法治的细节︱新冠“乙类乙管”之后，健康码还有必要存在吗？

2022年12月9日，青岛，公交车上贴着的一码通。人民视觉  资料图

2022年12月26日，国家卫健委发布公告称，“自2023年1月8日起，解除对新型冠状病毒感染采取的《中华人民共和国传染病防治法》规定的甲类传染病预防、控制措施”。新冠病毒由此从“乙类甲管”调整为“乙类乙管”，这也意味着持续近三年的新冠疫情管控方式已发生重大调整。

其实降级管控在此前已有铺垫。2022年11月11日《防疫新二十条》颁布，2022年12月7日《新十条》颁布，至新冠病毒降级为“乙类乙管”，此前的严格防控因为病毒变异和疫情变化而发生改变。在实施乙类乙管后，新冠病毒传染者不再施行隔离措施，不再判定密切接触者，不再划定高低风险区域，检测策略也调整为“愿检尽检”。其实就在降级管控公告发布的前一天，卫健委网站也发布说明，“从即日起，不再发布每日疫情信息”。

疫情防控政策调整所带来的除如何在新常态下平稳有序地实施“乙类乙管”的措施外，还有此前与“乙类甲管”相配合的各项防控手段的存废和转型问题，其中最重要也最引人关注的当属健康码。

健康码的存废早在12月13日国务院联防联控机制综合组要求正式下线“通信行程卡”时始就不断被提起。行程码的运作机理建立在对个人信息的强制收集和行踪隐私的实时监控基础上，其设置本身也意味着在个人出行自由上再增设限制，因此在“二十条”对疫情风险区域进行了重新划定，而“新十条”又明确要求“不再对跨地区流动人员查验核酸检测阴性证明和健康码，不再开展落地检”，只能定位到地市级的行程码已形同虚设，将其彻底废弃无疑合乎情势变化。

健康码的适用与隐患

相比跨地区流动时使用的行程码，健康码使用频率显然更高。因为表征了个人的健康状况和活动轨迹，健康码早已成为疫情三年来人们几乎每天都会使用的新型身份标识。因此在行程码下线后，人们都不约而同地发出疑问，“行程码下线，健康码还有多远？”

与行程码的开发一样，健康码出台时同样旨在利用大数据分析预测确诊者、疑似者、密切接触者等重点人群的流动情况，为联防联控提供大数据支持。其适用也的确是克服了线下信息采集和处理的低效与弊端，极大程度上提升了防疫的精准性。但同样因为是在未经系统论证的基础上，就开始对个人信息的大规模持续收集和监控，健康码的适用也持续暴露出数据监控和数据滥用的弊端。

1.隐私泄露和数据监控的风险

最初因为抗击疫情的需要，健康码在信息收集上几无任何阻力，公众也表现得相当配合。但健康码在收集上表现出的“无差别全员收集、实时收集、事无巨细、易跨平台复制转移认证、可长期保存”特点却又隐藏着个人隐私泄露和被数据监控的巨大风险。

而且健康码所涉及的基本都是有关个人健康状况、行踪轨迹、过往病史等高度敏感个人信息，这些信息一旦泄露或遭非法使用，就很容易导致自然人的人格尊严或人身财产安全受到侵害。《个人信息保护法》规定，对敏感个人信息的处理，只有“目的特定”“充分必要”“且采取严格保护”的前提下才能进行，但也因疫情防控的特殊需要，上述法律要求常常并未获得严格遵守。

隐私泄露和数据监控的风险这几年就已露端倪。例如此前在新冠患者确诊后，卫生行政部门会公布其确诊前一段时间内的全部行踪轨迹，以彻底排查传播风险，但这种巨细靡遗的公开方式却常常使患者私生活图像被彻底曝光在大众视线之下，有时甚至招致他人肆意描摹和无端攻击。而大规模和无差别收集也使我们常感叹，在使用健康码后，个人仿佛就是在监控之下“裸奔”。

