健康码还有存在必要吗？专家回应,究竟是怎么一回事?(2)

而且健康码所涉及的基本都是有关个人健康状况、行踪轨迹、过往病史等高度敏感个人信息，这些信息一旦泄露或遭非法使用，就很容易导致自然人的人格尊严或人身财产安全受到侵害。《个人信息保护法》规定，对敏感个人信息的处理，只有“目的特定”“充分必要”“且采取严格保护”的前提下才能进行，但也因疫情防控的特殊需要，上述法律要求常常并未获得严格遵守。
隐私泄露和数据监控的风险这几年就已露端倪。例如此前在新冠患者确诊后，卫生行政部门会公布其确诊前一段时间内的全部行踪轨迹，以彻底排查传播风险，但这种巨细靡遗的公开方式却常常使患者私生活图像被彻底曝光在大众视线之下，有时甚至招致他人肆意描摹和无端攻击。而大规模和无差别收集也使我们常感叹，在使用健康码后，个人仿佛就是在监控之下“裸奔”。
无论是《民法典》还是《个人信息保护法》又都已规定，“自然人的个人信息受法律保护”。这种法律保护不仅意味着不仅他人不能不当收集和使用个人信息，即使是国家同样不得无限度收集和违法使用个人信息。其原因就在于，相比于包括数据平台在内的第三方侵害，国家的信息收集和整合行为往往包裹在公共利益之下而难以抵抗，但不做防备又一定会使个人被彻底暴露在国家的窥视之下。也因此，信息权的提出不仅是为了防止他人对个人信息的干预，更是为了防御国家因现代信息技术的急剧发展而获得的对个人生活的监控可能，而对健康码可能引发的隐私泄露和数据监控问题的担忧，本质上涉及的也是这一问题。
同样为防止国家过度收集和违法使用个人信息，2021年出台的《个人信息保护法》专章专节对规定“国家机关处理个人信息的特别规定”，要求其必须是为了“履行法定职责和法定义务”的目的，在信息收集上也必须满足“最小够用”、“目的正当和目的限制”等诸多要求。但从健康码的整体运行状况来看，因为缺乏独立的第三方监督，又加上是为了疫情防控的迫切需要，上述法治要求很多时候轻易就被突破。
例如，健康码的生成运行虽由政府主导，其查验却由企业、学校、社区以及商铺等基层单位组织落实，又因为政府对授权标准、获权主体不予公开，这也导致众多基层单位都可通过要求个人出示健康码而擅自收集个人信息。这些信息在收集后会被如何使用，是否以及何时会被删除，公众无从知晓更无从监督。
再如，《个人信息保护法》规定，国家收集个人信息以履行法定职责或法定义务“所必需”为前提，这也就意味着，法律上要求其对个人信息的收集应限于实现目的的最小范围。但从实际适用看，很多城市的健康码都要求个人必须提交面部信息和虹膜信息等这些并不必要却高度敏感的个人信息。而各省市分别主导各自辖区的健康码运作，不同省市之间的“层层加码”以及科技企业因利益驱使而纷纷加入健康码开发等因素，也都使个人信息被重复和过度收集使用的现象持续加剧。
最后，按照《个人信息保护法》的“目的限制”要求，健康码在后续使用时应严守收集的初始目的，但实践中各地政府突破最初目的限制而滥用的事例却不胜枚举。很多政府之后在原有基础上又开发出的便民服务（如提供健康评测、线上挂号服务）、提高居民素质（进行文明评分）等其他目的，其实都与防疫目的完全脱钩，而通过赋红黄码限制出行来防止个人上访维权的做法更是彻底悖离防疫目的。
数据滥用和数据操纵
健康码适用中反映出的另一大弊端还在于数据滥用和数据操纵。大数据会提升政府治理的能力，尤其是在疫情防控中可帮助政府提前进行预警和研判，但技术加持同样使包括政府在内的数据收集者都更容易滥用数据，也更易根据数据结果对人群进行数据操纵。受到影响的个人则完全缺乏足够手段予以反制，个人可能由此彻底透明化、数据化和物化。