大數據時代個人醫療信息利用的入罪界限
——對《刑法》第二百五十三條之一的再思考

醫療領域的大數據利用,既關系國民生命健康品質的實質提升,也存在侵害個人信息的風險。有學者認為“對個人信息保護”和“對個人信息利用”之間的矛盾是我國個人信息保護立法的三大矛盾之一①張新寶《我國個人信息保護法立法主要矛盾研討》,《吉林大學社會科學學報》2018年第5期,第45頁。。縱觀諸國醫療信息的立法演變,呈現出從對醫療信息的嚴格刑法保護到促進醫療信息有效利用的傾向。以日本為代表,近期相關立法在設計上為醫療大數據的有效利用提供了寬松的制度環境,排除了刑法介入的空間。在我國也日漸重視醫療大數據社會價值的背景下,侵犯公民個人信息罪作為刑法上醫療大數據有效利用的制度隱患,在具體構成要件要素上,需要做更為實質的解釋,以厘清其治理邊界,為我國醫療大數據的有效利用掃清障礙。

一 醫療信息的特殊性

醫療信息一般是指公民在醫療保健過程中產生的、由醫療機構制作和獲取的公民個人信息。一般表現為公民個人的身體數據、既往病史、檢驗或鑒定報告等形式。醫療信息是由公民的身體或行為所產生的信息,當然屬于公民個人信息的范疇。但醫療信息由于其內容的特定性,又具有區別于其他一般個人信息的特殊性,具體體現在以下三個方面。

(一)極度的敏感性

由于醫療信息的內容往往是患者個人的身體數據、過往病史等,而患者的個人身體數據如DNA 信息、血型狀況、骨骼狀況乃至三圍數據往往是與患者個人緊密聯系的,是個人控制力度最強的生理信息,具有高度的私密性。在日常生活情景下,一般人都會認為個人的身體數據是高度敏感的信息,不愿意對公眾公開。而對于既往病史類的醫療信息,由于其涉及到了患者本人的病史、病種、病情等,一般也認為其具有高度的私密性與敏感性。尤其是對于某些可能會引發社會歧視的傳染病癥的醫療信息,更是具有極端的敏感性,一旦泄露將會給患者帶來精神上的痛苦乃至實質上的損失。這都與一般性個人信息如電話號碼、身份識別號碼等不同。

(二)高度的價值性

“醫療以醫學研究的持續積累為基礎而不斷進步。而醫療的持續進步離不開對醫療信息的活用。”①甲斐克則《醫療信息保護與利用的刑事法問題——以精神鑒定醫泄露秘密案最高裁決定為契機》,劉建利譯,《法學論壇》2014年第5期,第30頁。醫學尤其是臨床醫學和藥學作為應用型科學,其每一項醫學研究和醫療技術的發展都需要大量的實驗與數據為基礎,通過對海量的病患信息進行分類歸納和類比可極大地推進醫學進步,運用大數據進行研究的醫學論文數量自2012年以來呈現出飛躍性增長趨勢②中山健夫監修,21世紀醫療フォーラム編『醫療ビッグデータがもたらす社會変革』,日経BP社2014年版,第1頁。。而醫學的發展最終指向的是社會醫療福祉和全體人類健康水平的提高。從這個角度上來看,醫療信息又具備其他信息所不具有的對全人類整體性的巨大價值。

(三)規制方法的特殊性

鑒于醫療信息所具有的敏感性和價值性,在大數據時代,用與其他個人信息相同的規制方法對其進行規制,既容易造成醫療信息利用時因技術標準不當而導致醫療信息的泄露而造成巨大的損害,也更容易傾向于因過度的保護而抑制醫療大數據巨大價值的利用。因此,對于醫療信息需要特殊的規制手段和利用標準。世界各國往往都出臺了專門規定醫療信息利用的法律法規和技術標準,如日本就出臺了《針對醫療護理行業者的個人信息收集適當處理指南》。

二 傳統的立場:個人醫療信息的嚴格保護

(一)個人醫療信息的保護:從道德義務到刑法法益

醫術也被稱之為沉默的藝術,和患者有關的秘密要保持沉默,這是自古代以來就為醫生所必須注意的事情。有學者考證,醫生的保密義務起源大約可以追溯到2800年前的古代。在希波克拉底誓言當中,就有如下的記述:凡我所見所聞,無論有無業務關系,我認為應守秘密者,我愿保守秘密。這一時期,對醫生的保密要求還不是法律上的義務,只是醫生職業道德上的內在要求。此時醫生對于患者信息的保護,還屬于倫理或道德上的義務。

