疫情防控中的个人信息保护探析

■

新冠肺炎疫情于2019 年末从武汉市发端，迅速席卷湖北省、全中国。这段时间，抗击疫情成为我国头等大事，在依法治国的大背景下，“依法防控”是抗击疫情过程中必须遵循的基本准则，为此有关部门下发通知，要求充分利用包括个人信息在内的大数据，积极支撑“联防联控”工作，确保疫情防控取得显著进展。在此，个人信息必然被在一定程度上公开，有时甚至是非自愿、强制性的公开，疫情防控与个人信息保护之间表现出明显的冲突和对抗性。如何合理协调两者之间的关系，尽可能保护个人信息在公共利益面前最小限度受损，成为一个非常现实的问题。

个人信息让渡公共利益的法理依据

谈论此话题之前，必须肯定个人信息是受到法律保护的。《民法总则》第一百一十一条规定：“自然人的个人信息受法律保护。任何组织和个人需要获取他人个人信息的，应当依法取得并确保信息安全，不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息。”当然，该条法律规定也为个人信息权利让渡留下了空间。

有效防控新冠肺炎疫情，直接关系到挽救生命、稳定社会秩序、恢复经济生产等多方面的现实利益，无疑是非常重大的公共利益。基于疫情防控的需要，作为个人权利的个人信息保护必然要作出一定的让渡，以推动疫情防控工作正常进行。对此，我国相关法律法规作出了明确规定，《传染病防治法》第十二条规定：“在中华人民共和国领域内的一切单位和个人，必须接受疾病预防控制机构、医疗机构有关传染病的调查、检验、采集样本、隔离治疗等预防、控制措施，如实提供有关情况。疾病预防控制机构、医疗机构不得泄露涉及个人隐私的有关信息、资料。”

根据上述法律规定，一些患者、感染者的个人信息必然会在一定范围内被公开，这是个人信息对于公共利益的让渡，也是个人隐私空间的必要克减。这类信息公开体现在许多方面，除了卫生健康、疾病防疫部门等全面掌握患者、感染者的个人身份、病情、行踪等信息之外，患者或疑似感染者居住的小区、楼栋等，由于直接关系到其他居民的安全和健康，也有必要在一定范围内披露。此外，铁路、交通、民航等部门也会向卫生健康等部门提供出行者个人信息，有利于官方判断“高危人群”和“密切接触者”等，以便及时采取适当措施，阻止疫情的传播与扩散，减少人员感染。

这次疫情防控与以往历次疫情处置的一个显著区别，还在于几乎全民都被要求提供个人信息，各地都开通了网上或线下申报系统，居民即使未感染病毒，也被规定持续报告，例如四川就设置了“天府健康通”程序，居民上班、出行等都需要填写多方面的个人信息，包括身份证号码、住址、近期行踪等，实际上也在向相关部门公开自己的隐私信息。

新冠肺炎疫情发生、蔓延，还导致一些人临时性、阶段性成为公众人物。公众人物也称公共人物，是指一定范围内为人们所广泛知晓和关注、具有一定影响，并与社会公众利益密切相关的人物。通常成为公众人物，是因为他们履行一定公共职务，或在各自领域具有一定代表性，例如党政干部、文体明星、网络大V等，另有一类则被称为“非自愿公众人物”，他们出名或成为社会公众关注的对象，往往不是主观追求或放任的结果，而是偶然介入某些重大事件造成的。①在这次新冠肺炎疫情出现以后，由于疾病预防、病毒研究、信息报道等公共利益的需要，一些研究人员如钟南山、李兰娟、高福、王延轶等成为这种类型的公众人物。在疫情防控期间，适度披露这些人的一些个人信息，有助于民众进一步知悉疫情，符合公共利益的需要，因此他们有义务让渡、牺牲自己的某些个人隐私权利。

个人信息公开的适度原则

在公共利益与个人信息保护之间实现平衡，作为一个基本的法律原则并不难理解，关键是如何具体落实这些原则，确保在实践中不偏颇、不“走样”，归根到底就是准确把握“度”，以适度原则处理疫情防控中的个人信息公开问题。

适度原则的核心其实很简单：“始于公共利益，止于公共利益”。概言之，个人信息权利是为公共利益而让渡的，其让渡幅度也仅限于维护公共利益的需要，不能擅自扩大个人信息公开的范围，也不能随意提高信息公开的强度。国内有学者曾经指出：“非自愿公众人物在卷入到某个争议事件中时引发了公众兴趣，只能说该事件涉及到了公共利益和公共兴趣，而对于该事件的报道，则不应当扩大到对有关个人隐私等方面的利益进行限制。”②

适度原则执行中的第一个要点，是准确理解“公共利益”的含义，只公开与公共利益有直接关联的信息，对于无关信息则不必披露。比如，中国科学院武汉病毒研究所所长王延轶在疫情中成为公众人物是不争的事实，但并非她的所有信息都需要公开，出于公共利益的需要，媒体和网络平台可以公布其年龄、求学经历和婚姻、论文发表等信息，以印证其是否存在公众关注的师生恋、“火箭升迁”以及“外行领导内行”等疑问，却没有必要对其他信息作过多披露。

