淺析新冠疫情防控中個人信息的法律保護

摘要：為了迅速有效地遏制新冠肺炎疫情蔓延，各地政府采取如登記居民出行信息，公開確診感染者活動路線等針對性的防控措施，其實施過程中個人信息的收集、公開和利用成為了常態。雖然有利于防疫，但個人信息泄露的風險不容忽視，包括公民個人信息被不當收集、公開和使用，甚至被非法出售、提供給他人牟利因而導致疫情期間出現“精準詐騙”。疫情期間公民個人信息的保護應當遵循禁止權力濫用，權力行使不得違背社會公共利益;個人信息的利用應當堅持合法性、合理性和正當程序性的原則。具體的保護措施有：（一）建立個人信息分級保護機制;（二）建立健全監督機制;（三）加大違法行為的懲罰力度。

關鍵詞：疫情防控;個人信息;信息利用

中圖分類號：D923文獻標識碼：A文章編號：2095-6916（2022）04-0069-04

在防控新型冠狀病毒肺炎疫情過程中，公民個人信息的收集、公開和利用發揮了關鍵作用。但是在此過程中，個人信息的非法收集、濫用、泄露等問題也時有發生，疫情為個人信息安全帶來新的風險挑戰。

一、個人信息概述

（一）個人信息的概念沿革

《網絡安全法》最早定義了個人信息的法律概念，個人信息是指“以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別自然人個人身份的各種信息”。

在民事法律領域首個明確個人信息保護的法律是《民法總則》，但并未界定個人信息的法律概念。2021年實施的《民法典》，彌補了《民法總則》中個人信息法律定義的空白，其對個人信息的表述基本與《網絡安全法》保持一致，但在自然人之前增加了“特定”二字，更加準確。

2021年8月20日，我國首部個人信息專門性保護法律《個人信息保護法》正式通過。該法將個人信息界定為“以電子或者其他方式記錄的與已識別或者可識別的自然人有關的各種信息，不包括匿名化處理后的信息。”相較于以往的法律定義，此表述更加精準。

（二）個人信息的法律特征

首先，個人信息的主體只能是自然人。個人信息只能是與自然人有關的信息，個人信息的目的是用來識別自然人的身份，只有自然人才是法律所認可的個人信息的權利主體。在個人信息法律保護范疇中，法人、非法人組織等其他非自然人主體是被絕對排除在外的。

其次，個人信息必須是被記錄下來的信息。若只是一段對話，由于沒有被記錄下來，那么這段對話中的信息就無法被認定為個人信息。若這段對話被以錄音的形式記錄下來，那么這段錄音中出現的信息則可能被認為是個人信息。

最后，個人信息必須具備可識別性的特征。所謂可識別性，即可以識別特定的自然人的身份的性質。這種個人信息包括兩類：一類是不需要借助其他信息就能夠獨立識別個人身份的信息，具有直接識別性，如身份證件號碼。另一類是雖然不能獨立識別個人身份，但是可以通過與其他信息相結合從而識別個人身份的信息，具有間接識別性。以姓名為例，由于重名的現象非常普遍，所以僅僅根據姓名這一個信息，我們是無法特定到具體的某個自然人的身份的，所以還必須結合其他的信息，比如家庭住址進行識別。這也就意味著雖然某些信息并不能單獨識別個人身份，但是并不意味者它就被完全排除在個人信息的范圍外，只要其能與其他信息結合達到識別個人身份的效果，它仍然屬于個人信息。

那么在此次疫情過程中，可能被收集和利用的個人信息是多種多樣的。具有直接識別性的個人信息，如居民的身份證號碼、護照號碼等。這類信息毫無疑問是最容易識別個人身份的信息，因此也是在疫情防控過程中采集率、利用率最高的信息。無論是政府相關部門的疫情防控還是醫療機構的醫療診斷，居民的身份證號碼或者護照號碼都是首要采集的信息。當然，此類具有直接識別性信息的種類是有限的，而間接性識別的個人信息相較而言則是十分之多的。這些信息通過多種渠道被多方主體采集和利用。

二、疫情期間公民個人信息遭受不當侵害概況

（一）公民個人信息被不當收集

一方面，在疫情防控期間，個人信息的收集主體是十分廣泛的，而公民對于收集個人信息的權力主體卻是不明知的，公民在被收集信息時難以及時準確地分辨收集的主體是否具有相關權力;另一方面社區居委會、醫療結構以及交通部門等收集使用個人信息的主體，在收集個人信息時不能嚴格以自身的防控目的為限，這些主體可以收集和使用的個人信息沒有明確的界限。不能排除個人信息被沒有權限的主體不當收集或者被有權限的主體超越權限收集的可能。

（二）公民個人信息被不當公開

政府部門在公開確診者相關信息時，未做匿名化處理或者匿名化處理不到位，導致社會公眾仍然可以輕易地通過其他方法特定到具體的當事人。此外，據媒體報道，在疫情防控期間，有人私自將包含有新冠肺炎確診人員信息的圖片發送到有27名成員的微信家庭群內，導致該圖片在網絡上大量傳播。

