新冠肺炎疫情防控中個人信息的利用與保護(hù)

韋 祎

2020年初，新冠肺炎疫情爆發(fā)，并迅速席卷全球。截至2021年7月2日，中國累計(jì)確診病例已達(dá)118702例，累計(jì)死亡5523人；世界范圍內(nèi)累計(jì)確診183378369例，累計(jì)死亡3965266人。我國2020年《抗擊新冠肺炎疫情的中國行動》白皮書的報(bào)告顯示，自2020年4月29日以來，全國疫情防控已經(jīng)進(jìn)入常態(tài)化階段，這一階段以推進(jìn)常態(tài)化疫情防控和經(jīng)濟(jì)社會發(fā)展工作為主要目標(biāo)。2020年5月7日，國務(wù)院聯(lián)防聯(lián)控機(jī)制印發(fā)《關(guān)于做好新冠肺炎疫情常態(tài)化防控工作的指導(dǎo)意見》，加強(qiáng)對疫情防控工作的指導(dǎo)力度。白皮書指出，在疫情防控中，我國采用了大數(shù)據(jù)、人工智能等新技術(shù)進(jìn)行疫情預(yù)測、流行病學(xué)調(diào)查、感染者與密切接觸者的追蹤和隔離工作。同時借助“健康碼”等數(shù)據(jù)技術(shù)實(shí)現(xiàn)分區(qū)分級精準(zhǔn)識別、精準(zhǔn)施策和精準(zhǔn)防控。由國家機(jī)構(gòu)牽頭對個人信息的利用為本次新冠肺炎疫情的防控工作提供了強(qiáng)大的助力，也為未來社會的風(fēng)險(xiǎn)治理積累了寶貴經(jīng)驗(yàn)。但由于當(dāng)前我國相關(guān)領(lǐng)域的法律規(guī)范和政策引導(dǎo)仍處于缺位狀態(tài)，在本次疫情防控對個人信息的利用中暴露出了信息泄露、收集使用程序不規(guī)范等問題。這些問題對疫情的防控工作和社會治理產(chǎn)生了阻礙，還有可能導(dǎo)致公共利益與個人利益產(chǎn)生矛盾。因此當(dāng)下我們有必要對本次疫情防控工作中的個人信息使用工作進(jìn)行分析與反思，以期在未來的社會風(fēng)險(xiǎn)治理和突發(fā)事件處理中尋求對個人信息利用與保護(hù)的平衡。

一、疫情防控中個人信息的利用實(shí)踐

借助個人信息進(jìn)行對疫情防控工作產(chǎn)生了極大成效，但應(yīng)當(dāng)注意的是在疫情防控中個人信息的收集、使用和處理仍存在一定的法律風(fēng)險(xiǎn)。我國在疫情和突發(fā)事件應(yīng)對中對公民個人信息權(quán)益保護(hù)方面的立法相對匱乏。有相關(guān)文件對個人信息保護(hù)進(jìn)行了規(guī)定，如《信息安全技術(shù) 個人信息安全規(guī)范》，但層級低效力弱，作為國家標(biāo)準(zhǔn)只能在法律應(yīng)用時加以參照，缺少強(qiáng)制力。法律法規(guī)專門化、板塊化不足，有關(guān)個人信息安全的法律法規(guī)和行業(yè)規(guī)范分散，能夠起到提綱挈領(lǐng)和體系協(xié)調(diào)作用的個人信息保護(hù)法尚未出臺；針對疫情防控的個人信息保護(hù)規(guī)定更是鳳毛麟角，多是在《傳染病防治法》或《突發(fā)公共衛(wèi)生事件應(yīng)急條例》中一筆帶過。各部門法采取分散的規(guī)范模式，缺少配合與聯(lián)動，對有關(guān)個人信息保護(hù)的法律義務(wù)缺乏明確規(guī)定。

