论疫情防控中个人信息利用的合法性
摘要：抗击新型肺炎牵动亿万人民的心，切断疫源、追踪隔离密切接触者是控制疫情进一步扩散的关键环节。大数据对新冠肺炎疫情的防控、监测具有非常重要的作用，但在其过程中要注意个人信息利用的合法性。传染病疫情防控中个人信息利用中的“同意”不是其合法性的必要条件，只是其合法性基础之一；对个人信息应分为一般信息和敏感信息，对敏感信息的利用应以“同意”为合法性基础。在个人信息收集过程中，应明确收集机构或人员的主体资格，确定收集工作的启动条件和流程规范。在个人信息使用中，应按照法律规定或约定方式、目的进行，不得侵犯个人隐私权及其他人格权益，不得不当展示个人的“数字化形象”。
关键词：疫情防控；个人信息保护；合法性；同意
引言
2020年1月，一场突如其来的新型冠状病毒感染的肺炎从九省通衢蔓延到中华大地，甚至成为国际关注的突发公共卫生事件。神州大地众志成城，在全力救治患者同时，尽一切努力查明病毒感染途径和传播方式，切断疫源，追踪密切接触者，全力以赴做好防控。百度适时上线了人口迁徙地图，并向公众开放人口迁徙大数据，众多媒体也利用人口迁徙地图，针对新冠肺炎疫情爆发后武汉人的流动进行了专题报道——“500万人离开了武汉，他们都去了哪儿？”工信、公安、交通运输、教育等部门对新冠肺炎疫情数据建立多元、多渠道监测、交换、汇聚、反馈机制，尤其是利用大数据技术对新冠肺炎疫情进行实时、动态跟踪、重点筛查、有效预测，为科学防治、精准施策提供了强大的数据支撑。
随着新型冠状病毒感染的肺炎疫情的不断蔓延，各级政府、社区、村落群策群力排查有武汉旅居史或湖北其他地区旅居史的人员。在来势汹汹的疫情面前，防控就是责任，每一个公民都有义务阻止疫情的传播。但是，泄露、非法提供或利用有武汉旅居史或湖北其他地区旅居史人员的个人信息，遂而歧视甚至助推“恐鄂”“排鄂”等负面情绪滋生蔓延的做法却有待商榷。
《民法典》明确规定了个人信息的法律保护规则，规定无论是任何组织还是个人，如果需要获取他人的个人信息，在保证其信息安全的基础上应当依法通过正当途径取得。该条关于公民个人信息保护的法律规定，可以从以下两个方面理解：其一是确立了个人信息保护规则；其二是确立了个人信息的人格权益性质[]。“依法取得”、“确保信息安全”、“不得非法利用”等保护规则的确立，对于保护个人信息具有重要指导意义。[]个人信息的本质在于其能够单独或者结合其他信息识别个人身份，不管其作为权利还是利益，都不妨碍法律将其确定为自然人的人身非财产性质的人格权且具有支配性[]。
众所周知，我国已经进入信息社会。如何在利用信息和保护个人信息权益之间保持平衡，已引起了国际社会的广泛关注。我国学者认为法律应对加强个人信息的保护，对在即将制定的《民法典》、《个人信息保护法》中的相关内容也进行了较充分的讨论[]，一致认为既要保护个人信息也要促进个人信息的合法、有效利用。《突发事件应对法》（2007年）第38条第1款对“突发事件信息”的收集主体和收集途径进行了具体规定。根据该条规定，突发事件信息的合法收集主体只能是县级以上人民政府及其有关部门和专业机构。根据《民法总则》第111条个人信息保护规则，该突发事件信息采集的途径一定要符合相应的法律规定。具体到此处的“突发事件信息”，应当包括或不限于在此次疫情中从武汉甚至是湖北到其他省、区、市的湖北返乡人员或湖北籍人员，还应当包括在此期间途径武汉或湖北境内的人员以及与上述人员有密切接触史的人员，但获得他们的信息并使用都必须符合“依法取得”和“不得非法利用”的规则。同时，根据2003年的《突发公共卫生事件应急条例》第40规定，街道、乡镇以及居民委员会、村民委员会有协助医疗卫生机构等部门做好公民个人疫情信息的收集义务。
根据我国现行法律规定，个人信息包括了突发事件信息、疫情信息等内容。因此，公民个人信息收集主体包括地方政府、卫生行政主管部门、医疗卫生机构、街道、乡镇、居民委员会、村民委员会。那么，在传染病疫情防控中需要接受隔离治疗、医学观察措施的有武汉旅居史或湖北其他地区旅居史等人员信息利用的“合法性”在哪？
