疫情防控中的個人信息保護探析

■

新冠肺炎疫情于2019 年末從武漢市發端，迅速席卷湖北省、全中國。這段時間，抗擊疫情成為我國頭等大事，在依法治國的大背景下，“依法防控”是抗擊疫情過程中必須遵循的基本準則，為此有關部門下發通知，要求充分利用包括個人信息在內的大數據，積極支撐“聯防聯控”工作，確保疫情防控取得顯著進展。在此，個人信息必然被在一定程度上公開，有時甚至是非自愿、強制性的公開，疫情防控與個人信息保護之間表現出明顯的沖突和對抗性。如何合理協調兩者之間的關系，盡可能保護個人信息在公共利益面前最小限度受損，成為一個非?，F實的問題。

個人信息讓渡公共利益的法理依據

談論此話題之前，必須肯定個人信息是受到法律保護的?！睹穹倓t》第一百一十一條規定：“自然人的個人信息受法律保護。任何組織和個人需要獲取他人個人信息的，應當依法取得并確保信息安全，不得非法收集、使用、加工、傳輸他人個人信息，不得非法買賣、提供或者公開他人個人信息?！碑斎?，該條法律規定也為個人信息權利讓渡留下了空間。

有效防控新冠肺炎疫情，直接關系到挽救生命、穩定社會秩序、恢復經濟生產等多方面的現實利益，無疑是非常重大的公共利益?；谝咔榉揽氐男枰?，作為個人權利的個人信息保護必然要作出一定的讓渡，以推動疫情防控工作正常進行。對此，我國相關法律法規作出了明確規定，《傳染病防治法》第十二條規定：“在中華人民共和國領域內的一切單位和個人，必須接受疾病預防控制機構、醫療機構有關傳染病的調查、檢驗、采集樣本、隔離治療等預防、控制措施，如實提供有關情況。疾病預防控制機構、醫療機構不得泄露涉及個人隱私的有關信息、資料?！?/p>

根據上述法律規定，一些患者、感染者的個人信息必然會在一定范圍內被公開，這是個人信息對于公共利益的讓渡，也是個人隱私空間的必要克減。這類信息公開體現在許多方面，除了衛生健康、疾病防疫部門等全面掌握患者、感染者的個人身份、病情、行蹤等信息之外，患者或疑似感染者居住的小區、樓棟等，由于直接關系到其他居民的安全和健康，也有必要在一定范圍內披露。此外，鐵路、交通、民航等部門也會向衛生健康等部門提供出行者個人信息，有利于官方判斷“高危人群”和“密切接觸者”等，以便及時采取適當措施，阻止疫情的傳播與擴散，減少人員感染。

這次疫情防控與以往歷次疫情處置的一個顯著區別，還在于幾乎全民都被要求提供個人信息，各地都開通了網上或線下申報系統，居民即使未感染病毒，也被規定持續報告，例如四川就設置了“天府健康通”程序，居民上班、出行等都需要填寫多方面的個人信息，包括身份證號碼、住址、近期行蹤等，實際上也在向相關部門公開自己的隱私信息。

新冠肺炎疫情發生、蔓延，還導致一些人臨時性、階段性成為公眾人物。公眾人物也稱公共人物，是指一定范圍內為人們所廣泛知曉和關注、具有一定影響，并與社會公眾利益密切相關的人物。通常成為公眾人物，是因為他們履行一定公共職務，或在各自領域具有一定代表性，例如黨政干部、文體明星、網絡大V等，另有一類則被稱為“非自愿公眾人物”，他們出名或成為社會公眾關注的對象，往往不是主觀追求或放任的結果，而是偶然介入某些重大事件造成的。①在這次新冠肺炎疫情出現以后，由于疾病預防、病毒研究、信息報道等公共利益的需要，一些研究人員如鐘南山、李蘭娟、高福、王延軼等成為這種類型的公眾人物。在疫情防控期間，適度披露這些人的一些個人信息，有助于民眾進一步知悉疫情，符合公共利益的需要，因此他們有義務讓渡、犧牲自己的某些個人隱私權利。

個人信息公開的適度原則

在公共利益與個人信息保護之間實現平衡，作為一個基本的法律原則并不難理解，關鍵是如何具體落實這些原則，確保在實踐中不偏頗、不“走樣”，歸根到底就是準確把握“度”，以適度原則處理疫情防控中的個人信息公開問題。

適度原則的核心其實很簡單：“始于公共利益，止于公共利益”。概言之，個人信息權利是為公共利益而讓渡的，其讓渡幅度也僅限于維護公共利益的需要，不能擅自擴大個人信息公開的范圍，也不能隨意提高信息公開的強度。國內有學者曾經指出：“非自愿公眾人物在卷入到某個爭議事件中時引發了公眾興趣，只能說該事件涉及到了公共利益和公共興趣，而對于該事件的報道，則不應當擴大到對有關個人隱私等方面的利益進行限制?！雹?/p>

適度原則執行中的第一個要點，是準確理解“公共利益”的含義，只公開與公共利益有直接關聯的信息，對于無關信息則不必披露。比如，中國科學院武漢病毒研究所所長王延軼在疫情中成為公眾人物是不爭的事實，但并非她的所有信息都需要公開，出于公共利益的需要，媒體和網絡平臺可以公布其年齡、求學經歷和婚姻、論文發表等信息，以印證其是否存在公眾關注的師生戀、“火箭升遷”以及“外行領導內行”等疑問，卻沒有必要對其他信息作過多披露。

