怎樣實現(xiàn)抗疫與保護個人信息的平衡

沈巋

面對新型冠狀病毒疫情，迄今為止，我國采取了“零容忍”的模式，將病毒傳播控制在零增長。這種模式的成效是明顯的，在一個人口眾多且密集、醫(yī)療資源相對稀缺的國家，可以及時遏制病毒的傳播、蔓延。在抗疫過程中，我們運用各種方法收集確診者、疑似者、密切接觸者乃至幾乎每個人的信息，以追蹤和定位傳染源并加以切斷，由此引發(fā)許多人對隱私和個人信息保護的擔(dān)憂。我們需要思考，如何在追求公共利益、商業(yè)利益與保護隱私、個人信息之間實現(xiàn)一種合理的法益平衡。

抗疫中出現(xiàn)的隱私和個人信息保護問題

最新通過的《民法典》規(guī)定，“自然人享有隱私權(quán)。任何組織或者個人不得以刺探、侵?jǐn)_、泄露、公開等方式侵害他人的隱私權(quán)”、“自然人的個人信息受法律保護”。隱私，是自然人的私人生活安寧和不愿為他人知曉的私密空間、私密活動、私密信息。個人信息，是以電子或者其他方式記錄的能夠單獨或者與其他信息結(jié)合識別特定自然人的各種信息，包括自然人的姓名、出生日期、身份證件號碼、生物識別信息、住址、電話號碼、電子郵箱、健康信息、行蹤信息等。

目前，抗疫中對海量個人信息、數(shù)據(jù)的收集和使用，出現(xiàn)了不少隱私和個人信息受到侵害的問題，而且還對公民個人構(gòu)成潛在的侵害威脅。當(dāng)前，已經(jīng)出現(xiàn)的、值得關(guān)注的情形包括：

（1）由于信息收集存儲單位保管不善，導(dǎo)致大量個人信息被盜取或在有關(guān)工作人員私下示警中被泄露；（2）有關(guān)單位收集非防控疫情所必需的個人信息（如個人的月收入），以及披露非公眾所需知曉的信息（如確診者、密切接觸者的性別、年齡、戶籍等）；（3）有關(guān)單位披露疫情信息時對個人信息沒有進行脫敏處理或脫敏處理不充分（如公布確診者王某某與其家人丈夫蔡某某、女兒蔡某某住在特定小區(qū)），從而容易形成對特定自然人的識別；（4）以必須提交健康碼或行程查詢信息為進入公共場所、公共交通工具或國境為條件，強迫個人同意授權(quán)有關(guān)單位收集和處理個人信息；（5）有關(guān)單位對個人信息包括姓名、性別、民族、出生日期、常住戶口、所在地址、健康狀況、歷史行蹤等進行隱秘的、不為當(dāng)事人所知的記錄和分析，以掌握確診者、疑似者、密切接觸者的動向和容易產(chǎn)生傳染的風(fēng)險人群或地區(qū)，此可謂“看不見的畫像”；（6）有關(guān)單位采取強制封門的方式對居家隔離者實施粗暴隔離，侵害對隱私保護具有重要意義的個人住所；（7）有關(guān)單位對居家隔離者的住所貼上紅色警示條或報警器，其結(jié)果是讓鄰居或他人可輕易知曉居住其中的個人處在被隔離狀態(tài)；（8）受商業(yè)謀利動機或違法犯罪動機驅(qū)使，利用已經(jīng)獲取的個人信息對個人進行干擾私人生活安寧的廣告騷擾、欺詐騷擾甚至性騷擾。

出現(xiàn)隱私和個人信息保護問題的原因

以上這些情形，有的是目前我國抗疫模式所需的，如強迫同意、“看不見的畫像”，但這里，存在個人信息被收集、使用、處理缺乏明確法律依據(jù)和規(guī)范的問題，以及個人信息被泄露、個人隱私被侵犯的隱患。而其余情形則肯定不是疫情應(yīng)對過程所必需，但又確實是在此過程中發(fā)生的或更加惡化的（如各種騷擾）。

