王 聰 解陳薇

宿遷學院，江蘇 宿遷 223800

在發(fā)生疫情、自然災害、意外事故等突發(fā)公共事件的特殊時期，公共利益優(yōu)先的大前提下，如何實現(xiàn)公共利益和個人利益的平衡、信息保護和信息共享之間的平衡，是一個既關(guān)系到個人切身利益又關(guān)系到國家社會穩(wěn)定的大問題。突發(fā)公共事件中涉及的個人信息又有很多是個人的敏感信息，例如新冠患者、密接人員的行動軌跡、健康情況等。這類敏感信息的收集和分析為疫情防控起到了關(guān)鍵作用，如何保護相關(guān)信息，防止它們被非法使用進而損害公民權(quán)益也是非常必要的。

一、敏感個人信息的內(nèi)涵及外延

敏感個人信息的內(nèi)涵和外延在《個人信息保護法》中作了相關(guān)界定，包括不滿14周歲未成年人的個人信息在內(nèi)的諸多個人信息如生物識別信息、財產(chǎn)信息、健康生理信息、身份信息、其他信息等都屬于敏感信息范疇，這種界定強化信息處理人員在敏感信息使用管理中的法律責任，從而更好地保護數(shù)據(jù)主體的權(quán)利。

我國《個人信息保護法》對敏感個人信息“等”一詞的列舉，應當采取“之外”的含義，但其所指的“等”字代表數(shù)量較多，不能一一羅列。雖然沒有明確列出，但由于其在某些情況下，敏感度也很高，應當列入敏感個人信息的保護范圍。但因為每個列舉都含有很多具體的個體資料，因此不能被認為是一個非常完整和敏感的個人信息。所以，如果適用，仍然有必要對敏感的個人信息作出具體的判斷。例如，雖然每個枚舉中包含的個人信息都是保密的，但是某些判斷仍然必須符合“敏感”的法律判斷標準，且該定義的枚舉范圍很廣，不指向特定信息。

二、我國敏感個人信息保護的現(xiàn)狀

2012年發(fā)布的《互聯(lián)網(wǎng)個人信息安全保護指南》指出，個人信息可以劃分為敏感個人信息和非敏感信息?！缎畔踩夹g(shù)隱私安全規(guī)范》（以下簡稱 《信息安全規(guī)范》），首次以官方定義的方式對我國敏感個人信息進行了界定?！秱€人信息保護法》頒布施行后，我國個人信息保護系統(tǒng)形成了以《網(wǎng)絡安全法》《數(shù)據(jù)安全法》為基礎(chǔ)，《個人信息保護法》并行的“三駕馬車”保護體系。[1]除此之外，在新環(huán)境下的互聯(lián)網(wǎng)服務平臺中，2021年6月10日通過的《數(shù)據(jù)安全法》并未直接涉及敏感個人信息，所包含的數(shù)據(jù)范圍及內(nèi)涵遠大于“個人信息”這一特定范圍的數(shù)據(jù)，創(chuàng)立的數(shù)據(jù)分類分級保護制度也主要與國家安全、公共利益相關(guān)，對于敏感個人信息的分級與處理還有待未來配套法規(guī)規(guī)章進一步規(guī)定。[2]

關(guān)于敏感個人信息的定義和保護，《信息安全規(guī)范》在全國范圍內(nèi)統(tǒng)一執(zhí)行的標準與《個人信息保護法》中對敏感個人信息的界定與處理的規(guī)定，仍存在一些不一致和混亂?！睹穹ǖ洹吩瓌t上沒有將敏感信息與一般個人信息區(qū)分開來，《網(wǎng)絡安全法》和《消費者權(quán)益保護法》的隱私條款沒有區(qū)分敏感信息和一般個人信息。我國關(guān)于敏感隱私的特別規(guī)定主要在一些屬于特定領(lǐng)域或行業(yè)法律的行政法規(guī)和部門規(guī)則中。

三、突發(fā)公共事件中敏感個人信息保護的現(xiàn)實困境

個人敏感信息問題在突發(fā)公共事件中會被進一步放大，究其原因從基層人員法律意識到上層制度問題同時存在。敏感個人信息的保護面臨如下困境：

（一）大數(shù)據(jù)導致新型敏感信息出現(xiàn)

數(shù)字技術(shù)的發(fā)展與運用，使數(shù)據(jù)搜集的資料越來越豐富，數(shù)據(jù)收集、存儲和處理的成本也在不斷下降，個人信息的種類也越來越多，使得新型敏感信息出現(xiàn)。這種新型個人信息包括由用戶的在線活動和電子設備使用產(chǎn)生的地理位置生成的軌跡信息，這些個人信息的范圍不斷擴展，以發(fā)現(xiàn)非結(jié)構(gòu)化數(shù)據(jù)之間的相關(guān)性和規(guī)律。[3]例如，在疫情防控過程，病例調(diào)查面廣、流轉(zhuǎn)環(huán)節(jié)多、數(shù)據(jù)龐大，存在公民個人信息泄露風險，從而使不法分子非法利用。這種涉疫信息應納入敏感信息范疇，都是通過用戶電子設備使用產(chǎn)生的地理位置生成的行蹤軌跡來整合形成一個特定主體的信息。而且，信息主體與微博、短視頻平臺、購物平臺等數(shù)據(jù)平臺共享個人敏感信息，也使其信息獲取變得十分容易，原來單個的、零散的信息就可以匹配到特定的人，成為其全方位、系統(tǒng)的整體信息。

