 23 ] 。依法公开个人信息再利用问题，势必应从上述司法解释及个人信息的间接保护模式中解放出来，并在个人信息直接保护框架中展开分析。另一方面，现有“合理”要件的模糊规则表明，依法公开个人信息再利用的治理模式，尚未完全生成。这种可用范围的不清晰，与信息技术进步、社会模式变革所带来的利益失衡、秩序失范有着紧密关系。那么对“合理”的阐释，也就不能单纯依靠传统价值判断与利益衡量作出封闭性回应，而更需要找寻具有开放性和包容性的解释论线索。

对个人信息进行类型化已成为化解其承载的多种利益之间的冲突的重要机制。近年来，学者们针对个人信息不断提出类型化构想。具体包括：基于可识别性标准将个人信息划分为直接识别性个人信息与间接识别性个人信息，并分别对其采取不同的规制模式 [ 24 ] ；根据个人信息与个体身份、人格联系的紧密程度，将个人信息划分为人格紧密型个人信息与人格疏远型个人信息，对人格紧密型个人信息的利用进行更多限制，而尽可能确保对人格疏远型个人信息的自由利用 [ 25 ] 。同时，《个人信息保护法》对敏感个人信息与一般个人信息、未公开个人信息与已公开个人信息的区别规制亦体现出典型的类型化思路。不同于以追求概念为目的的易于滑向“抽象化过度”泥淖的抽象化思维，类型化思维能够“在抽象与具体之间找到一种平衡”，从而更好地顾及个别正义 [ 26 ] 。“已公开个人信息”这一概念因过度抽象而抹杀了不同信息间的差异，难以顾及不同场景下的利益平衡。因此，有必要对不同类型的已公开个人信息的差异进行详细剖析。“类型化是以事物的根本特征为标准对研究对象的类属划分。”依据不同信息在根本特征上的差异，我们可将已公开个人信息划分为意定公开信息与法定公开信息两种基本类型。前者是指基于信息主体的意思表示自行公开或授权他人公开的个人信息。比如，个人基于交往目的在社交媒体上发布的状态，或基于求职需要在网站上公开的个人简历等。后者则指依照法律规定，基于行政行为、司法行为公开的与已识别或可识别的自然人有关的信息。生成机制的差异导致了不同信息所承载的利益形态具有根本区别。作为个体自愿选择披露的信息，意定公开信息与个体人格之间的关联更为密切。信息主体基于个人意志作出的在限定范围内公开个人信息的意思表示可被视为对后续信息处理行为的“概括同意” [ 27 ] ，其表明信息主体自愿削弱对此类信息的排他性控制，并同意他人对此类信息进行处理。然而，“个人信息(私密信息除外)与隐私不同，后者一旦公开即不属于隐私，不再受隐私权制度保护，而公开并不消灭个人信息受法律保护的特性，即可识别性和非公共性” [ 28 ] 。意定公开信息并未完全转化为一种公共物品。一方面，此类信息的公开主要服务于信息主体表达观点和意见并与外界进行交流的个人需求与目的，他人对此类信息的知悉和使用只是信息主体实现个人目的的副产品。他人对此类信息的使用处于从属地位，并不具备对抗信息主体的自我决定的效力。另一方面，意定公开信息通常无涉他人利益或公共利益的实现。无论是个人基于表达自由而发表公开言论或创作即兴作品，还是个人基于沟通交流目的而公开个人信息，均非为了满足他人的利益需求。基于此，从分配偏好的角度而言，立法仍应当优先支持信息主体对此类信息的自我决定。就经济效率而言，意定公开信息并未完全脱离信息主体的支配和控制，信息主体仅需简单地通过删除信息或设置访问权限即可拒绝他人的访问和处理。同时，信息处理者也能够较为便捷地通过平台等媒介就第27条规定的“对个人权益有重大影响”的信息处理行为征得个人同意，从而以较低的成本和有效率的方式与信息主体达成关于信息处理的合意。因此，针对意定公开信息，司法机关应优先适用第27条来保护信息主体的意思自治和自我决定，并在信息主体概括同意的范围内兼顾个人信息处理效率与信息的资源价值发挥。

