文/北京华允律师事务所 李 毅 张灵岩
新冠脑炎疫情在我国得到有效遏止，大数据的运用功不可没，但公民个人信息被过度借助及大肆传播的问题异常严重，个人信息安全面临严重恐吓。
个人信息搜集常态化
新冠脑炎疫情防治之初，个人信息保护问题即造成全社会的高度关注。
2020年1月10日，吴某搭乘火车从北京返回广东蕉岭老家。1月24日晚，她在家庭微信群中见到一份“武汉回安义人员数据表”的表格。除她外，还有四五百人的个人信息被爆光，包括身份证号码、电话号码、具体家庭住址和火车信息等内容。因为信息泄漏，吴某收到好多骚扰电话和信息。据其提供的陌陌截图显示，有陌生人通过手机号码在陌陌上发起好友申请，然后直接发来“武汉的请回家”“劳驾自行在家隔离二周”“武汉毒人害人害己”等恐吓信息。
除回乡大学生，很多去上海出差、在北京工作节日回乡人员的信息也受到窃取。如一份名为“省厅推送上海回青（青岛）人员信息”的表格，表头显示“2020年1月6日至21日上海来青岛市人员”。该表格共有2257条，包括身份证号、手机号、户籍地详址、户籍地大队、来鲁形式、车次班次等信息，且大部分信息属实。
新冠脑炎疫情期间，个人信息搜集已经常态化。部分搜集主体要求网上填写，个别搜集主体则干脆提供一张表格要求依次填写。无论哪种方法，都难免使信息提供者担忧重重：个人信息搜集有法可依么？泄露后怎样维权？疫情后早已搜集的个人信息将怎样处理？
信息安全所涉个人信息范围
为杜绝个人信息非法搜集、滥用、泄露等顽疾，最大程度地保障个人的合法权益和社会公共利益，根据《中华人民共和国网络安全法》等相关法律，国家市场监督管理总局、国家标准化管理委员会于3月6日即将发布《信息安全技术 个人信息安全规范》（下称《规范》），并定于2020年10月1日施行。
根据《规范》，个人信息是指以电子或则其他方法记录的才能单独或则与其他信息结合辨识特定自然人身分或则反映特定自然人活动情况的各类信息。包括姓名、出生日期、身份护照号码、个人生物辨识信息、住址、通信通信联系方法、通信记录和内容、账号密码、财产信息、征信信息、行踪轨迹、住宿信息、健康生理信息、交易信息等。
将于2021年1月1日即将施行的《民法典》第1034条也对个人信息做出了规定，明确自然人的个人信息受法律保护，其中对“个人信息”的定义与《规范》相同。
《规范》同时对个人敏感信息作出规定，包括身分护照号码、个人生物辨识信息、银行帐户、通信记录和内容、财产信息、征信信息、行踪轨迹、住宿信息、健康生理信息、交易信息、14岁以下（含）儿童的个人信息等。对此，《民法典》将其作为私密信息认定,适用有关隐私权的相关规定。
收集个人信息的有权主体
根据我国现行法律规定，有权搜集个人信息的主体是遭到严格限定的，即便在疫情期，物业、商业主体、工作单位等未经授权的组织搜集个人信息亦欠缺法律依据。
首先，国务院卫生行政主管部门或则其他有关部门指定的专业技术机构、疾病防治控制机构、医疗机构等有权搜集。我国《传染病防治法》《突发事件应对法》《突发公共卫生事件应急条例》，对于政府机构等特定主体在疫情期间搜集公民个人信息且无需公民授权同意提供了正当性根据。
其次，社区、居委会在癌症防治控制机构的指导下，有权协助卫生行政主管部门和其他有关部门、医疗卫生机构做好疫情信息的搜集和报告工作。根据我国现行法律规定，城市社区和农村基层医疗机构承当城市社区、农村基层相应的传染病的预防工作，其在一定范围内行使个人信息搜集权限。
由于新冠脑炎疫情传染速率快，且目前仍未研发出有效预防的卡介苗，为防止固守做好防治工作，保护人民群众身体健康，出入公共场合皆面临不同程度的个人信息提供要求，在特殊时期针对特殊人群可以进行搜集，疫情减轻后应及时给以严禁。