之所以會如此，與抗疫進行了巨大的社會動員有關(guān)。在這個動員過程中，參加聯(lián)防聯(lián)控的政府部門、企業(yè)、社會組織以及個人不計其數(shù)，主要有：（1）疾控機構(gòu)、衛(wèi)生、公安、交通、海關(guān)、市場監(jiān)管、工信、網(wǎng)信等政府部門；（2）各式各類依法有權(quán)進行疫情信息收集和報告的醫(yī)療機構(gòu)；（3）有能力利用大數(shù)據(jù)分析預(yù)測確診者、疑似者、密切接觸者等重點人群流動情況的技術(shù)公司；（4）居民委員會、村民委員會、社區(qū)物業(yè)服務(wù)企業(yè)等基層的自治組織或經(jīng)濟組織；（5）負(fù)責(zé)對來訪人員進行健康監(jiān)測和登記的樓堂館所等人群經(jīng)常聚集活動的公共場所經(jīng)營管理者；（6）根據(jù)要求必須做好員工健康監(jiān)測或者人員健康管理方面防控措施落實的用人單位；（7）各種有助疫情防控的應(yīng)用程序的開發(fā)者，如“密切接觸者測量儀”、“疫情期間行程查詢”等應(yīng)用程序都可能附帶個人信息收集功能。如此眾多的部門及相關(guān)工作人員參與個人信息收集，個人隱私保護的困難是可想而知的。

如何在未來不確定何時結(jié)束的一段抗疫期內(nèi)，既維系當(dāng)前的抗疫模式（在有必要仍然堅持現(xiàn)有模式的前提下），又兼顧個人隱私和信息的充分保護？若能從以下幾個方面著手，可以盡可能減少個人隱私和信息受侵害的現(xiàn)象，取得公共利益、商業(yè)利益與個人隱私和信息保護的法益平衡。

及時修改法律為個人信息收集使用提供合法依據(jù)

在我國，雖然《居民身份證法》《傳染病防治法》《網(wǎng)絡(luò)安全法》等法律都有關(guān)于對個人信息、隱私保護的規(guī)定，但是，它們都是適用特定領(lǐng)域或特定關(guān)系的。我國尚缺乏一部對所有領(lǐng)域涉及個人信息收集使用等都能適用的法律。2017年，四十余位全國人大代表提交議案，建議盡快制定《個人信息保護法》，目前，該法仍在醞釀之中。

就疫情防控而言，最相關(guān)的法律、行政法規(guī)是《傳染病防治法》《突發(fā)事件應(yīng)對法》以及《突發(fā)公共衛(wèi)生事件應(yīng)急條例》。其中，關(guān)于個人信息、隱私保護的規(guī)定可以說是基本缺位的?，F(xiàn)行《傳染病防治法》第12條規(guī)定：“在中華人民共和國領(lǐng)域內(nèi)的一切單位和個人，必須接受疾病預(yù)防控制機構(gòu)、醫(yī)療機構(gòu)有關(guān)傳染病的調(diào)查、檢驗、采集樣本、隔離治療等預(yù)防、控制措施，如實提供有關(guān)情況。疾病預(yù)防控制機構(gòu)、醫(yī)療機構(gòu)不得泄露涉及個人隱私的有關(guān)信息、資料?！钡?8條、第69條則對疾控機構(gòu)和醫(yī)療機構(gòu)“故意”泄露涉及個人隱私的信息、資料的行為規(guī)定了法律責(zé)任。但是，這些規(guī)定僅適用于疾控機構(gòu)、醫(yī)療機構(gòu)，而不能針對前述巨大社會動員之下參加聯(lián)防聯(lián)控、涉及個人信息收集使用的各類主體。而且，這些規(guī)定僅提出不得故意泄露的要求，在如何合法、必要、正當(dāng)?shù)厥占?、占有、存儲、使用、管理、處理個人信息方面，缺乏相應(yīng)的原則和細(xì)則，無法防范個人信息的過度收集、肆意濫用、管理漏洞、不當(dāng)處理。而《突發(fā)事件應(yīng)對法》《突發(fā)公共衛(wèi)生事件應(yīng)急條例》在個人信息、隱私保護方面只字未提。

