查看原文
其他

疫情防控 | 数据资源流转与公开

宁宣凤 吴涵 金杜研究院 2020-09-01

目前,国家各级卫生健康部门及疾控部门是新型冠状病毒相关疫情防控工作的先锋队伍,指导、协调各地各级医疗机构展开患者确诊、隔离、救治、防护的工作。与此同时,此次突发公共卫生事件的应急处理也需要国家其他部门的积极参与和协调。例如农业、林业、动物疫病防控等多部门在野生动物管控方面的协调配合;交通运输部门及时开展人员追踪;社区街道工作机构对于社区人员流动的管理;市场监管、民政等部门针对疫情防控期间民众的基本生活物资保障的协调联动,等等。建立针对疫情的高效联防联控机制,是应对突发公共卫生事件的重要基础。

我们在上一篇文章(疫情防控|同舟共济——不同场景下健康医疗数据流转的合规路径)中以场景化的方式针对疫情防控工作中各类健康医疗数据信息的共享路径及合规机制进行了探讨。接下来,我们希望以疫情防控下的数据资源流转与公开为出发点,进一步分析如何保障疫情相关的数据资源在不同政府部门之间有序传递,如何在保障公众对于疫情传播与防控情况知情权利的基础上,实现疫情相关数据资源的合理公开。

1

正当时——突发事件应对下的数据流转与公开

_

(1)突发公共卫生事件下数据资源流转

我国在传染病防治、突发事件应对领域的法律、行政法规对于包括疫情控制在内的突发公共卫生事件信息的流转提供了上位法支持。

表一 突发公共卫生事件信息流转

可以看出,在包括传染病在内的突发公共卫生事件中,各级卫生行政管理部门、疾病预防控制机构以及各级人民政府、军队等,构成公共卫生事件相关信息首要的通报主体与对象。通报的数据资源不仅包括各类传染病疫情、公共卫生事件的具体情况,也概括性地包含与疫情或事件相关的信息,理论上授权政府及有关责任部门全渠道掌握、互通各类疫情相关信息。这对于保障疫情防控相关责任部门完整掌握疫情的各类数据资源,帮助责任部门进行及时、必要的防控决策,将各类疫情排查、管控、保障措施落到实处等至关重要。

另一方面,如前文所述,疫情控制不仅仅限于针对患者的确诊、隔离、救治、防护以及相关医疗健康数据的流通,在疫情爆发期间,针对包括患者在内的人民群众基本生活保障与健康防护还将依托各疫情防控参与部门在各自职责范围内的积极落实与信息流转。(详见表二 疫情防控下常见数据流转场景)。针对特定疫情的防控工作,同样需要关注不同疫情防控参与部门之间的有序信息资源互通。对此,法律法规对于特定场景的信息流转也提供了一定依据,例如在《突发事件应对法》下,地方政府部门出于突发事件影响评估的目的,在必要情况下可组织相关部门、专业技术人员、专家学者会商;在《国家突发公共卫生事件应急预案》中,也对各有关部门之间的资源共享提出了概括要求。

针对此次新型冠状病毒肺炎,国家卫生健康委员会在一月中下旬牵头成立了“应对新型冠状病毒感染的肺炎疫情联防联控工作机制”(下称“联防联控工作机制”),成员单位含32个政府部门,下设疫情防控、医疗救治、科研攻关、宣传、外事、后勤保障、前方工作等工作组。[24]联防联控工作机制的成立,为参与疫情防控的成员单位之间明确职责,分工协作,形成防控疫情的有效合力起到了至关重要的作用,也为成员单位之间就疫情相关数据资源的流转互通搭建了平台。例如,联防联控工作机制于1月23日发布的“肺炎机制发〔2020〕2号”文件就强调各地交通运输、海关、边检等部门卫生管理和检疫工作的相关信息须向卫生健康部门通报。