此后,作為醫生職業倫理的沉默義務,于各國經諸多法律規范確立為法律義務,位于各個法律的根源的共同的基礎,這種道德義務在法律解釋上的意義一直在持續。時間進入近代,醫生地位之重要性逐漸增加,且出于對國民健康的維護,各國逐步制定法律規范附加給醫生相關義務。其中,醫生的保密義務開始帶有法律拘束力,比如1725年普魯士《醫療命令》當中規定,與健康相關的制度要想發揮足夠的功能,必須要保證國家的機能,因此,其后制定了諸多醫療規則,其中就包含了對醫生保密義務的規定。1794年《普魯士一般法》首次以法律的形式來對醫生保密義務進行規制,并通過刑罰來懲治醫生泄露醫療信息的行為③醫生、外科醫師與助產人員就自己所知道的疾病和非犯罪相關的家族秘密,不得向任何人泄漏。違反者,根據情節將給予5-10泰勒(15-19世紀德國銀幣)的罰金。這一規定,并不是因泄漏秘密導致患者人格權侵害而設置刑罰,而是針對醫生違反應該履行的義務所給予的刑罰處罰。。這一規定,經過1851年的《普魯士刑法》第一百五十五條、《北德意志刑法》第二百九十六條、1871年《萊比錫刑法》第三百條的規定,于1975年被德國刑法典繼承至今。現行《德國刑法》第二百零三條規定的私人秘密侵害罪④“醫生、牙醫、獸醫、藥劑師或者其他為執行業務行為或使用職務稱謂而需要國家所規定教育之醫療職業成員,無故泄露因自己身份而知曉的他人秘密,特別是私人生活領域的秘密或經營業務秘密的”,構成私人秘密侵害罪。,其所保護的是針對保持秘密的個人法益,是在憲法上也受到保障的“一般人格權”的一部分,即“信息自我決定權”①Vgl.Sch?nke/Schr?der/Lenckner.St GB,27.Aufl.,2006,203,Rn.3.。另外,對特定職業、行政機關等主體的保密行為的一般信賴——這一公共利益,也被認為是需要保護的法益。德國相關觀點認為,醫生刑法上的保密義務,除了追求個人利益之外,也一并保護社會的或者集體的法益。

而在日本,對于患者個人信息的保護也非常嚴格。從立法的經緯來看,不管是明治13年制定的舊《刑法》第三百六十條,還是明治40年通過的現行《刑法》第一百三十四條②日本《刑法》第一百三十四條第一款規定:“醫師、藥劑師、醫藥品販賣業人員、助產師、律師、公證人以及從事這些工作的人,在不存在正當理由的情況下,泄露在從事業務中所得知的他人秘密的,處6個月以下有期徒刑或者10萬日元以下罰金。”,都將醫生泄露患者信息歸類為侵害社會法益的犯罪,重點關注醫生的“守密義務”,將行為主體限定為“在從事業務中知悉他人秘密”的人。這與明治7年開始的醫師制度以及其后制定的一系列規則的內容和精神相一致。這一內容也毫無例外地被昭和23年通過的《醫師法》和《牙科醫師法》所繼受,并影響到現行《刑法》第一百三十四條第一項。

在2006年發生的奈良縣醫生泄露放火、殺人案少年犯精神病信息一案中,作為鑒定醫生的被告人,受法院委托,就涉嫌放火、殺人案的嫌疑人——少年A 的精神狀態進行鑒定,并將所獲知的A 的心理狀態、心理檢查結果等信息提供給某雜志社,供記者進行新聞報道所用③奈良地判平成21.4.15刑集66卷4號440頁,判時2048號135頁。。最高裁判所對泄露患者秘密的醫生作出了維持有罪判決的決定:“醫生基于知識和經驗,被法院委托,進行包括診斷在內的醫學判斷為內容的鑒定活動的時候,屬于醫生實施業務行為,在該業務行為過程中所知悉患者的秘密,沒有正當理由予以泄露,符合刑法第一百三十四條第一款的泄露秘密罪。”④最決平成24.2.13刑集66卷4號第405頁。并補充指出:“《醫師法》第十七條所言的醫療行為當中,實施針對患者的診察、治療業務中,醫生和患者之間具有信賴關系,即使是和意識不明的患者之間,也可以通過合理的意思推測,來認定信賴關系的存在。基于這種信賴關系,患者才將病情、身體和精神特征等隱私信息,以及與此相關的第三人的信息,告知給醫生。基本醫療行為正是在知悉秘密的前提下,才得以成立。《刑法》第一百三十四條泄露秘密罪的宗旨在于,重視在實行基本醫療行為中總是經常性地接觸和保管患者等人秘密的醫師業務,把泄露在業務過程中所知悉的秘密的行為規定為刑罰對象。因此,本罪的第一個目的是為了保護這些患者等人的秘密。”⑤甲斐克則『醫療情報の保護と利用の刑事法的問題點』,載西田典之等《刑事法醫事法新たな展開》,第66-67頁。

關于泄露秘密罪的保護法益,傳統觀點一如日本最高裁判所法官的論述,只是具體的信賴保護利益,也即立法本意是將本罪所保護的重點放在當事人(如患者與醫生)之間的具體信賴關系上。但是出于對本罪法益的重視,有觀點將本罪的法益升格為社會信賴保護。如精神鑒定醫生泄露患者秘密一案的補充意見認為,日本的泄露秘密罪“首先,是為了保護患者等的秘密,其次,是讓患者等安心才能對醫生開示自己的疾患信息(秘密),進而保障醫生的基本醫療行為能夠妥當地進行,也即是為了保護醫生的業務本身”。這種社會信賴保護說受到越來越多的學者的支持⑥佐久間修『鑑定醫による秘密漏示事件』,甲斐克則等《醫事法判例百選(第2版)》,有斐閣2014年版,第56頁。。

