已公开信息不等于“公共资源”。你发在朋友圈的自我介绍、企业公示系统里的股东任职、判决书里的当事人信息，确实可以被第三方在合理范围内处理而不需要重新征得同意——但这条通道有闸门：明确拒绝即关闸，重大影响须重新同意，拼接还原、商业倒卖则会直接冲出合法区。这篇讲清合理范围的认定尺子和越界后的责任。
一、规则层：第二十七条的完整结构
- 《中华人民共和国个人信息保护法》第二十七条个人信息处理者可以在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；个人明确拒绝的除外。个人信息处理者处理已公开的个人信息，对个人权益有重大影响的，应当依照本法规定取得个人同意。
三个构件：
- 来源要“自行公开或合法公开”：本人主动发布的、依法律要求公示的（企业登记、司法文书、行政处罚决定）；通过爬虫、黑客、内部渠道流出的“公开”不算合法公开；
- 处理要在“合理范围”内：与公开时的目的、场景相当，处理方式不超过一般社会预期；
- 两个闸门：个人明确拒绝的必须停；对权益有重大影响的（如二次公开、用于自动化决策、画像评估）仍要取得同意。
这条对应第十三条第一款第（六）项的免同意情形，两者配套适用。
二、深入层：“合理范围”的四个判断因子
没有一条界线能概括所有场景，实践按四个因子综合判断：
- 公开场景与再利用场景的距离：裁判文书公开是为了司法监督，把当事人的住址信息抓出来卖给催收公司，场景距离过远，超出合理范围；企业登记信息公开是为了交易安全，工商信息平台汇聚展示属于场景延续，一般落回合理范围；
- 信息字段与敏感度：只取姓名、任职、联系方式属轻处理；把已公开信息拼接出完整个人画像（住址＋家庭成员＋健康状况）属于升级处理，敏感度陡增；
- 处理目的：查询、核验、新闻报道、学术研究是典型合理目的；精准营销、自动化风控评分、人肉搜索式的聚合曝光是典型越界目的；
- 是否给拒绝机会：合理处理的通行姿态是“可查询、可拒绝、可删除”，处理者提供拒绝入口的，更容易被认定为善意合理。
四因子之外的硬红线是“明确拒绝”：不需要格式化通知，你一句明确的拒绝表示（邮件、函件、平台投诉）即触发停用义务；已交付的数据产品还须停止向你画像的服务。
三、责任层：越界的三级后果
- 民事级：超出合理范围的处理丧失合法性基础，可要求停止处理、删除信息、赔礼道歉并赔偿；因泄露造成损失的按第六十九条过错推定索赔；
- 行政级：违规处理可由监管部门责令改正、警告、没收违法所得直至罚款，应用商店可据此下架相关产品；
- 刑事级：已公开信息并非刑法豁免区。两高关于办理侵犯公民个人信息刑事案件的解释明确，非法获取、出售公民个人信息可构成侵犯公民个人信息罪；把依法公开的信息批量爬取、清洗后整库出售，交易对价与规模达到入罪标准的，同样可能被追究。出售、提供公民个人信息的入罪标准见出售、提供公民个人信息，会构成犯罪吗？；批量抓取网站数据的边界另见爬取别人网站的数据，违法吗。
四、操作层：发现被越界再利用怎么办
固定使用场景
截图保存对方展示、销售、使用你信息的产品页面、报价单、推送记录，注意保存含时间与主体的页面。
发出明确拒绝
书面向处理者声明拒绝其处理你的个人信息，要求说明信息来源、处理范围并删除；拒绝表示本身要留痕。
追来源
要求对方说明合法公开的依据；来源属非法流出的，直接转入投诉与报案程序。
双线处置
向网信部门（12377）投诉违规处理；涉倒卖的向公安机关报案，同时评估个人信息是否含敏感字段以主张从重情节。
民事索赔
拒不删除或已造成损害（被骚扰、被错误画像、被拒贷）的起诉主张，举证按场景距离、字段敏感度、目的三点组织。
五、常见误区
- 误区一：网上能搜到的就能商用。 可见性不等于可用性，商用目的与公开场景距离、字段敏感度要重新过尺。
- 误区二：我拒绝过了，但对方说没收到。 拒绝以可留痕方式送达即生效，EMS 函件、平台投诉编号都是送达证明。
- 误区三：企业公示的信息含身份证号，采集了也不违法。 公示的合法范围以公示目的为限，超范围字段（如完整证件号）的聚合使用照样越界。
- 误区四：匿名拼接就不算个人信息。 拼接后能识别或可识别到特定自然人的，仍属个人信息，匿名化才是真正的出口，而匿名化要求无法识别且不能复原。
六、问答
收束一句：已公开信息的合法区是“来源合法＋场景相当＋目的正当＋可拒绝可删除”，四项俱全才有“合理”可言。拒绝后的删除路径见能要求平台删除我的个人信息吗？说说「被遗忘权」；免同意情形的整体框架见不经同意也能用你的个人信息？六种合法情形与企业最容易踩的两个坑。
以上内容为一般性法律知识分享，不构成正式法律意见；具体案件请结合证据情况咨询执业律师。