1. 引言
行政处罚决定公开，是我国推进行政执法“三项”制度改革的延续，也是大数据时代下推动监管、推动透明政府建设的实践延伸。2015年6月，国务院办公厅就政府信息公开和数据的开放做出了具体规定：要求自做出行政处罚决定之日7个工作日内公开。。2019年4月，新修订的《中华人民共和国政府信息公开条例》(以下简称《政府信息公开条例》)公布，明确将行政处罚决定纳入政府信息公开的范畴。2021年1月，新修订的《中华人民共和国行政处罚法》(以下简称《行政处罚法》)公布，第48条规定，具有一定社会影响的行政处罚决定应当依法公开。
由此可见，政府信息公开作为我国在逐渐推进透明政府的建设中的重要环节，对于行政处罚决定公开的要求，也随着立法的精细化与具体化而随之更加明确。行政处罚决定公开所带来的制裁性效果能够对社会公众产生良好的威慑及警示监督的效果，同时也能弥补刑法所未能涉猎的轻度违法领域。大数据与信息技术的运用，使得个人信息收集与识别能力被大力提升，导致信息主体因个人信息泄露所遭受权益侵害的事件层出不穷，同时造成第三人利用公示的个人信息对信息主体造成危及人身或财产方面犯罪的风险。因此，由行政处罚决定公开而导致行政相对人面临个人信息泄露所带来的风险问题不可忽视。因此，平衡行政处罚决定公开与个人信息保护的两种需求，确保行政处罚决定公开制度的功能得以有效发挥的前提下兼顾保障行政相对人个人信息及隐私的合法权益，规范行政主体执法行为对个人信息的保护，是当下亟须解决的现实问题。
2. 问题的提出
2021年7月31日，歌手吴某因涉嫖娼被北京市公安局朝阳分局依法行政拘留。1本案件经由在某社交平台上公布后，为满足部分网民对吴某处以行政处罚的案件细节的探求，有关行政机关将案件具体情况在互联网平台上公开。同年9月，钢琴家李某因嫖娼被北京市公安局予以行政处罚，同样是因社会公众对该案件细节的探求，有关机关将案件卷宗所记载的具体细节在互联网平台上公开。22014年，演员黄某因嫖娼被北京公安于某社交平台予以通报。3随后，北京公安将该案件的实录、案底照以及电子卷宗公布在网络平台上。
上述系列案例的共性在于：行政相对人均为具有一定社会知名度的公众人物。在针对其所作出的行政处罚公开后，行政相对人的个人信息也随之被公开，由此引发了社会热议。诚然，作为社会公众人物，其一言一行对社会大众具有示范和榜样作用，其失德行为所遭受的舆论制裁严苛于普通群众，但这样的结局是存在其合理性。但值得思考的是，因行政处罚决定的公开致使行政相对人陷入社会舆论狂潮，并承载社会所给予的评价与制裁，更甚者讲行政相对人陷入“社会性死亡”境地，这种后果对于行政处罚相对人来说是否过于苛责？一旦简单直接公开行政相对人的身份信息及违法信息后，所引起的社会压力和连锁反应是否与其应当受到的行政处罚相匹配，是否与其违法行为程度相匹配？被予以行政处罚的当事人是否还拥有诉请保护其个人信息及隐私的权利？如果要在行政处罚决定公开下实现对行政相对人个人信息权益给予法律上的保护，是否可以直接援引《个人信息保护法》中的相关规定？若能援引，那么又如何与行政处罚决定公开制度相衔接？如果能够衔接，在衔接中的具体运行规则又是哪些呢？
在当前大数据时代下，个人信息的保护愈来愈受到重视，然而行政处罚决定的公开惩戒、警示功能实现又会导致行政处罚主体忽视对个人信息保护的需求，致使个人信息不加甄别后公开所引发个人信息权益的受侵害之嫌 [1] 。因此，存在侵犯个人信息及隐私权风险可能的行政处罚决定，需要以法的“谦抑性”为导向，重新考虑保障行政相对人个人信息及隐私等合法权益，妥善处理行政相对人的个人信息进行后再予以公开。
3. 行政处罚决定公开中个人信息保护的实证分析
行政处罚决定公开与个人信息的关联程度的大小，取决于行政处罚决定的内容。针对不同违法行为会作出不同的行政处罚决定，而违法行为会直接决定是否与行政相对人的个人信息的关联性程度。因此，要探讨行政处罚决定与个人信息之间的关联性，首先要根据行政处罚决定所针对的违法行为对行政处罚决定进行分类。其次，行政处罚决定的内容由违法行为决定，违法行为则由其所侵犯的利益所体现。最后，根据违法行为所侵犯的法益，即行政处罚所维护的法益，对行政处罚决定进行分类。分类完毕后，根据不同类型的行政处罚决定来分析其与是否与个人信息保护的问题相关联，是否存在侵犯个人信息的风险。
3.1. 监管类行政处罚决定
监管类行政处罚决定，是指受政府监管的行为或者团体违反相关管理规定而被作出的行政处罚决定 [2] 。监管类行政处罚决定中的行政相对人一般为法人组织，例如企业、公司或社团组织等。此类违法行为多与社会公共利益紧密相连，行政相对人的违法行为在很大程度上会影响到社会的稳定及发展，因此具有一定的社会性质。案例如下，见表1：
Table 1. Case 1 Bull Group Co Ltd monopoly agreement
表1. 案例1公牛集团股份有限公司垄断协议案4
