陈禹衡，陈洪兵丨反思与完善：算法行政背景下健康码的适用风险探析

转载请注明“刊载于《电子政务》2020年第8期”。引用参考文献格式：陈禹衡，陈洪兵. 反思与完善：算法行政背景下健康码的适用风险探析[J]. 电子政务，2020(08): 93-101.

摘　要：人工智能技术的进步推动算法行政的发展，健康码作为算法行政的典型代表，有效提升了政府工作效率，但是在信息收集阶段以及实际适用阶段也存在相应的风险亟需解决。通过对健康码适用中的个人信息收集方式的研究，分析健康码实际适用带来的风险。采用文献分析法、比较法，对国内外有关个人信息保护、算法行政、算法偏见的相关文献进行分析。借鉴行政法中的法律位阶体系，对不同类型的健康码进行层级划分，并制定判断规则以消除不同类型健康码的适用冲突风险，规避个人信息收集和处理的风险；针对算法偏见风险构建健康码报错及追责机制，从而帮助政府更好地适用健康码，推动算法行政的开展。

关键词： 人工智能；健康码；算法行政；个人信息保护；算法治理 

ＤＯＩ：10.16582/j.cnki.dzzw.2020.08.009

一、引言

算法行政(algorithmic governmentality)，又称算法治理术，由鲁夫罗伊提出，其将治理术（governmentality）导入数字领域，在数字社会中，基于算法而产生全新的权力机制，形成了一种全新的政府治理模式，即政府的算法治理。[1]这里的算法治理术是对algorithmic governmentality的直译，因为算法治理术实际上是指与法律强制的行政管理相并列的行政管理模式，因此将其转译为算法行政更为妥帖，与基于法律强制的行政管理（即法律行政）相对应。[2]算法行政包括数据收集与储存、数据挖掘、概率预测，从而使得“权力不再作为社会和个人的外在的力量，而是逐渐内化到社会与个人之中”[3]。算法行政在我国的行政治理体系中并不罕见，比如数据挖掘算法在政务大数据的应用就属于算法行政的范畴。[4]在美国，由于算法技术的进步，越来越多的政府主体也开始利用算法进行日常事务和决策的处理。[5]此次健康码则是算法行政的全方位适用，较之以往，算法贯彻了行政治理的整个流程。个人信息健康码作为全新的个人信息的“集合标签”，是算法行政的典型代表，健康码的使用和管理之所以归属于算法行政，是因为健康码是通过收集个人信息数据进行算法运算，并且在得出较为准确的结论后，用于当下疫情防控的行政工作，契合算法行政的要义。以杭州健康码为例，其作为动态更新的人工智能化开放信息系统，通过大数据算法实现动态化的及时更新，保证准确性并提升行政效率。[6]与此同时，对于健康码的质疑之声也不绝于耳，其存在个人信息收集方式不明、算法程序存在算法偏见、不同类型健康码之间有适用冲突等问题，构成了现阶段算法行政所面临的风险。健康码的适用包括前置的个人信息收集以及后置的健康码实际适用这两个阶段，利用健康码适用这一契机，规范算法行政背景下政府对个人信息收集、利用的权限，寻求克服算法偏见等问题的方法，将会促进算法行政的开展，为大数据时代全新的政府角色扮演做好准备。

二、健康码中不同类型个人信息的收集方式研究

算法行政区别于传统的行政治理模式，是政府通过算法技术对行政工作进行自动化处理，由政府主导的利用大数据技术处理行政事务的模式。[7]健康码作为算法行政的代表，其算法运行需要大数据技术的支撑，而大数据技术则需要分析海量的公民个人信息，公民个人信息是算法行政开展的基础。公民个人信息主要包括公民个人健康信息、公民个人识别信息、公民个人人际关系信息以及公民的个人轨迹信息。公民个人信息汇总后，由健康码后台算法对其进行数据分析，得出公民的感染概率，并用不同的颜色予以标注和警示。健康码所收集的个人信息可以分为两大类：个人健康信息、个人识别信息、个人人际关系信息属于单一授权信息，需要公民个人在系统中自主填报，并且多为一次性申报；个人轨迹信息则属于复合授权信息，其中静态轨迹信息由公民个人在系统中自主填报，如是否去过某些特定地区等，但是动态轨迹信息则是在得到公民授权后，由后台程序系统自动获取的，以实现实时汇报，防止出现瞒报、漏报的情况，来源更为复杂。下文根据个人信息类型的不同，分别讨论个人信息的收集方式。

