“数字战役”背景下个人信息处理行为的利益平衡机制——基于双重外部性视角

马 莉

（兰州大学经济学院，甘肃 兰州730000）

为迅速应对2021年冬春季新冠肺炎疫情的二次爆发，筑牢疫情防控安全线，以科学网络技术为支撑的“大数据抗疫”被广泛应用于疫情防控的整个阶段。个人信息数据作为形成健康码、健康通行证等抗疫产品的主要要素，在防疫效率的提升方面起着举足轻重的作用。伴随数据共享红利而来的是个人信息收集渠道的多元化及转发量、曝光率的增加，这使个人隐私信息存在被反噬的风险。疫情防控期间，信息主体的个人信息被滥用、隐私被泄露、权益被损害的事件层出不穷，折射出信息主体的个人信息与信息使用者的大数据集在疫情防控工作中面临客体交叉和利益冲突的局面，导致双方围绕个人信息处理及数据价值挖掘产生剧烈的分歧与矛盾。利益冲突的调和有赖于权利制度的科学构建与机制实施。这不仅需要在个人信息的使用过程中平衡各主体间的利益，还需要恰当考虑多重价值和利益的实现，构建合理正当的个人信息处理法律基础，使社会整体福利最大化。基于这样的原则，对个人信息处理行为的外部性进行规制，有助于疫情防控期间在一个更为完整的尺度上把握个人信息的保护与利用，从而提高个人信息数据资源在疫情防控工作中的配置效率。

一、疫情防控背景下个人信息处理行为的双重外部性

外部性定义的核心为“边际私人成本、边际私人收益与边际社会成本、边际社会收益的不等同”［1］。当私人行为给社会上其他组织或成员带来收益，自己却不能因此得到好处时，表现为边际私人收益小于边际社会收益，即“外部经济”（或称作“正外部性”）；当私人的行为给社会上其他个体带来危害，自己却不为此支付成本时，表现为边际私人成本小于边际社会成本，即“外部不经济”（或称作“负外部性”）［2］。具体到“数字战役”背景下个人信息数据处理的全生命周期关联场景，个人信息处理与数据资源在防疫工作中的开发利用互为表里，个人信息数据在分析疫情发展形势、防止疫情蔓延、协助政府决策等方面的价值挖掘有赖于海量的个人信息数据资源。海量的个人信息既可能施加信息主体以信息安全风险或施加信息控制者以数据泄露他用等负外部性，也可能带给信息使用者（个人、各级政府机构、营运商、医疗机构）以算法优化设计分享“数据红利”的正外部性。可见，“数字战役”背景下个人信息处理的双重外部性交互影响。

