重大疫情背景下个人信息披露实践与检察监督

张乾　马勇

摘 要：突发公共卫生事件对政府的治理能力提出了挑战。疫情背景下，公民的个人权利必然有所限缩，但行政机关仍需遵循比例原则等基本的法律原则。在我国疫情防控中个人信息披露实践存在法律监督缺位、法律救济机制不完善等问题。检察机关应当通过加强对临时性应急管理措施的法律监督、制发个人信息保护检察建议、提起个人信息保护公益诉讼等途径保护自然人个人信息权益，提升应急管理的法治化水平。

关键词：突发公共卫生事件 个人信息权益 隐私权 个人信息披露

突发公共卫生事件不仅给社会生活带来了重大影响，也对国家治理能力与治理体系现代化提出了挑战。一方面，疫情期间，“在危言耸听的饱和宣传和社交媒体的宣传下，恐惧会伴随着疾病而蔓延”，[1]人们更倾向于到社交网络上寻找答案，虚假、错误的信息充斥于网络空间。公民需要受到保护，以避免受到虚假陈述和虚假事实的侵害，[2]而政府的信息披露则是减少恐慌的重要手段。另一方面为进行流行病学调查，政府也需要获取并在一定范围内披露部分公民的个人信息。为了实现公共卫生的目的，防控机关有权获得自然人的个人信息，这在我国《传染病防治法》等法律和规范性文件中均有所规定。但是，不受规制的信息披露不仅可能会侵犯自然人的个人信息权益，还可能侵犯自然人的隐私权。

应急管理措施的合法性是应急管理过程中必然要考虑的关键问题。本文以我国在疫情期间的个人信息披露实践为分析对象，探讨突发公共卫生事件应急管理中信息披露制度存在的基本问题，考察检察机关在应急状态下保护个人信息权益的基本路径。

一、疫情背景下个人信息披露的原则

各国为应对疫情，均采取了信息收集、披露机制，例如《韩国传染病预防和控制法》规定国家机关在疫情期间，可以收集和共享位置数据、身份信息、医疗和处方记录、移民记录、银行交易数据、公共交通的过境记录、闭路电视记录[3]等一系列数据。但是，考虑到权利保护问题，韩国国家人权委员会建议本国不要披露过于详细的信息。[4]囿于法文化的差异，世界各国在数据的收集、使用过程中遵循不同的理念。西方国家强调私权保护，例如美国政府在对患者及其密切接触者进行技术辅助追踪（Technology-Assisted Contact-Tracing）时，需遵循“自愿原则”，即公民可以“在上传之前有选择地编辑日志，可以追溯性地标识他们不想上传的特定时间段”。[5]这种做法固然有利于保护自然人的隐私权，但是在疫情防控领域中作用明显受限。由于各国对个人信息披露的程度不同，很难在国际范围内寻求一种统一的信息披露原则。根据我国实际，个人信息披露应确立以下三项原则：

（一）风险预防原则

预防原则是应对突发事件时通常采用的原则，意指在人们对风险及其可能造成的结果认知不足的情况下，预先采取预防性措施以避免严重的损失。疫情防控中对确诊病例、密接人员的追踪和隔离即属预防原则的体现，这一原则是疫情期间诸多临时性应急管理措施的合法性基础。风险预防与个人信息披露之间的关系在于，风险预防机制造成了信息不对称，[6]自然人个人不具有相应的技术能力去衡量自己所处环境的安全性，[7]因而必然要求政府就相关问题进行信息披露。

（二）比例原则

比例原则是公法上的重要原则，意指行政机关在行使裁量的时候，应当平衡其所追求的目的和为追求该目的所采取的手段给个人的权利、自由与利益所造成的损害。[8]比例原则强调手段和目的的相稱性，即在达成合法目的的基础上应当选择对相对人影响最小的手段。就个人信息披露来说，按照比例原则，不论是披露的内容，还是披露的形式都要遵循“最小够用”的基本要求，尽可能小地影响公民的私权利。