按照行政处罚决定的内容及结构进行划分，其中包含重要内容及违法信息的主要体现在：行政相对人的基本信息、行政相对人的违法事实以及行政处罚信息三部分。
首先，案例1是针对企业法人所作出的行政处罚决定。显而易见，在以企业法人等组织作为行政相对人的行政处罚决定中，对于个人信息的公示普遍较少，至多会将法定代表人的姓名进行公开，其余个人信息普遍是没有被公开的。由此可知，监管类行政处罚决定中所包含的个人信息体量较小，因此该类行政处罚决定与个人信息的关联程度较低，也不会出现因行政处罚决定公开而出现的侵犯行政相对人信息及隐私的问题。另外，从该行政处罚决定所维护的权益角度进行分析可知，行政相对人的身份多为企业等法人组织，而非为个人主体。
监管类行政处罚决定关涉社会利益，这样就决定了监管类行政处罚决定因对社会具有一定影响被列为依法应当公开的行列。综上，行政处罚决定公示的信息并不会涉及到个人信息，也并不会存在侵犯个人隐私的可能。该类行政处罚决定多为一种对社会公众基于风险的提示、引导和指导，以维护公共利益为目的，防止风险的扩大化。因此，对于此类的行政处罚决定维护的是社会公益，属于依法应当公开的行政处罚决定。所以，该类行政处罚决定不在本篇论文讨论的范围内。
3.2. 社会管理类行政处罚决定
社会管理类行政处罚决定，是指自然人主体违反社会治安管理法等规章制度所产生的违法信息 [2] 。例如：交通违章处罚信息、治安管理处罚信息等。社会管理类行政处罚决定书的主体多为自然人，被处罚的行为多为因违反道德或社会公序良俗的行为。这类违法行为所造成的后果，一般与自然人权益相关，与社会影响牵涉较小，因此该类行政处罚决定的社会属性不如监管类行政处罚决定。具体案例如下，见表2：
Table 2. Case 2 Sun Moumou allegedly organised tourism activities at unreasonably low prices, enticed tourists and obtained improper benefits such as kickbacks by arranging shopping
表2. 案例2孙某某涉嫌以不合理的低价组织旅游活动，诱骗旅游者，并通过安排购物获取回扣等不正当利益案5
案例2孙某某涉嫌以不合理的低价组织旅游活动，诱骗旅游者，并通过安排购物获取回扣等不正当利益案。该案中，自然人孙某因违反《旅游法》，而被给予责令改正违法行为，罚款2000元的行政处罚案件。
从法益角度分析，孙某的以不合理低价组织旅游活动，诱骗旅游者并获取回扣是侵犯了游客的消费者权益及财产权所作出的行政处罚决定。根据孙某的违法事实可知：其违法行为主要为诱骗游客，以安排购物的手段获取回扣，孙某侵害的是游客的消费者权益及财产权，该权益为私人权益并不属于社会利益。但是存在如果不对孙某的违法行为进行惩处，则会助长旅游行业的不良风气，侵害更多消费者的权益的情况。因此，本质上孙某所侵犯的法益仍是自然人的权益，不具有社会属性。
从该行政主体角度分析，该行政处罚决定与赵某某猥亵案相比，作出行政处罚决定的行政机关为文化广电旅游局，不具有赵某某猥亵案的行政主体的特殊性。因此，该行政机关在对该行政处罚决定进行公开时并未对处罚的内容进行审慎考虑，以至于出现侵犯个人信息及隐私的情况。
从行政处罚决定的内容分析，在对违法事实进行公开部分，对行政相对人的个人信息了列举：姓名、身份证号码以及住址。根据表2所展示的内容可知，该行政主体公开的行政处罚未对个人信息进行妥善处理。行政相对人的姓名进行了全面展示，身份证号码进行全覆盖遮蔽，对住址则是将具体街道名称采取了覆盖。这种对个人信息采取的措施实为不妥，特别是对行政相对人住址的处理更是暴露了行政机关在对行政处罚决定公开中的漏洞。在如今的地址检索平台中，只需输入小区名号，辅之任一能够限缩的其他地址信息，如省或市或区，均能进行精确定位。行政机关在省、市、区、路、小区名及门牌号均完备的情况下，仅对该地址的所属街道名称进行覆盖，属实为一种无效的保护措施，无疑是会对行政相对人的隐私安全带来巨大隐患。他人可借该行政处罚决定公开所展示的姓名及住址对其进行精准识别，结合手段获取该信息主体其他个人信息，对该行政相对人采取诈骗、盗窃个人信息等不法行为。
由此可见，当行政机关缺乏对行政处罚决定公开的审慎以及对敏感个人信息的识别能力时，在一定程度上会成为侵犯个人信息的主体，或是带来使行政相对人遭受人身及财产损害的风险。因此，在行政处罚决定公开中，应当对行政机关的公开行为进行规范，对个人信息的公开进行审慎妥善处理，避免造成对行政相对人权益二次伤害。