表二 疫情防控下常见数据流转场景

(2)突发公共卫生事件下数据资源公开

对于传染病等疫情事件的防控,除依赖于医疗机构及政府部门的积极措施外,更离不开公众的配合参与。保障公众对于疫情发展及管控情况的知情权利,是建立普通民众对于疫情事态的正确认知、提升民众对于疫情防护措施的理解与重视程度的重要方法。在传染病和突发公共卫生事件应对领域,建立疫情信息资源公开机制同样是相关法律法规明示的必然要求。

表三 突发公共卫生事件信息资源公开基本要求

就本次疫情防控工作而言,国家及地方各级卫生健康部门在疫情数据的更新和公布工作中承担了重要角色。例如,国家卫生健康委员会在其官网主页设置了疫情发展的通报专栏,定期更新新型冠状病毒肺炎疫情的最新情况,如确诊病例、疑似病例和死亡病例数据[38]等。在信息资源公开的范围上,相关法律、行政法规从制度建立的角度对信息公布和公开机制同样进行了概括性的规定。而《卫生部法定传染病疫情和突发公共卫生事件信息发布方案》则对公共卫生事件的公开内容做了细化。作为突发公共卫生事件信息发布制度的具体实践,本次疫情防控工作中铺天盖地而来的信息资料,则从更加微观的角度帮助我们具体了解突发公共事件所公开的信息资源类型。以下是我们根据公开渠道信息总结的,由各级各类官方机构公开的与本次疫情防控相关的信息数据示例:

表四 目前公开的疫情防控信息数据示例

在上述信息内容中,不乏存在政府机构与具有数据分析能力的大数据平台公司合作发布相关信息的情形。例如,国家预警信息发布中心与百度联合推出了疫情大数据的实时查询服务。[39]通过二者联合建立的疫情实时大数据报告平台,普通公众即可快速了解疫情的事实分布情况,并可查询不同省市在疫情爆发期间的人口迁入和迁出情况。除此之外,公众还可在该平台上查询与病患是否同乘交通工具、全国各地确诊小区位置等。根据该平台的数据说明,平台数据主要来源于国家及各省市区卫建委、各省市区政府、港澳台官方渠道公开数据。

2

虑深远——突发事件应对下数据资源流转的合理边界

_

以上从我国在突发公共卫生事件应对中的政府机构之间信息资源流通制度,结合本次新型冠状病毒肺炎防控的相应实践做法,可以窥见主管机构在处理和应对突发事件背景下,为切实做好事件防控工作而在信息资源流转方面的基本路径。但另一方面,除原卫生部发布了针对法定传染病疫情和突发公共卫生事件信息发布方案外,目前对于疫情等类似公共卫生事件涉及的信息流转规则尚无统一规定,本次针对新型冠状病毒肺炎的各类防控文件也主要宏观强调了信息互通和公开发布的要求。在疫情爆发的当下,日益发展的数据分析技术为政府机关有效掌握各类疫情相关数据提供了极大的便利,如何设定这些数据的流转使用的边界,是当下和未来突发事件应对需要研究和落实的问题,也是治理能力现代化的必经之路。

(1)疫情防控下数据资源互通的具体规则

谈及突发公共卫生事件下的政府部门协作与数据资源互通,则自然会联想到当下引发热烈讨论的政务大数据共享问题。在推行电子的政策背景下,全国各地政务数据整合共享工作正如火如荼开展,这为我们讨论突发事件背景下数据的互通提供了一个有力切入点:相较于一般情形下的数据共享,突发事件应对中的数据互通有何不同特点?是否能够合理沿用一般政务数据共享的规则与思路?

