輔助型自動化行政的法律控以“健康碼”為觀察對象

發布時間：2022-08-24 14:02

III

引言 1

一、問題的提出 1

二、研究現狀 3

三、研究方法 7

四、創新之處 7

第一章 “健康碼”的運行機制及功能定位 9

第一節 “健康碼”的運行機制 9

一、賦碼規則制定 9

二、數據收集處理 11

三、運算結果輸出 13

第二節 “健康碼”的功能定位 14

一、規范表現形式體現的功能定位：輔助功能 14

二、 “健康碼”運行機制體現的功能定位：輔助功能 16

第三節小結 19

第二章 “健康碼”現有控制機制及其遺留問題 20

第一節 “健康碼”的雙重控制機制 20

一、“健康碼”的內部控制：代碼控制 20

二、“健康碼”的外部控制：法律控制 21

第二節內部控制機制的局限：數據運行失控 23

一、數據收集越權 23

二、數據保護不足 28

第三節外部控制機制的忽視：應急處置措施失控 29

一、應急處置措施錯誤 29

二、應急處置措施錯位 33

第四節小結 35

第三章 “健康碼”輔助型自動化行政的功能回歸 37

第一節 “健康碼”功能定位的學理分歧 37

一、“行為”標準下的功能定位：決策功能 37

二、“關系”標準下的功能定位：輔助功能 38

第二節 “健康碼”輔助功能的重申與堅守 38

一、 “健康碼”機器決策的否定 39

二、 “健康碼”機器裁量的否定 39

第三節小結 40

第四章 “健康碼”的法律控制措施 41

第一節立足法律規范 41

一、規范數據運行 41

二、規范應急處置措施采取 43

第二節堅持個案裁量 44

一、保持充分的行政裁量 45

二、保持恰當的行政裁量 46

第三節小結 46

結語：兼議輔助型自動化行政的法律控制 48

參考文獻 49

致謝 57

引言

一、問題的提出

為了更好地應對新冠疫情，行政機關推出“健康碼”作為數字防疫系統，同時構建輔助型自動化行政的雙重控制機制，以期規制“健康碼”的“行為”。然而在“健康碼”應用過程中，行政機關過度關注、依賴以代碼為核心的內部控制機制，忽視以法律為核心的外部控制機制，難以形成有效控制。

“健康碼”外部控制機制的缺失導致一系列亂象，例如，行政機關將“健康碼”運算的結果作為是否采應急處置措施、采取何種應急處置措施的判斷標準， 1直接將“健康碼”運算結果作為應急處置措施的羈束啟動要件，使得“健康碼” 實質上作為自動裁量、自動決策系統發揮作用。例如，在深圳Delta變異株疫情防控中，凡被“健康碼”判定為“黃碼”的人員，行政機關不在運算結果之外另行判斷“黃碼”人員的風險程度，直接啟動應急處置措施，限制相關人員的人身自由。 [ 參見查云飛：《健康碼：個人疫情風險的自動化評級與利用》，載《浙江學刊》 2020 年第 03 期，第 28

35 頁。] [ “健康碼”將 2021 年 6 月 10 日至 6 月 18 日在深圳機場停留 1 小時以上的人員以及曾在確診病例、密切接觸者、次密接者居住地、工作地、活動軌跡中停留的人員判定為“黃碼”，行政機關對持“黃碼”者采取相應的應急處置措施，如非必要不外出，暫停聚餐、會議等集體性活動，避免乘坐公共交通工具，不得進入各類公共場；滿足24小時內在當地指定的核酸檢測機構檢測結果為陰性的條件，“健康碼”重新轉為“綠碼”，行政機關相應解除應急處置措施，行政相對人重新恢復自由流動狀態。參見深圳市衛生健

康委員會《深圳“黃碼人”，54個最新檢測點，一鍵查詢！，深圳市衛生健康委員會網站，http：

//w.jw. sz. gov, cn/yqxx/content/post 8897041. html。最后訪問日期：2021 年 12 月 23 日。] 可見，“健康碼”的功能定位并未明確。

（一） “行為”控制的局限查云飛提出，從“健康碼”行為過程角度看，“健康碼”的結果由計算機系統自動運算得出，其運算結果經輸出后服務于行政活動，屬于自動化行政， [參見查云飛：《健康碼：個人疫情風險的自動化評級與利用》，載《浙江學刊》2020年第3期，第32 頁。]并且進一步說明“健康碼”的運行屬于完全自動化裁量。 [ 參見查云飛：《行政裁量自動化的學理基礎與功能定位》，載《行政法學研究》 2021 年第3期，第117- 118頁。]許可認同“健康碼”運行自動化行政的法律屬性，但是他認為“健康碼”的運行除了存在自動化裁量，還是一種完全自動化決策。 [ 參見許可：《健康碼的法律之維》，載《探索與爭鳴》 2020年第9期，第132頁。]查云飛和許可對于“健康碼”的歸類都是基于馬顏昕“自動化行政分級理論”提出的， [ “自動化行政分級理論”以自動化行政的自動化成為為劃分依據，將自動化行政分為自動化輔助行政、]“自動化行政分級理論”的特征在于將自動化技術的自動化程度作為行政行為的自動化程度，忽略自動化技術與傳統行政活動發生交互的方式、階段與程度。在“自動化行政分級理論”的基礎上討論是否存在自動化裁量、自動化決策，混淆了自動化技術內部與外部問題，不能明確自動化技術在傳統活動中的功能定位，也不能解決如何實現自動化行政的法律規制問題。