社会类行政处罚决定公开与个人信息的关联程度最高，这也就决定了在社会类行政处罚决定的公开中极易出现对行政相对人信息造成损害的情况。再者，因行政机关的不同致使行政处罚决定在公开中的形式也不尽相同，所以导致各行政机关在处理个人信息时存在很大的差异。除却公安机关受到监管的较多且执法行为更为规范外，多数的行政机关对处罚决定公开的行为并无统一的规范行为，并且对个人信息的处理也无确定的章法，因此导致行政机关在行政处罚决定公开中难以妥善处理个人信息并保障行政相对人的合法权益。所以，行政处罚决定公开亟须规范化的指引来约束各个行政机关的公开行为，保障行政相对人的个人信息及隐私权益。
3.3. 小结
如果不对行政处罚决定进行分类讨论，将难以厘清不同行政处罚决定的共性与个性 [3] 。因此，行政处罚决定的分类应当从其所维护的法益为出发点进讨论，不同类型的行政处罚决定，其维护的法益也不尽相同，与个人信息关联程度也有所不同。如果该行政处罚决定维护是社会法益，那么该行政处罚决定具有公开的必要；如果维护的是私人法益，该行政处罚决定因此不具有社会属性，即不存在因公开造成损害社会公共利益的情况。在上述两种行政处罚决定中，社会管理类行政处罚决定因其所维护的法益区别于其他两种类型的行政处罚决定，所以在行政处罚决定公开中肩负其他行政处罚决定所不具有的个人信息保护的义务。监管类行政处罚决定的公开目的更多因其涉及社会利益以及公众利益，如不公开不足以惩戒行政相对以及向社会公众提示风险，难以完善国家及社会信用体系的构建。诚然，行政处罚决定公开的目的在于通过对他人的处罚对社会公众起到警示、教育及指引的作用 [4] ，因此行政处罚决定在公开中的重点应是该违法行为以及针对违法行为作出的处罚，而不是该案件当中行政相对人的个人信息。
综上，行政机关应当承担在行政处罚决定公开中对行政相对人个人信息保护的责任，即在厘清行政处罚决定的类型前提下，对当中所涉及的行政相对人的个人信息及隐私进行去标识化处理后再予以公开 [5] ，有且仅在不公开涉及个人隐私的政府信息会对公共利益造成重大影响的，需要经过行政机关依法或理性裁量后对上述信息决定是否公开 [6] 。
4. 行政处罚决定公开与个人信息保护的困境
4.1. 理论上权益保护位阶的抉择困境
行政处罚决定公开与个人信息的保护两者之间的冲突本质上为知情权与隐私权为代表的公权益与私权益位阶抉择的问题。《政府信息公开条例》第5条均强调了政府信息以公开为原则。2021年《行政处罚法》第48条规定了关于行政处罚决定应当依法公开的情形。根据上述法条可解读出：行政法领域中，行政处罚决定公开所维护的公权益的位阶并非一定在个人信息保护的私权益之上。公法领域对个人信息及隐私的保护是小心而又谨慎；对于私权与公权的权益抉择问题，在公法领域中会将私权益的保护置于公权之上，即公权行使是必然，但必须以不损害私权益为前提。可以说，行政法领域虽强调了保障社会公众知情权的重要性，但同时也考虑到对隐私权的维护，允许在特殊情况下隐私权优先于知情权。因此，在公法领域中对私权益的保护是小心而又谨慎的。在私法领域中对于私权与公权的权益抉择刚好与公法领域相反：民法对私权益的保护，即隐私权，实则是需要让位于公权益，即知情权、监督权等。民法学界认为，公民享有法律保护的隐私权，但隐私权在某些情况下须让步于知情权。例如，如果对某人隐私权予以保护会致使公共利益造成不利的影响，政府则会将公共利益置于个人隐私权之上，选择牺牲少数人的隐私权而保护社会公共利益进行相关信息的公开。因此，在民法学界，民法强调的权利本位非为以个人利益为本位，如果私权益的保护有碍公权力的行使的，应当牺牲该私权益以公权力的实现。如此纠结的立法凸显了知情权与隐私权在我国法学界中对两者地位孰高孰低的分辨实在困难，显而易见知情权与隐私权两者之争在行政处罚决定公开中更甚。
4.2. 行政处罚决定公开立法规范缺陷
4.2.1. 公开原则之间的冲突
《行政处罚法》第4条规定：行政处罚遵循公正、公开的原则。因此，有学者对该条款进行解释时认为，行政处罚决定公开应当遵循必须公开的原则 [7] 。行政处罚决定的公开与公民知情权、监督权密切相关，上述权利均为公民的宪法权利，所以行政处罚决定的公开是保障公民能够行使参与政治管理的宪法权利的前提。因此，行政处罚决定以公开为原则，不公开为例外原则具有强有力的宪法为其背书。除此之外，在行政处罚决定公开在其功能的实现上，能够在执法过程中帮助执法机关通过行政处罚决定公开倒逼行政相对人因顾及社会评价、声誉及名誉而积极履行相应义务，从而警示社会遵纪守法。
然而，对行政处罚决定的公开，也有学者认为行政处罚决定公开应当以“不公开为原则”，即一般的行政处罚案件，原则上无须主动公开 [1] 。因为，一般的行政处罚决定不涉及社会利益，或是不公开会对社会造成重大影响，如果予以公开，可能会侵犯行政相对人的隐私权 [8] 。除此之外，对行政处罚决定进行全公开的话，无疑加重行政机关的工作负担，一定程度上过度消耗了人力和物力资源。《行政处罚法》第48条：“具有一定社会影响的行政处罚决定应当依法公开”。《政府信息公开条例》第15条：涉及商业秘密、个人隐私等公开会对第三方合法权益造成损害的政府信息，行政机关不得公开。按照上述条款解释，则是均对行政处罚决定的公开采取了限制性规定。行政机关所作出的所有行政处罚决定并非全部予以公开，而是该行政处罚决定具有一定社会影响时才应当依法公开。
