疫情法规解读：网络安全之个人信息保护

 文：王琮玮

新冠状病毒肺炎疫情出现以来，部分公民个人隐私遭到泄露，在微信群内得到大量的转发传播，在很大程度上影响了公民的日常生活。尤其武汉返乡人员自疫情加重以来，记载他们身份证号码、家庭住址、电话号码等个人信息的EXCEL表格，经业主物业群、工作群、朋友圈、微博等传播渠道得到扩散，加上社会的恐慌情绪，这些人犹如“流浪汉”，回不了家，进不了社区，似乎被社会“嫌弃”。

网上有声音认为，目前武汉新型病毒肺炎肆虐，情况特殊，要重点监控从武汉出来的人员，已经不是谈个人隐私保护的时候。可是，正如这些武汉返乡人员的心声：“武汉返乡人员是应该被重点关注，但是我们从武汉返乡不是罪人。”这一句特别触动，个人认为保护武汉返乡人员及新冠病毒肺炎患者的个人信息刻不容缓。

关于“公民个人信息”，《民法典草案》第1034条规定，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱地址、行踪信息等。 

现行《民法总则》第111条：自然人的个人信息受法律保护。任何组织和个人需要获取他人个人信息的，应当依法取得并确保信息安全，不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他 人个人信息。《民法典草案》第四编人格权第六章专门规定了隐私权和个人信息保护，收集个人信息要征得同意为原则；《最高人民法院关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》首次从司法解释层面，明确了个人信息的法律内涵及侵权责任承担方式；《全国人民代表大会常务委员会关于加强网络信息保护的决定》、《信息安全技术：个人信息安全规范》均规定了个人信息保护有关规范；《网络安全法》第76条采取概括加列举的方式规定了个人信息的法律内涵；《中华人民共和国电子商务法》规定了电子领域个人信息保护原则。

刑事法律层面，《刑法修正案（七）》首次将非法获取和提供个人信息入罪。此后《关于依法惩处侵害公民个人信息犯罪活动的通知》、《刑法修正案（九）》明确放宽了侵犯公民个人信息罪的主体范围。

行政法律保护层面， 2015年新修订的《中华人民共和国行政诉讼法》第2条间接对公民在行政机关侵犯个人信息利益时可以提起行政诉讼作出了规定。在行政监管方面，涉及《互联网广告管理暂行办法》、《网络出版服务管理规定》、《网络借贷信息中介机构业务活动管理暂行办法》、《移动互联网应用程序信息服务管理规定》等等，都对个人信息提出保护原则。

此外，中央网信办将个人信息保护标准作为研究制定的重点，推动发布了《个人信息安全规范》《大数据服务安全能力要求》等国家标准，组织制定移动互联网应用程序收集个人信息基本规范等标准草案，并在国家标准GB/T35273《个人信息安全规范》中，提出了个人敏感信息这个概念，以此区别于个人信息。

显而易见的是，从个人信息的定义来看，武汉返乡人员及新冠病毒肺炎患者的姓名、身份证件号码、通信通讯联系方式、住址、行踪轨迹等都是“公民的个人信息”，是属于民事、刑事、行政等各方法律保护的合法权益，是人格权和隐私权的具体体现。

按照《突发公共卫生事件应急条例》(2003年制定)第三章“报告与信息发布”中的第21条规定：任何单位和个人对突发事件，不得隐瞒、缓报、谎报或者授意他人隐瞒、缓报、谎报。《传染病防治法》(2013年修订)总则第12条规定：在中华人民共和国领域内的一切单位和个人，必须接受疾病预防控制机构、医疗机构有关传染病的调查、检验、采集样本、隔离治疗等预防、控制措施，如实提供有关情况。疾病预防控制机构、医疗机构不得泄露涉及个人隐私的有关信息、资料。作为征集武汉返乡人员保护新冠病毒肺炎患者个人信息的主体，主要包括地方教育部门、公安部门（掌握铁路、航空等实名信息）、基层工作人员等，他们征得了自然人或者监护人的同意，通过基础填表信息收集、大数据支持等方式建立了武汉返乡人员和新冠病毒费用患者的基础个人信息，并将已经掌握的信息转用于疫情监测、防控和感染源的隔离等目的。这是面对疫情，从大局出发，大家按照要求配合体检、如实填报个人信息，这是大家对这场疫情阻击战做出的权利让步，正确处理了个人利益和国家公共卫生安全利益的之间平衡关系，共度疫情难关。

但是在实际操作过程中，因为个人信息保护意识不强、微信、微博方式方便联系等因素影响，个人信息泄露明显，引发了疫情负责单位对于配合调查个人进行安全检查的行为势必会引发与配合人员隐私权保护之间的冲突。

