疫情期间收集公民信息，损害隐私权吗？

大数据时代，对于信息的处理呈现出速度快、时效高等特点。但同时，数据处理技术的变革也对人类驾驭数据的能力提出了新的挑战，信息安全问题日益重要。

此次疫情期间，公共行政领域通过对信息的采集、利用等极大地提高了对疫情的治理能力，但也出现了很多信息非法采集、肆意泄露公民信息、法律监管缺失、责任主体不到位、公民权利救济不足等尖锐问题，很大程度对公民个人权利造成了不法侵害。因此，通过加强个人信息保护、限定信息收集范围、明确责任主体，兼顾权力与利益平衡、严格执法程序等措施积极保障我国公民权利，对促进我国法治化道路的建设有积极意义。

【背景及意义】

2020年的春节，因新冠状病毒疫情的爆发而变得格外漫长。为了战胜疫情，防止疫情的扩散，各地采取了“封城”、“关停”、“禁止令”、以及依靠数据技术进行的人员信息的登记追踪等强制措施。这些措施对于整个疫情防控有着至关重要的作用。信息互通所带来的优势是有目共睹的，然而，因一些处理措施的不当也造成了一定的社会问题。例如疫情期间，公民的个人信息被强制收集后在网络上大量传播，使得公民个人电话号码、生活轨迹等完全暴露在公众视野，对公民的生活和人身安全造成了很大的隐患，严重侵犯了公民个人信息权、隐私权。这些不合理、合法的行为所造成的损害结果的出现，归根结底是整个社会法治意识的缺失和监管措施的不到位。

面对大数据时代下，疫情防控期间个人信息的被肆意公开化、被滥用共享等问题，对国家治理能力提出了新的考验，如何挣脱传统治理思维的禁锢，疏通治理体系的脉络，提升治理能力的效能，更好地行使行政权力以保护公民个人权利，是值得我们深刻思考的问题。

一、公民个人信息的法律界定
（一）个人信息的法律概念

《民法总则》第111条规定“自然人的个人信息受法律保护”。虽然该法条涉及个人信息，但并没有明确个人信息的具体内容。《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第1条规定“公民个人信息，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。”《网络安全法》第76条第5项规定:“个人信息，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等。”另外，国家质量监督检验检疫总局和国家标准化管理委员会联合发布的国家标准GB/T 35273-2017《信息安全技术个人信息安全规范》将个人信息定义为“以电子或以其他方式记录的能够单独与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息”，包括“姓名、出生日期、身份证件号码、个人生物识别信息、住址、通信联系方式、通信记录和内容、账号密码、财产信息、征信信息、行踪轨迹、住宿信息、健康生理信息、交易信息等”。国家质量监督检验检疫总局和国家标准化管理委员会在之前法律法规的基础上，新增加“个人敏感信息”的概念，即“一旦泄露、非法提供或滥用可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或歧视性待遇的个人信息”①。这足以证明我国对于个人信息的具体内容的规定越来越变得细致化。

（二）公民个人信息的分类

按照国家发布的《个人信息安全规范》和《个人信息保护指南》，个人信息可分为一般个人信息和敏感个人信息，其判断的依据是因后者泄露所带给用户财产与精神利益的严重的后果轻重②。其中个人敏感信息的范围为：电话号码、身份证号、住址、病情、银行账号、交易和消费记录、网页浏览记录等；这些敏感信息一旦被泄露、非法提供或滥用可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或歧视性待遇等的个人信息。除去个人敏感信息外，则为个人一般信息的范围。