制定統(tǒng)一的《個人信息保護法》，應(yīng)該是解決于法無據(jù)問題的最終的、根本的路徑。然而，在該法一時不能出臺的情況下，應(yīng)當(dāng)基于依法治理新冠病毒疫情的需要，及時修改《傳染病防治法》和《突發(fā)公共衛(wèi)生事件應(yīng)急條例》。當(dāng)然，希望這兩部立法將疫情防控中個人信息、隱私保護的所有規(guī)則都予以明確，顯然是不切實際的，也會與未來的《個人信息保護法》存在功能重疊或內(nèi)容不一致的問題。從現(xiàn)實可行的角度出發(fā)，可以考慮如下立法策略：

第一，在《傳染病防治法》中授權(quán)國務(wù)院或國務(wù)院應(yīng)急指揮機構(gòu)決定為疫情防控而收集個人信息的目的和范圍，以及與目的、范圍相匹配的、必要的收集者和使用者。如僅限于現(xiàn)行《傳染病防治法》規(guī)定的傳染病病人、病原攜帶者、疑似傳染病病人、密切接觸者，還是需要延伸至進入公共場所、公共交通或者返回境內(nèi)等的人員。再如，收集者和使用者是限于疾控機構(gòu)和醫(yī)療單位，還是包括衛(wèi)生、公安、交通等部門，甚至擴大至上述各類主體。由于個人隱私屬于人格尊嚴(yán)的應(yīng)有之義，涉及《憲法》和《民法典》上的權(quán)利，只有通過法律授權(quán)國務(wù)院或國務(wù)院應(yīng)急指揮機構(gòu)決定，方能顯示對該權(quán)利保護的高度重視。

第二，在《突發(fā)公共衛(wèi)生事件應(yīng)急條例》中明確規(guī)定個人信息、隱私保護的若干原則。具體包括：（1）同意原則，即任何單位和個人未經(jīng)個人信息主體同意，不得以預(yù)防和控制傳染病為名收集個人信息，法律、行政法規(guī)、國務(wù)院決定另有規(guī)定的除外；（2）最小范圍原則，即國務(wù)院或國務(wù)院應(yīng)急指揮機構(gòu)應(yīng)當(dāng)根據(jù)預(yù)防和控制傳染病的確實需要，決定應(yīng)當(dāng)收集的個人信息的最小范圍，信息收集單位和個人應(yīng)當(dāng)嚴(yán)格執(zhí)行；（3）目的限制原則，即為預(yù)防和控制傳染病而收集的個人信息，不得用于其他用途，法律、行政法規(guī)另有規(guī)定的或者個人信息主體知情同意的除外；（4）安全保障原則，即被收集的個人信息僅在傳染病防控必需時才可以公開，且公開前應(yīng)當(dāng)經(jīng)過充分的脫敏處理；收集或掌握個人信息的單位和個人都應(yīng)當(dāng)對個人信息的安全保護負(fù)責(zé)，防止被泄露、被竊取；（5）更正和刪除原則，即個人對收集的信息有權(quán)要求更正錯誤，并在該信息已經(jīng)實現(xiàn)疫情防控目的的情況下，有權(quán)要求刪除個人信息；（6）責(zé)任原則，即任何單位和個人違反上述原則，應(yīng)當(dāng)承擔(dān)相應(yīng)的法律責(zé)任。

第三，在《傳染病防治法》或《突發(fā)公共衛(wèi)生事件應(yīng)急條例》中授權(quán)國務(wù)院應(yīng)急指揮機構(gòu)可以在符合上述原則的前提下，制定疫情防控中個人信息和隱私保護的規(guī)則。經(jīng)授權(quán)制定的規(guī)則，具有法律上的約束力，即違反這些規(guī)則，也同樣承擔(dān)相應(yīng)的法律責(zé)任。

