随申码：大数据资源共享的技术应用

此次疫情来势汹汹，包括湖北等重点疫区在内的各省市都开启了最严防控模式，戴口罩、洗手消毒、居家隔离、体温检测、出行限制……已经成为我们生活的日常。为了到药店购买一些非处方类的日常药品，我们都会被测体温并被要求填写住址、身份证号码、手机等个人信息……且不说用同一只笔填写上述信息增加了人传人的感染风险概率，但就这些信息的真实性本身也存在疑问。事实上，药店工作人员并没有相应的技术手段和检验能力去验证和辨别所填信息的真伪，仅仅依赖个人自觉守信显然又过于理想化，上述措施是否能真正达到防控目的不禁让人怀疑。而各地“健康码”的全面上线，恰好解决了上述难题，实现“让数据多跑路”、“让数据来讲话”、“让数据促管理”，以大数据技术助力政府疫情防控工作。
01“随申码”的应用
近日，上海市新型冠状病毒肺炎疫情防控工作领导小组办公室发布通知，将在全市范围内推广“随申码”应用。“随申码”就是依托上海大数据中心公共平台汇集的数据资源，通过对各公共管理和服务机构采集、汇聚、共享的数据资源（涵盖身份信息、出行信息、健康信息等）进行比对、分析和评估，根据健康状况、来源地、曾经与病例接触程度等情况，测算出绿码、黄码、红码三种风险状态，以实现上海市民健康状况的动态管理。持绿码的市民可自由通行；而持红码、黄码的市民则禁止出入公共场所，并应自觉接受相应的治疗或隔离管理措施。为进一步加强新冠肺炎疫情精准防控工作，高效管控线下政务服务大厅。从2月24日起，上海市所有线下政务服务大厅都推出“随申码”服务，办理业务的人员需要出示“随申码”，显示绿色的方可进入大厅办理业务。“随申码”的有效期仅为30分钟，在出示时需要动态扫码，以确保信息的实时更新。“随申码”的迅速推广和使用，不仅大大便利了上海市民的工作和生活出行，还有助于企业的复产复工、恢复正常的生产秩序。
除了上海的“随申码”，其他省市也针对疫情推出了本地健康码，如杭州市的“杭州健康码”、北京市的“北京健康宝”、深圳市的“深i您”、重庆市的“渝康码”等。目前，阿里负责开发的健康码已经在超过200个以上的城市落地，腾讯的“防疫健康码”也已经覆盖近9亿人口。健康码的应用涵盖了多个场景，包括社区管理、企业复工、交通出行、学校开学、买药登记、超市购物等，可以协助社区、企业、学校、政府机构等做好防疫管理及疫情控制等重点工作，强化行政决策的精准化、智能化，特别是在人流相对密集的地铁、火车站、航站楼、办公楼、超市等地点提高健康检测效率、避免过多接触，实现人员流动的有序管理。
02 促进与规制：大数据资源共享的立法概况
在中央全面依法治国委员会第三次会议上习近平总书记强调，“疫情防控越是到最吃劲的时候，越要坚持依法防控”。那我国在大数据资源共享和利用领域有无相关的法律规定呢？回顾该领域的法治进程，可以发现，我们不仅有若干政策和法律规范，还初具规模。
早在2015年9月国务院就出台了《促进大数据发展纲要》，将大数据产业发展上升为国家战略高度，其中强调“加快政府数据开放共享，推动资源整合，提升治理能力”。各部委也从战略规划、技术能力提升、应用与管理等三个层面积极落实大数据在税务、农业、健康医疗、国土资源、林业、交通运输等各行业的发展政策。同时，结合本部门具体情况，一些部委发布了诸如教育数据、科学数据、交通运输数据等方面的开放、共享的具体规则和意见，部分地方省市也出台了一系列地方性法规、地方政府规章以及实施方案等规范性法律文件。其中，明确了公共数据利用、共享、开放的基本原则，即以共享为原则、不共享为例外。应该说，有关大数据资源特别是公共数据共享和利用的法律框架已经初步形成。
以《上海市公共数据和一网通办管理办法》（以下简称《管理办法》）为例，对公共数据的采集、整合、共享、开放、应用、安全等进行全生命周期规范。在数据采集和治理管理方面，上海市大数据中心对各单位的公共数据按照应用需求进行集中统一管理，编制全市公共数据资源目录；各单位必须明确采集要求，遵循合法、必要、适度原则，在目录范围内采集公共数据；并依据一数一源、一源多用的要求，实现全市公共数据的一次采集、共享使用；按照“谁采集、谁负责”“谁校核、谁负责”原则，由采集单位和市级责任部门承担数据质量责任。在数据共享和数据开放方面，明确“以共享为原则，不共享为例外”，公共数据按照共享类型分为无条件共享、授权共享和非共享三类。同时，《管理办法》提出“应用场景授权”的制度设计，由上海市大数据中心根据“一网通办”、城市精细化管理、社会智能化治理等需要，按照关联和最小够用原则，以公共管理和社会服务的应用需求为基础，明确数据共享的具体应用场景，建立以应用场景为基础的授权共享机制。只要共享需求符合具体应用场景，就可直接使用共享数据。应该说，针对公共数据采集标准不统一、数据质量不高、各个业务部门之间缺乏协同等问题，《管理办法》打破了信息壁垒，推动跨部门、跨层级、跨地区的协同办事和综合监管，将公共数据与一网通办有机融合，让每一个管理环节都有章可循，充分发挥数据价值、释放数据红利。
