突发公共卫生事件中个人信息...回应——以新冠肺炎疫情为例_侯宇.pdf

第 25 卷第 1 期2023 年 2 月南京邮电大学学报(社会科学版)Journal of Nanjing University of Posts and Telecommunications(Social Science)Vol25No1Feb.2023【网络社会变革管理】突发公共卫生事件中个人信息保护的行政法回应 以新冠肺炎疫情为例侯宇，沈莹莹郑州大学 法学院，河南 郑州 450001()摘要:在以新冠疫情为代表的突发公共卫生事件中，行政机关为了保护公共利益而限制个人信息权利的行为，获得了在法理基础和法律规范方面的正当性。新冠疫情防控期间，行政机关对个人信息的处理和监管都存在不足。在民法和刑法保护的局限性、行政机关的专业高效性，以及现代法治对权力控制的价值追求的背景下，行政机关承担消极不侵犯和积极保护个人信息的责任显得十分必要。具体来说，行政机关应当受到法律保留、最少必要、安全保障等行政法原则的规制，通过对“限制的限制”，实现个人信息在行政法领域得到充分保护的目的。关键词:个人信息保护;行政法保护;行政限权;基本权利;公共利益中图分类号:D922文章编号:1673-5420(2023)01-004209收稿日期:2022-08-15本刊网址:http:nysknjupteducn作者简介:侯宇，副教授，博士，研究方向:宪法学、行政法学、卫生法学。基金项目:国家卫生健康委员会法规司委托课题“医学新技术临床研究与应用法律问题研究”;河南省卫生健康委员会委托课题“河南省基本医疗卫生与健康促进条例 起草”此处的“处理”与 个人信息保护法 第四条第二款含义相同，即个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等。2020 年年初由新型冠状病毒引起的新冠肺炎疫情(以下简称新冠疫情)突袭全球。党中央迅速采取防控措施，带领全国抗击疫情，保护人民的生命健康安全，这些举措中就包括行政机关对公民个人信息的收集、使用等处理行为。信息化时代，行政机关紧随时代发展，建立了个人信息数据库。在新冠疫情突发的紧急状态下，行政机关为了疫情防控的需要，扩大了个人信息处理的范围。公民基于社会责任会积极配合，自觉让渡个人权利。但是行政机关应当认识到这种让渡不是无限制的，在满足大众知情权的同时，应当注意公民个人才是个人信息的权利人，即使是让渡的权利也应当受到法律保护。因此，在新冠疫情防控工作中，有必要通过对行政机关权力的限制来保护公民个人信息权。DOI:10.14132/ki.nysk.20220913.001一、疫情之下处理个人信息的正当性行政机关作为国家的公权力机关，代表公共利益并掌握公民各方面信息，在应对新冠疫情这一涉及全社会利益的突发事件中，行政机关拥有对公民权利限制的权力，其本质为公权力对私权利的限制。本着宪法 对公民权利保护的原则，笔者认为需要对这种限制的正当性进行探讨。(一)疫情之下处理个人信息的法理基础1生命权优先保护的需要权利克减是为了更好地保障权利 1。我国宪法 虽然在“公民的基本权利和义务”一章中未明确规定“个人信息权”，但是在民法典 和个人信息保护法 中该权利受到保护，且民法典 将个人信息与隐私权保护并列归入人格权编。这表明个人信息与人格权益密切相关，而人格权益中最重要的权利便是生命权。新冠病毒的快速传播对人们的生命安全造成严重威胁，如果行政机关不采取有效措施及时阻断，公民的生命权将无从保障。生命权是一切权利的基础，没有生命权，个人信息权的保护就毫无意义。因此，行政机关在疫情防控工作中扩大限度处理公民个人信息的行为获得了正当性、合理性。2公共利益优先保护的需要当公共利益与个人私益冲突时，应当优先保障公共利益，这不仅是道德层面的主张，更是法律规范的要求。新冠疫情严重危害人民的生命健康，行政机关负有维护正常社会秩序、保障国家公共利益和公民根本利益的责任。有权便有责，有责也会有权，二者往往相互对应。行政机关在承担如此重要的职责时，公权力得到扩张，公民的私权利相应被克减。当个人利益与公共利益发生冲突时，个人利益要让位于公共利益，即“基本权利保障必须让渡部分自由给公共利益，公共利益反哺基本权利保障，这是公共哲学的内在逻辑”1。(二)疫情之下处理个人信息的规范分析我国宪法 第五十一条规定:“中华人民共和国公民在行使自由和权利的时候，不得损害国家的、社会的、集体的利益和其他公民合法的自由和权利。”