后疫情时代个人隐私信息豁免公开的界限——以《民法典》与《政府信息公开条例》的衔接为视角

李梦媛

上海市浦东新区人民法院，上海 200135

一、问题的提出

自新冠肺炎疫情以来，各地纷纷启动重大突发公共卫生事件分级响应。根据《突发事件应对法》《传染病防治法》《突发公共卫生事件应急条例》的相关规定，政府有职责公布疫情信息，但现行法律并没有明确规定涉疫情信息的判断标准及公开范围。出于为公众提示健康风险，采取对应的防护措施的考虑，确诊患者及密接人员的活动轨迹及必要诊疗信息成为涉疫情信息公开最为核心的部分。我国已进入疫情常态化防控阶段，公布确诊患者或密接人员活动轨迹及必要诊疗信息的限度仍然应予以准确界定，以避免对个人隐私信息的侵犯。

2019年新修订的《政府信息公开条例》（以下简称《条例》）第十五条继续沿用2008年《条例》第十四条的规定，确立了个人隐私信息以不公开为原则、以公开为例外的标准，但书之后为个人隐私信息公开豁免的例外。2021年实施的《中华人民共和国民法典》（以下简称《民法典》）中，设立了“隐私权和个人信息保护”专章，以民事基本法的形式对个人隐私确立了严格保护的原则，对个人隐私的界定范围更为精细化，对个人隐私的保护强度也更为提升。如何将民事基本法与行政法有机衔接起来，准确界定个人隐私信息的范围，并在合理限度内公开个人隐私信息，显得尤为重要。

二、个人隐私信息之甄别与界定

（一）个人信息在规范层面的界定

我国在法律规范层面未对个人隐私作出详尽的规定，但对于个人信息概念的界定，立法上经历了一系列变化过程。《网络安全法》《居民身份证法》《电信和互联网用户个人信息保护规定》等多部法律、法规、规章和司法解释等规范性文件中对个人信息的概念予以了初步界定。《民法典》出台后，用专章规定了隐私权和个人信息保护，第一千零三十四条明确了个人信息的概念，进一步丰富了个人信息的内涵和外延，明确了电子邮箱、健康信息、行踪信息属于个人信息范畴，充分适应了时代和社会的发展。我国《个人信息保护法》第四条也规定了个人信息的定义。概言之，个人信息可以定义为以不特定方式识别到特定自然人的信息。

（二）个人隐私的认识误区

1.将个人信息与个人隐私概念混为一谈

个人信息与个人隐私呈交叉重叠状态，个人信息的外延较个人隐私而言更为广泛，个人信息与个人隐私最大的交叉点就在于有些个人信息属于私密信息，个人信息中包含个人隐私且不限于个人隐私。个人信息具有可识别性，即通过姓名、身份证件号码、通讯联系方式、住址等要素可以确定特定的主体。虽然个人隐私也具有可识别性的特点，但其是更强调私密性和敏感性的个人可识别信息。

2.将个人隐私绝对限定在私人领域

目前有观点认为，个人隐私就是指单纯的个人私生活，系为与公共事务、公共利益无关的私人事务。［1］该种观点将个人隐私与公共利益完全割裂开来，将个人隐私完全限定在私人领域，而认为其并不会参与到公共领域活动中。实际上，有些个人隐私是与公共利益密切相关的，但并不能因为公共利益强制公开就否认其个人隐私的内在属性。可以说，在信息公开领域内，考量公共利益需要而被强制公开的个人信息，因具有私密性和敏感性，依旧为个人隐私信息。

（三）个人隐私信息的界定

《民法典》以民事基本法的形式对隐私从空间、活动、信息三个维度做了规定，且冠以私人生活安宁和不愿为他人知晓的定语修饰。因此，个人隐私信息是个人信息中具有私密性和敏感性的信息。鉴于此，与患者相关的健康信息，特别是一些公共危害性强的传染性疾病，在患者诊疗信息及活动轨迹公开后会在一定程度上给患者带来精神压力，并可能在相应的区域范围内遭受负面评价，包括患者的姓名、住址、诊疗信息、活动轨迹等应属于个人隐私信息范畴。

