張郁安

(中國信息通信研究院政策與經(jīng)濟研究所，北京 100191)

0 引言

全國范圍的新冠肺炎疫情抗擊工作開展以來，圍繞“早發(fā)現(xiàn)、早隔離”的防治原則，人們利用包括大數(shù)據(jù)技術在內的多種手段，進行重點人群的監(jiān)測預警、統(tǒng)計分析，以準確、及時、全面的信息為武器對抗疫情。相關的應用包括實時監(jiān)測車輛、人口動態(tài)信息，或利用大數(shù)據(jù)開展人員流動監(jiān)測，為研判疫情態(tài)勢提供技術支持；包括面向公眾的“同程排查”服務，用戶輸入行程日期、車次和地區(qū)，即可查詢已被披露的新冠肺炎確診患者同行的火車、飛機和地鐵等等。北京、天津、江蘇等地方主管部門公布“病例發(fā)病期間活動過的小區(qū)或場所”，幫助市民及時了解疾病線索，便于社區(qū)有針對性地開展疫情防控工作。除此以外，社會上也出現(xiàn)過一些明顯違法或失范的信息利用活動，比如在微信群中公開、轉發(fā)有武漢接觸史人員的姓名、身份證號、行程、位置等個人信息。面對公共衛(wèi)生突發(fā)事件，在種種信息利用活動面前，如何權衡公共需要與個人權利，以劃定合理的信息保護與利用的界限顯得愈發(fā)重要。

1 我國公共衛(wèi)生突發(fā)事件下的信息利用和保護規(guī)則

信息的收集、利用對于傳染病疫情防控的重要意義不言而喻，當前我國已基本建立起疫情下的個人信息收集與利用規(guī)則框架，通過《突發(fā)事件應對法》《傳染病防治法》《突發(fā)公共衛(wèi)生事件應急條例》，結合《網(wǎng)絡安全法》的相關規(guī)定，從應急保障、信息公開、信息保護等角度，分別對政府部門、企業(yè)組織以及個人在傳染病疫情防控場景下的責任義務進行了規(guī)定，為疫情下相關信息的合理利用提供了基本準則。

1.1 政府部門按照法定職責收集、公布事件相關信息，對疫情開展監(jiān)測

政府及有關部門、專業(yè)機構應當“通過多種途徑收集突發(fā)事件信息”(《突發(fā)事件應對法》第三十八條)。政府應當主動公開“突發(fā)公共事件的應急預案、預警信息及應對情況”(《政府信息公開條例》第二十條)。衛(wèi)生行政主管部門負責向社會發(fā)布突發(fā)公共衛(wèi)生事件的信息(《突發(fā)公共衛(wèi)生事件應急條例》第二十五條)。除了收集和發(fā)布疫情事件信息以外，衛(wèi)生行政部門和相關政府部門還應當開展監(jiān)測預警。有關部門、醫(yī)療衛(wèi)生機構應當對傳染病做到“早發(fā)現(xiàn)、早報告、早隔離”(《突發(fā)公共衛(wèi)生事件應急條例》第四十二條)。各級人民政府應當開展“流動人口管理”，落實預防、控制措施，非事件發(fā)生地區(qū)也要開展“重點人群、重點場所和重點環(huán)節(jié)的監(jiān)測和預防控制工作，防患于未然”(《國家突發(fā)公共衛(wèi)生事件應急預案》，2006年實施)。

在傳染病疫情防控中，“突發(fā)事件信息”、“預警信息”均可以理解為包括傳染病人、疑似傳染病人、密切接觸者等重點人群的健康狀況、行蹤、位置、工作單位等個人信息。 開展“流動人口管理”、“重點人群、重點場所和重點環(huán)節(jié)的監(jiān)測和預防控制工作”也將不可避免地涉及大量個人信息收集、分析和利用活動。法律法規(guī)賦予政府及有關部門在疫情防控中對個人信息廣泛的收集利用權力。底線是不得“故意泄露傳染病病人、病原攜帶者、疑似傳染病病人、密切接觸者涉及個人隱私的有關信息、資料”(《傳染病防治法》第六十八條)?！搬t(yī)療衛(wèi)生人員未經(jīng)當事人同意，不得將傳染病病人及其家屬的姓名、住址和個人病史以任何形式向社會公開”(《突發(fā)公共衛(wèi)生事件與傳染病疫情監(jiān)測信息報告管理辦法》，衛(wèi)疾控發(fā)[2006]332號，第十四條)。