按照一般规则来说，武汉返乡人员及新冠病毒肺炎患者的个人信息，应当属于个人敏感信息，一旦泄露，会产生两个方面的影响，一是泄露后的非法使用，有可能涉及他们的人身财产安全，很多武汉返乡人员已经受到了来自培训机构、诈骗中介等各方面的骚扰，而最严重的是武汉返乡人员遭遇到的歧视待遇，不让住酒店、不让登记等等所有涉及个人息息相关的权益都遭遇了抵制；二是疫情突发状况下的社会稳定受到了威胁，谈“武”色变，一旦这些重要数据泄露，可能直接影响社会稳定、公共健康和安全。

“目前出于防控疫情的需要，武汉返乡人员登记个人情况，政府掌握这些信息并采取一定措施，符合法律规定的比例原则，但是要让全社会都掌握这些信息则显得没有必要。” 中国政法大学法治政府研究院教授林鸿潮说。

什么是比例原则？即指行政权力的行使除了有法律依据这一前提外，行政主体还必须选择对人民侵害最小的方式进行。其核心在于通过目的与手段间的衡量，兼顾国家、社会及公共利益，同时又不妨害第三人的权利，确保基本人权的实现。

超过了这个比例原则，无限制地扩散个人信息，甚至没有匿名化的前提下，用于社会媒体或者自媒体，极易引发新的社会恐慌。按照《传染病防治法》第68条第5项的规定:故意泄露传染病病人、病原携带者、疑似传染病病人、密切接触者涉及个人隐私的有关信息、资料的，对负有责任的主管人员和其他直接责任人员，依法给予降级、撤职、开除的处分，并可以依法吊销有关责任人员的执业证书;构成犯罪的，依法追究刑事责任。最高法院2014年8月1日颁布的《关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》第12条指出，网络用户或者网络服务提供者利用网络公开自然人基因信息、病历资料、健康检查资料、犯罪记录、家庭住址、私人活动等个人隐私和其他个人信息，造成他人损害，被侵权人请求其承担侵权责任的，人民法院应予支持。

一是加强顶层设计，继续推进相关立法工作。一直以来，公民信息保护的法律规定零散琐碎，缺乏具体的实体与程序规定，无论是实务界还是理论界，都在强烈呼吁《个人信息保护法》的出台。根据立法规划，《个人信息保护法》已经列入2020年的立法议程。原定的法律草案在很大方面已经不能满足现实需求，亟需开放征求意见通道，征集专家、社会意见，以完善细化个人信息保护规则，包括立法目的、法律基本原则、主体资格、程序规定、监督机制、救济措施以及损害赔偿制度等方面，全面系统地实现对公民个人信息的保护。同时，根据此次疫情的发展，进一步完善《传染病防治法》有关个人信息保护的条款，协调处理好个人信息与社会公共利益所需公开的信息之间的动态平衡关系。

二是厘清疫情与一般情况下的个人敏感信息保护边界。个人认为，武汉返乡人员及新冠患者的个人信息属于“敏感信息”，这个敏感信息在普通情形下，依法受到法律法规的保护，须得征得同意方可使用。《网络安全法》第42条第一款对敏感信息有一个匿名的例外规定：“网络运营者不得泄露、篡改、毁损其收集的个人信息;未经被收集者同意，不得向他人提供个人信息。但是，经过处理无法识别特定个人且不能复原的除外。”因此，在应对突发事件涉及公共安全利益、国家利益时，信息控制者主要是政府、医院、科研机构等单位，依靠法律法规要求、职业道德和专业判断来确定哪些个人信息允许被使用或披露，但不得披露给无权使用个人信息的其他主体。

三是提高自律能力，加强个人保护意识。在自媒体时代，我们个人应当转变思路，减少在网络载体和媒体平台上提供更多的个人信息，减少随意点入陌生的网络链接，减少利用人情绑架网上亲朋好友，这应该成为大数据时代每个公民的安全常识，加强自我防范。而对于掌握大数据的政府、科研机构、医疗单位、企业来说，更应当遵循法律法规，合理合法地使用个人所信息所让渡的部分权利，提高职业素养，不在微信群、qq、朋友圈转发涉及敏感内容的信息。也在有条件的情形下，采取技术保护措施、行业标准、自律规范等措施，加强个人信息保护，如可以设立企事业单位内部专员管理制度，监督个人信息在企事业内部的实施、处理等行为，避免侵害个人信息人的权利。

全国律师协会会员、中国法学会会员、中国民主建国会会员、中国注册信息安全专业人员（CISP），具有军工涉密法律服务资格。

北京网络行业协会法律专业委员会副主任、秘书长，中国国际科技促进会军民融合科创中心顾问，清华大学教育基金-英雄文化基金法律顾问等。

1.主要专业方向是网络安全法律服务。服务内容包括：企业网络安全合规、企业网络安全制度建设、个人信息保护、等级保护、企业业务合规、评估等；网络犯罪预防、辩护等。

2.近年来，参与了部分网络安全相关立法工作。并常年为公安部网络安全保卫部门提供立法、执法方面的法律建议和意见。