前言
在数字时代，将ICT技术运用于传染病疫情的监测和防控是题中之义。在此次2019-nCoV病毒疫情中，我们也在公开媒体中初步见到了大数据技术在这方面的威力。
比如百度推出了【百度迁徙升级版上线，人口迁徙大数据向公众开放】。第一财经等媒体也利用百度迁徙地图，就武汉人流进行了专门的报道：【500万人离开了武汉，他们都去了哪儿？】
如果说上述实践中主要展示了集合性数据（aggregated data），基本上不存在个人信息保护风险的话，部分新闻媒体报道中披露出的直接披露、共享武汉人民个人信息的做法（例如【武汉人是否还应该有隐私？】），就存在违法违规的风险。
本系列短文，旨在初步探讨传染病疫情与个人信息保护之间的复杂关系。在文章中，很多时候是提出问题，但确切的答案，我自己也没有。请大家见谅。
个人信息保护，针对的是个体层面的数据。媒体报道中提出的问题很明了：
针对武汉返乡人员的信息登记、活动监控也迅速在全国各地展开，绝大部分武汉返乡人员都积极配合防疫工作，主动申报，自行隔离。
然而，各级政府部门统计的信息本来是为了实时监控、掌握情况而用，却变成了一张张公开被线上追杀的“通缉令”。
各地武汉返乡人员的名单开始在各种家人群、同学群中疯传，家庭住址、身份证号、手机号的隐私信息一应俱全。
因此，首先我们要明确的是，这些无序共享的个人信息的性质。姓名、家庭住址、身份证号、手机号、行踪轨迹等，均属于个人信息，这个没有任何疑问。但这些信息类型的性质和保护水平，是我们需要弄清楚的问题，以便后续做利益冲突方面的平衡时能知道多大程度上公共利益能够压倒个人的合法权益。
目前，在国内现行法律中，没有明确的将某些类型的个人信息赋予更高等级的保护。在国家标准GB/T35273《个人信息安全规范》中，提出了个人敏感信息这个概念，以此区别于个人信息。
本质上，标准采取的是场景式的定义，有些信息，例如姓名、电话号码，在平日仅仅是个人信息，但是部分武汉人民的这些信息，在当下特殊的情形中，应当认为是个人敏感信息。理由如这个报道中提到的情况：【在外地的湖北人：我们现在是老鼠过街，人人喊打】。
换句话说，这个定义的提出站在个人信息控制者的角度。如果其意识到这些信息，结合其自身的性质（例如疾控机构）、使用这些信息的目的（例如追踪、隔离）、当下社会的普遍情绪（例如恐慌、猜忌）等因素，“一旦泄露、非法提供或滥用可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或歧视性待遇等”的，就应当自觉将这些信息“升格”为个人敏感信息来保护。
因此，个人敏感信息这个定义是依赖于场景的——即何种信息在何时落入个人敏感信息这个类别，是和场景密切相关的。
这样一种逻辑，实际上也是欧盟GDPR定义特殊类型个人信息的逻辑。GDPR第九条是这么写的：
翻译起来就是：
禁止以下数据处理行为：处理个人数据，揭露出其种族、民族、政治观点、宗教和哲学信仰，或工会成员身份；处理基因数据、生物识别数据，以识别出特定个人；处理与健康相关的数据，或与自然人性取向或性经历有关的数据。
要非常注意GDPR这个条文的措词——“处理个人数据，揭露出”（processing of personal data revealing）。也就是说，GDPR中的特殊类型数据，绝不是单纯的种族、民族、政治观点、宗教和哲学信仰、工会成员身份这几类具体的信息，而是数据控制者能够用一些数据来推断出上述信息即可。
举个例子：例如数据控制者知道一个清真寺的地理位置，同时得知一位个人每周去该地理位置五次之多，那显然这位个人大概率信奉穆斯林。此时，地理位置信息就应当被认定为GDPR中的特殊类型数据，享有特殊保护。
同样的，与健康相关的信息（data concerning health）也是这么一个理。在当下，武汉市民几乎等同于2019-nCoV病毒高危人群，其家庭住址、身份证号码等，被各个方面用于隔离、劝勉等目的。此时，其家庭住址、身份证号码等在GDPR中就会被当成与健康相关的信息（data concerning health），而“升格”为特殊类型数据。
好的，该系列第一篇文章就此打住。祝大家百毒不侵。（洪延青）
声明：本文来自网安寻路人，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