二、防疫期间收集公民个人信息的法理依据
我国《宪法》第51条规定“中华人民共和国公民在行使自由和权利的时候，不得损害国家的、社会的、集体的利益和其他公民的合法的自由和权利。”从宪法的这一规定可以得到，我国任何公民在保障自己的权益都不能损害国家、社会、集体和其他的利益。也就是说在疫情防控期间，也应当遵守这一规定。《传染病防治法》第12条、第33条，卫生行政部门及相关部门、疾病预防控制机构、医疗机构有权在发现传染病疫情后进行信息调查收集。以及《突发事件应对法》第38条、《突发公共卫生事件应急条例》第21条、第36条、第40条，作单位、订单商品名称、数量及金额等，这是指除个人敏感信息以外的个人信息。国务院卫生行政主管部门或者其他有关部门指定的专业机构、单位和个人以及街道、乡镇、居民委员会、村民委员会也有权进行疫情信息的采集。国家新颁布的GB/T 35273-2017《信息安全技术个人信息安全规范》也明确“与公共安全、公共卫生、重大公共利益直接相关的，个人信息控制者收集、使用个人信息无需征得个人信息主体的授权同意。”②以上相关法律都支持了新冠肺炎疫情期间相关机构出于防控疫情的目的依法采集、公布相关人员信息的合法性。

2020年2月4日，国家网信办出台《关于做好个人信息保护利用大数据支撑联防联控工作的通知》，对如何在疫情防控中兼顾个人信息的保护与利用进行了明确。该通知规定，有权收集使用个人信息的主体范围限于国务院卫生健康部门依《中华人民共和国网络安全法》、《中华人民共和国传染病防治法》、《突发公共卫生事件应急条例》授权的机构和法律、行政法规授权的其他单位和个人。

三、疫情防控期间收集公民个人信息存在的问题
（一）收集个人信息主体缺乏法律监管

《传染病防治法》第12条、第33条，卫生行政部门及相关部门、疾病预防控制机构、医疗机构有权在发现传染病疫情后进行信息调查收集。《突发事件应对法》第38条、《突发公共卫生事件应急条例》第21条、第36条、第40条，国务院卫生行政主管部门或者其他有关部门指定的专业机构、单位和个人以及街道、乡镇、居民委员会、村民委员会也有权进行疫情信息的采集。

但是，在疫情期间往往出现超出法律法规的主体在公开搜集个人信息，例如：各大商铺及其他人流量较大的私营机构，同时，适格主体也并没有进行专人专管专人负责等保护性措施，严重缺乏对被征集个人信息的保护监管。

（二）公民个人敏感信息公开强制收集

根据《关于做好个人信息保护利用大数据支撑联防联控工作的通知》规定信息收集对象的范围原则上限于确诊者、疑似者、密切接触者等重点人群，一般不针对特定地区的所有人群，为疫情防控、疾病防治收集的个人信息，不得用于其他用途。

但实际上，在疫情期间被确诊或疑似人员的个人信息被大肆曝光，在隐私权利受到侵犯的同时，人身安全和财产安全等权利也面临挑战。

（三）被收集个人隐私信息被肆意公开

任何单位和个人未经被收集者同意，不得公开姓名、年龄、身份证号码、电话号码、家庭住址等个人信息，因联防联控工作需要，且经过脱敏处理的除外。

此类问题主要表现在基层自治组织较为明显，为方便办公需要，但不注意保密，经常通过非公网站以及微信群等方式向不特定群体泄露他人信息。

（四）被收集个人信息后期缺失保护性

公民信息被收集后，公民个人很难针对该信息的流向进行透明化监督，行政机关及基层自治组织很难保证在整个过程中，被非法窃取和保存，以及造成信息被盗后的次生灾害的发生，因此，急需一整套相关的后期保障措施。

（五）公民个人信息权利保护意识不强

由于我国公民的整体法治化意识还不是很强，以及部分授权性质行政人员的法治意识也较为落后，造成对个人信息权利的重视度不够，很难在事前预先做好防范，很容易造成事后救济延迟。