因此，行政机关对于其作出的行政处罚决定是按照原有第4条规定进行无差别公开，还是按照第48条对行政处罚决定进行“具有一定社会影响”的筛选后再公开，并无相关的行政法律规范或司法解释给出具体的指引。
4.2.2. 公开的边界模糊性
《行政处罚法》第48条规定，是为对行政处罚决定的公开加以了“具有一定社会影响”的限制 [9] 。但是除该条款之外，并无其他条款或解释对“具有一定社会影响”的标准或认定办法给予确切的指引。如果无法对第48条“具有一定社会影响”的给予合理且统一的认定标准或路径，那么该条款将会导致不同行政机关在公开行政处罚决定中肆意自由裁量。
在缺乏对“社会影响”认定的解释下，第48条对于行政处罚决定公开中的个人信息保护实则不具有正面推进效用。原因在于，根据第48条规定具有一定社会影响行政处罚决定应当依法公开，但“一定社会影响”该如何解释，即社会影响是与社会公共利益相关抑或是与社会风气良俗相关、如何判定“一定”程度的标准均无定论。如果社会影响与社会公共利益相关，那么针对公民所作出的行政处罚决定是否对社会公众具有一定影响，该行政处罚决定是否有必要全部公开，或者是否需要通过对该公民的个人信息全部公开来发挥其警示、指引及教育的社会作用。如果行政机关选择将针对公民所作出的行政处罚决定的全部公开来实现行政处罚决定公开的惩戒、威慑、指引及教育功能，那么在该情况下要对行政相对人采取个人信息保护措施是毫无意义的。
4.3. 行政处罚决定公开功能定位不清晰
行政处罚决定公开制度的功能在于强化公民及社会对行政机关在执法过程中的监督并通过行政处罚决定公开制度向全社会警示风险及维护公共利益 [8] 。在近几年的运行过程中，行政处罚决定公开制度目的和功能不再如以往单一，其外延均有不同程度的丰富。行政处罚具有多种类型，以申诫罚为例，该种处罚最为明显的效用为对行政相对人的声誉、名誉造成负面评价。章志远教授认为行政处罚决定公开是一种声誉罚，即通过行政处罚决定公开倒逼违法者约束自身行为，同时对警示社会公众以此为戒；这种惩罚效用的实现建立在对行政相对人身份信息、违法行为及处罚内容的完全公开之上。因此，在实践过程中，行政处罚决定公开本身增加了“声誉制裁”的功能，发挥了声誉罚的作用。在特殊领域中，如生态和食品安全，需要通过行政处罚决定公开的声誉罚功能对上述公益进行倾斜性保护；行政决定制度公开作为声誉罚具备传统法文化基础，因为此正是“传统耻感文化”的延伸 [10] 。不能否认的是行政处罚决定公开本身具有一定惩戒性，公开行政相对人的违法行为，势必会直接影响到行政相对人的名誉及信誉 [11] ，而这种在社会舆论层面所带来的制裁性，在很大程度上超越了行政处罚本身给予的制裁效果。声誉罚的本质是在法律执行系统中引入社会评价机制。如果直接将声誉制裁的效果作为行政处罚决定公开制度的功能，那么可能会造成行政处罚体系的功能紊乱。
再者，2021年修订的《行政处罚法》在行政处罚的种类中增加了“通报批评6”这一处罚类型。对于该处罚种类的解释，有地方政府执法部门认为：通报批评为声誉罚的一种，是行政机关向违法者发出的警戒，对其名誉、荣誉信誉施加影响，引起精神上的警惕。7因此，本次的行政处罚法的修订将声誉罚的功能以特定的“警告、通报批评”的处罚类型体现出来。所以，直接将所有行政处罚的公开都视为具有声誉罚的效果，那么《行政处罚法》第9条第1款所规定的“警告、通报批评”的处罚将在行政处罚体系中处于被架空的地位，增补“通报批评”也将毫无意义。
最后，将行政处罚决定公开制度视为声誉罚，难免会存在对行政相对人造成二次处罚的情形，违背了《行政处罚法》第29条8的基本原则。当事人应其违法行为受到执法机关的处罚后，针对该违法行为的追责已经实施完毕。如果将行政处罚决定的公开视为声誉罚，政府仅是为完善监督、保障公众知情权的义务的履行而公开行政处罚决定的行为视为又一行政处罚，无疑是在原已执行完毕的追责之后，再次进行追责并加以惩处。
4.4. 两种制度衔接的断层
近年来，大数据等互联网技术的应用，使得对个人信息保护的需求愈演愈烈。2021年，《个人信息保护法》于11月正式实施。在此背景下，《行政处罚法》关于行政处罚决定公开规定的细化，仅是在行政处罚公开限制性条件方面进行了增补。如果说“具有一定社会影响”属于行政处罚决定公开在考虑社会情况下对隐私权以及个人信息保护所作出进一步考虑，但该规定确实会存在难以将个人信息保护及隐私纳入行政处罚决定公开考虑的范围，两种制度无法实现衔接的互洽的情况。