在我國,2009年出臺的《刑法修正案(七)》首次將出售、非法提供、非法獲取公民個人信息的行為認定為犯罪,為保護公民個人信息奠定了刑法基礎。但由于《刑法修正案(七)》規定的非法獲取公民個人信息的犯罪主體和侵犯個人信息行為的范圍太窄,2015年出臺的《刑法修正案(九)》對本罪條文進行了修改,正式設立了“侵犯公民個人信息罪”,并擴大了犯罪主體和侵犯個人信息行為的范圍。2017年5月8日最高人民法院、最高人民檢察院聯合發布了《關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》(以下簡稱《解釋》),并于6月1日正式施行。“在公民個人信息泄露嚴重、利用公民信息的違法犯罪活動猖獗、公民生活安寧得不到保障的社會背景下,《解釋》為公民個人信息的安全使用撐起了一把保護傘。”⑦付玉明《侵犯公民個人信息案件之“批量公民個人信息”的數量認定規則——〈關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋〉第11條第3款評析》,《浙江社會科學》2017年第10期,第24頁。

三 轉變的前提:大數據時代醫療信息的特殊性與社會價值

“大數據”一詞自2010年在英國《經濟學家》雜志首次出現,由美國政府使用并推廣以來,數年間就為各國政府、企業在政策實施及商業戰略制定中大力倡導和使用,成為人類行為選擇的趨勢①Daniel A.Farber，“The rule of law and the law of precedents，”Minnesota Law Review，90 no.5（January，2005）:1173.。“大數據”區別于傳統數據的獨特性在于壓倒化的巨量性、數據種類的豐富性以及通過真實數據進行分析的快速性②左衛民《邁向大數據法律研究》,《法學研究》2018年第4期,第141頁。。通過對大數據的有效利用所產生的新型附加值備受關注,并逐步在各個領域當中推廣使用。醫療大數據的積累和分析所得到的成果,其重要性已經得到一致的認可,有效利用的框架已經開始在包括日本在內的各國形成。

從公共衛生、健康政策、醫療評價、醫療政策到醫療變革(向疾病預測預防的醫療轉向)、新醫療技術的創設(包括藥物創新)等領域,醫療大數據的使用范圍正在變得更廣。其最值得關注的應該是能夠貢獻于醫療健康的實質性改善、創新的推進部分,如日益產生的龐大診療數據、表現為信息爆發的基因信息的分析成果的反饋。另外,醫療大數據帶來的包括相關服務和商業在內的社會范式的轉變等,也備受期待。基于醫療大數據的有效利用,可能產生的主要社會價值包括表1所示方面。

表1 醫療大數據的價值類型

目前的醫療以發病后接受醫學處理的治療為中心,而在未來,通過對個人遺傳、生活信息等大數據的分析,針對每個人發病風險的對策,可以在發病前制定并實施。與此同時,也可以在發病后為患者進行定制化的醫療。而且,醫生基于治療后的預測,對于病患的康復護理都能實現定制化服務,實現醫療對策質量的最優化。同時在當下大規模疫情應對方面,包括患者、疑似患者及密切接觸者等個人信息的醫療大數據的收集與利用對疫情防控與社會情緒的穩定具有重要作用③江海洋《論疫情背景下個人信息保護——以比例原則為視角》,《中國政法大學學報》2020年第4期,第183頁。。

四 新型趨勢:大數據時代醫療信息有效利用的制度促進

(一)大數據時代醫療信息有效利用的方式轉型

在醫療、健康領域,大數據的運用最開始是以事務處理的效率化為目的進行推進。在日本,醫療大數據的原始形態包括“診療報酬請求明細數據、有關的臨床數據、藥局的配藥數據、健康診療的數據等。這些大數據信息的形成都是為了提高醫療行政和保險業務等辦理的效率”④山田亮『ライフサイエンス領域におけるビッグデータの利活用』,『週刊醫學界新聞』2015年第3107號。。然而,隨著大數據時代的到來,醫療信息的有效利用有助于提高醫療質量和效率,增強醫療、健康領域的研究開發。因此,醫療信息的利用方式也開始轉型,各國中央政府不再將醫療大數據作為提高醫療邊緣事項效率的工具。“2013年,英國建立了英國國民醫療服務系統(National Health Service,NHS)。2013年5月,奧巴馬政府宣布了‘大數據的研究和發展計劃’”⑤劉孝男、付嶸、李連磊《大數據時代,醫療行業信息安全面臨的機遇與挑戰》,《中國信息安全》2018年第7期,第100頁。,而日本政府甚至將大數據時代健康、醫療和護理作為經濟正增長的一個重點領域⑥宇賀克也『次世代醫療基盤法:醫療ビッグデータの利用と保護』,《ジュリスト》2018年第1522號,第88-93頁。。在《日本再興戰略(修訂2015)》就曾提出,到2020年的5年間是集中投入時間,將在醫療等領域徹底推進ICT 化⑦『「日本再興戦略」改訂2015―未來への投資?生産性革命―』,參見首相官邸網站:http://www.kantei.go.jp/jp/singi/keizaisaisei/pdf/dai1jp.pdf.最后訪問日期:2018年10月1日。。其后,作為增長戰略而新制定的《未來投資戰略2017》也就醫療大數據的有效利用加以繼承①『未來投資戦略2017―Society 5.0 の実現に向けた改革―』,參見首相官邸網站:https://www.kantei.go.jp/jp/singi/keizaisaisei/pdf/miraitousi2017_t.pdf.最后訪問日期:2018年10月1日。。厚生勞動省在2017年1月設置了“數據監控改革推進總部”,來推進通過充分利用保健醫療數據來實現國民健康生活的“數據健康改革”。因此,醫療大數據的利用,已成為日本政府推進發展戰略的重點策略之一。

