（二）对信息处理者处理已经公开的个人信息的法律规制

　　依法规范已公开的个人信息数据刻不容缓。在信息权利人个人信息被密集收集与多方流转的生态系统中，绝大多数情况下信息权利人对自己的信息被收集、处理和使用并不知情，更遑论向那些缺乏直接联系的第三方机构行使控制权。个人信息权利人与网络信息服务提供者之间存在着一条不可逾越的鸿沟，但是为了获得相应的信息服务使用权限，个人信息所有者不得不向网络信息服务商主动提供个人信息。在这个特定的背景下，信息权利人的知情同意权失去了本来的意义，自主决定权也变成了子虚乌有的东西。网络信息服务商和各类大数据掌控主体对个人信息数据的收集、处理和开发的期待值愈来愈高，集中体现在对已公开的个人数据的抓取、抢占、处理和使用上。民事法律制度规制的“已经公开的个人信息”主要包括五个组成部分：一是个人信息权利人或个人信息主体自行公开的个人信息；二是党政机关因管理职能需要对党员干部、国家公职人员登记、备案、公示的个人信息；三是政府机关及相关职能部门以合法方式予以公开的个人信息；四是司法机关、执法机关因执行公务需要公开的特定人的个人信息；五是其他已经合法公开的个人信息。譬如，政府机关公开的企业工商登记信息、司法裁判文书公开的信息通常都含有信息主体姓名、身份证号码、手机号、所任职务等个人信息，个人信息处理者和信息开发者利用上述公开信息进行处理，向社会提供信息查询的收费抑或免费服务，都可能因之而给信息权利人的人格尊严和个人权益造成侵害，进而引发意料不到的争议和纠纷。为此，《中华人民共和国政府信息公开条例》同时对“个人信息不得公开”和“个人隐私豁免公开”进行了规制。最高人民法院对“不确定的法律概念”享有解释权，在对公共利益的紧迫性、重大性进而约束隐私利益方面，人民法院一般倾向于尊重行政机关的判断。《民法典》和《个人信息保护法》对已经公开的个人信息的法律规范，通常是将其作为个人信息的一个专门类别予以规制。这些法律规制集中体现在《民法典》第一千零三十六条、《个人信息保护法》第十三条和第二十七条规定之中。这两部法律从三个层次对已经公开的个人信息作出规制：一是个人自行公开或以其他形式合法公开的个人信息；二是对公开个人信息的处理应掌控在“合理范围”、不得“过度利用”；三是个人可以通过“明确拒绝”来反对个人信息处理行为。在审判实践中人民法院认为，“搜索引擎”已成为当下司法实践中一类新的、重要的“争议类型”，当个人信息权利人提出删除信息请求后，无论是“搜索引擎”还是“百度网盘”存储的权利人的信息，信息处理者都应当责无旁贷地予以彻底删除。近年来，由“百度”等搜索系统引发的侵权案件频发，尽管审判实践已经推出不少这方面可供借鉴的判例，但由于《民法典》和《个人信息保护法》实施的时间还不太长，无论是司法人员、执法者还是相关当事人，对法律条文及其构成要件的理解还远远没有到位，因而至今未能形成较为一致的意见和共识。依法规范已经公开的个人信息数据刻不容缓，在未来立法、司法解释和法律适用的过程中，需要针对个人信息合法公开的不同情形，尤其要重视已经公开的信息中体现的公共利益价值与个人利益之间的平衡关系，为完善我国已经公开的个人信息保护和利用构建规则体系。

　　（三）信息处理者处理信息权利人个人信息的基本原则

　　合法、正当、必要和诚信是处理个人信息的基本原则。《个人信息保护法》第五条至第九条规定了个人信息处理必须遵循合法、正当、必要和诚信原则。在处理个人信息的时候，信息处理者无论如何不能违背这个原则，因为它是信息处理者处理个人信息的基本价值原则和价值判断准则。诚信原则体现了社会主义核心价值观的核心要义，是法的公平正义的具体体现，它要求信息处理者必须诚实信用地按照双方约定处理个人信息 。需要指出的是，民事法律制度只是明确了信息权利人有权限制对个人信息的处理，并没有对上述基本原则作出明确而清晰的界定和阐释。党的十九届四中全会提出要建立健全运用大数据等技术手段进行行政管理的制度规则，“加强数据有序共享，依法保护个人信息”，并要求将“个人信息数据”纳入诸如资本、土地等生产要素范畴，按要素的贡献率决定报酬的机制，以利于形成更加完善、更加合理的生产要素体系。《法治政府建设实施纲要（2021—2025年）》提出要加强大数据领域的专门立法，凡以数据形式呈现的个人信息抑或未经“匿名化处理”的个人信息数据，统一归口由《个人信息保护法》予以规制。《网络安全法》对网络运营者、信息开发者处理个人信息进行了严格规制，突出强调网络运营者收集、处理个人信息“应当经被收集者同意”，不得收集与其提供的服务无关的个人信息，应当依照与用户的事先约定处理其保存的个人信息。司法实践证明“后法优于前法”。《个人信息保护法》吸取了立法的经验教训，在内涵上作出了比以往法律更为确定、具体、明确的规制。需要指出的是，上述处理个人信息的“必要性原则”，源自法律的“比例原则”，个人信息处理行为反映了《民法典》“禁止过度”的基本原则和基本要求。在未来的个人信息处理实践中，要倡导和践行“适用必要性原则限制个人信息处理行为”，“个人信息处理的范围、数量应当与该处理目的相匹配或成比例”，以实现个人信息多元利益的综合平衡。