引言：
伴随着第三次科技革命的进行，人类步了信息化社会。在信息化社会的大背景下，信息成为了重要的生产力要素。
2006 年 5 月，中共中央办公厅、国务院办公厅印发了《2006—2020 年国家信息化发展战略》，较早对我国的信息化发展做出了全面部署。
2021年 8 月，中共中央、国务院印发了《法治政府建设实施纲要（2021－2025 年）》，纲要明确指出要全面建设数字法治政府。
国务院常务会议也审议通过“十四五”推进国家政务信息化规划，部署加快建设数字政府、提升政务服务水平。
由此可见，我国高度重视信息化发展，并且经过不懈努力，使得我国信息产业从无到有，成为了国民经济的基础产业。
但毋庸讳言的是，我国在信息使用方面仍存在诸多不足，尤其在个人信息领域，存在着大量不当使用公民个人信息的情形。
在当今信息社会中，要想提升公民基本生活的安全感，同时加快信息社会的健康有序发展，实现国家治理体系和治理能力现代化，最基本的要求就是政府能够合法高效地使用公民个人信息。
公共卫生的特殊性与原则
为了合法高效地使用个人信息来处理突发公共卫生事件，我们必须首先明确个人信息的性质与判断标准，进而对突发公共卫生事件中个人信息的范围和使用原则进行合理界定。
需要说明的是，根据国务院制定的《突发公共卫生事件应急条例》的相关规定，突发公共卫生事件除了重大传染病疫情以外，还包括了其他严重影响公众健康的事件。
本文所称的突发公共卫生事件主要是以新冠肺炎疫情为代表的重大传染病疫情，原因主要有以下两点：
第一，新冠肺炎疫情的持续时间长，所产生影响的广度和深度是前所未有的；
第二，虽然以前我们进行过 SARS、禽流感等疫情的防控，但新冠肺炎疫情发生在信息化时代背景下，我们首次大规模地使用大数据手段进行疫情防控。
因此，无论是疫情本身所产生的影响，还是所采取的防控手段，都极具代表性。
所谓“知情同意”，是指在收集和使用公民的个人信息时间，应明确告知其相关情况并征得本人授权同意，也有学者称其为“告知同意”。
该原则不仅要求保障信息主体在被收集信息之前的知情权和同意权，还保障了信息主体能够制止信息使用者违反约定的公开目的而进行的信息公开。
“《关于隐私保护和个人数据跨境流通的指南》是经济合作与发展组织（OECD）颁布的一部数据使用指南。指南指出，一般情景下收集个人信息数据需获得信息数据主体的同意，并且对于信息的使用必须限定在为兑现征求同意通知书中所罗列的目标之必要的最小信息数据量，并且没有得到新的同意时，出于其他不相关的目的的实现，不能使用这一信息。”
因此，一般情况下公开个人信息都应当遵守知情同意原则。
我国对知情同意原则也作出了相应规定。
《个人信息保护法》在第二章“个人信息处理规则”中分别对一般信息和敏感信息进行专节规定，对两者适用不同的处理规则，并对二者的知情同意原则作出了不同的规定。
具体表现为，对于一般信息，在“一般规定”这一节中，第十三条第一款确定了个人信息处理者可以使用个人信息的七项情形，第二款规定了不需要取得信息主体同意而进行处理的条件。
亦即上述七项情形中有六项是不需要取得个人的同意即可进行使用，只有突发公共卫生事件为不需要取得同意的情形。
但需要注意的是，这里只是免除了信息处理者取得同意的义务，并未免除其告知信息所有者的义务，也即信息所有者仍有知情的权利。
而对于敏感信息的处理，《个人信息保护法》明确规定原则上必须取得信息主体的同意 30 。
由上述规定可知，不同于一般信息的使用，对于敏感信息的使用，即使是在突发公共卫生事件中，原则上也必须要取得信息主体的单独同意。
综上，只要是出于疫情防控的目的，经过有权机构的同意，便可以不在信息主体同意的前提下对一般信息进行使用，“在疫情的防控过程中，个人信息所包含的公共利益属性由于疫情原因而呈现出最大的价值。依照相关法律法规，在疫情防控中，出于公共卫生利益的考虑，拒绝信息采集的权利并不被个体所享有。”
这是因为个人信息兼具个人属性与公益属性，当二者发生冲突时，行政机关出于维护公共利益，基于权利不得滥用和公序良俗原则，可以对公民个人信息权利进行一定的限制，这样一种对知情同意原则的例外规定，其本质是个人利益对公共利益的让步。
“在疫情防控中，如果仍完全机械地坚持‘同意或授权’的原则来使用个人信息，那么在疫情中，大数据分析的应然作用将不能得到发挥。”
从这一层面上讲，在突发公共卫生事件中对知情同意原则进行一定的限制，有其合理之处同时也是现实所必需的。
但是就敏感信息的使用而言，法律还是采取了较为谨慎的态度，原则上仍需取得信息主体的同意，这是因为敏感信息关系到信息主体的基本权利，敏感信息泄露之后给信息主体带来的危害远高于一般信息，因此，要求行政机关在使用敏感信息时采取更为谨慎的态度和更加严格的脱敏处理手段是利益衡量的结果。