收集个人信息的基本义务
个人信息一旦泄漏、非法提供或滥用可能害处个体的人身和财产安全，极易造成个人名誉、身心健康遭到损害或歧视性待遇等严重后果。因此，无论哪一级有权搜集机构皆应在搜集过程中依法进行。
首先，在特殊情况下，未经公民授权搜集个人信息的，必须向公民履行告知义务。相比通常个人信息的取得，敏感信息在取得程序上的要求愈发严格，根据《规范》，在搜集个人生物辨识信息前，应单独向个人信息主体告知搜集、使用个人生物辨识信息的目的、方式和范围，以及储存时间等规则，并征得个人信息主体的明示同意。
其次，个人信息的搜集范围应限定为“最小必要”，在满足目的所需的前提下尽可能搜集最少的个人信息类型和数目。
再次，应采取足够的管理举措和技术手段，确保个人信息的保密性、完整性、可用性不受侵犯。
最后，在个人信息有必要公开的情况下，尽量做“去标识化”处理，确保数据接收方未能通过公开信息辨识出特定个体。
个人信息遭泄漏后怎样维权
2020年4月13日，胶州居民的微信群里出现中心医院出入人员名单信息，内容涉及6000余人的姓名、身份证号码、联系方法等个人信息，造成了不良社会影响。胶州市公安局发觉后迅速展开调查。经查：叶某工作上将接到的随访人员名单信息转发至所在公司微信群，该群内的姜某将名单信息转发至家人群，其家人又继续转发传播。张某工作上将接到的随访人员名单信息转发至家人微信群，其家人又继续转发传播。以上3人的行为，造成中心医院出入人员名单在社会上被迅速转发传播，侵犯了公民的个人隐私。依据《治安管理处罚法》的相关规定，公安机关依法对叶某、姜某、张某给与行政拘留的处罚。
个人信息被泄漏后，根据侵犯结果的严重程度，侵权人可能须要承当行政责任、民事责任，甚至刑事责任。上述案件中，传播者施行的违法行为因社会危害性不大仍未违犯民法，被行政拘留；与此同时，被侵权公民有权提起民事诉讼，要求侵权人对其隐私权遭到的损害承当民事赔偿责任。
根据我国《刑法》第253条的规定，疫情防治期间，泄露公民个人信息严重的，构成侵害公民个人信息罪，情节严重的，处七年以下有期徒刑或则判刑，并处或则单处罚款；情节非常严重的，处三年以上三年以下有期徒刑，并处罚款。
综上，个人发觉信息泄漏后可以按照具体情况，到公安部门报警，或到人民法院提起诉讼。
疫情结束后的个人信息处理和保护
中央网络安全和信息化委员会办公室于2020年2月4日发布《关于做好个人信息保护借助大数据支撑联防联控工作的通知》，就个人信息搜集使用后的处理做出了规范。
首先，对已搜集的个人信息采取动态删掉。对于疫情期间搜集的个人信息，在保存时间符合防治疫情须要时即可删掉，未必须要等到疫情完全结束，以此减少个人信息被泄漏及非法借助的风险。不同行业的搜集主体也纷纷做出申明，如多家航空公司在采集乘客信息时皆承诺，数据仅用于疫情防治，疫情结束以后，将全部销毁。
其次，建立健全的信息管理及保护机制。此次疫情防治过程中，各级政府皆加紧完善个人信息采集、存储、应用、去隐私化和销毁全流程管理机制；同时，政府各个部门密切合作，针对买卖等侵害公民个人信息的行为，加大专项检测以及排查力度，严厉严打非法借助个人信息的违规产业。
个人信息的广泛搜集无疑推动了新冠脑炎疫情在我国的有效抑制；与此同时，疫情也促进了个人信息保护立法的必要性和迫切性。两会期间，杨元庆等多位代表对个人信息保护提出建议和议案。5月25日，十三届全省人大三次大会第二次全体大会举行，全国人大常委会工作报告在下一步主要工作安排中强调，围绕国家安全和社会整治，制定《生物安全法》《个人信息保护法》《数据安全法》，新法将与《网络安全法》一起构成我国的信息保护基础性法律体系。