（一）疫情防控背景下个人信息处理行为的负外部性

“数字战役”背景下，为保证联防联控工作的顺利开展，《突发公共卫生事件应急条例》规定，传染病暴发流行时，基层工作组织应当组织力量，协助做好疫情信息的收集等工作。此外，一些提供健康码查询服务的机构和提供疫情报告数据的各类运营商也被赋予了采集、排查和整理相关疫情信息的智能。这无疑扩大了以政府为代表的公共权力，与之相对的是个人权利的缩减。在负外部性的条件下，这种关系的变化以让渡个人利益为代价，使个人信息处理行为在防疫工作中的私人成本（政府及相关机构付出的代价）小于社会成本（对信息持有者造成损害的成本）。成本分担的不对称性导致信息使用者对个人信息资源的无限制收集，信息使用者的有限理性及盲目追求防疫效果最大化又会造成个人信息使用不善、不当甚至滥用的情况，这些行为最终使个人信息走向“公地悲剧”的负外部性道路。具体表现在：首先，突发公共卫生事件中，为防止疫情迅速蔓延，各级乡政府对居民的个人信息进行地毯式、网格化收集，一些所谓“硬核”的防疫措施也层出不穷，面对海量的个人信息数据，由于信息收集者缺乏相应的信息处理技术及监管机制，不仅难以克服数据处理及治理技术障碍难题，还难以防范数据处理过程中的风险因素，从而导致疫情防控过程中个人隐私泄露和无序传播的事件屡见不鲜。作为个人信息所识别的特定主体，一旦信息遭受泄露，不仅使信息主体遭受网络暴力与歧视对待，还严重威胁信息主体的合法权益及人格利益。其次，“数字战疫”背景下，为做好疫情的联防联控工作，大部分地区鼓励各类运营商、医疗机构、交通运输等相关部门将数字信息技术不断地应用到防疫抗疫工作中，以利用技术平台强大的分析整合能力提高疫情防控工作的精准性和时效性。在调动有能力的企业利用大数据进行分析、处理个人信息的过程中，无疑将大部分个人信息（包括敏感度极高的个人隐私信息） 作为数据资源掌握在了大型企业手中。“公地悲剧”理论揭示由于产权不明导致公地过度使用至资源枯竭的现象，疫情防控工作中由于对个人信息数据的产权及营运商的权利没有清晰的界定，加之营运者的有限理性可能会驱使其对承载人格利益的个人信息进行深度挖掘并另作他用。基于“理性人”假设，面对数据红利，理性人追求经济最大化的主张无可厚非，但表征人格利益的个人信息一旦被企业用来牟利，这不仅侵犯了个人信息所承载的人格利益，也将会带来数据垄断或数据滥用等一系列失范的信息利用活动。

（二）疫情防控背景下个人信息处理行为的正外部性

“数字战疫”背景下，个人信息的处理和利用贯穿于整个疫情防控工作的始终，发挥着传统疫情应对方式所难以比拟的效果，具有给社会及其他个人带来收益的正外部性。

首先，于信息使用者而言。疫情防控期间，利用大数据云计算等科技手段对所收集的数据进行风险关联性比对分析，通过分析重点人群的流动情况监测疫情传播路径与确定疑似感染者，为疫情工作的高效化提供了“智慧支撑”。在数据处理过程中，取用的信息数量愈多、范围愈广，其数据分析挖掘的价值愈有效、愈精确，愈能发挥个人信息开发利用的“规模收益递增”规律。这不仅在时间和空间维度上为政府防控工作安排与决策提供适应新形势的参考数据，还丰富了行政主体管理公共事务的方式从而提升政府的治理水平。另外，个人健康医疗信息的共享和利用也有助于互联网医疗平台的建设与发展，例如百度APP开通的“在线问医生”免费通道，腾讯上线“发热门诊地图”、今日头条等APP平台上线的“肺炎防治”频道，这些平台的研发和使用，不仅为社会群体提供有关疫情的预防、自查、及时就诊咨询等服务，还有助于缓解疫情高峰时医院的负荷、减少线下交叉感染的概率，发挥个人信息开发利用在网络方面的正外部性。

其次，于社会公众而言。大数据背景下，公共部门对个人信息的使用，也逐渐成为实现政务“大数据”的有效支撑。政府的信息公开活动，从本质上来讲是公共服务职能的体现。疫情防控期间，政府机构对有关疫情信息的及时披露，不仅满足了社会公众对疫情信息的知情权，也有利于引导社会公众降低自我风险、有序地参与到疫情防控工作中，从而缓解社会恐慌、稳定社会治理秩序。此外，个人健康医疗信息作为个人信息的组成部分，对使用者、被使用者、全社会乃至整个国家都具有一定的积极价值。当整个社会所有人的生命受到疫情威胁的时候，医疗机构对个人信息的收集、使用、共享，在公共卫生领域有利于公共利益的保障。因此，个人信息在疫情防控工作中的使用，在保护不特定社会公众的生命和健康权及维护社会秩序方面也发挥着正效应。