(二)大數據背景下醫療信息有效利用的制度促進

在日本,關于醫療信息的利用除了有前述的泄漏秘密罪的限制之外,還受到《個人信息保護法》的制約②日置巴美『健康·醫療情報の活用と個人情報保護法制その他の関係法令(1)』,《NBL》2017年總第1098號,第4頁。,2015年9月該法被修改,更是將病歷、診療結果等醫療信息歸屬到“需謹慎對待的個人信息”當中,這些信息通過OPT-OUT 方式③所謂OPT-OUT 方式是指,預先對本人通知將個人數據向第三者提供,或者本人對此有認識,只要本人不明確反對,即視為同意,可以向第三者提供。禁止向第三方提供。如若將醫療信息向第三方提供的話,原則上必須事前取得每一個患者的明示同意。如果不滿足《個人信息保護法》的規定提供患者信息,將受到刑法泄露秘密罪的處罰。

為此,日本要對醫療大數據進行有效利用的話,需要在法律制度上做好保障。2017年4月《未來醫療基礎法》被制定出來。基于該法的規定,受到國家許可的“認定行業者”能夠收集醫院、藥局等醫療機構所擁有的醫療信息,進行匿名化處理,可以向第三方提供。這成為了《個人信息保護法》限制提供個人信息的例外,患者的醫療信息數據的利用有望被激活。

《未來醫療基礎法》所規定的醫療個人信息基本流程是:患者到醫療機構接受治療,除非明示拒絕任何人將自己的個人醫療信息進行流轉,否則醫療機構是可以將患者的醫療信息傳送給認定行業者,由認定行業者對這些信息進行匿名化處理。當然,認定行業者需要通過高度信息安全認定來進行擔保,否則就不能對這些信息進行匿名化處理。匿名化處理后的信息是無法識別個人以及難以復原的加工后的信息。這些匿名化處理后的信息會被流轉到研究機構、醫療機關、制藥公司或者衛生行政機關,它們作為信息的利用者,依托這些醫療大數據信息進行新藥開發、療效分析或者疾病控制等,最終向國民或者醫院反饋,從而具體應用到患者的治療當中。

該法具有下述三方面特性。

首先,關于匿名加工醫療信息的利用目的,《未來醫療基礎法》規定為“為行政機關、學術研究機構以及以制藥企業為代表的民間企業所有效利用”。具體來說,是“使用關于治療評價的大量治療數據,實施大規模的研究,統合相關疾病在不同的醫療機構、治療領域的信息、治療成績評價,有效使用人工智能,進行圖像數據分析,使得從一般性的支援醫生診斷到治療最尖端的治療輔助軟件的開發等,都成為可能”④第193回國會衆議院內閣委員會議録第6號第3頁(平29.4.12)。。

其次,《未來醫療基礎法》將“醫療信息”界定為特定個人的病歷,以及其他該個人身心狀態相關的信息。使用者需要特別注意在使用這些信息時,不能因該身心狀態信息,對該個人及其子孫帶來不當差別、偏見及其他不利,也不能通過相關法律規定的個人信息識別出特定個人情況等。另外,“匿名加工醫療信息”是指,以無法識別特定個人為目標,將醫療信息進行加工所得到的和個人相關的信息,并且該醫療信息無法復原。

再次,《未來醫療基礎法》的核心主體是“認定行業者”。“認定行業者”是實施匿名加工醫療信息制作行業的主體,以制藥企業為代表的民間企業需要通過申請,得到相關主管大臣的認定,才能被認定為能夠合法且可靠地進入該行業。主管大臣在進行認定之前,必須要和個人信息保護委員會進行協商討論。患者本人在醫療機構接受治療時,會預先收到自己的醫療信息向“認定行業者”提供的通知,如果患者沒有明示拒絕的話,則視為允許提供。“認定行業者”接受來自醫療機關提供的包含個人信息的醫療信息,并對醫療信息進行匿名加工,使得該信息難以識別個人,最后將匿名加工后的信息向第三者提供。