（三）专业性原则

疫情防控和个人信息的收集、披露均属专业性问题。不论是比例原则还是风险预防原则，在适用过程中都需要进行专业上的衡量和评估，例如在数据开始处理之前应当进行影响评估，通过技术上的设计确保隐私权不被侵犯，并采取适当的措施来保护数据的安全性。[9]专业性原则是其他原则的基石，也是突发事件应对过程中相对独特的原则。

二、我国疫情防控中的个人信息披露实践

由于缺少统一的制度规范，各地做法不一。横向看，各省级行政区划之间信息披露内容各异;纵向看，省级区划与地市级区划之间就信息披露的内容也存在差别。本文获取并分析了疫情期间，除湖北省外包括港澳台在内的33个省级地方卫生行政机关在官方媒体对确诊病例信息的公开情况。经分析发现，我国卫生行政部门在个人信息披露实践中存在如下特点：

（一）个人信息披露具有强制性

通常情况下，自然人有权将自己的身份信息以及行程轨迹设定为隐私事项而不被第三人知晓。按照《信息安全技术——个人信息安全规范》标准，个人信息控制者须“向个人信息主体明示个人信息处理目的、方式、范围等规则，征求其授权同意”，然而，基于疫情防控的需要，这一规则很难实现，因为自然人的身份信息、行程轨迹必须向流行病学调查工作人员公开，必要的时候还须通过一定的形式向社会披露。信息披露的强制性不仅体现在针对确诊患者以及密切接触者的流行病学信息调查中，部分单位、社会组织还以建立“台账”的形式强制要求所有人员将个人身份信息、行程轨迹等上传，事实上也构成了对自然人个人信息权益的限制。

（二）个人信息披露的标准不统一

1.基础信息公开成共识。在样本中，关于年龄和性别信息的披露是最没有争议的，所有的省份均将确诊患者年龄和性别做了公开。由于年龄信息和性别信息都不足以确定相关人员的身份，因而这些信息通常是可以公开的。但是，如果这些信息与其他信息结合起来能够确定相关人身份，那么这种信息披露就是不合理的。

2.流行病学信息的披露较无争议。理论上，流行病学信息应是披露的重点，例如确诊患者的症状、疫区接触史、确诊前的行程以及病例间的关联等。这些信息在地方卫生行政机关的信息披露中都是存在的（表1），争议不大。但仍存在值得思考的问题，理论上，个人的行程信息属于隐私事项，因为“每个公民的定位信息和行程信息都是不一样的，这些信息能够体现出该公民的个人特性，都属于该公民所有” ，[10]既如此，患者的行程等信息就不应当被精确公开。因此，虽然各地方对此类信息披露的分歧不大，但是这并不意味着流行病学信息的披露问题不重要，相反地，争议不大这一现实可能恰恰反映了各地方对该问题的忽视。

以确诊前行程以及疫区接触史为例，在调查样本中，大部分地区以较为模糊的表述方式进行披露，例如“赴武汉探亲，后因发烧到某医院就诊”，这种表达方式笼统地说明了可能的感染途径。但是，实践中也不乏详尽列举式的信息披露方式，有的地方将确诊病例的行程信息做详尽的列举，包括具体的出行时间、出行方式以及经停地点等等。这种信息披露方式虽然最大程度上满足了社会公众的知情需求，但是，是否合理仍存在讨论的空间。

3.非关键信息争议较大。在调查样本中，与疾病防控关系并不紧密的非关键信息存在较大的争议，例如确诊患者的姓名信息、职业信息以及居住地信息。这些信息是否有必要公开在实践中存在不同的观点，各地做法不一（表2）。

从疾病预防的角度上看，确诊患者的姓名、职业都不是关键信息，至于现居住地，虽然与密切接触者的调查相关，但由于其与个人身份密切相关，不宜进行披露。但是，从统计数据上看，在调查的33个省级地方，有12个地方披露了确诊患者的脱敏后的姓名信息，即保留了姓氏。在部分地方，如北京、上海、广东以及港澳台等，姓氏均未作为可公开事项，通常以病例编号作为代称。就现居住地信息来说，披露相关信息的地方较多，比例高达66.7%。而且值得注意的是，部分地区就现居住地的信息披露非常具体，甚至部分确诊病例的现居住地信息可以精确到社区、村。如果将现居住地信息与姓氏、性别和年龄信息相结合，社会公众能够较为容易地确定患者身份，这就极容易侵犯公民的隐私权。

