疫情下的數(shù)據(jù)利用和個(gè)人信息保護(hù)再權(quán)衡

張郁安

(中國信息通信研究院政策與經(jīng)濟(jì)研究所，北京 100191)

0 引言

全國范圍的新冠肺炎疫情抗擊工作開展以來，圍繞“早發(fā)現(xiàn)、早隔離”的防治原則，人們利用包括大數(shù)據(jù)技術(shù)在內(nèi)的多種手段，進(jìn)行重點(diǎn)人群的監(jiān)測(cè)預(yù)警、統(tǒng)計(jì)分析，以準(zhǔn)確、及時(shí)、全面的信息為武器對(duì)抗疫情。相關(guān)的應(yīng)用包括實(shí)時(shí)監(jiān)測(cè)車輛、人口動(dòng)態(tài)信息，或利用大數(shù)據(jù)開展人員流動(dòng)監(jiān)測(cè)，為研判疫情態(tài)勢(shì)提供技術(shù)支持；包括面向公眾的“同程排查”服務(wù)，用戶輸入行程日期、車次和地區(qū)，即可查詢已被披露的新冠肺炎確診患者同行的火車、飛機(jī)和地鐵等等。北京、天津、江蘇等地方主管部門公布“病例發(fā)病期間活動(dòng)過的小區(qū)或場(chǎng)所”，幫助市民及時(shí)了解疾病線索，便于社區(qū)有針對(duì)性地開展疫情防控工作。除此以外，社會(huì)上也出現(xiàn)過一些明顯違法或失范的信息利用活動(dòng)，比如在微信群中公開、轉(zhuǎn)發(fā)有武漢接觸史人員的姓名、身份證號(hào)、行程、位置等個(gè)人信息。面對(duì)公共衛(wèi)生突發(fā)事件，在種種信息利用活動(dòng)面前，如何權(quán)衡公共需要與個(gè)人權(quán)利，以劃定合理的信息保護(hù)與利用的界限顯得愈發(fā)重要。

1 我國公共衛(wèi)生突發(fā)事件下的信息利用和保護(hù)規(guī)則

信息的收集、利用對(duì)于傳染病疫情防控的重要意義不言而喻，當(dāng)前我國已基本建立起疫情下的個(gè)人信息收集與利用規(guī)則框架，通過《突發(fā)事件應(yīng)對(duì)法》《傳染病防治法》《突發(fā)公共衛(wèi)生事件應(yīng)急條例》，結(jié)合《網(wǎng)絡(luò)安全法》的相關(guān)規(guī)定，從應(yīng)急保障、信息公開、信息保護(hù)等角度，分別對(duì)政府部門、企業(yè)組織以及個(gè)人在傳染病疫情防控場(chǎng)景下的責(zé)任義務(wù)進(jìn)行了規(guī)定，為疫情下相關(guān)信息的合理利用提供了基本準(zhǔn)則。

1.1 政府部門按照法定職責(zé)收集、公布事件相關(guān)信息，對(duì)疫情開展監(jiān)測(cè)

政府及有關(guān)部門、專業(yè)機(jī)構(gòu)應(yīng)當(dāng)“通過多種途徑收集突發(fā)事件信息”(《突發(fā)事件應(yīng)對(duì)法》第三十八條)。政府應(yīng)當(dāng)主動(dòng)公開“突發(fā)公共事件的應(yīng)急預(yù)案、預(yù)警信息及應(yīng)對(duì)情況”(《政府信息公開條例》第二十條)。衛(wèi)生行政主管部門負(fù)責(zé)向社會(huì)發(fā)布突發(fā)公共衛(wèi)生事件的信息(《突發(fā)公共衛(wèi)生事件應(yīng)急條例》第二十五條)。除了收集和發(fā)布疫情事件信息以外，衛(wèi)生行政部門和相關(guān)政府部門還應(yīng)當(dāng)開展監(jiān)測(cè)預(yù)警。有關(guān)部門、醫(yī)療衛(wèi)生機(jī)構(gòu)應(yīng)當(dāng)對(duì)傳染病做到“早發(fā)現(xiàn)、早報(bào)告、早隔離”(《突發(fā)公共衛(wèi)生事件應(yīng)急條例》第四十二條)。各級(jí)人民政府應(yīng)當(dāng)開展“流動(dòng)人口管理”，落實(shí)預(yù)防、控制措施，非事件發(fā)生地區(qū)也要開展“重點(diǎn)人群、重點(diǎn)場(chǎng)所和重點(diǎn)環(huán)節(jié)的監(jiān)測(cè)和預(yù)防控制工作，防患于未然”(《國家突發(fā)公共衛(wèi)生事件應(yīng)急預(yù)案》，2006年實(shí)施)。

