后疫情隐私权保护初论

Author：杨荣宽 | 2020.03.26

疫情（COVID-19）对于每一个人都是“一个人的阅历，全部写在眼睛里，我的眼神从清亮到沉浊”[1]。战胜疫情是必然的、可期的。在我们必定战胜疫情的前提下，关键在于尽可能减少克服疫情过程中的代价。一个好的社会，好的社会秩序，在于要在法律规制和民情状态之间要找到适当的平衡，只有在两个方面达成协调的时候，我们才可以说是一种好的治理。只有在权力的分配系统和人们情感和情绪的具体状态，达至一个平衡，我们才可以说是一个好的秩序。病毒没有祖国，恐惧也没有边界，现代世界的这层面向，才是危机的根源所在。[2]

一问题的提出

“冠状病毒（COVID-19）的流行可能会成为监控历史上的重要分水岭——很多国家原本抗拒的大规模监控工具部署会变得合理和正常；监控也会发生从皮肤上到皮肤下的戏剧性转变。原先，当你的手指划过智能手机屏幕，并点击链接时，企业和政府想知道你的手指到底在点击什么。但是疫情当前，关注重点已经转移。现在，是想知道你手指的温度及其皮肤下的血压。这是历史性的转变。[3]过去的两个月，是防疫最紧张的时候，每个地区每个场所都抱着“宁愿杀错，不能放过”的态度，进行个人信息登记。从超市到药店，从社区到单位，从小区物业到公交地铁，全部都要求登记详细的个人信息，姓名、手机号和身份证号码都是必填的。疫情期间，出于防疫需要，收集一些必要的个人信息和活动轨迹是完全没有问题的，人们也愿意让渡部分隐私权来换取安全。但当疫情防控进入下半场，公众关注疫情的余光，就不由得瞥见那些不那么成熟甚至有些过于粗糙的做法。[4]疫情爆发以来，不少疑似或确诊人员的个人信息遭到泄露。这些大肆在朋友圈、网络流传的信息，不少内容已经涉及到个人隐私。[5]因有武汉旅居史，返乡后配合登记、调查后个人信息遭到严重泄露。有的地方甚至将他们的个人信息制成表单在老乡群、同学群之间传播，里面包含姓名、身份证号码、手机号码、家庭住址等信息。[6]我国《民法总则》（2017年）第111条规定：“自然人的个人信息受法律保护。任何组织和个人需要获取他人个人信息的，应当依法取得并确保信息安全，不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息。”《传染病防治法》（2013修订）第12条同时规定：“在中华人民共和国领域内的一切单位和个人，必须接受疾病预防控制机构、医疗机构有关传染病的调查、检验、采集样本、隔离治疗等预防、控制措施，如实提供有关情况。疾病预防控制机构、医疗机构不得泄露涉及个人隐私的有关信息、资料。卫生行政部门以及其他有关部门、疾病预防控制机构和医疗机构因违法实施行政管理或者预防、控制措施，侵犯单位和个人合法权益的，有关单位和个人可以依法申请行政复议或者提起诉讼。”同时第68条第（五）项、第69条第（七）项，疾病预防控制机构、医疗机构“故意泄露传染病病人、病原携带者、疑似传染病病人、密切接触者涉及个人隐私的有关信息、资料的”，应受到责令改正、通报批评、警告等处罚，负有责任的主管人员和其他直接责任人员，会受到降级、撤职、开除的处分，构成犯罪的，还会被追究刑事责任。可见，我国《传染病防治法》力求在公共卫生与个人信息保护之间寻求一种平衡。但本次疫情（COVID-19）防控中，诸多交通实体、街道办、居委会、村委会、物业等不同类型的组织，却都实际享有了个人信息的收集权。按照前述规定，信息主体可以向最先收集该信息的单位追责，最先收集信息的单位除非能够合理说明其已经尽了信息安全保护义务，且能够说明其依法向谁披露了此信息，否则，就必须承担泄露责任。若最先收集信息的单位能够说明此两项情况，那么，信息主体则可以向被披露的单位或个人继续追责。[7]但法律的难题从来不是确定某种利益是否需要保护，而是还有与之冲突的利益亦需保护，该如何平衡冲突、纠结的利益保护。[8]

