从XXX武汉返乡人员信息泄露遭谩骂、新冠肺炎患者信息被泄露引起恐慌、利用口罩预约服务获取网民个人信息营利再到出入小区疫情登记引争议。疫情防控下，个人信息的获取与保护成为不可避免的话题。
《网络安全法》规定，个人信息是指以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等。个人信息的核心是其代表了自然人个人身份特征，个人信息泄露后会使公民受非法干扰。
我国十分重视对公民个人信息的保护，《民法总则》与《网络安全法》均明确规定任何组织和个人不得非法获取个人信息，不得非法出售或向他人提供或者公开个人信息。疫情防控期间，中央网信办专门发布《关于做好个人信息保护利用大数据支撑联防联控工作的通知》，突出强调了收集个人信息机关必须合法，未经被收集者同意，为疫情防控、疾病防治收集的个人信息，不得用于其他用途。
疫情防控下哪些主体有权收集个人信息
《传染病防治法》第十二条规定：在中华人民共和国领域内的一切单位和个人，必须接受疾病预防控制机构、医疗机构有关传染病的调查、检验、采集样本、隔离治疗等预防、控制措施，如实提供有关情况。疾病预防控制机构、医疗机构不得泄露涉及个人隐私的有关信息、资料。
《突发公共卫生事件应急条例》第三十六条规定：国务院卫生行政主管部门或者其他有关部门指定的专业技术机构，有权进入突发事件现场进行调查、采样、技术分析和检验，对地方突发事件的应急处理工作进行技术指导，有关单位和个人应当予以配合；任何单位和个人不得以任何理由予以拒绝。
（3）街道等基层组织、卫生行政主管部门、其他有关部门
《突发公共卫生事件应急条例》第四十条规定：传染病暴发、流行时，街道、乡镇以及居民委员会、村民委员会应当组织力量，团结协作，群防群治，协助卫生行政主管部门和其他有关部门、医疗卫生机构做好疫情信息的收集和报告、人员的分散隔离、公共卫生措施的落实工作，向居民、村民宣传传染病防治的相关知识。
从上述规定可以看出，疾病预防控制机构、医疗机构及专业技术机构因传染病有关的调查或控制而收集相关信息不难理解，任何单位及个人均应予以配合。但街道等基层组织、卫生行政主管部门、其他有关部门关于疫情信息的收集则容易产生争议，《突发公共卫生事件应急条例》虽然赋予相关部门信息收集权，但未明确界定何为疫情信息，街道等基层组织作为协助有关部门采取疫情控制措施的单位，应避免以疫情防控为名收集无关个人信息，如房屋产权情况、工作单位、婚姻状况等。同时，还应对已收集个人信息采取保护措施，避免泄露。
另外，有关部门如需公民出示身份证，建议严格执行《居民身份证法》第十四条之规定，有下列情形之一的，公民应当出示居民身份证证明身份：（一）常住户口登记项目变更；（二）兵役登记；（三）婚姻登记、收养登记；（四）申请办理出境手续；（五）法律、行政法规规定需要用居民身份证证明身份的其他情形。
根据《侵权责任法》的相关规定，个人信息属于民事主体民事权益的一种，泄露个人信息给他人造成损失的，应承担侵权责任，具体承担方式则包括停止侵害、消除影响、赔偿损失、赔礼道歉等。
如信息泄露方与被侵权方之间存在合同关系，合同已就违反保密义务约定相应违约责任，此时被侵权方也可以依据合同约定向信息披露方主张违约责任。如世界梦号佛山旅客信息泄露事件中，如旅客信息是由运输方泄露的，则游客可以在违约或者侵权责任中择一行使。
《传染病防治法》规定故意泄露传染病病人、病原携带者、疑似传染病病人、密切接触者涉及个人隐私的有关信息、资料的，根据所造成后果的严重程度，医疗机构或者疾病预防控制机构将面临卫生行政部门的行政处罚。
《治安管理处罚法》规定，偷窥、偷拍、窃听、散布他人隐私的，根据所造成后果的严重程度，将面临拘留或罚款的行政处罚。
《网络安全法》规定，窃取或者以其他非法方式获取、非法出售或者非法向他人提供个人信息，尚不构成犯罪的，将面临公安机关没收违法所得及罚款的行政处罚。
《居民身份证法》规定国家机关或者金融、电信、交通、教育、医疗等单位的工作人员泄露在履行职责或者提供服务过程中获得的居民身份证记载的公民个人信息，不构成犯罪的，面临公安机关拘留、罚款及没收违法所得的行政责任；构成犯罪，追究刑事责任。
《刑法》第二百五十三条之一明确规定了侵犯公民个人信息罪。违反国家有关规定，向他人出售或者提供公民个人信息或者窃取或者以其他方法非法获取公民个人信息的，面临拘役或有期徒刑及罚金的刑事责任，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，属于从重处罚的情形。
为抗击新冠肺炎，任何单位和个人，都有向疾控机构、医疗机构及法律、行政法规规定的有关部门，如实提供有关情况的义务。同时，作为有权获取公民个人信息的主体，也应采取措施保护好已收集的个人信息，否则将面临法律的制裁。
文/北京岳成律师事务所
周海华律师
