入库编号 2025-07-2-369-003

关键词 民事 网络侵权责任 公开个人信息 合理范围 用户画像

基本案情

北京法某科技有限公司（以下简称北京法某公司）是北京律某信息技术有限公司全资设立的一人有限责任公司，运营有“法某”网站以及微信小程序。2022年8月30日，执业律师麦某波发现“法某”网站以及微信小程序将麦某波列为平台认证律师，为麦某波设置“法某编号”，平台展示页面上显示麦某波“执业年限”“胜诉率”“帮助客户与律师达成合作X次”等信息，设定有“收费标准”，显示律师与平台合作次数，并注明“请勿私下与律师达成合作”。然而，麦某波并未与北京法某公司开展合作业务，且上述“执业年限”“胜诉率”信息存在错误。2022年8月31日，广州市律师协会发布声明，表明“法某”微信小程序未经律师授权公开展示广州律师的联系方式等具体信息，小程序中显示的法律顾问与律师达成合作事宜涉嫌虚假宣传。麦某波遂向法院提起诉讼。

麦某波诉称：北京法某公司未经其同意，擅自在“法某”平台上使用麦某波的姓名，将麦某波列为其平台认证律师，显示不实信息，对麦某波造成了不良影响；北京法某公司虚构与麦某波的合作关系，误导消费者误以为麦某波与平台具有合作关系，将相关消费者引流到第三方，截取了麦某波与潜在客户商业合作机会，造成了麦某波经济损失；北京法某公司为北京律某信息技术有限公司全资设立的一人有限责任公司，北京律某信息技术有限公司作为股东不能证明公司财产独立于股东自己的财产的，应当对法某公司债务承担连带责任。因此，请求法院判令：法某公司向麦某波赔礼道歉；支付麦某波赔偿金（含经济损失、精神损失、合理维权费用）共计人民币2万元，北京律某信息技术有限公司对该项请求承担连带责任。

法某公司、律某公司辩称：律师的执业信息是公开的商业信息，不属于《中华人民共和国个人信息保护法》中规定的识别个人身份的敏感个人信息；其对律师执业信息的收集、汇编属于大数据行业常规做法，其中，“执业年限”系通过律师执业证号编码规律换算；“胜诉率”系从开放访问的网站以及天眼查等大数据平台中获取；案涉微信小程序并未正式上线运营、对外推广，平台已于2022年8月30日将相关小程序撤下。

广州互联网法院于2023年3月29日作出（2022）粤0192民初20966号民事判决：一、被告北京法某科技有限公司于本判决发生法律效力之日起十日内，使用微信公众号“法某”发布对麦某波的道歉声明；二、被告北京法某科技有限公司于本判决发生法律效力之日起十五日内赔偿原告麦某波经济损失人民币3000元（含合理开支）；三、被告北京律某信息技术有限公司对上述第二项判项确定的债务承担连带责任；四、驳回原告麦某波的其他诉讼请求。宣判后，双方当事人未提起上诉，判决已发生法律效力。

裁判理由

本案的争议焦点为：北京法某公司收集和使用麦某波案涉信息是否构成侵权。

北京法某公司通过公开渠道爬取、分析、统计的个人信息，属于对麦某波已公开个人信息的处理。根据个人信息保护法第十三条第一款第六项的规定，个人信息处理者可以在合理的范围内处理已经合法公开的个人信息。对于范围合理与否的评价，应以处理目的和处理方式作为评价依据。本案中，北京法某公司的处理行为不属于合理范围。

其一，根据广州市律师协会发布的声明文件可知，北京法某公司为实现自身的商业目的，在案涉平台上展示的合作信息涉嫌虚假宣传。北京法某公司的处理行为会误导消费者以为麦某波与北京法某公司有合作关系，将消费者引流到案涉平台，从而截取麦某波与潜在客户的商业合作机会，对麦某波个人权益造成明显影响。

其二，“法某”平台爬取已公开信息，通过算法规则统计既往判决胜诉率等指标，并为麦某波生成专属页面，展示其“收费标准”“执业年限”“胜诉率”“执业证照片”等信息，应认定其对麦某波的个人信息生成了用户画像。该用户画像结果可为有律师服务需求的平台使用者提供数据支持，帮助挑选适合的律师。但是，“法某”平台分析的结果与实际情况存在较大出入，未客观反映麦某波的律师执业能力。

