就疫情防控而言，與隱私和個(gè)人信息保護(hù)最相關(guān)的法律、行政法規(guī)是《傳染病防治法》、《突發(fā)事件應(yīng)對法》以及《突發(fā)公共衛(wèi)生事件應(yīng)急條例》。其中，關(guān)于隱私和個(gè)人信息保護(hù)的規(guī)定是基本缺位的。

從現(xiàn)實(shí)可行的角度出發(fā)，可以考慮在《傳染病防治法》中授權(quán)國務(wù)院或國務(wù)院應(yīng)急指揮機(jī)構(gòu)決定為疫情防控而收集個(gè)人信息的目的、范圍以及收集者和使用者;在《突發(fā)公共衛(wèi)生事件應(yīng)急條例》中明確規(guī)定隱私和個(gè)人信息保護(hù)的原則;在《傳染病防治法》或《突發(fā)公共衛(wèi)生事件應(yīng)急條例》中授權(quán)國務(wù)院應(yīng)急指揮機(jī)構(gòu)可以在符合上述原則的前提下，制定疫情防控中隱私和個(gè)人信息保護(hù)的規(guī)則;在已經(jīng)形成的疫情聯(lián)防聯(lián)控體系中，植入隱私和個(gè)人信息保護(hù)的規(guī)范要求。

面對新型冠狀病毒疫情，迄今為止，我國采取了“零容忍”的模式，將病毒傳播控制在零增長。這種模式的成效是明顯的，在一個(gè)人口眾多且密集、醫(yī)療資源相對稀缺的國家，可以及時(shí)遏制病毒的傳播、蔓延。在抗疫過程中，我們運(yùn)用各種方法收集確診者、疑似者、密切接觸者乃至幾乎每個(gè)人的信息，以追蹤和定位傳染源并加以切斷，由此引發(fā)許多人對隱私和個(gè)人信息保護(hù)的擔(dān)憂。我們需要思考，如何在追求公共利益、商業(yè)利益與保護(hù)隱私、個(gè)人信息之間實(shí)現(xiàn)一種合理的法益平衡。

抗疫中出現(xiàn)的隱私和個(gè)人信息保護(hù)問題

最新通過的《民法典》規(guī)定，“自然人享有隱私權(quán)。任何組織或者個(gè)人不得以刺探、侵?jǐn)_、泄露、公開等方式侵害他人的隱私權(quán)”、“自然人的個(gè)人信息受法律保護(hù)”。隱私，是自然人的私人生活安寧和不愿為他人知曉的私密空間、私密活動、私密信息。個(gè)人信息，是以電子或者其他方式記錄的能夠單獨(dú)或者與其他信息結(jié)合識別特定自然人的各種信息，包括自然人的姓名、出生日期、身份證件號碼、生物識別信息、住址、電話號碼、電子郵箱、健康信息、行蹤信息等。

目前，抗疫中對海量個(gè)人信息、數(shù)據(jù)的收集和使用，出現(xiàn)了不少隱私和個(gè)人信息受到侵害的問題，而且還對公民個(gè)人構(gòu)成潛在的侵害威脅。當(dāng)前，已經(jīng)出現(xiàn)的、值得關(guān)注的情形包括：