除此之外，現(xiàn)代社會中傳統(tǒng)的敏感信息與非敏感信息之間的區(qū)別日益減少。在當今的大數(shù)據(jù)時代，判定相關(guān)的個人敏感信息是否真正屬于個人敏感信息，是需要根據(jù)具體的現(xiàn)實情況以及信息行業(yè)的標準來進行衡量。而且隨著對于數(shù)據(jù)的源頭可以進行不限制地使用，人們能夠很容易得到一個人的相關(guān)個人資料，因此使得個人信息的數(shù)據(jù)變?yōu)橄鄳拿舾行畔⒌目赡苄源蟠笤黾?。由于個人的敏感信息的相關(guān)定義是非常模糊的存在，在現(xiàn)實生活中很難進行確定。目前，對于敏感信息的法律界定依然存在不確定性、不周延性以及模糊性。當今世界各國都在加強對于敏感信息的準確界定，以此更好保護人們的個人信息。因此，對于敏感信息的界定存在必要性。

（二）突發(fā)公共事件中個人敏感信息的利用與保護存在價值沖突

突發(fā)公共事件中個人敏感信息的雙重屬性決定了其利用和保護必然存在價值沖突。一是公共利益和個人信息自決的沖突；二是社會公眾的知情權(quán)和個人信息安全的沖突。當突發(fā)公共事件發(fā)生時，為了體現(xiàn)社會利益優(yōu)先的原則，對個人敏感信息的保護必然讓位于社會利益。例如在突發(fā)公共衛(wèi)生事件時，為了防止疫情的進一步擴散，必然要向社會公布相關(guān)患者的行動軌跡。根據(jù)《傳染病防治法》第十二條、《突發(fā)公共衛(wèi)生事件應急條例》第四十條規(guī)定，敏感信息主體對于涉及公共衛(wèi)生安全事件防控的個人信息收集與利用負有配合的義務，任何人不得以個人利益優(yōu)先為由拒絕配合防控工作。那么是否意味著這時信息主體沒有保護敏感信息的權(quán)利呢？

（三）知情同意流于形式

《個人信息保護法》規(guī)定，信息收集者應在收集數(shù)據(jù)時，將數(shù)據(jù)如何使用、使用用途等相應的信息提前告知被收集者，方便他們對于此有事先的了解，以保護他們的知情權(quán)。信息的收集者通常是以隱私政策條款的形式向被告知者履行告知的義務，然后借助隱私政策來獲得被收集者的同意。

但運營商如何通知用戶、如何處理敏感個人信息方面的方式存在明顯問題。信息收集者提供的隱私政策條款往往是內(nèi)容繁雜、篇幅長，更有甚者內(nèi)容缺失。篇幅長主要是因為信息收集者為了規(guī)避法律風險，在隱私政策中展示了所有相關(guān)信息。而在長句中由于缺少重要信息則使得閱讀和理解有效信息變得非常困難。冗長而令人不快的閱讀也意味著數(shù)據(jù)主體需要花費巨大的時間成本去閱讀整個隱私條款，從而降低了公眾的熱情。由于熱情降低，數(shù)據(jù)主體在面對這些隱私政策條款時往往會不假思索地直接拉到頁面最底下，或者直接點擊“已讀完”，根本不會浪費時間閱讀長條款。雖然非常方便和高效，但它使數(shù)據(jù)主體對隱私政策的條款內(nèi)容一無所知，數(shù)據(jù)主體的“同意”只是一個應用于信息收集者為其提供的服務非常程序性的過程?！爸椤狻痹瓌t流于形式，個人權(quán)利本質(zhì)上被忽視了。

四、突發(fā)公共事件中個人敏感信息的處理與保護建議

《個人信息保護法》第二十八條對個人敏感信息的規(guī)定較為籠統(tǒng)，需要在解釋的基礎(chǔ)上細化并明確相關(guān)概念的范圍。

（一）明確個人敏感信息及其范圍的界定

對個人敏感信息的界定主要分為以下三種路徑：列舉界定式、場景考量式和概念列舉式?！秱€人信息保護法》的第二十八條中第一款項的規(guī)定是敏感的個人信息的法律依據(jù)，其概念體現(xiàn)出，具有敏感性的個人信息存在著被損害的危險。對此目前尚存在兩個問題：一方面，針對具有機密性的個人信息相應風險界限的具體標準，并沒有完全被明確，沒有相應的解釋說明；另一方面，個人機密信息的具體確定標準是不明確的，而且相關(guān)的標準以及學術(shù)討論的仍然是風險的解釋方面，其與風險的基礎(chǔ)線之間存在著混同。有必要在《個人信息保護法》第二十八條第一款的基礎(chǔ)上，對敏感個人信息的法律基準和范疇界定進行解釋說明，圍繞敏感個人信息的法律基準、風險維度作進一步分析，并在優(yōu)化界定路徑后提出敏感個人信息的具體判定標準。[4]

