评论丨疫情防控与个人信息保护初探之六：美国公共卫生机构的数据调取权力

本系列短文，旨在初步探讨传染病疫情与个人信息保护之间的复杂关系。此前已经发出的该系列文章：

系列之一请见：《评论丨传染病疫情防控与个人信息保护初探前言及之一》

https://m.21jingji.com/article/20200128/herald/c896dbbf7ae0b10905bdf224cb9789e1.html

系列之二请见：《评论丨疫情防控与个人信息保护初探系列之二：数据技术的应用路径》

https://m.21jingji.com/article/20200129/herald/0edd82a1c1b73cfccc3a634988c6d254.html

系列之三：《评论丨疫情防控与个人信息保护初探之三：“接触追踪”的数据共享安全规范》

https://m.21jingji.com/article/20200130/herald/ed380053d1db7506b121c02f0980e5ab.html

系列之四：《评论丨疫情防控与个人信息保护初探之四：电信数据的安全规范》

https://m.21jingji.com/article/20200131/herald/3bc5db73337049db2a9d820a343bddbc.html

系列之五：《评论丨 疫情防控与个人信息保护初探之五：GDPR框架下的公共卫生数据共享》

https://m.21jingji.com/article/20200202/herald/c3be2950de545ff56ce7f0639b6f79a9.html

一个例子

前一篇介绍了欧盟GDPR框架下的公共卫生数据共享。现在让我们看看美国法律如何支撑出于公共卫生目的，政府机构从私营部门那调取，或要求私营部门共享数据的法律框架。美国法在此方面非常复杂，不像欧盟通过几部成文规定将框架确立。因此，先从发生在2004年一个事件说起：

2004年，美国爱荷华州和密歇根州的州卫生部门在发生一人患有麻疹后乘坐了西北航空的航班，即向西北航空提出航班上乘客和机组人员的联系方式，以向上述人群通知与病患接触的情况，并提供有关减少患病可能性的信息。

显然，航空公司担心个人信息方面的风险。为此，爱荷华州和密歇根州的州卫生部门根据各自州的法律采取了法律程序来强制西北航空披露乘客和机组人员的联系方式。

爱荷华州的卫生部门通过法庭传票的形式（court subpoena），而密歇根州的卫生部门颁发了“迫在眉睫危险令”（an imminent danger order）。

我们选取这个例子中的密歇根州，探讨下密歇根州的州法关于公共卫生的规定中对公共卫生部门数据调取权力的授权。先来看看卫生部门发出的的所谓的“迫在眉睫危险令”（an imminent danger order）。我们可以看看2016年出版的“Public Health Law Bench Book for Michigan Courts”的相关内容。

从其内容中看到，管理“迫在眉睫的危险”是密歇根州卫生服务部门（MDHHS）的主要职责之一。密歇根州州法对“迫在眉睫的危险”作出了定义，而且授权MDHHS发布命令要求相关个人作出降低或消除危险所必要的动作。

在“公共卫生报告和通知”这一节中，如果MDHHS认定存在“迫在眉睫的危险”，则密歇根州地方卫生官员有权立刻通知受该危险影响的个人，并发出“迫在眉睫危险令”，命令其作出降低或消除危险所必要的动作，这其中自然包括汇报与疾病相关的情况。

在“疾病调查和接触追踪”这一节中，针对可传染的疾病，MDHSS应当开展疾病调查。在此方面，MDHSS有非常广泛的权力——地方卫生部门可以检查、调查任何事项、场所、人、记录、车辆、事件等等。

正因为有上述授权，密歇根州卫生部门从西北航空那顺利地拿到了乘客列表（passenger list）和乘客的联系方式。

为了公众健康的“警察权力”

从这个例子可以看到，美国的州卫生部门可以行使非常广泛的“警察权力”（policing power）来保护公众的健康和安全。州卫生部门可以采取各种措施（不限于本系列文章关注的数据调取，还包括强制检查、取样、医疗、强隔离等权力）以控制传染病的传播。