对法定公开信息的规制则需更多地考虑其承载的公共价值。信息公开与数据开放已成为数字化政府的重要使命与法定职责。信息公开可被视为现代政府基于法定程序将特定信息划归为公共物品，进而向整个社会提供公共物品的过程。伴随这一过程，法定公开信息进入公共领域，成为任何人均可利用的公共资源。此类信息与公共利益之间的密切关联决定了立法应当尽可能弱化特定主体对此类信息的控制，否则，无异于承认个人可将自身意志置于由立法凝结的共同意志之上。正如有学者所言：“处于公共领域的信息或数据仅因为与个人存在联系或具有识别性，即赋予个人对个人数据的排他控制权，使个人信息‘私有化’，有失法律正当性，甚至与人类社会进步发展的制度基础相悖。” [ 10 ]

另外，如果不以“合理范围内处理”个人信息取得默视同意，而以当事人达成合意来调整法定公开信息，亦缺乏效率。法定公开斩断了信息主体对个人信息的排他性控制，消蚀了这种适用基础。在实践中，为避免个人受到不必要的滋扰，公共机构在依法公开个人信息时通常不会提供信息主体的具体联系方式等私密信息。信息处理者若想要与信息主体达成自愿交易，则需要耗费高昂的搜寻成本与缔约成本。并且，在技术机制层面，信息处理者普遍借助算法驱动的爬虫技术自动对公开信息进行大规模、批量化甚至无差异的抓取。若要求信息处理者逐一征得信息主体的同意，则必将阻断由现代技术所驱动的信息处理活动。有学者指出：“信息自决理论所依托的制度语境，仍然是前信息时代那种小规模、单环节的个人数据收集场景，而伴随着物联网、大数据、云计算等技术的涌现，个人数据的采集、利用与流动的情境业已发生了复杂而深刻的变化，此时仍然寄希望于低技术语境下的规范体系能够建立起良好的法律秩序，这显然并不现实。”

个人基于自愿选择公开其个人信息的行为可以被视为其“制定”了一项自治性责任规则，该规则允许他人在信息主体概括同意的范围内自由地处理其个人信息。从这一前提出发，对意定公开信息处理行为是否处于“在合理范围内”的认定，应当以信息主体概括同意的内涵和范围为准绳。相当多观点认为，“合理”的解释，应当借鉴《个人信息保护法》历次审议稿中的“用途”标准，超出与“被公开时的用途”相关的合理范围的，即为不合理 [ 29 ] 。在《个人信息保护法》一审和二审征求意见稿里，皆规定：“个人信息处理者处理已公开的个人信息，应当符合该个人信息被公开时的用途；超出与该用途相关的合理范围的，应当取得个人同意。”三审征求意见稿中，改为与现行第27条相同的内容，并且与《民法典》相关规定保持一致。从立法历史可见，立法者放弃了“符合初始公开用途”的限定标准，采用了更加宽泛的“合理范围”表述，一定程度上也是回应了确定初始公开用途难度过高的质疑 [ 30 ] 。个人信息公开与处理的“用途”本身非常难以明确。自然人在微博、朋友圈等社交媒体自行公开个人信息的目的存在多种可能。作为事实行为的公开，事后查明其用途并非易事。而依法公开场景中，虽然信息公开多旨在预防权力滥用、满足公众监督的需要，其目的相对明确。但是，信息处理者处理依法公开的个人信息，则通常具有多重目的。以法信、企查查利用依法公开裁判文书为例：一方面，这些商业性机构可以通过公开信息的处理，形成盈利性的数据产品或服务；另一方面，这种处理行为客观上扩大了依法公开信息的传播范围，有利于公众监督的实现，难以判断处理目的究竟是否符合个人信息被公开时的用途。此外，草案亦曾明文规定：“个人信息被公开时的用途不明确的，个人信息处理者应当合理、谨慎地处理已公开的个人信息”。于此，仍涉及到“合理”在再利用场景下的具体解释。

即便明确个人信息被公开的用途，在互联网环境下的信息流动过程中，将“信息被公开时的用途”完整有效传递给信息处理者，难度极大。事实上，“个人信息被公开时的用途”本身也是一类信息，并且高度个人化、主观化、非结构化。更为重要的是，这种“用途信息”仅对信息处理者才有价值。对于多数单纯获取、传播公开信息的“吃瓜群众”而言，由于不涉及《个人信息保护法》的处理行为，“信息被公开时的用途”多属无用信息。若社会公众耗费时间金钱成本，将用途信息完整传播给真正的个人信息处理者，本质上乃利他行为，缺乏内在动力。简言之，若强行让“已公开个人信息”负担“信息被公开时的用途信息”，将会极大地提升公开信息的流转传播成本。与信息网络共享、利用理念相悖的“用途信息”最终能够多大程度地传达到最终处理者，需要打上一个大大的问号。

