突發公共危機事件中個人信息利用的法律規制

●魏暄沛 朱恩儀

新冠肺炎事件爆發后,某返鄉大學生發出舉報信,說明了包含他在內的萬名返鄉學生的名字、身份證號以及返鄉時間等在私人群聊中發布,基本信息被曝光;平安北京微信公眾賬號發布,一位新冠肺炎確診患者手機號碼被曝光后,頻繁接收到大量侮辱性消息、騷擾威脅電話；某醫院五名醫護人員私用手機偷拍且通過社交賬號平臺轉發,使得該醫院新冠肺炎確診病例的姓名、工作地點、就診過程等個人信息遭到廣泛傳閱;多名藝人在經人臉識別與圖像采集后的健康寶照片等多項個人信息被打包泄露。

來勢洶洶的新冠肺炎疫情爆發后,民眾對相關群體的信息產生了迫切渴求，群眾需要掌握新冠肺炎高危群體信息的心理可以理解,但在多地屢次出現、對新冠確診患者、密切接觸者身份證號碼、家庭成員信息等極易識別的個人信息被非法泄露的情況卻不能躲過法律制裁。新冠肺炎高危人群除了遭受病毒帶來的恐慌,個人信息還被過度收集、不當利用，日常人際交往生活受到干擾，個人與家庭的人身財產安全受到傷害的風險也極大提高。

一、突發公共危機事件中個人信息利用概述

（一）突發公共危機事件中個人信息的界定

《個人信息保護法》開宗明義，對個人信息做出了具體定義：個人信息，就是以電子設備或其他任何方式記載的、與已識別或者可識別的自然人相關的各類信息內容,不包括經過匿名化、隱私化處理后的信息；《民法典》中對個人信息的定義與范疇也進行了闡述：個人信息，指以電子或是其他方式所記錄的、可以直接單獨或者與其他信息結合而識別出特定自然人的所有信息,包含姓名名稱、出生時間、生物識別信息、住址、通信通訊方式、生理健康信息、行蹤記載、財產信息等。

要明確新冠肺炎疫情中的個人信息, 先要了解信息主體:新冠肺炎高危人群，分為三大類：新冠肺炎確診病例、密切接觸者、疑似肺炎患者。關于新冠肺炎高危群體的個人信息,主要包括上述三個群體的名稱、家庭地址、行蹤軌跡、旅居史、健康狀況、核酸篩查情況等,除此之外,部分地方還收集了婚姻狀況、家庭情況、工作狀況等重要個人信息,并通過對這些個人信息實行了收集、保存、分類、處理、傳遞、共享、公開披露。

總結而言,突發公共危機事件中的個人信息是指以電子或者其他方法記錄的、可獨立或與其他信息整合的、可確定突發公共危機事件中涉及主體個人身份的所有信息。因此,認定某類信息是否屬于此類事件中的個人信息,主要判斷依據是能否直接或者與其他信息相結合間接地識別出個人的身份, 進而通過收集、存儲、公開、共享等利用方式來有效防控此類事件發生。

（二）突發公共危機事件中個人信息利用與法律規制的必要性

以2019 年末新冠肺炎疫情在武漢市最初爆發為例,通過排查與分析武漢市華南某區某海鮮市場的商戶與消費者的行動軌跡、居住史、旅游史、密切接觸史等信息，可以鎖定大部分新冠確診者、密切接觸者合疑似感染人群，極大程度上幫助了疫情防控部門在第一時間采取有效措施，分層監測、控制新冠肺炎確診者、限制密切接觸者與疑似感染者人員的流動，迅速識別危險源，實現精準隔離，在源頭處遏制病毒擴散。

在新冠肺炎疫情中收集到的個人信息是全方位而具有敏感性的。掌握了個人姓名、地址、收集的電話號碼等信息,基本能了解某個人的生活動態；而身份證號碼、行蹤軌跡、財產管理等信息存在的另一個重要特點就是具有敏感性，這類信息如果泄漏或者被非法使用,就易使信息主體權益受侵害。為保護社會公眾的身體健康和財物安全、為維持穩定的社會秩序，基于防疫信息具有公益性的前提，信息主體需要做出相應利益退讓，但個人作出適當讓渡不代表著侵犯個人信息權益合法化,如果信息主體被過度索權，那么必然背離行為初衷，最終不能有效防控突發公共危機事件。

二、我國突發公共危機事件中個人信息利用的立法現狀

歷經2003 年非典型肺炎公共衛生事件, 為更有效應對此類突發公共危機事件,我國完善并制定多部專門法律規范。新冠疫情發生以來,筆者查閱了現階段與突發公共危機事件中個人信息的規定,發現《民法典》《突發事件應對法》《個人信息保護法》《傳染病防治法》《治安管理處罰法》等法律和《政府信息公開條例》《突發事件應急條例》等規范中均有規制個人信息的利用以應對突發公共危機事件的內容,其中《民法典》《個人信息保護法》等均在新冠肺炎疫情背景下應運而生。

