張潤，李勁松

(1.中國人民公安大學(xué)法學(xué)院，北京 西城 100038；2.中南財經(jīng)政法大學(xué)法學(xué)院)

醫(yī)療信息作為被稱作“新石油”的個人信息的類別之一，是指醫(yī)療衛(wèi)生機(jī)構(gòu)在對患者進(jìn)行診療過程中所形成與收集的能夠反映患者身份的信息，包括醫(yī)療機(jī)構(gòu)制作、獲取的患者的姓名、年齡等身份信息及病情、處方等健康信息。面對日新月異的社會環(huán)境，我國關(guān)于醫(yī)療信息保護(hù)的法律規(guī)范，因其存在體系上的分裂，難以實(shí)現(xiàn)對醫(yī)療信息的有效保護(hù)和利用。一方面，醫(yī)療信息不僅作為《中華人民共和國民法典》(以下簡稱《民法典》)中規(guī)定的隱私權(quán)和個人信息權(quán)的客體具備私法屬性應(yīng)當(dāng)受到私法的周全保護(hù)；另一方面，醫(yī)療信息作為醫(yī)療機(jī)構(gòu)收集的信息，需要參照政府信息適用《中華人民共和國政府信息公開條例》(以下簡稱《政府信息公開條例》)，其又同時具備公法屬性，需要受到公法的限制。當(dāng)私法的保護(hù)與公法的限制出現(xiàn)沖突時，此種外部糾紛如何進(jìn)行解決？且在私法內(nèi)部，醫(yī)療信息同時屬于隱私權(quán)與個人信息權(quán)的客體，私法的多重權(quán)利是否會存在沖突？以及醫(yī)療信息作為個人信息中具有較大特殊性的信息，統(tǒng)一適用個人信息的規(guī)則，是否會導(dǎo)致保護(hù)的不足？這些都是為實(shí)現(xiàn)對醫(yī)療信息協(xié)調(diào)保護(hù)所亟需解決的問題。

1 醫(yī)療信息的雙重屬性

1.1 醫(yī)療信息的私法屬性

從個人信息保護(hù)的歷史來看，一般認(rèn)為，個人信息權(quán)衍生于人格權(quán)中的隱私權(quán)，因而被視為傳統(tǒng)人格權(quán)的范疇[1]。因此，存在將個人信息以隱私權(quán)的方式進(jìn)行保護(hù)的觀點(diǎn)，如王澤鑒教授主張，“隱私權(quán)包括保護(hù)私生活不受干擾及信息自主兩個生活領(lǐng)域”[2]。但是，我國理論界以王利明先生為代表的學(xué)者多主張個人信息與隱私應(yīng)當(dāng)屬于獨(dú)立的權(quán)利[3]，我國立法亦采取此種觀點(diǎn)，在《民法典》中分別規(guī)定了隱私權(quán)與個人信息權(quán)。因此，在我國私法體系中，醫(yī)療信息同時受到隱私權(quán)與個人信息權(quán)的保護(hù)，而成為兩者的權(quán)利客體。將醫(yī)療信息同時認(rèn)定為隱私權(quán)與個人信息權(quán)的客體，兩種權(quán)利在保護(hù)的規(guī)則上也具有共通性。根據(jù)《民法典》第1033條、第1035條的規(guī)定，未經(jīng)自然人或其監(jiān)護(hù)人的同意，不得處理自然人的醫(yī)療信息。此處所謂的處理，包括收集、存儲、使用、加工、傳輸、提供、公開等行為。這兩個條文基本確立了在私法屬性的側(cè)面，法律為醫(yī)療信息提供較為有力的保護(hù)。