（三）双重外部性原因分析

一方面原因是多元信息主体间的冲突与矛盾。在法律经济学的视角下，利益主体的“理性人”特征和个人信息的公共物品属性必然造成外部不经济，使得利益冲突成为常态［3］。“数字战疫”背景下，个人信息具有私人人格利益和社会公共利益的双重利益属性，个人信息处理行为在不同的场景模式下体现着不同主体的利益诉求，呈现出多方利益共存的复杂局面。为应对突发公共卫生事件，各主体都希望在既有的约束下追求自身效用最大化，信息主体追求个人信息权利最大化；信息使用者追求抗疫效果最大化；国家追求公共治理水平最大化，三方主体基于不同的目标作出最有利于自己的理性选择。信息使用者为了实现防疫效果最大化，收集个人信息的过程中往往为了收集数据而收集数据，很少考虑自身行为给信息持有者带来的不利影响；政府为了保障社会公共利益收集和披露相关个人信息，亦有可能遭到信息持有者的反对；信息主体为了捍卫个人信息所附着的人格自由及财产利益，会对信息的处理行为提出严格的要求，甚至会限制个人信息的使用。多元主体追求各自效益最大化的行为使个人信息在处理过程中价值冲突与矛盾成为常态，这必然导致个人信息处理行为存在一定的外部性。

另一方面原因是个人信息保护法律法规的缺位。我国个人信息保护的法律体系呈现出民法、刑法并行，行政法总体缺位的情形。总体上看，在过去的几年里，个人信息立法在民事和刑事领域中取得了初步成果，我国《民法典》第一千零三十五条指出在个人信息的收集、存储、使用、加工、传输、提供、公开的全生命周期处理过程中，应当遵循合法、正当、必要原则，不得过度处理。《网络安全法》专章规定网络用户数据信息取用行为不仅要遵循“合法、正当、必要”与目的限定原则，还要遵从向用户“告知同意”程序规范和对用户信息转移“去身份化”要求［4］。《个人信息安全规范》从信息的收集、保存、使用、共享、转让、公开披露等方面详细规定了个人信息处理行为规范。纵观现行法律规范，这些法律规定在一定程度上对人信息处理过程中的外部性规制起到了支撑作用，但在突发事件应对中，政府是否可以利用个人信息以及如何利用、利用限度何在等问题，则完全空白。至于应急状态下的个人信息利用规则，现行立法几近空白，只有《传染病防治法》等个别法律对“个人隐私”稍有涉及。总的来看，在突发公共卫生事件中有关个人信息安全的法律法规呈现分散立法、多头叠出的模式，对利益相关者的权利义务缺乏明确规定，无法对信息使用者收集和处理信息的相关行为构成有效的约束，从而引发个人信息数据在处理的全生命周期中呈现正负外部性共存的局面。

二、双重外部性下个人信息处理行为规制的两难困境

（一）规制个人信息处理行为中告知同意规则的两难选择

“数字战疫”背景下，个人信息作为一种社会资源，被广泛地应用于疫情防控的整个过程。作为提高疫情防控效率的强大资源，其以牺牲个人信息权利为代价而实现整体社会福利最大化。但这与个人信息安全之间的矛盾，使个人信息在使用和处理过程中面临正负外部性的激烈冲突。一方面，为了保护信息主体的自决权，法律法规将信息主体的知情同意原则作为个人信息保护的基石，但如果过多地强调信息主体的个人利益，个人信息将会被禁锢起来，不仅成为疫情防控的障碍，还会影响社会的发展。因此，适用告知同意及“信息最小化”规则规制个人信息处理行为不仅不符合实际，也会额外增加社会成本，从而约束其正外部性的实现。另一方面，为使个人信息开发利用在防疫工作中产生“公地喜剧”式效应，政府利用个人信息的范围不断深化与广化其程序要求也不断降低，如《信息安全技术个人信息安全规范》5.6的规定使知情同意原则处于失灵的状态。这不仅扩大了个人信息使用者的范围与信息使用权限的外延，也为营运商利用大数据分析技术发挥“数据红利”的正外部性创造了条件。然而，面对“分散式”的海量信息，由于多元收集主体缺乏科学的管理和保护举措，使其在收集和处理个人信息的过程中不仅带给信息持有者个人信息被过度识别、窃取他用、隐私泄露等数据安全风险的负外部性，也同样增加了个人信息保护的负担，给国家的安全治理带来了压力。