（二） “關系”標準的忽視

自動化行政與傳統行政活動具有完全不同的運行模式和運行邏輯，自動化行政的介入改變了傳統行政活動的展開方式。在傳統行政活動中，法律適用在“要件-效果”框架下展開，然而自動化行政的介入改變了這一過程，胡敏潔依據自動化行政適用的場景不同，將自動化行政區分為信息數據的收集與處理、部分行政活動的自動化以及自動化行政作為嗣后行政行為的基礎、自動化技術直接作出行政決定三類，[部分自動化行政和完全自動化行政。參見馬顏昕：《自動化行政的分級與法律控制變革》，載《行政法學研究》2019 年第1 期，第83 頁。] [ 參見胡敏潔：《自動化行政的法律控制》，載《行政法學研究》2019 年第 2 期，第 58-59 頁。

2]這種分類方式的價值在于以自動化行政與傳統行政活動的交互模式為關注重點，明確自動化行政在什么階段、什么程度上以什么方式優化傳統行政活動，如何實現自動化行政法律控制的問題也隨之明確。依據此種分類方式， “健康碼”嵌入疫情防控工作的法律適用路徑轉化為“要件-碼-效果”，在此基礎上討論“健康碼”究竟在傳統行政活動中具有怎樣的功能定位，而不能直接以 “健康碼”作為自動化技術的自動化程度簡單地等同于“健康碼”進行自動化行政的自動化程度，更不能以此直接得出“健康碼”是否取代了傳統的行政裁量、行政決策的答案。因此，探究“健康碼”法律控制問題的實質是在探討“健康碼” 在傳統行政活動中的功能定位。

混淆自動化技術內部與外部問題，過度關注自動化技術的自動化程度，忽視其在傳統行政活動中的作用，難以對“健康碼”形成法律控制，一方面表現為代碼失控，“健康碼”數據收集、數據處理活動存在合法性、合理性問題，另一方面表現為行政行為失控，由于“健康碼”在傳統行政活動中的功能定位不明確，行政機關將“健康碼”運算結果作為應急處置措施的羈束性啟動要件，壓縮行政裁量空間。因此，需要探究“健康碼”的外部控制機制，明確“健康碼”乃至自動化行政在傳統行政活動中的功能定位，探究“健康碼”在“要件-效果”框架下發揮的實際作用，實現對“健康碼”乃至自動化行政的法律控制。

二、研究現狀

隨著“健康碼”在全國的推廣及使用，學界也逐漸將目光投向“健康碼”，查云飛率先對“健康碼”的法律屬性進行了明確，他提出“健康碼”制碼的過程，就是行政機關對相關人員健康風險進行行政評級的過程，這樣的行為過程就是自動化行政，并進一步明確屬于全自動行政事實，1這一觀點得到了學界的普遍認可，胡凌進一步明確“健康碼”本身是一種新型基礎身份標志符。[ 參見查云飛：《健康碼：個人疫情風險的自動化評級與利用》，載《浙江學刊》 2020 年第 3 期，第 30-31 頁。] [ 參見胡凌：《健康碼、數字身份與認證基礎設施的興起》，載《中國法律評論》2021 年第 2 期，第 102 頁。]

（一）行政機關采取隔離措施的傳統路徑

“健康碼”作為行政機關助力疫情防控的手段，并且與隔離等限制人身自由的強制措施關系密切，因此“健康碼”也應當受到法律對于應急處置措施、行政強制措施的拘束。關于疫情防控的研究較為豐富也較為深入，早在 2001 年，胡建淼便就德國行政法上的即時強制的法律特征、適用范圍與程序進行過詳細的介紹，并提出對于我國行政強制立法的建議。[ 參見胡建淼：《試論德國行政上的即時強制制度及理論》，載《浙江社會科學》 2001 年第 1 期，第 62-66 頁。] [參見朱芒：《SARS與人身自由——游動在合法性和正當性之間的抗SARS措施》載《法學》2003年第5 期，第 57-62 頁。]2003 年 SARS 暴發以后，朱芒從合法性和正當性兩個層面探討了人身自由與隔離等強制措施的關系，認為雖然彼時行政機關采取強制措施存在合法性瑕疵，但基于公共健康和衛生需求而具有正當性， 4此后相關領域的研究大體沒有超越這一框架。合法性層面的爭點在于以突發公共衛生事件為代表的突發事件發生時，現有法律制度與行政機關緊急處置權利的矛盾，部分學者認為突發公共衛生事件一經發生，便進入非常態法制的范疇，行政機關即取得相比平時更大的應急處置權限；[參見陳英鈐：《抗煞（SARS）!要人權就不要命？一一隔離與人身自由的保障》，載《月旦法學雜志》