在傳染病疫情防控中，“突發(fā)事件信息”、“預(yù)警信息”均可以理解為包括傳染病人、疑似傳染病人、密切接觸者等重點(diǎn)人群的健康狀況、行蹤、位置、工作單位等個(gè)人信息。 開展“流動(dòng)人口管理”、“重點(diǎn)人群、重點(diǎn)場(chǎng)所和重點(diǎn)環(huán)節(jié)的監(jiān)測(cè)和預(yù)防控制工作”也將不可避免地涉及大量個(gè)人信息收集、分析和利用活動(dòng)。法律法規(guī)賦予政府及有關(guān)部門在疫情防控中對(duì)個(gè)人信息廣泛的收集利用權(quán)力。底線是不得“故意泄露傳染病病人、病原攜帶者、疑似傳染病病人、密切接觸者涉及個(gè)人隱私的有關(guān)信息、資料”(《傳染病防治法》第六十八條)?！搬t(yī)療衛(wèi)生人員未經(jīng)當(dāng)事人同意，不得將傳染病病人及其家屬的姓名、住址和個(gè)人病史以任何形式向社會(huì)公開”(《突發(fā)公共衛(wèi)生事件與傳染病疫情監(jiān)測(cè)信息報(bào)告管理辦法》，衛(wèi)疾控發(fā)[2006]332號(hào)，第十四條)。

1.2 企業(yè)、組織和個(gè)人承擔(dān)信息報(bào)告義務(wù)，并可利用所掌握的數(shù)據(jù)支持疫情防控

獲悉突發(fā)事件信息的公民、法人或者其他組織，應(yīng)當(dāng)“立即向所在地人民政府、有關(guān)主管部門或者指定的專業(yè)機(jī)構(gòu)報(bào)告”(《突發(fā)事件應(yīng)對(duì)法》第三十八條)?！叭魏螁挝缓蛡€(gè)人發(fā)現(xiàn)傳染病病人或者疑似傳染病病人時(shí)，應(yīng)當(dāng)及時(shí)向附近的疾病預(yù)防控制機(jī)構(gòu)或者醫(yī)療機(jī)構(gòu)報(bào)告”(《傳染病防治法》第三十一條)。

《網(wǎng)絡(luò)安全法》等法律法規(guī)對(duì)于網(wǎng)絡(luò)運(yùn)營者的個(gè)人信息保護(hù)義務(wù)進(jìn)行了明確界定，包括信息收集的最小化和必要原則，用戶知情權(quán)，用戶同意權(quán)，以及對(duì)于與第三方(非主管部門)共享的限制等核心規(guī)則。

結(jié)合前述突發(fā)事件管理和傳染病防治的有關(guān)規(guī)定，可以將企業(yè)、組織等主體在疫情中處理個(gè)人信息及相應(yīng)的數(shù)據(jù)保護(hù)義務(wù)分為3種情況：一是直接發(fā)現(xiàn)和疫情相關(guān)的信息應(yīng)當(dāng)主動(dòng)向主管部門報(bào)告，不受個(gè)人信息保護(hù)規(guī)則的限制。二是按照主管部門要求，或受其委托對(duì)用戶數(shù)據(jù)開展分析、利用、研究，輔助疫情防控工作的，應(yīng)當(dāng)按照要求或委托的內(nèi)容進(jìn)行數(shù)據(jù)處理，不能超過主管部門的相關(guān)職責(zé)權(quán)限，同時(shí)不受常態(tài)下個(gè)人信息保護(hù)規(guī)則的限制。三是自主對(duì)用戶數(shù)據(jù)進(jìn)行分析、利用，用于開發(fā)疫情防控相關(guān)產(chǎn)品和服務(wù)的，應(yīng)當(dāng)履行常態(tài)下的個(gè)人信息保護(hù)義務(wù)。企業(yè)或組織在疫情與常態(tài)下的個(gè)人信息保護(hù)義務(wù)對(duì)比詳情如表1所示。