一、“同意”不是收集、使用个人信息合法性的必要条件，只是合法性基础之一
个人信息是自然人交往、社会治理的工具，也是数字经济时代的重要资源。除《民法总则》外，《网络安全法》等法律法规都对个人信息保护进行了相应的规定，构成了个人信息保护法律体系。2012年通过的《关于加强网络信息保护的决定》首先将“同意”作为我国网络服务提供者和其他企业事业单位收集、使用个人信息的合法性基础。此后，《消费者权益保护法》、《网络安全法》和《统计法》进一步将知情同意原则拓展到消费者保护、网络安全以及专门事项领域。作为数字时代个人信息收集、使用的普遍规则，“同意”成为我国个人信息处理最为重要的合法性基础。甚至我国有学者提出，在个人信息利用中，如果未经本人“同意”，收集、利用个人信息的行为属非法行为[]。
然而，随着大数据技术的发展和互联网的不断普及，我国现行以“同意”作为合法性基础遇到了理论和实践的困难。从理论上来讲，我国有学者从知情同意的理论根基及其有效性的角度直接否定知情同意作为个人信息处理的正当性基础[]，建议对个人信息的处理采用动态风险管理模式[]。笔者认为，“同意”作为个人信息收集、使用的合法性基础有其存在的合理性，但其只是合法性基础之一，不是收集、使用个人信息合法性的必要条件。
第一、“同意”已不能充分体现信息主体的意思自治。21世纪是大数据时代，博客、微博、社交网络等新兴载体和物联网产生了各种各样的、无以数计的数据；云计算又为无以数计的数据存储提供了基础平台。因此，这些数据和数据存储平台造就了大数据时代的正式到来。信息主体很难对大数据技术下每一次信息利用做出及时和精确的判断，因此一般情况下，其都是不得不简单地接受或拒绝这种协议。在此情境下，信息主体的“同意”表面上是基于其意思自治，但实际上已无法充分表现其内心的真实意思表示。
第二、“同意”可能不当影响个人信息的有效利用。大数据时代是人类有机会和条件获取过去几乎不可能获取的知识和资源、得到过去无法达到和实现的商机[]的时代。数据绝大部分都是自然人的活动轨迹、消费习惯、交易信息、通话记录等累积、汇聚起来的个人信息。其中就有可能包含巨大的经济价值，能够为企业或利用者带来可观的经济效益[]。因此，企业才会千方百计收集、记录、组织、建构、存储、改编或者修改个人信息，以提高企业的市场竞争力和实现其市场目的，这是由企业的营利性特征所决定的。大数据分析作为一种技术手段须依赖于海量数据的共享共通。如果个人信息的获取与流通都需要经过个人“同意”才合法，则必然形成“信息孤岛”，阻碍信息社会人民日益增长的美好生活需求。
第三、“同意”规则与个人信息的立法发展趋势和方向不符。当前，无论是美国还是欧洲发达国家，都十分注重个人信息的立法保护，只不过其侧重点有所不同而已。总的来讲，立法模式主要有两种：一是以美国为代表的特别立法与经营者自律相结合的立法模式；另一种是以欧洲为代表的政府主导的立法模式。前者强调对个人信息的充分利用，而后者强调对信息主体权利的有效保护。即便是强调对个人信息主体权利保护的欧洲立法模式，其对信息主体权利的保护也不是绝对的，个人信息使用也有同意的例外情形，无需征求所有信息主体的同意 []。欧、美个人信息保护的立法模式虽各异，但都主动适应时代发展需求，不再以“同意”为个人信息保护的合法性基础，而是不同程度地借鉴了国际主流的场景与风险导向的新理念。以美国《消费者隐私权利法案（草案）》与欧盟《数据保护通用条例》为例，二者都以隐私风险作为衡量个人信息“合理使用”的指标并根据不同场景而采取差异化保障措施[]。有效利用个人信息才是个人信息保护立法总的发展趋势和方向[]。
