大連海事大學 劉爽

隨著科技的發(fā)展，大數(shù)據(jù)在突發(fā)公共衛(wèi)生事件的應對治理中發(fā)揮了至關(guān)重要的作用。健康碼、核酸碼、流調(diào)報告、人員登記表等當前已經(jīng)成為數(shù)字化精準防疫的必需品，其中包含大量聯(lián)系方式、活動軌跡、就醫(yī)情況、家庭背景、社會關(guān)系等個人信息，也帶來了嚴重的違法違規(guī)風險。據(jù)不完全統(tǒng)計，自從2020年起，因突發(fā)公共衛(wèi)生事件引發(fā)的個人信息泄露案件，已經(jīng)超過幾十起，涉嫌違法的主體包括個人、醫(yī)護工作人員、政府部門人員等。對于公民而言，出于防控需要向國家提供個人信息是個人利益向社會利益的讓步，但若泄露事件頻出，會使國家公信力弱化，因此突發(fā)公共衛(wèi)生事件下個人信息保護應當予以高度重視。

一、概述

分析突發(fā)公共衛(wèi)生事件下個人信息保護首先需要明確的幾個定義。

（一）突發(fā)公共衛(wèi)生事件

根據(jù)《突發(fā)公共衛(wèi)生事件應急條例》第二條：“本條例所稱突發(fā)公共衛(wèi)生事件（以下簡稱突發(fā)事件），是指突然發(fā)生，造成或者可能造成社會公眾健康嚴重損害的重大傳染病疫情、群體性不明原因疾病、重大食物和職業(yè)中毒以及其他嚴重影響公眾健康的事件?！笨梢?，突發(fā)公共衛(wèi)生事件是關(guān)乎社會公共利益的，是與國民生命健康密切相關(guān)的。在該特殊背景下的個人信息保護不僅僅應當遵循一般原則，更應該遵循公共利益優(yōu)先原則。

（二）個人信息

根據(jù)2021年頒布的《個人信息保護法》第四條：“個人信息是以電子或者其他方式記錄的與已識別或可識別的自然人有關(guān)的各種信息，不包括匿名化處理后的信息。個人信息的處理包括個人信息的收集、存儲、使用、加工、傳輸、提供、公開、刪除等。”其中“匿名化”在第七十三條作出了相應解釋，是指“個人信息經(jīng)過處理無法識別特定自然人且不能復原的過程?！痹撘?guī)定相較于之前《網(wǎng)絡安全法》《民法典》對“個人信息”的定義，結(jié)合了歐盟《一般數(shù)據(jù)保護條例》，進一步擴大了“個人信息”的范圍，更有利于公民個人信息的保護。

（三）個人信息與個人隱私的區(qū)別

值得注意的是，個人信息并不完全等于個人隱私。根據(jù)我國《憲法》及《民法典》，公民享有一系列個人權(quán)利，其中包括名譽權(quán)、言論自由、財產(chǎn)權(quán)、生命健康權(quán)以及隱私權(quán)等。

對于個人信息與個人隱私的關(guān)系，學界有多種看法，個人信息可以側(cè)重識別到個人，個人隱私側(cè)重不愿為他人知曉和打擾。個人信息保護除了保護個人信息主體的權(quán)益以外，還包括了規(guī)范個人信息處理的一整套制度設計，所以單純違法收集個人信息已經(jīng)涉嫌違法，不需要公開泄露。而對相關(guān)人員進行網(wǎng)絡人肉，并公開其私密信息可能會同時侵犯其隱私權(quán)，且違反個人信息保護規(guī)定，如果產(chǎn)生網(wǎng)暴行為，還有可能會侵犯其名譽權(quán)。

二、當前突發(fā)公共衛(wèi)生事件個人信息保護存在的困境

（一）個人信息保護法律體系不夠完善

突發(fā)公共衛(wèi)生事件下的個人信息保護對公權(quán)力與私權(quán)利的平衡提出了更高的要求，以“告知同意”要求為例，根據(jù)一般原則，處理個人信息應當以取得個人同意為前提，但突發(fā)公共衛(wèi)生事件等例外情形下，該要求可被豁免，政府及其指定機構(gòu)也需承擔相應的安保責任。因此需要完整具體、可操作強的法律體系對個人信息進行統(tǒng)一的規(guī)范保護。目前，我國《網(wǎng)絡安全法》《數(shù)據(jù)安全法》《個人信息保護法》《傳染病防治法》等法律以及《突發(fā)公共衛(wèi)生事件應急條例》《深圳經(jīng)濟特區(qū)數(shù)據(jù)條例》《上海市數(shù)據(jù)條例》等法規(guī)均對突發(fā)公共衛(wèi)生事件防控背景下的個人信息保護作出了特殊規(guī)定，雖然可以初步應對個人信息的保護問題，但仍暴露出相關(guān)規(guī)定碎片化、分散化的問題，各部門法規(guī)之間銜接性不強、適用標準不一致的弊端，且存在以下問題：