1.2 醫(yī)療信息的公法屬性

醫(yī)療信息并非僅僅體現(xiàn)為個人利益，其還具備相當(dāng)?shù)墓矁r值，對于防控疫情、醫(yī)療技術(shù)的發(fā)展等涉及公共利益的事項均具有重大的作用。如在2020年初于我國爆發(fā)的新冠肺炎疫情防治中，政府部門通過公開患者的性別、年齡、工作單位、住所等基本信息，從而向社會宣傳與此有密切接觸的人員及時就診并進(jìn)行隔離，通過對患者醫(yī)療信息的利用，我國防控疫情工作取得了巨大的成果。將醫(yī)療信息作為“類政府信息”認(rèn)定的同時，在規(guī)則上也參照《政府信息公開條例》第5條的規(guī)定，應(yīng)當(dāng)堅持以公開為常態(tài)、不公開為例外。此時，收集、處理醫(yī)療信息屬于醫(yī)療機(jī)構(gòu)所享有的權(quán)力，醫(yī)療信息具備了公法屬性。

2 雙重屬性下醫(yī)療信息規(guī)制的外部體系沖突

醫(yī)療信息同時具備私法屬性與公法屬性，一方面作為私法權(quán)利的客體，其受到私法的有力保護(hù)，未經(jīng)權(quán)利人同意，他人不得處理醫(yī)療信息；另一方面，醫(yī)療信息作為“類政府信息”，要受到公法的管制。由于私法與公法的區(qū)分規(guī)制，醫(yī)療信息的規(guī)則存在外部的體系沖突。

2.1 醫(yī)療信息的信息收集問題

在公、私法對醫(yī)療信息作有分別規(guī)定的情況下，對于醫(yī)療機(jī)構(gòu)收集患者的醫(yī)療信息問題，在我國公法與私法之間存在矛盾，主要表現(xiàn)在以下幾個方面：

2.1.1 知情權(quán)的保障不足 從我國現(xiàn)行法的規(guī)定來看，行政機(jī)關(guān)對于醫(yī)療信息的收集以及收集后一系列與處理相關(guān)的事項，不負(fù)有告知患者的義務(wù)。從實(shí)際操作來看，患者在就醫(yī)時，也往往難以預(yù)料自己的醫(yī)療信息可能被用于何種用途。因此，在公法的規(guī)則之下，患者的知情權(quán)難以得到保障。

2.1.2 同意權(quán)的保障不足 我國《民法典》確立了處理他人的個人信息需要征得自然人或其監(jiān)護(hù)人的同意的基本規(guī)則。在公法的規(guī)則下，患者的同意權(quán)難以得到保障。盡管醫(yī)療信息蘊(yùn)含了巨大的公共價值，可能存在個人信息保護(hù)應(yīng)從個人控制走向社會控制的趨勢，但是這并不意味著可以完全無視患者的同意[4]。同意權(quán)乃是個人信息權(quán)中最為基礎(chǔ)的權(quán)能，若失去此項權(quán)能，則個人信息的保護(hù)制度根本無從建立。

2.1.3 患者實(shí)際缺乏選擇空間 不僅在法律規(guī)則的沖突中患者的對于醫(yī)療機(jī)構(gòu)的收集行為難以控制，在實(shí)際操作中，患者亦缺乏選擇的余地。如經(jīng)調(diào)查表明，患者在使用在線醫(yī)療時對個人信息的安全性是存在擔(dān)憂的，但顯然不可能基于此種擔(dān)憂放棄疾病的救治[5]。在實(shí)踐中，互聯(lián)網(wǎng)平臺多通過概括性的使用條款獲取了患者形式上的同意，但實(shí)質(zhì)意義上的同意權(quán)行使卻沒有得到保障。如據(jù)《華爾街日報》于2019年11月12日的報道顯示，谷歌公司通過與美國第二大醫(yī)療保健系統(tǒng)Ascension的合作，收集了近5000萬美國人的醫(yī)療信息。在公法體系之下，醫(yī)療機(jī)構(gòu)對患者醫(yī)療信息的收集，不以患者的知情與同意為必要前提，此時私法為患者醫(yī)療信息所提供的知情權(quán)、同意權(quán)難以實(shí)現(xiàn)有效的保障。