2003 年總第 95 期，第 193-204頁；參見于安：《制定＜突發事件應對法＞的理論框架》，載《法學雜志》 2006 年第 4 期，第 28-31頁；參見李岳德、張禹：《＜突發事件應對法＞立法的若干問題》，載《行政法學研究》 2007 年第 4 期，第 69-75 頁；參見孟濤：《緊急權力法及其理論的演變》，載《法學研究》 2012 年第 3 期，第 108-125 頁；參見趙鵬：《疫情防控中的權力與法律——＜傳染病防治法＞適用于檢討的角度》，載《法學》 2020 年第 3 期，第 94-108 頁。]部分學者雖然承認行政機關應急處置權的必要性，但認為依然受到法律規定的權限、程序的拘束，對于應急處置現實需要與應急處置權限不足之間的矛盾，需要通過進一步完善法律來解決；[ 參見葉軍：《對限制人身自由具體行政行為不服的訴權保障》，載《法學研究》 1993 年第 5 期，第 24-26 頁；參見王晨光：《非典突發事件沖擊下的法治》，載《清華大學學報（哲學社會科學版）》 2003 年第 4]也有學者提出傳染病防治措施受到法律保留、平等原則、比例原則等一般性法律原則的限制。 1正當性層面的爭點則主要集中于探討人身自由與社會公共利益之間的矛盾。 [期，第11-18頁；參見韓大元：《論緊急狀態下公民基本權利的限制與保障》，載《學習與探索》 2005年第 4 期，第 80-83 頁；參見洪延青：《公共衛生法制的視角轉換——基于控煙和肥胖防控等新興公共衛生措施的討論》，載《環球法律評論》 2012年第1期，第23-38頁；參見雷娟：《傳染病強制醫療的立法規制檢視——以Enhorn V. Sweden為例》，載《行政法學研究》2013年第3期，第98-103頁。] [ 參見黃錦堂：《疾病的控制的行政法問題——以嚴重呼吸道癥候群（非典）為討論》，載《月旦法學雜志》 2004年總第105期，第9-30頁。] [參見鐘會兵：《個人權利與公共利益的平衡一一抗SARS中限制人身自由措施的正當性與合法性分析》，載《法律適用》 2003年第7期，第7-10頁；參見陳宜中：《個人自由、集體安全與社會正義——關于 SARS風暴的幾點倫理省思》，載《開放時代》2005年第6期，第98-109頁；參見汪進元：《人身自由的構成與限制》，載《法華東政法大學學報》 2011 年第2期，第11-17頁。]

此次新冠疫情暴發以來，對于以隔離措施為代表的應急處置措施的研究更加深入。黃源浩通過與法國法的比較，對臺灣地區相關法律規范進行了探討，消除了對于法律規范明確、授權明確方面的質疑。[ 參見黃源浩：《嚴重特殊傳染病肺炎防治及紓困振興特別條例與授權明確：與法國法的比較》，載《月旦法學雜志》 2020 年總第303期，第 27-44頁。]Lawrence O. Gostin和Benjamin E. Berman曾就isolation （隔離）和quarantine （檢疫）進行過區分，指出isolation 是指對于確診病人、病原體攜帶者或有證據證明受到感染的疑似病人， quarantine 是指對于健康的人出于防衛目的進行的后續觀察。 [ See Lawrence O. Gostin & Benjamin E. Berkman ， Pandemic Influenza： Ethics， Law， and the Public's Health， 59 ADMIN. L. REV. 121 （2007）.]這樣的區分方式也逐漸得到國內學者的認可，高秦偉在隔離（isolation）＞檢疫（quarantine）二分的基礎上，對我國現行法律規范中隔離、檢疫的內涵及外延進行了梳理。[ 依據《國境衛生檢疫法實施細則》第 2 條“隔離”、“留驗”、“就地診驗”；《國內交通衛生檢疫條例實施方案》第51 條“隔離”； 1989年《傳染病防治法》第24條“隔離治療、強制隔離治療、醫學觀察”，現行《傳染病防治法》第 41 條“隔離措施”；《突發公共衛生事件應急條例》“控制措施”的具體含義和外延不盡相同。

此處“隔離”具體包括：隔離治療、強制隔離、隔離醫學觀察、隔離措施、留驗、就地診驗。此處“檢疫”具體包括：隔離措施、緊急措施、預防和控制措施、居家或幾種隔離觀察。

參見高秦偉：《傳染病防控中的隔離措施》，載《中外法學》 2020年第3期，第632-636頁。]趙鵬進一步對于此次新冠疫情防控中隔離和檢疫（檢疫隔離）的適用進行了介紹，明確疫情防治、突發公共衛生事件應對相關法律規范的法律適用規則。 [ 參見趙鵬：《疫情防控中的權力與法律——＜傳染病防治法＞適用于檢討的角度》，載《法學》 2020年第3 期，第94-108頁。

4]建立起較為完整的疫情防控體系。

（二）自動化行政的應用及存在的問題在明確“健康碼”法律屬性的基礎上，學界主要針對“健康碼”使用過程中自動化行政裁量性問題和個人信息利用與保護問題展開了探討。

1.自動化行政裁量性問題

關于自動化行政裁量性問題并非濫觴于“健康碼”，早在智慧審判輔助系統、行政處罰輔助系統、“秒批”等“互聯網+政務”出現時便引起熱議。學界對于行政處罰輔助系統的探討較多，1其中最具爭議的是裁量基準問題，而有關裁量基準問題學界的探討已經較為深入；[ 參見馬顏昕：《自動化行政方式下的行政處罰：挑戰與回應》，載《政治與法律》 2020 年第 4 期，第