2020年2月4日，中央網(wǎng)絡(luò)安全和信息化委員會辦公室發(fā)布了《關(guān)于做好個人信息保護(hù)利用大數(shù)據(jù)支撐聯(lián)防聯(lián)控工作的通知》（以下簡稱《通知》），該通知從統(tǒng)籌角度確定本次疫情防控中個人信息的利用和保護(hù)所需要遵循的原則。《通知》要求各個信息管理部門在疫情防控工作中要重視個人信息的保護(hù)，收集、利用個人信息時應(yīng)參照個人信息安全規(guī)范國家標(biāo)準(zhǔn)進(jìn)行。同時個人信息相關(guān)工作要堅(jiān)持最小范圍原則，收集對象原則上僅局限于確診者、疑似者等重點(diǎn)監(jiān)控對象，還要防止對特定地域人群形成事實(shí)上的歧視。為疫情防控、疾病防治收集的個人信息，不得用于其他用途。通常不得隨意公布個人信息，但因聯(lián)防聯(lián)控工作需要，且經(jīng)過去個人化處理的除外等等。

在個人信息的利用程序方面，《通知》嚴(yán)格規(guī)定了僅國務(wù)院衛(wèi)生健康部門具有法定授權(quán)資格。收集使用個人信息的授權(quán)必須依照《中華人民共和國網(wǎng)絡(luò)安全法》《中華人民共和國傳染病防治法》《突發(fā)公共衛(wèi)生事件應(yīng)急條例》，這三部法律法規(guī)成為本次疫情防控中個人信息利用主體的主要合法性來源。在個人信息利用的內(nèi)容和利用方法上，該通知采用準(zhǔn)用規(guī)則，明確參照《信息安全技術(shù) 個人信息安全規(guī)范》（GB/T 35273-2017，以下簡稱《規(guī)范》，之后于2020年3月發(fā)布替代版GB/T 35273-2020,2020年10月1日實(shí)施）。《規(guī)范》主要針對個人信息利用中的安全問題，規(guī)范個人信息控制者在信息處理環(huán)節(jié)中的相關(guān)行為，保障個人合法權(quán)益和社會公共利益。在疫情防控的個人信息利用與保護(hù)中，《規(guī)范》起到的主要作用是：第一，確定了收集個人信息需滿足合法性要求和最小化要求；第二，《規(guī)范》5.4 b)規(guī)定與公共安全、公共衛(wèi)生、重大利益直接相關(guān)的個人信息無需經(jīng)過信息主體授權(quán)同意即可收集和使用，具體到本次疫情防控中，即信息收集主體在滿足主體和程序合法性的前提下，不經(jīng)個人信息主體授權(quán)同意也可以進(jìn)行與疫情相關(guān)的個人信息收集；第三，《規(guī)范》還對個人信息收集和利用的程序進(jìn)行了規(guī)定，包括收集、保存、使用、轉(zhuǎn)讓等；第四，《規(guī)范》對個人信息收集的組織也有規(guī)定，規(guī)定相關(guān)組織必須明確責(zé)任部門與人員，具有一定的數(shù)據(jù)安全能力，并開展個人信息安全影響評估和人員管理培訓(xùn)。

《通知》仍然存在規(guī)定過于簡略等問題[1]83。具體而言，《通知》所準(zhǔn)用的《規(guī)范》規(guī)定的是個人信息使用的一般方法，并沒有針對醫(yī)療衛(wèi)生或公共安全事件中進(jìn)行具體規(guī)定（2020年《規(guī)范》與2017年《規(guī)范》情況相同）。加之，《通知》也并未在《規(guī)范》的規(guī)定下對疫情防控中的個人信息利用進(jìn)行進(jìn)一步的規(guī)定。《通知》所做的規(guī)定無非是《規(guī)范》的重復(fù)，可以認(rèn)為《通知》僅僅是對業(yè)已生效實(shí)施的《規(guī)范》進(jìn)行再次強(qiáng)調(diào)，沒有充分利用《規(guī)范》已經(jīng)建立的個人信息使用規(guī)則體系，并在此基礎(chǔ)上制定適應(yīng)本次疫情防控的規(guī)則。當(dāng)前的《通知》未能解決個人信息利用和保護(hù)規(guī)定的碎片化問題，只是起到宣告式的有限的整合作用，但《通知》主要積極意義在于為本次疫情防控的個人信息利用工作提供了統(tǒng)領(lǐng)性的指導(dǎo)和規(guī)范，為授權(quán)主體明確了合法性來源，最重要的是在內(nèi)容和利用方法上予以明確。該通知作為針對本次疫情防控的臨時性文件，對把分散在各個法律法規(guī)中關(guān)于個人信息的利用和保護(hù)相關(guān)規(guī)范進(jìn)行了整合，從整體上應(yīng)予以積極評價。