第四、紧急状态下的私权应有所限缩，如以“同意”为收集的必要条件将导致公共利益无法实现。抗击新冠肺炎疫情，不仅是对国家治理体系和治理能力的大考，更是对我国法治的一次大考，“紧急时无法律”（Necessitas non habet legem)这一古老法谚揭示了特定时期的法律制度需体现紧急时期社会治理的特殊法治需求。紧急状态下，私权行使比常规期间受到更多限制，以满足紧急状态下的公共利益需求。当然，即使是在紧急时期，私权也不能无限制地退让公权，自然人基本领域的权利也应当得到法律的充分保障。因此，在疫情防控期，如对个人信息的收集都需先经过个人的事先同意，将导致防控措施不能正常实施，公共利益的实现必受影响。
二、敏感信息的收集、使用应以“同意”为合法性基础
通过上文分析可知，个人信息的收集、使用不以“同意”为必要条件，但对于个人敏感信息应以“同意”为合法性基础。 事实上，作为个人信息合法性处理最基础的同意规则，具有协调和平衡个人利益保护和信息利用的重要作用，仍然应当发挥应有的作用[]。 所以，在对个人信息保护时应注意区分一般个人信息和敏感信息。
上文已经提到，我国相关部门通过大数据技术收集、利用相关人员的信息而未经其本人同意，不具有违法性，但是否就是“合法”的呢？从网上曝光的情况来看，不仅公布了其姓名、家庭住址、身份证号、手机号、行踪轨迹等，而且对其见了什么人、什么时间见、停留多久等情况一清二楚。我国《个人信息安全规范》对个人敏感信息进行了描述性规定，只要有可能危害人身或财产安全的个人信息，产生严重后果的都是敏感信息，严重后果包括个人名誉或身心健康受到损害或歧视性待遇等。一般情况下，身份证号码、通讯记录和内容、个体生物识别内容、交易数据等都属于个人信息，但在全国群策群力疫情防控的特定时期，有武汉旅居史或湖北其他地区旅居史人员的上述信息应纳入敏感信息的保护。媒体报道中的有武汉旅居史或湖北其他地区旅居史的人员信息在老乡群、朋友圈等自媒体中散播的行为，严重侵犯了他们的个人信息权。
《政府信息公开条例》第2条、15条对行政机关依法公开信息提出了具体要求，明确规定对涉及商业秘密、个人隐私等内容的不能公开。因此，政府及其相关部门在信息发布中，要坚持三个原则：一是个人自愿原则，即本人同意授权发布；二是脱敏或去身份化处理原则，也就是说发布内容要无法识别特定个人且不能复原；三是适度原则或非必要不公开原则，如在此次疫情中日本厚生省认为“国籍与疫情二次扩散无关”，因而在确诊患者信息发布中隐去了国籍。为了维护公共卫生安全，公开有武汉旅居史或湖北其他地区旅居史人员的信息具有法律依据，但应遵循上述三个原则。疫情信息安全要从国家安全的高度去认识，绷紧信息安全这根弦。同时，执法部门要加大对侵犯敏感信息或隐私信息的打击力度。当前，疫情防控正处于关键时期，坚持依法科学有序防控至关重要。可喜的是，我国有关部门已意识到保护个人信息安全的重要性。
三、个人信息收集行为合法性考量
我国《民法总则》第111条的规定为个人信息提供了根本性的法律保障，但该法并未规范何为“依法取得”？在个人信息的收集中，虽并不以个人“同意”为合法性的唯一来源，根据欧盟《一般数据保护条例》第23条第1款的规定，对个人信息利用可以基于国家安全、刑事侦查、公共利益、国防等方式进行。
从目前掌握的资料来看，收集有武汉旅居史或湖北其他地区旅居史人员信息主要有五类主体：一是地方教育部门（2016年-2019年湖北高校录取该地区的大学生）；二是公安部门；三是疫情爆发后，各级地方政府安排相应的村委会、居委会、社区对疫情排查摸底的基层工作人员；四、通过手机定位所掌握人口流动轨迹的电信运营商；五、通过交易/支付信息、住宿信息、行车/导航记录信息等手机及App所显示的行踪轨迹精准锁定“潜在传染源”的互联网公司（包括SDK类的企业）。这五类主体中，只有基层工作人员需要主动收集个人敏感信息，其他主体则是通过改变信息使用目的的方式，将已经掌握的信息用于疫情监测、防控和感染源隔离的目的。
