面對(duì)來(lái)勢(shì)洶洶的新型冠狀病毒疫情，本著配合相關(guān)調(diào)查，團(tuán)結(jié)一致對(duì)抗病毒。很多從武漢返鄉(xiāng)的工作者、大學(xué)生，都自愿填寫(xiě)了一些與個(gè)人信息有關(guān)的調(diào)查表，并且主動(dòng)在家隔離。這本是非常值得鼓勵(lì)和贊善的行為。

但是，近幾天，疑似包含武漢返鄉(xiāng)人員的身份證號(hào)碼、家庭住址、電話號(hào)碼等個(gè)人信息的EXCEL表格，卻堂而皇之地在微博、微信朋友圈、微信群當(dāng)中泄露及流傳。

那么問(wèn)題來(lái)了，武漢返鄉(xiāng)人員及新冠患者的個(gè)人信息到底是否值得保護(hù)？應(yīng)當(dāng)設(shè)置怎樣的例外？法律理由又是什么呢？

一、保護(hù)武漢返鄉(xiāng)人員及新冠患者的個(gè)人信息刻不容緩

1.這些個(gè)人信息是法律保護(hù)的合法權(quán)益。

“公民的個(gè)人信息”，是指以電子或者其他方式記錄的能夠單獨(dú)或者與其他信息結(jié)合識(shí)別特定自然人身份或者反映特定自然人活動(dòng)情況的各種信息。顯而易見(jiàn)的是，武漢返鄉(xiāng)人員及新冠患者的姓名、身份證件號(hào)碼、通信通訊聯(lián)系方式、住址、行蹤軌跡等都是“公民的個(gè)人信息”，屬于《民法總則》、《傳染病防治法》及《刑法》保護(hù)的合法權(quán)益，具體保護(hù)的法益是公民的人格尊嚴(yán)。

比如《民法總則》第111條規(guī)定：自然人的個(gè)人信息受法律保護(hù)。任何組織和個(gè)人需要獲取他人個(gè)人信息的，應(yīng)當(dāng)依法取得并確保信息安全，不得非法收集、使用、加工、傳輸他人個(gè)人信息，不得非法買賣、提供或者公開(kāi)他人個(gè)人信息。

又如《傳染病防治法》第68條第5項(xiàng)的規(guī)定：故意泄露傳染病病人、病原攜帶者、疑似傳染病病人、密切接觸者涉及個(gè)人隱私的有關(guān)信息、資料的，對(duì)負(fù)有責(zé)任的主管人員和其他直接責(zé)任人員，依法給予降級(jí)、撤職、開(kāi)除的處分，并可以依法吊銷有關(guān)責(zé)任人員的執(zhí)業(yè)證書(shū)；構(gòu)成犯罪的，依法追究刑事責(zé)任。

再如《刑法修正案（九）》規(guī)定的“侵犯公民個(gè)人信息罪”：違反國(guó)家有關(guān)規(guī)定，向他人出售或者提供公民個(gè)人信息，情節(jié)嚴(yán)重的，處三年以下有期徒刑或者拘役，并處或者單處罰金；情節(jié)特別嚴(yán)重的，處三年以上七年以下有期徒刑，并處罰金。

2.這些個(gè)人信息不僅是容易導(dǎo)致歧視性待遇的敏感信息，而且也可能是影響公共健康、安全及穩(wěn)定的重要信息。

首先，武漢返鄉(xiāng)人員及新冠患者的個(gè)人信息屬于“敏感信息”。因?yàn)橐坏┬孤?、非法提供或?yàn)E用，可能危害武漢返鄉(xiāng)人員及新冠患者的人身和財(cái)產(chǎn)安全，數(shù)據(jù)極易導(dǎo)致個(gè)人名譽(yù)、身心健康受到損害或歧視性待遇等的個(gè)人信息。具體而言，敏感數(shù)據(jù)包括“身份證件號(hào)碼、個(gè)人生物識(shí)別信息、銀行賬號(hào)、通信記錄和內(nèi)容、財(cái)產(chǎn)信息、征信信息、行蹤軌跡、住宿信息、健康生理信息、交易信息、14歲以下（含）兒童的個(gè)人信息等”。

其次，武漢返鄉(xiāng)人員及新冠患者的個(gè)人信息還屬于“重要數(shù)據(jù)”。因?yàn)檫@些重要數(shù)據(jù)一旦泄露可能直接影響國(guó)家安全、經(jīng)濟(jì)安全、社會(huì)穩(wěn)定、公共健康和安全。

二、武漢返鄉(xiāng)人員及新冠患者的個(gè)人信息保護(hù)的法定例外

武漢返鄉(xiāng)人員及新冠患者的個(gè)人信息固然值得法律保護(hù)，但這并不能絕對(duì)化，具體有以下的例外：

1.個(gè)人的同意授權(quán)。《網(wǎng)絡(luò)安全法》第41條提供了“同意授權(quán)機(jī)制”，即“網(wǎng)絡(luò)運(yùn)營(yíng)者收集、使用個(gè)人信息，應(yīng)當(dāng)遵循合法、正當(dāng)、必要的原則，公開(kāi)收集、使用規(guī)則，明示收集、使用信息的目的、方式和范圍，并經(jīng)被收集者同意”。這同樣也適用于線下的武漢返鄉(xiāng)人員及新冠患者的個(gè)人信息的保護(hù)。