1.2 企業(yè)、組織和個人承擔信息報告義務，并可利用所掌握的數(shù)據(jù)支持疫情防控

獲悉突發(fā)事件信息的公民、法人或者其他組織，應當“立即向所在地人民政府、有關主管部門或者指定的專業(yè)機構報告”(《突發(fā)事件應對法》第三十八條)?！叭魏螁挝缓蛡€人發(fā)現(xiàn)傳染病病人或者疑似傳染病病人時，應當及時向附近的疾病預防控制機構或者醫(yī)療機構報告”(《傳染病防治法》第三十一條)。

《網(wǎng)絡安全法》等法律法規(guī)對于網(wǎng)絡運營者的個人信息保護義務進行了明確界定，包括信息收集的最小化和必要原則，用戶知情權，用戶同意權，以及對于與第三方(非主管部門)共享的限制等核心規(guī)則。

結合前述突發(fā)事件管理和傳染病防治的有關規(guī)定，可以將企業(yè)、組織等主體在疫情中處理個人信息及相應的數(shù)據(jù)保護義務分為3種情況：一是直接發(fā)現(xiàn)和疫情相關的信息應當主動向主管部門報告，不受個人信息保護規(guī)則的限制。二是按照主管部門要求，或受其委托對用戶數(shù)據(jù)開展分析、利用、研究，輔助疫情防控工作的，應當按照要求或委托的內容進行數(shù)據(jù)處理，不能超過主管部門的相關職責權限，同時不受常態(tài)下個人信息保護規(guī)則的限制。三是自主對用戶數(shù)據(jù)進行分析、利用，用于開發(fā)疫情防控相關產(chǎn)品和服務的，應當履行常態(tài)下的個人信息保護義務。企業(yè)或組織在疫情與常態(tài)下的個人信息保護義務對比詳情如表1所示。

表1 企業(yè)或組織在疫情與常態(tài)下的個人信息保護義務對比

2 域外公共衛(wèi)生突發(fā)事件下的信息保護豁免

將視線投向域外，歐盟、美國等數(shù)據(jù)保護與利用規(guī)則較為發(fā)達的國家和地區(qū)，均在立法或判例中確立了公共事件中的個人信息處理規(guī)則，主要內容包含以下幾方面。

2.1 為保護公共利益在一定程度上限制個人信息知情同意權

歐盟《一般數(shù)據(jù)保護條例》確立了一般情況下的數(shù)據(jù)主體知情同意原則，但同時也規(guī)定了6類無需獲得數(shù)據(jù)主體同意即可處理個人信息的理由。具體包括為保護數(shù)據(jù)主體及其他自然人的重要利益而處理個人數(shù)據(jù)，為公共利益而執(zhí)行任務，或數(shù)據(jù)控制者被賦予公共職能時必須處理個人數(shù)據(jù)等。美國《健康保險攜帶和責任法案》(簡稱HIPAA)規(guī)定在12類涉及“國家利益優(yōu)先”的情形下，可以不經(jīng)個人同意而披露及使用健康信息，其中包括公共衛(wèi)生事件、衛(wèi)生監(jiān)管活動、降低衛(wèi)生或安全風險、重要政府工作等。HIPAA規(guī)制的“可識別個人健康信息”同時涵蓋了個體信息和集合信息，既包括個人過去、現(xiàn)在和未來的身體和精神健康信息，相關支付信息，也包括人口學統(tǒng)計數(shù)據(jù)。

2.2 運用“第三方準則”保護第三方機構向主管部門提供數(shù)據(jù)或數(shù)據(jù)分析結果

“第三方原則”是指第三方機構(如醫(yī)院、電信運營商、保險公司等)應政府部門要求提供其掌握的個人信息，不受美國憲法第四修正案(公民免受無理由搜查和扣押)的限制。該原則是美國法院在處理數(shù)據(jù)協(xié)助義務案件中所應用的一項規(guī)則，也適用于強制上報健康數(shù)據(jù)等活動，數(shù)據(jù)收集方可以在不經(jīng)用戶同意的情況下變更收集時告知用戶的使用目的，并將數(shù)據(jù)一次性或持續(xù)性披露給政府部門。