相比之下,我国现行法律法规及政策文件能够为一般情形下的数据共享提供更为完整和体系化的规范指引。早在2006年,国家信息化领导小组印发的《国家电子政务总体框架》就强调了以“政务信息资源开发利用为主线,建立信息共享和业务协同机制”;国务院于2015年印发的《促进大数据发展行动纲要》则明确指出数据的开放共享是国家数据战略的核心,并将“加快政府数据开放共享,推动资源整合,提升治理能力”列为三大任务之首;2016年颁布的《政务信息资源共享管理暂行办法》(下称“《暂行办法》”),则以行政法规的形式对部门间政务信息资源共享工作进行规范。在此背景下,各地政府纷纷积极响应,制定并发布政务数据共享的相关政策规范已成为各地的普遍做法。

《暂行办法》将政务信息资源定义为“政务部门在履行职责过程中制作或获取的,以一定形式记录、保存的文件、资料、图表和数据等各类信息资源”[40],且规定了一系列的信息共享原则,包括“以共享为原则、以不共享为例外”、“需求导向,无偿使用”、“统一标准,统筹建设”、“建立机制,保障安全”[41]等,要求建设各级共享平台,按照“无条件共享”、“有条件共享”、“不予共享”的数据资源共享类型,制定各地各级政府部门数据资源目录[42],形成以共享平台为依托的数据资源共享管理体系。

从政务信息资源定义出发,不难理解在突发公共卫生事件应对过程中,包括卫生健康部门在内的各政府部门为履行疫情防控工作而形成、获取的信息资料均可落入政务信息资源的范畴,参与疫情防控的政府部门为履行各自职责所需而获取、使用其他部门的数据资源或向其他部门提供数据资源理论上也可以适用。不过,由于公共卫生事件的突发性质和紧迫程度,使得相较于常规的信息资源共享,疫情防控相关信息的互通需求更加迫切。并且,突发事件往往可能引起严重的社会危害,从降低事件的影响程度和最大限度内保障公共健康等社会公共利益角度来看,政府机构之间在数据资源的互通范围和机制上也有一定合理理由保持相对的灵活性。

当然,这一灵活性诉求确乎有赖于统一的规范文件给予指引。除了常规的政府数据资源共享制度可供参考外,针对突发事件的应急规范文件则更加对口和贴近疫情防控状态下各政府部门联动与信息资源共享工作。如前所述,我国已颁布了《国家突发公共卫生事件应急预案》,但针对各部门的信息资源互通尚缺乏专门的规定和具体细则。据此,可以考虑在相关的应急预案中,适当参考常规数据资源共享的流程条件,增加突发情形下的政府信息流转工作指引,不仅能够便利各政府部门依法有序开展数据资源共享,也进一步提高了疫情防控工作的透明度,提高政府公信力。例如,可要求各政府部门针对突发事件形成类似的数据资源目录。此前国家发展改革委和中央网信办印发的《政务信息资源目录编制指南(试行)》作为常规政务信息资源目录编制的指引文件[43],也可对各政府部门编制突发事件应对下数据资源目录提供参考指引。

此外,数据资源共享的标准化也可成为统一数据资源共享规则指引的有力措施。我国多项国家政策均强调要充分发挥标准化在数据开放共享工作中的作用[44],全国信息技术标准化技术委员会大数据标准工作组也积极响应政策要求,组织研制了多项数据开放共享的国家标准草案,旨在建立数据开放共享衡量标准和评价方法。针对突发事件下的数据资源共享,也可考虑根据不同政府部门在突发事件应对中承担的不同职责和与因职责关联所需要获取的数据信息类型,针对数据的共享主体、共享程度设计相对统一的划分标准。

(2)数据资源流转的合理边界

除政府数据资源共享外,在大数据时代个人信息相关权益的合理保护一直以来也是广为关注和讨论的话题。以个人信息保护为例,《网络安全法》、《民法总则》等在法律层面原则上要求个人信息的收集、使用以“正当、合法、必要”为原则,以获得“个人信息主体同意”为先决条件[45]。

在此前的文章中,我们对于政府部门从各渠道获取、共享医疗健康以及其他与疫情防控密切相关的信息过程中所可能涉及的个人信息及健康医疗数据保护问题进行了场景化的剖析。但仍需要解决的问题在于,即便能够在信息获取的渠道和类型上建立一定的合法和必要性基础,如何保障信息收集的合法依据支持后续数据流转和公开?