（一）健康码中单一授权信息的收集方式研究

单一授权信息的特征在于信息的来源单一，其虽然可以由线下工作人员复核，但是在多数情况下仍旧依赖线上信息采集，个人健康信息、个人人际关系信息多为政府首次采集的信息，而个人识别信息则可以从已有的资料库中予以比对和校正。根据《中华人民共和国网络安全法》第41条规定：“网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。”在上述三种信息的收集过程中，政府需要尊重公民的知情权，在信息收集的过程中，政府应监督平台完善相关程序，主动履行告知义务。

收集单一授权信息中的个人健康信息和个人人际关系信息，应该秉持对公民个人信息自决权的尊重，在获得公民授权的前提下，将此类信息收集的时间维度规定为14-21天，具体项目则包括体温、呼吸道症状、肠胃状况、是否和疑似病例接触、未接触亲友中是否有疑似或确诊病例等。个人信息自决权的概念源于《德国基本法》，其中提到“人之尊严不可侵犯，尊重及保护此项尊严为所有国家机关之义务”[8]，亦即“个人对其个人信息拥有控制权，非经该个人同意，他人不得收集、处理和利用其个人信息”[9]，对公民个人信息自决权的尊重本质上就是对公民人格尊严的尊重。上述两种信息由于单一授权，多为政府首次收集，具有时效性，并且没有对照信息，因此可以扩大信息收集范围，以补充原始数据的缺失，在收集时应该尽到提醒义务，向公民承诺此两种信息不会泄露，并加强对云端平台分析此类信息的权限限制。但实际上，有相当一部分健康码系统在信息录入环节没有用户协议和隐私政策，而是直接进入信息填报注册的界面。一方面，此类信息更为敏感，并且更具商业价值，对于政府而言，不但要谨防外部的信息盗窃，而且也要防止“内鬼”不合理地使用这两种信息，后者对政府公信力的损害尤为严重。另一方面，此类信息是健康码数据分析中的“黄金数据”，因此对数据泄露的担心不能阻碍对数据的合理收集，而是尽可能地挖掘数据价值，依托算法技术将数字政府的网络基础设施由“人人互联”改向“万物智联”[10]，对个人的数据进行实时的动态化分析。

与之相对，个人识别信息在健康码中虽然也颇具价值，但是依托近年来数字政府的建设成果，个人识别信息的收集工作实际上已经颇有成效，城市治理过程中收集的公民个人识别信息早已成为城市现代化治理的驱动力。[11]有鉴于此，虽然个人识别信息也属于单一授权信息，但由于有参照样本，因此在信息的收集方式上，不必进行全新的大规模收集，而是着重收集有针对性的识别信息。着重收集的信息包括公民的姓名、身份证号以及人脸识别数据，前两者可以基于旧有数据而直接从政府数据库调出，而对于后者，则要谨防网络云平台借此机会更新自身系统中公民个人的人脸识别信息。现代社会中基于个人识别信息的公共空间大规模监控成为了必然趋势[12]，而监控系统的个人识别信息可以转化为健康码算法的基础数据。值得注意的是，此处对个人识别信息的获取，应避免侵犯公民个人隐私。以个人识别信息中的人脸信息为例，其是健康码系统的基础数据，构成健康码展示的前端，多数健康码在扫码核验后都会出现清晰且有辨识性的人脸图像，虽然基于对重大公共利益的优先保护原则，足以解释收集人脸识别信息的合法性，但为消除侵害个人隐私的潜在风险，仍然应该和公民签订授权协议，并且着重提示相对应的风险，真正做到“即使是数据共享，也应该获得权利人的授权”[13]。