1.信息收集權(quán)利主體不明確，法律規(guī)定間存在沖突

當前，我國法律對于突發(fā)公共衛(wèi)生事件下信息收集主體尚未作出明確、統(tǒng)一的規(guī)定，造成不同規(guī)律法規(guī)之間存在矛盾沖突，信息收集主體混亂。根據(jù)《傳染病防治法》第二十條和第三十三條，僅縣級以上人民政府以及疾病預防控制機構(gòu)被賦予了收集信息的權(quán)利，其他機構(gòu)僅能通過授權(quán)或者指定的形式獲取該權(quán)力。而《突發(fā)公共衛(wèi)生事件應急條例》第四十條規(guī)定傳染病暴發(fā)、流行時，街道、鄉(xiāng)鎮(zhèn)以及居民委員會、村民委員會也有協(xié)助衛(wèi)生行政主管部門和其他有關(guān)部門、醫(yī)療衛(wèi)生機構(gòu)進行信息采集的權(quán)力，但其并不屬于《傳染病防治法》中的授權(quán)主體，法律條文間的矛盾造成信息收集過程中主體不明、權(quán)力沖突問題，給信息收集的實踐過程增加了困難。

2.個人信息收集方式缺乏統(tǒng)一規(guī)定

面對嚴峻的突發(fā)公共衛(wèi)生事件，每天都有大量的個人信息通過各類渠道被收集匯總，但是現(xiàn)有法律法規(guī)并未對個人信息收集方式作出統(tǒng)一規(guī)定，實踐過程中各級政府信息收集的方式各不相同，具有隨意性，也因此增加了個人信息泄露的潛在風險。例如，工作人員為了尋求便利在收集和傳遞信息的過程中選擇微信等方式，造成包含公民個人信息的聊天記錄截圖在微博、朋友圈等社交媒體被廣泛傳播，侵犯公民權(quán)利的案件多次發(fā)生，給相關(guān)人員的身心造成傷害。

3.收集后的個人信息保存與處理不規(guī)范

對于收集后的海量個人信息，我國采取粗放型的管理模式，對個人信息的保存與處理沒有規(guī)范性措施，缺少應對突發(fā)公共衛(wèi)生事件的專門性信息管理系統(tǒng)。突發(fā)公共衛(wèi)生事件下的個人信息采集多數(shù)依賴于人工方式的原始數(shù)據(jù)采集、錄入、匯總、分析和上報，個人信息在各個環(huán)節(jié)的保護更多考驗的是操作人員的自覺性和職業(yè)操守，因此明確個人信息保存處理的規(guī)范措施顯得十分必要。而現(xiàn)實是收集上來的大量個人信息不加區(qū)分被當作普通工作資料與其他工作資料混合管理，忽略了個人信息相較于其他信息的特殊性、重要性，造成個人信息在保存處理過程中發(fā)生泄露。

（二）數(shù)據(jù)收集存在“去隱私化”“去標識化”問題

根據(jù)《信息安全技術(shù)個人信息安全規(guī)范》規(guī)定，個人收集者應該通過對個人信息的技術(shù)處理“使得個人信息無法被識別或者被關(guān)聯(lián)，且處理后的信息不能被復原”或“使其在不借助額外信息的情況下，無法識別或者關(guān)聯(lián)個人信息”。在防控過程中，各級政府借助包括大數(shù)據(jù)在內(nèi)的現(xiàn)代科技手段掌握公民個人信息，對疫情防控的應對水平不斷提高，但同時大數(shù)據(jù)技術(shù)的應用也導致“去隱私化”“去標識化”問題出現(xiàn)，比如未經(jīng)個人允許的情況下暴露特定地區(qū)及人員的隱私信息，以及政府對個人信息的過分收集。

2021年兩會期間全國人大代表曾力群表示，在突發(fā)公共衛(wèi)生事件防控中，個人信息被過度處理或泄露的情況時有發(fā)生，造成部分相關(guān)人員遭受網(wǎng)絡暴力的傷害。建議加強對防控中個人信息被過度處理或泄露的監(jiān)管，規(guī)范個人信息公開內(nèi)容、范圍。依法追究個人信息被過度處理或泄露的組織或個人的法律責任。可見我國當前信息收集中隱私暴露問題嚴重，為民眾所困擾，“去隱私化”“去標識化”水平偏低，信息泄露后很容易對相關(guān)人員造成輿論上的二次傷害，應當予以重視。