2.2 醫(yī)療信息的信息公開問題

我國關(guān)于醫(yī)療信息得否公開的規(guī)定，在我國公法與私法領(lǐng)域存在著截然不同的價值取向，在具體的規(guī)則設(shè)計上存在著沖突與不能銜接的地方，不利于對個人權(quán)利及公共利益的協(xié)調(diào)保護(hù)。

2.2.1 原則與例外的沖突 《民法典》確立了“以不公開為原則，公開為例外”的醫(yī)療信息保護(hù)規(guī)則。而《政府信息公開條例》則明確以公開信息為原則，以“涉及商業(yè)秘密、個人隱私等公開會對第三方合法權(quán)益造成損害的政府信息”不予公開為例外。在公私法之間，二者的基本價值取向完全不同，在處理案件過程中可能出現(xiàn)矛盾的處理結(jié)果。

2.2.2 不公開范圍的保護(hù)不足 對于醫(yī)療信息的公開范圍，《民法典》與《政府信息公開條例》的規(guī)則不統(tǒng)一，導(dǎo)致現(xiàn)行規(guī)則對于個人利益與公共利益均有保護(hù)的不周。

2.2.3 公法與私法的銜接不完善 當(dāng)涉及公共利益時，《民法典》規(guī)定了可以處理個人信息的例外，但是在私法與公法之間缺乏明確的銜接機(jī)制。首先，對于《民法典》規(guī)定的公共利益，在界定上并無清晰的規(guī)則。政府信息公開這一制度設(shè)計的目的是為了維護(hù)公共利益，但并非每一次公開都會涉及到公共利益。因此，是否在政府信息公開工作中可以任意公開他人的醫(yī)療信息以及有何限制，《政府信息公開條例》中并無銜接規(guī)定。其次，《民法典》強(qiáng)調(diào)在為了“公共利益”時，對于他人醫(yī)療信息的處理也應(yīng)當(dāng)是“合理實(shí)施的其他行為”。盡管《民法典》設(shè)置了合理的限定，但是在《政府信息公開條例》中卻未作要求，缺乏方式上的銜接。

2.3 醫(yī)療信息的權(quán)利救濟(jì)問題

不僅在醫(yī)療信息的采集與公開環(huán)節(jié)，公法與私法存在體系的差異，當(dāng)醫(yī)療信息受到侵害時，如何予以救濟(jì)，公法與私法也存在不同。醫(yī)療信息屬于《民法典》中隱私權(quán)與個人信息權(quán)的權(quán)利客體，當(dāng)其受到侵害時，權(quán)利人可以請求侵權(quán)人承擔(dān)侵權(quán)責(zé)任，此時權(quán)利人需要向人民法院提起民事訴訟。而按照《政府信息公開條例》第51的規(guī)定，權(quán)利人認(rèn)為公開信息損害自身權(quán)益時，有權(quán)提起行政訴訟。此時，若行政機(jī)關(guān)的公開行為侵犯到了患者的醫(yī)療信息，患者尋求救濟(jì)時，究竟應(yīng)當(dāng)通過何種訴訟主張權(quán)利？而提起不同的訴訟，在實(shí)體與程序上均存在較大的差別。

2.3.1 在起訴期限方面 按照《民法典》的規(guī)定，當(dāng)事人應(yīng)當(dāng)在3年的短期訴訟時效期間內(nèi)向義務(wù)人主張權(quán)利，同時作為隱私權(quán)與個人信息權(quán)客體的醫(yī)療信息，當(dāng)其遭受侵犯時，受害人主張停止侵害、排除妨礙、消除危險、消除影響、恢復(fù)名譽(yù)、賠禮道歉的請求權(quán)，不受訴訟時效的限制。而按照我國《行政訴訟法》的規(guī)定，權(quán)利人應(yīng)當(dāng)自知道或者應(yīng)當(dāng)知道作出行政行為之日起六個月內(nèi)提起訴訟，逾期起訴的，人民法院不予受理。因此，在起訴的期限上，私法的民事訴訟對權(quán)利人的保護(hù)更為有利。

