突發公共衛生事件中個人信息保護問題探究

大連海事大學 劉爽

隨著科技的發展，大數據在突發公共衛生事件的應對治理中發揮了至關重要的作用。健康碼、核酸碼、流調報告、人員登記表等當前已經成為數字化精準防疫的必需品，其中包含大量聯系方式、活動軌跡、就醫情況、家庭背景、社會關系等個人信息，也帶來了嚴重的違法違規風險。據不完全統計，自從2020年起，因突發公共衛生事件引發的個人信息泄露案件，已經超過幾十起，涉嫌違法的主體包括個人、醫護工作人員、政府部門人員等。對于公民而言，出于防控需要向國家提供個人信息是個人利益向社會利益的讓步，但若泄露事件頻出，會使國家公信力弱化，因此突發公共衛生事件下個人信息保護應當予以高度重視。

一、概述

分析突發公共衛生事件下個人信息保護首先需要明確的幾個定義。

（一）突發公共衛生事件

根據《突發公共衛生事件應急條例》第二條：“本條例所稱突發公共衛生事件（以下簡稱突發事件），是指突然發生，造成或者可能造成社會公眾健康嚴重損害的重大傳染病疫情、群體性不明原因疾病、重大食物和職業中毒以及其他嚴重影響公眾健康的事件。”可見，突發公共衛生事件是關乎社會公共利益的，是與國民生命健康密切相關的。在該特殊背景下的個人信息保護不僅僅應當遵循一般原則，更應該遵循公共利益優先原則。

（二）個人信息

根據2021年頒布的《個人信息保護法》第四條：“個人信息是以電子或者其他方式記錄的與已識別或可識別的自然人有關的各種信息，不包括匿名化處理后的信息。個人信息的處理包括個人信息的收集、存儲、使用、加工、傳輸、提供、公開、刪除等。”其中“匿名化”在第七十三條作出了相應解釋，是指“個人信息經過處理無法識別特定自然人且不能復原的過程。”該規定相較于之前《網絡安全法》《民法典》對“個人信息”的定義，結合了歐盟《一般數據保護條例》，進一步擴大了“個人信息”的范圍，更有利于公民個人信息的保護。

（三）個人信息與個人隱私的區別

值得注意的是，個人信息并不完全等于個人隱私。根據我國《憲法》及《民法典》，公民享有一系列個人權利，其中包括名譽權、言論自由、財產權、生命健康權以及隱私權等。

對于個人信息與個人隱私的關系，學界有多種看法，個人信息可以側重識別到個人，個人隱私側重不愿為他人知曉和打擾。個人信息保護除了保護個人信息主體的權益以外，還包括了規范個人信息處理的一整套制度設計，所以單純違法收集個人信息已經涉嫌違法，不需要公開泄露。而對相關人員進行網絡人肉，并公開其私密信息可能會同時侵犯其隱私權，且違反個人信息保護規定，如果產生網暴行為，還有可能會侵犯其名譽權。

二、當前突發公共衛生事件個人信息保護存在的困境

（一）個人信息保護法律體系不夠完善

突發公共衛生事件下的個人信息保護對公權力與私權利的平衡提出了更高的要求，以“告知同意”要求為例，根據一般原則，處理個人信息應當以取得個人同意為前提，但突發公共衛生事件等例外情形下，該要求可被豁免，政府及其指定機構也需承擔相應的安保責任。因此需要完整具體、可操作強的法律體系對個人信息進行統一的規范保護。目前，我國《網絡安全法》《數據安全法》《個人信息保護法》《傳染病防治法》等法律以及《突發公共衛生事件應急條例》《深圳經濟特區數據條例》《上海市數據條例》等法規均對突發公共衛生事件防控背景下的個人信息保護作出了特殊規定，雖然可以初步應對個人信息的保護問題，但仍暴露出相關規定碎片化、分散化的問題，各部門法規之間銜接性不強、適用標準不一致的弊端，且存在以下問題：

1.信息收集權利主體不明確，法律規定間存在沖突

當前，我國法律對于突發公共衛生事件下信息收集主體尚未作出明確、統一的規定，造成不同規律法規之間存在矛盾沖突，信息收集主體混亂。根據《傳染病防治法》第二十條和第三十三條，僅縣級以上人民政府以及疾病預防控制機構被賦予了收集信息的權利，其他機構僅能通過授權或者指定的形式獲取該權力。而《突發公共衛生事件應急條例》第四十條規定傳染病暴發、流行時，街道、鄉鎮以及居民委員會、村民委員會也有協助衛生行政主管部門和其他有關部門、醫療衛生機構進行信息采集的權力，但其并不屬于《傳染病防治法》中的授權主體，法律條文間的矛盾造成信息收集過程中主體不明、權力沖突問題，給信息收集的實踐過程增加了困難。

