以重大突發公共衛生事件為背景談《個人信息保護法》的若干適用性問題

南京工業大學法政學院 黃宇軒

在重大突發公共衛生事件的防控期間，對個人信息的使用有其特殊性和必要性。但由于當下個人信息的使用界限模糊，出現了諸多例如濫用個人信息、個人信息泄漏、人肉搜索曝光等嚴重問題。如何在諸如重大突發公共衛生事件防控這樣的特殊時期，對個人信息的使用權限進行明確的規定和說明，對人民群眾就個人信息問題展開普及與教育，并對違法違規利用個人信息的行為進行處理，是亟須解決的問題。而此前，我國在個人信息保護的立法層面始終處于空白的狀態。因 此，在2020年10月13日 和2021年4月26日，《個人信息保護法》的前后兩版草案先后提請了全國人大常委會進行審議，并最終于2021年8月30日舉行的第十三屆全國人大常委會第三十次會議上表決通過。伴隨著重大突發公共衛生事件防控政策的不斷調整，對于個人信息的使用仍然需要密切關注，而《個人信息保護法》在這段時期內也暴露出了一些適用性上的問題。

一、現狀分析

由于我國幅員遼闊，人口眾多，重大突發公共衛生事件防控較之大多數國家而言更加困難。目前我國對于確診病例主要采取的是“行程摸排”的處理方式，即將確診病例近期所到的地點和確定的時間段在網絡上進行公開，告知民眾確診病例近期的行動軌跡，并對與確診病例有過接觸的人群進行隔離觀察。這種方式的好處在于較易發現可能被傳染的密切接觸者，便于盡快對其采取隔離措施，避免密切接觸者再接觸更多的人群，產生更大的影響和更壞的結果。同時，這樣的公開也可以對民眾的心理產生警誡作用，民眾會自然而然地減少前往涉及的地點或范圍，加強自我防護，盡可能地避免病毒的蔓延和擴散。但就像上文的案例所反映的情況一樣，這種方式可能產生的問題在于，重大突發公共衛生事件防控期間對于個人信息和個人軌跡的使用服務于防范擴大化，因此并不會也并不能足夠考慮到確診病例的隱私保護問題。當確診病例的完整行程軌跡在網絡上被公開時，對于確診病例而言，其近段時間內的行程就已經沒有個人隱私可言。同時，以娛樂場所為例的行程軌跡在民眾心中存在刻板印象，而確診病例在重大突發公共衛生事件防控期間已然是無辜的受議論對象，因此，各式各樣的惡意評價接踵而來，甚至上升到了人肉搜索的地步。這已經超出了防控期間對于個人信息的合理利用范圍，甚至涉及了個人隱私權保護的法律問題。而由于重大突發公共衛生事件防控的需要，類似“健康碼”“行程碼”等采用手機掃碼的方式來進行個人信息統計的現象在全國各地都非常普遍，而這其實也很有可能被一些不法分子利用，造成個人信息泄漏和個人信息濫用情況的發生，甚至滋生各類網絡犯罪，對居民的人身和財產安全產生極大的影響。

誠然，個人信息和個人行程記錄等內容的公開是在重大突發公共衛生事件防控的大背景下確診病例必須做出的理解和配合，是保證我國確診病例逐步減少的必要措施。但對于個人信息的濫用和人肉搜索等一系列違法違規的行為其實是對確診病例的二次傷害。實際上，在符合重大突發公共衛生事件防控要求下的人員流動是完全符合規定的。并沒有人會希望自己被感染，大多數確診病例的日常出行也并沒有違反任何要求。然而，在重大突發公共衛生事件防控期間，這樣的人肉曝光行為像是披上了正義的外衣一般，實則內核性質依舊不變，其反映的是我國一直以來都存在的個人信息使用界限較為模糊的問題。在重大突發公共衛生事件防控期間，如何平衡公眾知情權和個人信息保護，如何權衡確診病例管理和對其人權的尊重，對于有關部門都是很大的難題。而在常態化防控背景下，除了對確診病例個人信息的保護，更亟須解決的是“全民掃碼”帶來的信息爆炸化下的保護難題。