法律允许在特殊情况下，对一般信息可以不经信息主体同意而使用，但仍要求使用者应当采取有效手段保护信息主体免受损害。其符合行政法的基本原则与价值追求，维持了公共利益与个人利益的平衡。但在实践中却经常出现二者失衡的情形。
在新冠肺炎疫情防控中表现为由于没有正确区分一般信息和敏感信息，从而导致了信息处理主体在使用信息前、使用信息过程中和使用信息后均不同程度错误使用了对知情同意原则的限制。
具体表现为对于部分信息甚至是敏感信息的收集并不是为了满足“控制事件扩大、减轻事件危害而必须收集”的要求；许多信息主体并不知道自己的信息会向谁公开，有时也不得不“同意”自己信息的公开。
就算是为了实现控制疫情扩大等特殊目的，“同意”也应当是有关机关公开公民个人信息重要的合法性来源，“在《通用数据保护条例》第二章中规定，至关重要的用以判断数据处理是否合法的标准，关键在于信息主体是否同意。
虽然‘同意’没有被列为‘数据主体的权利’，但是最能体现信息的主体地位以及‘信息自决’精神的权利必定是‘同意’的权利。信息主体由于信任处理者而对特定数据的处理表示同意，意味着信息控制者必须承担相应的法定义务。同意必须是实在的，而不能是凭空做出，必须以适当的通告、解释以及使用被信息控制者所提供为前提条件。”
但是我国现有立法规定中关于“同意”的规定大多属于原则性规定，“没有涉及实际的规范内容，因此不可以确保自主性被信息主体所确定。同意原则一旦运用不当，便可能会异化成为一种方便的推卸责任机制。”
在实践中，许多小区、超市均要求进入人员提供姓名、身份证号、近期行程等个人信息，否则禁止入内，出于生活需要，普通人根本无法拒绝提供这些信息，而这些信息中有许多是属于个人敏感信息，并非属于可以不经信息主体同意的一般信息，有且将之视为一般信息，小区、超市这类主体也缺乏对其有效保护的能力。
同时，这也在事实上造成了任何行政机关或社会组织都可以不在信息主体同意的前提下对相关信息甚至是敏感信息进行使用并且无需有关行政部门同意。
问题产生的原因
造成个人信息被不当公开的原因是复杂多样的，单从技术层面上而言，主要是由于技术本身的特点和技术发展的不完善所造成的。
以在疫情防控期间经常被收集的个人行程信息为例，我国通过收集个人近期的行程信息以确定公民是否前往或途经过疫情高风险地区，对所乘航班和铁路信息判断其是否接触过确诊患者。
这些信息的收集在本质上都是对公民位置信息的确定，在技术层面上，主要是通过 GPS、WI-FI 等底层技术和蓝牙这两种技术方式进行确定，“接触追踪程序要解决的首要问题是如何精准辨别使用者之间的接触情况。
不同用户之间的位置关系要想被获取，一般是由两种技术来实现，第一种是通过底层技术直接获取使用者精确的位置信息，比如通过 GPS、基站数据和 WI-FI等方式来获取，第二种判断接触情况的方式是通过测算比对用户之间的相对距离来进行判断，而这一相对距离的测算需要依赖蓝牙信标技术。”
这些信息的收集同时也依托于智能手机、汽车等通信或交通工具。
对于通过智能手机来收集位置信息的这种方式而言，其实现途径主要表现为 GPS 手机、增强型时差定位技术和 A-GPS（网络辅助 GPS）定位技术三种类型；对于通过汽车等交通工具来收集位置信息的这种方式而言，其实现途径主要表现为车载 GPS 这种技术类型。
上述这些技术本身的运作原理导致其天然存在着信息泄露的风险。
在处理这些信息时，主要分为了由政府职能部门或公共卫生机构集中部署管理的数据库中统一处理，进行分散化处理的是在使用者自身的移动通信设备的终端上进行，而这些终端是分布在网络节点上的。但“但由数据库的统一存储存在着隐私风险，比如被政府监控，同时更容易成为网络攻击的目标，更利于私人信息和隐私保护的是分布式的数据处理方式。”
亦即无论是统一处理还是分散化处理，均存在着泄露的风险。
结语
新冠肺炎疫情是自新中国成立以来，“SARS”疫情之后的又一次重大的突发公共卫生事件。在当今信息社会的时代背景下，运用大数据等新兴技术是控制疫情发展，保障社会生活稳定的有效措施。
在此次疫情防控中，使用个人信息时所出现的种种问题，突显了我国在保护公民个人信息安全方面的缺陷与不足，这需要通过我们的不懈努力方能有所弥补。
我们需要在立法和体制建设方面不断发力，对现有的敏感信息类型进一步作出细化规定，合理区分出不同类型信息的敏感性进而采取不同程度的保护手段。同时，我们还需要完善体制机制建设，加强各部门之间的沟通，理顺各部门之间的关系，明确个人信息的使用主体和使用权限，运用整体性思维去解决在突发公共卫生事件中使用个人信息时所遇到的问题。
唯如此，方能既保护好公民的个人信息安全，又能高效地使用个人信息达到防控疫情的目的，才能打赢这场在信息社会中的疫情防控保卫战，逐步构建起具有人文关怀的个人信息使用体系。