表1 企業(yè)或組織在疫情與常態(tài)下的個(gè)人信息保護(hù)義務(wù)對(duì)比

2 域外公共衛(wèi)生突發(fā)事件下的信息保護(hù)豁免

將視線投向域外，歐盟、美國等數(shù)據(jù)保護(hù)與利用規(guī)則較為發(fā)達(dá)的國家和地區(qū)，均在立法或判例中確立了公共事件中的個(gè)人信息處理規(guī)則，主要內(nèi)容包含以下幾方面。

2.1 為保護(hù)公共利益在一定程度上限制個(gè)人信息知情同意權(quán)

歐盟《一般數(shù)據(jù)保護(hù)條例》確立了一般情況下的數(shù)據(jù)主體知情同意原則，但同時(shí)也規(guī)定了6類無需獲得數(shù)據(jù)主體同意即可處理個(gè)人信息的理由。具體包括為保護(hù)數(shù)據(jù)主體及其他自然人的重要利益而處理個(gè)人數(shù)據(jù)，為公共利益而執(zhí)行任務(wù)，或數(shù)據(jù)控制者被賦予公共職能時(shí)必須處理個(gè)人數(shù)據(jù)等。美國《健康保險(xiǎn)攜帶和責(zé)任法案》(簡稱HIPAA)規(guī)定在12類涉及“國家利益優(yōu)先”的情形下，可以不經(jīng)個(gè)人同意而披露及使用健康信息，其中包括公共衛(wèi)生事件、衛(wèi)生監(jiān)管活動(dòng)、降低衛(wèi)生或安全風(fēng)險(xiǎn)、重要政府工作等。HIPAA規(guī)制的“可識(shí)別個(gè)人健康信息”同時(shí)涵蓋了個(gè)體信息和集合信息，既包括個(gè)人過去、現(xiàn)在和未來的身體和精神健康信息，相關(guān)支付信息，也包括人口學(xué)統(tǒng)計(jì)數(shù)據(jù)。

2.2 運(yùn)用“第三方準(zhǔn)則”保護(hù)第三方機(jī)構(gòu)向主管部門提供數(shù)據(jù)或數(shù)據(jù)分析結(jié)果

“第三方原則”是指第三方機(jī)構(gòu)(如醫(yī)院、電信運(yùn)營商、保險(xiǎn)公司等)應(yīng)政府部門要求提供其掌握的個(gè)人信息，不受美國憲法第四修正案(公民免受無理由搜查和扣押)的限制。該原則是美國法院在處理數(shù)據(jù)協(xié)助義務(wù)案件中所應(yīng)用的一項(xiàng)規(guī)則，也適用于強(qiáng)制上報(bào)健康數(shù)據(jù)等活動(dòng)，數(shù)據(jù)收集方可以在不經(jīng)用戶同意的情況下變更收集時(shí)告知用戶的使用目的，并將數(shù)據(jù)一次性或持續(xù)性披露給政府部門。

隨著掌握海量用戶數(shù)據(jù)的數(shù)字平臺(tái)興起，數(shù)據(jù)用于公益目的的場(chǎng)景將越來越豐富。以防治流感為例，目前美國已經(jīng)有眾多基于用戶數(shù)據(jù)的平臺(tái)正積極利用貧困、失業(yè)、低學(xué)歷、住房不穩(wěn)定以及糧食不安全等信息確定高風(fēng)險(xiǎn)人群，以這些數(shù)據(jù)為基礎(chǔ)，幫助醫(yī)療行業(yè)更準(zhǔn)確地預(yù)測(cè)流感的發(fā)病率和入院率，促進(jìn)醫(yī)療資源的有效分配。第三方準(zhǔn)則為海量數(shù)據(jù)用于執(zhí)法和公益目的搭建了一種框架，值得重視。