首先，《行政处罚法》第4条规定的行政处罚决定公开原则为“以公开为原则，以不公开为例外”。根据该条款的解释，行政处罚决定应是无一例外地被公开。行政处罚决定公开的目的在于对违法行为的惩戒，对社会公众的警示和教育以及对指引社会公众规避风险。如果将行政相对人的身份信息和违法信息公示得越详细，那么行政处罚决定目的的实现会更有利。因此，在这种情况下将个人信息和隐私的保护纳入行政处罚决定公开斟酌的范畴概率是较小的。所以在政务公开网站页面进行检索发现，或多或少的行政处罚决定在对行政相对人或第三人的隐私及个人信息都存在过度公开的情形。
其次，“具有一定社会影响力”是行政处罚公开的限制条件。但现有法律对“具有一定社会影响力”的认定仍无统一的论证，不同的学者具有不同的观点。根据前文所述，对“具有一定社会影响力”的认定的核心在于公共利益，但是对于是否影响公共利益认定又存在争议。例如，知名人物因违法治安管理规定的处罚，这种违法行为仅是其违反社会伦理道德。虽然知名人物的失德的确会引起社会舆论狂潮，特别是明星或演艺圈偶像，其行为很大程度会成为青少年模仿的对象，所以知名人物的行为规范需要被特别注意。但这并不是知名人物违反治安管理规定被予以行政处罚后被要求公开所有违法细节的原因。行政处罚决定公开的目的应当符合第48条的规定，不能因身份的特殊被予以“特殊”的对待 [2] 。鉴于此，行政处罚法第四十八条虽对行政处罚决定公开设定了限制性条件，但该条件内涵和外延的解释或过于模糊，难以将其与个人信息保护制度进行联结，也无法在行政处罚决定公开中直接援引个人信息保护来实现对行政相对人或第三人隐私保护。
5. 行政处罚决定公开中建立个人信息保护机制的建议
5.1. 以“谦抑性”为导向进行权益抉择
知情权与隐私权之间的权益抉择困境，是由于《行政处罚法》所代表的社会权益与《个人信息保护法》《民法典》所代表的私权益发生冲突时，无法选择是公权益在先还是私权益在先而导致的。因此化解该冲突的解决方式，首先需要明确两种权益抉择的具体场景，其次根据场景来选取优先适用的法律规范，最后根据所选择适用的法律规范来选取恰当的规则来解释权益位阶应当如何选择。
首先，两种权益位阶抉择的适用场景是基于行政处罚决定公开下实现对个人信息的保护。在此场景中，有两个重要因素：行政处罚决定公开和个人信息保护，因此在进行权益位阶抉择时需要参考以上两个重要因素背后所代表的利益。行政处罚决定公开维护的是社会公众对政府工作监督的权利，是通过对行政违法行为的公开实现对社会公众的惩戒、警示及指引作用。个人信息保护所维护的是自然人所拥有的对其所属信息的所有权、使用权等人格权利，并能够排除他人对其个人信息权益造成伤害采取救济措施的权益。在上述场景下，两种权益位阶的抉择需要兼顾行政处罚决定公开和个人信息保护各自所维护的利益。但是注意的是，个人信息保护的实现是被限缩在行政处罚决定公开范畴内的，而不是在民法领域当中所探讨的个人信息保护。因此，两种权益抉择的适用场景应当是以行政处罚决定公开为前提，并在此前提下探讨对个人信息保护。
其次，根据前文对适用场景的分析可知，行政处罚决定公开是探讨个人信息保护的前提，那么行政处罚决定公开的位次是优先于个人信息保护的。所以在法律规范的选择当中，同样要遵循行政处罚决定公开位次的优先性。那么可以确定，《行政处罚法》的适用应当优先于《个人信息保护法》。《行政处罚法》中关于两种权益抉择，在前文中已有具体分析，即行政处罚目的虽是维护公共利益，但行政处罚公开的行使不得损害公民的合法私权益，如果公权力的行使确有必要对公民私权益造成侵害的，应当将其侵害降低至最小限度。如此，两种权益的抉择具有了较为清晰的规则指引：在保障公民的个人信息及隐私等权益下，进行行政处罚决定的公开。
最后，关于权益抉择的具体解释规则。两种权益的抉择虽有了清晰的规则指引，但是还需对规则予以具体解释，厘清个人信息保护与行政处罚决定公开各自的需求，在兼顾两种制度利益与作用发挥的情况下，平衡两种制度在权益位阶的抉择。根据前文分析，个人信息保护是在行政处罚决定公开场景中探讨的，所以行政处罚决定公开的位次高于个人信息保护，因此在对两种制度的权益抉择的规则解释时应当以行政法理念及原则为主。行政法是用于规范行政机关执法行为的法律规范，要求行政行为的做出必须遵循合理合法原则，强调行政机关在执法过程中的“谦抑性”。行政机关作为权力机关，其自由裁量的范围大且容易产生滥用权力的情况，所以要对行政机关及其行政行为予以监督和限制。外部的监督和限制来自公民与社会以及法律的规制，而内部的监督则需要行政机关秉持“谦抑”和“谨慎”的态度予以自我规制。行政权谦抑性与行政权的正当性是紧密相连的，谦抑的行政权才是正当的，而正当的行政权必须是谦抑的。行政处罚决定公开应当注重公民意愿的表达，尊重公民对个人信息保护的需要，弱化行政处罚决定公开的“强权”及“优权”意识。