(1)由于信息收集存儲單位保管不善，導(dǎo)致大量個(gè)人信息被盜取或在有關(guān)工作人員私下示警中被泄露;(2)有關(guān)單位收集非防控疫情所必需的個(gè)人信息(如個(gè)人的月收入)，以及披露非公眾所需知曉的信息(如確診者、密切接觸者的性別、年齡、戶籍等);(3)有關(guān)單位披露疫情信息時(shí)對個(gè)人信息沒有進(jìn)行脫敏處理或脫敏處理不充分(如公布確診者王某某與其家人丈夫蔡某某、女兒蔡某某住在特定小區(qū))，從而容易形成對特定自然人的識別;(4)以必須提交健康碼或行程查詢信息為進(jìn)入公共場所、公共交通工具或國境為條件，強(qiáng)迫個(gè)人同意授權(quán)有關(guān)單位收集和處理個(gè)人信息;(5)有關(guān)單位對個(gè)人信息包括姓名、性別、民族、出生日期、常住戶口、所在地址、健康狀況、歷史行蹤等進(jìn)行隱秘的、不為當(dāng)事人所知的記錄和分析，以掌握確診者、疑似者、密切接觸者的動向和容易產(chǎn)生傳染的風(fēng)險(xiǎn)人群或地區(qū)，此可謂“看不見的畫像”;(6)有關(guān)單位采取強(qiáng)制封門的方式對居家隔離者實(shí)施粗暴隔離，侵害對隱私保護(hù)具有重要意義的個(gè)人住所;(7)有關(guān)單位對居家隔離者的住所貼上紅色警示條或報(bào)警器，其結(jié)果是讓鄰居或他人可輕易知曉居住其中的個(gè)人處在被隔離狀態(tài);(8)受商業(yè)謀利動機(jī)或違法犯罪動機(jī)驅(qū)使，利用已經(jīng)獲取的個(gè)人信息對個(gè)人進(jìn)行干擾私人生活安寧的廣告騷擾、欺詐騷擾甚至性騷擾。

出現(xiàn)隱私和個(gè)人信息保護(hù)問題的原因

以上這些情形，有的是目前我國抗疫模式所需的，如強(qiáng)迫同意、看不見的畫像，但這里，存在個(gè)人信息被收集、使用、處理缺乏明確法律依據(jù)和規(guī)范的問題，以及個(gè)人信息被泄露、個(gè)人隱私被侵犯的隱患。而其余情形則肯定不是疫情應(yīng)對過程所必需，但又確實(shí)是在此過程中發(fā)生的或更加惡化的(如各種騷擾)。

之所以會如此，與抗疫進(jìn)行了巨大的社會動員有關(guān)。在這個(gè)動員過程中，參加聯(lián)防聯(lián)控的政府部門、企業(yè)、社會組織以及個(gè)人不計(jì)其數(shù)，主要有：(1)疾控機(jī)構(gòu)、衛(wèi)生、公安、交通、海關(guān)、市場監(jiān)管、工信、網(wǎng)信等政府部門;(2)各式各類依法有權(quán)進(jìn)行疫情信息收集和報(bào)告的醫(yī)療機(jī)構(gòu);(3)有能力利用大數(shù)據(jù)分析預(yù)測確診者、疑似者、密切接觸者等重點(diǎn)人群流動情況的技術(shù)公司;(4)居民委員會、村民委員會、社區(qū)物業(yè)服務(wù)企業(yè)等基層的自治組織或經(jīng)濟(jì)組織;(5)負(fù)責(zé)對來訪人員進(jìn)行健康監(jiān)測和登記的樓堂館所等人群經(jīng)常聚集活動的公共場所經(jīng)營管理者;(6)根據(jù)要求必須做好員工健康監(jiān)測或者人員健康管理方面防控措施落實(shí)的用人單位;(7)各種有助疫情防控的應(yīng)用程序的開發(fā)者，如“密切接觸者測量儀”、“疫情期間行程查詢”等應(yīng)用程序都可能附帶個(gè)人信息收集功能。如此眾多的部門參與個(gè)人信息收集、處理者以及這些單位的相關(guān)工作人員，個(gè)人隱私保護(hù)的困難是可想而知的。

如何在未來不確定何時(shí)結(jié)束的一段抗疫期內(nèi)，既維系當(dāng)前的抗疫模式(在有必要仍然堅(jiān)持現(xiàn)有模式的前提下)，又兼顧個(gè)人隱私和信息的充分保護(hù)?若能從以下四個(gè)方面著手，可以盡可能減少個(gè)人隱私和信息受侵害的現(xiàn)象，取得公共利益、商業(yè)利益與個(gè)人隱私和信息保護(hù)的法益平衡。

及時(shí)修改法律為個(gè)人信息收集使用提供合法依據(jù)

