当前，人工智能、区块链和大数据技术等智慧科技在疫情防控中发挥了积极作用，但同时，收集个人信息也涉及个人隐私问题，需要引起足够的关注。

人工智能在疾病预测方面，可以辅助医生诊断病情和治疗病人，承担检测疾病，预测病人风险，选择药物，甚至进行实际治疗工作。例如，某数科公司有一款疫情机器人，可以与疑似病患互动而判断患者是否需要隔离治疗。有机构精准医学研究院研发的“新型冠状病毒肺炎自测评估系统”也具有诊断功能，只要患者输入信息，系统就会作出患病风险层级评估并给出就医指导。还有互联网公司通过红外设备和人脸识别系统开发出检测体温机器人，可以在公众场合精准地确定体温异常的行人；有的科技公司开发的疫情机器人可以提供新型冠状病毒基础信息解读、预防措施、症状及就医指导、实时疫情信息、发热门诊、定点医院等信息查询引导，普通民众通过手机下载后使用，方便检测自己的身体状况。如果广泛推广这些自动检测系统，可以让普通人及时得到自救，缓解医院的检测压力，防止交叉感染和疫情扩散。

区块链与信息管理方面，有高校开发的“区块链疫情采集监测系统”可以分布式在线采集全校学生和教职工健康状态数据、外出情况和疫情防控信息，实现实时在线监测防控的目标。有保险理赔平台使用区块链管理与病毒相关的索赔，取消了面对面交涉和纸质文件，防止传染发生，将患者、医院和保险公司链接起来，可以优化赔付流程，更快地处理理赔并付款。

大数据在疫情和病情预测方面也发挥了重要作用，可以实现疫情信息的获取、汇聚、整理、分析和挖掘。铁路公司运用实名制售票大数据资源，统计全国以及各省的乘客去向。通信公司利用网络大数据，分析在一定时段内自特定地区进入各省市的人口分布情况。这些大数据提供给疫情防控部门，帮助其精准研判疫情并发布相关信息，让百姓关注疫情，提高自我防护能力，同时避免听信谣言，引发社会恐慌。此外，还有许多企业和个人利用地图、交通、移动通信、电商消费数据等大数据资料建立病毒感染风险预测模型，通过输入被检测人的个人信息，预测其是否到过疫源地、是否与疫源地人员接触、是否与已感染病例接触，进而实现预警。例如，目前出现的“确诊患者相同行程查询工具”，任何人只要向其输入乘坐的交通工具、时间和地区，即可查询到自己是否曾和确诊者同行。

智慧科技设备（以下简称“设备”）收集个人信息一直就是“公开的秘密”，设备的使用过程也是个人信息不断被收集的过程。这次疫情防控掀起了收集个人信息的一次新的“高潮”。上文列举的疾病监测软件、区块链信息管理软件和病毒感染风险测试软件等，都在源源不断地收集用户的人脸图像、姓名、年龄、身份证号码、电话号码、家庭住址，以及是否确诊、疑似或者密切接触等信息。

需要说明的是，个人信息收集存在两种情况。一是通过去标识化处理后汇聚成集合性信息，提供给政府和疾控等部门，以作为疫情发展判断和部署的依据，这是值得大力提倡的合法行为。二是设备以帮助用户预测病情或者感染危险等为名，获得用户的个人信息，当这些个人信息中还包含敏感信息时，就存在收集合法性问题。

无疑，设备实际上充当了一个信息收集者的角色，这种收集也可以称之为被动收集。在重大疫情背景下，用户也必然不再像平日那么谨慎，按照软件提示输入自己的症状和乘坐的车次和航班号等信息，其个人信息包括敏感信息沉淀在设备之中，或者被设备所“抓取”。

那么，设备所有人有没有收集个人信息的资格呢？按照《信息安全技术个人信息安全规范》的规定，个人信息收集的方式有两个：一是征得用户明示同意，二是出现公共卫生等重大事件时，行政机关、疾病预防控制机构无需征得个人信息主体的同意即可收集其相关信息。除此之外，其他任何单位和个人不得以疫情防控、疾病防治为由收集个人信息。

设备对个人信息的收集确实存在不符合法律法规之处。其一，实践中大多的设备并不会明确向用户提示其信息将会存储在设备之中，即使有这样的提示也不具体，无法引起用户的足够注意。实践中不排除存在名为“自愿同意”，实为“强制”收集信息的情形发生。有的用户使用设备的真实意思只是想进行某种测试，并没有授权设备采集自己信息的意思。其二，设备所有人不是医院，设备并非医务人员，也并没有得到卫生部门的授权，不属于法定的个人信息收集人。

根据《网络安全法》第41条的规定，网络运营者收集使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集使用信息的目的、方式和范围，并经被收集者同意。

第一，设备收集信息应该建立在用户知情同意的基础之上。所谓知情，是指设备或者设备所有人应当告知用户其个人信息会被设备收集，并告知收集信息的使用目的和使用范围，不应以欺诈、诱骗、误导的方式收集个人信息。所谓同意在这里应该做严格解释，可以参照欧盟《通用数据保护条例》（GDPR）的规定，数据主体的“同意”指的是数据主体通过一个声明，或者通过某项清晰的确信行动，自由作出的、充分知悉的、不含混的、表明同意对其个人数据进行收集的意愿。

第二，设备收集个人信息应该符合内容最小化原则，即只能收集必要的信息，而不能收集额外的信息。例如，与疾病检测相关的体温和不适状况、行踪和交通工具信息等，而个人基本信息如个人姓名、身份证号、电话号码等不属于被收集信息，更不能收集个人生物识别信息和职业信息等。

第三，设备所有人对个人信息负有保密义务，要采取严格管理措施，如进行加密或去标识化处理，同时加强网络安全工作，防止个人信息被盗取或者泄露，切实保护用户的隐私。

第四，用户使用设备的目的完成后，设备所有人应该尽快将收集到的个人信息删除或者做匿名化处理，如果要进行二次使用，则需要到工信部门进行备案。

来源：学习时报

链接：http://www.cntheory.com/zydx/2020-04/ccps200408CFTI.html