其三，根据个人信息保护法第十七条的规定，在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知相关事项。然而，“法某”平台为麦某波设定“收费标准”、显示麦某波“执业年限”“胜诉率”等信息，均未告知麦某波。

综上，北京法某公司的处理行为不符合个人信息保护法第十三条第一款第六项和第十七条的规定，构成对麦某波个人信息权益的侵害。

裁判要旨

个人信息处理者处理已公开个人信息超出合理范围的，不属于个人信息保护法第十三条第一款第六项规定的不需取得个人同意处理个人信息的情形，个人信息主体据此主张个人信息处理者侵犯个人信息权益的，人民法院依法应予支持。

关联索引

《中华人民共和国民法典》第1036条

《中华人民共和国个人信息保护法》第13条、第17条、第73条

一审：广州互联网法院（2022）粤0192民初20966号民事判决书（2023年3月29日）

入库参考案例解读：已公开的个人信息能随便用吗？

个人信息事关人民群众的切身利益，也与数字经济发展、社会公共利益息息相关。互联网时代，个人信息被合法公开的情形并不少见，既包括个人在社会交往中主动公开，也包括基于公共利益被依法公开等情形。一般而言，使用已合法公开的个人信息不再受到法律严格限制，《中华人民共和国民法典》和《中华人民共和国个人信息保护法》均规定了个人信息处理者可以在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息。但是，使用已公开的个人信息并非没有限制，不能“任性而为”。若不当使用该信息，仍可能构成对个人信息权益的侵害，甚至引发“人肉搜索”“网络开盒”等问题，因而有必要对使用已公开个人信息的限度加以明确。

实践中，一些网络平台对自行收集的已公开个人信息进行“二次加工”（收集、存储信息可视为“一次加工”，“二次加工”指对信息进行分析处理），是否仍属于合理使用，存在一定争议。对此，不应一概而论，宜区分情况作出处理。人民法院案例库入库参考案例《麦某波诉北京法某科技有限公司、北京律某信息技术有限公司网络侵权责任纠纷案（入库编号：2025-07-2-369-003）》明确了处理已公开个人信息的边界，即“个人信息处理者处理已公开个人信息超出合理范围的，不属于个人信息保护法第十三条第一款第六项规定的不需取得个人同意处理个人信息的情形，个人信息主体据此主张个人信息处理者侵犯个人信息权益的，人民法院依法应予支持”，为同类案件的审理提供借鉴和参考。现就有关问题解读如下：

一、处理已公开个人信息“合理范围”的界定

根据民法典第一千零三十六条第二项的规定，合理处理自然人自行公开的或者其他已经合法公开的信息，行为人不承担民事责任，但是该自然人明确拒绝或者处理该信息侵害其重大利益的除外。个人信息保护法第十三条第一款第六项是对上述规定的细化，将“在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息”作为不需取得个人同意的情形之一。民法典和个人信息保护法的立法本意是，基于个人信息具有一定社会属性，故允许在一定限度内共享利用，以降低社会运行成本，促进信息交流。但是，即便个人信息已经公开，自然人对其个人信息的控制能力并没有因此丧失，而对于处理已公开个人信息行为性质判断的落脚点，在于界定该处理活动是否属于“合理范围”。实践中，对于“合理范围”的界定尚无明确标准，亦存在一定认识分歧，有特定目的标准说、场景标准说、实践标准说、公开用途标准说等多种判断方法。从司法实践角度看，“合理范围”的界定，应当综合个人信息处理的目的、方式、对个人权益的影响等因素加以考量。

其一，从处理目的看，处理活动应当具有正当性。若个人信息处理者以非法商业营销、虚假宣传、不正当竞争等为主要目的，则其处理个人信息活动缺乏正当性基础，存在超出合理范围的可能。本案中，根据广州市律师协会发布的声明文件可知，北京法某科技有限公司（以下简称北京法某公司）为实现自身的商业目的，在案涉平台上展示的合作信息涉嫌虚假宣传。因此，北京法某公司使用麦某波已公开个人信息的行为本身即不具有正当性。