139-148頁；參見茅銘晨：《從自定走向法定——我國＜行政處罰法＞修改背景下的非現場執法程序立法研究》，載《政治與法律》 2020 年第 6 期，第 14-27頁；魏瓊、徐俊暉：《人工智能在行政處罰中的應用及法律規制》，載《時代法學》 2021年第 1 期，第 12-22 頁等。] [ 參見王錫鋅：《自由裁量權基準：技術的創新還是誤用》，載《法學研究》 2008 年第 5 期，第 36-48頁；參見王貴松：《行政裁量基準的設定與適用》，載《華東政法大學學報》 2016 年第 3 期，第 65-76頁；參見周佑勇、錢卿：《裁量基準在中國的本土實踐——浙江金華行政處罰裁量基準調查研究》，載《東南大學學報（哲學社會科學版）》 2010 年第 4 期，第 44-52 頁；參見周佑勇：《裁量基準的技術構造》，載《中外法學》 2014 年第 5 期，第 1142-1163 頁；參見余凌云：《游走在規范與僵化之間——對金華行政裁量基準實踐的思考》，載《清華法學》 2008 年第 3 期，第 54-79頁等。]馬顏昕認為“秒批”為完全自動化行政，[ 參見馬顏昕：《自動化行政的分級與法律控制變革》，載《行政法學研究》 2019 年第 1期，第 81頁。]查云飛在肯定“秒批”完全自動化行政的基礎上，進一步對完全自動化行政過程中裁量要素進行劃分，認為區別于以“秒批”為代表的完全自動化輔助裁量，“健康碼”體現出完全自動化裁量的特征。[ 參見查云飛：《行政裁量自動化的學理基礎與功能定位》，載《行政法學研究》 2021 年第 3 期，第 116

118 頁。]許可同樣贊同“健康碼”為完全自動化行政，同時肯定“健康碼”運行過程中存在機器裁量，屬于“完全自動化決策”。[ 參見許可：《健康碼的法律之維》，載《探索與爭鳴》 2020 年第 9期，第 132 頁。] 胡敏潔表示了對于自動化行政的擔憂，她指出自動化行政存在數據收集處理錯誤、數據保護風險、算法不透明等問題，因此需要在厘清人工智能與人類關系的基礎上，從程序和內容兩方面實現法律控制；[ 參見胡敏潔：《自動化行政的法律控制》，載《行政法學研究》 2019 年第 2 期，第 59-65 頁。]馬顏昕雖然也表示了對于完全自動化行政存在問題的擔憂，但他認為自動化行政法律問題產生的根源在于機器裁量的不確定性，如果行政機關可以制定明確、具體的裁量基準，那么自動化行政的法律風險可以得到有效控制；[ 參見馬顏昕：《自動化行政的分級與法律控制變革》，載《行政法學研究》 2019 年第 1期，第 87-89頁。]對此，王正鑫指出，裁量基準被內化成為機器算法的過程本身就存在法律風險，因此控制輔助型自動化行政風險的關鍵除了在于制定更為完備的裁量基準以外，責令行政機關保留行政決策的權力也顯得尤為重要。[ 參見王正鑫：《機器何以裁量：行政處罰裁量自動化及其風險控制》，載《行政法學研究》 2022 年第 2 期，第 170-173 頁。

5]查云飛區分完全自動化行政與裁量的完全自動化，對于完全自動化行政查云飛持肯定態度，他認為如果能夠確保個案正義這一大前提，那么完全自動化行政值得被鼓勵，[ 參見查云飛：《人工智能時代全自動具體行政行為研究》，載《比較法研究》 2018年第5期，第175頁。

2參見查云飛：《健康碼：個人疫情風險的自動化評級與利用》，載《浙江學刊》 2020年第3期，第33-35 頁；參見查云飛：《行政裁量自動化的學理基礎與功能定位》，載《行政法學研究》 2021 年第3期，第 118-121 頁。

3參見王貴松：《行政裁量：羈束與自由的迷思》，載《行政法學研究》 2008年第4期，第47-48頁。

4參見［日］田村悅一：《自由裁量及其界限》，李哲范譯，中國政法大學出版社2016年版，第59-67頁。

5參見周佑勇：《裁量基準的技術構造》，載《中外法學》 2014年第5期，第1143頁。

6參見王天華：《從裁量二元論到裁量一元論》，載《行政法學研究》 2006年第1 期，第25頁。

7參見［美］肯尼斯•卡爾普•戴維斯：《裁量正義》，畢洪海譯，商務印書館2009年版，第2頁。

8參見［美］理查德• B.斯圖爾特：《美國行政法的重構》，沈巋譯，商務印書館2016年版，第12頁。

9參見周佑勇：《裁量基準的技術構造》，載《中外法學》 2014年第5期，第1143-1144頁。

10參見王天華：《從裁量二元論到裁量一元論》，載《行政法學研究》 2006 年第 1 期，第 25 頁。]但對裁量的完全自動化持否定態度，認為裁量的完全自動化會導致個案中的裁量壓縮、裁量懈怠、裁量濫用和裁量收盡問題。 2

因此，有關自動化行政問題的探討，歸根結底還是對于裁量問題的探討。現代裁量論起源于貝爾納齊克與特茨納的論戰， 3形成“要件裁量說”與“效果裁量說”兩種學說對立的格局。 4“效果裁量說”在德國行政法學界占據主流地位，該學說認為對于法律要件的裁量屬于法律問題，進而將要件裁量排除在“裁量”的法律意涵之外，認為行政裁量僅僅包含對于法律效果的選擇，因此在“效果裁量說”體系下，“不確定法律概念”與“行政裁量”是兩個彼此獨立的法律概念。 5 這種嚴格區分法律問題與裁量問題的方式被王天華稱之為“裁量二元論”。 6“要件裁量說”則不同，“要件裁量說”認為行政機關的工作人員對于不同方案的選擇本身就是自由裁量， 7并且法律概念的模糊性必然引發自由裁量， 8因此該學說不區分法律問題與裁量問題，將要件裁量和效果裁量都歸結為行政裁量， 9這種不區分法律問題和裁量問題的觀念受到英美法學界的追捧，王天華稱之為“裁量一元論”。 10目前兩種學說在我國都有支持者，其中“裁量一元論”支持者在原有基礎上進一步提出“統一的裁量理論”， [ 參見周佑勇：《裁量基準的技術構造》，載《中外法學》 2014年第5期，第1144頁。