2.3.2 在舉證責(zé)任方面 按照我國《民事訴訟法》確立的舉證責(zé)任的原則，主張積極實(shí)施者需要對此承擔(dān)責(zé)任，因此當(dāng)權(quán)利人主張侵權(quán)責(zé)任時，其需要舉證證明侵權(quán)責(zé)任成立的諸要件，此時權(quán)利人的舉證責(zé)任較重。而按照我國《行政訴訟法》的規(guī)定，被告需對作出的行政行為負(fù)有舉證責(zé)任，被告不提供或者無正當(dāng)理由逾期提供證據(jù)，視為沒有相應(yīng)證據(jù)。因此，在舉證責(zé)任的分配上，公法的行政訴訟對于權(quán)利人的保護(hù)更為有利。

2.3.3 在其他制度上 兩種訴訟方式也存在適用上的差別。如訴訟費(fèi)用的預(yù)交，在民事訴訟中則按訴訟標(biāo)的額的比例進(jìn)行收取，而行政訴訟則按件收費(fèi)，權(quán)利人主張權(quán)利的成本較低。因此，選擇兩種不同的救濟(jì)途徑，在實(shí)體法與程序法上均存在一定的差異。

3 雙重屬性下醫(yī)療信息規(guī)制的內(nèi)部體系沖突

不僅在公法與私法之間存在體系沖突，即便在私法內(nèi)部，醫(yī)療信息的保護(hù)也存在著規(guī)則上的缺陷。

3.1 隱私權(quán)與個人信息權(quán)的規(guī)則沖突

醫(yī)療信息具有雙重屬性，而私法與公法由于立法基礎(chǔ)的不同，對于醫(yī)療信息的規(guī)制存在著規(guī)則上的差異，不僅沒有實(shí)現(xiàn)對醫(yī)療信息的多重保護(hù)，反而造成了體系的外部沖突。

3.1.1 保護(hù)競合，區(qū)分意義不大 盡管并非所有的個人信息均屬于隱私，但醫(yī)療信息作為緊密層的個人信息，其范圍與隱私基本重合[6]。此時，當(dāng)出現(xiàn)侵害醫(yī)療信息的行為時，司法實(shí)務(wù)中多以隱私權(quán)對醫(yī)療信息進(jìn)行保護(hù)。例如，實(shí)踐中有法院對于公開醫(yī)療信息的行為，雖將其稱之為個人信息的，但在認(rèn)定隱私權(quán)時，其指出“隱私權(quán)是指自然人享有的對其個人的、與公共利益無關(guān)的個人信息、私人活動和私有領(lǐng)域進(jìn)行支配的一種人格權(quán)，包含了個人信息的控制權(quán)。”因此，盡管隱私權(quán)的客體與個人信息權(quán)的客體并不完全一致，但在醫(yī)療信息上二者是基本重合的，區(qū)分的意義不大。

3.1.2 特別規(guī)范的適用，不利于權(quán)利保護(hù) 《民法典》第1034條第3款規(guī)定，個人信息中的私密信息，適用有關(guān)隱私權(quán)的規(guī)定；沒有規(guī)定的，適用有關(guān)個人信息保護(hù)的規(guī)定。此規(guī)則的設(shè)定意味著當(dāng)隱私權(quán)存在規(guī)定時，無論該規(guī)定相比于個人信息權(quán)的規(guī)定是否更為有利，皆排除個人信息權(quán)規(guī)定的適用。此種規(guī)則設(shè)置在邏輯上符合“特別法優(yōu)先于一般法”的規(guī)則，但不按照規(guī)則的有利與否一律適用，卻可能不足以保護(hù)權(quán)利人。