这是限制公民基本权利的概括性条款，它表示公民行使自身权利时需以不损害公共利益为前提，当然这也可视为对行政机关的限制。只有在实质性的公共利益面前，才能够对公民的权利予以限制。在宪法 的指导下，法律规范也作出相应规定。如传染病防治法 第一条就表明“为了保障人体健康和公共卫生”的公共利益保护目的，第十二条强调了公民在传染病防治中需承担配合调查、检验、采集样本等义务;突发事件应对法 和突发公共卫生事件应急条例 均在第一条中申明以维护公共利益为目的，并在具体条款中列举公民个人在疫情防控中承担信息报告等义务;个人信息保护法 也明确表示在新冠疫情等“突发公共卫生事件或者紧急情况下”，处理个人信息不需要征得信息主体的同意，还规定了在紧急情况下行政机关无须严格34第 1 期侯宇等:突发公共卫生事件中个人信息保护的行政法回应遵循告知程序，甚至可以不告知信息主体。二、疫情之下行政机关处理个人信息的不足之处(一)个人信息收集、公布存在的缺陷1个人信息收集主体类型多样化我国法律规范对新冠疫情防控工作中有权收集个人信息的主体有相关规定，突发事件应对法 规定“县级以上人民政府及其有关部门、专业机构”有权收集突发信息。传染病防治法 规定“疾病预防控制机构、医疗机构”有权收集信息。突发公共卫生事件应急条例规定“街道、乡镇以及居民委员会、村民委员会协助卫生行政主管部门和其他有关部门、医疗卫生机构做好疫情信息的收集”，这表明居民委员会、村民委员会在信息收集中仅是协助者，而商店、企业、防疫程序开发平台等私人主体，都没有被赋予信息收集的权利。在新冠疫情防控工作中，商店、物业公司等主体均在收集公民的个人信息，其中包括身份证号码、电话号码、详细家庭住址等隐私信息。在个人信息保护法 中，信息收集主体的范围较广，对突发公共卫生事件中信息收集主体的范围没有明确规定，这导致公民在配合防疫工作时容易对信息收集主体产生质疑。2个人信息收集、公布范围过大新冠疫情防控涉及公共利益、国家安全，当公共利益与个人利益发生冲突时，个人利益应当作出一定让步，这不仅是法理要求，也是法律的明确规定。实践中的情况复杂多变，存在个人信息被过度收集的问题。为了能快速确认确诊、密接人员，进而保护其他公民的安全，行政机关往往无差别收集公民的电话号码、身份证号码、详细住址、健康状况等信息，甚至包括个人收入等无关信息，这样的信息收集范围明显不合理。为了有效防控疫情，满足公众的知情权，行政机关需要向社会公开相关信息。这些内容往往包含个人敏感信息，这些信息的公开对于疫情防控并没有起到关键性作用，相反还可能影响当事人的正常生活。3个人信息收集程序存在缺陷“正是程序决定了法治与恣意的人治之间的基本区别。”2由于新冠疫情防控工作的特殊性，法律赋予了行政机关处理个人信息的权力，如果没有正当程序对行政机关的实体权力进行限制，那么公民的个人信息安全将无从保障。我国立法历来受“重实体，轻程序”的影响，即使在个人信息保护法 出台之后，对于行政机关处理个人信息也没有给予专门的程序性规定，仅在第三十四条规定国家机关“应当依照法律、行政法规规定的权限、程序进行”，程序的不明确导致新冠疫情防控期间出现了一些处理个人信息的不当行为。在信息收集阶段，一些行政机关工作人员在向公民收集个人信息时，没有遵守或者完全遵守知情同意的原则，对于收集信息的法律依据、收集后的处理方式等问题没有进行详细的44南 京 邮 电 大 学 学 报(社 会 科 学 版)2023 年解释说明。在信息储存阶段，行政机关收集信息的方式多样，有的采用纸质版收集，有的采用微信小程序收集，有的采用官方防疫 APP 程序收集，不同采集方式的信息储存时间、安全性也是不同的。公民无法完全了解和参与信息处理的全过程，容易对个人信息处理方式产生疑问。在信息公开阶段，个人的姓名、电话、身份证号码、行踪轨迹、家庭住址等内容包含敏感信息，在满足大众知情权的同时，也要注意对这些信息进行必要的区分。但是在实践中，尤其是新冠疫情防控初期，有些地区公布确诊人员及疑似(密接)人员的行踪轨迹时，甚至将身份证号码、家庭住址等信息一同公布，这极容易给当事人及其家庭造成二次伤害。(二)个人信息处理缺乏专门的监管机构为了快速有效控制新冠疫情的传播，法律赋予行政机关更广泛的权力，并通过监管限权使其更好地履行职责和义务。