查看原文
其他

传染病疫情防控与个人信息保护初探之七:美国公共卫生机构的数据调取权力

洪延青 葛鑫 网安寻路人 2020-02-26

前言


在数字时代,将ICT技术运用于传染病疫情的监测和防控是题中之义。在此次2019-nCoV病毒疫情中,我们也在公开媒体中初步见到了大数据技术在这方面的威力。


比如百度推出了【百度迁徙升级版上线,人口迁徙大数据向公众开放】。第一财经等媒体也利用百度迁徙地图,就武汉人流进行了专门的报道:【500万人离开了武汉,他们都去了哪儿?


如果说上述实践中主要展示了集合性数据(aggregated data),基本上不存在个人信息保护风险的话,部分新闻媒体报道中披露出的直接披露、共享武汉人民个人信息的做法(例如【武汉人是否还应该有隐私?】),就存在违法违规的风险。


本系列短文,旨在初步探讨传染病疫情与个人信息保护之间的复杂关系。在文章中,很多时候是提出问题,但确切的答案,我自己也没有。请大家见谅。此前已经发出的该系列文章:





前一篇介绍了欧盟GDPR框架下的公共卫生数据共享。现在让我们看看美国法律如何支撑出于公共卫生目的,政府机构从私营部门那调取,或要求私营部门共享数据的法律框架。美国法在此方面非常复杂,不像欧盟通过几部成文规定将框架确立。因此,先从发生在2004年一个事件说起:

2004年,美国爱荷华州和密歇根州的州卫生部门在发生一人患有麻疹后乘坐了西北航空的航班,即向西北航空提出航班上乘客和机组人员的联系方式,以向上述人群通知与病患接触的情况,并提供有关减少患病可能性的信息。

显然,航空公司担心个人信息方面的风险。为此,爱荷华州和密歇根州的州卫生部门根据各自州的法律采取了法律程序来强制西北航空披露乘客和机组人员的联系方式。

爱荷华州的卫生部门通过法庭传票的形式(court subpoena),而密歇根州的卫生部门颁发了“迫在眉睫危险令”(an imminent danger order)。


我们选取这个例子中的密歇根州,探讨下密歇根州的州法关于公共卫生的规定中对公共卫生部门数据调取权力的授权。先来看看卫生部门发出的的所谓的“迫在眉睫危险令”(an imminent danger order)。以下内容摘自2016年出版的“Public Health Law Bench Book for Michigan Courts”。


从以下内容中看到,管理“迫在眉睫的危险”是密歇根州卫生服务部门(MDHHS)的主要职责之一。密歇根州州法对“迫在眉睫的危险”作出了定义,而且授权MDHHS发布命令要求相关个人作出降低或消除危险所必要的动作。


在“公共卫生报告和通知”这一节中,如果MDHHS认定存在“迫在眉睫的危险”,则密歇根州地方卫生官员有权立刻通知受该危险影响的个人,并发出“迫在眉睫危险令”,命令其作出降低或消除危险所必要的动作,这其中自然包括汇报与疾病相关的情况。


在“疾病调查和接触追踪”这一节中,针对可传染的疾病,MDHSS应当开展疾病调查。
在此方面,MDHSS有非常广泛的权力——地方卫生部门可以检查、调查任何事项、场所、人、记录、车辆、事件等等。


正因为有上述授权,密歇根州卫生部门从西北航空那顺利地拿到了乘客列表(passenger list)和乘客的联系方式。


从这个例子可以看到,美国的州卫生部门可以行使非常广泛的“警察权力”(policing power)来保护公众的健康和安全。州卫生部门可以采取各种措施(不限于本系列文章关注的数据调取,还包括强制检查、取样、医疗、强隔离等权力)以控制传染病的传播。


从历史上看,美国最高法院的判决支持州一层可以出于保护社区目的而可颁布限制个人自由的法律。例如,在Jacobson v. Massachusetts197 U.S. 11 (1905)】一案中,最高法院支持马萨诸塞州为通过强制疫苗接种法,以保护社区免受天花伤害。因此,各州可能颁布法律要求:上报个人健康数据、调取医疗和医院记录以查找有关传染病的来源和传播的信息、收集和测试样本以及在保护公众免受传染病影响的必要范围内披露关于疾病和其他公共卫生威胁的信息等。