（二）规制个人信息处理行为中去身份化规则的两难选择

“数字战役”背景下，个人信息的开发利用在保障社会公众知情权、医疗事业发展、国家疫情防控调度等公共利益的同时不可避免地将部分个人敏感及隐私信息暴露在公众视野下，这种冲突与矛盾使信息处理过程中呈现正负外部性交互影响的局面。突发公共卫生事件中，个人信息既是监控和预测疫情发展趋势的主要要素，又是疾病监测、诊断治疗、病毒研究中必不可少的判断依据。同时，个人信息数据的真实性和精确性是大数据分析结果准确的前提。对社会公众来说，个人对疫情信息了解得越充分，越精确，就越有利于分析、排查、遏制身边潜在的疫情威胁，从而根据对疫情的研判及时作出应对措施以降低自我风险；对医疗机构来说，医护人员对个人医疗信息了解得越全面，越精准，越有利于病患者医治与医学研究，这就对个人信息的收集和披露内容提出了更具体更详细的要求。但是，为避免个人信息公开披露所致的外部性风险———正如《关于做好个人信息利用大数据支撑联防联控工作的通知》中指出，个人信息收集的对象原则上限于重点人群，因联防联控工作确实需要公开“重点人群”个人信息的，但也必须经过脱敏化处理。若严格遵循脱敏及最小公开原则对个人信息采取严格的去身份标识与脱敏处理以规制其负外部性，难免会削弱其原始数据在防疫效果上的潜在价值，导致个人信息数据的防疫价值“断崖式”下跌。

（三）个人信息处理行为规制的价值取向分析

考量外部性的关键在于通过比较社会成本与社会收益的高低来作出权衡取舍，以此避免较严重的损害。基于这一原则，从成本——收益角度来看，最低成本与最高收益反映的实质就是效率，这就要求在进行利益衡量的过程中，将不利利益分配给能够在预防发生意外损失时付出较低成本的一方，可以减少损失产生所付出的社会成本。从另一角度讲，就是用相同的预防成本来获取更大的社会总产出。因此，“数字战役”背景下，只要我们能够找到个人信息处理的权利界限并配合以合理的法律规制，在一个合理的限度内以牺牲个人微小的利益为代价就能换取整个社会福利水平的提高。问题是如何在个人信息处理过程中确立一个最佳的注意水平，使个人信息主体权利克减最小的同时又能提高疫情防控的效率，对此，本文沿着侵权法经济分析的常用途径——汉德公式，进行分配预防义务、分担事故风险的分析，为疫情防控期间个人信息处理的最优注意水平提供理论导向。

信息主体的个人信息遭受泄露及滥用，主要风险环节涉及政府机构、网络运营商及其他机构等主体，无论是非法利用个人信息以牟利利益，还是防护不当遭受个人信息泄露，都可以采取侵权责任规则来推定信息使用者的侵权责任。原因在于，疫情防控工作中，个人信息由信息使用者直接掌控，在预防个人信息泄露及权利被侵害的能动性方面，个人信息使用者有着更大的预防事故成本的责任，只要稍微提高预防成本（加大对个人信息的保护）就可以在一定程度上降低信息持有者的损害成本（个人信息安全风险）。而消费者处于被动状态，可提供的注意水平几乎为零。根据波斯纳的观点，侵权法将严格责任加于那些涉及很高危险度，而只靠行为人注意或潜在受害人改变其行为无法防止的活动［5］。因此，疫情防控工作中，严格责任规则可以强化信息使用者保护个人信息的安全意识。