① 数据资源的互通

如前所述,疫情防控背景下不同政府部门收集的各方信息不乏指向特定患者或其他特定个人的多类型数据,包括个人的基本资料、行踪轨迹以及相关的诊疗救治信息。这些信息数据均有可能构成疫情相关信息,作为《传染病防治法》中各级卫生行政部门、疾控部门及人民政府以及相关部门互相通报的数据客体,理论上是政府部门履行法定义务所必须互通的内容。如果上述数据中包括个人信息,在无法或者无法及时获取个人信息主体同意的场景下,《传染病防治法》以法律层级的规定,在法理上不排除能够作为个人信息主体同意原则的例外情况。但需要进一步确认的问题在于:
  • 对于其他部门而言,例如对于在疫情防控工作性质上与病患排查、诊疗救助存在一定距离的其他联动部门(例如服务于海外物资捐赠工作的外汇及海关部门)如需获取具体病患的个人信息,是否也需要建立一定的必要性基础。

  • 突发事件中的数据流转,比如《突发事件应对法》要求各级人民政府及相关部门之间的突发事件信息系统实现互联互通是否能够为疫情防控背景下各相关部门实现疫情相关信息的完全互通提供法律依据,涉及个人信息流转时,无需获得个人信息主体同意。

国外在突发公共卫生事件数据资源共享方面的制度建设值得我们思考:

  • 信息共享内容的明确列举

    欧盟于2013年通过的《欧洲议会和欧盟理事会关于严重的跨境健康威胁的决定》(下称“《决定》”)[46],在欧盟成员国国家层面内建立了针对严重的健康威胁的早期预警和响应系统(EWRS,即Early Warning and Response System),为欧盟委员会和各成员国机构之间建立了信息互通渠道。《决定》同时明确欧盟委员会或相关成员国主管当局在满足特定的条件应当通过EWRS发出警报告知,并对警报告知的具体内容进行了明确列举,其中包含“接触追踪目的所必需的个人数据”[47]。而针对该等个人数据的共享,《决定》明确应符合“95指令”[48]等个人数据保护规则,同时对于该等个人数据可共享的机构范围以及留存时间等进行了限制。

  • 个人数据保护规则的多项合法依据

    欧盟的个人数据保护制度本身设置多项除“知情同意”以外的个人数据处理的合法性基础,从而能够为公共健康事件应对中个人数据的处理活动提供适当的法律依据。例如,如为保护数据主体重大利益或其他自然人重大利益而必须处理个人数据,为了公共利益或基于公共职能执行任务而处理个人数据的,均能够建立个人数据处理的合法基础。而在针对公共健康事件信息共享机制中,《决定》对于个人数据共享的时空范围限定也进一步确保了欧盟个人数据保护下个人数据处理原则的具体落实,从而形成公共健康事件信息共享与个人数据保护的有效衔接。

② 数据公开

相对于数据互通,疫情相关数据的公开由于面向广大不特定公众,同时可能涉及直接个人的高度敏感信息,因此对于个人信息主体相关权益的保护更应慎之又慎。

图一:疫情相关数据流动示例

比如,在确诊患者密切接触者排查工作中,由于人员流动的复杂性,想要精确找寻确诊患者在交通、差旅、公共场合密切接触过的所有人员往往存在较大的难度,此时将患者的出行轨迹及户外活动信息向社会公开,由密切接触人员自行申报则成为人员排查的有效措施,而这难免会涉及确诊患者的住址、行踪轨迹信息的公开。在这一场景下,确诊患者相关信息的披露范围则应当受到必要性的检验。此时,为实现人员排查目的的必要,确诊患者可能与外界人员产生接触的特定时间、特定位置(例如何时乘坐了哪一趟航班、何时在哪一商场购物等)则足以帮助公众识别其是否与确诊患者接触,对于与该确诊患者有关的其他信息(如姓名等),相关机关在信息资源公开的过程中则应慎重对待。此外,如前所述,为有效开展疫情防控的信息资源公开工作,政府机关在部分场合也会与具备相应数据分析能力的企业合作开展疫情信息的对外公布。而另一方面,这些公开的信息数据也将成为其他企业用于向公众提供疫情信息相关服务的重要数据资源。这同样对于政府部门信息资源公开过程中的个人信息保障提出了要求。考虑到相关公开数据将可能成为企业未来商业化使用的资源素材,无论是在政企合作背景下向企业输送相关数据资源,还是依据职权自行公开相关数据的场景,对于涉及个人隐私的相关数据资源公开共享予以合理限制,具有一定的必要性。