2.個人信息收集方式缺乏統一規定

面對嚴峻的突發公共衛生事件，每天都有大量的個人信息通過各類渠道被收集匯總，但是現有法律法規并未對個人信息收集方式作出統一規定，實踐過程中各級政府信息收集的方式各不相同，具有隨意性，也因此增加了個人信息泄露的潛在風險。例如，工作人員為了尋求便利在收集和傳遞信息的過程中選擇微信等方式，造成包含公民個人信息的聊天記錄截圖在微博、朋友圈等社交媒體被廣泛傳播，侵犯公民權利的案件多次發生，給相關人員的身心造成傷害。

3.收集后的個人信息保存與處理不規范

對于收集后的海量個人信息，我國采取粗放型的管理模式，對個人信息的保存與處理沒有規范性措施，缺少應對突發公共衛生事件的專門性信息管理系統。突發公共衛生事件下的個人信息采集多數依賴于人工方式的原始數據采集、錄入、匯總、分析和上報，個人信息在各個環節的保護更多考驗的是操作人員的自覺性和職業操守，因此明確個人信息保存處理的規范措施顯得十分必要。而現實是收集上來的大量個人信息不加區分被當作普通工作資料與其他工作資料混合管理，忽略了個人信息相較于其他信息的特殊性、重要性，造成個人信息在保存處理過程中發生泄露。

（二）數據收集存在“去隱私化”“去標識化”問題

根據《信息安全技術個人信息安全規范》規定，個人收集者應該通過對個人信息的技術處理“使得個人信息無法被識別或者被關聯，且處理后的信息不能被復原”或“使其在不借助額外信息的情況下，無法識別或者關聯個人信息”。在防控過程中，各級政府借助包括大數據在內的現代科技手段掌握公民個人信息，對疫情防控的應對水平不斷提高，但同時大數據技術的應用也導致“去隱私化”“去標識化”問題出現，比如未經個人允許的情況下暴露特定地區及人員的隱私信息，以及政府對個人信息的過分收集。

2021年兩會期間全國人大代表曾力群表示，在突發公共衛生事件防控中，個人信息被過度處理或泄露的情況時有發生，造成部分相關人員遭受網絡暴力的傷害。建議加強對防控中個人信息被過度處理或泄露的監管，規范個人信息公開內容、范圍。依法追究個人信息被過度處理或泄露的組織或個人的法律責任。可見我國當前信息收集中隱私暴露問題嚴重，為民眾所困擾，“去隱私化”“去標識化”水平偏低，信息泄露后很容易對相關人員造成輿論上的二次傷害，應當予以重視。

（三）信息收集與使用缺乏有效監管

突發公共衛生事件背景下，個人信息收集、使用的過程主要涉及的主體有三方，包括行政機關、企業與個人。其中，行政機關除了各級疾控機構，還有經授權的基層管理組織等。而企業方面則除了指定機構以外，其他任何組織、個人均無權處理涉疫相關個人信息。但是現實實踐中，出于防控需要，很多未經法律授權的主體也在行使著信息收集的權力。如商場、電影院、飯店等場所，會主動收集其員工、顧客的姓名、電話、住址等個人信息。在突發公共衛生事件中私權利確實需要向公權力讓度，但是復雜而繁多的信息收集主體給公民個人信息安全造成了威脅，然而現行法律卻未將該類主體納入監管的范圍，也未對其權利與義務作出明確規定，在法律放任狀態下權責不統一、權力被濫用現象頻出，導致近年來個人信息侵權案件屢屢發生。

此外，由于缺乏完善有效的監察機制，行政機關在行使法律授予的職權過程中存在違反法定程序，濫用權力的行為。雖然《傳染病防治法》等法律規定了行政機關不得隨意泄露涉疫人員相關隱私信息、資料，但在實際操作中仍存在個別行政機關工作人員濫用職權，超越法定權限，隨意對外傳閱內部文件或非法公示在疫情中所收集的個人信息，嚴重侵犯了個人信息安全。如2020年1月發生在湖南省益陽的案例，涉疫人員章某及其親屬的個人信息以病例調查報告的形式出現在多個居民住宅小區的業主微信群，對章某在內的11人造成了惡劣影響。經調查，系益陽市某區衛健局副局長舒某通過微信群轉發屬于內部工作文件且涉及多人隱私的調查報告給無關人員，造成信息泄露并傳播，侵犯了公民權利且帶來嚴重的社會影響。