汉德公式是以B（预防成本）与PL（损失概率*实际损失，即预期损失）的关系来提供判断责任和提供预防水平的依据，B是关于注意水平X的单调递增函数，PL是关于注意水平X的单调递减函数。基于疫情防控期间个人信息利用中“损害具有相互性本质”，将PL函数曲线从单调递减的曲线改进为U型曲线，如图1所示：

B预防成本曲线随着预防水平的增加而上升，PL预期损失曲线先下降后上升。在（0，X*） 区间，随着个人信息使用者的注意水平的增加，对个人信息主体挽回的利益损失逐渐高于由于个人信息严格管制阻碍疫情防疫工作的损失，直至A*点处，此时社会总损失达到最低。当预防水平超过X*后，信息使用者的预防水平持续增加，阻碍疫情防疫工作的损失将超过对个人信息持有者挽回的利益损失，所以社会总损失逐渐上升。基于社会福利水平最大化考虑，为了不遏制疫情防控工作的效果，同时对个人信息保护起到一定的激励作用，最优预防水平是A*点对应的预防水平值，一旦超过该点，从成本收益上来讲是不合理且无效率的。波斯纳认为，判断一个法律规则的效率及正确的态度，是向将来看这种规则是否可以产生让当事人在将来有效率作为的激励，所以适度的威慑水平尤为关键［6］。所以，在个人信息处理行为的规制过程中，必须对个人信息权利进行界定并通过价值的选择和整合保证预防水平维持在A*点处。

图1 个人信息处理行为的预防损失与预防成本示意图

三、“数字战役”背景下个人信息处理行为的外部性规制

数字战疫背景下，个人信息兼有隐私自主价值和在社会交往中获取一定经济利益及某种社会评价与服务的使用价值。针对其权利属性，有研究指出个人信息为公共物品而非稀缺资源［7］。为了避免“公地悲剧”地发生，规制个人信息处理行为要保证其疫情防控的公共价值，又要维护其数据安全与人格价值，面临着多重利益相互交织的问题。这就需要在人格价值、社会价值、安全价值中对个人信息进行初始界定的基础上配置以具体的规制措施，使政府部门和相关机构处理涉疫个人信息的过程中把握好权利边界，以保持各方价值的动态平衡。

（一）个人信息权的权利界定

1.明确个人信息人格价值的基础地位。个人信息的处理过程中，其目的不是保护个人信息本身，而是要防止其对个人信息所体现的人格尊严、人性自由、人身完整等基本利益的侵害风险［8］。因此，从信息主体这一方来说，其主要的利益是一种防御性利益，即被非法处理而致人身财产权益遭受侵害甚至人格尊严与人格自由受到损害的利益。如果个人信息达到描绘个人生活方式的某方面的程度，则信息形象（information profile） 可以被视为个人人格（personality） 的反映［9］。因此，个人信息的可识别性及由此形成的数据化人格拼图，使得日常生活中个人的行为偏好或社会关系、生理特征都可以被数据化处理以及商业化利用［10］。如果个人信息处理不当，首先损害的是信息主体的数字化人格，最终妨害的是现实世界中特定自然人的人格利益。由此可见，个人信息权作为一种具体人格权，具备其他具体人格权共同的属性特征。此外，通过对个人信息价值维度的考察不难发现，个人信息是精神价值和财产价值的二维综合体，精神价值和财产价值的交互式发展也造就了个人信息独特的法律属性：第一，个人信息是自然人人格要素之一，是人格权客体。第二，个人信息不仅承载着精神利益，还承载着财产利益。第三，个人信息承载的财产利益，归根结底仍是对人格要素财产价值维度的考察，财产利益也是从人格要素中发挥出来的。因此，个人信息性质上仍旧应属于人格权客体范围内，其来自于个人的人格表现，也能反向作用于个人的人格表现。因此，政府部门和相关企业机构在个人信息处理过程中，既要保证个人信息资源的开发利用，也要把个人信息的人格价值放在首要的、最基本的位置进行考虑。当个人信息数据开发利用过程中给个人的人格权益造成侵害的情形下，法律应当给予适当的救济，以平衡个人人格价值与数据资源开发利用的价值。