（二）健康码中复合授权信息的收集方式研究

个人轨迹信息属于复合授权信息，区别于单一授权信息，其信息来源更加复杂，处理方式需要更加谨慎，对于复合授权信息的收集方式应该分情况探讨。对于个人轨迹信息中的个人静态轨迹信息，采用的收集方式应该和个人健康信息、个人人际关系信息一样，在获得公民许可之后，尽可能地扩大信息收集的范围、提高信息收集的精确度，并且着重收集是否有高风险地区的相关轨迹，以及在时间维度上是否存在重合，做到前期数据尽可能准确。之所以不采用个人识别信息的收集模式，是因为个人静态轨迹信息也属于全新的收集领域，政府在一般状况下并无相关数据予以对照，因此只能以增大数据量和提高数据精确度的方式，完善个人静态轨迹信息的收集工作。

对于由健康码后台自动获取的个人动态轨迹信息，则牵扯到政府通过手机及手机程序获取个人动态轨迹信息是否侵犯公民个人隐私的争议。美国对于手机定位信息是否属于公民宪法权利中的隐私权进行了激烈的争论，并在2018年的联邦最高法院的“Carpenter v. United States案”中取得定论，认定手机定位信息属于公民的合理隐私期待，受宪法第四修正案的保障，政府对公民手机定位信息的调取必须事先获得搜查令。实际上，即便是在美国宪法中，对于个人动态轨迹信息的保护也有所区分，比如“通过BB机（无线电发射装置）监控嫌疑人公共领域的行踪信息”并不违反宪法，而“通过GPS长时间监控嫌疑人公共领域的行踪”以及“通过手机定位监控嫌疑人全方位的行踪”则违反宪法，并非所有的个人动态轨迹信息都被认为是个人隐私。[14]在国内司法实践中，在侵犯个人动态轨迹信息的“胡某等非法获取公民个人信息案”中，最终判处非法获取公民个人信息罪，意味着个人动态轨迹信息属于非法获取公民个人信息罪中“上述个人信息”的范畴，而非认定为个人隐私。[15]政府在特殊情况下收集个人动态轨迹信息用于合理的用途，阻却了行为的刑事违法性。有鉴于此，可以认为个人动态轨迹信息在我国是被视为个人信息而非个人隐私，本质上并不存在有关个人隐私的争议，政府在告知公民个人动态轨迹信息的专一用途，并且保障不会泄露后，只要按照合理的频率收集个人的动态轨迹信息，就不能认定为侵犯公民个人隐私。

对于健康码中公民个人信息的收集，是健康码适用的前置准备阶段，也是算法行政的基础，政府要将收集来的信息进行统一的运算和分析，而非机械地使用。比如在重点场所（车站、机场）等地收集到的个人识别信息，就可以和个人轨迹信息进行前后比对与印证，从而实现健康码“由点到线再到面”的全方位数据收集处理，为后续的健康码算法程序运行做好数据整合工作。

三、健康码实际适用带来的风险分析

在做好健康码的数据收集工作后，将会触及健康码的实际适用环节，包括健康码的算法运行环节和健康码在基层的应用和比对环节。健康码实际适用中“适用”的概念，是指在健康码的运行过程中不断地调整适配，即“适配+运用”。基于算法行政的角度，适用的过程也是健康码算法自身调整适配的过程，并通过调整适配反馈出更加准确的结论，形成健康码适用的良好循环。如果健康码的适用存在问题，将会导致适用风险变大。健康码实际适用带来的风险集中在两个方面：一是算法运行过程中由于算法偏见导致错误的健康码结论的风险，属于健康码算法调整适配过程中存在的风险；二是不同类型的健康码在基层应用和比对过程中存在适用冲突的风险，属于健康码实际运用过程中的风险。

（一）健康码算法偏见的风险分析

健康码的算法程序是算法行政的核心内容，算法行政的开展就是用算法技术的抽象串联取代个体意识的阐述[16]，以保证算法结论尽可能地客观准确，而算法偏见的存在则导致基于算法的健康码系统存在误判的风险。现阶段健康码的算法程序依据三个维度的数据反馈进行赋分：其一是空间维度，分析不同区域的基础风险程度；其二是时间维度，依据行为人在相关地区滞留的次数和时间来判定风险程度；其三是社交维度，通过对公民人际交往关系的分析来判断其个人风险程度。通过这三个维度得出的赋分，使健康码对于公民个人的风险程度得出一个较为准确的结果，简化了行政流程。值得警惕的是，健康码的技术支撑是大数据算法，而大数据算法虽然能够提升算法行政的准确度和效率，但同时也面临算法偏见这一自身所固有的“顽疾”。在健康码大规模适用的背景下，分析健康码中可能存在的算法偏见的风险来源，才能做到防患于未然。

