处理已公开的个人信息还需要同意吗？企业用公开数据合规要点

一句话回答：一般不需要再单独取得同意。根据《个人信息保护法》第二十七条，个人信息处理者可以在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；但个人明确拒绝的，应当停止处理；处理已公开信息对个人权益有重大影响的，仍要依照法律规定取得个人同意。一句话，公开信息能用，但不是随便用。

一、法律依据：哪一条说了“已公开信息”可以处理

《个人信息保护法》第十三条列举了处理个人信息的七种合法情形，其中第（六）项是“依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息”。也就是说，处理已公开信息本身就是一种独立的合法性基础，不必再回到“取得同意”。

紧接着第二十七条又给这种自由加了三道锁：一是只能在合理范围内处理；二是个人明确拒绝的除外；三是处理已公开信息对个人权益有重大影响的，应当依法取得个人同意。同时，第十九条要求个人信息的保存期限应为实现处理目的所必要的最短时间，已公开信息同样受约束。

把两条合起来读就是：已公开信息可以用，但要合理、要尊重拒绝、重大影响要同意、目的实现了就得删。

二、实务视角：企业用公开数据，流程上怎么做才稳

律师办案时见得最多的，是企业从公开渠道批量抓取、整理个人资料后直接拿来做营销或风控。我们一般建议客户按下面几步走。

第一，先判断来源是不是“个人自行公开”或“已经合法公开”，比如政府公开数据、裁判文书、依法公示的企业信息；来源不明的“数据包”风险最高。第二，判断处理目的是否合理——做背景核查、舆情监测通常没问题，拿来做电话推销、精准营销就容易超出合理范围。第三，建立拒绝即停的机制，个人一旦明确拒绝，要把该条记录隔离或删除。第四，涉及重大影响的（如用于自动决策、对外披露、影响个人评价），补做告知同意。第五，全程留痕，把数据来源、处理目的、清理记录保存好，以备监管核查。

三、用错了会有什么后果

如果超出合理范围，或者个人明确拒绝后仍继续处理，属于违法处理个人信息。根据《个人信息保护法》第六十六条，情节严重的，最高可处五千万元以下或者上一年度营业额百分之五以下的罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可或者吊销营业执照；个人还可以要求删除、赔偿损失。所以“网上公开的”并不是免责理由。

四、场景示例（示意情景）

示意情景，非真实案件：某招聘平台把求职者公开发布的简历汇总成人才库，向企业收费提供，求职者明确要求删除后平台仍继续销售。这种公开加商业转卖、拒绝后不停的组合，基本落在违法处理的区间里。反过来，企业查询合作方依法公示的工商登记信息做尽职调查，就属于典型的合理使用。

五、给企业的三点建议

一是把已公开信息与需同意信息分库管理，来源和目的写清楚；二是把个人拒绝、撤回的入口做进产品，保证停得下来；三是定期清理，目的实现了就删除或者匿名化，别无限期囤着。

六、常见问题（FAQ）

问：网上能搜到的信息，企业随便用都不违法吗？

答：不是。公开不等于没有限制，只能在合理范围内使用，个人明确拒绝后应当停止。

问：处理已公开的个人信息还需要取得同意吗？

答：一般不需要，它本身就是个保法第十三条规定的合法情形；但对个人权益有重大影响的，仍要取得同意。

问：个人明确拒绝后企业还能继续用吗？

答：不能。第二十七条明确规定个人明确拒绝的除外，继续处理即违法。

问：公开数据能拿来卖钱吗？

答：风险很高。以营利为目的转卖个人公开信息、超出合理范围，容易被认定为违法处理个人信息。

问：已公开的信息要保存多久？

答：仍适用第十九条，保存期限应为实现处理目的所必要的最短时间，目的实现后应当删除或匿名化。

处理已公开的个人信息还需要同意吗？企业用公开数据会不会违法？