在我國，雖然《居民身份證法》、《傳染病防治法》、《網(wǎng)絡(luò)安全法》等法律，都有關(guān)于對個(gè)人信息、隱私保護(hù)的規(guī)定，但是，它們都是適用特定領(lǐng)域或特定關(guān)系的。我國尚缺乏一部對所有領(lǐng)域涉及個(gè)人信息收集使用等都能適用的法律。2017年，四十余位全國人大代表提交議案，建議盡快制定《個(gè)人信息保護(hù)法》，目前，該法仍在醞釀之中。

就疫情防控而言，最相關(guān)的法律、行政法規(guī)是《傳染病防治法》、《突發(fā)事件應(yīng)對法》以及《突發(fā)公共衛(wèi)生事件應(yīng)急條例》。其中，關(guān)于個(gè)人信息、隱私保護(hù)的規(guī)定可以說是基本缺位的。現(xiàn)行《傳染病防治法》第12條規(guī)定：“在中華人民共和國領(lǐng)域內(nèi)的一切單位和個(gè)人，必須接受疾病預(yù)防控制機(jī)構(gòu)、醫(yī)療機(jī)構(gòu)有關(guān)傳染病的調(diào)查、檢驗(yàn)、采集樣本、隔離治療等預(yù)防、控制措施，如實(shí)提供有關(guān)情況。疾病預(yù)防控制機(jī)構(gòu)、醫(yī)療機(jī)構(gòu)不得泄露涉及個(gè)人隱私的有關(guān)信息、資料。”第68條、第69條則對疾控機(jī)構(gòu)和醫(yī)療機(jī)構(gòu)“故意”泄露涉及個(gè)人隱私的信息、資料的行為規(guī)定了法律責(zé)任。但是，這些規(guī)定僅適用于疾控機(jī)構(gòu)、醫(yī)療機(jī)構(gòu)，而不能針對前述巨大社會動員之下參加聯(lián)防聯(lián)控、涉及個(gè)人信息收集使用的各類主體。而且，這些規(guī)定僅提出不得故意泄露的要求，在如何合法、必要、正當(dāng)?shù)厥占⒄加小⒋鎯Α⑹褂谩⒐芾怼⑻幚韨€(gè)人信息方面，缺乏相應(yīng)的原則和細(xì)則，無法防范個(gè)人信息的過度收集、肆意濫用、管理漏洞、不當(dāng)處理。而《突發(fā)事件應(yīng)對法》、《突發(fā)公共衛(wèi)生事件應(yīng)急條例》在個(gè)人信息、隱私保護(hù)方面只字未提。

制定統(tǒng)一的《個(gè)人信息保護(hù)法》，應(yīng)該是解決于法無據(jù)問題的最終的、根本的路徑。然而，在該法一時(shí)不能出臺的情況下，應(yīng)當(dāng)基于依法治理新冠病毒疫情的需要，及時(shí)修改《傳染病防治法》和《突發(fā)公共衛(wèi)生事件應(yīng)急條例》。當(dāng)然，希望這兩部立法將疫情防控中個(gè)人信息、隱私保護(hù)的所有規(guī)則都予以明確，顯然是不切實(shí)際的，也會與未來的《個(gè)人信息保護(hù)法》存在功能重疊或內(nèi)容不一致的問題。從現(xiàn)實(shí)可行的角度出發(fā)，可以考慮如下立法策略：

第一，在《傳染病防治法》中授權(quán)國務(wù)院或國務(wù)院應(yīng)急指揮機(jī)構(gòu)決定為疫情防控而收集個(gè)人信息的目的和范圍，以及與目的、范圍相匹配的、必要的收集者和使用者。如僅限于現(xiàn)行《傳染病防治法》規(guī)定的傳染病病人、病原攜帶者、疑似傳染病病人、密切接觸者，還是需要延伸至進(jìn)入公共場所、公共交通或者返回境內(nèi)等的人員。再如，收集者和使用者是限于疾控機(jī)構(gòu)和醫(yī)療單位，還是包括衛(wèi)生、公安、交通等部門，甚至擴(kuò)大至上述各類主體。由于個(gè)人隱私屬于人格尊嚴(yán)的應(yīng)有之義，涉及《憲法》和《民法典》上的權(quán)利，只有通過法律授權(quán)國務(wù)院或國務(wù)院應(yīng)急指揮機(jī)構(gòu)決定，方能顯示對該權(quán)利保護(hù)的高度重視。