健康码算法偏见的风险体现在算法程序的运行中，因为算法偏见，导致在对公民个人的风险进行评估时，对于某些风险要素进行无端放大，或者按照算法流程的惯性思维得出不合实际的评价，这是典型的人工神经网络算法偏见。[17]对于公民个人而言，带有算法偏见的健康码会严重影响个人的正常生活和社会评价，严重侵犯公民的合法权益，并且给政府防控工作造成困扰。算法偏见的来源有如下几类：程序设计偏差导致的算法偏见、测试数据偏差导致的算法偏见、自我学习导致的算法偏见。[18]健康码算法偏见风险的来源主要是程序设计的偏差以及算法程序自我学习。依据算法伦理中的算法公平原则的要求，克服算法偏见，跨越“数字鸿沟”，是实现算法正义的必由之路。

程序设计偏差导致的算法偏见风险主要是指，在设计健康码的算法程序时，对于算法运行程序的设计以及衡量指标的选取出现偏差，导致健康码的结论不够准确。在健康码算法体系中，每个人都是数字化的生物，健康码的算法评价实际上是基于公民的个人信息而得出的数字化描摹形象，从而将社会空间整体转化为计算形式[19]，而此时程序设计的算法偏见将会产生不合实际的个人数字化描摹形象。运行程序的设计偏差主要是指程序的设计本身存在缺陷，或者后期调试次数不够，导致对相关参数的计算方式出现偏差，并得出错误结论。衡量指标的选取偏差主要是指衡量指标的选取不够客观中立，没有用科学性指标代替经验性指标，导致出现了性别、种族、国籍之类的无关信息干扰算法程序的运行。

自我学习导致的算法偏见风险在健康码系统中隐藏更深且更难预防。由于大数据技术的加持，算法在不断处理和分析数据的运行过程中得出了所谓的“经验”，并且在风险分析环节，会倾向于对某些有相似特征的人群做出相似的判断结论，尤其是在后台调高了健康码准确性的阈值后，为了保证算法预测的准确性，这种倾向会更加明显。自我学习导致的算法偏见严重违反了算法正义原则，健康码算法系统对于社会公众而言是“算法黑箱”[20]，如若不将自我学习导致的算法偏见尽可能地予以消除，不但侵害公民个人的合法权利，而且也会导致健康码算法失灵，阻碍疫情防控。实际上，自我学习导致的算法偏见在现有的健康码系统中不可避免，虽然可以将“更好的价值嵌入到我们的算法中，创造出符合我们道德标准的大数据模型”[21]，但是算法偏见只能尽量避免而非根除，所以应该“着力为算法寻求一种最优化的正义理论，而非苦寻所谓的完美算法”。[22]

（二）不同类型健康码适用冲突的风险分析

算法行政虽然能够减轻政府在数据处理方面的压力，以健康码的形式展示数据分析结论。但由于发布健康码的政府众多、层级复杂，导致不同类型的健康码在适用时存在冲突，并演化为政府间公信力冲突，浪费行政资源。以江苏省内适用的健康码为例，除了由省政府统一发布的“苏康码”外，还有各地市发布的健康码，如淮安市的“淮上通”、南京市的“宁归来”等。由于健康码的类型较多，并且在信息的收集和处理以及健康码系统的算法上存在差异，导致一个公民可能拥有不同的健康码，且反馈出不同的风险结论，从而造成适用冲突。算法行政由各级政府主导，且不同层级政府的信息整合能力有所差异，所以不同类型健康码的差异客观存在，以“淮上通”和“苏康码”为例，两者在信息指标上的差异达到了近30%。相较而言，高层级政府的数据处理和收集能力更强，能更完善地整合分析数据信息，尤其是个人轨迹数据这一模块，高层级政府的搜集效率更高且算法运算更准确，其发行的健康码的准确度也相对较高。不同类型健康码的展示信息确实不尽相同，在准确性上也存在差异，客观上导致了不同类型健康码的适用冲突风险。