其二，从处理方式看，对已公开个人信息的处理不应超出必要限度。通常情况下，个人信息的处理方式不同，对个人信息权益的介入程度和可能构成侵权的风险等级也不同。对已公开个人信息进行简单处理，如制作信息索引，对公开内容进行一般性展示等，并无不可。对个人信息进行深度分析，生成用户画像，则需审慎评估其必要限度。若分析加工结果失实或带有偏见，极易对个人造成误解或歧视，则可能导致处理行为超出合理范围。本案中，案涉平台爬取已公开信息，通过算法规则统计麦某波既往判决胜诉率等指标，生成了用户画像，但案涉平台分析的结果与实际情况存在较大出入，未客观反映麦某波的律师执业能力。因此，北京法某公司对麦某波已公开个人信息的使用显然超出了必要限度。

其三，从对个人权益的影响看，处理活动不应对个人权益造成重大不利影响。评判标准不仅包括财产性权益，也包括人格尊严、声誉评价、获得公平交易机会等非财产性权益。本案中，北京法某公司在案涉平台展示其与麦某波有合作关系，但实际双方并未合作，案涉平台展示内容会误导潜在客户引流到案涉平台，从而截取麦某波与潜在客户的商业合作机会，对麦某波个人权益造成明显影响。因此，足以认为北京法某公司对麦某波已公开个人信息的使用超出了合理范围。

二、对已公开个人信息进行“二次加工”构成侵权的认定

“二次加工”是指对原始信息进行分析、整合、改编并生成衍生数据的行为。在多数商业活动中，简单的转载个人信息并不会产生经济价值，网络平台通常会从各个渠道收集信息后，再进行大数据处理，形成有一定价值的新的数据内容。一般情况下，对已公开个人信息进行“二次加工”并不违法，信息处理者还可以享有对新的数据产品的使用、经营性权益。但是，当“二次加工”行为缺乏准确性、客观性，并对个人权益造成不利影响时，则仍会构成对个人信息权益的侵害。司法实践中，判断“二次加工”是否构成对个人信息权益的侵害，则需要妥当认定是否超出了“合理范围”。

本案中，案涉平台通过算法规则统计麦某波既往判决胜诉率等指标，展示其“收费标准”“执业年限”“胜诉率”“执业证照片”等信息，可为有律师服务需求的用户提供数据支持与参考，帮助挑选适合的律师。上述行为即使用麦某波的个人信息生成了用户画像：首先，案涉平台通过网络爬虫等技术手段从公开渠道收集了涉及麦某波执业信息的原始数据。其次，运用特定算法或规则对原始数据进行分析、计算、整合，生成了“执业年限”“胜诉率”等衍生数据。再次，结合平台自身设定的“收费标准”“合作次数”“平台认证”等标签，生成了麦某波的用户画像，并在其运营的网站及小程序上进行公开展示。最后，通过标注“请勿私下合作”等方式将其商业模式嵌入信息展示中。这一系列加工信息的行为使得原本相对分散、客观的已公开个人信息，经过平台筛选、加工、评价，转变成了带有强烈商业导向的数据产品。

根据前述分析，案涉平台对麦某波已公开个人信息的处理行为超出了合理范围，不属于个人信息保护法第十三条第一款第六项规定的不需取得个人同意处理个人信息的情形，故仍需要取得麦某波个人同意。根据个人信息保护法第十七条有关告知义务的规定，即使处理的是已公开个人信息，也应当以显著方式、清晰易懂的语言真实、准确、完整地告知个人。然而，案涉平台为麦某波设定“收费标准”、显示麦某波“执业年限”“胜诉率”等信息，均未告知麦某波。因此，案涉平台超出合理范围收集、使用、加工并展示麦某波已公开个人信息，未告知麦某波本人，未获得其个人同意，且生成、展示的用户画像不真实、不准确，北京法某公司的处理行为构成对麦某波个人信息权益的侵害。

有必要强调的是，如何在促进个人信息合理利用与保障个人信息权益之间寻求平衡，是人民法院审理类似案件的重要考量。《中共中央 国务院关于构建数据基础制度更好发挥数据要素作用的意见》指出：“推动数据处理者按照个人授权范围依法依规采集、持有、托管和使用数据，规范对个人信息的处理活动，不得采取‘一揽子授权’、强制同意等方式过度收集个人信息，促进个人信息合理利用。”这为人民法院准确理解适用个人信息保护法有关处理个人信息的规则进一步指明了方向。其中，对于利用算法对个人信息进行“二次加工”行为，必须准确把握“合理范围”的界定，审慎作出认定，既要支持正当的数据信息处理活动，又要依法保障个人信息权益，为数字经济的健康有序发展提供有力司法服务和保障。