虽然现有数据利用规范已经显著促进了公共服务的便利化和个性化，极大提升了政府服务效率，但也存在风险和问题。
一方面，从上述规范的梳理可以看出，我国目前关于大数据资源特别是公共数据资源共享利用的法律规范还仅限于“条条”和“框框”，彼此之间的数据资源尚未打通和关联，仍存在“数据孤岛”问题，一定程度上减损了数据的使用效率。以健康码为例。由于不同地区都有自己的健康码，主导机构及参与的技术支持单位都不一样，如上海市的“随申码”由上海市大数据中心负责；贵州健康码由省大数据局统筹，由腾讯云、云上贵州、优特云提供技术支持；北京市的“北京健康宝”由北京市经济和信息化局主办,腾讯云提供技术支持；深圳市“深i您”由深圳市政务服务数据管理局主导，腾讯云提供技术支持；重庆市的“渝康码”由重庆市大数据应用发展管理局主导，阿里巴巴提供技术支持。不同省市的风险等级、响应级别和防控要求都有所不同，各地健康码的算法、评价依据、生成标准也不一致，有的依据申请人自报的信息，有的根据当事人的出行轨迹等。目前省际之间健康码的互认尚存在一些障碍，从表面上看是技术问题，但其实质上是背后地方利益的冲突和博弈，部门省市可能不想也不愿对外共享自己的数据库资源。
另一方面，公共数据被多个机构和部门使用和共享，收集的个人数据越多，数据安全特别是个人敏感数据被泄露、被滥用的风险就越高，这也是大数据技术带来的负面效应。健康码在使用过程中，多地已经出现“输入自己的信息，却出现别人的健康码”等个人信息泄露事件。客观来说，健康码属于新生事物，是刚刚开发的技术应用软件，测试运行的时间并不长，存在技术漏洞也属正常，但却给网络黑客留下可乘之机，给数据安全带来不小的隐患。
如何用好大数据这把利器，趋利避害、取长补短，正是我们当下面临的最关键问题。
03 技术与法律：大数据资源共享的融合治理
大数据技术与法律规制，不是非此即彼、非黑即白，而是彼此促进、融合发展，一方面通过法律的规则指引使得技术标准规范化，最大限度降低技术所隐含的法律风险；另一方面法律的条款内容设计，应遵循技术发展的一般规律，反映技术的客观要求，体现对个人信息保护的关切。
此次疫情，恰好是破除地域、行业数据资源相互割裂状态、充分发挥数据治理作用的最好契机，而其中数据标准的统一化、规范化是重中之重。各地健康码只要在算法规则和技术标准上能够统一，在国家层面进行标准的顶层设计，并积极发挥地方政府的能动性，就能破解数据资源分散、割裂之困局。目前，已经有部分邻近省份及相关区域开始了健康码的互认。作为中国第一大经济区的长三角地区，即江苏、浙江、安徽三省和上海市率先实现了健康码的共享，京津冀也在积极推进区域内的健康码互认。但要想真正在同一数据口径上达成一致，实现全国跨区域的“一码在手，走遍神州”，则需要在国家层面上建立统一标准。2月29日，作为首个全国性政务服务小程序——国家政务服务平台推出了“防疫健康信息码”。并且，《全国一体化政务服务平台防疫健康信息码接口标准》已经出台。在充分利用国家政务服务平台共享的数据和信息码服务基础上，各地可以在提供本地健康码时依照该标准，逐步实现各地区健康信息码技术层面的互信互认。3月5日，由深圳市政务服务数据管理局指导、深圳市标准促进协会发起，腾讯作为标准牵头编制单位，牵头起草了《防疫通行码参考架构和技术指南》（草案）已经通过专家评审会评审，正式报批。该技术指南就是技术标准的规范化，能够为健康码系统开发行业提供统一的技术规范，对防疫通行码的人员管理、访问权限、数据采集和存储等确立了基本的行为准则，极大便利了疫情防控的技术应用所需。
为应对此次疫情中多地出现的过度曝光重点疫区人员个人敏感信息等问题，网信办于2月9日发布《关于做好个人信息保护利用大数据支撑联防联控工作的通知》（以下简称《通知》），第一时间强调疫情防控亦要合法合理，守住个人信息保护的底线。虽然《通知》不足800字，但内容丰富、重点突出，涉及此次防疫过程中关于个人信息保护的关键问题。下面我们来划重点：