由于不同类型的健康码之间存在的客观差异，导致基层工作人员在依据健康码进行风险判断时，面临不同类型健康码的适用冲突的风险。以“苏康码”和“宁归来”为例，基层工作人员在核验一个公民的不同健康码时，若健康码出现冲突，遵循最低风险原则，只要有一个是红码或者黄码就对当事人采取相应措施，还是按照健康码实际的差异，对两个有冲突的健康码进行比对分析。本文倾向于采用后一种方案，这样可以减少基层政府工作人员的负担和防控压力，并且只要分析得当，就不会造成误判。但是采用后一种分析模式，则必然要面对不同类型的健康码之间的适用冲突，存在误判的风险，不同类型健康码适用冲突的风险给疫情防控工作造成了极大的压力，增大了基层工作人员的工作难度。

四、算法行政语境下健康码的适用风险规避

在算法行政的语境下，个人信息收集、算法偏见处理以及健康码适用冲突的判断都属于健康码的适用环节，在规范了健康码个人信息的收集方式，并且对健康码实际适用过程的风险进行类型化分析之后，针对算法行政语境下的健康码适用风险的规避，是健康码良好适用的应有之义，使得政府在利用算法进行行政管理时，也对算法本身进行管理和完善，以保证算法行政的持续有效开展。

（一）个人信息收集和处理的风险规避

个人信息是健康码运行的基础，健康码中个人信息收集和处理的风险规避，需要借助规范性文件的效力，统一所收集个人信息数据的形式标准，缩小不同健康码所收集数据的差异，并且构建安全的个人信息数据传输共享路径，在利用完个人数据以后，对数据进行合理处置，将个人信息收集和处理的潜在风险降到最低。

第一，以规范性文件的形式要求个人信息收集的形式标准达成一致，从而利用自然语言处理技术将统一的信息数据进行处理，实现大数据技术处理数据的精髓。[23]由政府出具相应的技术标准作为规范性文件，制定形式统一的信息数据标准，为下一步的共享信息做好铺垫，打好算法行政开展的基础。在具体的规范性文件中，对于个人信息的标准化构建，应该围绕公民个人健康信息、公民个人识别信息、公民个人人际关系信息以及公民的个人轨迹信息展开，对于这四类信息的具体形式标准进行规定，比如采取何种时间要素（14天还是21天）进行判断、采用何种方式判定行为轨迹的危险性系数等，从而保证个人信息标准的统一，缩小不同健康码所收集数据的差异。

第二，对于健康码收集的个人信息，应该构建安全的数据传输共享的路径，在不泄露信息的前提下，做到数据共享，以打破数据壁垒。尤其是公民个人轨迹信息，由于地域间的差异，其本身存在较高的收集壁垒，但也有很高的分析和运算价值，对个人轨迹的分析可以有效地判断当事人的风险程度。有鉴于此，应该从规范性文件的层面对数据共享流程进行规定。例如，贵州省制定的诸如《贵阳市政府数据共享开放条例》之类的规范性文件[24]，就有效地消除了数据共享的壁垒，在数据服务提供方的平台上，实现数据“云共享”[25]，避免数据二次传输带来的风险，同时也防止流量劫持之类的犯罪行为的发生。[26]

第三，对于健康码收集的个人信息的处理要做到“去识别化”。个人信息的“去识别化”，是指数据保有者采用技术手段，对其所保有的数据信息进行集中筛查，将其中能够识别特定个人身份的数据信息予以删改[27]，从而实现在保留信息特定用途价值内容的同时，降低可能对信息主体的隐私造成的威胁或损害的风险[28]，保证公民个人信息的被遗忘权，尊重公民个人的信息法益。[29]在域外立法中，美国在《健康保险流通与责任法案》（HIPPA）中对使用EHR系统(Electronic Health Records) 时如何去识别化处理病患个人信息进行规定，包括对关键字段做隐蔽化处理等。[30]而在算法行政的语境下，健康码系统对个人信息去识别化处理，应该对个人识别信息的概念进行界定，规定消除的技术手段以及消除成功的判断标准[31]，并在算法程序中予以设定，保证健康码所收集的个人信息的安全。[32]