个人信息保护法 出台后，将“国家网信部门”“国务院有关部门”“县级以上地方人民政府有关部门”确定为监管信息处理行为的行政机关，这对保护个人信息起到一定的促进作用。但在个人信息保护法 出台之前，网络安全法 就已经将国家网信部门及其他相关部门确定为信息监管主体，负责国家网络安全治理和互联网内容审查工作 3。这表明国家网信部门并非专门的个人信息保护监管机构，该部门的职责更侧重于行政审批，对行政处罚和行政强制鲜有涉及，对于个人信息处理中的违法行为并不能及时反应并制止。此外，法律规范中的“有关部门”目前还没有具体细化，这样的规定易造成各部门相互推诿或者“一窝蜂”的现象，进而出现信息主体受侵害却投诉无门的局面。三、疫情之下构建个人信息行政法保护的必要性在新冠疫情防控工作中，国家赋予行政机关更多的权力维护公共利益，虽然公民的个人信息权基于公共利益保护的正当性而受到限制，但仍要对其加强保护。个人信息权利的保护路径在学界众说纷纭，有学者主张通过民法途径，认为个人信息权可以视作私权，以民事救济的方式来提供保障 4;有学者主张通过刑法途径对个人信息进行保护，认为“刑法修正案(七)增设了出售、非法提供公民个人信息罪，非法获取公民个人信息罪，以及非法获取计算机信息系统数据罪”，并且“伴随信息时代的来临，数据权利的刑法保护成为网络空间规则之治的重要组成部分”5;还有学者主张通过行政法途径(也可以说公法途径)对个人信息进行保护，认为以民法为主的私法救济存在明显的局限，个人信息的保护应当重视行政法规制，由行政机关介入保护 6。笔者以为，新冠疫情背景下的个人信息保护，选择行政法途径更为合适。(一)民法、刑法保护的局限性民法典 规定个人信息受法律保护，并将个人信息纳入人格权编，作为一种新的人格利益被保护，使个人信息保护有了基本法的支持。然而民法上的救济常常通过违约之诉或侵权之诉来完成，需要受害者即信息主体承担不同程度的举证责任，这对处于弱势的信息主体54第 1 期侯宇等:突发公共卫生事件中个人信息保护的行政法回应来说无疑是困难的，原因有二。第一，双方地位不平等导致举证困难。在新冠疫情防控工作中，信息处理者一般为行政机关，信息主体是公民个体。行政机关与公民的地位不平等是毋庸置疑的。在新冠疫情防控的紧急状态下，对于行政机关处理个人信息的行为，公民一般选择无条件服从。在利益受到损害时，很难举证对方是否以公职身份进行信息处理，如无法证明此类行为是个人行为，则无法通过民法途径进行救济。因此，依赖于意思自治、主体平等基础的私权保护路径无法应对强大的行政机关处理个人信息时的非对称权力结构 7。第二，通过民法途径获得救济的前提是有损害发生，这表明民法救济属于事后救济，对公民信息泄露的前期风险无从应对，且信息泄露受到的损害有时难以确定，通过民事救济获得的赔偿金额普遍较低，但提起诉讼成本却较高 8。以上两点可以看出民法救济途径并不完善。就刑法来说，我国刑法修正案(七)就已经将侵犯个人信息罪纳入其中，将对个人信息的保护提升至刑法层面。但是刑法作为最严厉的法，具有谦抑性，即不到万不得已，不会轻易动用刑罚处罚。这表明刑法也属于事后救济，只有产生严重后果，即泄露个人信息的数量要达到一定程度，才会启用刑法保护。对于少量的个人信息泄露，刑法无法进行有效救济。(二)基本权利国家保护义务的体现对个人信息在宪法层面赋予国家保护义务，早在 20 世纪 50 年代初就已经出现，欧洲人权公约 第八条为欧洲国家的个人信息保护提供了初步规范。我国宪法 虽然没有直接将个人信息权利规定为基本权利，但是宪法 第三十三条的“人权”条款和第三十八条的“人格尊严”条款已经将个人信息作为一项基本权利予以保护。这在个人信息保护法 中也得到了证实，该法第一条就规定了“根据宪法，制定本法”，这也表明了个人信息权利受宪法保护。个人信息具有交互性、动态性等特征，包含复杂的、栖身于不同宪法规范并存在高度关联的多种法益，应当得到国家层面的保护 6。王锡锌教授就认为，国家对个人信息的保护可以分为两种:一种是防御性保护，即赋予个人信息本身的权利防御性，以此来抵抗其他主体对个人信息的侵害;一种是积极性保护，即国家主动采取有效措施，对侵害个人信息的行为进行惩罚 7。但是宪法是根本法，对于如何具体保护个人信息，实践性不强。因此同样以保障权利、限制权力为目的的行政法，能够更好地将宪法蕴含的权利保护精神应用到实践中，这也是个人信息行政法保护路径的法理依据 9。