就我们关注的数据调取(亦即数据收集)权力来说,在Whalen v Roe【429 U.S. 589 (1977)】一案中,最高法院维持了一项州法律,该法律要求开具“附表II管制药物”(Schedule II controlled substances)的医师向纽约州卫生部提供这些处方的副本。该法律旨在防止药物流入“非法渠道”,例如防止个人从不止一名医生那里获得管制药物、防止个人使用被盗或更改的处方、防止医师过度开药等。最高法院支持了该法赋予州卫生部门强制收集患者姓名和地址的权力。法院认为:“要求向负责社区健康的州政府代表(注:即州卫生部门)披露此类信息,并不自动意味着侵犯了隐私”。此外,法院提出,州政府收集、积累大量个人信息,特别是一旦披露的可能会造成尴尬或造成损害的信息,应当采取保护隐私的措施;而纽约州的该项法律及其实施细则,体现了对个人隐私利益的恰当保护。


这两个重要的最高法院判例,支撑了州一级政府为了公共卫生目的通过立法赋予卫生部门广泛强制性权力的实践:不仅州卫生部门能够直接进入私人场所或者对个人开展强制检查、调查等,还能从私营部门那调取与公共卫生相关的数据。


在大多数情况下,州卫生部门能够获得个人和企业的主动配合。但如果吃了“闭门羹”,州卫生部门(根据不同州的法律规定)或是可以自己发布强制性命令,或是可以向法庭申请行政搜查令,强制个人和企业配合。如此,卫生部门的权力行使就进入了美国宪法第四修正案的框架下。

The right of the people to be secure in their persons, houses, papers, and effects, against unreasonable searches and seizures, shall not be violated, and no Warrants shall issue, but upon probable cause, supported by Oath or affirmation, and particularly describing the place to be searched, and the persons or things to be seized.


译文:人民的人身、住宅、文件和财产不受无理搜查和扣押的权利,不得侵犯。除依照合理根据,以宣誓或代誓宣言保证,并具体说明搜查地点和扣押的人或物,不得发出搜查和扣押状。


只不过相对于执法部门(law enforcement agencies)的搜查和扣押中要求的“合理依据”,卫生部门在申请令状时需要向法院提供的“合理依据”程度更低。【请参考第四修正案中的例外和“特别需要”(special needs)的案例】


至于向私营部门调取个人信息来说,美国法区分了两个层次的利益需要保护:一是(存储于私营部门的个人信息上附着的)个人隐私保护,但在此方面,美国法所谓的“第三方原则”认为个人已经向私营部门披露的个人信息,因此(多数情况下)已经放弃了上述信息持续获得隐私保护的期待,所以美国法对这类信息给了程度很低的保护。


二是私营部门自己的隐私利益(还是美国法上的概念,以及需有法律明确保护才成立),州卫生部门一般来说也不需要达到执法部门的搜查和扣押中要求的“合理依据”的要求。


在“第三方原则”和相对个人保护较低的私营部门隐私利益保护的作用下,美国卫生部门基本不存在无法调取疫情控制所需要数据的情况。而且如果是在紧急状态下,例如疫情爆发过程中,美国州层面的立法还赋予了卫生部门还具备更强的权力,例如不再需要搜查和扣押的令状。


限于篇幅原因,上述几种情况,笔者就不在此展开,只是将大概框架勾勒出来。总的来说,美国法非常支持卫生部门在疫情控制方面的数据收集和使用权力,但相对“缩水”的第四修正案保护要求卫生部门事实上遵循下列原则:调取数据的目的明确、有一定的事实依据、调取数据的范围明确、严格的共享约束等。


因此,无论是欧盟还是美国的法律,都给了出于公共卫生目的(特别是疫情控制目的)共享个人信息的支撑,不必然只能使用匿名化的信息。当然,匿名化、去标识化、访问控制措施等作为数据安全措施,是非常值得提倡的。


下一篇会是前面七篇文章的总结,敬请关注。




数据保护官(DPO)社群主要成员是个人信息保护和数据安全一线工作者。他们主要来自于国内头部的互联网公司、安全公司、律所、会计师事务所、高校、研究机构等。在从事本职工作的同时,DPO社群成员还放眼全球思考数据安全和隐私保护的最新动态、进展、趋势。2018年5月,DPO社群举行了第一次线下沙龙。沙龙每月一期,集中讨论不同的议题。目前DPO社群已近300人。关于DPO社群和沙龙更多的情况如下:


DPO社群成果

  1. 印度《2018个人数据保护法(草案)》全文翻译(中英对照版)(DPO沙龙出品)

  2. 巴西《通用数据保护法》全文中文翻译(DPO沙龙出品)

  3. 美国联邦隐私立法重要文件编译第一辑(DPO沙龙出品)

  4. 《非个人数据在欧盟境内自由流动框架条例》全文中文翻译(DPO沙龙出品)

  5. 第29条工作组《对第2016/679号条例(GDPR)下同意的解释指南》中文翻译(DPO沙龙出品)

  6. 第29条工作组“关于减轻对处理活动进行记录义务的立场文件”(DPO沙龙出品)

  7. 第29条工作组《第2/2017号关于工作中数据处理的意见》(DPO沙龙出品)

  8. “美国华盛顿哥伦比亚特区诉Facebook“起诉书全文翻译(DPO沙龙出品)

  9. 第29条工作组《关于自动化个人决策目的和识别分析目的准则》(DPO沙龙出品)

  10. 法国数据保护局发布针对与商业伙伴或数据代理共享数据的指南

  11. 第29条工作组《数据可携权指南》全文翻译(DPO沙龙出品)

  12. 德国联邦反垄断局对Facebook数据收集和融合行为提出严格限制(DPO沙龙出品)

  13. 德国联邦反垄断局审查Facebook数据收集融合行为的背景情况(DPO沙龙出品)

  14. EDPB“关于《临床试验条例》与GDPR间相互关系”意见的全文翻译(DPO沙龙出品)

  15. 第29条工作组关于GDPR《透明度准则的指引》全文翻译(DPO沙龙出品)

  16. “108号公约”全文翻译(DPO沙龙出品)

  17. 美国司法部“云法案”白皮书全文翻译(DPO社群出品)

  18. EDPB关于GDPR中合同必要性指引的中文翻译(DPO沙龙出品)

  19. 新加坡《防止网络虚假信息和网络操纵法案》中文翻译(DPO沙龙出品)

  20. 英国ICO《广告技术和实时竞价的更新报告》中译文(DPO社群出品)

  21. “FTC与Facebook达成和解令的新闻通告”全文翻译(DPO社群出品)

  22. CJEU认定网站和嵌入的第三方代码成为共同数据控制者(DPO沙龙出品)

  23. FTC与Facebook“2019和解令”全文翻译(DPO社群出品)

  24. 英国ICO《数据共享行为守则》中译文(DPO社群出品)

  25. “hiQ Labs诉LinkedIn案上诉判决”中译文(DPO社群出品)

  26. 法国数据保护监管机构(CNIL)有关cookies和其他追踪方式的指引(全文翻译)

  27. 美加州消费者隐私法案(CCPA) 修正案汇总中译文(DPO沙龙出品)

  28. FTC“首次针对追踪类App提起诉讼”的官方声明中文翻译(DPO社群出品)

  29. ICDPPC关于隐私和消费者保护、竞争维护交叉问题决议的中文翻译(DPO社群出品)

  30. 德国关于确定企业GDPR相关罚款数额官方指南的中文翻译(DPO社群出品)

  31. 亚洲十四个国家和地区数据跨境制度报告中译本(DPO社群出品)

  32. 印度《个人数据保护法》(2019年草案)全文翻译(DPO社群出品)

  33. 法国数据保护局(CNIL)关于人脸识别报告的中译文(DPO社群出品)

  34. AEPD和EDPS | “哈希函数简介——用于个人数据假名化技术”中译文(DPO社群出品)


线下沙龙实录见:

  1. 数据保护官(DPO)沙龙第一期纪实

  2. 第二期数据保护官沙龙纪实:个人信息安全影响评估指南 

  3. 第三期数据保护官沙龙纪实:数据出境安全评估

  4. 第四期数据保护官沙龙纪实:网络爬虫的法律规制

  5. 第四期数据保护官沙龙纪实之二:当爬虫遇上法律会有什么风险

  6. 第五期数据保护官沙龙纪实:美国联邦隐私立法重要文件讨论

  7. 数据保护官(DPO)沙龙走进燕园系列活动第一期

  8. 第六期数据保护官沙龙纪实:2018年隐私条款评审工作

  9. 第八期数据保护官沙龙纪实:重点行业数据、隐私及网络安全

  10. 第九期数据保护官沙龙纪实:《个人信息安全规范》修订研讨

  11. 第十期数据保护官沙龙纪实:数据融合可给企业赋能,但不能不问西东

  12. 第十一期数据保护官沙龙纪实:企业如何看住自家的数据资产?这里有份权威的安全指南

  13. 第十二期数据保护官纪实:金融数据保护,须平衡个人隐私与公共利益

  14. 第十三期DPO沙龙纪实:厘清《数据安全管理办法》中的重点条款

  15. 第十四期DPO沙龙纪实:梳理《个人信息出境安全评估办法(征求意见稿)》的评估流程

  16. 第十五期DPO沙龙纪实:SDK非洪水猛兽,但如果“作恶”乱收集信息,谁来管?

  17. 第十六期DPO沙龙纪实:查询App收集个人信息类型、禁止收集IMEI号是未来监管趋势

  18. 与欧美一流数据保护专家面对面(DPO沙龙特别活动)

  19. 第十七期DPO沙龙纪实:数据统一确权恐难实现 部门立法或是有效途径

  20. 第十八期DPO沙龙纪实:生物识别信息的安全保护


评估GDPR效果和影响:

  1. 评价GDPR一周年:一些正负面观点

  2. 评估GDPR效果和影响的参考资料(一):来自Capgemini的报告

  3. 评估GDPR效果和影响的参考资料(二):来自CIPL的报告

  4. 评估GDPR效果和影响的参考资料(三):来自IAPP的报告

  5. 评估GDPR效果和影响的参考资料(四):来自“黑客”的视角

  6. 评估GDPR效果和影响的参考资料(五):来自欧盟成员国的视角


线上沙龙见:

  1. DPO社群对数据堂事件的精彩点评

  2. DPO社群线上讨论第二期:“出售 & 提供” 个人信息之法律与实务对话

  3. 用户授权第三方获取自己在平台的数据,可以吗?不可以吗?(DPO沙龙线上讨论第三期)


DPO社群成员观点

  1. 个人信息委托处理是否需要个人授权?(DPO社群成员观点)

  2. 企业如何告知与保护用户的个人信息主体权利(DPO社群成员观点)

  3. GDPR“首张”执行通知盯上AlQ公司的前期后后(DPO社群成员观点)

  4. 隐私条款撰写调研报告(DPO社群成员观点)

  5. 我看到的数据安全(DPO社群成员观点)

  6. 数据爬取的法律风险综述(DPO社群成员观点)

  7. 银行业金融数据出境的监管框架与脉络(DPO社群成员观点)

  8. 解析公安机关《互联网个人信息安全保护指引(征求意见稿)》(DPO社群成员观点)

  9. 详解GDPR向Google亮剑缘由(DPO社群成员观点)

  10. 从生产安全体系视角看数据安全(DPO社群成员观点)

  11. 从Android Q看安卓系统的授权机制的三次重大演进(DPO社群成员观点)

  12. APP安全认证公告和实施规则解读:治理思路的创新与多样化(DPO社群成员观点)

  13. 从数据融合角度分析CNIL处罚谷歌案(DPO社群成员观点)

  14. 历史和国际比较视角DPO法律制度探源(DPO社群成员观点)

  15. 谷歌数据融合合规之路:从欧盟监管机构调查与处罚来看——上篇(DPO社群成员观点)

  16. 数据保护官岗位角色技术能力分析(DPO社群成员观点)

  17. 中国企业境外投资中儿童个人信息保护(DPO社群成员观点)

  18. 企业上市过程面临的数据合规问题和相关风险:境内篇(DPO社群成员观点)

  19. 企业上市过程面临的数据合规问题和相关风险:境外篇(DPO社群成员观点)

  20. 数据保护岗位需求与能力发展(DPO社群成员观点)

  21. DPO互助平台对企业数据治理实务的指导(DPO社群成员观点)

  22. 对网络安全负责人岗位的思考(DPO社群成员观点)