12“統一的裁量理論”認為對于不確定法律概念的解釋、對于案件事實的評價以及對于法律效果的決定、措施的選擇都屬于行政裁量。參見王貴松：《行政裁量的內在構造》，載《法學家》 2009年第2期，第40 頁。

13參見馬顏昕：《自動化行政的分級與法律控制變革》，載《行政法學研究》 2019年第1期，第87頁；參見查云飛：《行政裁量自動化的學理基礎與功能定位》，載《行政法學研究》 2021年第3期，第115頁。

6]進一步擴展行政裁量所能覆蓋的范圍。 12

馬顏昕和查云飛都是在區分不確定法律概念和自由裁量的基礎上進行自動化行政裁量問題的探討， 13但該觀點并非國內主流，因此其得出的有關自動化行政裁量的結論也有待進一步論證。

2.個人信息保護問題

面對互聯網和大數據帶來的數據共享，各國立法傾向于強化個人信息保護，而不以是否經過自動化處理為判斷要件。1對此，高富平提出，個人信息實現從個人控制到社會控制的變遷，大數據時代的個人信息具有社會和公共雙重屬性，大數據背景下的個人信息保護，實質上是個人利益與社會利益的博弈，如何實現二者的權衡與取舍成為數據保護的難題，[如歐盟《一般數據保護條例》(GDPR)、《數據隱私指令》(e-Privacy Directive)和《數據庫指令》 (Database Directive)等都存在類似規定。參見王利明：《數據共享與個人信息保護》，載《現代法學》 2019 年第 41卷第 1 期，第 51頁。] [ 參見高富平：《個人信息保護：從個人控制到社會控制》，載《法學研究》 2018 年第 3 期，第 84頁。]“健康碼”為維護社會利益，帶來個人權利損益的可能性便是這一矛盾的體現。寧園認為緩和“健康碼”領域個人利益與社會利益矛盾的關鍵在于實現治理邊界的有效控制，對此，一方面繼續堅守知情同意體系，另一方面變通適用同意規則，在確保“健康碼”順利運行的基礎上實現個人信息保護；[ 參見寧園：《健康碼運用中的個人信息保護規制》，載《法學評論(雙月刊)》 2020 年第 6期，第 117

121 頁。]許可從“健康碼”算法解釋和算法審計兩個維度提出對于“健康碼”進行審查的標準及指標，并從數據的收集、存儲、使用三個環節明確了個人信息保護的要求；[ 參見許可：《健康碼的法律之維》，載《探索與爭鳴》 2020 年第 9期，第 132-135 頁。]陳禹衡和陳洪兵從信息收集形式、路徑以及要求等方面提出規范“健康碼”個人信息收集的措施；[ 參見陳禹衡、陳洪兵：《反思與完善：算法行政背景下健康碼的適用風險探析》，載《電子政務》 2020 年

第 8 期，第 97-98 頁。]鮑坤認為當應急狀態回歸常態，“健康碼”數據行為應受比例原則限制。[ 參見鮑坤：《健康碼數據常態化應用的比例原則限制》，載《電子政務》 2021 年第 1 期，第 32-41頁。] []

三、研究方法

文獻研究法。“健康碼”涉及的法律問題具有綜合性與復雜性，因此對其可能涉及的自動化行政、行政裁量、裁量措施、數據保護等領域的文獻進行收集、梳理，在歸納整理相關文件的基礎上分析對“健康碼”存在的問題進行分析研究。

案例研究法。通過收集目標問題的判例，對判例進行分析，整理司法機關對于相關問題的觀點，歸納出相關問題的性質及要件要求。

調查研究法。通過收集全國不同地區“健康碼”的賦碼規則及使用現狀，分析“健康碼”對于行政機關采取隔離措施過程中所起的作用。

四、創新之處

研究對象新。以“健康碼”作為觀察對象，探討輔助型自動化行政系統的控制機制。

研究角度新。不局限于自動化技術的控制，而是將“健康碼”等輔助型自動化行政系統置于傳統行政活動框架下展開討論，關注“健康碼”在傳統行政活動中發揮的作用以及其功能定位，探究性地提出此類自動化行政系統依舊能夠受到現行法律制度的嚴格控制。

第一章 “健康碼”的運行機制及功能定位

在新冠疫情防控常態化背景之下，行政機關連同互聯網企業推出“健康碼” 作為數字防疫設施，以期提高海量疫情信息處理效率，提高應急處置措施準確性，減少人員流動滯礙。為了規制“健康碼”的運行，防范“健康碼”侵害他人權益，行政機關組織相關人員將法律規范轉化為計算機代碼，將“健康碼”運行標準制定權限收歸行政機關，并保留是否依據運算結果，于個案中啟動應急處置措施的決策權限，促使“健康碼”發揮輔助行政的功能。

