近日，通信行程卡公眾號發(fā)布公告稱12月13日0時起，正式下線“通信行程卡”服務。雖然服務下線，但公眾對健康碼引發(fā)的個人信息保護問題的討論卻方興未艾，今天就結(jié)合《個人信息保護法》和大家聊聊健康碼涉及的個人信息保護和通信行程卡數(shù)據(jù)合規(guī)問題。

一、疫情管控政策調(diào)整后，健康碼涉及的個人信息應如何處理？

在國內(nèi)的防疫管控政策調(diào)整后，通信行程卡是第一個下線服務的健康碼類服務。三年防疫，各類健康碼收集了非常多的公眾個人信息，筆者認為，這些健康碼對個人信息的收集、使用、存儲等環(huán)節(jié)應遵守的主要原則有三個：合理目的、單一用途、安全存儲。

(資料圖片)

1、合理目的。一般情況下，數(shù)據(jù)處理者收集、使用個人信息應當取得個人同意，而健康碼類服務則比較特殊，根據(jù)《個人信息保護法》規(guī)定，為應對突發(fā)公共衛(wèi)生事件，或者緊急情況下為保護自然人的生命健康和財產(chǎn)安全所必需，不需取得個人同意。但正因為法律授權(quán)主要為了應對緊急情況，健康碼類服務處理個人信息更應當具有明確、合理的目的，并應當與處理目的直接相關，采取對個人權(quán)益影響最小的方式。

2、單一用途。根據(jù)《關于做好個人信息保護利用大數(shù)據(jù)支撐聯(lián)防聯(lián)控工作的通知》的規(guī)定，為疫情防控、疾病防治收集的個人信息，不得用于其他用途。所以如果要變更健康碼使用目的的，對其已經(jīng)收集存儲的個人信息，應當再次征得的用戶同意的方式進行處理或者具備其他合法性基礎（比如政府為履行法定職責或者法定義務所必需），再繼續(xù)保留以用作新目的。

3、安全存儲。健康碼類服務收集的個人信息、可能包含生物識別信息、健康數(shù)據(jù)、行程數(shù)據(jù)等個人敏感信息，所以收集或掌握個人信息的機構(gòu)應當對這些個人信息采取嚴格的管理和技術防護措施，比如對個人敏感信息應當加密傳輸和存儲，防止被竊取、被泄露。相關的個人信息，在疫情防控目的解除后，應當主動刪除或者做匿名化處理。

二、通信行程卡數(shù)據(jù)合規(guī)上有哪些問題？

根據(jù)公眾號認證信息，通信行程卡的運營者是中國信息通信研究院，對于這樣一個有網(wǎng)頁端、手機應用端、小程序端的產(chǎn)品，從律師的角度，至少在下列問題上其數(shù)據(jù)合規(guī)還是有一些可改進之處的：

1、小程序端和網(wǎng)頁端無法查看《服務協(xié)議》和《隱私政策》。目前只有通信行程卡手機應用端有《服務協(xié)議》和《隱私政策》，而多數(shù)用戶使用的小程序端卻無法查看。用戶打開小程序就直接進入具體的信息填報頁面，要求用戶單獨授權(quán)，同意并授權(quán)運營商查詢本人在疫情期間7天內(nèi)到訪地信息。

這個有什么問題？理論上，要求用戶授權(quán)時應當告知其權(quán)利義務，《服務協(xié)議》和《隱私政策》就是讓用戶了解其權(quán)利義務以及服務商對數(shù)據(jù)的收集、使用、存儲方式。舉個例子，通信行程碼會收集用戶手機的藍牙接觸信息（包括接觸時間和信號強度），當用戶被診斷為新冠肺炎確診/疑似患者后，通信行程碼會將藍牙接觸的加密ID和藍牙接觸信息上傳至防疫部門。這個在《服務協(xié)議》和《隱私政策》里都有規(guī)定，但小程序使用者是看不到的。

2、《服務協(xié)議》和《隱私政策》部分規(guī)定不一致。比如，服務協(xié)議顯示，通信行程碼會呈現(xiàn)14天內(nèi)的到訪地信息。而隱私協(xié)議及服務頁面顯示的是7天內(nèi)的到訪地信息。又如前文提及的藍牙接觸信息，《隱私政策》規(guī)定收集的信息將會在給定期限（目前設置為7天）后自動刪除，而《服務協(xié)議》里有類似收集的規(guī)定，但沒有刪除期限的條款。到底是不是7天后刪除，讓人有點疑惑。

3、其他問題。其他還有些小問題，比如通信行程碼沒有告知用戶個人行程相關信息的存儲期限；對于收集的手機信息保存期限和存儲地點沒有約定、對于儲存的個人信息相應的技術安全措施也沒有告知用戶相應的安全措施；服務協(xié)議文本不夠嚴謹，顯示海淀區(qū)人民法院訴訟解決，但文字上用的是仲裁解決；本次的服務下線公告沒有說明如何處理收集的信息（目前有報道稱中國信息通信研究院將全部刪除收集的信息）。

最后，隨著防疫政策的調(diào)整，包括通信行程碼在內(nèi)的各種健康碼服務都將陸續(xù)減少使用或不再使用，如果服務不再提供，那以防疫為目的收集的各種個人信息就應當刪除或脫敏，也就是去除可以識別身份的手機號、姓名、頭像照片、手機ID等信息，使相關的信息不能被關聯(lián)到個人。

關鍵詞： 個人信息 服務協(xié)議 隱私政策