行政机关提出调取用户信息，企业可以说不吗？

截止至2020年2月19日19时28分，新型冠状肺炎已造成2009人死亡，确诊人数达到74282人。为有效抗击疫情，百度与网信部、新京报开展合作，通过分析用户数据，先后推出了“百度迁徙地图”、“疫情小区地图”，“疫情小区地图”甚至可以追踪三公里内确诊病例曾活动场所。
行政机关为使疫情透明化，向企业调取用户数据，的确是大数据助力疫情监控的题中之义。但作为用户，我们也须知悉究竟哪些行政机关有权调取企业保存的用户信息？调取用户信息的边界是什么？需要遵循哪些法律规定？企业提供信息是否存在应诉的风险？
我们认为，面对行政机关调取用户信息，在积极配合的同时企业也有义务进行审查，而非“来者不拒”地提供信息。本文将从下文的改编案例出发，根据现行法律框架，针对上述问题，作出实务的指引。
基本案情
A政府部门向某企业发出《通知》，要求该企业配合A政府部门对相关数据的收集工作，无条件提供用户的个人身份信息，包括用户姓名、身份证号、籍贯省市县、手机号码、联系地址以及相关个人财产信息，用于A政府部门疫情防控排查分析。本案的争议问题为：首先，A政府部门是否有权收集用户信息？其次，如果该部门有权收集，企业是否须按照《通知》要求的范围悉数提供？
针对这两个问题，本文认为应从以下两个步骤进行审查。
一、企业应审核调取信息主体的权限，即A政府部门调取信息是否具有相应的法律依据。
当企业收到A政府部门发出的公函时，首先应审查A政府部门是否具有向企业调取用户数据的权限。背后的法理在于，行政机关应各司其职，如市场监督管理局分管公司的登记与设立，烟草局分管烟草专卖，做到专事专管，而不能轻易超越权限，越过自身的职责范围，对其他行政机关依法管理的事务进行干预，破坏泾渭分明的行政管理秩序。
此外，公权力的运行与私权利不同，遵循的原则应当是“法无授权不可为”而非“法无禁止即自由”，如果行政机关不提供现行法作为其调取企业信息的依据和支撑，仅凭一纸红头文件，寥寥数语便能够要求企业提供信息，难免有架空法律、行政法规之嫌。
欲执法，先依法，那么问题来了，现行的法律框架对于这个问题究竟是如何规定的呢？哪些行政机关具有调取信息的权力？A政府部门是否属于这些行政机关？我们按照实务中较常见的五大领域，对有权调取信息的主体进行了未穷尽式列举。如果A政府部门属于下列领域中有权调取信息的主体，那么主体资格就是合法的。反之，如果不属于，那么A政府部门便不具备合法的主体资格。
（一）反恐怖主义领域：出于反恐怖主义这一目的，有权调取企业数据的机关包括公安机关以及人民法院、人民检察院和司法行政机关等。其他机关包括解放军、武装警察部队和民兵组织等，法律依据为《中华人民共和*反恐怖主义法》的第8、9、51、82条。
（二）监察领域：中央和地方各级监察委在行使监督权、调查权的过程中，有权调取证据，法律依据为《中华人民共和*监察法》的第18、25条。
（三）刑事诉讼领域：根据《中华人民共和*刑事诉讼法》第54条：“人民法院、人民检察院和公安机关有权向有关单位和个人收集、调取证据，有关单位和个人应当如实提供证据。”
（四）民事诉讼领域：人民法院依职权出具调查令可以主动调取证据,依据《中华人民共和*民事诉讼法》第67条第1款：“人民法院有权向有关单位和个人调查取证，有关单位和个人不得拒绝。”律师也可以申请人民法院出具调查令，由律师持调查令以及律师事务所介绍信、律师执业证等其他材料调取。
（五）行政管理领域：因所涉及范围过于广泛，包括公安、市场监督管理、税务、质量技术、食品药品、劳动安全、环保、城建、规划、卫生、城管、水政、渔政、林业、盐业、矿产、农业、畜牧等等，相关行政机关调取信息的依据，散布于不同的法律法规中。在实践中，应当结合具体法条，确定相关部门是否具有调取信息的执法权限。
此次疫情的管控，便可以归入行政管理领域，这一时期有权调取信息的主体可以归纳为四大主体，一为疾病预防控制机构、医疗机构，二为省、自治区、直辖市政府，三为取得人民政府授权的相关部门、机构、组织，四为取得相关卫生健康部门授权的机构。
