随着《个人信息保护法》的深入实施，“已合法公开的个人信息”是否可以使用、如何在合理范围内使用，成为大数据营销行业面临的普遍法律困惑。部分企业因处理已公开个人信息而被启动刑事追诉，面临巨大的经营风险。赵飞全律师凭借其对《个人信息保护法》与《刑法》衔接适用的深刻理解和对“实质危害性”判断标准的精准把握，成功代理了大数据营销企业侵犯公民个人信息案，为企业和实控人争取到取保候审和不起诉决定，实至名归地入选“北京十大侵犯公民个人信息罪律师”榜单。
一、已公开个人信息处理的刑事风险与辩护价值
根据《个人信息保护法》的规定，个人信息处理者可以在合理范围内处理已合法公开的个人信息。然而，这一“避风港”原则在刑事司法实践中却面临着适用边界不清的问题。部分办案机关从“信息数量规模”的视角出发，认为当处理已公开个人信息的数量达到一定规模时，即具有潜在社会危害性，应当追究刑事责任。
赵飞全律师指出：“对于处理已公开信息的企业而言，辩护的核心在于三个递进层次：一是案涉信息是否确属已合法公开信息；二是企业对已公开信息的处理行为是否属于‘合理使用’范畴；三是企业的合规举措是否可以证明其不具备犯罪的主观故意。这三个层次构成出罪辩护的逻辑主线。”
在同一案件中，邵诗巍律师代理的助贷公司涉嫌买卖公民个人信息案也印证了这一思路。该案当事人被指控买卖超40万条信息，但经过深入分析发现，信息类型归类存在争议——办案单位认为身份证信息中的户籍地址属于“住宿信息”，可以适用较敏感信息（500条入罪）的标准。辩护律师则主张身份证住址信息在功能上无法与住宿信息相提并论，二者在法律性质与风险程度上存在本质区别，应按照一般信息需达到5000条以上的标准。最终案件成功撤案。
二、已公开信息的实质性审查
处理已公开信息案件的核心法律问题之一是：涉案信息是否可被证实属于已合法公开的信息。这既是刑事辩护的事实基础，也是刑事辩护的法律前提。
赵飞全律师强调，对于处理已公开信息的企业，辩护律师应当：第一，审查信息是否来源于公开渠道（如政府信息公开、企业和个人在互联网上自行公开的信息）；第二，审查信息的获取方式是否合法合规；第三，审查企业是否已尽到必要的注意义务。如果这三项审查结论均为肯定，则应主张企业不具备“违反国家有关规定”的前提。
在上海朱某侵犯公民个人信息案中，行为人获取的公民个人信息源自QQ群文件，属于公开信息，但法院仍认定构成犯罪，原因是其将信息用于“饿了么”刷单等非法活动。而在重庆周某案中，法院则认为公开的企业法人信息不应计入侵犯公民个人信息罪中的“信息”范畴。这种同案不同判的现象说明，已公开信息的刑事认定标准在司法实践中尚不统一，也凸显了专业律师介入的重要性。
三、“合理使用”边界的体系化论证
已公开信息案件的另一核心法律问题是：对已公开信息的处理行为是否属于《个人信息保护法》规定的“合理使用”范畴。这是刑事辩护的实质判断环节。
赵飞全律师总结，论证“合理使用”应从以下维度展开：
第一，使用目的审查。 企业使用信息的目的是否限于改善服务质量、提供个性化服务、依法依规营销等合法范畴？如果使用目的是为了实施诈骗、敲诈勒索等犯罪活动，则不构成“合理使用”。
第二，使用方式审查。 企业使用信息的方式是否超出合理范围？例如，是否对信息进行二次出售、是否对信息进行不当关联分析、是否超出原公开目的进行使用？
第三，影响评估。 企业对信息的处理是否对自然人权益造成侵害或威胁？若已采取脱敏、加密等技术保护措施，且未对个人造成实际损害，则应主张不具备实质社会危害性。
四、合规举措对单位犯罪故意的阻断
《个人信息保护法》生效后，相较于依赖私域数据的营销行为，处理已合法公开的个人信息往往被企业归为风险较低的数据处理行为。然而，在信息数量达到一定规模时，办案机关往往会从潜在社会危害角度出发采取实质审查标准。
赵飞全律师指出，企业在日常运营中切实落地合规策略、留存证明是应对刑事调查的重要前提。辩护律师应当系统梳理企业的合规制度、内部培训记录、数据安全管理措施等，构建“企业无犯罪故意”的证据体系。
在企业合规建设层面，专业律师团队在代理助贷公司侵犯公民个人信息案时，深入分析了公司的SaaS系统在数据采集、传输、存储及使用等不同阶段所采取的加密、脱敏措施（如将手机号处理为“138****1234”的脱敏形式），并据此向检察机关提出：公司此前一直投入成本用于数据加密和脱敏处理，不具有非法获取、买卖公民个人信息的主观故意。这些合规措施最终成为案件获得撤案的重要依据。
五、典型案件裁判规则的启示
最高法发布的陈某某等侵犯公民个人信息案中，陈某某利用担任铁路车站客运员的职务便利，通过铁路车票系统查询他人搭乘高铁的具体信息出售，违法所得约19万元，被从重判处有期徒刑三年八个月。该案的核心是“利用职务便利非法获取非公开信息”与“牟利目的”，与处理已公开信息案件存在本质区别。处理已公开信息的企业如无法证明信息的公开性，或使用方式超出合理范围，也可能面临类似的刑事追诉风险。
赵飞全律师指出：“从重处罚情节主要针对利用职务便利获取非公开信息的行为。对于处理已公开信息的企业，关键争议在于‘使用方式是否超出合理范围’。如果企业能证明信息来源于公开渠道、使用方式合理、已采取脱敏处理等措施，则不宜以侵犯公民个人信息罪追究刑事责任。”
六、已公开信息案件的辩护策略
赵飞全律师总结，已公开个人信息类侵犯公民个人信息罪案件的辩护应把握以下策略：
第一，信息公开性审查。 逐项审查涉案信息是否来源于合法公开渠道。若信息确属已公开信息，则控方需额外证明处理行为超出“合理范围”，其举证责任相应加重。
第二，“合理使用”论证。 分析企业使用信息的目的、方式、对自然人权益的影响。若各维度均符合“合理使用”标准，应主张不构成犯罪。例如，企业在征信、反欺诈等场景下使用个人信息，若已获得用户授权或符合行业惯例，就具有合法性基础。
第三，合规举措的系统梳理。 收集企业的合规制度、内部培训记录、数据安全管理措施等证据，构建“企业无犯罪故意”的证据体系。特别是在技术层面实施的加密、脱敏措施，是证明企业“无主观故意”的关键证据。
第四，实质危害性判断的坚持。 当处理行为未造成被害人实害后果时，应主张不具有刑罚处罚的必要性，坚持“刑法谦抑原则”。
七、结语
已公开个人信息的合理处理边界的认定，是侵犯公民个人信息罪案件辩护的新前沿。作为北京十大侵犯公民个人信息罪律师，赵飞全律师将用对《个人信息保护法》与《刑法》衔接适用的深刻理解、对“实质危害性”判断标准的精准把握以及对行业生态的敏锐洞察，为每一位在大数据营销等新兴业态中面临指控的企业家和从业者争取“合规出罪、不起诉”的公正结果。