结语:

随着疫情在全国范围内扩展,作为这场疫情阻击战的参与者,普通公众从公开渠道获得各种疫情信息,能切实感受到各地政府部门在防控措施上更加谨慎和周密。疫情数据严密监视着病毒的扩散路径,并为政府控制疫情的正确决策和高效行动提供有力的支撑。

疫情防控工作离不开多个政府部门的积极联动,疫情相关的数据信息在各部门之间的有序流转将进一步提升各部门的联动效能和执行力度,相关数据的有序公开也将有助于提升政府工作服务的透明度,建立广大民众对于疫情防控的普遍意识。对政府数据互通和公开的法理研究是帮助提高政府现代化治理能力的关键和前提。以此次疫情为契机,完善政府数据有序流转和公开,厘清突发事件与常规场景下数据流转的关系,将对提升政府现代化治理能力作出贡献。

——— 本文作者 ———

宁宣凤

合伙人

合规业务部

susan.ning@cn.kwm.com

___

宁宣凤律师的主要执业领域为反垄断与反不正当竞争,以及网络安全与数据合规。在反垄断领域,宁律师所提供的法律服务内容主要包括经营者集中反垄断申报、应对反垄断行政调查、反垄断法合规咨询以及反垄断诉讼。早在2008年《反垄断法》实施之前,宁宣凤律师就曾积极参与政府起草该项法案的咨询工作,并在该法颁布后,继续积极参与协助相关条例、实施办法及指南的起草工作。在网络安全与数据合规领域,宁律师曾为多家国内外知名企业提供数据合规尽职调查、风险评估、合规体系建设等法律服务。作为国内最早涉足该类法律实务的律师之一,宁律师在为客户提供网络安全与数据合规法律咨询服务方面有着丰富的经验。

_

吴涵

合伙人

合规业务部

wuhan@cn.kwm.com

___

吴涵律师的主要执业领域为网络安全与数据合规。吴律师协助客户制定修改隐私政策,制定跨境数据传输计划,制定数据商业化合规方案,梳理企业数据(包括个人信息保护)合规体系,进行网络安全和数据合规自查,协助搭建数据融合的商业及合规框架,构建企业数据资产体系,进行内部网络安全和数据合规培训等。吴律师擅长从中国数据合规的角度为跨国企业在中国的分支机构提供网络安全和数据合规意见。同时吴涵律师能够立足中国相关法律法规,为中国走出去企业建立符合欧盟(GDPR)及美国等跨司法辖区要求的网络安全与数据合规体系。项目覆盖金融、保险、数据风控、网约车平台、航空、消费电子、互联网广告、汽车、电商等多个行业。