适度原则的第二个要点，在于尽量避免披露高敏感度的个人信息，最大限度减少对个人隐私的侵犯。个人敏感信息是指一旦泄露、非法提供或滥用可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或歧视性待遇等的个人信息。在这次疫情过程中，各地对于患者信息的公开强度差异较大，有些地方只公布楼栋、单元等信息，这是应当的。而有些地方则在公布时添加了姓名（通常只有姓、没有全名）、年龄等信息，这就值得商榷了。

适度原则的第三个要点，是最小范围原则，这在中央网信办《关于做好个人信息保护利用大数据支撑联防联控工作的通知》中有明确要求，一个具体的表现，是对于患者的信息，只需要在小区、单位等小范围内公开，让周边人士知悉、有效预防即可，而无须在大众媒体上广泛发布。更关键的则是，卫生健康、疾病防疫等部门工作人员基于工作职权获悉他人的隐私信息后，不能擅自对外扩散，否则将承担不利后果，应受到不同程度的处分、处罚。

个人信息侵权的罚则及施行

从理论上说，任何非基于公共利益需要而获取、传递、扩散他人个人信息都可能构成侵权，但在实践中如此掌握标准，需要处理的案件太多，因此必然对信息泄露的强度、数量等作出规定，使得处罚违法行为具有可操作性。

有学者认为“可识别性”是个人信息的核心内涵，足以构成对个人予以识别的信息才有保护的必要和意义。③而在我国刑事司法解释中，个人信息被区分为三类：敏感信息，包括行踪轨迹信息、通信内容、征信信息、财产信息等；次敏感信息，包括住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息；其他信息则属于一般信息。这三类信息在“非法获取、出售或者提供公民个人信息罪”的入罪标准上差别极大，敏感信息50 条以上即可入罪，次敏感信息则是500条，一般信息更需要达到5000条以上才可定罪。同时需要说明的是，疫情防控中要求民众提供既往出行信息等，并不属于敏感信息之列——此处定义的“行踪轨迹信息”通常是即将发生的行为，他人获悉后可以采取跟踪、绑架等手段，致使对方处于不利地位。

在这次疫情过程中，因为泄露他人个人信息而承担行政责任的情形非常普遍。疾病防控机构、医疗机构、街道（乡镇）及社区等工作人员泄露涉及个人隐私的信息、资料，依据《传染病防治法》规定，分别给予警告、降级、撤职、开除等处分；或者给予五百元以下罚款、拘留等行政处罚。换言之，合法获取的信息仅限于防控疫情、治疗等用途，严格控制其知悉范围，一旦向无关人员扩散，就可能需要承担行政责任。最近一段时间，各地处分了许多不当扩散个人隐私信息的工作人员，例如2020年2 月4 日，内蒙古自治区鄂尔多斯市某社区卫生服务中心两名干部将疫情排查相关人员信息发送至微信群，致使公民个人信息泄露，严重侵犯他人隐私，二人分别受到政务警告处分和行政拘留10日以及党内严重警告处分。④

因为侵犯个人信息而触犯刑法、被追究刑事责任的也不少，如江苏省淮安市涟水县犯罪嫌疑人薛某在网站上制作虚假的“涟水县防护口罩预约服务”链接，通过诱使他人填写姓名、身份证号码、手机号码、家庭住址等重要信息，共非法获取公民个人信息4700 余条，并利用自己在乡镇卫生院帮忙之机，从电脑系统中非法导出儿童体检登记信息近800条，法院一审判处薛某有期徒刑六个月、缓刑一年，并处罚金5000元。⑤非法获取、转手、传播他人的个人信息，同样可能需要承担民事责任。依据《侵权责任法》第十五条规定，侵权人承担责任的方式包括：停止侵害；排除妨碍；消除危险；恢复原状；赔偿损失；赔礼道歉；消除影响、恢复名誉等。

总之，在疫情防控这一重要的公共利益面前，个人信息权利有义务作出必要的让渡，以确保新冠肺炎疫情防控尽快取得实效。在实践中，相关机构、人员等必须切实掌握好“度”，最大限度平衡公共利益与个人信息权利，否则就可能面临侵权，需要承担法律后果，甚至受到严厉的刑事处罚。

注释：

①洪波：《公众人物的判断标准、类型及其名誉权的限制》，《当代法学》2006年第4期。

②王利明：《公众人物人格权的限制和保护》，《中州学刊》2005年第2期。

③胡泳：《大规模流行病中的个人信息保护》，《新闻战线》2020年第5期。

④腾讯网：《泄露相关人员信息到微信群！内蒙古两名干部被处分！》，https：//new.qq.com/omn/20200206/20200206A0Q7X000.html。

⑤张倩、周荷芳：《江苏淮安首例涉疫情非法侵犯公民个人信息案宣判》，正义网，http：//news.sina.com.cn/c/2020-03-03/doc-iimxxstf6060233.shtml