根据《传染病防治法》第12条规定，“疾病预防控制机构、医疗机构”根据工作职责的要求，可以要求任何单位和个人接受并如实提供疫情相关信息。该法第32、33条又进一步规定了“疾病预防控制机构”负有收集、分析、调查、核实传染病疫情信息的法定职责。因此，疾病预防控制机构等特殊主体在疫情特殊时期改变个人信息使用目的是有法律依据的。《突发公共卫生事件应急条例》第21条规定了“任何单位和个人对突发事件中个人信息的真实性、完整性、及时性负有法律责任，不得隐瞒、缓报、谎报等”。该条例第44条规定，突发公共卫生事件中需要接受隔离治疗、疑似病人和密切接触者等都有配合义务。从上述传染病法和应急条例的相关规定来看，在处理和应对各类突发事件中，卫生行政主管部门、疾病预防控制机构等相关部门、机构、组织、企业等对个人信息收集、分析是有法律依据的，因此其个人信息采集和使用行为是合法的。根据《传染病防治法》和《突发公共卫生事件应急条例》等法律的规定，收集有武汉旅居史或湖北其他地区旅居史的人员信息的各类主体都是合法的。
四、个人信息使用行为合法性的判断
对个人信息的利用应当按照法律规定的方式或者与个人约定的方式进行，不得损害信息主体的隐私权以及其他人格权益。具体说来：
一是不得侵害信息主体的隐私权。作为公民私生活的自由权，隐私权表明了其是一种人格尊严与对人予以尊重的权利，法无禁止的就是自由的，不违反法律规定的就都是个人有权决定的；对于政府部门来说，没有法律的明确授权就不能去做。对于个人来讲，禁止任何人或组织对私人信息和私人空间等事务的侵犯就是公民个人信息隐私权的必然含义。[]个人信息所保护的利益既包括信息主体的个人利益，也包含与个人信息处理紧密结合的信息使用者的利益和公共利益[13]。因此，必须在个人信息的利用过程中保持三者利益的平衡。随着大数据技术的发展，在对个人信息利用过程中尤其应注意避免对隐私利益的侵犯。大数据的特征之一便是数据价值密度较低，但是数据量越大价值越高，并且呈非线性的增长。因此，我们在处理个人信息时要充分尊重自然人的人格尊严和自由，以防范个人信息不当利用对个人主体权益所造成的威胁和侵犯。不管在哪个国家或地区，自然人人格尊严和自由的保护都是个人信息保护最重要的内容。
对于政府部门而言，利用个人信息可以提升公共行政效率，改善公共服务，提升治理能力，实现精准服务、精准监管，建设智慧城市[]。因此个人信息往往是政府部门实现数据“聚通用”的前提与基础。据不完全统计，政府部门所拥有的个人数据占了个人信息的重要部分。政府部门在利用个人信息方面的目的主要有两种：一为实现法律所规定的职责，如疫情防控、人口普查、刑事侦查；二不属于法定职责或事由而利用个人信息，如智慧城市的建设需要。第一种情况通常具有公共性，由于法律有明确授权而具有公共利益属性；后者则不一定具有公共性，需要遵循企业等主体利用个人信息的基本规则。即使是第一种情况，政府部门在公开或利用个人信息时，也不得侵犯自然人的隐私权。《政府信息公开条例》第15条对个人隐私等信息公开的限制性规定可以得知，对包含个人隐私内容的信息公开的条件只有两个，只要符合其一就可以。一是征得信息主体的同意；二是行政机关认为不公开该包含隐私信息就会对公共利益造成重大影响的。在应对该次新冠状性肺炎中对有武汉旅居史或湖北其他地区旅居史的人员信息的利用和公开，只能局限于会损害公共利益时才可以由行政机关公开。因此，其公开的主体只能是行政机关，而不是像上文所提到的老乡会、微信朋友圈等中的个人甚或平台、企业。
二是个人信息使用不得不当展示个人的“数字化形象”[]。根据《网络安全法》及相关法律的规定，个人信息包括但不限于自然人的姓名、民族、籍贯、身份证号码、家庭住址、个人生物识别信息、交易信息、征信信息、住宿信息、个人行踪轨迹、车辆登记和牌照等与个人身份识别密切相关内容。近年来，人工智能技术飞速发展为生活提供了极大的便利，尤其是人脸识别技术在生活中得到了广泛应用，如刷脸付费、人脸识别解锁等等。人脸识别技术的应用带来了巨大的争议，需要引入新的严格规则来保护个人信息所形成的“数字化形象”。因此在个人信息利用中，不当展示个人的“数字化形象”应当是不被法律允许的。