（二）针对算法偏见的风险构建健康码报错及追责机制

健康码的运行基础是算法，但是依托大数据技术的算法在预测方面亦非百分之百准确。[33]算法行政的开展需要在算法程序中设立相应的报错及追责机制，从而规避由算法偏见导致的健康码实际适用的风险。虽然算法偏见无法根除，但是尽可能地将算法偏见导致的适用风险降到最低，以保证健康码的准确度。

⒈健康码报错机制的构建

健康码报错机制的构建，由算法程序的调整适配和人工的精准审核两个部分组成。一方面，健康码的算法程序中应该增设核算及报错算法机制，以规范性文件的形式强制要求健康码系统在后台程序中增加核算以及报错算法，实现对算法偏见的自我纠偏。但实际上，在由算法实施“网络实时监测和指挥”的社会中[34]，对算法程序不宜过分“苛责”，而是应该给予其一定的容错率，并引导算法程序自我纠偏，促进算法学习并自我完善。至于规范性文件的制定，则可以参照域外已经成熟的相关文件，诸如《标准欧洲消费者信用信息》(Standard European Consumer Credit Information，SECCI)等。[35]另一方面，对于健康码而言，虽然其初始目的是“让机器的行为看起来就像是人类所表现出来的智能行为一样”[36]，但是单纯依赖算法的自我纠偏，显然已经无法解决当下的算法偏见困境，此时人工审核机制的加入将会有效地解决算法程序无法处理的问题。对于人工审核机制的加入，应该提前划清权限的边界，以操作手册之类的标准性文件，规范人工审核的操作流程，避免出现因为人工审核导致算法系统正确结果被误判或干扰的情形。

⒉健康码追责机制的构建

健康码是算法程序的“集合”，算法行政背景下对于健康码的追责，本质上就是对算法程序的追责。域外学者普遍将算法程序错误对公共秩序造成的损害定性为公共滋扰（Public Nuisance），并认定其对公共利益造成损害。[37]虽然在实践中多将算法背后的运营商作为追责主体，比如美国的《统一计算机信息交易法案》（The Uniform Computer Information Transactions Act）就将算法程序视为“运营商对外延伸获取信息的长臂”[38]，并由此认定运营商为算法的追责主体。健康码明显迥异于一般的算法程序，其实际上是由政府主导运营商开发的算法程序，有浓厚的行政色彩的加入，因此对于健康码的追责，不能仅追究运营商责任。[39]参照国务院发布的《新一代人工智能发展规划》（国发〔2017〕35号）中所倡导构建的“多层次判断结构及人机协作的伦理框架”，对于具体的责任划分，本文认为应该根据算法程序的问题分情况进行探讨：对于因为算法程序设计偏差所致的算法偏见，应该追究运营商的责任。对于因为政府工作人员的行为导致的算法偏见扩大，应该追究政府工作人员的责任，对于涉嫌刑事犯罪的，可以追究其刑事责任。[40]对于算法程序自我学习导致算法偏见以及衍生的问题，则无法进行追责，但是应该及时对算法程序进行修正和改进，这也可以视为对人工智能算法程序的变相“追责”。[41]

（三）不同类型健康码适用冲突的风险消除

对于消除不同类型健康码适用冲突的风险，可以通过对不同类型的健康码划分层级，并且制定针对发生冲突的不同层级健康码的选择程序，从而推进算法行政工作的开展。对于不同类型健康码的具体层级划分，可以根据发行健康码政府的行政层级不同，参照行政法中的“梅尔克-凯尔森”法律位阶体系[42]，分为“省-市-区”三级位阶。省一级的健康码，由省级政府发布，在该省的行政区划内适用，同时包括几个省联合发布的或者互认的健康码，比如长三角地区三省一市（江苏省、浙江省、安徽省、上海市）所建立的互认通用健康码。市一级的健康码，由市级政府发布，在适用优先性上一般低于省一级的健康码，包括一个省内几个市联合发布的通用健康码，也包括地理位置相邻而非一省之内的几个市一起联合发布或者互认的健康码，以及省一级政府和非本省内的市一级政府互认的健康码。比如湖北省健康码和江西省九江市的九江赣通码互认，形成了省一级健康码和市一级健康码互认通用的交错机制。区县一级健康码，由区县级政府发布，比如珠海的斗门区健康码、宁波市北仑区健康码等。采用三级位阶的健康码层级划分，符合当下健康码发行政府不同的实际状况，能够涵盖不同类型健康码，并对应不同政府的管辖范围。