適度原則的第二個要點，在于盡量避免披露高敏感度的個人信息，最大限度減少對個人隱私的侵犯。個人敏感信息是指一旦泄露、非法提供或濫用可能危害人身和財產安全，極易導致個人名譽、身心健康受到損害或歧視性待遇等的個人信息。在這次疫情過程中，各地對于患者信息的公開強度差異較大，有些地方只公布樓棟、單元等信息，這是應當的。而有些地方則在公布時添加了姓名（通常只有姓、沒有全名）、年齡等信息，這就值得商榷了。

適度原則的第三個要點，是最小范圍原則，這在中央網信辦《關于做好個人信息保護利用大數據支撐聯防聯控工作的通知》中有明確要求，一個具體的表現，是對于患者的信息，只需要在小區、單位等小范圍內公開，讓周邊人士知悉、有效預防即可，而無須在大眾媒體上廣泛發布。更關鍵的則是，衛生健康、疾病防疫等部門工作人員基于工作職權獲悉他人的隱私信息后，不能擅自對外擴散，否則將承擔不利后果，應受到不同程度的處分、處罰。

個人信息侵權的罰則及施行

從理論上說，任何非基于公共利益需要而獲取、傳遞、擴散他人個人信息都可能構成侵權，但在實踐中如此掌握標準，需要處理的案件太多，因此必然對信息泄露的強度、數量等作出規定，使得處罰違法行為具有可操作性。

有學者認為“可識別性”是個人信息的核心內涵，足以構成對個人予以識別的信息才有保護的必要和意義。③而在我國刑事司法解釋中，個人信息被區分為三類：敏感信息，包括行蹤軌跡信息、通信內容、征信信息、財產信息等；次敏感信息，包括住宿信息、通信記錄、健康生理信息、交易信息等其他可能影響人身、財產安全的公民個人信息；其他信息則屬于一般信息。這三類信息在“非法獲取、出售或者提供公民個人信息罪”的入罪標準上差別極大，敏感信息50 條以上即可入罪，次敏感信息則是500條，一般信息更需要達到5000條以上才可定罪。同時需要說明的是，疫情防控中要求民眾提供既往出行信息等，并不屬于敏感信息之列——此處定義的“行蹤軌跡信息”通常是即將發生的行為，他人獲悉后可以采取跟蹤、綁架等手段，致使對方處于不利地位。

在這次疫情過程中，因為泄露他人個人信息而承擔行政責任的情形非常普遍。疾病防控機構、醫療機構、街道（鄉鎮）及社區等工作人員泄露涉及個人隱私的信息、資料，依據《傳染病防治法》規定，分別給予警告、降級、撤職、開除等處分；或者給予五百元以下罰款、拘留等行政處罰。換言之，合法獲取的信息僅限于防控疫情、治療等用途，嚴格控制其知悉范圍，一旦向無關人員擴散，就可能需要承擔行政責任。最近一段時間，各地處分了許多不當擴散個人隱私信息的工作人員，例如2020年2 月4 日，內蒙古自治區鄂爾多斯市某社區衛生服務中心兩名干部將疫情排查相關人員信息發送至微信群，致使公民個人信息泄露，嚴重侵犯他人隱私，二人分別受到政務警告處分和行政拘留10日以及黨內嚴重警告處分。④

因為侵犯個人信息而觸犯刑法、被追究刑事責任的也不少，如江蘇省淮安市漣水縣犯罪嫌疑人薛某在網站上制作虛假的“漣水縣防護口罩預約服務”鏈接，通過誘使他人填寫姓名、身份證號碼、手機號碼、家庭住址等重要信息，共非法獲取公民個人信息4700 余條，并利用自己在鄉鎮衛生院幫忙之機，從電腦系統中非法導出兒童體檢登記信息近800條，法院一審判處薛某有期徒刑六個月、緩刑一年，并處罰金5000元。⑤非法獲取、轉手、傳播他人的個人信息，同樣可能需要承擔民事責任。依據《侵權責任法》第十五條規定，侵權人承擔責任的方式包括：停止侵害；排除妨礙；消除危險；恢復原狀；賠償損失；賠禮道歉；消除影響、恢復名譽等。

總之，在疫情防控這一重要的公共利益面前，個人信息權利有義務作出必要的讓渡，以確保新冠肺炎疫情防控盡快取得實效。在實踐中，相關機構、人員等必須切實掌握好“度”，最大限度平衡公共利益與個人信息權利，否則就可能面臨侵權，需要承擔法律后果，甚至受到嚴厲的刑事處罰。

注釋：

①洪波：《公眾人物的判斷標準、類型及其名譽權的限制》，《當代法學》2006年第4期。

②王利明：《公眾人物人格權的限制和保護》，《中州學刊》2005年第2期。

③胡泳：《大規模流行病中的個人信息保護》，《新聞戰線》2020年第5期。

④騰訊網：《泄露相關人員信息到微信群！內蒙古兩名干部被處分！》，https：//new.qq.com/omn/20200206/20200206A0Q7X000.html。

⑤張倩、周荷芳：《江蘇淮安首例涉疫情非法侵犯公民個人信息案宣判》，正義網，http：//news.sina.com.cn/c/2020-03-03/doc-iimxxstf6060233.shtml