目前我國正處于關鍵的常態化防控階段。全國人大代表、廣州市第八人民醫院感染科主任蔡衛平在2020年的兩會期間提出了“常態化防控下應加強公民個人信息保護”的議題，而全國人大代表、臺盟上海市委副主委、上海市閔行區副區長劉艷則提出，在常態化防控下，也要捍衛個人信息安全，必須加強數據信息安全保護。相比起重大突發公共衛生事件爆發期間，常態化防控背景下的個人信息保護顯得更加重要，也更有講究。在《個人信息保護法》出臺后，對于個人信息處理主體的要求更加寬松，這就對管控和規制提出了更高的要求。目前主要存在的問題是，相關法律和規定并沒有針對實際操作過程當中可能出現的情況和需要解決的問題制定出詳細的操作方法及流程，也無法實現大數據從采集到使用，從披露到清除這一整套執行過程當中的規范化、體系化。

二、現行規定

（一）對于“合理”的界定

根據《個人信息保護法》第十三條的規定，當個人信息處理者“為公共利益實施新聞報道、輿論監督等行為，在合理的范圍內處理個人信息”時，以及“依照本法規定在合理的范圍內處理個人自行公開或者其他已經合法公開的個人信息”時，個人信息的處理行為不需要取得個人的同意，并且擁有合法性的基礎。這在一定程度上有利于減少一些爭議和不確定情況的發生。此前，在《民法典》第一千零三十六條的規定當中，“合理處理該自然人自行公開的或者其他已經合法公開的信息”僅僅是“行為人不承擔民事責任”的一種事由。相當于在這樣一種情況下，行為人處理信息的行為并不被認定為合法，僅僅是不需要承擔法定責任。且后續還有“但是該自然人明確拒絕或者處理該信息侵害其重大利益的除外”作為補充。在這種情況下，假設自然人對自己個人信息的被處理保持拒絕的一種狀態，但實際上為了公共利益卻出現了必須執行公開的情況，無論是對于政府機關，還是新聞媒體，抑或個人來說，在他們執行了公開行為后，行為的合法性判斷過程上都是頗有難度的。因此，《個人信息保護法》在該層面上相較于《民法典》是更具有合理性的。因為它相當于直接給予了在特定條件下處理個人信息的一種合法的權利一般，而不至于因自然人個人的拒絕和否定就陷入僵局。但問題在于，“合理的范圍”應當如何進行界定？在什么樣的限度內才能被判定為是“合理”？超過怎樣的限度又應當被判定為是“不合法”？這仍然在立法上留下了很大的不確定性。而立法上存在如此的不確定性，就相當于在實踐操作層面給予了人民法院自由裁量的權利，這就很有可能導致判斷標準不一致甚至是同案不同判的情況發生。在重大突發公共衛生事件防控的過程當中，政府機關為了阻擊擴散，公開確診病例的行蹤軌跡及個人情況顯然應當被認定為“合法公開信息”的行為，但網民在此基礎上繼續深入調查患者的個人信息并在網絡上進行公開和傳播又是否是“合理處理已經合法公開的信息”呢？答案顯然是否定的。因此，在立法層面僅僅用“合理”二字雖不至于站不住腳，但顯然為判斷和適用層面留下了很大的疑慮。未來若要在立法層面解決該問題，不僅僅在個人信息處理的主體上仍需進行細化，對于合法性行為“度”的規定也仍有更加具體的空間。