综上，行政处罚决定公开与个人信息保护的权益位阶的抉择，是以行政处罚决定公开作为个人信息保护的前提，所以行政处罚决定公开位次优先于个人信息保护，进而选取适用法律规范位次同样是以《行政处罚法》为主，《个人信息保护法》为辅。因此，在以《行政处罚法》作为首要参考的法律规范时，需要遵循行政法理念与原则，需要遵循行政法的“谦抑性”以及合法、合理的原则。如果该行政行为的行使会造成公民个人信息权益的损害，行政机关则应当重新考虑公权力的行使，在谨记正当行政权的行使必定是谦抑的理念和态度下实现行政处罚决定公开下的个人信息保护。所以，行政处罚决定公开和个人信息权益位阶的抉择应当以行政权行使的谦抑性为导向，在行政处罚决定公开中尊重公民个人信息保护的需要，保障公民个人信息的合法权益，兼顾行政处罚决定公开与个人信息保护的目的的实现与功能的发挥。
5.2. 重释行政处罚决定的公开立法规范
《行政处罚法》中关于行政处罚决定公开的原则和限制条件的规定存在逻辑不能自洽的情况。因此，针对上述问题，需要厘清行政处罚决定公开的原则和限制条件的逻辑，才能明确行政处罚决定公开的界限，方能在实践中实现在行政处罚决定公开下的个人信息保护。
首先，行政处罚决定公开原则的法律规定应当在其后加以但书进行限缩。即将《行政处罚法》第48条规定移至第4条，作为第4条的第4款进行说明。即“行政处罚遵循公正公开的原则……，但是仅具有一定社会影响的行政处罚决定应当依法公开。”其次，排除“公开为原则”的要求。“以公开为原则，不公开为例外”的原则体现了我国政府在提升其透明度方面的改进，但是，如前文所述，行政处罚决定拥有区别于其他政府信息的特殊性——直接与行政相对人的隐私及个人信息权益、声誉等密切相关。如果政府一味追求实现社会对政府工作的知情权和监督权，而忽视行政相对人的合法权益并不是妥当之策。因此，行政处罚决定公开的原则应当将“公开为常态”排除在外，有且仅对社会具有一定影响行政处罚决定进行完全公开，其余行政处罚决定应当以对违法行为为公开重点，对于行政相对人的身份信息应当采取限制公开或不公开的措施。
再次，对“具有一定社会影响”进行细化解释。“具有一定社会影响”认定的核心要点在于：行政处罚决定是否涉及公共利益。因此，行政处罚决定应当以其所依据的法律规范意欲保护的法益类型入手来分析是否涉及公共利益 [7] 。如果法益属于超个人法益，即所谓的公共利益；但如果只是个人法益则无所谓公共利益之说。但是需要注意的是，社会管理类的行政处罚决定以维护社会秩序与稳定为目的，具有一定的社会性质，但并不代表社会治安管理类行政处罚决定普遍具有超个人法益，即社会公共利益的情形。此类行政处罚决定所规制的违法行为罪不至刑法所规定的违法程度，而是多为社会公德所不能容忍的轻微违法行为。所以该类行政处罚决定不具有较强的社会影响，在对其公开时应妥善处理行政相对人的个人隐私及信息，尽量对不必要公开的身份信息进行去标识化处理。
综上，行政处罚决定公开的原则应当予以限缩：以不公开为原则，公开为例外，有且仅在该行政处罚决定所依据的法律规范保护社会法益，该保护的法益对社会具有重大影响的，才有公开的必要；其余行政处罚决定应当以违法行为为公开的重点，对行政相对人的身份信息采取去标识化处理后再予以公开，保障行政相对人的个人信息及隐私等合法权益。
5.3. 建立行政处罚决定公开下的个人信息保护的救济规则
5.3.1. 建立行政处罚决定公开中个人信息识别路径
个人信息的识别过程一般为：某识别主体通过某种识别方式识别到该信息指向的特定自然人 [12] 。在明确个人信息识别基本原理后，应当结合行政处罚决定公开的特殊场景下选取适合其进行个人信息识别的路径。在基于个人信息保护的识别主体、识别对象以及识别方式三方面下构建行政处罚决定公开中敏感个人信息的识别机制 [13] ，以求更好指引行政处罚决定公开的操作，在保障个人权益的基础上实现良法善治的要求，促进行政处罚决定公开制度与个人信息保护识别制度之间的有机融合。
关于识别主体的认定，结合具体情况看：行政处罚决定公开下的敏感个人信息的识别，主要由行政机关完成。根据主观学说的观点，适格的识别主体应以个人信息处理者自身的识别能力为判断标准 [14] 。另外，《个人信息保护法》第5章的规定：个人信息处理者承担对他人个人信息的安全保护义务的前提为具备能够识别该个人信息的能力。因此，个人信息处理者因具备对个人信息分类管理的意识与能力，才能实现在此基础上对个人信息根据敏感程度的进一步分类。只有信息主体具有对个人信息识别的能力，才能在识别能力不足或识别不当的情况下承担其因此产生的责任，即职能责任以及侵权责任。行政机关在作出行政处罚时要对当事人收集其基本个人信息，在此环节中行政机关需要具备对个人信息识别能力，且仅在其具有识别能力的前提下，才能对个人信息进行敏感与否的分类；而行政处罚决定公开中的个人信息保护的基本要求，就是以实现对所收集到的当事人的基本信息进行以敏感程度为基础的识别。因此，行政机关是能够进行敏感个人信息识别的适格主体。