二、疫情防控中個人信息利用與保護(hù)的原則

依照《通知》以及相關(guān)法律法規(guī)，可以歸納出在疫情防控中對個人信息的利用與保護(hù)應(yīng)當(dāng)遵循以下原則：

（一）合法性原則

信息處理者在以各種方式利用個人信息時應(yīng)當(dāng)遵守法律法規(guī)的規(guī)定，任何組織和個人不得以疫情防控為由非法使用他人的個人信息。合法性原則要求疫情防控中對個人信息的使用符合法律法規(guī)的要求，是疫情防控中個人信息使用的最基本原則。該原則的“法律法規(guī)”應(yīng)當(dāng)采取廣義上的理解[1]88。既包括《突發(fā)事件應(yīng)對法》《傳染病防治法》《網(wǎng)絡(luò)安全法》等全國人大及其常委會制定的法律，也包括《突發(fā)公共衛(wèi)生事件應(yīng)急條例》等行政法規(guī)。合法性原則具有以下三層含義：第一，主體法定。收集、使用個人信息的主體必須是符合法律規(guī)定的適格主體，即法律法規(guī)授權(quán)的主體，如疾病預(yù)防控制機(jī)構(gòu)、醫(yī)療機(jī)構(gòu)、衛(wèi)生行政主管部門、網(wǎng)信部門等。其他任何組織和個人未經(jīng)法律法規(guī)授權(quán)，不得收集和利用個人信息。第二，內(nèi)容法定。法律法規(guī)授權(quán)的主體在收集和利用個人信息時，應(yīng)當(dāng)嚴(yán)格遵守法律的規(guī)定，禁止收集和利用未經(jīng)法律法規(guī)規(guī)定允許的個人信息。例如根據(jù)《網(wǎng)絡(luò)安全法》第30條，網(wǎng)信部門不得超出維護(hù)網(wǎng)絡(luò)安全職責(zé)的范疇使用個人信息。第三，責(zé)任法定。對于非法使用個人信息的行為，信息控制者應(yīng)當(dāng)依法承擔(dān)相應(yīng)的法律責(zé)任。例如，根據(jù)《傳染病防治法》第68條，疾病預(yù)防控制機(jī)構(gòu)故意泄露新冠肺炎確診患者、疑似者、密切接觸者等主體的個人信息的，應(yīng)當(dāng)由縣級以上人民政府衛(wèi)生行政部門責(zé)令限期改正，通報(bào)批評，給予警告。

（二）適度放寬的比例原則

在行政法的基本原則中，比例原則包括適當(dāng)性、必要性、相稱性。適當(dāng)性，即行政行為有助于實(shí)現(xiàn)公共目的；必要性，行政行為基于公共利益對公民權(quán)益的損害必須是必要的；相稱性，行政行為對公民權(quán)益的損害。比例原則要求政府部門和其他相關(guān)機(jī)構(gòu)在疫情防控中收集和使用個人信息的工作中，必須把握好利用個人信息處理突發(fā)事件與公民個人權(quán)益保護(hù)的平衡。限制個人信息遵循比例原則，要求相關(guān)機(jī)關(guān)的工作須具有目的的正當(dāng)性、手段的適宜性和侵害的最小性，這種對個人權(quán)益的侵害不能對個體造成無法承受的負(fù)擔(dān)。但在突發(fā)事件應(yīng)對中，政府和公民的關(guān)系發(fā)生了深刻的變化，人們對于行政權(quán)與私權(quán)利的平衡、正當(dāng)程序以及知情權(quán)、生命權(quán)和健康權(quán)的需求有消有長，而政府的決策依據(jù)、行政程序、行政目的都會有所調(diào)整[2]125。因此，比例原則在疫情防控下的適用體現(xiàn)出兩個重要特征：一是比例原則的要求要有所放寬；二是判斷行政措施是否符合比例原則還需要考慮政府的應(yīng)急能力及為了社會大多數(shù)人利益而追求的效率等因素。在突發(fā)事件應(yīng)對工作中，不應(yīng)要求政府利用個人信息的行為在比例原則上得到嚴(yán)格證明或社會多數(shù)的認(rèn)可，而更應(yīng)充分考慮其應(yīng)對突發(fā)事件時的實(shí)際能力與工作效率。特別是在疫情防控這類緊急與嚴(yán)重的突發(fā)事件中，與公民的個人信息權(quán)同等重要的或者更高的公共利益——應(yīng)對公共危機(jī)的需要存在沖突，因此個人信息權(quán)相應(yīng)受到限制。如果沒有這樣的價值沖突存在，限制個人信息權(quán)利的行為就不存在正當(dāng)理由。同理，在突發(fā)事件應(yīng)對中不應(yīng)也沒有必要要求政府利用個人信息的措施是對公民權(quán)利影響最小的一種。因?yàn)樵趪?yán)重的突發(fā)事件中，為了實(shí)現(xiàn)對社會資源的飽和利用，政府機(jī)構(gòu)需要出于應(yīng)急和預(yù)防的目的盡可能采取所有可能的措施。只要政府機(jī)構(gòu)實(shí)施的措施影響相對較小或者尚在合理、可控的范圍之內(nèi)，就應(yīng)認(rèn)為其符合比例原則。