第一節 “健康碼”的運行機制

“健康碼”運行的完整流程包括三個階段：第一階段，法律規范的代碼表達。在這一階段，行政機關需要梳理相關法律規范，抽象出符合應急處置措施啟動的法律要件，繼而以代碼的形式，在技術層面轉化為可供機器識別的識別標準。第二階段，代碼規制下的數據收集、處理與結果輸出。在這一階段，“健康碼”依托于個人自主申報信息及各大數據庫，由計算機對個人健康信息進行運算處理，根據個人健康狀況或者個人健康風險等級的不同，生成與之相對應顏色的二維碼，實現公民健康等級的分流。第三階段，運算結果的行政決策判斷。在這一階段，行政機關依據“健康碼”所展示的信息，對持不同顏色“健康碼”的人采取不同的應急處置措施。

一、賦碼規則制定

法律規范的抽象性、概括性特征，與機器運行對于明確、具體、可執行標準的需求之間的矛盾，使得現行法律規范的代碼轉譯工作成為構建“健康碼”運行機制的基礎。由于法律適用不是一個嚴格格式化的過程，法律解釋工作也不是機械地對文本進行逐字逐句的翻譯，將法律規范轉化為計算機代碼依賴于專業知識的運用，對此，學者以梳理法律規范、拆解構成要件、析出裁量因子、構建算法模型概括出轉譯工作的核心。[ 參見王正鑫：《機器何以裁量：行政處罰裁量自動化及其風險控制》，載《行政法學研究》 2022 年第2 期，第167頁。

9]其中，拆解構成要件與析出裁量因子的過程，是體現行政法律知識運用的關鍵環節，映射在“健康碼”代碼體系構建場景中，就是 “健康碼”賦碼規則制定的過程。

（一）拆解構成要件

由于“健康碼”的功能預設在于識別人員健康風險等級，作為嗣后行政行為的依據，因此“健康碼”賦碼規則主要涉及應急處置措施的對象要件。以隔離措施為例：

《突發事件應對法》第 49 條第 2 項規定隔離措施的對象為公共衛生事件的危險源，包括一切曾經暴露于傳染病病原，具有感染傳染病風險的人員。

《傳染病防治法》第 39條第 1款、第 49條第 1款以甲類傳染病為基礎構建隔離措施對象體系，原則上將非甲類傳染病排除在外。1但是《傳染病防治法》第 3 條第 5 款規定國務院衛生行政部門具有增加乙類傳染病病種的權力；同時該法第 4 條第 1 款規定國務院衛生行政部門經國務院批準后，可以對其他乙類傳染病采取甲類傳染病的預防、控制措施。[ 隔離措施的對象為：其一，鼠疫、霍亂病人、病原攜帶者、疑似病人。其二，鼠疫、霍亂病人、病原攜帶者、疑似病人的密切接觸者。其三，發生鼠疫、霍亂病例的場所或特定區域內的人員。其四，需要采取鼠疫、霍亂預防、控制措施的乙類傳染病和其他傳染病相關人員。] [ 其他乙類傳染病指除乙類傳染病中傳染性非典型肺炎、炭疽中的肺炭疽和人感染高致病性禽流感以外的其他乙類傳染病。]2020年 1月 20日，國家衛生健康委員會發布 2020 年第 1 號公告， [ 《中華人民共和國國家衛生健康委員會公告2020年第1號》，中華人民共和國中央人民政府網站，

http： //www.gov.cn/xinwen/2020-01/21/content_5471158.htm。最后訪問日期：2022 年 3 月 23 日。

10] 公告經國務院批準，將新型冠狀病毒感染的肺炎納入《傳染病防治法》規定的乙類傳染病，并采取甲類傳染病的預防、控制措施。至此，《傳染病防治法》第 39條第 1款、第 49條第 1款規定的對象要件成為新冠肺炎相關人員的判斷標準。

除此之外，《突發公共衛生事件應急條例》第 38條、第 41條，《國內交通衛生檢疫條例》第6條、第8條，《國境衛生檢疫法實施細則》第2款等依據適用場合不同，進行具體細化規定。

不同法律規范適用于不同場景，具有不同的對象范圍，然而這些對象要件都具有共同特性，即具有造成他人生命安全損害的直接危險，或者具有較大的暴露風險，具有較大的轉化為新的法定傳染病病人、病原攜帶者的風險。

（二）歸納識別標準

在各地實踐中，由于各地疫情防控的實際情況不同、需求不同，各地行政機關制定的賦碼規則可能呈現不同的形式，對于人員健康風險等級的劃分以及劃分的標準等具體內容也存在較大的差異，不存在全國統一的賦碼規則。同時，隨著關切變異株、關注變異株的出現，根據疫情防控的需要，各地管理辦法與賦碼規則隨之出現一些變動。但是行政機關將公民按照健康風險大小進行區分，對不同風險等級的公民采取不同應急處置措施的總體防疫框架是相同的。