2.追求个人信息的防疫效用最大化。疫情防控背景下，个人信息的经济价值所侧重的并不是信息主体个人所特有的经济价值，而是侧重于规模化的个人信息和大数据分析所带来了疫情防控工作效率的提高，这也是信息时代个人信息所具有的社会价值。如前文所述，为保证防疫效果最大化，各利益相关者应保持最优注意水平。如果病患者个人信息处理过程中预防水平过大，在一定程度上会削弱信息利用的效率，降低疫情防控的时效性，从而导致社会福利减少的负效应。相反，当公共利益与个人利益发生冲突时，为了实现公共利益，在遵循比例原则、利益补偿原则及正当程序原则的基础上，对个人权利进行一定的限制具有正当性。即牺牲部分私人利益，将会带来整个社会福利的增加。因此，在克减个人信息权、追求抗疫效果最大化的过程中，政府可以出于公共利益的考量对个人信息权益进行限制，但这种限制须具有目的的正当性、手段的适宜性和侵害的最小性，这种限制不能对个体造成难以承受的负担。

3.确保个人信息的安全价值得以保护。疫情防控工作中涉及海量的个人信息和多方信息使用者、控制者，虽然为抗疫工作的顺利开展提供了支持，但由于配套规范的缺失，也给个人信息的安全带来了一定的风险。疫情防控工作中，个人信息面临着多元化的采集主体，但法律法规未明确规定这些行为主体的法律责任及其行为边界。操作规范及监督机制的缺乏极易导致各方主体在执行防控工作时出现过度使用、不当披露、擅自扩散未经处理的个人信息等问题。这不仅为个人信息保护带来了压力，也增加了国家治理、管控的负担。另外，大数据时代，海量的个人信息多存储在云空间。从其治理维度来看，大量个人信息尤其是健康医疗信息，一旦遭受黑客攻击导致信息泄露，不仅给信息主体带来隐私困扰，还会危及国家安全。政府作为最主要的个人信息使用和处理者，其最初的目标在于保障疫情工作的顺利开展维护社会安全和秩序稳定。因此，国家应当加强对个人信息及其健康医疗信息的共享监测、流通限制、安全监管，以规避个人信息使用过程中的风险，保证个人信息的其他价值得以实现。

4.多元价值之间呈现动态的平衡关系。个人信息处理是一个涉及产生、收集、使用、存储动态化的过程，因此在其权利界定中要注意不同个人信息在不同场景下不同的价值构成，根据具体的场景对个人信息进行处理，形成各种价值之间的动态平衡。

（二）个人信息处理行为的规制机制

关于解决外部性的方法，保罗·萨缪尔森提出：“无论采取何种特殊手段，根治外部经济的一般药方是将外部经济效果内在化。”［11］“数字战役”背景下，针对个人信息所附着的多元价值及其处理过程中正负外部性交互影响的特征，对其进行法律规制的过程中不能片面地倾向于某一主体的利益，而要从利益衡量的角度出发以内部化规制其“双重外部性”。

根据科斯定理的价值推论，即如果考虑到交易成本为正的问题，市场可能经常无法改变法律的初始权利界定，并达到预期的有效率的结果，那么就必须用法律来替代或者辅助市场进行安排，以节省交易成本，提高社会资源的配置效率。疫情防控背景下“个人信息”兼具人格与财产属性，因此个人信息在利用过程中不具有“争用性”，却因其人格属性具有一定的“限用性”。特殊的产权属性使其在处理过程中，若采取自愿协商规制，不仅存在协商定价成本高的问题，也不符合社会现实。这就需要建立科学合理的法律制度对个人信息处理过程中的不当行为进行责任规制，并视其外部性的具体程度采取相应的惩罚措施，以规范政府对个人信息的收集和使用行为。此外，法经济学关于“外部性内在化”的规制模式认为，当某种行为带来社会损害等负外部性时，予以适当惩戒或由其生成者向受损者进行补偿；当某种行为带来社会收益等正外部性时予以适当补贴或由其受益者向生成者进行付费。“数字战役”背景下，为保障个人信息的基础地位，彰显法律对信息主体人格尊严与自由的尊重，应对个人信息给予相应的救济制度，以实现信息使用者在个人信息使用过程中对信息主体权利造成的损失进行相应惩戒与补偿。