五 本土語境:我國侵犯公民個人醫療信息入罪的限縮解釋

在大數據時代,我國也不能無視醫療信息有效利用的價值。2015年國務院《促進大數據發展行動綱要》指出:“在全球信息化快速發展的大背景下,大數據已成為國家重要的基礎性戰略資源,正引領新一輪科技創新。”2016年《國務院辦公廳關于促進和規范健康醫療大數據應用發展的指導意見》提出“健康醫療大數據是國家重要的基礎性戰略資源”。2018年4月《關于促進“互聯網+醫療健康”發展的意見》規定,要“研究制定健康醫療大數據確權、開放、流通、交易和產權保護的法規”。根據以上文件內容及精神,《國家健康醫療大數據標準、安全和服務管理辦法(試行)》制定出臺。

在我國,目前個人信息立法中存在的突出問題之一就是“普遍重責任追究,尤其是刑事責任追究,輕過程規范,輕綜合治理。只要發生不利結果,就責任很重,甚至可以直接刑罰制裁”①周漢華《探索激勵相容的個人數據治理之道——中國個人信息保護法的立法方向》,《法學研究》2018年第2期,第14頁。。醫療大數據有效利用的最大風險是刑法中所規定的侵犯公民個人信息罪。目前國內因醫生提供和企業獲取患者醫療信息而獲罪的案件屢有發生。比如在張聰侵犯公民個人信息一案中,“被告人張聰在擔任社區衛生服務站公衛醫生期間,利用其負責公衛資料錄入及掌握珠海市衛計局社區衛生服務信息系統的賬戶、密碼的職務之便,在水擁社區衛生服務站內,通過QQ 以人民幣400元的價格向孫某販賣了約98009條珠海市患者的個人信息”,最終法院認定構成侵犯公民個人信息罪②《張聰侵犯公民個人信息一審刑事判決書》,珠海市香州區人民法院(2017)粵0402刑初159號刑事判決書。。又比如在鄔某某、厲某某侵犯公民個人信息一案中,“被告人作為舟山開心人醫療產業有限公司采購人員,為獲取其他醫藥機構的藥品價格信息及藥品銷售情況,登錄舟山市社會保險事業管理局的‘舟山市醫保交互平臺’,從該平臺查看并非法下載病人的醫保就診數據”,被認定為構成侵犯公民個人信息罪③《鄔某某、厲某某侵犯公民個人信息一審刑事判決書》,舟山市定海區人民法院(2017)浙0902刑初78號判決書。。如何在有效利用醫療大數據的流程中,防止《刑法》中侵犯公民個人信息罪成為負面因素,應成為我國理論和實務界所關注的核心問題。

(一)制度隱患:侵犯公民個人信息罪對醫療信息有效利用的限制

2015年《刑法修正案(九)》將“出售、非法提供公民個人信息罪”和“非法獲取公民個人信息罪”整合為“侵犯公民個人信息罪”,擴大了犯罪主體和侵犯個人信息行為的范圍,體現了我國《刑法》對于公民個人信息的保護態度。但是,公民個人醫療信息所構成的醫療大數據是把雙刃劍,具有極端的二重性。一方面,個人醫療信息往往事關公民的切身利益和個人隱私,具有極端的敏感性;另一方面,社會醫療保障體系的構建,醫療技術的數字化革命,醫學研究的不斷發展,都離不開醫療大數據的利用,具有極端的價值性。“不要僅僅因為是高度敏感性信息,就否定其公益利用的必要性”④宇賀克也《日本醫療領域的個人信息保護》,楊琴、余夢凝譯,《貴州社會科學》2017年第8期,第54頁。。我國現行《刑法》第二百五十三條之一“侵犯公民個人信息罪”及相關司法解釋,雖然體現了法律加強對公民個人信息保護的態度,但也存在限制醫療大數據運用的因素。

1.“違反國家有關規定”對醫療大數據利用的限制

《刑法》第九十六條規定:“本法所稱違反國家規定,是指違反全國人民代表大會及其常務委員會制定的法律和決定,國務院制定的行政法規、規定的行政措施、發布的決定和命令。”《刑法修正案(九)》將“出售、非法提供公民個人信息罪”和“非法獲取公民個人信息罪”整合為“侵犯公民個人信息罪”,并將其中的“違反國家規定”改為“違反國家有關規定”。最高法、最高檢的《解釋》第二條將“違反國家有關規定”界定為“違反法律、行政法規、部門規章有關公民個人信息保護的規定”,對公民醫療信息大數據化的利用產生了限制作用。

首先,《刑法》二百五十三條之一規定“違反國家有關規定”,實際上是起到了提示違法性的作用。本罪的“違反國家有關規定”是在向司法者提示本罪的構成要件的消極事由⑤江耀煒《大數據時代公民個人信息刑法保護的邊界——以“違反國家有關規定”的實質解釋為中心》,《重慶大學學報(社會科學版)》2019年第1期,第155頁。。“國家有關規定”實際上成為了公民個人信息合法利用的依據。《解釋》第二條將全國人民代表大會及其常務委員會的決定、國務院規定的行政措施等排除在外,某種程度上限縮了公民信息大數據化收集、處理和利用的相關依據。