（三）个人信息披露的方式网络化

信息技术的发展为个人信息披露提供了诸多平台，各地卫生行政部门通过其官方网站、官方微博等多种途径向社会披露相关信息。网络化的披露方式固然简洁有效，不过其弊端也很明显，相关信息一旦披露就会“失控”，这些信息很快会被自媒体加工、二次转发，其传播范围是不可控的。在疫情防控实践中，信息传播、披露范围的不可控已经展现出诸多弊端，如沈阳尹老太太网暴事件、成都确诊患者孙女被人肉事件都与个人信息披露不当有关。一方面，如果必须透露行程信息，合理的做法应该是将身份信息和行程轨迹信息解绑;另一方面，卫生行政部门如果能够通过线下的流行病学调查手段找到密切接触者，那么就完全没有必要通过网络渠道就行程轨迹等信息进行精准公开。卫生行政机关应该认识到，一旦信息上网、传播，其后续发展往往是不可控的，对相对人名誉、隐私的危害不是删除原始信息、辟谣等操作能够弥补的。

三、我国疫情防控中个人信息披露实践存在的问题

经过上述分析不难发现，我国各地方在信息披露的内容、方式等方面之所以存在较大差异，除立法上的缺失之外，司法机关对于实践中的法制不统一也似乎“噤声”了。具体说来，我国疫情防控中针对个人信息披露实践，司法层面存在如下问题：

（一）临时性应急管理规范的法律监督不到位

疫情期间，诸多地方的立法机关授权县级以上人民政府制定临时性应急管理措施，这些措施仅需报同级人大常委会和上一级人民政府备案即可。这种较为宽泛的授权模式和较为宽松的备案审查机制造成了各地实践极不统一。应急管理需要强有力的行政权，但是行政权的行使不是没有限制的。从个人信息披露这一制度的实践来看，临时性应急管理规范的检察监督有待进一步加强。针对个人信息的收集、处理，更多的是行政机关内部的监督，例如中央网信办通过发布通知的形式要求各地方加强个人信息保护，极少看到针对相关应急管理措施的司法监督，尤其是检察监督。

（二）常态化、动态化监督机制缺位

随着防疫形势的变化，应急管理措施的必要性、合理性也不断变化。与之相应，应急状态下，法律原则的适用也是动态的。以比例原则为例，在信息安全领域，该原则体现为“只处理满足个人信息主体授权同意的目的所需的最少个人信息类型和数量”（GB/T 35273-2020），实践中，由其确立的标准实际上是变化的，在社会公众对疫情形势的认知严重不足的情況下，防控机关提供较为详细的个人信息在一定程度上是符合比例原则的，但是当社会公众对疫情有了较为充分的认识之后，信息披露的必要性也就相应减弱，如果再继续采用原有模式就违背比例原则的要求。为应对不断变化的疫情管控措施，一种常态化、动态化的监督机制就成为必选项。不过，实践中明显缺少这种监督机制，立法机关对相关措施的备案审查机制难以实现动态化评估，而司法机关也未以疫情应对为契机对应急状态下的法律监督机制做出完善。

（三）事后救济机制不完善

虽然相关法律法规中已经存在关于个人信息权益保护的内容，但是与之相关的救济机制则并不完善。一方面，由于个人信息立法尚不完善，公民甚至防控机关对个人信息相关权益的认知都是不足的，因而救济机制也缺少基础，以“被遗忘权”为例，其意指“数据主体有权要求控制者无不当延迟地删除其个人数据”的权利，[11]我国《个人信息保护法（草案）》第47条便规定在“约定的保存期限已届满或者处理目的已实现”的情况下，信息处理者应当主动或者根据个人的请求，删除个人信息。就疫情防控来说，当密切接触者已经全部找到或者确诊患者已经治愈时，相关信息便应当删除，但实践中有不少地方仍将疫情初期的确诊患者信息置于官网之上。另一方面，疫情背景下的权利救济问题面临新挑战，在强大的行政应急权力面前，单个自然人显然缺少与之“抗衡”的能力，单纯依靠公民事后提出权利救济主张并不现实。简言之，在某些情况下，单个自然人未提出权利救济主张并不意味着权利不需要救济，司法机关尤其是检察机关应当更加积极地介入到个人信息权益的救济之中，但是，实践中相关制度仍需进一步完善。