2.3 運(yùn)用比例原則衡量特殊情況下信息利用與保護(hù)的合理界限

無論是公共利益優(yōu)先還是“第三方準(zhǔn)則”，都是在利益沖突場(chǎng)景下為權(quán)衡信息利用與保護(hù)而提出的法律原則，并未解決現(xiàn)實(shí)情況下如何劃定具體邊界的問題。如何在不同場(chǎng)景下在兩者之間進(jìn)行再權(quán)衡，很大程度上將取決于比例原則，即將公共需要或公共利益與個(gè)人信息受到克減的程度相比較，找到一個(gè)相對(duì)合理的平衡點(diǎn)。

大數(shù)據(jù)利用是利益沖突的典型場(chǎng)景，近年來受到各方關(guān)注。2013年，美國研究人員Rubinstein在其發(fā)表的論文中指出，大數(shù)據(jù)給隱私保護(hù)法帶來了挑戰(zhàn)：一方面模糊了個(gè)人信息和非個(gè)人信息的邊界，另一方面沖擊了信息最小化原則和知情同意原則[4]。健康或醫(yī)療大數(shù)據(jù)就是這樣一個(gè)例子，健康信息普遍被認(rèn)為是最具有個(gè)人和秘密特性的信息，但同時(shí)也是對(duì)識(shí)別犯罪嫌疑人、調(diào)查流行病、制定公共政策、開展生物醫(yī)學(xué)和行為學(xué)研究等具有高度價(jià)值的信息。今后在健康大數(shù)據(jù)領(lǐng)域勢(shì)必將產(chǎn)生更加多樣的數(shù)據(jù)應(yīng)用，個(gè)人信息利用與保護(hù)的界限劃定將面臨更多挑戰(zhàn)。

3 結(jié)束語

疫情下的數(shù)據(jù)利用與個(gè)人信息保護(hù)實(shí)踐為完善個(gè)人信息保護(hù)制度提供了新的觀察視角，在數(shù)據(jù)管理制度不斷健全完善的當(dāng)下具有特別意義，建議政策制定者加強(qiáng)研究，將平衡原則從抽象空洞的基本原則發(fā)展為鮮活具體的可操作規(guī)范。具體來說可從兩方面入手：一方面要不斷審視數(shù)據(jù)利用與個(gè)人信息保護(hù)的平衡。近年來，我國積極推進(jìn)個(gè)人信息保護(hù)的立法和實(shí)踐，個(gè)人信息保護(hù)制度不斷完善，重點(diǎn)領(lǐng)域的執(zhí)法力度明顯加強(qiáng)。信息保護(hù)固然是數(shù)字經(jīng)濟(jì)時(shí)代的應(yīng)有之義，數(shù)據(jù)利用則更是社會(huì)各領(lǐng)域發(fā)展前進(jìn)的強(qiáng)勁動(dòng)力，必須在其中維持微妙的平衡。相關(guān)部門在規(guī)范制定和執(zhí)行中應(yīng)開展“平衡性測(cè)試”，統(tǒng)籌考慮個(gè)人信息的敏感性、個(gè)人權(quán)益的可恢復(fù)性、公共需要的重要性緊迫性等因素，處理好數(shù)據(jù)管理的“寬”與“嚴(yán)”的關(guān)系。另一方面要細(xì)化公共事件等特殊場(chǎng)景下的數(shù)據(jù)利用規(guī)則。可以考慮按照數(shù)據(jù)的不同識(shí)別程度，如匿名性、可關(guān)聯(lián)性、可識(shí)別性，結(jié)合數(shù)據(jù)的敏感性、重要性，公共需求的迫切性等維度，分別規(guī)定不同的利用規(guī)則、認(rèn)定標(biāo)準(zhǔn)、保護(hù)措施、管理體制、主體責(zé)任。政策制定者應(yīng)持續(xù)發(fā)布指導(dǎo)事例，闡釋具體個(gè)案中不同行業(yè)背景下的國家利益、公共利益的具體含義，明確個(gè)人信息權(quán)利與公共需求、執(zhí)法協(xié)助、學(xué)術(shù)研究等法律保護(hù)事由的合理界限，為數(shù)據(jù)利用和保護(hù)的平衡提供清晰的指引和合理的預(yù)期。