參加抗疫的單位應(yīng)對個人信息保護實施自我規(guī)制

就當(dāng)前情勢看，參加疫情聯(lián)防聯(lián)控工作的一線單位或個人，往往都不可避免地涉及個人信息收集、占有、使用、存儲、管理或處理中的一環(huán)或數(shù)環(huán)?！秱魅静》乐畏ā贰锻话l(fā)公共衛(wèi)生事件應(yīng)急條例》的修改，主要解決法律依據(jù)、法律原則、法律責(zé)任問題。然而，具體的收集、使用、安全管理等工作，都必須由前述各類相關(guān)主體在一線防控中去完成，相關(guān)原則和規(guī)則都必須由他們具體落實實施。

因此，必須在已經(jīng)形成的疫情聯(lián)防聯(lián)控體系中，植入個人信息、隱私保護的規(guī)范要求，各參與單位或個人應(yīng)當(dāng)進行有針對性的自我規(guī)制。具體而言主要涉及兩個方面：

第一，政府部門、醫(yī)療機構(gòu)、技術(shù)公司、公共場所經(jīng)營管理者、用人單位、居民委員會、村民委員會、社區(qū)物業(yè)等，但凡依法或者依照聯(lián)防聯(lián)控要求參與個人信息收集使用等工作的，都必須建立相應(yīng)的個人信息、隱私保護制度，并采取與個人信息工作相適應(yīng)的安全保障措施。這些保護制度和措施都應(yīng)向社會公示。

第二，相關(guān)單位和組織都應(yīng)對其工作人員展開個人信息、隱私保護的規(guī)范教育，不僅促其樹立意識，更要指導(dǎo)其如何保護個人信息、隱私，以及警示其若從事侵害行為或未盡安全保護職責(zé)導(dǎo)致個人信息泄露、個人隱私受侵所應(yīng)承擔(dān)的法律和紀(jì)律后果。

加強對個人信息、隱私保護情況的檢查或監(jiān)督

修改法律、加強自我規(guī)制，可使個人信息的收集使用等有法可依、有章可循，但個人信息保護畢竟是在為疫情防控收集使用個人信息的基礎(chǔ)上增加的一項工作，是需要投入一定成本的。并且，其與疫情防控目標(biāo)并不具有直接的正相關(guān)性。因此，前述單位和個人缺乏足夠的動力和激勵去落實個人信息保護的要求，需要通過外部的監(jiān)督力量予以制衡。

第一，政府部門對參與聯(lián)防聯(lián)控的單位與個人，在檢查其聯(lián)控聯(lián)防工作落實情況的同時，對涉及個人信息相關(guān)工作的，也應(yīng)同時檢查個人信息、隱私保護情況。

第二，任何組織和個人發(fā)現(xiàn)違法違規(guī)收集、使用、管理和處理個人信息的，或者沒有依法建立個人信息安全保護制度、采取保護措施的，可以向政府負(fù)責(zé)個人信息安全保護的網(wǎng)信、公安等部門進行投訴舉報，以及時發(fā)現(xiàn)和矯正問題。

第三，公安等部門對泄露個人信息、侵犯個人隱私的違法行為，應(yīng)當(dāng)予以嚴(yán)厲打擊；個人對私主體泄露個人信息、侵犯個人隱私的行為，不僅可以投訴舉報，也可以提起民事訴訟，追究私主體的民事責(zé)任；個人對公權(quán)力主體泄露個人信息、侵犯個人隱私的行為，不僅可以請求其自行改正或請求上級督察糾正，也可以提起行政訴訟即“民告官”訴訟，使其承擔(dān)行政責(zé)任。目前最重要的是，法院應(yīng)當(dāng)受理和審理個人起訴公權(quán)力主體侵犯個人信息、隱私的行政案件。

第四，由于在疫情防控中，許多參與聯(lián)防聯(lián)控的部門收集、掌握了海量的個人信息，這些部門應(yīng)當(dāng)在適當(dāng)?shù)臅r候，向相應(yīng)級別的人民代表大會常委會報告?zhèn)€人信息安全保護制度及落實情況，以及對個人信息的處理計劃，接受人民代表大會及人民的監(jiān)督。

（摘自7月28日《經(jīng)濟參考報》。作者為北京大學(xué)法學(xué)院教授）