为了公共利益，法律要求人民临时让渡出个人信息自决权，允许法定公共管理部门合理使用个人信息。可以说，相比其他各国，大数据应用是中国疫情防控取得伟大胜利的法宝之一，个人让渡信息自决权的收益是获得了全世界最好的公共卫生安全。但公共利益的边界只能由法律法规划定，任何划设的恣意或者越界，都将威胁个人的人格尊严，甚至公共利益本身。

涉疫情个人信息处置不能考虑功利

9月3日，苏州市公布了“苏城码”APP的重磅升级，推出全国首创的“苏城文明码”。按照官方的描述，“一人一码”构筑文明积分，让“文明”成为每个市民的通行证，文明积分等级高的市民将会享受工作、生活、就业、学习、娱乐的优先和便利。

听起来，这个“文明码”是城市管理部门管理精细化、数字化的体现，是一种值得提倡的管理创新。然而，该新闻甫一面世，没有等到社会的掌声，反倒是遭到了几乎一边倒的质疑声。9月6日，相关部门就宣布结束试用以平息舆论。

事实上，苏州的做法并非孤例。几乎所有地级以上的市、省级政府在疫情期间都组织开发了健康码APP和小程序，在疫情稳定后，很多地方政府都已经在考虑如何再利用已经收集的个人信息和数据。苏州利用健康码APP增加城市管理的功能，这毕竟还是公共事务，但不少地方甚至已经在研究如何交由企业商业化，将已有的用户资源利益最大化。毕竟开发健康码APP也是花了不少钱的，更重要的是，几乎所有本地人都已经强制成为了用户，这样的机会并不多，甚至就是千载难逢的机遇。

事实上，中央网信办在《关于做好个人信息保护利用大数据支撑联防联控工作的通知》中明确指出，“为疫情防控、疾病控制收集的个人信息，不得用于其他用途”。也就是说，国家早在疫情初期，已经对涉疫情个人信息的处理有了规定，地方任何试图功利化利用涉疫情个人信息的做法都是违规的。

从法律的角度看，《网络安全法》第四十二条明文规定，“未经被收集者同意，不得向他人提供个人信息”。《个人信息保护法（草案）》第二十条规定：个人信息的保存期限应当为实现处理目的所必要的最短时间。《个人信息安全规范》6.1要求，个人信息存储期限应为实现个人信息主体授权使用的目的所必须的最短时间。超出上述个人信息存储期限后，应对个人信息进行删除或匿名化处理。可以说，有关法律和规范，对涉疫情个人信息在疫情防控结束后，也就是收集的目的实现后，如何处置个人信息已经有了非常明确的规定。

更重要的是，为防控疫情收集的个人信息，其目的是为了防疫之公共利益，是在紧急情况下的应急行政行为，并没有取得个人的同意，除了存储期限以外，任何偏离疫情防控的个人信息再使用、流动或转移，都与我国个人信息保护所确立的“告知同意”准则相悖，均属于违法行为。

需要提醒的是，个人信息违法处理还涉及犯罪。《刑法》对此也有明确的规定：

第二百五十三条之一【侵犯公民个人信息罪】

违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金;情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。

按照2017年5月《最高人民法院 最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》，非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息五十条以上的；非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息五百条以上的，应当认定为刑法第二百五十三条之一规定的“情节严重”，也就是可以判处三年以下有期徒刑。“造成重大经济损失或者恶劣社会影响的”，就可以被认定为“情节特别严重”，刑期甚至可以达到三年以上七年以下。

对于由国家公共机构因防疫而收集的个人信息，“情节严重”的认定标准更低，“将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人，数量或者数额达到第三项至第七项规定标准一半以上的”就达到了“情节严重”的认定标准。

当然，《网络数据处理安全规范》还是留有特殊通道，只不过对例外设置了较高的门槛，“指定机构收集掌握的个人信息，未经个人信息主体同意，不得公开或者非法向他人提供，不得改变用途。确需公开、向他人提供或者改变用途的，应报指挥部或者国务院卫生健康行政部门同意”。也就是说，一些地方要再利用涉疫情个人信息，需要经过国务院或者国家卫健委批准同意，地方并不能擅自决定。

个人信息保护是当前国际互联网治理的热点和焦点，国家从战略的高度将之确立为社会治理的重点工作，既是保护公民个人的合法权利，也是国际互联网治理竞争的需要。无论涉疫个人信息利用的价值有多大，已经花费了多大的成本，我们的各级政府也要抵挡住这样的诱惑，政府守法就是最好的普法。个人信息保护真正得以实现，并不能寄希望互联网企业对于个人信息保护发自内心的尊重，而是来自于多重制度性保护。当下，没有什么能比政府的率先垂范更有力量。

制度是价值的外化。个人信息保护需要政府躬先表率，向全世界展示中国政府保护用户个人信息的坚定决心，让全世界看到中国政府能够在疫情期间向自己的人民提供最好的生命保护，但并不是以牺牲个人的人格权益为代价。

注1：包括《关于加强网络信息保护的决定》、《消费者权益保护法》、《电子商务法》、《网络安全法》，以及《民法》、《刑法》修正案、《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》等法律和司法解释；工信、网信等监管部门制定的部门规章，如国家网信办制定的儿童《个人信息网络保护规定》、《数据安全管理办法（征求意见稿）》，工信部制定的《电信和互联网用户个人信息保护规定》等。

注2：包括《信息安全技术个人信息安全规范》、《信息安全技术 网络数据处理安全规范（征求意见稿）》、《APP违法违规收集使用个人信息行为认定方法》、《信息安全技术个人信息告知同意指南（征求意见稿）》、《信息安全技术移动互联网应用（APP）收集个人信息基本规范（征求意见稿）》、《网络安全标准实践指南——移动互联网应用程序（APP）收集使用个人信息自评估指南（征求意见稿）》、《APP用户权益保护测评规范》和《APP收集使用个人信息最小必要评估规范》等。

注3：《民法典》第九百九十条第二款规定：“除前款规定的人格权外，自然人享有基于人身自由、人格尊严产生的其他人格权益。”

本文系观察者网独家稿件，文章内容纯属作者个人观点，不代表平台观点，未经授权，不得转载，否则将追究法律责任。关注观察者网微信guanchacn，每日阅读趣味文章。