二疫情、大数据下的隐私信息

法律是社会关系的调整器，其对社会关系的调整是通过设定各种权利和义务来进行的。法律应当按照一种能避免较为严重的损害的方式来配置权利，或者反过来说，这种权利配置能使产出最大化。[9]从本质上来说，隐私是信息。信件、个人秘密、个人活动等本身并不是隐私，只是其中所记载并反映出来的信息才是隐私。私人信息是一切可以识别个人特征的信息，具体包括生理特征、健康状况、财务情况、婚姻家庭情况、社会活动等足以识别个人特征的资料。私人信息是代表一个人与另一个人相区别的基本标志，是个人在社会中生存的最基本的符号性信息。因此，私人信息是隐私的主要外延。[10]传统隐私法（或保护隐私权的民法制度）将隐私权作为人格权之一种进行保护，所侧重的是个人的人格利益尤其是人格尊严和人格自由方面的利益。人类进入信息社会后，与个人信息相关的利益主体及其利益关系变得多样和复杂，对个人信息采取了保护与利用并重的基本立法政策，信息业者（即从事个人信息收集、处理、储存、传输和利用等相关活动的自然人、法人和其他组织）作为独立的利益相关者出现，国家不再是超然的法律规则制定者和执行者，同时也是个人信息最大的收集、处理、储存和利用者。[11]疫情（COVID-19）在高科技时代，带来全新的变化，酝酿了新的形势和新的需求，公权力，甚至以公权力为名的组织，在疫情期间已能运用微妙的、影响更为深远的侵犯公民隐私的手段，科学发明和发现使得政府可以获得密室里低声交谈的内容，这比动用拷问架来获取证据更富有成效。[12]如果疫情的执法人员的这种监控行为愈演愈烈，如无合理边界，最终要以牺牲公民的隐私安全为代价，那么就只是用监控带来的隐私威胁代替了犯罪所带来的人身威胁，公民的人身安全所受到的威胁并未消除，只是从人身方面转移到了隐私方面。[13]互联网已然改变了人们的表达方式和识别方式。在网络世界里，个人的任何行为都会留下“数据痕迹”。将数据挖掘、整合和分析技术应用于“数据痕迹”，聚合的数据痕迹带来的“隐形”数据和隐私暴露问题，使得后信息时代个人隐私保护面临更多的威胁，个人信息保护更为急迫。另一方面，在后信息时代，时刻都有大量数据产生、流动，数据己经是直接的财富和社会资源，借助数据技术的应用，可以发现新的知识、创造新的价值，实现从数据到知识、从知识到行动的跨越，公私领域对于数据利用的需求也比以往任何一个时代更为迫切。数据隐私问题也成为数字经济时代的顶层问题，[14] 在一个个人信息收集技术空前的时代，科技已经让隐私无所遁形。[15]大数据时代信息安全的威胁不仅来自大数据抓取、记录的个人信息被泄漏，事实上，大数据与云计算、物联网等技术的深度融合应用可以把机器、物件、人、服务等各种元素关联起来，通过计算、分析、生成等方法，在看似无关的事物之间建立起联系，在此基础上预测人们的生活状态和行为方式。另外，大数据及相关技术发展也使侵犯隐私的手段更加多元和隐蔽，使侵犯隐私的责任人很难被确定。因为信息在网络上不断被下载、存储、编排、传播，经过种种共享与买卖，侵权责任人往往由个人变成模糊的群体，使得具体的侵权责任人难以被追查。[16]疫情的特殊情景下，适当扩大公权力对社会生活各方面的干涉，是必要的。但在后疫情时代，法律必须严谨审视个人隐私的脆弱性，在隐私与社会安全秩序平衡之间的应然平衡。必须要对公权力予以一定的限制，而法律保护个人的隐私权，确定个人隐私的界限有助于防止公权力的滥用。特别是在我国，培养人们的隐私观念，要求有权机关在依法行使职权时，充分尊重公民的隐私权，不得非法搜集、公开他人的隐私，禁止对他人进行非法跟踪、搜查等，这有助于区分公权力和私权之间的行为界限，为政府依法行政确定明确的标准。[17]在肯定疫情艰难付出的同时，法学的使命不是赞赏科技发展带来辉煌的成就，而是要审视科技可能带来非理性的后果，以及如何通过法治降低科技发展可能带来的风险与非理性，如何通过法律控制科技对人类文明、尊严与未来的威胁。