論疫情期間個人信息的刑法保護

饒惠智

摘要：疫情期間，一些收集和使用個人信息的亂象使得個人信息保護與公共安全保障之間的沖突問題像被置于放大鏡下一樣集中體現出來。政府等個人信息的收集和使用主體應當確立個人疫情信息保護和利用的利益衡量理念，協調疫情信息公開與個人知情同意的關系，遵守對個人疫情信息權利限制的比例原則。在對違法收集使用個人信息行為的刑法規制層面，通過明確侵犯公民個人信息罪條文中“公民”、“非法獲取”、“情節嚴重”的內涵外延以及該罪主觀罪過的具體形式，能夠更為清晰地劃分罪與非罪的界限，完善個人信息的刑法保護。

關鍵詞：個人信息;刑法規制;利益衡量;疫情防控

一、問題的提出

疫情期間，收集和使用相關人員的行蹤軌跡等信息以促進聯防聯控工作無疑是當務之急。但是，收集和使用主體亦應當對個人信息權益這一合法正當的權益予以足夠的重視和保護，不能顧此失彼。本文擬從個人疫情信息為視角，探討個人疫情信息保護和利用的沖突處理方式，為政府部門、單位、APP運營商等主體提供合法化收集與使用的建議。并通過進一步探討侵犯個人信息罪的刑法認定問題，為依法懲治相關違法犯罪貢獻微薄之力。

二、APP運營商違法違規收集使用個人信息行為及出罪事由分析

通過對支付寶、微信、QQ等二十余款常用APP的收集使用個人信息行為進行分析后，對可能觸及刑法的行為進行了歸類，并總結出入罪阻卻事由在APP運營過程中的適用，可用于警示APP運營商在合法合規的范圍內收集使用用戶信息。

（一）APP違法違規收集使用個人信息行為歸納

其一，傳統的積極行為。包括未經用戶同意收集使用個人信息違反必要原則、收集與其提供的服務無關的個人信息、未經用戶同意向他人提供個人信息等。這些行為都有可能構成犯罪。

其二，大數據時代下新型的積極行為。包括面部特征等生物特征信息收集使用不規范，APP后臺自啟動、關聯啟動，私自調用權限上傳個人信息，錄音、拍照等敏感權限濫用等，這些行為也都有可能構成犯罪。

其三，消極行為。包括未按法律規定提供刪除或更正個人信息功能，未公布投訴、舉報方式等信息，未公開收集使用規則，未明示收集使用個人信息的目的、方式和范圍等，這些行為不構成犯罪，但是可能構成民事或者行政違法。

（2）APP侵犯個人信息的入罪阻卻事由

其一，刑事合規阻卻刑法適用，是指用戶協議和隱私政策文本合法合規，且行為符合文本規定。爭議點在于：（1）將收集的個人信息提供給關聯企業。我國對關聯企業并未有法律上的一致概念，造成司法實踐對“關聯企業”的認定不一，進言之，若APP服務提供者完全依照合法合規的用戶協議與隱私政策將其所收集的個人信息提供給關聯企業，就應當從最寬泛的角度解釋關聯企業，避免因個人信息被提供方因未被認定為關聯企業而導致“非法提供”的認定。（2）收集與服務內容關聯的個人信息。判斷運營商收集的個人信息與提供服務內容的“關聯度”時，若完全依照用戶協議與隱私政策進行收集，則在如果刑事責任層面的判斷，應當為其中關聯性保留最大限度彈性空間。

其二，信息自決權阻卻刑法適用，視為被害人同意。APP服務提供者可以以通過用戶協議與隱私政策獲得了用戶授權為由，主張適用“被害人承諾”，從而主張刑事責任的免除。但如果其具有惡意目的，超越服務范圍收集個人信息等，則不能基于用戶協議與隱私政策進行免責。例如，在經同意買賣個人信息進而盈利的案件中，信息出賣者因為信息自決權的存在而不具有刑事違法性，但信息購買者并不因出賣人同意便能夠從刑法層面免責。

三、促進各層級主體規范性收集、使用個人信息的建議

（一）個人信息采集階段

在突發公共衛生事件中，利用個人信息進行有效防控的第一步是采集個人信息，理應遵循最小范圍原則。一是收集對象方面，原則上只收集重點人群的個人信息;二是地域范圍方面，不針對某一特定地區的所有自然人;三是如果可以通過使用所收集的非敏感個人信息就可以實現目標，那么就不應擴大個人信息收集的范圍。

（二）個人信息傳輸階段

在突發衛生公共事件中，個人信息傳輸存儲的安全性尤為重要。傳輸儲存個人信息應當遵循必要性原則和最小化原則，即目標信息應當滿足防控目的，個人信息范圍不宜過于寬泛。此次我國在應對 COVID -19 疫情時，有關部門、企業、個人在傳輸存儲肺炎患者和疑似人群的個人信息過程中應當嚴格控制傳輸途徑和存儲方式。傳輸過程中要保證對應接收單位的合法性，存儲時要注意存儲保密等級以及存儲期限限制。

（三）個人信息使用階段

《通知》對信息使用過程中個人信息進行保護的同時，忽略了對被收集的個人信息進行共享的規制。立法的闕如使得個人信息的共享缺少必要的引導，信息收集顯得無序混亂各地政府以及相關部門在個人信息收集上形成了各行其是的局面。實踐中，往往出現同一信息主體的個人信息被多個信息收集主體（派出所、居委會等）收集，以及同一信息主體的個人信息被同一信息收集主體重復收集的情況，嚴重降低了信息收集效率，也侵擾了公民的正常生活。因此，對信息共享規制的缺失，加劇了個人信息面臨的安全風險。

（四）個人信息披露階段

在此次疫情中，人民政府、基層組織都在法律框架內披露目標人群信息，但從新聞報道中可以發現存在小區物業公司向小區住戶披露新冠肺炎患者、疑似人群的具體姓名以及精準住址，甚至其親屬的個人敏感信息，造成相關群體的私生活曝光。可見，個人信息的披露范圍需要謹慎，患者以及疑似人群的具體姓名以及居住門號不應當向小區全體用戶披露。此類人群的具體居住棟數如果以防控疫情傳播為目的，可以由適格主體進行披露，保證披露個人信息準確性的同時保護披露信息主體的個人權益。

（五）個人信息銷毀階段

在公共衛生事件趨于緩和后，仍有大量的個人信息在公共衛生事件結束后保留在網絡空間中，對信息主體未來的個人隱私等人格權益造成侵害，影響現實的社會生活。為保障信息收集主體有正當權利銷毀以上個人信息，可以運用一般人格權的兜底作用來實現“被遺忘”這一法律所保護的利益，并賦予信息主體被遺忘權，不僅可以對公共衛生事件中不符合法律規定而公開的信息行使被遺忘權，而且可以對公共衛生事件結束后不必要繼續公開的個人信息行使被遺忘權，從而實現公共衛生事件中個人信息的保護。

（華中師范大學 法學院 430079）