（三）公民個人信息被不當使用

據新聞報道，天津市委網信辦發現，與疫情防控相關的移動互聯網應用程序存在未經授權或用戶同意收集使用個人信息、未經同意向他人提供個人信息、疫情結束后未及時采取刪除等措施處理疫情防控相關個人信息等違法違規收集使用個人信息行為。在收集個人信息之后，由于保管不善、程序漏洞以及收集主體非法出售、提供給他人牟利等原因導致疫情期間出現了“精準詐騙”。

出現此類公民個人信息遭受不當侵害的主要原因，首先是由于個人信息的收集使用管理不規范。例如，社區普遍采用紙簿登記個人信息方式，但是登記時缺乏有效信息保護措施，登記簿隨意擺放，沒有嚴格管理，將個人信息無保留地暴露在公共空間;其次是個人信息的存儲使用缺乏有效監督。信息被收集之后，信息的使用渠道、存儲方式等不對個人公開，個人很難對信息的存儲、使用情況進行有效監督。信息收集主體與收集渠道又十分廣泛，公民對于自己傳遞出去的個人信息以何種方式保存，被哪些機構所使用，最終這些信息會被如何處理等缺少必要的了解和監督。再次是個人信息收集授權不明。據媒體報道，在疫情期間，除了社區居委會、醫療機構等超市、理發店、飯店等營業場所也會對個人信息進行登記，這些機構是否有法定的個人信息收集權力，個人信息收集授權不明導致個人信息收集主體眾多，難以有效控制和監督，極易造成個人信息的泄露。

個人信息因為具有“可識別性”特征，其上所承載的內容是侵害其他權利和法益的基礎。個人身份信息是自然人進行社會交往開展社會活動的前提條件和基本條件。個人信息的安全是自然人行動安全和行動自由的基礎，也是自然人生活安寧的保障。個人信息若處于風險之中，自然人的身份就處于隨時暴露在公眾視野中的不穩定狀態之中。從立法目的來看，個人信息之所以受法律保護的根本原因是通過法律保護自然人對表征個人身份的信息的自主控制權，從而保障個人人格平等、人格尊嚴和人格自由的實現。

三、疫情期間公民個人信息的保護原則

在此次新冠疫情防控過程中，政府等相關部門為疫情防控而采取的一系列緊急措施中，很多都涉及對公民個人權利和自由在一定程度上的限制。在這其中就必然涉及公民個人利益的保護與國家、社會公共利益的保護之間的矛盾，公民個人的權利自由與社會公眾的健康利益之間的矛盾。那么在這個過程中如何平衡公民個人信息保護與信息利用之間的關系，協調二者之間的利益就是我們首要思考并且要解決好的問題。疫情期間公民個人信息的保護應當遵循以下原則：

（一）禁止權利濫用，權利行使不得違背社會公共利益

任何權利都是有邊界的，任何權利都不是絕對的。自然人的個人信息受法律保護，信息主體之外的其他任何人都負有尊重個人信息權益，保障個人信息權益不被非法侵犯的義務。但是任何權益所享有的自由都必須在法律規定的一定的范圍內才是正當的，超過該范圍將不會被法律所保護。在疫情防控中，個人信息權益當然要依法保護，任何人不得非法泄露公民的個人信息。但與此同時，由于此次疫情是一次十分嚴重的公共衛生危機，已經嚴重威脅到全國人民的生命安全和身體健康，那么為了保護國家、社會公共利益，對公民個人的信息權益進行一定的限縮是正當的。根據民法的規定，權利人不能濫用自身權利，權利的行使應當遵從公序良俗原則。公序良俗原則的內涵中就包含了國家和社會公共利益的這一層面的內容。那么為了疫情防控和疾病防治，個人必須按照要求如實提供自己的相關信息。若無理由拒絕提供或者隱瞞相關信息，對疫情防控產生極其不利影響的，還必須依法承擔法律責任。

（二）疫情防控中個人信息的利用應當堅持合法性、合理性和正當程序性原則

合法性原則即在收集利用個人信息的過程中要嚴格遵守我國的相關法律規范，如，我國針對突發性公共衛生事件的法律規范《中華人民共和國突發事件應對法》和《中華人民共和國傳染病防治法》中關于政府部門在行使自身權力的過程應當遵守的要求。特別是，中央網信辦發布的關于在聯防聯控中個人信息保護的專門通知中的各項規定，必須要嚴格遵守與執行。必須明確，應急期間公民權利可能會受到更多限制，但這些限制應該是在法律規定范圍內的限制。對于個人信息的收集和利用行為應當嚴格依法進行，不得違背法律規范的要求。