[18]我们必须看到，疫情的突发改变了人们的生活方式以及态度，人们活动的私人领域在不断缩减，人们在行色匆匆中被迫停下来，但也因此，人们更渴望安宁的私人生活，包括在公共场所舒适的、自由的生活，而不必时刻担心被他人侵扰。[19]根据《传染病防治法》（2013修订）的规定，卫生行政部门及其他有关部门、疾病预防控制机构、医疗机构系隐情隐私信息的有权采集者。但有权采集者随意传播个人隐私信息，既会造成对个人隐私权的侵犯，也会侵犯个人信息权。所以，侵害个人信息也往往有可能构成对隐私的侵害。另一方面，从侵害个人信息的表现形式来看，侵权人多数也采用披露个人信息方式，从而与隐私权的侵害非常类似。所以，在法律上并不能排除这两种权利的保护对象之间的交叉。或许正是基于这一原因，在我国司法实践中，法院经常采取隐私权的保护方法为个人信息的权利人提供救济。[20]《网络安全法》（2016年）第76条对个人信息的界定是，“以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等”。但基于抗击疫情分秒必争，各地均建有覆盖地市卫健委、区县卫健局、基层防控工作小组的“疫情信息采集系统”。[21]包括但不限于：肺炎隐情防控信息、密切接触者信息、发热门诊信息、肺炎防控措施信息、确诊和疑似病例信息、武汉流动人口健康筛查、确诊和疑似病例来源信息等。具体为个人身体状况、在岗情况、与疫情相关信息、在岗办公、居家办公、居家隔离、滞留外地、行踪轨迹、住宿信息、健康生理信息等。[22]在疫情（COVID-19）语境下，公民个体根本无法判断，并丧失选择权，即选择将哪些信息对他人公布。实际上，疫情信息已涉及个体所有信息，隐私边界已严重压缩。[23]在疫情秩序逐渐恢复后，如何避免个人信息为他人所滥用的恶症，重新划分无限度搜集和使用个人信息与合理使用的边界，避免合理秩序蜕化为无限监控秩序风险，有权部门必须给与高度重视。相关部门所拥有的信息处理技术，已使疫情个人信息极有可能被迅速整合，并由此完整描摹出个人图像和个人行踪。但相比信息泄露和数据操纵在私法领域引发的热议和关注，人们对于公权力对个人信息的无限度搜集以及不当使用却缺乏足够的警醒。[24]疫情（COVID-19）期间，个体自愿承担被社会公众进行公开审视，[25]而自愿原则又是侵权法中的重要免责条款，在普通法系中，一个人不得就其同意之事项起诉，是为基本原则。[26]但在疫情信息采集下，几乎所有的个人行为都会留有信息痕迹，这些信息痕迹关涉个人生活的方方面面，实现了对“个人从摇篮到坟墓”的全程记录；现代化信息技术也可以实现对个人碎片化信息的整合，随着信息质和量的累积，碎片化的个人信息逐渐形成个人的“人格剖面图”。马斯洛在其需要层次理论中指出，“人格标识的完整性与真实性是主体受到他人尊重的基本条件”。[27]疫情（COVID-19）的无奈，一段时间来被迫成为私人生活的一部分，从而无法选择。“隐私并不是一件商品，要么全有要么全无。而且，暗含在危险预测概念中的一个含义是选择权。在早期的第三方监控案件中，被告还可以自行决定隐藏哪些个人信息，然而在疫情中，疫情数据已经成为人们生活的必需品，人们也就不得不接受信息监控所带来的危险。[28]与他人共同生活在共同体之下，对他人和共同体都负有责任的个人。这一认知决定了在特殊情况下任何基本权利都并非绝对，也都因此具有内在的可限性。每个人作为“与共同体相关的并受共同体约束的个人”，必须“为了迫切的公共利益（gemeinwohl），个人在原则上必须接受对其信息自决权的某种限制（Beschraenkung），[29]但在疫情后，信息采集部门必须恢复应然平衡，逐步摒弃该种限制。