陈胜男

律师

合规业务部

高锐

律师助理

合规业务部


__

[1] 参见《中华人民共和国突发事件应对法》第三条。

[2] 参见《中华人民共和国突发事件应对法》第三十七条。

[3] 参见《中华人民共和国突发事件应对法》第三十七条。

[4] 参见《中华人民共和国突发事件应对法》第四十条。

[5] 参见《中华人民共和国突发事件应对法》第四十条。

[6] 参见《中华人民共和国传染病防治法》第三条。

[7] 参见《中华人民共和国传染病防治法》第三十五条。

[8] 参见《中华人民共和国传染病防治法》第三十五条。

[9] 参见《中华人民共和国传染病防治法》第三十四条。

[10] 参见《中华人民共和国传染病防治法》第三十五条。

[11] 参见《中华人民共和国传染病防治法》第三十五条。

[12] 参见《中华人民共和国传染病防治法》第三十六条。

[13] 参见《中华人民共和国传染病防治法》第三十二条。

[14] 参见《突发公共卫生事件应急条例》第二条。

[15] 参见《突发公共卫生事件应急条例》第十九条。

[16] 参见《突发公共卫生事件应急条例》第二十三条。

[17] 参见《突发公共卫生事件应急条例》第二十三条。

[18] 参见《突发公共卫生事件应急条例》第二十三条。

[19] 参见《国家突发公共卫生事件应急预案》1.4。

[20] 参见《国家突发公共卫生事件应急预案》6.1.1。

[21] 参见《国家突发公共卫生事件应急预案》1.5。

[22] 参见《国家突发公共卫生事件应急预案》4.2.2。

[23] 参见《国家突发公共卫生事件应急预案》4.2.4。

[24] 《国家卫生健康委会同相关部门联防联控 全力应对新型冠状病毒感染的肺炎疫情》http://www.nhc.gov.cn/xcs/fkdt/202001/d9570f3a52614113ae0093df51509684.shtml

[25] 参见《中华人民共和国突发事件应对法》第五十三条。

[26] 参见《中华人民共和国突发事件应对法》第五十三条。

[27] 参见《中华人民共和国传染病防治法》第三十八条。

[28] 参见《中华人民共和国传染病防治法》第三十八条。

[29] 参见《中华人民共和国传染病防治法》第三十八条。

[30] 参见《中华人民共和国传染病防治法》第三十八条。

[31] 参见《突发公共卫生事件应急条例》第二十五条。

[32] 参见《突发公共卫生事件应急条例》第二十五条。

[33] 参见《国家突发公共卫生事件应急预案》4.2。

[34] 参见《国家突发公共卫生事件应急预案》4.2。

[35] 参见《卫生部关于印发<卫生部法定传染病疫情和突发公共卫生事件信息发布方案>的通知》第一点。

[36] 参见《卫生部法定传染病疫情和突发公共卫生事件信息发布方案》第二点。

[37] 参见《卫生部法定传染病疫情和突发公共卫生事件信息发布方案》第三点。

[38] http://www.nhc.gov.cn/xcs/xxgzbd/gzbd_index.shtml

[39] https://voice.baidu.com/act/newpneumonia/newpneumonia?fraz=partner&paaz=gjyj

[40] 参见《暂行办法》第二条。

[41] 参见《暂行办法》第五条。

[42] 参见《暂行办法》第二章及第三章。

[43] 国家发展改革委 中央网信办关于印发《数据资源目录编制指南(试行)》的通知,http://www.gov.cn/xinwen/2017-07/13/content_5210203.htm

[44] 例如,国务院《促进大数据发展行动纲要》就提到要“提升政府数据开放共享标准化程度”。

[45] 《网络安全法》第四十一条第一款规定,网络运营者收集、使用个人信息,应当遵循合法、正当、必要的原则,公开收集、使用规则,明示收集、使用信息的目的、方式和范围,并经被收集者同意。《民法总则》第一百一十一条规定,自然人的个人信息受法律保护。任何组织和个人需要获取他人个人信息的,应当依法取得并确保信息安全,不得非法收集、使用、加工、传输他人个人信息,不得非法买卖、提供或者公开他人个人信息。 

[46] Decision No.1082/2013/EU of The European Parliament and of The Council of 22 October 2013 on Serious Cross-Border Threats to Health and Repealing Decision,参见 https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:32013D1082&from=EN。 

[47] 根据《决定》,接触追踪(contact tracing)是指为追踪暴露于严重的跨境健康威胁源且有感染疾病危险或已感染疾病的人而采取的措施。

[48] 随着欧盟《通用数据保护条例》(GDPR)的生效,我们理解当前GDPR对于个人数据保护的相关规则将在《决定》中替代“95指令”的适用。

金杜研究院

相关文章链接  

Links of Related Articles

人工智能:

数据合规:

网络安全:

_
_

感谢关注金杜研究院

__


    您可能也对以下帖子感兴趣

    文章有问题?点此查看未经处理的缓存