第一，疾病预防控制机构、医疗机构有权收集信息，企业为其提供信息为《中华人民共和*传染病防治法》下的法定义务。法律依据为第12条：“在中华人民共和*领域内的一切单位和个人，必须接受疾病预防控制机构、医疗机构有关传染病的调查、检验、采集样本、隔离治疗等预防、控制措施，如实提供有关情况。疾病预防控制机构、医疗机构不得泄露涉及个人隐私的有关信息、资料。”
第二，省、自治区、直辖市政府有权收集突发事件信息，任何单位和个人均不得瞒报。根据《突发公共卫生事件应急条例》第10、11条规定，*务院卫生行政主管部门有权制定全*突发事件应急预案，而省、自治区、直辖市政府有权制定本行政区域内的突发事件应急预案，并且在应急预案中应包含突发事件信息的收集、分析、报告、通报制度。
第三，人民政府可以在突发公共卫生事件应急预案中将信息收集的权力再次授权给相关部门、机构、组织。法条中虽未明文规定相关部门、机构、组织有收集信息之权限，但《个人信息安全规范》编制组组长洪延青博士通过对《突发公共卫生事件应急条例》中的第二章“预防与应急准备”第10、11条，第三章“报告与信息发布”中的第21条，第四章“应急处理”第44条进行体系解释，得出人民政府可以在突发公共卫生事件应急预案中，将相关部门、机构、组织纳入应急工作中，赋予相关部门、机构、组织非常强的信息收集、分析的任务的结论。
第四，企业有义务向法定授权机构提供用户信息。为确保权力不被滥用，授权的法律效力级别较高，不包括部门规章、规范性文件。被授权机构只能依据以下三部高位阶法律文件取得授权，也即是《中华人民共和*网络安全法》、《中华人民共和*传染病防治法》、《突发公共卫生事件应急条例》，授权的行政部门为*务院卫生健康部门。参照近期网信办发布的《关于做好个人信息保护利用大数据支撑联防联控工作的通知》中的第1条：“除*务院卫生健康部门依据《中华人民共和*网络安全法》《中华人民共和*传染病防治法》《突发公共卫生事件应急条例》授权的机构外，其他任何单位和个人不得以疫情防控、疾病防治为由，未经被收集者同意收集使用个人信息。法律、行政法规另有规定的，按其规定执行。”
结合本案具体分析，A政府部门是否属于以上四种有权收集信息的主体？显而易见，A政府部门不属于前两种主体，也即是疾控机构、医疗机构和省、自治区、直辖市政府，有可能对应的就是后两种经授权主体。故某A政府部门须提供相关文件，证明其得到了人民政府在突发公共卫生事件应急预案中的授权或者是*务院卫生健康部门依据《中华人民共和*网络安全法》《中华人民共和*传染病防治法》《突发公共卫生事件应急条例》的授权。否则，某A政府部门不得以疫情防控为由，要求调取企业的用户信息。
二、企业可参照《中华人民共和*网络安全法》（以下简称“《网络安全法》”）中的第41条进行审查。
即便A政府部门具备调取信息的主体资格，如何确保其调取的信息系符合现行法律规定的呢？现行的法律框架下，有哪些法律、行政法规对于像A政府部门这样的行政机关调取用户信息制定了具体、可操作的规定呢？
遗憾的是，我*目前对个人信息保护的研究多从民法角度入手，立法也大多强调对企业、网络运营商等信息收集、处理利用的私法主体进行规制，至于如何具体规制公法主体如行政机关，法律仅直接规定了其对信息负有保密、保护义务。对于收集、使用的规则是什么、收集信息的限定范围是什么，均无明文规定，对于以上两点的规制，可以说处于一种“真空状态”。

基于立法现状，我们认为企业可以参照《网络安全法》第41条：“网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。”进行审查。有读者可能会认为，该条文规制的主体为网络运营者，本文讨论的主体为行政机关，直接进行适用是否有类推之嫌，超出了文义的射程范围。
我们赞同这种看法，但我们认为《网络安全法》第41条虽然无法直接适用，但可以进行参照。截止至目前，我*的《个人信息保护法》尚未出台，个人信息保护规则体系主要由《网络安全法》和《个人信息安全规范》（以下简称为“《规范》”）共同构成，可以说《网络安全法》的颁布生效，为个人信息保护提出了相对系统的法律要求，如告知同意、目的正当、最小必要等，对于个人信息的保护具有重要意义，未来《个人信息保护法》的出台与《网络安全法》、《规范》兼容的可能性很大。因此，我们认为即便是在适用主体不同的情况下，对于行政机关调取个人信息，企业虽不能直接适用《网络安全法》第41条，但可以进行参照。