但以下行為可被認(rèn)定為“未經(jīng)同意收集使用個(gè)人信息”：

（1）征得武漢返鄉(xiāng)人員及新冠患者同意前就開(kāi)始收集個(gè)人信息或打開(kāi)可收集個(gè)人信息的權(quán)限；

（2）武漢返鄉(xiāng)人員及新冠患者明確表示不同意后，仍收集個(gè)人信息或打開(kāi)可收集個(gè)人信息的權(quán)限，或頻繁征求用戶同意；

（3）實(shí)際收集的個(gè)人信息或打開(kāi)的可收集個(gè)人信息權(quán)限超出用戶授權(quán)范圍；

（4）以欺詐、誘騙等不正當(dāng)方式誤導(dǎo)武漢返鄉(xiāng)人員及新冠患者同意收集個(gè)人信息或打開(kāi)可收集個(gè)人信息的權(quán)限，如故意欺瞞、掩飾收集使用個(gè)人信息的真實(shí)目的；

（5）未向武漢返鄉(xiāng)人員及新冠患者提供撤回同意收集個(gè)人信息的途徑、方式等。

2.匿名化和脫敏機(jī)制。《網(wǎng)絡(luò)安全法》第42條提供了“匿名或脫敏機(jī)制”，這同樣也適用于線下的武漢返鄉(xiāng)人員及新冠患者的個(gè)人信息的保護(hù)。特別值得注意的是，政府、醫(yī)院、科研機(jī)構(gòu)等信息控制者對(duì)于“經(jīng)過(guò)處理無(wú)法識(shí)別特定個(gè)人且不能復(fù)原的”個(gè)人信息，即使沒(méi)有得到未經(jīng)被收集者“武漢返鄉(xiāng)人員及新冠患者”的同意，也可以向第三方提供這些個(gè)人信息。

3.其他情形。政府、醫(yī)院、科研機(jī)構(gòu)等信息控制者在沒(méi)有獲得武漢返鄉(xiāng)人員及新冠患者的個(gè)人授權(quán)時(shí)，在以下情況可以使用或披露相應(yīng)個(gè)人信息：

（1）向上述人員提供其本人健康醫(yī)療信息；

（2）治療、支付或保健護(hù)理時(shí)；

（3）涉及公共利益或法律法規(guī)要求時(shí)；

（4）用于科學(xué)研究、公共衛(wèi)生或醫(yī)療保健操作目的的受限制數(shù)據(jù)集。在上述情況下，信息控制者可依靠法律法規(guī)要求、職業(yè)道德和專業(yè)判斷來(lái)確定哪些個(gè)人信息允許被使用或披露，但不得披露給無(wú)權(quán)使用個(gè)人信息的其他主體。

三、武漢返鄉(xiāng)人員及新冠患者的個(gè)人信息匿名化或脫敏的程度

《網(wǎng)絡(luò)安全法》第42條提供了“匿名或脫敏機(jī)制”，即“網(wǎng)絡(luò)運(yùn)營(yíng)者不得泄露、篡改、毀損其收集的個(gè)人信息；未經(jīng)被收集者同意，不得向他人提供個(gè)人信息。但是，經(jīng)過(guò)處理無(wú)法識(shí)別特定個(gè)人且不能復(fù)原的除外”。特別需要注意的是，“匿名或脫敏機(jī)制”需要達(dá)到“經(jīng)過(guò)處理無(wú)法識(shí)別特定個(gè)人且不能復(fù)原的”程度。

事實(shí)上，香港特別行政區(qū)政府衛(wèi)生署提供了很好的范例：一方面，政府充分保障了公民的“知情權(quán)”。表格上詳細(xì)列舉了每一位疑似病人的急診日期、性別、年齡、報(bào)告來(lái)源、醫(yī)院名稱、化驗(yàn)結(jié)果、患者狀況；同時(shí)，另一方面，政府又充分保護(hù)了每位確認(rèn)患者及疑似患者的個(gè)人信息。表格刪除了患者的姓名等可識(shí)別特定個(gè)人的數(shù)據(jù)。這些經(jīng)驗(yàn)非常值得我們借鑒。

總之，在我看來(lái)，針對(duì)武漢返鄉(xiāng)人員及新冠患者的個(gè)人信息保護(hù)問(wèn)題，法律特別強(qiáng)調(diào)的是公共利益和個(gè)人權(quán)利的平衡。

一方面，保護(hù)武漢返鄉(xiāng)人員及新冠患者的個(gè)人信息等合法權(quán)益刻不容緩。尤其在全國(guó)人大常委會(huì)在2020年即將制定《個(gè)人信息保護(hù)法》和《數(shù)據(jù)安全法》的背景下，政府、醫(yī)院、科研機(jī)構(gòu)及我們社會(huì)中的每個(gè)自然人在危難之際特別要注重保護(hù)他人的個(gè)人信息等合法權(quán)益。畢竟大家都是受害者，我們絕對(duì)不能相互傷害！

但另一方面，基于同意授權(quán)機(jī)制及公共健康、安全、穩(wěn)定等公共利益的理由，武漢返鄉(xiāng)人員及新冠患者的個(gè)人信息又應(yīng)當(dāng)允許被相關(guān)信息控制者和處理者合法收集、使用。但在沒(méi)有對(duì)個(gè)人信息進(jìn)行匿名化或脫敏的前提下，政府、醫(yī)院、科研機(jī)構(gòu)及工作人員都不能非法泄露和惡意傳播。

（作者何淵為上海交大數(shù)據(jù)法律研究中心執(zhí)行主任，著有《大數(shù)據(jù)戰(zhàn)爭(zhēng)》三部曲）