三、突發公共衛生事件個人信息保護問題解決對策

（一）完善突發公共衛生事件中個人信息保護的法律體系

1.明確信息收集主體，完善相關法律

對于現有法律條文中的沖突，可以遵循法律沖突解決的一般原則，作出相應的調整修改，形成完善的突發公共衛生事件下個人信息保護的法律體系。

如前文提到的《傳染病防治法》和《突發公共衛生事件應急條例》中對于信息收集主體的不一致，由于《傳染病防治法》作為法律屬于上位法，應當以該法律為準，對下位法《突發公共衛生事件應急條例》進行補充修改，明確只有經過縣級以上人民政府以及疾病預防控制機構授權或指定街道、鄉鎮以及居民委員會、村民委員會才有權作為信息收集主體。

2.統一信息收集方式

對于現今隨意性的信息收集方式應當通過立法予以完善，同時對于收集對象、收集范圍等實踐性問題也有必要在突發公共衛生事件防控背景下個人信息保護的特殊規定中做進一步明確，使個人信息收集真正做到“有法可依，有法必依”，為個人信息收集提供法治保障，真正保護人民的切身利益。

同時在個人信息采集過程中應該遵循“最小化”原則，即能不收集就不收集，能少收集就少收集，能不收集個人敏感信息就不收集個人敏感信息，從源頭上將個人信息泄露的風險降低。

3.規范收集后的個人信息保存與處理

為了滿足防控需要，采集后的公民個人信息一般會由很多工作人員經手分析調查。以流調報告為例，流調溯源組接到衛生檢測機構的信息后，會立即安排相應的工作組趕赴現場進行現場流調。現場流調結束后4小時完成首次流調核心信息上報，第一時間將病例核心信息推送給公安系統核查確診病例在一定時間范圍內的活動軌跡。流調工作人員根據前期流調結果盡快摸清楚能夠核查到密接的基本信息，將信息及時推送給市級衛健委，市衛健委按照密接所在縣區分配到轄區衛健委落實管控。由于整個過程涉及眾多部門，工作人員操作缺乏規范性，且目前對個人信息儲存、使用、公開、銷毀的管理上都存在漏洞，導致信息泄露可能性增加。當務之急是加速相關立法，細化從收集到銷毀所有環節的處理規定，為收集后的個人信息規范化管理提供法律上的指引，進而更安全、妥善地管理公民個人信息，降低信息泄露風險。

（二）對特定個人信息進行“匿名化”“去標識化”處理

作為信息處理與保護的必要技術措施，個人信息“匿名化”和“去標識化”技術通過數據符號替代了個人信息的標識，使得個人信息滿足《信息安全技術個人信息安全規范》中無法被識別或者關聯的要求。通過“匿名化”“去標識化”處理過的個人信息大大降低了被識別或者被復原的風險，契合了我國《民法典》第一千零三十八條的規定以及《個人信息保護法》的相關規定，不僅保障了個人的信息安全，也實現了突發公共衛生事件下的公眾知情權等公共利益，從而解決了個人利益與社會利益的對立問題。

（三）建立有效的個人信息保護監督機制

1.明確監管對象

根據《關于做好個人信息保護利用大數據支撐聯防聯控工作的通知》第一條規定“各地方部門要高度重視個人信息保護工作，除國務院衛生健康部門依據《中華人民共和國網絡安全法》《中華人民共和國傳染病防治法》《突發公共衛生事件應急條例》授權的機構外，其他任何單位和個人不得以疫情防控、疾病防治為由，未經被收集人同意收集使用個人信息。法律、行政法規另有規定的，按其規定執行。”但現實中從各級政府到菜市場、電影院等公共場所，個人信息收集主體多元而復雜，且缺乏有法有效的監管。明確監管對象是實現有效監管從而為個人信息保護提供保障的第一步，因此有必要在現有法律基礎上，結合現實需要進一步明確監管對象，擴大監管范圍，并對非法收集、傳播個人信息應承擔的侵權責任與處罰措施作出規定，做到權責一致、錯責相當。

2.構建監察體系

突發公共衛生事件中的依法行政不僅離不開行政機關的自覺履行，還需要建立完善的監察機制，依靠內外部多層監督的力量，才能讓權力在陽光下運行。首先，立法機關即各級人大及其常委會應當依法履行監督職責，認真聽取審議政府的專項報告，對人民群眾關切的事項進行調查問詢，督促行政機關依法行政；第二，各級人民政府要發揮內部監督的作用，同級政府之間以及上下級之間相互監督，及時發現個人信息收集、使用過程中的違法和不當行為，并迅速作出調整和糾正；第三，司法機關要為個人權利被侵犯的公民提供救濟手段，對個人信息侵權案件作出公正審理，落實侵權責任；最后，還要發揮新聞媒體和社會公眾的力量，依靠其廣泛性、標志性、啟動性的特點，保障行政機關合法合理地收集使用個人信息，切實保障人民的權利與利益。