（三）最小化原則

最小化原則又稱必要性原則，其要求在同樣能夠達(dá)成疫情防控目的的各種手段中，應(yīng)當(dāng)保持使用公民的個人信息在最小范圍之內(nèi)。最小化原則的目的在于避免個人信息的過度使用，同時也在于減少個人信息被非法獲取的風(fēng)險(xiǎn)。根據(jù)最小化原則，有關(guān)部門使用個人信息有三個條件：第一，如果不使用某一項(xiàng)或某一組個人信息，則疫情防控的目的無法實(shí)現(xiàn)或無法達(dá)到合理效果；第二，個人信息的使用應(yīng)被控制在實(shí)現(xiàn)疫情防控目的所必需的最小頻率之內(nèi)；第三，盡量只使用新冠肺炎確診患者、疑似者、密切接觸者等重點(diǎn)監(jiān)控人群的個人信息，而不得收集和使用未與新冠肺炎患者密切接觸的其他主體的信息。

當(dāng)前我國疫情防控規(guī)定中的最小化原則同樣存在規(guī)定不明確的問題?！锻ㄖ访鞔_要求在個人信息的收集過程中堅(jiān)持最小范圍原則，《規(guī)范》中5.2條也規(guī)定了收集個人信息的最小化要求，收集個人信息的類型與實(shí)現(xiàn)產(chǎn)品或服務(wù)的業(yè)務(wù)功能有直接關(guān)聯(lián)，具體到疫情防控工作中即要求收集的個人信息對疫情防控有直接作用。二者都沒有對疫情防控中的個人信息收集“最小化”進(jìn)行明確規(guī)定，當(dāng)前也沒有其他相關(guān)文件對如何“最小化”收集信息進(jìn)行規(guī)定。對疫情防控的要求而言，與之直接相關(guān)的個人信息種類是有限的，如果沒有相關(guān)文件或規(guī)定加以一一列舉，自然不能達(dá)到“最小化”的要求，個人信息保護(hù)也無從談起。