无论是《民法典》还是《个人信息保护法》又都已规定，“自然人的个人信息受法律保护”。这种法律保护不仅意味着不仅他人不能不当收集和使用个人信息，即使是国家同样不得无限度收集和违法使用个人信息。其原因就在于，相比于包括数据平台在内的第三方侵害，国家的信息收集和整合行为往往包裹在公共利益之下而难以抵抗，但不做防备又一定会使个人被彻底暴露在国家的窥视之下。也因此，信息权的提出不仅是为了防止他人对个人信息的干预，更是为了防御国家因现代信息技术的急剧发展而获得的对个人生活的监控可能，而对健康码可能引发的隐私泄露和数据监控问题的担忧，本质上涉及的也是这一问题。

同样为防止国家过度收集和违法使用个人信息，2021年出台的《个人信息保护法》专章专节对规定“国家机关处理个人信息的特别规定”，要求其必须是为了“履行法定职责和法定义务”的目的，在信息收集上也必须满足“最小够用”、“目的正当和目的限制”等诸多要求。但从健康码的整体运行状况来看，因为缺乏独立的第三方监督，又加上是为了疫情防控的迫切需要，上述法治要求很多时候轻易就被突破。

例如，健康码的生成运行虽由政府主导，其查验却由企业、学校、社区以及商铺等基层单位组织落实，又因为政府对授权标准、获权主体不予公开，这也导致众多基层单位都可通过要求个人出示健康码而擅自收集个人信息。这些信息在收集后会被如何使用，是否以及何时会被删除，公众无从知晓更无从监督。

再如，《个人信息保护法》规定，国家收集个人信息以履行法定职责或法定义务“所必需”为前提，这也就意味着，法律上要求其对个人信息的收集应限于实现目的的最小范围。但从实际适用看，很多城市的健康码都要求个人必须提交面部信息和虹膜信息等这些并不必要却高度敏感的个人信息。而各省市分别主导各自辖区的健康码运作，不同省市之间的“层层加码”以及科技企业因利益驱使而纷纷加入健康码开发等因素，也都使个人信息被重复和过度收集使用的现象持续加剧。

最后，按照《个人信息保护法》的“目的限制”要求，健康码在后续使用时应严守收集的初始目的，但实践中各地政府突破最初目的限制而滥用的事例却不胜枚举。很多政府之后在原有基础上又开发出的便民服务（如提供健康评测、线上挂号服务）、提高居民素质（进行文明评分）等其他目的，其实都与防疫目的完全脱钩，而通过赋红黄码限制出行来防止个人上访维权的做法更是彻底悖离防疫目的。

2.数据滥用和数据操纵

健康码适用中反映出的另一大弊端还在于数据滥用和数据操纵。大数据会提升政府治理的能力，尤其是在疫情防控中可帮助政府提前进行预警和研判，但技术加持同样使包括政府在内的数据收集者都更容易滥用数据，也更易根据数据结果对人群进行数据操纵。受到影响的个人则完全缺乏足够手段予以反制，个人可能由此彻底透明化、数据化和物化。

这方面的典型事例就是今年6月发生于河南郑州的“储户被强制赋红码”事件，仅为阻止储户维权，就有地方政府对人群赋红码限制其出行。如此使用健康码不仅彻底超出疫情防控的目的，悖离健康码的适用规则，也极大毁损了个人对于政府再信息收集和数据处理上的信赖。除对储户赋红码防止其维权外，还有地方政府在本地仅出现零星病例后，就对全域居民赋红码黄码以防止疫情外溢，全然不顾此种手段对个人权利尤其是人身自由带来的重大影响。

上述数据滥用在很多地方政府进一步对健康码适用进行开发，尤其是增加弹窗设置后，表现得更为突出。伴随被弹窗对象从最初的购买过四类药物的人员、到访过疫情中高风险地区的人员，渐渐扩展到时空关联人员，甚至是根据该地方的疫情防控需要而确定的所有涉疫风险人员，越来越广泛的打击对象已使弹窗与精准防控完全悖离，反而成为一刀切和层层加码的典型代表。

又因为健康码赋码和弹窗的运作逻辑几乎都是完全诉诸机器和算法自动进行，几无人工介入的空间与可能，这更使个人彻底丧失了反制能力，其在面对行政机关做出决定时所拥有的例如陈述、申辩甚至要求听证等传统程序权利被克减，想要去复议和诉讼也面临巨大困难。