  23. 结合良好实践,细说APP自评估指南之一(DPO社群成员观点)

  24. 《个人信息安全规范》的效力与功能

  25. 结合良好实践,细说APP自评估指南之二(DPO社群成员观点)

  26. 《网络安全法》中数据出境安全评估真的那么“另类”吗

  27. 实施已满三月,区块链新规“回头看”(DPO社群成员观点)

  28. 从“布拉格提案”看美国政府的策略

  29. 《欧盟GDPR合规指引》前言:从一个损毁的雕像说起

  30. 对《网络安全审查办法(征求意见稿)》的几点观察

  31. 使命与界限:近期个人信息和数据安全新规的一些思考(DPO社群成员观点)

  32. 解析《个人信息出境安全评估办法(征求意见稿)》实体保护规则背后的主要思路

  33. “惟危惟微,允执厥中”:对《数据安全管理办法》中“定向推送”部分的思考

  34. 《儿童个人信息网络保护规定(征求意见稿)》评析:与美国COPPA对比的视角

  35. 网安法中的“范围”如何理解和落地:从头条案说起

  36. 《数据安全管理办法》的监管诉求及文本改进建议:DPO社群的现场讨论

  37. 数据安全的内部和外部视角初探

  38. 《个人信息出境安全评估办法》的流程改进建议:DPO社群的现场讨论

  39. GDPR与相关数据保护法律处罚案例调研(DPO社群成员观点)

  40. 个人信息侵权纠纷类型化试解(DPO社群成员观点)

  41. 英法两国对 AdTech和广告类SDK的监管案例分析

  42. 金控监管办法草案发布 有望扫清信息共享障碍(DPO社群成员观点)

  43. GDPR对用户画像的合规要求分析(DPO社群成员观点)

  44. IAPP新加坡会议上关于27701的Panel和PPT

  45. FTC vs Facebook:50亿美元和解令的来龙去脉(DPO社群成员观点)

  46. 人脸识别技术的法律规制研究初探(DPO社群成员观点)

  47. 澳《消费者数据权利法案》对数据共享与数据可携权的探索(DPO社群成员观点)

  48. FTC vs. YouTube:解读违规处理儿童个人信息之最大罚单(DPO社群成员观点)

  49. 个人数据在美欧外国投资审查中的角色初探(一)

  50. HiQ vs. LinkedIn案的启示与未决之题(DPO社群成员观点)

  51. 国家标准《个人信息安全规范(征求意见稿)》修订解读(DPO社群成员观点)

  52. 解析欧盟法院对与Cookies相关的告知和同意的最新判决(DPO社群成员观点)

  53. 推动域外应用商店下架“HKmap.live全港抗争即时地图”App的思路

  54. “客场作战”,法律先行:以“HKmap.live”为例

  55. 墨迹天气IPO被否 App治理工作组收集个人信息通报成依据之一

  56. 解读世界首例警方使用人脸识别技术合法性判决(DPO社群成员观点)

  57. 从墨迹IPO被否看拟境内上市企业的数据合规工作(DPO社群成员观点)

  58. 对美国外国投资审查新规的观察和评价(DPO社群成员观点)

  59. 《个人信息安全规范》在安标委重庆会议周上的汇报

  60. 人脸识别技术运用的六大场景及法律规制框架的适配(DPO社群成员观点)

  61. 他山之石:美国20年间33个儿童信息保护违法案例分析(DPO社群成员观点)

  62. 人脸识别技术的规制框架(PPT+讲稿)

  63. 全球视野中的金融数据安全

  64. 公司IPO/重组/投融资时,监管部门审查要点汇总及问题分析(DPO社群成员观点)

  65. 个人金融信息收集和共享的基本原理:基于中美欧规则的展开(文字稿+PPT)

  66. 透析印度《个人数据保护法2019年草案》

  67. 北京市关于自动驾驶车辆道路测试的立法综述及动态(DPO社群成员观点)

  68. 违反俄罗斯数据本地化的行政罚款新规(DPO社群成员观点)

  69. 零售门店使用人脸识别技术的主要法律问题(DPO社群成员观点)

    您可能也对以下帖子感兴趣

    文章有问题?点此查看未经处理的缓存