即便个人信息被公开的用途完整保留至信息处理者，其正当性亦有待商榷。“个人信息被公开的用途”本质即尊重信息公开与传播的起点——在自然人自行公开的情境中，尊重个人对个人信息的控制与决定。但是，从公共利益角度简单考量可以发现，个人信息具有极强的公共属性：除了作为集合性的展示要素外，更具有基础设施维度的社会认证、连接和声誉功能 [ 31 ] 。过分强调“被公开的用途”，将会忽视个人信息的社会属性与其承载的公共利益。因此，有学者在运用“个人信息被公开时的用途”解释“合理”要件的同时，主张避免机械化的“以目的绝对一致与否作为判断的唯一标准”，在考量个人信息被公开时的用途的同时，融入“合法利益豁免”以及“平衡测试”机制，具体检验个人信息权益保护的必要性 [ 32 ] 。如此一来，不仅掏空了“个人信息被公开时的用途”的语义内涵，更回退到抽象价值冲突与利益平衡中去，难以为司法实践提供确定、有效的具体裁判指引。海伦·尼森鲍姆已经正确地指出：任何将隐私与个人信息保护基准缩减至单一要素(例如敏感个人信息)、单一原则(例如强化个人信息控制)都是徒劳的尝试 [ 33 ] ，任何一元规则或者是原则均无法有效保护个人信息。以“符合信息被公开时的用途”为核心构建起的已公开个人信息治理框架，忽视了本文提及的多元利益与复杂矛盾。在某些具有高度敏感性的场景下，此种解释尚属合理；但随着场景的转换，该解释则未必符合促进信息流通利用的立法理念。随着再利用场景的发展变化，合目的解释将很难指引广泛的司法实践。

“合理预期”是一个开放性概念，所以，司法机关需要结合具体情景判定特定的信息处理行为是否超出信息主体的“合理预期”。首先需要考虑的是信息公开的具体形式。个人信息公开的形式包括两种：一是在限定范围内公开，比如，个人在微信朋友圈发布动态，单位在内部发布获奖员工名单等；二是向不特定的人公开，即所谓“一般可访问性标准” [ 34 ] 。通常而言，信息主体在限定范围内公开个人信息的行为即已传递出排斥限定范围以外的人对信息进行处理的意思，他人即使通过合法手段获取此类信息，也极有可能超出了信息主体的原有预期。以“孙长宝与北京百度网讯科技有限公司等人格权纠纷案”为例，在该案中，孙长宝曾在校园社区网站“chinaren校友录”公开其证件照等个人信息，该信息被北京百度网讯科技有限公司抓取，并被置于百度网站搜索结果的页面上，由此引发纠纷。对此，法院认为，校友录网站主要用于实现校内社群社交的功能，用户在此网站内上传头像，通常是为了寻找同学、好友等，以在特定人群范围内开展社会交往，而不是为了进行陌生人交友或宣传推广。然而，被告的行为使得涉案信息能够被全网不特定的用户检索并获取，在客观上导致涉案信息在原告的授权范围之外被公开，因此，应当认定被告的行为构成对原告个人信息的违法使用⁵。反之，若信息主体向不特定的人公开信息，则可推定其概括地授予了所有人在合理范围内访问其信息的权利 [ 4 ] [ 35 ] 。在此情况下，司法机关需要进一步结合信息公开的场景等因素判定信息处理行为是否超出信息主体的“合理预期”。人们在不同场景下对信息保护和信息流动的合理期待存在显著区别 [ 36 ] 。根据场景一致性理论(the theory of contextual integrity)，场景是信息主体形成合理期待的环境与背景，其系由行动主体的活动与交互、目的与目标以及作为行动背景的制度规范、价值观念、组织结构等一系列因素所构成的整体系统。这一系统主要涵盖“目的要素”“对象要素”与“规范要素”。

在目的要素层面，信息主体公开个人信息的目的构成了场景的重要内容，并且是判定信息主体合理预期范围的重要依据。对意定公开信息的处理不应违背信息主体明确表示的或可推知的目的，但是，这并非意味着后续的信息处理目的必须与此目的完全相同或直接相关 [ 37 ] 。比如，某高校教师在招生网站上发布个人信息的目的在于展示其学术水平并吸引潜在的学生。若他人将该教师发布的个人信息用于更大范围的展示宣传，或用于建立高校教师数据库等，则并不违背该教师的初始目的。但是，若借助这些个人信息向该教师发送广告，则超出该教师的合理预期。

