保留，删除还是彻底销毁？谁来给因疫情收集的个人信息“善后”？

日前，国内的新型冠状病毒肺炎疫情防控进入后期，各地开始逐步解除限制，恢复生产。与此同时，电信网络诈骗似乎也活跃了起来——不少网友怀疑，是不是跟疫情期间被收集了太多个人信息有关？

的确，这段时间，从超市到药店，从小区物业到公交地铁，无一不要求登记个人信息，姓名、手机号、身份证都是必填，精准追溯到个人易如反掌。如果这些机构不能保护好收集的个人信息，流入黑灰产的风险确实很大。

疫情结束之后，社区、超市、药店等地方收集的个人信息将如何处理？下令收集这些信息的政府部门会负责“善后”吗？

01

“只要有心，我能翻出所有人的身份证号”

莹莹（化名）最近接到了一个信用卡诈骗电话，对方准确地说出了她的姓名和身份证号。她感到十分蹊跷——能一字不差地说出她身份证号的，这还是头一遭。

她觉得，很可能是近期因为疫情上交的个人信息泄露了。

年前，莹莹从北京回到家乡湖北随州，疫情发生后一直没出门。最近，她却突然和一百多号人一起，被拉进了一个专为“北京滞留人员”建的微信群。

她告诉南都记者，“黄女士离汉返京”事件之后，他们这群无法返京的滞留人员成了市里的重点关照对象。为了方便管理，市里要求按区建群，方便上报信息。于是3月8日，她所在的小区物业建了这个群。

“拉群的是我们所在社区的工作人员，让我们进群的是小区物业的管理人员”，莹莹说，进群之后，所有人都按照要求把昵称改成了“姓名+电话+小区名”的形式，不过平常只是登记体温。

但从11号开始，据说市里下了通知，要求群里所有人提交详细的个人信息，包括身份证号、在京住址、现住址内其他人的姓名以及与本人的关系。“他们说是接到上级通知，但是也具体没说哪个上级”，她说。

莹莹所在群里的消息。受访者供图

值得注意的是，这些信息都是直接发送到群里，所有群成员都能看到。莹莹直言，这种方式“有点太随便”，“太落后了”。“只要有心，我可以翻出群里所有人的姓名、身份证号、手机号、家庭成员”，对于社区这种信息统计方式，她十分后怕。

青岛网友晓菲（化名）遇到的情况更加“奇葩”。为了办理小区出入证，物业发放了居民信息登记表，除了基本的姓名、手机号、住址，还要填写民族、政治面貌、学历、身高、血型、婚姻状况、微信号等等。

晓菲所在小区的居民信息登记表。受访者供图

“疫情防控跟你的房屋大小、身高、血型、婚否、微信号等有关？”晓菲十分不解，“如果说疫情已过去，你们再来采集涉及个人这么多隐私的信息搞个出入证有什么意义？”

02

公交、超市、药店也是收集“大户”

被诟病的远不止社区一个。

疫情最严重的时期，小区物业收集的个人信息或许是最多的。随着防控解除，人们的活动范围逐渐恢复正常，但多地交通出行、买菜购药仍在施行实名制，因此，公交、超市、药店也加入了个人信息收集“大户”的行列。

在家里的这段时间，莹莹家人曾患上感冒，又不敢去医院，就拜托外地的朋友去买些感冒药寄给她。朋友告诉她，药店要求登记她的身份证信息。也就是说，药店也有莹莹的姓名、身份证和电话信息，社区不是唯一可能的泄露源。

在北京的小伟（化名）已经复工，他也遇到了好几个需要填写个人信息的场景。

他告诉南都记者，每个进入办公楼的人都要手动填写姓名、手机号、进入时间、进入原因和身份证号。“就我填写的那一页纸，身份证列没有空出来的”，他说，但物业并未告知这些信息的收集目的和最终去向。

餐馆的登记要求则相对松散一些。小伟常去的一家餐馆虽然要求登记姓名、手机号、身份证、到店时间，但他在登记簿上看到，只有少数人填写了身份证号，一般只留了姓名和手机号。

相较于纸质登记，电子扫码登记更便捷，数据也更容易保管，如果有政府部门“撑腰”，自然更容易得到信任。但由于数据处理规则不够透明，即便是国家政务服务平台推出的健康码，也受到了网友质疑。

各地健康码收集的个人信息大同小异，都包括姓名、手机号、身份证号、详细地址、健康状态等信息，主要为了复产复工提供健康凭证。如此敏感的个人信息，在疫情过后将被如何处理？

南都记者梳理公开资料发现，只有云南省给出了明确答复。

早在2月12日，云南省公安厅大数据专家组组长刘跃文就公开表示，疫情期间采集的信息只用于疫情防控工作，等疫情结束后或是指挥部下令扫码结束，数据就将被销毁，不留作任何用途。