（四）知情同意原則

當(dāng)前，學(xué)界對于知情同意是否能稱為突發(fā)公共衛(wèi)生事件中個人信息利用的原則之一仍有爭議。金松等學(xué)者持肯定態(tài)度，認(rèn)為公共安全不能成為個人信息保護(hù)豁免的萬能理由。其主要觀點(diǎn)是個人信息的使用方式及使用范圍首先應(yīng)由個人自主決定，只有尊重和保護(hù)個體對個人信息的自主決定權(quán)，將授權(quán)同意作為使用的一般要件，才能保障個人信息利用行為的正當(dāng)性與合法性，進(jìn)而挖掘和釋放個人信息應(yīng)有的資源價值[3]。而高富平明確指出，“同意不是且不應(yīng)成為個人信息使用的一般規(guī)則”[4]。因?yàn)樾畔⒅黧w無法實(shí)際控制自己的信息被用于何種目的，也無法控制個人信息的流通，實(shí)質(zhì)上對已提供的信息無控制力。而且在知情同意模式下，信息收集者頻繁要求信息主體做出同意表示，由此導(dǎo)致信息主體并不會仔細(xì)審查便同意，使得同意流于形式。林鴻潮等指出，出現(xiàn)這一爭議的原因在于個人信息具有個體和社會的雙重屬性。在信息時代，政府要實(shí)現(xiàn)精確治理、科學(xué)決策從而廣泛地促進(jìn)公共福祉，必然有賴于公民對個人信息權(quán)的讓渡；而“社會性”也構(gòu)成了突發(fā)事件應(yīng)對中政府不經(jīng)權(quán)利主體同意而利用個人信息的正當(dāng)性基礎(chǔ)之一[2]129。如果將個人信息完全等同于隱私權(quán)追求絕對公民“個人自治”的權(quán)利，可能導(dǎo)致政府在利用個人信息時的“束手束腳”，出現(xiàn)如疫情信息披露的不及時、不到位等問題。

三、疫情防控中個人信息保護(hù)規(guī)范路徑

對于疫情防控中的個人信息利用與保護(hù)，有三種進(jìn)路，第一種是在信息保護(hù)相關(guān)法律法規(guī)如未來的《個人信息保護(hù)法》（編者注：該法已于2021年8月20日頒布）中進(jìn)行專章規(guī)定，第二種是在《傳染病防治法》《突發(fā)事件應(yīng)對法》，第三種是基于現(xiàn)有的《傳染病防治法》《突發(fā)事件應(yīng)對法》《信息安全技術(shù) 個人信息安全規(guī)范》，具體由國務(wù)院衛(wèi)生健康部門針對當(dāng)前疫情進(jìn)行細(xì)化規(guī)定。

第一種進(jìn)路，從未來《個人信息保護(hù)法》的制定角度出發(fā)，可以參考《規(guī)范》的內(nèi)容，由于其針對的是個人信息的一般利用方法，因此即便沒有對醫(yī)療衛(wèi)生或公共安全事件進(jìn)行具體規(guī)定，也是符合我國法律體系統(tǒng)一性要求的。在第二種進(jìn)路中，由于法律固有的滯后性缺陷，讓法律法規(guī)或政策制定者進(jìn)行超前的醫(yī)學(xué)判斷顯然并不現(xiàn)實(shí)。

第二與第三種進(jìn)路結(jié)合應(yīng)當(dāng)是更適宜的個人信息保護(hù)手段。當(dāng)前，諸多學(xué)者在提出疫情防控中的個人信息保護(hù)方法時，僅僅針對個人信息保護(hù)的一般規(guī)則，而忽視了疫情防控對于個人信息保護(hù)的特殊要求。本次疫情防控中進(jìn)行的個人信息使用與保護(hù)的特殊性在于無論是個人信息的內(nèi)容，還是收集手段、處理、利用等程序方法，都與流行病學(xué)、傳染病防治等醫(yī)學(xué)判斷緊密相關(guān)。因此有學(xué)者提出，在各項(xiàng)專門立法中對數(shù)據(jù)使用與信息披露進(jìn)行場景化的特別規(guī)定。嘗試在《傳染病防治法》中針對疫情防控特殊時期，相關(guān)衛(wèi)生防疫部門對數(shù)據(jù)的獲取、應(yīng)用及披露做出更加精細(xì)化的規(guī)定[5]。將來的《個人信息保護(hù)法》中，應(yīng)參考《個人信息安全規(guī)范》構(gòu)建個人信息保護(hù)的框架。這一框架是普遍適用于各種情景下的個人信息利用和保護(hù)方法，具有在個人信息利用和保護(hù)工作中的原則性意義。在此基礎(chǔ)上，疫情防控工作的相關(guān)法律如《傳染病防治法》和《突發(fā)事件應(yīng)對法》自然不需要再對如何執(zhí)行個人信息的利用和保護(hù)進(jìn)行重復(fù)規(guī)定，僅對個人信息保護(hù)相關(guān)法律法規(guī)進(jìn)行準(zhǔn)用，并針對傳染病防控或其中規(guī)定的相關(guān)突發(fā)事件制定調(diào)整性或例外的規(guī)則即可。在法律適用上依照特別法優(yōu)于一般法的原則，可避免不必要的法律沖突。如前文所述，更高位階的法律具有滯后性，而無論是相關(guān)規(guī)定還是政策的有效實(shí)行均建立在其科學(xué)性基礎(chǔ)上。疫情突發(fā)事件的形態(tài)和內(nèi)容可能每一次都不盡相同，具體的某次疫情防控或突發(fā)事件中，需要國務(wù)院衛(wèi)生健康部門或其他突發(fā)事件管理部門聯(lián)合信息管理部門制定更詳細(xì)的規(guī)定，如此才能在不忽視科學(xué)性的基礎(chǔ)上最大可能地保護(hù)個人信息的安全。