其次,《解釋》第二條將國務院部門規章納入到國家有關規定的范疇中來。但是,我國現行部門規章中除工信部于2013年出臺的《電信和互聯網用戶個人信息保護規定》外,并沒有專門規定關于公民個人信息尤其是醫療信息保護的規章,而關于公民個人信息保護尤其是醫療信息保護的規定零星地散布于不同部門頒布的大量規章中,如《結核病防治管理辦法》第三十三條、《食品藥品監督管理統計管理辦法》第八條等。“部委規章涉及規定個人信息保護的領域比較寬泛,但是對個人信息的保護依然是泛泛規定,多為碎片化內容,法律操作性不強”①王秀哲《我國個人信息立法保護實證研究》,《東方法學》2016年第3期,第63頁。。再者,現行部門規章對于公民個人信息保護尤其是醫療信息保護的規定往往比較絕對化,如《結核病防治管理辦法》第三十三條規定:“在執行公務中應當保護患者的隱私,不得泄漏患者個人信息及相關資料等。”在條文上排除了對于其醫療信息利用的例外規定。而《醫療機構病歷管理規定》第十五、十六條②《醫療機構病歷管理規定》第十五條規定:“除為患者提供診療服務的醫務人員,以及經衛生計生行政部門、中醫藥管理部門或者醫療機構授權的負責病案管理、醫療管理的部門或者人員外,其他任何機構和個人不得擅自查閱患者病歷。”第十六條規定:“其他醫療機構及醫務人員因科研、教學需要查閱、借閱病歷的,應當向患者就診醫療機構提出申請,經同意并辦理相應手續后方可查閱、借閱。查閱后應當立即歸還,借閱病歷應當在3個工作日內歸還。查閱的病歷資料不得帶離患者就診醫療機構。”對于公民病歷等醫療信息的收集與利用程序也作了相當嚴格的規定,制約了相關主體對公民醫療信息大數據化的利用。

2.“向他人出售或提供”對醫療大數據利用的制約

“向他人出售或者提供公民個人信息”屬于本罪重要的構成要件要素,從行為要素上體現了本罪所要保護的法益。但是,在信息高度流通化、財產化的大數據時代下,將“向他人出售或提供”做形式解釋,也會給醫療大數據的利用埋下入罪的隱患。

首先,“向他人出售或者提供公民個人信息”中的“他人”的范圍界定過于寬泛和抽象。在如今現代化系統化的醫療體系中,患者于醫療保健機構就醫受診過程時,公民的個人信息尤其是醫療信息如身體數據、既往病史、檢驗報告等常常需要在不同的醫務人員中流轉。特別是近年來,隨著團隊醫療、醫藥分工合作的發展,與醫療信息保護要求的高漲相反,信息傳達的必要性在增強,而其流轉的范圍也在擴大。在這個過程中,必然會涉及到向廣義上的“他人”提供和交換公民醫療信息的行為。過于廣泛而模糊的“他人”的定義會使得醫療診斷的進行陷入刑法規制的困境。

其次,“出售”和“提供”兩種行為的差別性規定也存在著隱患。出售一般是指具有對價的交易行為,而提供則是無償行為。“出售”行為一般表現出牟利的目的,會被認為社會危害性較重。在司法實踐中,侵犯公民個人信息罪的客觀行為也主要以“出售”為主③參見:《吳華添、黃斌公民個人信息一審刑事判決書》,舒城縣人民法院(2017)皖1523刑初53號;《穆某某、鮑某侵犯公民個人信息一審刑事判決書》,滕州市人民法院(2018)魯0481刑初91號;《石某犯侵犯公民個人信息罪一審刑事判決書》,龍巖市新羅區人民法院(2016)閩0802刑初465號。。《解釋》第三條規定:“未經被收集者同意,將合法收集的公民個人信息向他人提供的,屬于刑法第二百五十三條之一規定的‘提供公民個人信息’,但是經過處理無法識別特定個人且不能復原的除外。”這從反面確定了“提供”公民個人(醫療)信息的例外條件,射程在形式上不及于“出售”行為。這似乎符合一貫以來《刑法》對“出售”行為著重打擊的態度。但是,以對價的有無作為評價法益侵害性大小的標準是有待商榷的。在信息流通化和財產化的大數據時代,對于出售行為仍然站在保守的立場上進行差別對待,不利于激發大數據潛在價值。美國頂級的癌癥研究中心——紀念斯隆凱特林癌癥中心近期提出,將把病人數據獨家提供給人工智能創業公司Paige.AI并從中獲利。而我國早在2015年,貴陽大數據交易所的業務板塊中就已經有了醫療板塊④商希雪《個人信息隱私利益與自決利益的權利實現路徑》,《法律科學》2020年3期,第81頁。。如果僅僅規定了“提供”行為的例外條款,而對“出售”行為采取絕對排除的態度,要求只能進行有限度的無償提供行為,顯然不符合現實情況。

(二)保障路徑:通過實質解釋促進醫療信息的有效利用

由于我國現行《刑法》第二百五十三條之一及相關司法解釋偏重于對公民信息的保護,對于大數據,尤其是醫療大數據的收集、處理和利用實際上進行了較為嚴格的限制。那么,如何在現行嚴格的《刑法》規定下,讓合理的醫療信息大數據化運用避免受到刑事規制,成為了一個亟待解決的重要問題。對此有必要對侵犯公民個人信息罪構成要件的部分概念進行實質解釋,將部分行為排除出刑法規制的領域,合理限縮有關罪名的構成要件⑤張憶然《大數據時代“個人信息”的權利變遷與刑法保護的教義學限縮——以“數據財產權”與“信息自決權”的二分為視角》,《政治與法律》2020年第6期,第53頁;張勇《APP個人信息的刑法保護:以知情同意為視角》,《法學》2020年第8期,第121頁。。