3.2 個人信息權(quán)的統(tǒng)一規(guī)則不足以保護(hù)醫(yī)療信息

我國《民法典》未區(qū)分個人信息的種類作不同的規(guī)則設(shè)計，而是確立了統(tǒng)一的保護(hù)規(guī)則。醫(yī)療信息相比于其他個人信息，具有更強(qiáng)的公益性與敏感性，與其他個人信息適用統(tǒng)一的規(guī)則不足以保護(hù)醫(yī)療信息。

3.2.1 醫(yī)療信息具有更強(qiáng)的公益性 個人信息雖然能夠識別自然人的身份，但是此種識別只有在社會環(huán)境中才具有意義?；诖耍瑢W(xué)者多認(rèn)為個人信息同時具備公共屬性，極端者甚至認(rèn)為，個人信息作為公共物品僅應(yīng)由公法規(guī)制[7]。相比于身份信息等與社會關(guān)聯(lián)較小的個人信息，醫(yī)療信息經(jīng)整合與分析后可應(yīng)用于疾病診斷、新藥研發(fā)、傳染病預(yù)測預(yù)防等領(lǐng)域，具有很高的經(jīng)濟(jì)價值與社會價值[8]。如通過對罹患新冠肺炎的患者的醫(yī)療信息的利用，我國在短時間內(nèi)對新冠疫情的防控采取了有效的措施。此時，嚴(yán)格適用個人信息權(quán)保護(hù)規(guī)則中的“知情同意規(guī)則”可能不利于公共利益的保護(hù)。例如有學(xué)者所提出的在精準(zhǔn)醫(yī)療中建立完善的數(shù)據(jù)資源庫，可能就會因個人信息的保護(hù)問題而受到限制[9]。

3.2.2 醫(yī)療信息具有更強(qiáng)的敏感性 按照個人信息的敏感程度，可將信息分為敏感信息與一般信息，其中敏感信息主要包括基因信息、醫(yī)療記錄等信息。敏感信息關(guān)涉自然人較為隱私的領(lǐng)域，侵害敏感信息給主體帶來的傷害更為嚴(yán)重。如《南方都市報》于2019年12月23日的報道指出，2016年7月，全國30個省份共計275名艾滋病患者因信息泄露而接到詐騙電話。鑒于此，世界多國均存在對敏感信息的單行立法。如歐盟實(shí)行的《通用數(shù)據(jù)保護(hù)條例》將“基因數(shù)據(jù)”“生物學(xué)識別數(shù)據(jù)”等界定為敏感信息，并命令禁止其數(shù)據(jù)處理。我國《民法典》沒有對此類信息進(jìn)行區(qū)分，而是制定統(tǒng)一的規(guī)則，不僅提高了對其他非敏感信息的保護(hù)，同時也削弱了對敏感信息的保護(hù)。

4 我國醫(yī)療信息調(diào)整規(guī)則體系沖突的消解

我國關(guān)于醫(yī)療信息調(diào)整規(guī)則存在著外部與內(nèi)部的體系沖突，其中外部的體系沖突的原因在于采用了分別的立法，而內(nèi)部體系沖突的原因在于采用了統(tǒng)一的立法。因此，在化解體系沖突時，亦需要以不同的方式進(jìn)行處理。

4.1 制定統(tǒng)一的《個人信息保護(hù)法》

對于公法與私法規(guī)則的不協(xié)調(diào)，其主要原因在于制定法律是各自所秉持的基本價值取向不同。由于我國缺乏一部統(tǒng)一的《個人信息保護(hù)法》，關(guān)于醫(yī)療信息的調(diào)整分散在公法與私法等部門中，因此為了化解此種沖突，《個人信息保護(hù)法》的制定就具有了很強(qiáng)的必要性。我國已經(jīng)啟動了《個人信息保護(hù)法》的制定，從2017年，吳曉靈等45位人大代表向全國人大提交的《個人信息保護(hù)法》(立法草案)，到2019年全國人大會議將《個人信息保護(hù)法》列入本屆人大立法規(guī)劃，個人信息的統(tǒng)一立法正在從理論走向現(xiàn)實(shí)。因此，在制定《個人信息保護(hù)法》的過程中，密切關(guān)注我國公、私法之間的體系沖突，并進(jìn)行統(tǒng)一規(guī)定，是化解醫(yī)療信息保護(hù)規(guī)則外部沖突最為直接、有效且可行的方法。