以新冠肺炎疫情的防控工作為例。2020年1月26日，國家衛(wèi)健委相關(guān)負(fù)責(zé)人在新型冠狀病毒感染的肺炎疫情聯(lián)防聯(lián)控工作發(fā)布會上表示，新型冠狀病毒潛伏期最短1天最長14天，與非典有很大不同。2020年5月15日，國新辦舉行新聞發(fā)布會國家衛(wèi)健委副主任曾益新在回應(yīng)新冠病毒“人傳人”時談道：我們對新冠病毒的認(rèn)識有一個過程。2020年1月14日召開的全國衛(wèi)健系統(tǒng)電視電話會議，當(dāng)時對病毒的認(rèn)識還處于“在路上”的狀態(tài)，許多問題還沒有達(dá)到能得出結(jié)論的程度。到了2020年1月19日，我們對新冠病毒人和人之間的傳播能力才有了比較準(zhǔn)確的認(rèn)識[6]。對于新冠病毒潛伏期和“人傳人”能力的認(rèn)識都是基于當(dāng)前最新的醫(yī)學(xué)研究，而二者對個人信息的收集有極大影響。因此在本次新冠肺炎疫情防控中，針對行為軌跡的公開一般為車次信息，但是行為軌跡不僅包括列車、飛機(jī)、客車等班次信息，還包括酒店、旅社等住宿信息。就班次信息而言，由于客運(yùn)信息或出入疫情地車輛信息的電子化管理，管理部門通常會對車次信息予以公開。但疫情擴(kuò)散的風(fēng)險(xiǎn)并不僅限于交通工具，疫情地返鄉(xiāng)人員的相關(guān)住宿可能造成更高程度的傳播風(fēng)險(xiǎn)。如果高風(fēng)險(xiǎn)人群的相關(guān)住宿信息缺失,則可能使與高風(fēng)險(xiǎn)人員接觸過的人群出現(xiàn)被關(guān)聯(lián)感染的風(fēng)險(xiǎn)。若密切接觸人群疏于自我觀察、隔離，結(jié)果就是可能造成疫情更大范圍的交叉擴(kuò)散。

四、結(jié)語

在新冠肺炎疫情防控工作中，與個人信息的利用與保護(hù)相關(guān)的法律法規(guī)的完善呈現(xiàn)出兩個面向，一是社會利益與個人信息保護(hù)之間的平衡，二是治理體系和治理能力現(xiàn)代化對科學(xué)立法的要求。個人信息的利用在疫情防控中的作用毋庸質(zhì)疑，但在程序和內(nèi)容上都有優(yōu)化的空間。如何在法治框架下平衡社會利益和個人利益，以及如何在個人信息的利用上滿足防控實(shí)踐的要求是兩個當(dāng)前急需解決的問題。從法律法規(guī)以及政策之間的配合來看，較為合理的改進(jìn)方式是充分利用已經(jīng)構(gòu)建的個人信息保護(hù)方法和體系，結(jié)合疫情防控的特點(diǎn)進(jìn)行特殊規(guī)定，再在具體政策和規(guī)定中結(jié)合醫(yī)學(xué)研究的成果和需要進(jìn)行精細(xì)化明確化的規(guī)定。這樣才能實(shí)現(xiàn)既保障公共利益與個人利益相平衡，同時又充分體現(xiàn)科學(xué)立法的要求，立足于醫(yī)學(xué)研究成果和疫情防控實(shí)踐，進(jìn)一步推進(jìn)治理體系和治理能力現(xiàn)代化。