（三）信息收集與使用缺乏有效監(jiān)管

突發(fā)公共衛(wèi)生事件背景下，個人信息收集、使用的過程主要涉及的主體有三方，包括行政機關(guān)、企業(yè)與個人。其中，行政機關(guān)除了各級疾控機構(gòu)，還有經(jīng)授權(quán)的基層管理組織等。而企業(yè)方面則除了指定機構(gòu)以外，其他任何組織、個人均無權(quán)處理涉疫相關(guān)個人信息。但是現(xiàn)實實踐中，出于防控需要，很多未經(jīng)法律授權(quán)的主體也在行使著信息收集的權(quán)力。如商場、電影院、飯店等場所，會主動收集其員工、顧客的姓名、電話、住址等個人信息。在突發(fā)公共衛(wèi)生事件中私權(quán)利確實需要向公權(quán)力讓度，但是復雜而繁多的信息收集主體給公民個人信息安全造成了威脅，然而現(xiàn)行法律卻未將該類主體納入監(jiān)管的范圍，也未對其權(quán)利與義務作出明確規(guī)定，在法律放任狀態(tài)下權(quán)責不統(tǒng)一、權(quán)力被濫用現(xiàn)象頻出，導致近年來個人信息侵權(quán)案件屢屢發(fā)生。

此外，由于缺乏完善有效的監(jiān)察機制，行政機關(guān)在行使法律授予的職權(quán)過程中存在違反法定程序，濫用權(quán)力的行為。雖然《傳染病防治法》等法律規(guī)定了行政機關(guān)不得隨意泄露涉疫人員相關(guān)隱私信息、資料，但在實際操作中仍存在個別行政機關(guān)工作人員濫用職權(quán)，超越法定權(quán)限，隨意對外傳閱內(nèi)部文件或非法公示在疫情中所收集的個人信息，嚴重侵犯了個人信息安全。如2020年1月發(fā)生在湖南省益陽的案例，涉疫人員章某及其親屬的個人信息以病例調(diào)查報告的形式出現(xiàn)在多個居民住宅小區(qū)的業(yè)主微信群，對章某在內(nèi)的11人造成了惡劣影響。經(jīng)調(diào)查，系益陽市某區(qū)衛(wèi)健局副局長舒某通過微信群轉(zhuǎn)發(fā)屬于內(nèi)部工作文件且涉及多人隱私的調(diào)查報告給無關(guān)人員，造成信息泄露并傳播，侵犯了公民權(quán)利且?guī)韲乐氐纳鐣绊憽?/p>

三、突發(fā)公共衛(wèi)生事件個人信息保護問題解決對策

（一）完善突發(fā)公共衛(wèi)生事件中個人信息保護的法律體系

1.明確信息收集主體，完善相關(guān)法律

對于現(xiàn)有法律條文中的沖突，可以遵循法律沖突解決的一般原則，作出相應的調(diào)整修改，形成完善的突發(fā)公共衛(wèi)生事件下個人信息保護的法律體系。

如前文提到的《傳染病防治法》和《突發(fā)公共衛(wèi)生事件應急條例》中對于信息收集主體的不一致，由于《傳染病防治法》作為法律屬于上位法，應當以該法律為準，對下位法《突發(fā)公共衛(wèi)生事件應急條例》進行補充修改，明確只有經(jīng)過縣級以上人民政府以及疾病預防控制機構(gòu)授權(quán)或指定街道、鄉(xiāng)鎮(zhèn)以及居民委員會、村民委員會才有權(quán)作為信息收集主體。

2.統(tǒng)一信息收集方式

對于現(xiàn)今隨意性的信息收集方式應當通過立法予以完善，同時對于收集對象、收集范圍等實踐性問題也有必要在突發(fā)公共衛(wèi)生事件防控背景下個人信息保護的特殊規(guī)定中做進一步明確，使個人信息收集真正做到“有法可依，有法必依”，為個人信息收集提供法治保障，真正保護人民的切身利益。

同時在個人信息采集過程中應該遵循“最小化”原則，即能不收集就不收集，能少收集就少收集，能不收集個人敏感信息就不收集個人敏感信息，從源頭上將個人信息泄露的風險降低。