在使用健康码后，经常有网友吐槽，不仅个人隐私巨细靡遗地全部暴露在监控之下，行政机关还可轻松就通过赋码弹窗的方式限制个人出行。传统法治为个人基本权利建立起的层层保护被轻易击破，个人也渐渐沦为机器、算法决策和处置的对象。

健康码还有存在的必要吗？

上述明显弊端使健康码在整体运行中不断遭遇法治诘问。也因此，在国家防疫政策已经发生重大调整的背景下，公众不免产生“健康码还有存在的必要吗？”这样的疑问。从调整后的疫情防控政策来看，健康码存在的必要性的确在逐步丧失。

首先，健康码主要适用于政府主导、全民动员以阻断传染病传播的应急状态下，因此也只能作为应急状态的例外手段。伴随政府对于新冠疫情的防控已从应急管理转向常态化管理，健康码所依附的合法性基础已不复存在。

其次，《新十条》颁布后，各地已进一步优化核酸检测，不再按行政区域开展全员核酸检测。而对新冠病毒实施“乙类乙管”后，检测策略也调整为“愿检尽检”。既然不再进行核酸检测，也就无法再精准检测每个人的病毒感染风险，更无法在此基础上再对个人进行分别的赋码操作。例如最近疫情严重，身边朋友纷纷曝阳，但只要不进行核酸检测，健康码却都会继续显示为绿码，这已说明健康码已不再能作为个人健康状况的表征。

再次，此前区别赋码不仅是决定个人是否出行和复工复产，也是政府对不同的人群进行居家隔离或集中隔离等处置方式的前提。但《新十条》不仅要求各地不再对跨地区流动人员查验核酸检测阴性证明和健康码，也已经开始倡议轻症患者居家隔离自愈，政府同样不再对患者予以强制隔离治疗，这些都使健康码的使用目的也不复存在。

由此，除疫苗接种信息可能会在危重病人诊疗过程中为医生提供诊疗依据外，健康码的历史使命其实已经完成，因此也应和行程码一样从个人生活中彻底退场。

健康码退场后的数据删除

同样要思考的是，健康码中所收集处理的个人信息的彻底删除。既然健康码中收集的是极为重要的敏感个人信息，此类信息一旦泄露不但容易导致自然人的人格尊严受到侵害，或其人身、财产安全受到危害，甚至会导致其名誉权、身心健康受到损害或遭遇歧视性待遇，那么在启动退出机制时就必须确保这些信息能够被彻底删除。而国家同样要敦促地方政府以及曾经采集过健康码信息的私人机构停止数据处理和服务，并彻底删除已收集处理的信息。在行程卡“官宣”下线后，行程卡涉及的三大电信供应商中国联通、中国电信和中国移动也均表态，将同步删除用户行程相关数据，依法保障个人信息安全。

这段时间亦有人主张或许在进行去标识化和匿名化处理后，健康码信息可以继续保留和转化使用，例如作为未来卫生服务的数据记录载体等。2022年12月19日，北京市就启动“京通”小程序上线试运行，尝试融合“北京通”办事与“健康宝”。市民可自愿或自主授权，选择是否将北京健康宝的个人身份验证信息拓展到“京通”页面。

但鉴于所谓的“脱敏化处理”尚不能彻底消除个人隐私被暴露和个人信息被滥用的风险，彻底删除和集中销毁仍旧是最稳妥的处理方式。而且在“处理目的已完成、无法完成或者为实现处理目的不再必要时”，要求个人信息处理者主动删除个人信息也同样是个人信息权的重要组成，如果要转做他用，就必须重新取得个人同意。政府除自己应主动删除健康码上记载的个人信息外，还应监督在疫情期间所有通过扫码而获得个人健康码信息的私主体同样履行删除义务，而绝不能容忍上述数据成为违法商业交易的对象。

从此前的政府主导到现在的个人是自己的健康第一负责人，我国的疫情防控政策历时三年已发生重大调整。伴随政策变化，那些从前服务于严格防控目标的治理方式，尤其是可能存在重大隐患的措施也理应予以调整。我们也乐见未来健康码、核酸码、场所码都从公众的日常生活中退场。毕竟作为活生生的个体，我们的人生不能任由符码所决定。

-----

作者赵宏，系中国政法大学教授。法治中国，不在宏大的叙事，而在细节的雕琢。在“法治的细节”中，让我们超越结果而明晰法治的脉络。