在对象要素层面，不同的信息与信息主体的人格利益、隐私之间的关联程度不同。当不同的信息被不当处理时，信息主体的合法权益所遭受的威胁程度也有所不同，因此，信息主体对可识别程度或敏感程度不同的个人信息通常具有不同的保护需求与期待。对于如肖像、联系方式等直接识别性个人信息，以及如健康情况等敏感个人信息，自然人即使选择公开，也往往期待该信息不会被过度使用。规范亦构成了场景的重要内容，并塑造和决定着人们的角色、期待、行为和边界等关键方面 [ 36 ] 。“个人信息的公开需要符合所在场景的社会规范，符合多元主体之间的分配正义，在尊重法律和道德底线的基础上公开符合场景规范的个人信息。” [ 5 ]

就规范要素而言，既有制度和网站服务协议中的相关规定在较大程度上塑造着信息主体在公开个人信息时的预期。比如，根据《个人信息保护法》第29条之规定，对敏感个人信息的处理应当取得信息主体的单独同意，因此，信息主体在公开此类信息时通常可以合理地期待他人基于对其隐私或重大利益的尊重而更加谨慎地处理此类信息。此外，公开信息的来源机构或网站所发布的开放协议和服务协议等文件亦可作为判定信息主体的合理预期范围的依据。这些协议是网站与用户之间基于合意所达成的协议，且协议内容具有公示效力 [ 38 ] [ 39 ] ，用户可期待他人对其已公开个人信息的处理行为不超出其基于协议所形成的合理预期。此外，根据人类交往所形成的共享价值和社会规范内容，信息主体在公开其信息时必然期待信息能够被如实地呈现与传播，他人不得基于主观意图实质性地调整或篡改原始信息。《个人信息保护法》第8条亦明确规定：“处理个人信息应当保证个人信息的质量，避免因个人信息不准确、不完整对个人权益造成不利影响。”信息处理者在处理已公开个人信息时，必须确保信息准确、真实，否则，信息处理行为即超出信息主体的合理预期，进而需要对信息处理行为所造成的损害承担相应法律责任。

有学者主张，应以是否具备“目的上的客观一致性”作为认定法定公开信息处理行为是否合理的标准 [ 28 ] ；然而，该标准在司法实践中难以得到落实，并且，该标准可能会过度限缩信息的利用空间。政府公开信息和开放公共数据的根本目的在于确保公众能够依法获取并使用公共数据资源，以释放数据红利。《中华人民共和国政府信息公开条例》《公共信息资源开放试点工作方案》等法规和文件多次提及要“积极营造全社会广泛参与开发利用公共数据资源的良好氛围”，“充分发挥政府信息对人民群众生产、生活和经济社会活动的服务作用”。这些法规和文件为公开信息预设了宽泛的用途，以鼓励人们对法定公开信息进行开发利用，若强调用途限制，则有违建设开放型政府的初衷。在“梁雅冰与北京汇法正信科技有限公司网络侵权责任纠纷案”中，法院即提出：“如果经司法公开的数据，社会其他主体不得再度转载、利用，一方面将损害司法公开制度，损害公众因该制度所受保护的知情权、监督权等公共利益；另一方面，将使得上述数据被司法机关独家垄断，与司法数据公有、共享的理念不符，故其他数据利用主体可对司法公开的数据，在一定条件下进行再度利用。”⁶另外，不同于意定公开信息，法定公开信息与信息主体的个人意志、人格间的关联较为薄弱，其或关涉公众知情权、信息自由流通等公共利益的实现，或具有“较大经济社会效益潜力”⁷。对法定公开信息这一公共资源的使用同时承载着公平和效率两重价值。一方面，随着数字生活成为人们真实生活的重要组成部分，对公开信息的充分使用成为了人们内在的利益诉求，平等接触和充分利用公开信息构成了确保大数据时代公众共享数字红利的重要机制 [ 40 ] ；另一方面，在数据经济形态下，使用大数据技术对数据资源进行分析和开发已成为创造价值的重要方式。为充分释放公开信息所蕴含的价值潜力，树立我国数据产业的竞争优势，我国亦应当鼓励专业化的市场主体和社会组织对公开信息这一公共资源进行增值性或创新性开发利用 [ 41 ] 。因此，在司法实践中，当个人未能证明其存在更为迫切需要保护的重大利益，或信息处理行为对其权益造成损害或实质威胁时，司法机关应当认定二次处理行为符合《个人信息保护法》第13条第6款所设定的“合理范围”标准⁸。