（二）個人信息處理的責任承擔問題

如上文所述，從《個人信息保護法》第十三條來看，給予了個人信息處理主體在一定條件下不需要經過個人同意即可處理的合法性基礎。但從《民法典》第一千零三十六條來看，對于“合理處理自然人自行公開的或其他已經合法公開的信息”，倘若自然人“明確拒絕或者處理該信息侵害其重大利益”之時，個人信息處理主體是需要承擔民事責任的——這顯然出現了矛盾的問題。在同樣的條件下，《個人信息保護法》不僅沒有對責任的承擔做出免責性的規定，甚至直接對其冠以合法的頭銜，且第十三條第二款的“有前款第二項至第七項規定情形的，不需取得個人同意”更像是一種加碼；而《民法典》則是在特定條件排除的情況下仍對責任的承擔做出了保留的規定，明確給予了自然人拒絕的權利和對自己重大利益進行保護的權利。同時，從《個人信息保護法》來看，為公共利益和在合理范圍內處理已合法公開的信息屬于并列的關系，即都是具有合法性的，都可以不需取得個人同意即進行處理。但從《民法典》來看，前文也提到過，在合理范圍內處理已合法公開的信息是可以被自然人拒絕的，而為公共利益和自然人合法權益卻并非如此。這里就出現了為公共利益是否可以無條件處理個人信息的問題，而這恰恰就是重大突發公共衛生事件防控背景下對于個人信息處理的真正目的，即維護公共利益。從阻擊重大突發公共衛生事件的方面來看，為了社會利益和公共利益公開確診病例的個人信息顯然具有必要性，但倘若不給予個人任何的周旋余地顯然又不利于其自身權益的維護。在這樣一種矛盾之下，最好的解決辦法是對某一部分關鍵信息，如行程軌跡、停留時間、確診時間等進行公開，僅對如密切接觸者和時空伴隨者等進行篩查，并對重點地區進行封控，而不對公民個人的任何個體情況進行透露。這在立法層面需要更多的細化規定，而在信息公開層面也需要更多的技術手段對信息進行保護和選擇性公開。實際上，從目前來看，對于確診病例的性別、年齡、職業等信息的公開是沒有太大的價值的，未來也可以考慮做出更多的取舍。

（三）“過錯”的法律認定

在《個人信息保護法》第一版審議稿面世的時候，對于其中第六十五條（第二版審議稿第六十八條）的爭議相當之大。原因在于，不僅沒有明確個人信息處理者應當承擔的責任類型，對于何時應當承擔責任也規定得比較籠統。由于沒有證明責任倒置的存在，受害者需要對其主張的個人信息處理者侵權行為進行舉證，而這方面侵權行為證據收集難度是相當大的，且成本也比較高。在這樣的情況下仍舊堅持“誰主張誰舉證”實際上更不利于受害者保護自己的合法權益。而該條文目前被規定在了《個人信息保護法》第六十九條。相比較而言，將個人信息處理者所需要承擔的具體責任明確為了侵權責任，也減輕了受害者對于個人信息侵權行為的主體責任。論證義務較大的一方成了個人信息的處理者，對于個人信息處理者過錯推定的原則更加有利于受害者的合法權益保護，反推回來也更容易使個人信息處理者在處理他人個人信息之時更加注意。但目前來看，對于個人信息處理者究竟在什么樣的一種情況和尺度下屬于“存在過錯”，界限仍然存在著一定的模糊。在重大突發公共衛生事件防控的背景下，政府機關對確診病例個人信息進行公開后，其他個人信息處理來著對這部分合理合法公開的信息進行處理似乎是受到上文提到的《個人信息保護法》第十三條允許的。但假如這些個人信息處理者添油加醋地進行編造和杜撰，或是對確診病例進行人肉搜索，這樣的行為又應當如何定義？同時，正常的個人信息使用行為和使用個人信息“存在過錯”的行為應該如何進行劃定？當前我國的新聞環境令人擔憂，許多媒體以曝光度和吸引研究為目的出發進行新聞報道，很容易使得確診病例的個人信息被進一步加工甚至是濫用。而《個人信息保護法》對于這部分行為并沒有足夠的規制力度，也沒有周全的條文規定，看起來并不足以應對現實生活中屢見不鮮的類似行為。只有對類似的行為過錯進行明確的規定，結合上文提到的對確診病例的個人信息進行有選擇性的公開，才能更好地平衡重大突發公共衛生事件防控期間的信息公開和信息保護。

三、結語

信息公開與信息保護猶如蹺蹺板的兩邊，而個人信息的法律保護就猶如維持兩邊平衡的標尺。在重大突發公共衛生事件防控的背景下，對于確診病例個人信息的公開有其現實需要和實際意義。但不能忽略的是，重大突發公共衛生事件是暫時的，對于個體權益的保護和個人隱私的尊重卻將伴隨其一生一世。如何平衡國家利益和個人利益，如何界定使用和保護之間存在的矛盾，如何更好地在重大突發公共衛生事件防控的前提下對公民個人信息進行更好的保衛，仍然是一條漫漫長路。突發公共衛生事件和社會整體利益下個人與公共的權衡本就是很大的課題，當涉及公民個人最基本的信息和隱私之時，還需要更周全的法律法規以及更人性化的處理方式。