四、加强行政权力的正当、合法行使以保护公民信息
（一）明确主体责任，监管制度保驾护航

一方面需要针对疫情期间的行政主体进行相关的责任划分，另一方面也需要配套的监督制度来进行保障，使得法治化的道路越走越宽敞。

（二）限定收集范围，匿名分类专人收集

首先需要对人群分类、收集内容、利用范围进行限定，加强对行政权力的制约，其次，要在内部制度进行完善，对负责保密事务的人进行专人专管和长期负责机制。

（三）严格信息使用，依法打击非法公开

1.加强对授权单位的监管

根据《传染病防治法》第十二条，疾病预防控制机构、医疗机构不得泄露涉及个人隐私的有关信息、资料。根据该法第六十八条， 疾病预防控制机构故意泄露传染病病人、病原携带者、疑似传染病病人、密切接触者涉及个人隐私的有关信息、资料的，由县级以上人民政府卫生行政部门责令限期改正，通报批评，给予警告；对负有责任的主管人员和其他直接责任人员，依法给予降级、撤职、开除的处分，并可以依法吊销有关责任人员的执业证书；构成犯罪的，依法追究刑事责任。根据《执业医师法》第三十七条，医师在执业活动中，泄露患者隐私，造成严重后果的，由县级以上人民政府卫生行政部门给予警告或者责令暂停六个月以上一年以下执业活动；情节严重的，吊销其执业证书；构成犯罪的，依法追究刑事责任。根据《侵权责任法》第六十二条，医疗机构及其医务人员应当对患者的隐私保密。泄露患者隐私或者未经患者同意公开其病历资料，造成患者损害的，应当承担侵权责任。根据《居民身份证法》第十九条，国家机关或者金融、电信、交通、教育、医疗等单位的工作人员泄露在履行职责或者提供服务过程中获得的居民身份证记载的公民个人信息，构成犯罪的，依法追究刑事责任；尚不构成犯罪的，由公安机关处十日以上十五日以下拘留，并处五千元罚款，有违法所得的，没收违法所得。单位有前款行为，构成犯罪的，依法追究刑事责任；尚不构成犯罪的，由公安机关对其直接负责的主管人员和其他直接责任人员，处十日以上十五日以下拘留，并处十万元以上五十万元以下罚款，有违法所得的，没收违法所得。有前两款行为，对他人造成损害的，依法承担民事责任。

2.加大对未经授权的单位和个人的打击力度

根据《治安管理处罚法》第四十二条，偷窥、偷拍、窃听、散布他人隐私的，处五日以下拘留或者五百元以下罚款；情节较重的，处五日以上十日以下拘留，可以并处五百元以下罚款。2020年1月29日，山西晋城市陈某收到身为医护人员的家人发来的一名发热患者个人及病历信息的图片后，随即将图片发至微信群，误导网民以涉疫病例大量转发，被依法处以行政拘留十日。根据《网络安全法》第六十四条， 网络运营者、网络产品或者服务的提供者违反本法第二十二条第三款、第四十一条至第四十三条规定，侵害个人信息依法得到保护的权利的，由有关主管部门责令改正，可以根据情节单处或者并处警告、没收违法所得、处违法所得一倍以上十倍以下罚款，没有违法所得的，处一百万元以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款；情节严重的，并可以责令暂停相关业务、停业整顿、关闭网站、吊销相关业务许可证或者吊销营业执照。违反本法第四十四条规定，窃取或者以其他非法方式获取、非法出售或者非法向他人提供个人信息，尚不构成犯罪的，由公安机关没收违法所得，并处违法所得一倍以上十倍以下罚款，没有违法所得的，处一百万元以下罚款。

（四）加强后期保护，确保信息专人专管

通过后期制度的完善，使得公民在履行义务的同时没有了后顾之忧，这样才使得我国的法治化道路更加开阔。

（五）完善立法体系，加大法治宣传力度

由于此次疫情暴露出，我国的公民法治意识还不是很强，因此很有必要加大对公民的法治化教育和宣传，要让公民守法的前提是需要公民懂法，要让公民懂法是为公民用法，同时也为了监督行政权利，防止权利的滥用。