应对大数据技术下个人信息处理行为规制的难题，学界基于美国《消费者隐私权利法案（草案）》及欧盟《一般数据保护条例》吸纳“风险与场景导向”的国际主流新理念，以此促进个人信息“合理使用”并重点规制其“不合理使用”［12］。这种方法不仅从实质上提升了个人信息保护的有效性，也有效降低企业不必要的成本负担。针对“数字战役”背景下原生的个人信息及其衍生信息来说，首先，要将其引入防疫抗疫的场景，依据个人信息处理行为不同场景的价值构成将个人信息分类为隐私信息、敏感信息及一般信息，对不同类型的个人信息采取有不同的执行机制与保护强度，进而通过所产生的外部性大小予以不同的法律规制将外部性内在化。对于极端敏感的隐私信息，赋予信息主体完整的人格权益自决权，只有向信息主体告知并得到清晰地、明确地同意表示下，才可以对其进行合理地使用。对于非敏感及延伸的普通信息，通过对信息敏感度及使用目的的合理性、处理方式的恰当性、损害结果的可控性进行综合“程度性”判断的基础上，进行动态的风险控制。适当的缩减个人权益以平衡个人信息所附着的多元价值虽然具有一定的正当性，但在个人信息使用和处理过程中，需要坚守一定的原则。即，若未经信息主体同意，信息控制者的不当行为对信息主体造成损害时，信息主体有权请求控制者删除该信息，并依据对自身的侵害程度使其承担相应的民事责任，以保障个人在特定情况下对个人信息的支配和控制权能。

在大数据和云计算等科学技术用于抗疫工作的背景下，为保护个人信息权利，立法可以考虑对特定信息主体在个人信息处理过程中进行匿名化及脱敏处理，这是多元利益价值都得到最大化的一种选择。在匿名化及脱敏处理个人信息时，应保证个人隐私保密性与数据可用性之间的平衡，保证处理后的数据仍然具有一定的统计特征和在疫情防控工作中的利用价值。

综上，笔者建议，在个人信息处理行为规制过程中，应当将其外部性内部化，并与适当的权利救济规则进行有效对接。这不仅能够减轻信息使用者不必要的合规负担，还能够以社会问题为中心，保持法律规制的灵活性与能动性，使个人信息处理规制的制度需求与供给在动态回应中达到均衡。

个人信息既是保护对象，也是巨大财富。在不同的社会发展阶段、不同的社会背景、不同的利益价值理念下，立法必然采取不同的利益平衡选择，不存在统一的公式或标准一劳永逸地解决利益平衡问题［13］。“数字战役”背景下，个人信息的使用面临着持有者、采集者、使用者等多方利益主体，这使个人信息附着了信息主体的人格尊严和财产利益，同时个人信息独特的社会价值又催生了信息使用者（主要包括个人、政府、营运商、医疗机构等）的利益。个人信息所承载的个人利益、社会（使用者）利益和公共利益之间的价值冲突使个人信息处理行为的溢出效应呈现正负外部性共存的局面。本文旨在全面揭示“数字战役”背景下个人信息处理行为的正负外部性及其规制的两难困境，从经济学角度探寻解决正负外部性规制的有效路径，力求不仅有助于缓和个人信息保护在立法过程中的多重价值冲突，也有助于进一步探索突发公共卫生事件中个人信息处理政策的法制完善之路。