因此，我們應該回到建立敏感性個人信息的特殊制度的初衷上。正如歐盟《通用數(shù)據(jù)保護條例》（GDPR）宗旨中所描述的那樣，對這些敏感信息進行處理以及處理狀況都有可能會對個人的基本權(quán)利及自由造成重大損害，我們必須對個人機密信息進行特別的保護。由此可見，敏感個人信息其所包含的關(guān)鍵性要素必須是“損害的危險性”。由于具有潛在的重大危害，對于敏感個人信息與非敏感性個人信息的處理應是不相同的。我們可以給個人敏感信息框定一個精準的范圍，并且把重點轉(zhuǎn)向于數(shù)據(jù)的利用與處理階段，考慮個人敏感信息在具體場景的使用是否能引發(fā)隱私風險，由此判斷信息是否得到了合理使用。

（二）明確突發(fā)公共事件中個人敏感信息使用的原則和限度

經(jīng)過較長時間的實踐，我國對于突發(fā)公共事件中個人信息的合理收集和使用的水平確實在不斷提高。根據(jù)《個人信息保護法》規(guī)定，只有在具有特定的目的和充分的必要性，并采取嚴格保護措施的情形下，才能處理敏感個人信息。因而在突發(fā)事件中，因為處理相關(guān)事件的需要而使用甚至公開個人敏感信息，必須將使用范圍控制在使用目的所必需的范圍內(nèi)，不可過度收集和使用。

（三）落實“知情同意”規(guī)則

提高“通知同意”標準，要求軟件運營商獲得數(shù)據(jù)主體的授權(quán)同意。同時，如果隱私政策出現(xiàn)“如果您不同意，我們不會提供服務”的內(nèi)容要求用戶簽訂合同，或者含有模糊性條款，強迫或秘密強制同意的情況，應該視為因未征得數(shù)據(jù)主體同意而構(gòu)成侵權(quán)的，是需要被裁決的行為。此外，針對一些以復雜和詳細的方式設計協(xié)議，使普通用戶無意識點擊確認的，在特殊情況下，可以要求條款無效。“同意”應當是明確理解和批準經(jīng)營者按照用戶的真實意愿處理個人數(shù)據(jù)，“同意”為運營商處理個人信息奠定了法律基礎(chǔ)，有助于合理預測處理過程和個人數(shù)據(jù)的處理結(jié)果，并合理管理個人信息[5]。為了強化對信息主體的個人敏感信息的保護，在處理個人敏感信息之前，應先征求其同意。對于一般個人信息和高度機密的個人信息必須區(qū)別對待，為了處理高度機密的個人信息，必須單獨征得用戶的同意。因此，僅憑用戶對隱私政策的普遍同意并不能保證用戶在處理敏感個人信息時的合法性。對于個人敏感信息的處理，原則上將就個人權(quán)益的影響和必要性另行公告，應根據(jù)一般通知提供關(guān)于必要性及其對個人權(quán)益的影響的其他信息。此外，用戶有權(quán)隨時撤銷同意，撤銷同意合法處理敏感個人信息應不會影響在撤銷同意之前對敏感個人信息的合法處理。

（四）強化敏感個人信息司法保護

《個人信息保護法》第六十九條對侵犯一般個人信息的損害賠償作出規(guī)定，并授予法院根據(jù)具體情況確定賠償金額的權(quán)力，但本條并不完全確定侵犯個人信息的損害形式，也未明確實際情況。需要思考導致采取司法保護的侵犯個人信息的損害形式、敏感隱私侵權(quán)造成的各種實際損害的因素[6]。法律應充分保護個人敏感信息，在大數(shù)據(jù)環(huán)境中侵犯敏感個人信息，確定個人敏感信息的損害金額時，只要實際造成損害，就應該能夠確定是否存在侵權(quán)行為。

加強敏感個人資料的保護，也要重視資料處理者與資料使用者之間的不對稱性。資料使用者通常無法抵抗資料處理者，因而處于較弱的位置，須加重信息處理者的舉證責任。如果數(shù)據(jù)主體舉證的負擔更大，當其無法提供證據(jù)來證明主張時，則會導致敗訴的風險增加。此外數(shù)據(jù)主體起訴數(shù)據(jù)處理人所支付的合理費用應包含在一定程度上合理的賠償范圍內(nèi)。

（五）提高基層工作人員的法律意識和素養(yǎng)，嚴格收集和使用程序

個人敏感信息保護需要有效統(tǒng)籌協(xié)調(diào)各個環(huán)節(jié)，不但要完善相關(guān)立法，還要從基層工作人員入手，提高他們法律意識和保密意識，嚴格收集程序，完善敏感個人信息的記錄時間和記錄內(nèi)容，防止敏感信息泄露和濫用。在涉及疾病史、行程等特殊敏感信息的處理部門上，應當對有可能接觸和泄露信息的部門和人員進行約束，同時對違法違規(guī)泄露信息的人員應當嚴厲懲處。