1.“違反國家有關規定”范圍的實質解釋

如上文所言,《刑法修正案(九)》將原先的“違反國家規定”更改為“違反國家有關規定”,2017年的《解釋》又進一步將“國家有關規定”的范圍確定為“違反法律、行政法規、部門規章有關公民個人信息保護的規定的”。我們究竟應當如何理解這些變化?是否所有公民個人信息保護的規定在醫療大數據利用的過程中,都需要得到滿足以保障合法?

有學者認為“違反國家有關規定”不同于“違反國家規定”,前者的范圍更為寬泛①喻海松《網絡犯罪的立法擴張與司法適用》,《法律適用》2016年第9期,第2頁。。原因在于“違反國家有關規定”將“違反國家規定”中所沒有的部門規章納入其中,也符合了《刑法修正案(九)》和《解釋》對公民信息擴張性保護的原則。但應當注意到的是,“違反國家有關規定”在將部門規章納入其中的時候,又將全國人民代表大會及其常務委員會的決定等排除在外,而實際上這一部分也存在著諸多關于個人信息保護的規定,如《全國人大常委會關于加強網絡信息保護的決定》等,因此很難說“違反國家有關規定”的范圍較“違反國家規定”究竟是擴大了還是縮小了。

既然從范圍上難以確定“違反國家規定”與“違反國家有關規定”的差異,那么又應當如何理解從前者到后者的立法變化呢?其關鍵在于“有關”的表述。“違反國家有關規定”不是指形式上所有有關個人信息的規定,而是實質上有關該特定種類涉案信息保護的規定。如對于公民網絡信息,《網絡安全法》《電信和互聯網用戶個人信息保護規定》就可以被認定為有關規定。而對于不涉及網絡因素的特殊的公民醫療信息,規制電信業務經營者、互聯網信息服務提供者的相關規定就很難被理解為“有關規定”。這也解釋了為何“國家有關規定”要將原本不屬于“國家規定”的部門規章納入其中,其原因就在于國務院部門鑒于其主管事務的專門性,所出臺的部門規章往往具有專業性和專門性。因此,為了滿足“有關性”,需要將部門規章納入其范圍中去。總而言之,在規范體系中,當不存在針對醫療信息利用的約束性規定,那么《刑法》就不能以違反概括性的或者其他領域中信息利用的約束性條款,來對醫療信息利用行為,以“違反國家有關規定”為由加以入罪。

2.“他人”的實質解釋

侵犯公民個人信息罪的條文中規定了“違反國家有關規定,向他人出售或者提供公民個人信息”,正如前文所述,過于寬泛和模糊的“他人”的概念會使得正常的醫療信息傳遞陷入構罪的危險之中,因此有必要對“他人”的范圍進行實質解釋。

首先,對于共同參與醫療診斷行為的醫療體系的內部機構和人員,不宜認定為“他人”。日本《針對醫療護理行業者的個人信息收集適當處理指南》中,同一醫院內部的信息交換,不被視為向第三方提供②『醫療·介護関係事業者における個人情報の適切な取扱いのためのガイダンス』第四章第五條第四款第2項。。然而在現代醫療體系中,由于區域醫療聯合體的發展③區域醫療聯合體,是將同一個區域內的醫療資源整合在一起,通常由一個區域內的三級醫院與二級醫院、社區醫院、村醫院組成一個醫療聯合體。2017年5月,國務院辦公廳印發指導意見,全面啟動醫療聯合體建設試點,推動醫療資源下沉,病人雙向轉診,逐步緩解看病難問題。以及跨醫院聯合性醫療行為的增多,即使是不同醫療機構,只要是醫療體系中組成的醫療團隊,也應當排除出“他人”的范圍。第一,從實踐上來說,現代化醫療技術的實現和發展,需要大量的不同類別甚至是不同病院的醫務人員共同參與到某一個特定的診療行為之中,如果不將這些人排除出“他人”的范圍,必然會造成在診療過程中信息傳遞時的違法性危險。尤其是在一些緊急狀況時,往往沒有時間進行這些排除違法性的工作。當然,在德國,也有學者認為此時應當推定患者默示的同意以阻止違法性④參見:村山淳子『醫療情報の第三者提供の體系化(一)』,『西南學院大學法學論集』2006年第3號,第13頁。。但該理論的問題在于,如果患者明示反對該種信息的傳遞,被推翻的默示的沉默就無法排除違法性,現代化的團隊醫療體系就將陷入刑法苛責的困境中而無法運作,進而難以保障醫療效果。因此,現代醫療實踐和健康發展要求將這部分人員排除出“他人”這一犯罪構成要件。第二,從理論上來說,患者之所以能夠在受診過程中將個人醫療信息告知醫院,正是基于其對為自己進行診療的醫務人員的信賴,而這種排他的信賴關系也正產生了傳統意義上的醫務人員守密義務。然而如前所述,在如今一體化的醫療體系中,患者所信賴的對象范圍擴大至整個醫療體系,基于這種信賴關系,而得以自然地在該范圍內傳遞患者個人醫療信息。在這種情況下,不應當再將其評價為“他人”。當然,由于該信賴是對于醫療團隊的信賴,對于患者醫療信息的傳遞自然也不能超出醫療行為的范疇。

