疫情防控中的个人数据处理规则

　　数据强制收集和处理的前提是收集主体符合适格性的要求，即要么是负责传染病防控的公权力机关，要么是有数据处理能力和安全保障能力的受托机构。

　　根据《中华人民共和国传染病防治法》，各级人民政府、卫生行政部门、疾控机构和医疗机构承担传染病的预防与救治工作，县级以上人民政府其他部门在其职责范围内负责传染病防治工作，居委会、村委会负责组织社区和农村的传染病预防与控制活动。任何机构和个人都必须接受前述传染病防疫主管机构有关传染病的预防和控制措施，如实提供有关情况。并且，传染病防疫主管机构不得泄露涉及个人隐私的有关信息。因此，传染病防疫主管部门作为法定有权机关，是最重要的数据收集主体。

　　实践中，还广泛存在学校与企业要求学生和劳动者每日进行健康数据打卡的情况，这类主体是否属于适格主体不能一概而论。一方面，学校和企业收集个人数据的行为具有一定的必要性。因为两者只有充分掌握了有关人员的健康情况与地理位置才能科学研判开学和复工的可能性和风险性，并且它们还有保护学生与劳动者在校/岗期间健康不受侵害的义务。另一方面，学校和企业却并非法定的传染病防控主体，其权力的行使应当限于保障学校和工作场所安全的范围。在公权力机关尚未推行统一的健康码的情况下，前述主体可以以疫情防控为由单独收集个人数据。在健康码推行以后，尽管个人应当积极努力配合学校与企业采集有关数据，但学校和企业不得以个人未单独向其提供数据为由拒绝承认健康码的效力。对于商场、公共停车场而言，前述规则同样适用。

　　由于防疫主管部门往往缺乏数据收集和处理的技术能力，因此实践中它们需要委托专门的数据平台开展数据收集、分析和整合工作，各地健康码基本都依托于支付宝平台和微信平台搭建就是很好的例证。数据的委托处理是数据控制者技术局限性的必然结果，这同时也代表着数据泄露和非法利用的风险，因此应当遵循严格的行为规范。包括：一要明确政企责任，在发生数据安全事件的情况下，作为委托人的政府应当承担相应的责任。二要进行事前安全评估，在数据的委托处理前，政府应当充分评估受托方的安全水平与技术能力。三要加强数据监管措施，包括以合同的形式明确约定受托方的义务和责任，以及对受托人展开定期的数据监督和审计工作。

　　无论是数据的收集行为还是分析加工行为，都应当服务于疫情防控和救治的目的。所谓“名不正则言不顺，言不顺则事不成”，任何主体都不能打着疫情防控的幌子，行非法之事。因此，目的合法是紧急状态下个人信息处理的基础性原则。例如，黎女士隐瞒病情从美回国的行为虽然应当受到处罚，但是有的自媒体将其教育经历、工作情况、家庭住址照片发布到网络上，这明显不是出于抗击新型冠状病毒肺炎疫情的目的，同时也超出了必要的限度，可能构成对个人隐私的侵犯。

　　数据的收集和处理还应当遵循时间必要和范围必要的原则。数据控制者没有必要也不应当收集和披露超过必要观察时间的数据。此外，公开披露的内容也应当限于防控所必须的范畴。例如，疫情小区信息与确诊患者的个人隐私信息应当分别披露。一方面，分开披露病患活动轨迹与小区信息既能够达到提示潜在接触者感染风险的目的，也可以使小区工作人员和其他住户加强隔离和保护措施，防止聚集性感染。另一方面，如果不加考虑地将两者同时披露，不仅无助于提高防疫有效性，还很容易使小区邻居根据披露的信息识别到特定主体，从而引致病人及其亲属被歧视、辱骂等难以处理的后果。每个人都有几率会成为那个“不幸的”被感染者，过度披露只会导致他们的压力和负担。所以在披露个人数据时，在满足公众必要知情权的前提下，还应当尽可能地兼顾个人权益的保护。

　　数据控制人负有保护信息安全的义务，如果因其行为不当导致损害发生的，数据控制人应当承担对应的责任。《中华人民共和国传染病防治法》明确规定了，疾病预防控制机构和医疗机构故意泄露与病人隐私相关的信息和资料的，不但可以责令该机构限期改正，还可以追究直接责任人员的行政责任和刑事责任。同时，受托处理企业也应当在委托范围内处理有关数据，不得私自留存、加工收集到的数据。如果受托企业存在违法或者违约行为的，应当承担对应的赔偿相应的责任，构成犯罪的，依照法律来追究刑事责任。

　　为了减轻重复收集行为给个人带去的负担，打破数据壁垒，各省市的防疫部门和医疗机构之间都纷纷推行了数据共享机制，如广东、四川、重庆的健康码互认。数据共享可大致分为两类情况：一是在前述适格主体之间共享，如在参与疫情防控的卫生行政部门、疾控机构和医疗机构之间交流使用。在不存在技术障碍的情况下，此类共享无须特殊的授权许可，但双方应当清楚记载数据来源、数据共享目的和共享范围等内容。二是在适格主体与非适格主体之间共享，应当以必要为原则。例如在小区业主受到感染的情况下，卫生行政部门可以为了公共卫生安全的目的向物业服务机构共享必要的病人数据。

　　各级卫健委负责每日向社会公开披露前日的疫情情况，包括新增人数、确诊患者轨迹等。为了平衡个人隐私信息的保护，卫健委应当充分开展信息安全影响评估，准确记录和存储个人隐私信息公开披露的情况，贯行权责一致的要求。此外，公开披露的内容也应当以必要为限，个人的生物识别信息、种族、民族、政治观点、宗教信仰等敏感数据属于绝对禁止披露的范畴。

　　冬天总会过去，春天总会到来。疫情结束后，除非为了科学研究和流行病统计的目的，数据控制人和数据处理人理论上应当及时删除相关的个人数据。同时，我们大家可以借鉴欧盟《一般数据保护条例》关于被遗忘权的规定，赋予数据主体在数据处理已非必要的情况下请求删除此宗数据的权利。被遗忘权体现了一种动态的利益平衡，在初期有较高披露、处理和使用价值的数据，跟着时间的推移其公开价值远低于由此给数据主体带来的不利影响，数据主体由此能够请求删除有关数据。经此一疫，那些坚强的患者已经经历了身体上的折磨，我们不应让他们在精神上还持续地活在疫情的阴影中。因此，疫情结束后，病人应有权要求网络站点平台删除与其相关的公开数据。