行政機關在抽象的法律要件基礎上，歸納總結“健康碼”識別標準。通過對全國各省、直轄市“健康碼”賦碼規則進行匯總分析，可以概括出各地通常被“健康碼”認定為具有較高風險等級、賦予“紅碼”或者“黃碼”的八種情形。1在此基礎上，《新型冠狀病毒肺炎疫情防控方案》（以下簡稱《防控方案》）將健康風險等級判定的法律標準轉化為醫學標準，例如《防控方案》附件 4《密切接觸者判定與管理指南》便明確了密切接觸者的判定標準，[ 包括確診病例、核酸檢測呈陽性的無癥狀感染者；疑似病例；確診病例、疑似病例、無癥狀感染者的密切接觸者；有發熱、干咳、氣促、呼吸道癥狀的人員，有消化道癥狀、結膜出血等臨床表現之一的人員； 14天內曾暴露于新冠病毒污染的環境中；實施居家觀察未滿14天的治愈出院的確診病人，解除醫學隔離未滿 14天的無癥狀感染者；14天內有疫情（較）嚴重國家（地區）旅居史的人員；實施疫點嚴格管理的小區、小區樓棟單元居民等。] [ 密切接觸者指疑似病例和確診病例癥狀出現前 2 天開始，或無癥狀感染者標本采樣前2 天開始，與其乘坐同一交通工具并有近距離接觸（1 米內）但未采取有效防護的人員。包括同一房間共同生活的家庭成員；直接照顧者或提供診療、護理服務者；在同一空間內實施可能會產生氣溶膠診療活動的醫護人員；在辦公室、車間、班組、電梯、食堂、教室等同一場所有近距離接觸的人員；密閉環境下共餐、共同娛樂以及提供餐飲和娛樂服務的人員；探視病例的醫護人員、家屬或其他有近距離接觸的人員；乘坐同一交通工具并有近距離接觸（1 米內）人員；暴露于被病例或無癥狀感染者污染的環境和物品的人員；現場調查人員評估認為其他符合密切接觸者判定標準的人員。]將“密切接觸者”根據其所具有的法律含義與醫學含義，轉化為時間信息、位置信息標準，成為“健康碼” 進行數據信息分流的識別標準。

二、數據收集處理

“健康碼”依據代碼構建的運行體系進行數據收集，依據賦碼規則載明的事項進行數據處理。

（一）“健康碼”數據收集機制

隨著“健康碼”的推廣普及，進出公共場所、使用公共交通時，打開“健康碼”似乎已經成為身體條件反射，伴隨著“打開”這一動作，“健康碼”客戶端向服務端申報個人基本身份信息、健康信息及行程信息，發送個人信息查詢請求、 “健康碼”調用請求及制碼請求，[參見國家標準《個人健康信息碼應用接口》（GB/T 38963-2020）第2-9頁。]個人申報的信息與“健康碼”服務端查詢所得的信息共同作為原始數據輸入“健康碼”服務平臺，成為“健康碼”運算、制碼的基礎。[ 值得注意的是，出于對個人信息的保護，身份信息為脫敏信息，“健康碼”服務平臺向身份驗證平臺發送身份驗證請求后，身份驗證平臺以臨時網證的形式返還信息，“健康碼”服務平臺并不保存及處理相關信息。

11]

1. 個人主動申報

個人申報的信息包括基礎身份信息、健康信息和行程信息三部分：第一，基礎身份信息。1由于該部分信息以第三方平臺實名實人驗證的方式加以核實，并不在“健康碼”服務平臺保存或處理，因此不做展開。第二，健康信息。健康信息包括用戶當前具體位置信息、在衛生健康主管部門規定的時間內是否曾經在高風險地區居住或停留、是否存在高風險人員接觸史、當前癥狀、體溫等信息。[ 個人基礎身份信息包括姓名、身份證件類型、身份證件號碼三部分。參見國家標準《個人健康信息碼

參考模型》(GB/T 38961-2020) 第 4 頁。] [ 參見國家標準《個人健康信息碼應用接口》( GB/T 38963-2020)第 3 頁。]第三，行程信息。行程信息指定的是在衛生健康主管部門規定的時間范圍內停留過的地點，精確到縣一級行政區劃。[參見國家標準《個人健康信息碼應用接口》(GB/T 38963-2020)第4頁。]值得注意的是，用戶向各省(區、市)政務服務平臺申報個人健康信息與行程信息，于當地“健康碼”服務平臺而言屬于個人申報的信息，于全國防疫健康信息碼服務平臺而言屬于經查詢所得的信息。

2. 公共數據庫平臺查詢檢索

公共數據庫平臺的訪問與查詢以用戶個人信息查詢請求指令為邏輯起點，相比個人申報的信息，公共數據庫平臺的信息渠道更為復雜與多元。目前國家政務服務平臺的一體化平臺防疫健康信息服務系統與省級平臺“健康碼”系統并行，形成“健康碼”系統全國與地方雙重架構。

首先，通過一體化平臺防疫健康信息服務系統查詢檢索。防疫健康信息服務系統查詢的信息同樣包括身份信息、健康信息和行程信息三部分。第一，身份信息。健康信息和行程信息相關數據庫接口調用以身份信息的核驗為前提，用戶身份信息脫敏后返回服務平臺。第二，健康信息。健康信息主要包括兩個數據接口，分別為就診、診斷、病例等因就診而產生的健康數據和全民健康信息平臺保存的居民健康信息、各地匯集的健康證明目錄數據。[參見國家標準《個人健康信息碼參考模型》(GB/T 38961-2020)第11頁。]第三，行程信息。行程信息的來源最為多元，包括移動、聯通、電信等運營商關于用戶手機信號漫游數據，航空、鐵路、公路、輪渡等交通部門統計的出行數據，出入境口岸數據以及因防疫健康信息碼掃碼在各地市或集團健康碼系統中固定下來的位置信息。[參見國家標準《個人健康信息碼參考模型》(GB/T 38961-2020)第11頁。

12]