第二，在《突發(fā)公共衛(wèi)生事件應(yīng)急條例》中明確規(guī)定個(gè)人信息、隱私保護(hù)的若干原則。具體包括：(1)同意原則，即任何單位和個(gè)人未經(jīng)個(gè)人信息主體同意，不得以預(yù)防和控制傳染病為名收集個(gè)人信息，法律、行政法規(guī)、國務(wù)院決定另有規(guī)定的除外;(2)最小范圍原則，即國務(wù)院或國務(wù)院應(yīng)急指揮機(jī)構(gòu)應(yīng)當(dāng)根據(jù)預(yù)防和控制傳染病的確實(shí)需要，決定應(yīng)當(dāng)收集的個(gè)人信息的最小范圍，信息收集單位和個(gè)人應(yīng)當(dāng)嚴(yán)格執(zhí)行;(3)目的限制原則，即為預(yù)防和控制傳染病而收集的個(gè)人信息，不得用于其他用途，法律、行政法規(guī)另有規(guī)定的或者個(gè)人信息主體知情同意的除外;(4)安全保障原則，即被收集的個(gè)人信息僅在傳染病防控必需時(shí)才可以公開，且公開前應(yīng)當(dāng)經(jīng)過充分的脫敏處理;收集或掌握個(gè)人信息的單位和個(gè)人都應(yīng)當(dāng)對個(gè)人信息的安全保護(hù)負(fù)責(zé)，防止被泄露、被竊取;(5)更正和刪除原則，即個(gè)人對收集的信息有權(quán)要求更正錯(cuò)誤，并在該信息已經(jīng)實(shí)現(xiàn)疫情防控目的的情況下，有權(quán)要求刪除個(gè)人信息;(6)責(zé)任原則，即任何單位和個(gè)人違反上述原則，應(yīng)當(dāng)承擔(dān)相應(yīng)的法律責(zé)任。

第三，在《傳染病防治法》或《突發(fā)公共衛(wèi)生事件應(yīng)急條例》中授權(quán)國務(wù)院應(yīng)急指揮機(jī)構(gòu)可以在符合上述原則的前提下，制定疫情防控中個(gè)人信息和隱私保護(hù)的規(guī)則。經(jīng)授權(quán)制定的規(guī)則，具有法律上的約束力，即違反這些規(guī)則，也同樣承擔(dān)相應(yīng)的法律責(zé)任。

參加抗疫的單位應(yīng)對個(gè)人信息保護(hù)實(shí)施自我規(guī)制

就當(dāng)前情勢看，參加疫情聯(lián)防聯(lián)控工作的一線單位或個(gè)人，往往都不可避免地涉及個(gè)人信息收集、占有、使用、存儲、管理或處理中的一環(huán)或數(shù)環(huán)。《傳染病防治法》、《突發(fā)公共衛(wèi)生事件應(yīng)急條例》的修改，主要解決法律依據(jù)、法律原則、法律責(zé)任問題。然而，具體的收集、使用、安全管理等工作，都必須由前述各類相關(guān)主體在一線防控中去完成，相關(guān)原則和規(guī)則都必須由他們具體落實(shí)實(shí)施。

因此，必須在已經(jīng)形成的疫情聯(lián)防聯(lián)控體系中，植入個(gè)人信息、隱私保護(hù)的規(guī)范要求，各參與單位或個(gè)人應(yīng)當(dāng)進(jìn)行有針對性的自我規(guī)制。具體而言主要涉及兩個(gè)方面：