识别对象，指在识别过程中对身份或行为进行识别定位的客体。在个人信息保护法领域中，对于识别对象的客体主要集中在身份识别与行为识别的讨论。识别对象，指在识别过程中对身份或行为进行识别定位的客体。行政处罚决定公开目的在于通过公开违法行为，对社会公众起到警示、教育的作用，在此背景下，行政处罚决定中个人信息的识别客体不在于行政相对人的行为，而是行政相对人的身份。因此，以身份作为识别对象的，还要明确的该身份识别中的社会标识符9与自然标识符10。上述两种要素的划分对于个人信息的敏感程度的认定具有重要意义。正如《个人信息保护法》所保护的主体，是处在社会中的个体，因此敏感个人信息的认定，要求该身份信息必须包含社会标识符，如民族信息、社团会员信息、种族信息等。如果单凭自然人的生物信息等自然标识符对个体进行定位，然而该个体不存在因身份信息的泄露会导致其处于社会中的权益遭到损害的情形，那么就应当将该种情形纳入《个人信息保护法》保护的范畴。因此，在行政处罚决定中的个人信息区分路径应当为：是否属于身份信息；该身份信息的标识符是自然还是社会；具有社会标识符的个人信息如果被泄露或违法使用是否会对信息主体造成社会层面的侵害。
识别方式，是指某类信息指向特定自然人的途径。根据《民法典》第1034条规定，个人信息的识别方式有两种，一类为单独识别11，另一类为不同信息结合识别12。随着大数据和互联网技术的发展，实践中所采取的识别方式愈加倾向于间接识别。但间接识别的方式在实践中也产生诸多问题：对于多个单个个人信息相结合进行识别的情形无法给予明确的识别过程的指引，即是以多个单个个人信息形成的整体进行识别指向特定自然人，还是以单个多个个人信息分别进行识别后所得出的识别结果，无法进行详细说明。原因在于个人信息保护法所保障的利益是信息主体的复合利益，包括人身、财产等；个人信息保护法中所指向的个人信息正是与上述利益相关联的个人信息。如果单个个人信息进行识别后的结果与信息主体的利益毫无关联的，或者单个多个个人信息识别后的结果整合无法与信息主体的利益相关联的，不属于个人信息法所保护的范畴。由此可见，多个单个个人信息进行整合所形成的整体信息再进行识别可能会减小上述个人信息在识别过程中的限制，并扩大与信息利益相关联的范畴。因此，行政处罚决定公开过程中对个人信息的识别方式在采取间接识别方式的基础上，可以将个人信息的范畴限定在与信息主体利益相关联之中，且能防止一定程度上剔除与信息主体利益无关联的其他不重要的个人信息。除此之外，使用间接识别的标准，无需再对每种类别个人信息的敏感程度进行划分。只要对个人信息进行间接识别，通过对多个单个个人信息进行体系化的识别，如果识别结果直接关联信息主体的利益的，则应当将上述信息均作为敏感信息进行隐蔽处理。
综上，行政处罚决定公开中对个人信息的识别路径主要为：一确认作出行政处罚的行政机关为个人信息识别的适格主体；二整理行政处罚决定公开中所有的个人信息，确认应当识别的对象为能够通过该信息进行身份认定的身份信息，厘清身份信息当中带有社会标识与自然标识的信息；三运用间接识别的方式，对上述个人信息进行体系化解释，分析单个多个信息条整合而成的信息面是否在被泄露或经违法手段后会与行政相对人在社会层面的利益减损相关联。如果相关，则应当将上述信息均列为敏感信息，并对上述信息进行割裂式隐匿，即保留一类最具有大众化的个人信息，即姓名，其余个人信息进行完全隐匿。
5.3.2. 建立行政处罚决定公开中个人信息申请撤回制度
个人信息的申请撤回机制，是个人信息保护中的核心权益。个人信息的申请撤回与个人信息的同意相对应。个人信息的同意是指个人信息处理者在收集、使用个人信息的，应当征得该信息主体的同意。个人信息的撤回，则是与个人信息相对应的权利，基于信息主体的同意，才有对信息撤回的必要。个人信息的撤回权，是指个人信息主体具有的排除或不再同意原曾授予他人使用个人信息继续处置的权利 [15] 。这两种机制，构建了个人信息保护的框架，因此，如果需要在行政处罚决定中探讨个人信息的保护，则需要在行政处罚中明确行政机关在获取个人信息时征得行政相对人的同意，给予行政相对人对其个人信息申请撤回救济的权利。
我国现阶段对涉及个人信息保护设置同意权的法律规范如下：《个人信息保护法》第13条规定：个人信息处理者在取得个人地同意后方可处理个人信息。《网络安全法》第41条网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。《农业行政处罚案件信息》第7条第2款则规定了权利人对于行政案件信息公开的同意权。《食品药品行政案件信息公开实施细则》第11条第2款规定：对涉及商业秘密的行政处罚案件信息应经权利人同意公开。由此可见在我国行政法规中，关于个人信息保护的同意权并不多见，更多的是在信息法与数据安全法中被明确规定。对个人信息的使用设立信息主体的同意权意义在于在权利是信息主体对其个人信息权利的处置自由、是享有个人信息权利的体现。另外，在个人信息的处理上征得该个人信息权利人的同意是个人信息处理的正当性基础之一，能彰显出权利人对其个人信息的所有权以及控制权。因此，行政法规中应当可逐步完善该制度，在给予行政处罚中收集行政相对人的基本信息时应当获得行政相对人同意的前提下，后续才能更好为行政相对人申请个人信息撤回提供法律依据 [16] 。