1、收集联防联控所必需的个人信息应参照国家标准《个人信息安全规范》，坚持最小范围原则，收集对象原则上限于确诊者、疑似者、密切接触者等重点人群，一般不针对特定地区的所有人群，防止形成对特定地域人群的事实上歧视。
这里，特别强调了国家标准《个人信息安全规范》在疫情防控中的具体应用。涉及个人信息保护的法律往往在宏观层面提出方向性以及框架性指引，而将一些细节问题留给技术标准。《个人信息安全规范》（2020）虽然不是强制性国家标准，但对个人信息的收集、保存、使用、共享、转让、公开披露等作了非常详尽的规定。仅收集环节，就规定了收集个人信息的合法、最小必要、多项业务功能的自主选择、收集时的授权同意以及例外情形、个人信息保护政策等。上述技术标准给予疫情数据收集单位非常具体、明确的行为指引，有助于收集行为的合规性，最大限度地降低了可能的违法操作风险。同时，《通知》还特别强调了疫情数据收集环节的“最少够用原则”，即相关单位所收集的个人数据应限定在基于疫情目的所需的最小范围内，以对相关个人造成最小影响为标准来收集处理数据。
2、为疫情防控、疾病防治收集的个人信息，不得用于其他用途。
这里则具体体现了疫情数据使用环节的“目的受限原则”，即指疫情数据收集之后的使用、共享、传输等活动必须与疫情防控目的直接相关，不得超越、偏离该目的。为了践行目的受限原则，欧盟《通用数据保护条例》（GDPR）中规定的“设计和默认隐私保护机制”（Privacy by design and Privacy by default）。该机制主张在系统设计的最初阶段将个人信息保护的需求“嵌入其中”，成为系统运行的默认规则，而不是事后的简单附加。参考GDPR这一机制，《个人信息安全规范》（2020）11.2规定，“开发具有处理个人信息功能的产品或服务时，个人信息控制者宜根据国家有关标准在需求、设计、开发、测试、发布等系统工程阶段考虑个人信息保护要求，保证在系统建设时对个人信息保护措施同步规划、同步建设和同步使用”。也就是说，涉及疫情数据存储、使用、共享、传输等各有关单位应将个人信息保护理念内化为技术应用，在有关数据处理的系统建设时就要符合疫情防控的目的，从源头上加以控制。
3、任何单位和个人未经被收集者同意，不得公开姓名、年龄、身份证号码等个人信息，因联防联控工作需要，且经过脱敏处理的除外。
疫情数据公开的基本前提条件——同意原则，即没有得到被收集者的同意，不得将其个人相关信息对外公开。当然，每次公开包含个人信息的疫情数据都要取得个人同意的话，不仅所需成本高，而且会贻误疫情防控的最佳时机，大大减损疫情防控的实效。为此，《通知》专门明确了例外情形，即基于联防联控需要且经过脱敏处理。《个人信息安全规范》5.6明确规定了征得授权同意的例外情形，其中就包括与公共安全、公共卫生、重大公共利益直接相关的个人信息收集和使用。疫情防控基于公共卫生和公共安全正当目的，当然属于例外情形。需要特别注意的是，即便基于疫情防控之所需对外公开个人信息，也要采取一些基本的保护措施，脱敏处理就是对个人信息去识别化的技术方法，如采用假名、加密、哈希函数等技术手段替代对个人信息的标识。根据3月1日施行的《个人信息去标识化指南》，对于姓名、身份证号码等常见标识符提供了去标识化的技术参考。以姓名为例，常用的去标识化方法包括泛化编码（以“张某某”代替张三）、抑制屏蔽（以“***”代替“张三”）、随机替代（以随机生成的汉子表示，如“辰筹”代替“张三”）、假名化、可逆编码等等。例如，为了排查密切接触者，需要公布确诊患者相关个人基本信息及行踪轨迹信息，帮助公众判断其自身是否与确诊患者密切接触。该确诊患者的个人基本信息，如姓名全称、身份证号码、手机号码等就可采取上述去标识化的技术方法，不仅可以让公众及时获取相关疫情信息，还能够有效保护患者隐私信息。
4、收集或掌握个人信息的机构要对个人信息的安全保护负责，采取严格的管理和技术防护措施，防止被窃取、被泄露。
这里突出了疫情数据存储、共享、使用和传输过程中的“安全原则”。只要是掌握疫情数据的所有单位及工作人员，都应根据《个人信息安全规范》的要求落实必要的管理和技术措施，防止个人信息的泄露、毁损、丢失。
此次疫情，让我们看到了全国上下一心、众志成城、攻坚克难的勇气和决心，更让互联网、大数据、人工智能凸显其技术优势助力疫情阻击战。但只有将技术置于法治轨道，法治回应并尊重技术的客观需求，才能最大限度地发挥数据的价值和效用，有效控制暴露的问题和隐含的风险，为科学防治、精准施策、便民服务提供有力支撑！