传染病疫情防控与个人信息保护初探之一：个人信息的性质
前言
在数字时代，将ICT技术运用于传染病疫情的监测和防控是题中之义。在此次2019-nCoV病毒疫情中，我们也在公开媒体中初步见到了大数据技术在这方面的威力。
比如百度推出了【百度迁徙升级版上线，人口迁徙大数据向公众开放】。第一财经等媒体也利用百度迁徙地图，就武汉人流进行了专门的报道：【500万人离开了武汉，他们都去了哪儿？】
如果说上述实践中主要展示了集合性数据（aggregated data），基本上不存在个人信息保护风险的话，部分新闻媒体报道中披露出的直接披露、共享武汉人民个人信息的做法（例如【武汉人是否还应该有隐私？】），就存在违法违规的风险。
本系列短文，旨在初步探讨传染病疫情与个人信息保护之间的复杂关系。在文章中，很多时候是提出问题，但确切的答案，我自己也没有。请大家见谅。
个人信息保护，针对的是个体层面的数据。媒体报道中提出的问题很明了：
因此，首先我们要明确的是，这些无序共享的个人信息的性质。姓名、家庭住址、身份证号、手机号、行踪轨迹等，均属于个人信息，这个没有任何疑问。但这些信息类型的性质和保护水平，是我们需要弄清楚的问题，以便后续做利益冲突方面的平衡时能知道多大程度上公共利益能够压倒个人的合法权益。
目前，在国内现行法律中，没有明确的将某些类型的个人信息赋予更高等级的保护。在国家标准GB/T35273《个人信息安全规范》中，提出了个人敏感信息这个概念，以此区别于个人信息。
本质上，标准采取的是场景式的定义，有些信息，例如姓名、电话号码，在平日仅仅是个人信息，但是部分武汉人民（及从武汉返乡人员）的这些信息，在当下特殊的情形中，应当认为是个人敏感信息。理由如这个报道中提到的情况：【在外地的湖北人：我们现在是老鼠过街，人人喊打】。
换句话说，这个定义的提出站在个人信息控制者的角度。如果其意识到这些信息，结合其自身的性质（例如疾控机构）、使用这些信息的目的（例如追踪、隔离）、当下社会的普遍情绪（例如恐慌、猜忌）等因素，“一旦泄露、非法提供或滥用可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或歧视性待遇等”的，就应当自觉将这些信息“升格”为个人敏感信息来保护。
因此，个人敏感信息这个定义是依赖于场景的——即何种信息在何时落入个人敏感信息这个类别，是和场景密切相关的。
这样一种逻辑，实际上也是欧盟GDPR定义特殊类型个人信息的逻辑。GDPR第九条是这么写的：
翻译起来就是：
禁止以下数据处理行为：处理个人数据，揭露出其种族、民族、政治观点、宗教和哲学信仰，或工会成员身份；处理基因数据、生物识别数据，以识别出特定个人；处理与健康相关的数据，或与自然人性取向或性经历有关的数据。
要非常注意GDPR这个条文的措词——“处理个人数据，揭露出”（processing of personal data revealing）。也就是说，GDPR中的特殊类型数据，绝不是单纯的种族、民族、政治观点、宗教和哲学信仰、工会成员身份这几类具体的信息，而是数据控制者能够用一些数据来推断出上述信息即可。
举个例子：例如数据控制者知道一个清真寺的地理位置，同时得知一位个人每周去该地理位置五次之多，那显然这位个人大概率信奉穆斯林。此时，地理位置信息就应当被认定为GDPR中的特殊类型数据，享有特殊保护。
同样的，与健康相关的信息（data concerning health）也是这么一个理。在当下，武汉市民（及从武汉返乡人员）几乎等同于2019-nCoV病毒高危人群，其家庭住址、身份证号码等，被各个方面用于隔离、劝勉等目的。此时，其家庭住址、身份证号码等在GDPR中就会被当成与健康相关的信息（data concerning health），而“升格”为特殊类型数据。
好的，该系列第一篇文章就此打住。祝大家百毒不侵。
数据保护官（DPO）社群主要成员是个人信息保护和数据安全一线工作者。他们主要来自于国内头部的互联网公司、安全公司、律所、会计师事务所、高校、研究机构等。在从事本职工作的同时，DPO社群成员还放眼全球思考数据安全和隐私保护的最新动态、进展、趋势。2018年5月，DPO社群举行了第一次线下沙龙。沙龙每月一期，集中讨论不同的议题。目前DPO社群已近300人。关于DPO社群和沙龙更多的情况如下：
DPO社群成果
线下沙龙实录见：
评估GDPR效果和影响:
线上沙龙见：
DPO社群成员观点