在划分了不同类型健康码层级以后，对于不同层级或者同一层级的健康码发生适用冲突时，既然采用一刀切的最低风险原则并不合适，那么如何选择合适的健康码以消除适用冲突的风险成为横亘在基层工作人员面前的难题。不同类型的健康码，由于其背后所蕴含的公信力、算法、信息收集准确度都不尽相同，在划分了相应的层级之后，应该制定出合理的适用冲突解决路径。

第一，不同层级的健康码之间发生冲突时，工作人员一般应该以高层级健康码为准。高层级健康码虽然在算法程序上不一定具有优势，但是由于算法分析需要大规模基础数据的支撑，而高层级健康码由于政府治理能力的提升，更易获得大量且准确的数据，有助于提升结论的准确度。除此以外，高层级的健康码所依托的海量个人信息数据，将帮助健康码算法不断自我学习和改进，完善算法程序，提升健康码的准确度，所以采信高层级的健康码的信息，符合健康码适用的实际情况，能最大程度避免基层工作人员判断失误。

第二，同一层级的健康码之间发生冲突时，不能仅依据健康码适用范围的大小进行评判，而是应该结合时间因素和空间因素的权重进行综合分析。以数个市联合发行的健康码和某市单独发行的健康码之间的冲突为例，这两者发生冲突时，不能仅因为前者的区域更大就认为其准确度更高。一方面，应该根据行为人的行踪轨迹进行判断，如果行为人在联合发行的数个市内滞留的地方多，行踪密集，则应该赋予较高的权重，反之亦然；另一方面，应该根据时间因素进行判断，行为人在何处滞留的时间长，那么其统计样本相对就更加准确，也应该赋予更多的权重。当不同的权重进行累加后，将会得出两个健康码在准确度上的差距，此时应该选择权重高的健康码为准，而权重如何分配，则应该根据当地的实际情况以规范性文件的形式进行确定。

五、结论与展望

在算法行政的背景下，算法作为重要的社会管理参与者，当政府利用算法程序执行社会物质的集合行动时，针对特定主体的治理技术就会依赖算法程序支持，形成了针对社会行政的算法治理。[43]算法行政的引入，摆脱了传统行政管理的单一手段，将算法技术纳入有效社会治理范畴，从而在效率上达到质的飞跃。对公民来说，健康码相当于“自动化的填表工具+在线化的健康证明”，而对政府来说，健康码则是实时追踪公民健康状况、掌握重点人群轨迹的SaaS系统（Software-as-a-Service，软件即服务），政府通过互联网代理商提供的云端服务器，依据自身需求定制相应的软件服务，健康码的引入使得公民和政府间达成共赢。健康码的适用，实际上是近年来推动算法行政的成果检测，同时也意味着“智慧政务”时代的到来，促进中国的社会结构中不同组织做到在线化、数据化，契合了习近平总书记提出的“鼓励运用大数据、人工智能、云计算等数字技术……更好地发挥支撑作用”的观点。有鉴于此，对于健康码的适用，不能仅对其“一味叫好”，而是需要发现其背后蕴含的算法行政根源，不能一味地迷信大数据算法，[44]而是要根据健康码适用的实际情况，规避健康码系统信息收集以及实际适用中的风险。在提升政府行政效率的同时，利用算法行政完善社会治理，让算法行政成为提升政府公信力的全新进路。

参考文献：

（略）

作者简介：

陈禹衡（1994—），男，江苏淮安人，东南大学法学院法学博士研究生，东南大学人民法院司法大数据研究基地特聘研究人员，研究方向：大数据法学，刑法学。

陈洪兵（1970—），男，湖北荆门人，东南大学法学院教授，博士生导师，东南大学刑事法研究所所长，研究方向：刑法学。

基金项目：国家社会科学基金一般项目“网络服务商刑事责任边界及体系构建研究”（项目编号：18BFX104）；国家重点研发计划“面向诉讼全流程的一体化便民服务技术及装备研究”（项目编号：2018YFC0830200）；江苏高校哲学社会科学重点研究基地“反腐败法治研究中心”(批准号:2015ZSJD002)资助。