一、案由

在新冠肺炎疫情进入常态化防控以后，我国采取对新冠肺炎患者或无症状感染者、密切接触者以及与其接触的人群进行隔离的策略来防止新冠肺炎病毒扩散。为了尽早并且最大限度地发现上述人群，各地都对采集到的流行病学数据进行公开。为了配合疫情防控，各种公共场所也在大量检查健康码、身份证、行程轨迹信息，甚至人脸识别。各个部门在调查、收集、统计以及公开发布疫情信息的过程中，必然涉及敏感的公民个人信息，甚至是隐私信息。

个人信息公开后依托社交媒体迅速传播，引发网络暴力。上海倪姓感染者的密切接触者的身份信息、家庭住址、身高体重，连带他父母的住址、身份证信息，还有他的朋友、女朋友，以及女朋友的朋友的相关信息，都一览无遗地呈现在网友面前。成都赵姓病例的个人轨迹被网络曝光，包括她一夜转场多家酒吧，出入各大公共场所，乃至个人姓名、门牌号、身份证信息和照片，都被翻了个遍。而这些活动轨迹，只可能是被疾控部门和与之相关的职能部门工作人员所掌握。相关部门对个人信息保护存在明显漏洞，甚至是涉嫌违反民法典相关规定。网上对公开信息患者的舆论暴力也随处可见，对患者造成二次伤害，直接引发群众质疑流调信息安全性、合法性，也造成被调查人员一定程度的疑虑。很多人担心的不仅是感染上新冠病毒，更是恐惧不幸上了流调被公开，导致其本人和亲友受到的网络攻击。如果群众因为担心隐私泄露而不愿意配合流调，将会影响疫情防控工作大局。所以这些信息检查和收集如果不加以规范，个人隐私保护无从谈起。

如何在政府信息公开过程中保护公民的隐私权，如何在调查、收集个人信息的过程中处理好个人隐私保护的关系，就成为一个亟待破解的难题。各地公开数据涉及个人可识别信息方面差别较大，疫情控制得好的地方并不一定是公开得很详细的。事实上，个人信息公开的详细程度与疫情控制得好不好并没有直接关系，防控工作做精做细才是关键。《民法典》对于个人信息尤其是个人隐私权保护做出了明确规定，政府在信息公开中应平衡公共利益与个人利益的关系，依法依规开展防控工作，多一点人文关怀。对于常态化疫情防控中对公民隐私的保护，政府部门应建立和完善一套行之有效的制度体系和标准操作流程，需要从机制上加以保障。

二、案据

1.《传染病防治法》第十二条 在中华人民共和国领域内的一切单位和个人，必须接受疾病预防控制机构、医疗机构有关传染病的调查、检验、采集样本、隔离治疗等预防、控制措施，如实提供有关情况。疾病预防控制机构、医疗机构不得泄露涉及个人隐私的有关信息、资料。卫生行政部门以及其他有关部门、疾病预防控制机构和医疗机构因违法实施行政管理或者预防、控制措施，侵犯单位和个人合法权益的，有关单位和个人可以依法申请行政复议或者提起行政诉讼。

第五十七条 卫生行政部门应当依法建立健全内部监督制度，对其工作人员依据法定职权和程序履行职责的情况进行监督。上级卫生行政部门发现下级卫生行政部门不及时处理职责范围内的事项或者不履行职责的，应当责令纠正或者直接予以处理。

第六十八条、第六十九条 疾病预防控制机构和医疗机构“故意泄露传染病病人、病原携带者、疑似传染病病人、密切接触者涉及个人隐私的有关信息、资料的”，由县级以上人民政府卫生行政部门根据情节严重程度给予相应行政处罚；构成犯罪的，依法追究刑事责任。

2. 《中华人民共和国民法典》第六章隐私权和个人信息保护 第一千零三十二条 自然人享有隐私权，个人信息受法律保护；信息处理者不得泄露或者篡改其收集、存储的个人信息；国家机关、承担行政职能的法定机构及其工作人员对于履行职责过程中知悉的自然人的隐私和个人信息，应当予以保密，不得泄露或者向他人非法提供。

第一千零三十四条  自然人的个人信息受法律保护。个人信息是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定。

第一千零三十八条第一款 信息处理者不得泄露或者篡改其收集、存储的个人信息；未经自然人同意，不得向他人非法提供其个人信息，但是经过加工无法识别特定个人且不能复原的除外。

第一千零三十九条 国家机关、承担行政职能的法定机构及其工作人员对于履行职责过程中知悉的自然人的隐私和个人信息，应当予以保密，不得泄露或者向他人非法提供。

3.《网络安全法》第七十六条第五款 个人信息是指以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等。

4.《突发公共事件应急条例》第二十五条  国家建立突发事件的信息发布制度。国务院卫生行政主管部门负责向社会发布突发事件的信息。必要时，可以授权省、自治区、直辖市人民政府卫生行政主管部门向社会发布本行政区域内突发事件的信息。信息发布应当及时、准确、全面。

三、建议

1.合法采集、公开个人信息。对于传染病的调查，《传染病防治法》第十二条仅授权疾病预防控制机构和医疗机构。其他机构或组织需要配合上述机构采集相关信息必须获得委托权，否则无权采集。针对患者或无症状感染者的个人信息公开不得违反《网络安全法》第七十六条第五款的规定。根据《民法典》规定，行踪信息属于受法律保护的个人信息。通信大数据行程卡查验个人行踪信息后只需显示不同颜色码以供识别，不应显示14天内到达或途经的地区。

2.严格管控在公共场所采集个人信息。商业性机构不应当自行采集个人信息，而是通过查验当地政府的健康码即可，不应当要求进入者填写纸质个人信息。如有监控，应当明确在显眼处告知。公共场所采集到的个人信息未经本人同意不得保存和使用。

3.全国统一流调采集数据和信息公开模式。流调数据按照有限采集、不歧视、简便的原则。所有数据仅限于有助于疫情防控需要，不能无限采集。建议国家疾病预防控制中心设计一个全国统一的流调数据采集表，以最简便的方式采集，减少工作人员工作量和被采集人照成的不便。针对患者或无症状感染者的信息公开不能有指向一个已识别或可识别的自然人的信息；也不能有地域、性别、民族、职业的具体描述，减少相应的歧视。建议全国统一信息公开模版，各地发布的信息基本一致。

4.合理使用涉疫个人信息。涉疫信息仅限于各级疾病预防控制机构和医疗机构用于传染病监测、预测、流行病学调查、疫情报告、医疗救治以及其他防控工作，不得滥用。

5.严格保密纪律。对参与疫情信息采集的单位和个人必须开展相关法律和规章的学习教育，签署保密协议，严格执行保密制度。如发生泄密事件应对相关个人进行严厉处罚。有关单位和个人合法权益被侵犯可以依法申请行政复议或者提起行政诉讼、民事诉讼。

6. 严惩网络暴力。在网络散布、传播个人隐私信息，须承担民事责任。捏造事实诽谤他人的，应根据《治安管理处罚法》第42条予以治安处罚。网络管理者需要及时管控，防止信息扩散。

7.在《突发公共卫生事件应急条例》中加入个人信息保护的内容。在第二十五条“信息发布应当及时、准确、全面”后面加入“强调个人信息保护”。在第五章法律责任中增加因防控突发公共卫生事件而收集到的自然人隐私和个人信息被泄露的处罚条款。