三、《条例》与《民法典》对个人隐私信息保护的原则与冲突

（一）个人隐私信息保护的原则

《条例》第十五条规定，涉及商业秘密、个人隐私等公开会对第三方合法权益造成损害的政府信息，行政机关不得公开。但是，第三方同意公开或者行政机关认为不公开会对公共利益造成重大影响的，予以公开。本条确立了个人隐私信息豁免公开原则，但书部分规定了两种例外情形。一种是第三方同意公开情形，体现了第三方在信息公开中的参与度；另一种是赋予行政机关强制公开的权力，在不公开对公共利益造成影响的情况下予以公开的情形。

《民法典》第一千零三十三条规定除法律另有规定或者权利人明确同意外，任何组织或者个人不得实施下列行为：……本条前半句确立了个人隐私信息公开的两个基本原则。一是法律保留原则。即除法律另有规定外，不得擅自公开个人隐私信息。但是这种不公开并非绝对不公开，基于公共利益的需要时，个人隐私权必然受到一定的克减。但是需要注意的是，此处的个人隐私信息公开权限只能由法律予以设立。二是征得权利人明确同意原则。这里的明确同意应体现权利人的具体确定的意思表示，但形式没有限定。概言之，《民法典》对个人隐私信息的保护倾向于绝对且严格保护的原则。

（二）《条例》与《民法典》对个人隐私信息保护的冲突

《政府信息公开条例》以行政法规的形式确立了个人隐私信息的豁免公开原则，其中第十五条但书将个人隐私信息公开与否的裁量权授予行政机关。《民法典》以法律的形式对个人隐私信息的公开规定了绝对且严格的保护原则。从法律位阶上来说，法律的位阶高于行政法规，因此从某种程度上说，在《民法典》颁布后，《条例》对于个人隐私信息公开的原则与《民法典》确立的新原则相冲突。但鉴于《条例》在2019年刚予以修订，目前再次修订的可能性较小，要保持与《民法典》的一致性可能需要通过对个别条文的修正来实现，本文不作为重点予以设想和论述。后疫情时代，在现行《条例》及《民法典》对个人隐私信息保护的规定同时有效的背景下，笔者认为应加强《条例》与《民法典》的衔接适用，对个人隐私信息的公开可以秉承《民法典》对个人隐私信息严格保护精神，进而对《条例》中豁免公开的例外界限予以更加细致的规定，在合理让渡个人隐私权的情况下，优先保障公共利益。

四、何为公共利益

个人隐私信息豁免公开的例外是第三方同意公开或因公共利益考虑公开，因此，除第三方主观意志决定之外，合理界定公共利益十分必要。公共利益存在于法学、政治学、行政学等多个领域，目前尚未形成统一的概念。

（一）公共利益的历史解释

公共利益一词最早出现在古希腊时期，其与城邦国家制度所形成的“城邦国家观”相伴相生，被视为全体社会成员的共同目标。［2］卢梭秉持“公意”说，在卢梭看来，众意与公意总是有很大的差别。公意只着眼于公共的利益，而众意则着眼于私人的利益，众意只是个别意志的总和。但是，除掉这些个别意志间正负相抵消的部分而外，则剩下的总和仍然是公意。［3］循着哈贝马斯的公共领域理论来看，公共利益的产生依托于公共领域，公众对其所关注的公共事务在公共领域中展开自由沟通、充分交流、理性批判，以此为基础所形成的符合公众整体价值导向的利益即可代表公共利益。

通过历史视角对公共利益的学说进行梳理，可以看出公共利益的内容和界限是在不断变化的，且内涵具有多样性，其概念确实难以明确界定。

（二）公共利益的规范体现

目前，我国现行法律中对公共利益的界定也有部分体现。《宪法》作为我国的根本大法，在第十条中规定国家为了公共利益的需要，可以依照法律规定对土地实行征收或者征用并给予补偿。《行政诉讼法》第二十五条及《环境保护法》第五十八条等都出现了公共利益的字样。可以看出，我国在法律规定中对公共利益概念进行了抽象概括规定，但尚未形成系统性的内涵界定。尽管在《信托法》等多部法律中以列举公益信托、公益事业等包含事项的方式，从侧面体现公共利益的某些目的，但并不能借此直接正面厘清公共利益之概念。

笔者认为公共利益可分解为“公共”和“利益”两个层面，但重点应该是“公共”层面，公共利益并非个人利益简单的叠加，它关乎社会不特定多数人共同的价值追求，是具有公共性，符合公众共同目的的利益。因此，在政府信息公开的语境下，疫情因具有公共危害性，理应与公共利益相关。