其次,對于接受醫院委托進行醫療大數據處理的特定數據處理機構,也不宜被認定為“他人”。如日本《個人信息保護法》中第二十三條規定也體現了這一點①日本《個人信息保護法》第二十三條規定:凡屬下述情形的,接受該個人數據的當事人就前三款之規定的適用,不屬于第三人:一、個人信息處理業者在達到利用目的所需的范圍內接受委托處理全部或者部分個人數據的;二、因合并或者其他事由而繼受業務并接受個人數據的;三、特定當事人共同利用個人數據的,對于其宗旨以及共同利用的個人數據的項目、共同利用個人數據的當事人的范圍、利用人的利用目的以及就該個人數據的管理負有責任的當事人的姓名或者名稱,事先通知本人或者將其置于容易知悉相關內容的狀態的。。醫療信息不同于其他公民個人信息,其產生的過程和適用場所具有特殊性。醫療信息一般是在公民醫療受診過程中產生的,產生的機構場所一般是專門的醫療機構,其往往本身不具有處理和分析大數據的能力,需要委托其他專門數據處理機構進行。在這個過程中,存在著醫療機構——數據處理機構——醫療機構的閉環的信息傳遞過程。閉環內的數據處理機構不具有信息傳遞過程中的獨立的“他人”的地位,其接受個人醫療信息并非為了自身利用,而是幫助醫療機構進行數據處理和分析,應當被視為醫療機構在大數據信息處理方面的延伸。同時,如果認為《刑法》第二百五十三條之一的目的是防止公民個人信息泄露,進而對公民產生不利,但將患者醫療信息提供給專門用來處理個人信息的專業機構,不僅不會產生該危險,反而會提高公民個人信息的安全程度。因此,應當將其排除出“他人”的范圍。

3.“出售或提供”的實質解釋

正如上文所交代,“出售”與“提供”兩種行為在客觀表現上具有顯著的差異,即對價的有無。《刑法》第二百五十三條之一一方面規定了“出售或提供”行為,將二者都作為犯罪的構成要件的客觀行為;另一方面《解釋》第三條又僅僅針對“提供”行為作了但書規定,卻沒有針對合理的“出售”行為作出相關規定,限制了醫療大數據的交易和流通,不利于醫療大數據潛藏價值的進一步發掘。

我們應當認識到,在個人醫療信息的“出售”行為中,總是存在個人醫療信息需求方向個人醫療信息供給方支付價款,個人醫療信息供給方向個人醫療信息需求方移轉個人醫療信息大數據的交易行為。在這一交易內部,供給方向需求方的信息移轉行為也可以被理解為單獨的提供行為。因此,雖然“出售”與“提供”兩種行為在客觀表現上具有差異,但在本質上,出售是指謀取對價后將某物提供給他人,其亦屬“提供”行為的一種特殊形式。這種解釋的正當性也可以體現在刑法分則中諸多涉及了“提供行為”而沒有涉及“出售行為”的罪名中,如“為境外竊取、刺探、收買、非法提供國家秘密、情報罪”、“非法提供信用卡信息罪”,這些罪名中都將“出售”囊括在“提供”行為范疇之內。

因此,基于實質性和體系性解釋,將“出售”個人醫療信息的行為解釋成特殊的“提供”行為,就可以把“出售公民個人(醫療)信息”的行為納入到《解釋》第三條的但書規定中去,有助于確定合理“出售”公民個人醫療信息的行為方式和行為依據。

當然,將“出售”理解為特殊的“提供”行為也會面臨一個問題,即《刑法》第二百五十三條之一規定的是“出售或向他人提供公民個人(醫療)信息”,如果將“出售”也理解為“提供”的一部分,就無法解釋為什么立法者要單獨列出“出售”,導致刑法解釋邏輯上的混亂。這可以從以下兩個方面試作分析。首先,從立法沿革上來說,《刑法》第二百五十三條之一規定的侵犯公民個人信息罪是從《刑法修正案(七)》的“出售、非法提供公民個人信息罪;非法獲取公民個人信息罪”的基礎上發展而來,而原“出售、非法提供公民個人信息罪”實際上是一個選擇性罪名,現行《刑法》第二百五十三條之一改變了罪名,但在內容上基本沿用了原規定。其次,從根本上來說,之所以將“出售”單獨列出,實際上是起到了注意規定的作用。即使《刑法》第二百五十三條之一沒有列出“出售”行為,違反國家有關規定“出售”公民個人信息的,也應當依照侵犯公民個人信息罪的規定定罪處罰。由于司法實踐中侵犯公民個人信息罪的客觀行為往往以“出售”公民個人信息為主,故為了提示司法人員注意,特將“出售”單獨列舉出來。