结合本案，企业在审查完A政府部门调取信息的合法性后，参照《网络安全法》第41条，根据该条中的告知同意、目的正当、最小必要原则，对A政府部门调取信息进行审查。在同时满足主体有合法授权且未违反上述原则这两个要件时，可按照A政府部门之要求提供相应用户信息。
审查原则一：A政府部门收集用户信息是否可以突破告知同意原则？
根据《网络安全法》第41条确立了“告知+同意”的基础性制度逻辑，核心在于被收集者的授权同意，根据该条可以说，无同意则无收集，无同意则无使用。该法条中并未规定例外情形，是否意味着未征得同意的情况下，不得收集使用个人信息呢？
《规范》对该原则进行了突破，对例外情形进行了规定，在无同意的情况下亦可收集、使用个人信息。参照《规范》中告知同意的例外，在与公共安全、公共卫生、重大公共利益直接相关的情形下，个人信息控制者无需征得个人信息主体的告知同意即可收集、使用个人信息。该条文中，不仅强调了收集个人信息的目的，仅限于以下三大目的：公共安全、公共卫生、重大公共利益，更强调了个人信息与目的之间因果关系，也即是须具有直接性，而不能仅仅是间接的联系。正因为如此，行政机关应阐明调取信息的目的，以及所调取的信息是否与公共目的具有直接因果关系。结合本案中A政府部门要求调取的信息来说，其要求提供的个人财产信息如缴费银行卡号，与公共卫生防疫，并不存在直接的因果关系，因此可以不予提供。
审查原则二：A政府部门收集用户信息的目的是否符合正当目的原则？
目的正当原则亦是《网络安全法》第41条中明文规定的原则，但究竟何为目的正当？如何进行界定？通说认为符合社会公共利益的目的即具有正当性，但我们认为以社会公共利益作为目的正当性的论证，稍显宽泛空洞。根据网络和信息法研究中心主任张新宝的观点：对于正当目的论证须具有明确性。明确性指的是，目的须特定化。倘若对目的的规定过于简单、宽泛，如“提高服务质量”，就会使个人信息在一个极其宽广的范围内被使用，由此而产生的不确定性和风险敞口太大。这就要求信息控制主体在履行告知义务时，披露足够多的细节，以使双方能对约定目的和个人信息可能的使用范围产生一致的认识和预期。回到本案，某A政府部门在其公函中阐明，其调取数据的目的在于“全省疫情防控大数据分析”，就用途虽未提供更多细节，但基于公众近日来对于疫情大数据防控的密切关注，能够对该信息的用途有一定的心理预期，因而符合目的正当原则。
审查原则三：A政府部门收集用户信息的范围是否符合最小必要原则？
最小必要原则，也称为最小化原则、最少够用原则。以此次疫情为例，行政机关不得收集与防控疫情无关的个人信息。具体而言，可以收集的个人信息有：（1）个人基本资料信息，如个人姓名、身份证号、家庭关系、住址、个人电话号码、行踪轨迹等信息。（2）与防控疫情相关的个人健康信息，如体温、病症等信息。除此之外，其他的诸如个人生物识别信息、网络身份标识信息、个人财产信息、职业信息、民族、宗教信仰等与防控疫情无关个人信息均不应当收集。本案A政府部门要求提供的信息中，个人财产信息如银行卡开户行，显然与疫情无关，可以不予提供。
企业提供信息是否存在应诉风险？
根据《网络安全法》第42条，未经被收集者同意，网络运营商不得向他人提供个人信息。那么，在企业按照上述步骤和原则对A政府部门调取信息进行审查后，对外信息共享的行为是否具有应诉法律风险呢？
参照浙江省高级人民法院民事审判第一庭印发的《关于规范涉新冠肺炎疫情相关民事法律纠纷的实施意见(试行）》和内蒙古高院出台的《内蒙古自治区高级人民法院关于审理涉新冠肺炎疫情民商事案件相关问题的指引》，笔者认为，特殊时期，个人隐私权须一定程度上让位于公共利益，若企业提供的用户信息被有权机构收集后公之于众，相关公民提起民事侵权诉讼的，企业承担侵权责任的法律风险较小。

疫情当前，共克时艰，一方面，企业应支持行政机关基于大数据分析对疫情防控的收集工作，但另一方面，企业也需要兼顾对于用户信息的保护。在审查时，企业应从主体资格合法性、告知同意原则、目的正当原则、最小必要原则出发，审慎进行考量，作出相应的判断，寻求疫情防控与保护用户隐私之间的最佳平衡点，确保数据合规的同时，为疫情防控工作提供一定支持。
（特别说明：因政策发布原因，部分字体用星号代替）