结语
大数据给我们的生活、工作与思维带来了大变革。当前，广泛利用大数据技术收集、甄别各类人员信息，用于跟踪、辨析有武汉旅居史、接触式或湖北其他地区旅居史、接触史人员的行踪。不当收集、使用个人信息必将直接影响疫情防控效果，甚至有损于他人的合法权益。因此，对个人信息利用合法性的判断进行区分是很有必要的。个人信息使用合法性的“同意”规则已不适应大数据时代的发展需求，既影响个人信息的有效利用，也不符合个人信息立法保护的时代潮流和发展方向。因此，在个人信息的利用中应确定收集、使用相关机构的主体资格，规定信息利用的启动条件和流程规范。确需公开个人信息，应用去标识化或身份化、加密等措施对个人信息进行“去敏化”处理，在数据关联分析过程中不指向特定个人。对个人信息使用过程中，应按照法律规定或约定方式进行，不得侵犯个人隐私权及其他人格权益，不得不当展示个人的“数字化形象”。个人信息在用于新型冠状病毒感染的肺炎疫情防控、监测中，除行政机关外其他机构或人员不得公开个人信息。
参考文献：
[1] 张鸣起.《中华人民共和国民法总则》的制定[J].中国法学，2017（2）：5-24.
[2] 王利明.《中华人民共和国民法总则》条文释义[M].北京：人民法院出版社，2017:242-243.
[3] 张新宝.《民法总则》个人信息保护条文研究[J].中外法学，2019（1）：54—75.
[4] 具体参见“中国民法典草案建议稿”：中国社会科学院法学研究所梁慧星主持的《中国民法典草案建议稿附理由》、中国人民大学法学院王利明主持的《中国民法典草案建议稿及说明》和厦门大学法学院徐国栋主持的《“绿色民法典”草案建议稿》；“个人信息保护法专家建议稿”：周汉华.中华人民共和国个人信息保护法（专家建议稿）及立法研究报告[M].北京：法律出版社，2006；齐爱民.中华人民共和国个人信息保护法示范法草案学者建议稿[J],河北法学,2005(6):2-5.
[5] 李永军.《民法总则》中个人隐私与信息的“二元制”保护及请求权基础[J].浙江工商大学学报，2017（3）：10-21.
[6] 任龙龙.论同意不是个人信息处理的正当性基础[J].政治与法律，2016（1）：126-134.
[7] 姬蕾蕾.个人信息保护立法路径比较研究[J].图书馆建设，2017（9）：19-25.
[8] [英]维克托·迈尔-舍恩伯格、肯尼思·库克耶著.盛杨燕、周涛译.大数据时代[M].浙江人民出版社，2013(推荐序二）V。
[9] Schwartz,Paul M.,Property,Privacy and Personal Data[J].Harvard Law Review,2004,117:2056-2128.
[10] 王叶刚.个人信息收集、利用行为合法性的判断—以《民法总则》第111条为中心[J].甘肃社会科学，2018（1）：48.
[11] 范为.大数据时代个人信息保护的路径重构[J].环球法律评论，2016（5）：92-115.
[12] 张新宝.从隐私到个人信息：利益再衡量的理论与制度安排[J].中国法学，2015（3）：38-59.
[13] 高富平.个人信息利用的合法性基础[J].比较法研究，2019（2）：72-85.
[14] 陈玉梅.论隐私范围之确定—以公、私法的划分为视角[J].湖南社会科学，2010（7）：138-140.
[15] 钟裕民，许开轶.大数据与政府管理创新：国内研究进展与研究展望[J].当代世界与社会主义，2016（6）：202-208.
[16] 王叶刚.个人信息收集、利用行为合法性的判断—以《民法总则》第111条为中心[J].甘肃社会科学，2018（1）：51.