三后疫情隐私保护

私法不仅给每个人提供了必要的发展其人格的可能性，而且由私法赋予的决策自由往往对主体而言更为有利。[30]由于个人信息实际上涉及到公共利益，公权对个人信息的管理是必要的。但公权的管理毕竟不能代替权利人自身的保护。面对现代社会中的开放的海量信息，应对的好就会积聚正能量，应对不好则可能会形成负能量，毕竟公权的管理资源是有限的，对大量的侵害个人信息的行为仍然需要通过保护私权的方式来实现。保护也是一种管理的模式，是治理无序状态的最佳选择。从这个意义上说，保护好了也是管理好了。[31]为保护隐私不受来自公权力的侵害，美国联邦最高法院认定隐私权是宪法上未列明的基本权利，逐渐形成宪法上自决性隐私和信息性隐私两大领域；为应对个人信息保护与利用问题，美国还通过制定相关保护信息隐私的成文法来加以规范。总之，美国隐私权存在于宪法、侵权法和各类成文法。有美国学者甚至将隐私权比喻为变色龙，即其含义根据其所在背景和语境的不同而不断变化。[32]因此，在疫情后社会秩序中，与疫情大数据相关的行业组织必须加强行业自律建设，在网络隐私认证规则、技术保护规范等方面形成行业自律规约，自觉接受监督。有权机关应推动形成全社会数据使用规范，从数据精度处理、数据人工加扰、数据周期保护、隐私数据特殊保护等方面入手，维护疫情个人信息安全。同时，还应提高公民依法保护个人信息安全的意识，规避大数据技术发展带来的疫情信息安全风险。在必要的情况下，及时寻求法律救济。[33]在疫情（COVID-19）后时代，确保个人对于疫情隐私信息的自我决定和自我控制，防止第三方借助数据处理技术无限度干预私人生活；而作为客观价值的信息自决权，又赋予公民要求公权力积极作为，通过提供机构和程序支持，有效促进和实现其信息自决权的权能；此外，基于基本权利客观价值属性的认知，人们同样可以合逻辑地推导出在公民信息自决权受到第三方侵犯时公权力的保护义务。[34]隐私侵权，“比流感蔓延的速度更快，比流星所蕴含的能量更巨大，比流氓更具有恶意，比流产更能让人心力憔悴”。但“有一个未来的目标，总能让我们欢欣鼓舞。就像飞向火光的灰蛾，甘愿做烈焰的俘虏，摆动着的是你不停的脚步，飞旋着的是你不停的流苏”。后疫情秩序中，应贯彻“手段的适度”和“限制的妥当”，即坚持比例原则，其为衡量国家限制公民权利是否正当的核心法则，而其也同样能够用以对公权机关对信息权和隐私权予以限制是否正当适宜的衡量。比例原则要求公权机关在搜集和使用个人信息时注意行为手段与目的的关联性，且确保信息搜集和使用都必须控制在对保护公益有所必要的限度内。反观抗疫初期，很多地方政府为求地方自保，而无限度详尽曝光武汉返乡人员的个人信息，甚至是悬赏追查武汉返乡人员信息，这种做法虽然有防御疫情的正当目的，但手段已远远逾越了必要限度，应被认为是对个人信息权和隐私权的严重侵犯。