(三)限制公权力的需要 宪法 的核心价值追求为规范国家权力运行以保障公民权利的实现。疫情发生之际，国家公共利益受到了损害，公民应当让渡部分个人权利，使公共利益免受更大损害。但是利益保护应当具有相互性，我们在保护公共利益的同时，行政机关也应当履行保护个人利益的职责，自觉接受法律的约束。对个人信息予以行政法保护是限制公权力的需要。我国行政法的实质为监督行政活动、保护行政相对人的权益，这也是我国依法行政原则的要求。尽管行政法强调64南 京 邮 电 大 学 学 报(社 会 科 学 版)2023 年效率原则，但是在合法性与效率发生冲突时，应当以合法性为主，再兼顾行政效率。针对新冠疫情中个人信息的行政法保护，最关键的是如何平衡公共利益与个人利益，即在有效防控疫情、保障公众知情权的同时，对行政机关的权力予以适当限制，以此保护公民的个人信息权利。个人信息保护法 第三十四条规定，国家机关为履行法定职责处理个人信息时，应当依照法定权限和程序进行，不得超出履职所需的范围和限度，这也是对个人信息行政法保护的回应。该法是个人信息保护领域的第一部专门性法律，对于行政机关处理个人信息的具体操作没有详细规定。因此，在实际防疫工作中，并不能有效指导行政机关的信息处理行为。此时，行政法的基本原则便可发挥重要作用。四、疫情之下个人信息行政法保护的路径新冠疫情防控期间行政机关对个人信息的处理及监管都存在不足，基于此，完善行政法对个人信息的保护可以从两个路径展开:消极不侵犯和积极保护个人信息。(一)行政机关消极不侵犯个人信息1法律保留原则限制个人信息收集主体法律保留原则最早由奥托迈耶提出，行政只有获得法律的授权方能干涉人民的基本权利。收集个人信息时，即便是为了公共利益，也应当适用法律保留原则。根据我国立法法 的相关规定，收集个人信息的主体应当受到法律的明确授权，这里的法律为狭义的法律。纵观目前我国法律规范的规定，在新冠疫情防控工作中有权收集个人信息的主体主要有:县级以上人民政府及其有关部门、专业机构、疾病预防控制机构、医疗机构。其他主体没有法律授权不能随意收集个人信息。立法机关通过制定法律对行政权力进行限制，才能更好地保护个人信息。2最少必要原则限制个人信息收集范围个人信息收集范围的确定是对信息所涉领域的重要性、收集信息时的紧迫性，以及收集信息与其目的之间的关联性等因素的综合考量 10。在新冠疫情防控工作中，行政机关收集个人信息应当遵守比例原则，在信息收集范围上遵守最少必要原则。个人信息保护法 第六条中“处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关收集个人信息，应当限于实现处理目的的最小范围”的规定是最少必要原则的体现。在新冠疫情防控工作中，行政机关依法收集个人信息应当本着预防、监测、预警、处置等目的的需要，收集的信息应当与实现这些目的直接相关。此外，行政机关在以疫情防控为目的收集个人信息时，也应当符合最少必要原则，即收集信息的对象必须是确诊人员、疑似人员、密接人员等特定群体，信息采集范围必须对疫情防控有直接的帮助，不得收集工资、宗教信仰等无关信息。如需收集其他群体个人信息，因信息主体无传播风险，其行踪轨迹、家庭住址等信息不应列入收集范围。74第 1 期侯宇等:突发公共卫生事件中个人信息保护的行政法回应3正当程序原则限制个人信息处理过程“随着政府权力持续剧烈增长，只有借助于程序公正，权力才可能被容忍。”11 339在新冠疫情防控工作中，公民为了公共利益让渡自身部分实体权利，行政机关在依法行政、处理公民个人信息时，只有遵守正当程序原则，才能让公民自觉配合相关行政活动。根据现行个人信息保护法 政府信息公开条例 等法律规范，行政机关在处理公民个人信息时应当遵循正当程序要求。第一，在收集个人信息时，行政机关应当向信息主体表明身份，并明确告知收集信息的法律依据、信息类别、收集和使用目的、救济途径等内容。此外，新冠疫情属于突发公共卫生事件，具有特殊性。因此，法律规定行政机关在收集个人信息时不需征得信息主体同意，但是收集个人敏感信息时要征得个人的单独同意或书面同意。第二，在储存个人信息时，行政机关要重视公众参与，保障信息主体享有参与的权利，其中包括查阅、复制、更正、补充、删除等权利，这体现了信息主体对个人信息的自治权，以及对人的尊严的尊重与保障 12。第三，在公开个人信息时，应当进行利益衡量，使公众知情权与信息主体的隐私权得到平衡保障，进而裁量应当公开的信息范围。