4.2 制定醫(yī)療信息保護(hù)的單行法

無論是《民法典》亦或是還在立法過程中的《個人信息保護(hù)法》，在采用統(tǒng)一抽象的規(guī)定模式之下，很難具體考量每一種個人信息所具有的特殊性。因此，特殊行業(yè)領(lǐng)域中的個人信息具有特殊性，統(tǒng)一立法保護(hù)尚不能周全，應(yīng)當(dāng)以單行的信息法律、法規(guī)予以規(guī)制[10]。例如，美國2009年出臺的《經(jīng)濟(jì)和臨床健康信息技術(shù)法》即屬于針對醫(yī)療信息保護(hù)的專門立法。通過單行法的立法模式，可以充分考量各種個人信息之間的差異及其特殊性，從而制定最為貼合、周全的規(guī)則。

4.3 完善醫(yī)療行業(yè)的自律規(guī)則

法律難以從操作的每一個細(xì)節(jié)去設(shè)定個人信息的保護(hù)與利用規(guī)則，否則其可能會因?yàn)榄h(huán)境的變化而變得不具有合理性。醫(yī)療行業(yè)是直面患者醫(yī)療信息的收集與利用的第一個主體，其也是患者醫(yī)療信息保護(hù)的第一個主體。由醫(yī)療行業(yè)設(shè)定自律性規(guī)則，是完善醫(yī)療信息保護(hù)規(guī)則的有效舉措。例如，美國注重對于醫(yī)療信息保護(hù)的行業(yè)自律，其在1998年便制定了《有效保護(hù)隱私權(quán)的自律規(guī)范》[11]。因此，通過醫(yī)療行業(yè)設(shè)定行業(yè)自律規(guī)則，填補(bǔ)現(xiàn)行法中存在的銜接規(guī)則的缺失，能夠在一定程度上提高現(xiàn)行法規(guī)則的可行性以及緩和現(xiàn)行法中存在的體系沖突。

4.4 加強(qiáng)行政機(jī)關(guān)對個人信息的統(tǒng)籌監(jiān)管

在我國，政府不僅扮演著醫(yī)療信息的保護(hù)者，同時其本身亦為醫(yī)療信息等個人數(shù)據(jù)最大的收集、處理與利用主體[12]。前文提及的醫(yī)療信息保護(hù)的外部體系沖突，其主要問題就在于政府信息公開中對醫(yī)療信息的公開導(dǎo)致的患者權(quán)利受損。因此，為保障具體進(jìn)行信息公開的行政機(jī)關(guān)在公開他人醫(yī)療信息時，能夠秉持合法性、合目的性、合比例性的三要件要求，需要增強(qiáng)行政上的統(tǒng)籌監(jiān)管。同時，由于醫(yī)療信息的保護(hù)涉及多個行政部門，在域外就存在設(shè)置專業(yè)性機(jī)關(guān)進(jìn)行管理的經(jīng)驗(yàn)，如歐盟設(shè)置的數(shù)據(jù)保護(hù)委員會正是專業(yè)的個人信息保護(hù)機(jī)關(guān)。我國現(xiàn)行社會背景之下，設(shè)置專業(yè)性的醫(yī)療信息保護(hù)機(jī)關(guān)無必要，但是增強(qiáng)本級政府或上級機(jī)關(guān)對于醫(yī)療信息保護(hù)的統(tǒng)籌監(jiān)管與領(lǐng)導(dǎo)具備切實(shí)的可行性。