第一，政府部門、醫(yī)療機(jī)構(gòu)、技術(shù)公司、公共場所經(jīng)營管理者、用人單位、居民委員會、村民委員會、社區(qū)物業(yè)等，但凡依法或者依照聯(lián)防聯(lián)控要求參與個(gè)人信息收集使用等工作的，都必須建立相應(yīng)的個(gè)人信息、隱私保護(hù)制度，并采取與個(gè)人信息工作相適應(yīng)的安全保障措施。這些保護(hù)制度和措施都應(yīng)向社會公示。

第二，相關(guān)單位和組織都應(yīng)對其工作人員展開個(gè)人信息、隱私保護(hù)的規(guī)范教育，不僅促其樹立意識，更是指導(dǎo)其如何保護(hù)個(gè)人信息、隱私，如何防止出現(xiàn)侵犯個(gè)人信息、隱私，以及若從事侵害行為或未盡安全保護(hù)職責(zé)導(dǎo)致個(gè)人信息泄露、個(gè)人隱私受侵所應(yīng)承擔(dān)的法律和紀(jì)律后果。

加強(qiáng)對個(gè)人信息、隱私保護(hù)情況的檢查或監(jiān)督

修改法律、加強(qiáng)自我規(guī)制，可使個(gè)人信息的收集使用等有法可依、有章可循，但個(gè)人信息保護(hù)畢竟是在為疫情防控收集使用個(gè)人信息的基礎(chǔ)上增加的一項(xiàng)工作，是需要投入一定成本的。并且，其與疫情防控目標(biāo)并不具有直接的正相關(guān)性。因此，前述單位和個(gè)人缺乏足夠的動力和激勵去落實(shí)個(gè)人信息保護(hù)的要求，需要通過外部的監(jiān)督力量予以制衡。

第一，政府部門對參與聯(lián)防聯(lián)控的單位與個(gè)人，在檢查其聯(lián)控聯(lián)防工作落實(shí)情況的同時(shí)，對涉及個(gè)人信息相關(guān)工作的，也應(yīng)同時(shí)檢查個(gè)人信息、隱私保護(hù)情況。

第二，任何組織和個(gè)人發(fā)現(xiàn)違法違規(guī)收集、使用、管理和處理個(gè)人信息的，或者沒有依法建立個(gè)人信息安全保護(hù)制度、采取保護(hù)措施的，可以向政府負(fù)責(zé)個(gè)人信息安全保護(hù)的網(wǎng)信、公安等部門進(jìn)行投訴舉報(bào)，以及時(shí)發(fā)現(xiàn)和矯正問題。

第三，公安等部門對泄露個(gè)人信息、侵犯個(gè)人隱私的違法行為，應(yīng)當(dāng)予以嚴(yán)厲打擊;個(gè)人對私主體泄露個(gè)人信息、侵犯個(gè)人隱私的行為，不僅可以投訴舉報(bào)，也可以提起民事訴訟，追究私主體的民事責(zé)任;個(gè)人對公權(quán)力主體泄露個(gè)人信息、侵犯個(gè)人隱私的行為，不僅可以請求其自行改正或請求上級督察糾正，也可以提起行政訴訟即“民告官”訴訟，使其承擔(dān)行政責(zé)任。目前最重要的是，法院應(yīng)當(dāng)受理和審理個(gè)人起訴公權(quán)力主體侵犯個(gè)人信息、隱私的行政案件。

第四，由于在疫情防控中，許多參與聯(lián)防聯(lián)控的部門收集、掌握了海量的個(gè)人信息，這些部門應(yīng)當(dāng)在適當(dāng)?shù)臅r(shí)候，向相應(yīng)級別的人民代表大會常委會報(bào)告?zhèn)€人信息安全保護(hù)制度及落實(shí)情況，以及對個(gè)人信息的處理計(jì)劃，接受人民代表大會及人民的監(jiān)督。

(作者為北京大學(xué)法學(xué)院教授)

關(guān)鍵詞： 個(gè)人信息