五、个人隐私豁免公开的界限完善

“公开优先”还是“公益优先”形成了判断信息公开利益衡量的基本原则。“公益优先”与“公开优先”是递进关系，不是并列关系。“公益优先”是第一顺位的原则。［4］个人隐私信息的豁免公开不是绝对的，在面对公共利益的权衡时，公共利益是个人隐私公开的正当化事由及界限。基于疫情的社会公共危害性，为保证公共利益，防止疫情扩大，加强自我排查的考虑，确诊患者的行为轨迹和必要诊疗信息虽属于个人隐私信息也应予强制公开。值得注意的是，在公布确诊患者信息时应坚持以比例原则，兼顾患者的知情同意权，保障公众知情权和个人隐私权的二元平衡。

（一）个人隐私信息公开的合目的性

合目的性是指行政机关行使裁量权所采取的具体措施必须符合法律目的。《条例》最主要的目的在于保障公众知情权。疫情通常具有严重的公共危害性，对于患者活动轨迹和区域及必要诊疗信息进行有限的公开，有助于采取必要的防范措施，从而有效阻断传播渠道，保障公共健康，契合公共利益的价值取向，也能够满足公众的知情权。但需要注意的是，患者个人隐私信息的公开只能是排查和公众知情需要，而不能因为其他的目的而公开个人隐私信息。

（二）手段和措施的适当性

我国《传染病防治法》第三十八条规定了国家建立传染病疫情信息公布制度。这里所规定的公布的疫情信息既包含疫情预警信息，也包含疫情发生时的应急处置信息，以及疫情之后的处理情况信息。涉及患者个人隐私的健康信息，包括患者的年龄、症状、行程轨迹等，当然属于在疫情发生时的应急处置信息，需要对公众予以公开。可以说《传染病防治法》也从法律的层面对个人隐私信息的公开予以了规定，这与《民法典》对个人隐私信息公开的法律保留原则相吻合。因此，在面对公共利益时，行政机关经衡量认为应该公开涉及确诊患者个人隐私信息时必须进行区分处理、脱敏处理，公开的信息只保留活动轨迹及必要的诊疗信息，以保证公众的知情权，亦保护第三方的隐私权。

（三）患者知情同意概括化原则

知情同意原则是在医疗领域必须遵循的原则，是指医务人员在选择和确定疾病的诊疗方案时要取得患者知情和自由选择与决定同意。知情同意不仅包含医疗常规内容的知情同意，还包括甲类乙类传染病病人强制隔离治疗等特殊情况的知情同意。目前新型冠状病毒存在时间相对较短且病毒处于不断变异过程中，医学界对该病毒的认知仍然有限，且根据病毒的变化要不断调整和深化认知。故患者一旦确诊，一方面在诊疗上只能信任医疗机构，一方面自身的健康信息及行为轨迹也会被公开，其知情同意权势必受到挑战。鉴于《民法典》第一千零三十三条规定确立了个人隐私信息公开需征得权利人明确同意的原则。笔者认为个人隐私信息公开中的权利人明确同意应该是概括性的明确同意。患者概括地授予医生选择诊疗方式的权利，对后续采取的一系列包括隔离治疗在内的诊疗方案采取概括式同意，不需要在采取每一项诊疗措施时都要求患者一一确认同意。将患者健康信息及行为轨迹进行公开亦属于概括式同意范畴。

（四）个人隐私信息公开的最小损害原则

在公开涉及个人隐私部分的信息时，应该注重加强对患者的人文关怀，将对患者的损害降到最低。在相关报道中时常有确诊患者流调信息被肆意传播的情况发生，甚至出现患者家庭具体住址等信息被公布，患者家庭成员详尽信息被人肉的情况。笔者认为保障个人隐私信息公开最小损害要做到以下几点：一是无需公开病患的姓名、身份证号、家庭住址，只需要进行简化公布活动轨迹所涉及的场所，以时间点和地点等不可识别身份的方式进行患者健康信息及行动轨迹的要素式公开；二是涉及到流调信息保管时，应加强保密教育，相应人员应提高保密意识，排查时要删除可识别患者个人身份的具有隐私性和敏感性的信息；三是在公布信息时，信息公开部门亦应做好正面宣传，避免患者不必要公开的个人隐私泄露并遭到人肉搜索、恶意揣测等现象的发生。