我国《个人信息保护法》于第15条规定关于同意撤回权：基于个人同意处理的个人信息的，个人有权撤回其同意。对于个人信息保护中设置同意撤回权的保障在于：从事前防御的角度以救济信息主体的权益。相较于投诉、举报或复议、诉讼等方式来进行权益的救济方式，会耗时耗力且存在保护滞后的情况。同意撤回权作为一种形成权，能够一般情况下保障信息主体能够自由和快速地行使，从而实现对隐私权益的救济。另外，大数据时代下，信息主体基于当下情况所作出的同意，难以预测该同意是否会在未来带来风险，在此背景下，个人信息的处理对于信息主体来说并不是能够及时被感知的，因此通过设立同意撤回权能够帮助信息主体在获悉个人信息被不当处置之时可快速进行救济。因此，同意撤回权的意义在于通过法律强制赋予信息主体救济的权利，以保障信息主体在作出处置信息的同意后，在情势发生变更的情况下通过意思表示来实现个人权益处于不利情境下的自我救济。
在行政处罚决定公开中个人信息保护的同意与撤回机制的逻辑应当是：政府机关主动告知其必须履行公开的义务，并提供明确、便捷的同意授权和撤回程序，自然人在获悉上述告知的前提下作出自愿有效同意处置个人信息的意思表示，并能在日后情势变更之时可提出同意的撤回。
5.3.3. 建立行政处罚决定公开下的个人信息保护司法救济规则
在行政处罚决定公开中应当建立个人信息司法救济规则。个人信息撤回申请渠道及健全撤回申请制度建立后，应当将其与行政复议及行政诉讼制度衔接。在保障行政相对人损害得以及时止损的情况，能够通过司法程序来弥补受到的损害，并以此推进对行政机关的行政处罚决定公开行为多方位监督。行政处罚决定公开是不完美的，是具有存在瑕疵的可能性。因此对于错误公开的行政处罚决定，即未对行政相对人的敏感个人信息采取去标识化处理措施的，或公开了不被法律规范所允许的行政处罚决定，或是行政处罚决定的内容本身存在错误，或是经申请撤回个人信息但行政机关无作为的，或行政相对人对行政机关的作为不满意的，应当给予行政相对人申请行政复议或提起行政诉讼的权利。
《个人信息保护法》第69条第1款规定，个人信息处理者在处理个人信息时侵害信息主体的个人信息权益并造成损害的，无法证明其无过错的，应当对信息主体承担损害赔偿责任。另外，《政府信息公开条例》第51条规定，公民、法人或其他组织因行政机关公开政府信息时侵犯其合法权益的，有权依法申请行政复议或提起行政诉讼。基于此，行政处罚决定公开应当遵循上述条款的规定，给予行政相对人在采取申请撤回个人信息后无法弥补因行政处罚决定公开对其造成的损失的，通过行政复议及行政诉讼途径进一步保障其合法权益。
综上，以确权、保障、救济及监督的模式建立行政处罚决定公开中对个人信息的保护，方能更加完善行政处罚决定公开中的个人信息保护机制。
NOTES
1《情况通报》，载微信公众号“平安北京朝阳”，2021年7月22日。
2《情况通报》，载微信公众号“平安北京朝阳”，2021年10月21日。
3《演员黄海波因嫖娼被收容教育半年》，载“央视新闻”，2014年5月31日。
4关于公牛集团股份有限公司垄断协议案的行政处罚结果， https://www.zjzwfw.gov.cn/zjservice/matter/punishment/detail.do?unid=330000202021110004&webid=1&guid=330000202021110004。
5孙某涉嫌以不合理的低价组织旅游活动，诱骗旅游者，并通过安排购物获取回扣等不正当利益案 https://www.zjzwfw.gov.cn/zjservice/matter/punishment/detail.do?unid=11330100MB167495572021007&webid=2&guid=9e5f974f-5c87-4850-9f83-3ee2281bc884，2023年4月1日。
6《行政处罚法》第9条：行政处罚的种类：(一) 警告、通报批评。
7《行政处罚种类和设定(一)——《中华人民共和国行政处罚法》释义系列之一》，载《山西林业》，2022年第2期。
8《行政处罚法》第29条：对当事人的同一个违法行为，不得给予两次以上的行政处罚。同一个违法行为违反多个法律规范的应当给予罚款处罚的，按照罚款数额高的规定处罚。
9社会标识符是指自然人在社会中生活中被赋予的能够进行识别的身份信息，包括姓名、职业、荣誉称号等。
10自然标识符则是自然人自出生起所依附于人本身的身份信息，包括虹膜、指纹、血型等带有生物属性的信息。
11单独识别，又称直接识别。是指通过单独的信息就可以定位至该信息主体的识别方式。
12不同信息结合识别，又称间接识别。是指将不同的信息结合在一起进行定位该信息主体的识别方式。