《個人信息保護法》把保護個人信息視為立法基本理念所在,嚴格規范了自然人信息受到法律保護,不受到其他單位和個人侵犯,并以合理、公平、必要和誠實等為準則,禁止采用誤導、威脅等方法處理信息, 個人信息的使用范圍進行了規制；《民法典》也把個人信息列入到了人格權編,把個人信息與其所具有的人格權益都列入了民事保障范疇中,以合法、正當、必要的原則對個人信息的使用范圍進行了規制,并加大對個人信息的保障力度。

國家完善處理突發公眾危機事件立法工作，出臺專門法律規范對信息使用進行規制的目的，不在于把信息禁錮于密不透風的環境中,而是為了保證信息被依法、正當利用而不被濫用,既能充分發揮信息的時效價值,又減少了不合理利用個人信息給公民個人權益、社會秩序帶來的風險。

（一）個人信息在突發公共危機事件中利用的抽象原則

1.合法性原則。使用個人信息的第一準則是合法性原則。所有獲取、管理等信息利用必須在合法性準則下進行。首先，要求利用個人信息的主體合法。按照《傳染病防治法》《突發公共衛生事件應急條例》等法律規范,出于處理突發性公眾危機事件、維持社會正常秩序的考慮,信息利用主體主要是指國務院衛生行政主管部門及其委托的專門醫療單位或防治單位,具體包括,國家傳染病防治與控制部門、專門醫療機構、國務院衛生行政主管部門、其他國家相關行政部門及其委托的專門技術單位、街道辦事處、村委會或者居委會,上述單位可依法收集、處理個人信息。合法性原則也要求相關主體對個人信息的利用方式合法。各文中合法性主體應當以身作則,提高自我的約束力，嚴格落實法律規定的利用信息的方法,依法利用公民個人信息,使權力在合法的軌道上運行。

2.正當性原則。利用個人信息的另一原則是正當性原則,又可稱為程序正當原則。衡量個人信息利用過程是否合法的重要標準之一是是否符合正當性原則。在突發公共危機事件發生的緊急情況下,對疾病預防控制機構、醫療機構等個人信息利用主體的要求只會更高。利用主體應該遵循合法的信息管理過程和法律規定程序來獲取、管理、共享信息,并明確告知信息主體使用其個人信息的法律依據與正當理由，不過度、隨意地獲取信息,也不任意共享信息于其他無權限、無資格的主體,以防止信息被別人非法利用,依靠廣播新聞、公告等媒介告知社會公眾目前采取的防控措施,耐心告知公眾在防控過程中社會公眾配合相關措施的必要性,同時聽取公眾建議,改進收集與利用個人信息的行為方式。

3.必要性原則。利用個人信息的另一原則是必要性原則，《個人信息保護法》《民法典》對必要性原則上作出了明文規定,要求收集、公開披露、共享等利用須具備明確、科學、合理的目的,必須與目的密切關聯,采用對個人權益危害最小的方法,限于達到辦理目的的最少范圍內,以必要性約束信息利用,可收集、也可不收集的個人信息盡量不整合，可公開、也可不公開的個人信息盡量不披露，將處理的個人信息范圍、存儲期限、披露方式等需要符合必要性原則，避免任意用權與過度索權情況發生，反映了“禁止國家公權力過度”的立法思想。

（二）公法、私法合作下的條文規制

憲法并未明文規范個人信息利用的條件, 但第三十三條、第三十八條、第四十條都闡述了國家尊重和保障人權、公民人格尊嚴受憲法保護、通訊通信自由與秘密受憲法保護的思想，可以歸納出我國憲法作為根本大法對個人信息的規制與保護。

個人信息的私法規制主要是指以《民法典》《個人信息保護法》為基礎的個人信息使用和維護法律規制體系,如《民法典》中對個人信息權益的侵犯損害與賠償問題規定了民事責任；《個人信息保護法》是中國首部關于個人信息保護法的專門性法律規范,它的頒布施行在中國社會主義法治道路上具有里程碑意義，其中設置“法律責任”章節，特別規定信息權益受侵害時民事、行政與刑事法律責任，強化處罰力度?！秱€人信息保護法》等陸續施行,我國突發公共危機事件中個人信息利用的法律規制也初步形成。在此之前,由于對信息使用的立法嚴格規制長期處在“碎片化”狀態,規制條文散見于法律法規、條例規章中,相互交叉,銜接性弱,不利于個人信息有效利用。