03

社区：疫情结束后可能不会删除数据

假设按照出小区-坐公交-进入办公楼-去超市买菜-买药的出行路线，一个人在一天之内可能需要登记五次个人信息，而且背后的收集主体各不相同，处理方式往往也是各异。

比如小伟常去的餐馆是自发进行纸质个人信息登记。工作人员告诉南都记者，这么做主要是为了支持防控工作，比如提供确诊人员的行动轨迹，但不会把数据交给政府部门，疫情之后还可能会保存一段时间。

莹莹所在社区的工作人员则表示，北京滞留人员群的成员可以选择私发给群主，也可以公开发在群里。收集的数据全部会在街道办事处的电脑里存档，并上交市防控指挥部，疫情结束后可能也不会删除。

事实上，很多人在交出个人信息的时候，都不清楚这些信息最终会被交给谁、疫情后会被如何处理。“为什么不能统一管理之下单独通知、单独登记隐私信息？”莹莹的担忧道出了很多人的心声。

网友@斗班恪说，“在药房、超市都要求记录姓名，手机号码，身份证号码，家庭住址，这些信息说是上级主管部门要求登记的，请问，这些个人信息如何处理？有人收集吗？原件有处理吗？疫情当前就可以随意索要个人信息？”

还有网友在微博提问：“疫情防控期间社区、物业采集了详细的公民个人信息，这些公民个人信息有没有保护措施？会不会被随意贩卖？有没有专人负责保护这些公民个人信息？如果公民个人信息遭到泄露怎么追责？”

网友的担心不是空穴来风。整个疫情期间，个人信息泄露时有发生。

1月下旬，南都曾报道，超七千湖北返乡人员的信息在各种亲友、同事群中肆意流传，骚扰电话、短信频发。这些信息涉及的统计部门包括教育部门、街道办事处、居委会、公安等。

在近日浙江湖州长兴警方破获的一起案件中，在快餐连锁店担任店长的杜某某利用职务之便，收取了61名应聘者和员工的身份证照片，并先后冒用六人身份，骗过药店的身份证识别系统，购买了30只口罩。

04

已有原则性要求，关键在于如何落实

2月9日，中央网信办发布《关于做好个人信息保护利用大数据支撑联防联控工作的通知》（下称《通知》），提出除国务院卫生健康部门授权的机构外，其他任何单位和个人不得以疫情防控、疾病防治为由，未经被收集者同意收集使用个人信息；不得将数据用于其他用途等要求。

不过，南都记者梳理疫情期间各地发布的相关文件发现，目前几乎没有文件明确提出疫情结束后的数据处理方式。随着疫情逐渐好转，个人信息保护工作的重点也应该从收集、使用转移到存储和销毁。

仅20%左右的网友知晓数据存储期限和疫情后处理方式。

根据南都此前发起的一项调查，疫情期间有75.8%的网友被收集了个人信息，尽管其中超七成网友都表示在提交个人信息时了解收集单位和收集目的，但只有20%左右知晓数据存储期限和疫情过后会被如何处理。

有观点认为，掌握这些个人信息将有利于商家做后续商业运用，与金融、保险或医疗用品的销售甚至诈骗绑在一起。这也正是公众所担心的。

“中央网信办的《通知》其实已经提出了总体要求，各信息收集机构要做的就是落实文件要求”，中国信息安全研究院副院长左晓栋认为，各地防控指挥部门在下达收集信息的要求时，就应该考虑到一整套个人信息保护方案。“不是简单地收集，别的不管了。”

他指出，问题就出在很多防控指挥部门并没有个人信息保护的意识，收集方式五花八门。他认为，除了统计类信息，能精准定位个人的信息原则上都应该销毁。一旦泄露，当地防控指挥部应和收集机构共同承担责任。

上海金融与法律研究院执行院长傅蔚冈也认为，从保护个人信息的角度，销毁疫情期间收集的个人信息最为稳妥，但能不能做到又是另一个问题。“逻辑上是谁要求收集，谁就要负责处理。”他建议，可以通过发通知的方式，要求收集机构妥善保管或销毁数据。

另外，个人信息保护相关部门也有监管权限。左晓栋举例说，市场监管部门可以针对商户进行监管；如果通过App收集，就归网信办、工信部处理；一旦涉嫌犯罪，公安部门肯定要出手打击。

他指出，在这次疫情防控中，个人信息收集工作还缺乏成熟的经验可循，难免产生乱象，以后再发生重大公共安全事件，应该事前规划顶层设计，建立协调机制，进行统一指挥。

报料请点击 
推荐阅读：微博5亿用户绑定手机号在暗网出售 或因通讯录接口遭暴力匹配App自评估指南征求意见：后台运行时如非必要不得收集个人信息京沪两地52万余条学生信息遭倒卖 上海地方检察院发起公益诉讼