3.規(guī)范收集后的個人信息保存與處理

為了滿足防控需要，采集后的公民個人信息一般會由很多工作人員經(jīng)手分析調(diào)查。以流調(diào)報告為例，流調(diào)溯源組接到衛(wèi)生檢測機構(gòu)的信息后，會立即安排相應的工作組趕赴現(xiàn)場進行現(xiàn)場流調(diào)?，F(xiàn)場流調(diào)結(jié)束后4小時完成首次流調(diào)核心信息上報，第一時間將病例核心信息推送給公安系統(tǒng)核查確診病例在一定時間范圍內(nèi)的活動軌跡。流調(diào)工作人員根據(jù)前期流調(diào)結(jié)果盡快摸清楚能夠核查到密接的基本信息，將信息及時推送給市級衛(wèi)健委，市衛(wèi)健委按照密接所在縣區(qū)分配到轄區(qū)衛(wèi)健委落實管控。由于整個過程涉及眾多部門，工作人員操作缺乏規(guī)范性，且目前對個人信息儲存、使用、公開、銷毀的管理上都存在漏洞，導致信息泄露可能性增加。當務之急是加速相關(guān)立法，細化從收集到銷毀所有環(huán)節(jié)的處理規(guī)定，為收集后的個人信息規(guī)范化管理提供法律上的指引，進而更安全、妥善地管理公民個人信息，降低信息泄露風險。

（二）對特定個人信息進行“匿名化”“去標識化”處理

作為信息處理與保護的必要技術(shù)措施，個人信息“匿名化”和“去標識化”技術(shù)通過數(shù)據(jù)符號替代了個人信息的標識，使得個人信息滿足《信息安全技術(shù)個人信息安全規(guī)范》中無法被識別或者關(guān)聯(lián)的要求。通過“匿名化”“去標識化”處理過的個人信息大大降低了被識別或者被復原的風險，契合了我國《民法典》第一千零三十八條的規(guī)定以及《個人信息保護法》的相關(guān)規(guī)定，不僅保障了個人的信息安全，也實現(xiàn)了突發(fā)公共衛(wèi)生事件下的公眾知情權(quán)等公共利益，從而解決了個人利益與社會利益的對立問題。

（三）建立有效的個人信息保護監(jiān)督機制

1.明確監(jiān)管對象

根據(jù)《關(guān)于做好個人信息保護利用大數(shù)據(jù)支撐聯(lián)防聯(lián)控工作的通知》第一條規(guī)定“各地方部門要高度重視個人信息保護工作，除國務院衛(wèi)生健康部門依據(jù)《中華人民共和國網(wǎng)絡安全法》《中華人民共和國傳染病防治法》《突發(fā)公共衛(wèi)生事件應急條例》授權(quán)的機構(gòu)外，其他任何單位和個人不得以疫情防控、疾病防治為由，未經(jīng)被收集人同意收集使用個人信息。法律、行政法規(guī)另有規(guī)定的，按其規(guī)定執(zhí)行?！钡F(xiàn)實中從各級政府到菜市場、電影院等公共場所，個人信息收集主體多元而復雜，且缺乏有法有效的監(jiān)管。明確監(jiān)管對象是實現(xiàn)有效監(jiān)管從而為個人信息保護提供保障的第一步，因此有必要在現(xiàn)有法律基礎上，結(jié)合現(xiàn)實需要進一步明確監(jiān)管對象，擴大監(jiān)管范圍，并對非法收集、傳播個人信息應承擔的侵權(quán)責任與處罰措施作出規(guī)定，做到權(quán)責一致、錯責相當。

2.構(gòu)建監(jiān)察體系

突發(fā)公共衛(wèi)生事件中的依法行政不僅離不開行政機關(guān)的自覺履行，還需要建立完善的監(jiān)察機制，依靠內(nèi)外部多層監(jiān)督的力量，才能讓權(quán)力在陽光下運行。首先，立法機關(guān)即各級人大及其常委會應當依法履行監(jiān)督職責，認真聽取審議政府的專項報告，對人民群眾關(guān)切的事項進行調(diào)查問詢，督促行政機關(guān)依法行政；第二，各級人民政府要發(fā)揮內(nèi)部監(jiān)督的作用，同級政府之間以及上下級之間相互監(jiān)督，及時發(fā)現(xiàn)個人信息收集、使用過程中的違法和不當行為，并迅速作出調(diào)整和糾正；第三，司法機關(guān)要為個人權(quán)利被侵犯的公民提供救濟手段，對個人信息侵權(quán)案件作出公正審理，落實侵權(quán)責任；最后，還要發(fā)揮新聞媒體和社會公眾的力量，依靠其廣泛性、標志性、啟動性的特點，保障行政機關(guān)合法合理地收集使用個人信息，切實保障人民的權(quán)利與利益。