個人信息的公法規制主要是行政法、刑法、突發公共危機事件相關法等領域,如刑法中關于公民個人信息罪名的規定以及最高院頒布的司法解釋作為兜底性法律存在；《突發事件應對法》明確了事件相關高危群體的配合義務，基于社會公共利益與公共安全的需要，要求該群體及時向有關疾病防控部門、衛生行政部門、醫療機構等報告姓名、行蹤軌跡、旅居史、健康信息等。

疫情爆發之初，個人信息利用法律規制體系尚未形成,對在突發公共危機事件中個人信息利用的條文規制較粗放。經過近兩年經驗總結,我國社會主義法律制度不斷完善，逐步健全個人信息利用法律規制系統,以公私法合作的規制方式促使不同主體依法、合理、有序利用信息，促進個人信息更好地服務于社會，發揮應對突發事件的價值。

三、應對突發公共危機事件下個人信息利用的建議

（一）明確信息主體的知情權與刪除權

從信息主體享有的權利角度考慮，社會公眾對利用信息的法律依據、使用目的等擁有知情權。對信息內容的使用必須要遵循合法性、正當性、必要性原則，信息內容不能被任意獲取、共享和公開披露，政府組織對信息的各種使用須征得該信息主體的許可或同意；公民基于此權利可以督促政府行使公權力，倒逼國家公權力在合法、正當、必要的軌道上行使。在突發事件背景下，法律需賦予信息主體刪除權，信息主體許可或者同意利用的信息一旦缺乏實效性，并且存在著可能危害信息主體日常生活、損害公民個人利益情況時，信息主體尤其是已經康復的新冠確診者可以申請刪除。疫情防控個人信息管理方面的工作人員應及時篩選收集、保管、共享的個人信息，保留仍具有實效性與剩余價值的信息數據，主動對其他信息及時采用匿名化的保護措施，或移除、銷毀等永久性刪除。

（二）明確利用主體的行為目的

疫情防控行政部門等信息利用主體在利用個人信息時,要嚴格把握自身收集、處理信息的目的，保證利用行為與初始目的具有關聯性，不收集、公開與防治疫情工作無關的個人信息，不將收集、整合的個人信息與不具備合法利用權限或者無信息利用必要的主體共享。當已獲取和保存的個人信息在疫病防控工作中已不再具有利用價值時,必須及時移除、刪除或者采用匿名化保護措施,防止發生個人信息泄漏等問題，將其對公眾利益可能產生的危害減至最少,將利用行為嚴格束縛在法律規定的“籠子”內,為個人信息利用提供全方位的規制方式,實現公民個人權益與社會公共利益平衡。

（三）設立個人信息利用監管機構

設立專門的個人信息利用與保護的監督管理機構，依法明確其作為監督管理個人信息利用部門的法定職責與監管范圍，賦予其監督管理權利，依法監督信息利用主體是否合法、利用方式是否合法正當、收集存儲信息范圍是否必要、法律規定是否落實，并及時處理公眾就個人信息方面的投訴、舉報。同時該機構作為獨立的國家機關存在，不受行政權等其他公權力干擾，依法獨立行使監督管理權。

（四）明確民事、行政、刑事法律責任

按照罪行法定原則,民法典、刑法、行政處罰法、治安管理法等各部門法應明確非法利用個人信息案件的民事、行政、刑事責任,以刑法為例，雖然明確了侵犯公民個人信息罪的刑事責任, 但也僅僅明確地約定了該罪名的構成條件, 而并未把具體的判斷標準以法律條文形態確定下來,仍需要結合其他立法體系成為法律評判的基石，因此，多部法律規范相互配合、綜合規制是防止個人信息被非法利用的正確途徑，嚴厲打擊不法分子趁突發公共危機事件非法利用公民個人信息行為，起到事前震懾與事后懲戒雙重效果，對信息利用行為上了層層“枷鎖”。

四、結語

在疫情防控工作中, 個人信息經過利用形成了數據鏈,幫助疫情防控部門勾勒出新冠肺炎高危人群的行程軌跡,為掌握疫情發展趨勢、精準布局防控疫情提供參考,相關部門發出的疫情資訊使民眾能及時了解疫情最新情況,但其帶來的問題不可忽視。在疫情防控期,我國形成了以個人信息保護法這一特別法為主、以民法典等其他法律規范為輔的個人信息利用規制體系,界定特殊事件下個人信息概念，明確個人信息的利用原則,為社會公眾保護自身的個人信息權益提供了依據,徒法不足以自行,要實現個人信息在突發公共危機事件中的有效利用并實現利益平衡,需要多方主體共同努力,任重而道遠。