隨著掌握海量用戶數(shù)據(jù)的數(shù)字平臺興起，數(shù)據(jù)用于公益目的的場景將越來越豐富。以防治流感為例，目前美國已經(jīng)有眾多基于用戶數(shù)據(jù)的平臺正積極利用貧困、失業(yè)、低學歷、住房不穩(wěn)定以及糧食不安全等信息確定高風險人群，以這些數(shù)據(jù)為基礎，幫助醫(yī)療行業(yè)更準確地預測流感的發(fā)病率和入院率，促進醫(yī)療資源的有效分配。第三方準則為海量數(shù)據(jù)用于執(zhí)法和公益目的搭建了一種框架，值得重視。

2.3 運用比例原則衡量特殊情況下信息利用與保護的合理界限

無論是公共利益優(yōu)先還是“第三方準則”，都是在利益沖突場景下為權衡信息利用與保護而提出的法律原則，并未解決現(xiàn)實情況下如何劃定具體邊界的問題。如何在不同場景下在兩者之間進行再權衡，很大程度上將取決于比例原則，即將公共需要或公共利益與個人信息受到克減的程度相比較，找到一個相對合理的平衡點。

大數(shù)據(jù)利用是利益沖突的典型場景，近年來受到各方關注。2013年，美國研究人員Rubinstein在其發(fā)表的論文中指出，大數(shù)據(jù)給隱私保護法帶來了挑戰(zhàn)：一方面模糊了個人信息和非個人信息的邊界，另一方面沖擊了信息最小化原則和知情同意原則[4]。健康或醫(yī)療大數(shù)據(jù)就是這樣一個例子，健康信息普遍被認為是最具有個人和秘密特性的信息，但同時也是對識別犯罪嫌疑人、調查流行病、制定公共政策、開展生物醫(yī)學和行為學研究等具有高度價值的信息。今后在健康大數(shù)據(jù)領域勢必將產(chǎn)生更加多樣的數(shù)據(jù)應用，個人信息利用與保護的界限劃定將面臨更多挑戰(zhàn)。

3 結束語

疫情下的數(shù)據(jù)利用與個人信息保護實踐為完善個人信息保護制度提供了新的觀察視角，在數(shù)據(jù)管理制度不斷健全完善的當下具有特別意義，建議政策制定者加強研究，將平衡原則從抽象空洞的基本原則發(fā)展為鮮活具體的可操作規(guī)范。具體來說可從兩方面入手：一方面要不斷審視數(shù)據(jù)利用與個人信息保護的平衡。近年來，我國積極推進個人信息保護的立法和實踐，個人信息保護制度不斷完善，重點領域的執(zhí)法力度明顯加強。信息保護固然是數(shù)字經(jīng)濟時代的應有之義，數(shù)據(jù)利用則更是社會各領域發(fā)展前進的強勁動力，必須在其中維持微妙的平衡。相關部門在規(guī)范制定和執(zhí)行中應開展“平衡性測試”，統(tǒng)籌考慮個人信息的敏感性、個人權益的可恢復性、公共需要的重要性緊迫性等因素，處理好數(shù)據(jù)管理的“寬”與“嚴”的關系。另一方面要細化公共事件等特殊場景下的數(shù)據(jù)利用規(guī)則?？梢钥紤]按照數(shù)據(jù)的不同識別程度，如匿名性、可關聯(lián)性、可識別性，結合數(shù)據(jù)的敏感性、重要性，公共需求的迫切性等維度，分別規(guī)定不同的利用規(guī)則、認定標準、保護措施、管理體制、主體責任。政策制定者應持續(xù)發(fā)布指導事例，闡釋具體個案中不同行業(yè)背景下的國家利益、公共利益的具體含義，明確個人信息權利與公共需求、執(zhí)法協(xié)助、學術研究等法律保護事由的合理界限，為數(shù)據(jù)利用和保護的平衡提供清晰的指引和合理的預期。