(二)行政机关积极保护个人信息在公共卫生事件中维护公共利益而对个人信息权利进行克减时，行政机关对个人信息除了消极不侵犯外，还应承担积极保护的责任。如果说行政机关的消极不侵犯责任来自法律对其权力的限制，那么其保护责任便是主动控制权力边界，利用行政机关的内部组织优势对个人信息进行充分保护。1安全保障原则限制个人信息公布范围安全保障原则也是个人信息保护法 的原则之一，是指处理个人信息要对处理活动负责，并采取必要措施保障个人信息安全。信息化时代，行政机关收集、储存、公开个人信息的方式多样且便捷，公民在信息被收集之后往往忽视了自身信息主体的角色，失去对个人信息的控制，从而引发个人信息安全保障问题。在新冠疫情防控工作中，为了做到快速、有效防止疫情传播，行政机关收集个人信息的范围较广，包含行踪轨迹、生物识别、医疗健康等敏感信息。依据安全保障原则，从事信息发布的行政机关应当被强制要求履行信息安全的注意与维护义务 13。对公开的个人信息必须进行脱敏、去标识化等匿名化处理，并对相关工作人员进行业务培训，防止公职人员利用工作便利将公民个人信息私下传播，严格做好保密工作。此外，安全保障原则还应贯穿行政机关收集、储存等处理个人信息的各环节，最大限度降低个人信息被恶意泄露、使用、传播的风险 14。2设置专门行政监管机构保护个人信息监督是制约政府权力行使的必然要求，也是政府履职尽责的重要驱动力，新冠疫情防控84南 京 邮 电 大 学 学 报(社 会 科 学 版)2023 年参见 个人信息保护法 第二十九条:处理敏感个人信息应当取得个人的单独同意;法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。工作中，法律赋予行政机关处理公民个人信息的权力，行政机关也要承担起保护公民个人信息的责任，如果没有一个健全有效的监管体系，那么责任政府的建设便无法落地生根 15。个人信息保护法 虽已实施，但在监管方面仍规定由网信部牵头，协同其他部门共同监管。与之前相比，该条款并未充分体现个人信息监管机构应有的“独立性”和“专业性”，对于多头监管容易出现监管机构之间相互推诿、逃避职责等问题并未有效解决 3。为了在个人信息处理中更好地限制行政机关的权力，在完善个人信息保护法 时，可以借鉴欧盟的做法，结合我国国情，设置从中央到地方独立且垂直的行政监管机构，通过层层制约，防止行政机关过限行使权力，达到对个人信息行政法全过程保护的目的。五、结语在全国人民的不懈努力下，新冠疫情已经得到有效控制，对人民生命健康的威胁已经降低，我们的抗“疫”战争取得了胜利。在特殊的背景下，寻求个人信息行政法保护的实质是寻求公共利益与个人私益的平衡。一直以来，公共利益优先的理念引导公民自觉让渡权利，行政机关也要重视个人信息权利的保护，控制行政权力的边界。个人信息保护法 的出台使我国个人信息保护法律体系进一步完善，该法对国家机关处理个人信息进行了专节规定，在一定程度上与行政法相呼应，共同限制公权力的行使，同时结合法律保留、正当程序等原则从源头上加强了对个人信息的保护。作为第一部个人信息保护方面的专门法律，该法对公权力限制的条款还需进一步完善，为后疫情时代构建个人信息行政法保护提供更加完善的路径。参考文献:1 魏琼，徐俊晖应急状态下个人信息权的克减与保护 J 行政与法，2021(7):118128 2 JUSTICE W ODouglass comment in joint anti-fascist refugee commvmcgrath United States supremecourt reportsThe Lawyers Cooperative Publishing Company，1951:858 3 邓辉我国个人信息保护行政监管的立法选择 J 交大法学，2020(2):140152 4 王利明 论个人信息权的法律保护 以个人信息权与隐私权的界分为中心J 现代法学，2013(4):6272 5 王华伟数据刑法保护的比较考察与体系建构 J 比较法研究，2021(5):135151 6 孔祥稳论个人信息保护的行政规制路径 J 行政法学研究，2022(1):131145 7 王锡锌个人信息国家保护义务及展开 J 中国法学，2021(1):145166 8 蔡培如，王锡锌论个人信息保护中的人格保护与经济激励机制 J 比较法研究，2020(1):106119 