合理性原則即在收集利用個人信息過程中，必須要符合以下要求：一是出于合法的目的，二是手段是必要的且造成的損害是最低的，三是獲得的公共利益與造成的損失應當符合比例。收集和利用個人信息的目的必須是為了履行疫情防控、疾病防治等法律法規所賦予的職責，而不是出于其他目的，如個人利用等。收集利用的手段必須是必要的，即所采取的方式是實現疫情防控這一目的行之有效的和必要的且對于公民個人信息權益的限制是最低的。比如，對于確診病例所在地區，向公眾公開確診病例的年齡、性別、居住區域、活動區域等個人信息，維護所在區域民眾的知情權有助于民眾的自覺防疫。既要充分實現疫情防控的目標又要避免對于個人信息權益的不當限制。

正當程序原則即政府部門以及其他主體必須嚴格按照規定的程序收集和利用個人信息，要遵守相關的法律規范所規定的正當程序，要保證程序的嚴謹、標準的客觀和統一。無論是收集、公開還是處理個人信息都應該按照程序進行，堅持統一的標準，避免主觀隨意性。尤其是被授權的組織，更應當向公眾公開權力來源。收集信息的組織應當公開信息使用的用途、渠道，存儲的方式以及保護方式等。

四、疫情期間公民個人信息保護的具體措施

個人信息的保護問題涉及全社會的綜合治理，不是某個部門法或者單獨某個部門就可以解決的。新冠肺炎疫情仍然在持續，也許仍然需要在今后的很長一段時間內保持防控的態勢。在遵守上述基本原則之外，在疫情期間公民個人信息保護還需要更加具體明確的措施。本文認為，可以從以下方面努力：

（一）建立個人信息分級保護機制

個人信息不僅種類繁多，而且根據個人信息與個人利益保護的重要性的密切關系，這些信息之間也是存在差別的。根據民法典第一千零三十二條和第一千零三十四條的規定可以看出，公民個人信息可以分為普通信息與私密信息。個人信息中不愿為他人知曉的私密信息屬于個人的隱私范疇。私密信息的保護應當適用有關隱私權的規定。而民法典中樹立了個人隱私與個人普通信息分開保護原則。基于此，我們對于疫情防控期間個人信息的保護也應當堅持這一原則，且《信息安全技術個人信息安全規范》中也明確規定了個人信息中的敏感信息。此類敏感信息與民法典中的私密信息應當是一致的。因此，在疫情期間我們應當建立個人信息分級保護機制，根據信息的層級予以分級保護，對于普通信息與私密信息在保護措施、保護力度等方面予以區分，只有這樣才能夠實現個人信息保護的全面性與細致性。

（二）建立健全監督機制

疫情防控期間，圍繞個人信息的收集利用產生了個人信息被泄露等一系列問題，一個很重要的原因是個人信息在被收集、公開、利用的過程中缺乏有效監督。一是公民個人對于信息的保護與監督缺乏必要性認識;二是信息收集、公開、利用的主體缺乏主動接受監督的意識和行動。正是由于監督上的漏洞，助長了個人信息被泄露等問題的產生。所以，必須建立健全信息收集、公開、利用、存儲的全方位的監督機制。與此同時我們也必須認識到，監督即意味著公開，所以監督機制的建立以信息公開為前提。信息收集、公開、利用主體的權力來源公開，尤其是被授權組織的權力來源公開。信息的收集方式、使用方式以及存儲方式也應當公開。

（三）加大違法行為的懲罰力度

在疫情期間，由于公共衛生安全利益的極端重要性以及國家疫情防控的緊迫性，公民在信息收集、公開和利用過程中予以了積極的配合，將個人信息毫無保留地貢獻給國家和社會。基于此，在疫情期間我國才能夠迅速地遏制疫情蔓延的趨勢。但是個人信息被泄露的問題不斷涌現，也讓我們清醒地認識到，在疫情防控期間，我們對于個人信息的保護缺乏必要的認識和措施。那么不僅是個人信息被泄露，而且很有可能個人信息已經被不法收集和不法使用。同時我們也必須認識到，基于此次疫情，信息收集幾乎是覆蓋全國，那么一旦這些信息被不法使用，將會影響到每一位公民的切身利益。基于以上兩點，我們應當對于在疫情防控期間利用疫情防控的目的而不當收集、公開、利用個人信息而導致他人權益受損的行為予以更為嚴重的懲罰與制裁。

參考文獻：

[1]李琨.“公民個人信息”的法律界定分析[J].現代商貿工業，2020（4）.

[2]夏金彪.用大數據防疫要做好個人隱私保護[N].中國經濟時報，2020-02-13（2）.

[3]任生林.疫情之下如何保護隱私權[N].山西法報，2020-03-09（3）.

[4]蘇今.《民法總則》中個人信息的“可識別性”特征及其規范路徑[J].大連理工大學學報（社會科學版），2020（1）.

[5]彭飛.法治的硬度和底線[J].法人，2020（3）.

作者簡介：趙暉（1993—），女，漢族，山西長治人，單位為天津市第二中級人民法院，研究方向為民商法。