四、检察监督对个人信息的保护

论及个人信息披露制度的完善，必然会触及立法、司法、执法等诸多方面。在立法层面，出台专门的个人信息保护法是完善相关制度的前提。目前我国《个人信息保护法（草案）》已进入提请审议的阶段，作为个人信息保护的基本法律，它无疑能够为个人信息权益的保护提供法律依据。但是，需要指出的是，《个人信息保护法（草案）》的内容虽然已经较为全面，但它并不以“危机管理”为出发点，在紧急状态下，该草案中规定的相关规则如何适用仍值得进一步完善。我们认为，《个人信息保护法（草案）》应当就突发事件应对过程中的个人信息收集、处理设专章规定，即在应急管理层面将个人信息披露的基本规则（披露的权限、程序、权利救济等内容）加以特别规定。立法上的完善固然重要，但并不是本文讨论的重点，本文仅就检察机关在重大疫情等非常态下如何保护个人信息权益加以探讨。具体说来，检察机关应当在透过如下几种形式强化法律监督。

（一）临时性应急管理规范的法律监督

由于《个人信息保护法》尚未出台，疫情期间的个人信息收集、处理在很大程度上以地方的临时性应急管理规范为基础。赋予地方行政机关以应急管理权限是有效应对突发事件的需要。但是，紧急状态下的规范性文件之制定也需要进行合法性监督。由于应急管理具有临时性、多变性的特点，规范性文件中的社会管制措施是否具有必要性、是否符合比例原则需要一种持续性的审查、监督。立法机关固然有权就相关规则进行审查，但是欲实现一种持续性、动态化的监督仍需强化司法监督的职能，而针对应急管理规范的司法监督职能毫无疑问地应当落到检察机关身上。实际上，部分地方也早已建立行政规范性文件的合法性审查府院衔接机制。就疫情期间的个人信息保护来说，检察机关无疑应当通过事前介入、事中监督的方式就疫情防控机关收集、处理公民个人信息的相关规范进行审查，如发现存在违背比例原则、正当程序原则等基本法律原则的情况，应当及时向相关机关提出检察意见，以及时发现和纠正相关问题。

（二）个人信息保护的检察建议

在对规范性文件的法律监督之外，检察机关亦须就疫情防控机关的个人信息披露活动进行监督。检察机关就个人信息保护问题提出检察建议并不鲜见，不过在疫情等突发事件应对过程中应如何实现检察监督职能则需要探讨。确实，在应急管理过程中，司法权需要保持一定程度的谦抑性，但这并不意味着应急管制措施不受司法审查。疫情防控期间，自然人个人信息的收集、披露带有明显的强制性，一旦疫情防控机关在执法活动中存在不合理、不合法的情况，自然人个人显然难以通过诉讼等形式去维护自己的合法权益。而且，个人信息收集、披露行为的对象往往人数众多，大部分人对带有瑕疵的个人信息披露行为“忍气吞声”或者根本不知道自己的相关权利被侵害。这一现实要求检察机关及时发现相关部门在个人信息收集、处置过程中存在的问题，并及时制发相应的检察建议。

（三）个人信息保护公益诉讼

面对信息化时代的挑战，通过检察公益诉讼保护个人信息的呼声不断高涨。《个人信息保护法（草案）》中也就这一问题做了规定，即在“个人信息处理者违反本法规定处理个人信息，侵害众多个人的权益”时，“人民检察院、履行个人信息保护职责的部门和国家网信部门确定的组织可以依法向人民法院提起诉讼”。检察机关就违法侵害自然人个人信息权益的行為提起公益诉讼虽然是一种事后的救济方式，但是作为公益诉讼，它无疑具有重要的示范效应和教育意义。当然，应急状态下的公益诉讼以及针对应急管理活动的公益诉讼对于理论和实践来说都是新课题，需要法律人进一步探究。