9 杨帆，刘业个人信息保护的“公私并行”路径:我国法律实践及欧美启示J 国际经济法学刊，2021(2):4870 10 刘国个人信息保护的公法框架研究 以突发公共卫生事件为例 J 甘肃社会科学，2020(4):94第 1 期侯宇等:突发公共卫生事件中个人信息保护的行政法回应155162 11 威廉韦德，克里斯托弗福赛 行政法 M 骆梅英，译 北京:中国人民大学出版社，2018 12 张娟个人信息的公法保护研究 宪法行政法视角 D 北京:中国政法大学，2011 13 王秀哲大数据时代公共安全领域个人信息保护的政府责任 J 理论探讨，2017(4):5256 14 高志宏个人信息保护的公共利益考量 以应对突发公共卫生事件为视角J 东方法学，2022(3):1732 15 徐月眉，汤耀平防控与救助:突发公共卫生事件中的政府责任 J 重庆行政，2021(5):4145(责任编辑:刘佩丹)Administrative law response to personal information protection in thepublic health emergencies:Take the COVID19 as an exampleHOU Yu，SHEN YingyingLaw School，Zhengzhou University，Zhengzhou 450001，China()Abstract:In the public health emergencies represented by the COVID-19，administrative organshave obtained legitimacy in terms of legal basis and legal norms by restricting personal informationrights in order to protect public interests During epidemic prevention and control，administrative organsuse their power to facilitate the handling of personal information，but also infringe on citizens rightsTherefore，against the background of the limitations of civil law and criminal law protection，theprofessional efficiency of administrative organs，and the value pursuit of modern administrative rule oflaw for power control，it is necessary to require administrative organs to assume the responsibility toprotect personal information in a negative non-aggression and positive protection way Specifically，administrative organs should be regulated by the principles of administrative law，such as legalreservation，minimum necessity and security guarantee，through the“limit restrictions”，to achieve thepurpose of personal information in the field of administrative law are fully protectedKey words:personal information protection;administrative law protection;administrativepower limitation;basic rights;public interest05南 京 邮 电 大 学 学 报(社 会 科 学 版)2023 年