从历史上看，美国最高法院的判决支持州一层可以出于保护社区目的而可颁布限制个人自由的法律。例如，在Jacobson v. Massachusetts 【197 U.S. 11 (1905)】一案中，最高法院支持马萨诸塞州为通过强制疫苗接种法，以保护社区免受天花伤害。因此，各州可能颁布法律要求：上报个人健康数据、调取医疗和医院记录以查找有关传染病的来源和传播的信息、收集和测试样本以及在保护公众免受传染病影响的必要范围内披露关于疾病和其他公共卫生威胁的信息等。

就我们关注的数据调取（亦即数据收集）权力来说，在Whalen v Roe【429 U.S. 589 (1977)】一案中，最高法院维持了一项州法律，该法律要求开具“附表II管制药物”（Schedule II controlled substances）的医师向纽约州卫生部提供这些处方的副本。该法律旨在防止药物流入“非法渠道”，例如防止个人从不止一名医生那里获得管制药物、防止个人使用被盗或更改的处方、防止医师过度开药等。最高法院支持了该法赋予州卫生部门强制收集患者姓名和地址的权力。法院认为：“要求向负责社区健康的州政府代表（注：即州卫生部门）披露此类信息，并不自动意味着侵犯了隐私”。此外，法院提出，州政府收集、积累大量个人信息，特别是一旦披露的可能会造成尴尬或造成损害的信息，应当采取保护隐私的措施；而纽约州的该项法律及其实施细则，体现了对个人隐私利益的恰当保护。

这两个重要的最高法院判例，支撑了州一级政府为了公共卫生目的通过立法赋予卫生部门广泛强制性权力的实践：不仅州卫生部门能够直接进入私人场所或者对个人开展强制检查、调查等，还能从私营部门那调取与公共卫生相关的数据。

在大多数情况下，州卫生部门能够获得个人和企业的主动配合。但如果吃了“闭门羹”，州卫生部门（根据不同州的法律规定）或是可以自己发布强制性命令，或是可以向法庭申请行政搜查令，强制个人和企业配合。如此，卫生部门的权力行使就进入了美国宪法第四修正案的框架下。

只不过相对于执法部门（law enforcement agencies）的搜查和扣押中要求的“合理依据”，卫生部门在申请令状时需要向法院提供的“合理依据”程度更低。【请参考第四修正案中的例外和“特别需要”（special needs）的案例】。

出于公共卫生目的（特别是疫情控制）共享个人信息

至于向私营部门调取个人信息来说，美国法区分了两个层次的利益需要保护：一是（存储于私营部门的个人信息上附着的）个人隐私保护，但在此方面，美国法所谓的“第三方原则”认为个人已经向私营部门披露的个人信息，因此（多数情况下）已经放弃了上述信息持续获得隐私保护的期待，所以美国法对这类信息给了程度很低的保护。

二是私营部门自己的隐私利益（还是美国法上的概念，以及需有法律明确保护才成立），州卫生部门一般来说也不需要达到执法部门的搜查和扣押中要求的“合理依据”的要求。

在“第三方原则”和相对个人保护较低的私营部门隐私利益保护的作用下，美国卫生部门基本不存在无法调取疫情控制所需要数据的情况。而且如果是在紧急状态下，例如疫情爆发过程中，美国州层面的立法还赋予了卫生部门还具备更强的权力，例如不再需要搜查和扣押的令状。

限于篇幅原因，上述几种情况，笔者就不在此展开，只是将大概框架勾勒出来。总的来说，美国法非常支持卫生部门在疫情控制方面的数据收集和使用权力，但相对“缩水”的第四修正案保护要求卫生部门事实上遵循下列原则：调取数据的目的明确、有一定的事实依据、调取数据的范围明确、严格的共享约束等。

因此，无论是欧盟还是美国的法律，都给了出于公共卫生目的（特别是疫情控制目的）共享个人信息的支撑，不必然只能使用匿名化的信息。当然，匿名化、去标识化、访问控制措施等作为数据安全措施，是非常值得提倡的。

（小标题为编者所加。经授权）

（编辑：祝乃娟）