其次，通過省級平臺“健康碼”系統查詢檢索。以浙江省為觀察對象，浙江省公共數據平臺將信息劃分為基礎信息、防疫信息與行程信息三部分：除了個人自主提交的信息外，健康碼平臺系統調用基礎數據庫接口獲得個人基礎信息；1調用重點人群信息、密切接觸者信息、重點區域分類信息、漫游位置信息等數據庫接口獲得防疫信息；在獲得授權后調用人員位置信息庫接口獲得行程信息。[ 基礎數據庫包括但不限于人口綜合庫、法人綜合庫、電子證照庫、信用信息庫、地理信息庫。] [參見浙江省地方標準《傳染病防控人員健康碼管理規范》(DB 33/T 2242-2020)第3-4頁。]除此之外，健康碼系統及復工系統使用而產生的新的疫情防控數據信息由浙江省大數據局統一歸集到公共數據平臺作為新的原始數據。[參見浙江省地方標準《傳染病防控人員健康碼管理規范》(DB 33/T 2242-2020)第2頁。]依托于省公共數據平臺，這些數據信息共同構成全省健康碼共享庫，成為健康碼制碼的事實基礎。

最后，兩級“健康碼”平臺信息互認。行政機關推出“健康碼”的初衷在于減少人員流動滯礙，促進復工復產，但是由于各省防疫政策的差異，對于人員健康風險等級的評定標準存在一定的差異，“健康碼”反而成為了人員省際流動的阻礙，隨著全國防疫健康信息碼與一體化平臺防疫健康信息服務系統的上線，各省“健康碼”平臺系統將防疫數據上傳至全國政務服務平臺，跨省“健康碼”互認互通得以實現。憑借全國防疫健康信息服務系統，省級“健康碼”系統實現了跨省數據輸入，至此，以全國和省級兩級政務服務平臺為基礎的“健康碼”服務平臺正式實現從全國防疫數據信息的互通互享。

(二)“健康碼”數據處理機制

“健康碼”改變傳統行政活動法律適用的過程，形成“法律規范-賦碼規則 -代碼”獨特的數據處理路徑。其中，賦碼規則是“健康碼”系統進行數據處理的準則，系統依據賦碼規則的規定，對不同對象的健康風險進行識別分流，賦予不同健康風險等級或防疫風險等級的人員以不同顏色的“健康碼”。同時，機器運行特性決定“健康碼”進行數據處理時，嚴格依照賦碼規則規定的識別標準進行，不存在對于賦碼規則的價值判斷。

三、運算結果輸出

在實踐中，行政機關根據“健康碼”運算結果，決定是否采取應急處置措施，以及采取何種應急處置措施。例如，《河南省“健康碼”使用管理辦法》明確規定在“紅碼”“黃碼”“綠碼”三色管理的基礎上，對持不同顏色二維碼的人員采取不同的應急處置措施。[ 《關于印發河南省“健康碼”使用管理辦法的通知》，豫大數據〔2020〕7 號，2020 年3 月17日發布。

13]又如一些地方的行政機關在疫情防控中，直接將“紅碼” “黃碼”作為限制必要公共活動、啟動應急處置措施的要件1可以說，“健康碼” 的運算結果輸出后，產生作為行政決策依據的功能。

第二節 “健康碼”的功能定位

無論規范表現形式還是“健康碼”運行機制，都能夠體現“健康碼”系統構建之初作為輔助型自動化行政設施的功能定位。

一、規范表現形式體現的功能定位：輔助功能規范“健康碼”運行的各類規范表現形式，如行政規范性文件、地方標準、行業標準等，都將“健康碼”作為數字防疫輔助設施，體現出“健康碼”輔助型自動化行政的功能定位。

（一）行政規范性文件模式：河南省《河南省“健康碼”使用管理辦法》以行政規范性文件的形式載明“健康碼” 賦碼規則，[ 參見深圳市衛生健康委員會《深圳“黃碼人”，54個最新檢測點，一鍵查詢！》，深圳市衛生健康委員會

網站，http： //wjw. sz. gov, cn/yqxx/content/post_8897041.html。最后訪問日期：2021 年 12 月 23 日。參見《新增4個中風險！黑龍江一地戶籍人員全部“黃碼”》,《黑龍江日報》公眾號，https： //mp, weixin. qq. com/s/68DzSNNd4bpJeYGdszO1Uw。最后訪問日期：2021 年 12 月 23 日。] [《關于印發河南省“健康碼”使用管理辦法的通知》，豫大數據〔2020〕7號，2020年3月17日發布。

14]依據該管理辦法繪制下表：

表 1 河南省“健康碼”賦碼規則

識別標準 “健康碼”結果應急處置措施

現有確診患者、現有疑似人員 “紅碼” 在定點醫療機構、集中隔離醫學觀察場所或居家實施嚴格的隔離治療或醫學觀察

正在集中隔離醫學觀察的無癥狀感染者、集中或居家隔離醫學觀察的密切接觸者

來自疫情嚴重地區（國家）

的人員

其他需要納入“紅碼”管理

的人員

有發熱、干咳、氣促、呼吸 “黃碼” 實施居家隔離醫學觀察

道癥狀的人員

實施居家觀察未滿14天的

治愈出院確診病人

解除醫學隔離未滿14天的

無癥狀感染者

其他需要納入“黃碼”管理

的人員

除“紅碼”、“黃碼”以外的人員 “綠碼” 在省內流動和跨省岀行或復工

（二）地方標準或行業標準模式：浙江省

浙江省以地方標準的形式載明賦碼規則，廣東省深圳市以行業標準的形式載明賦碼規則，都以推薦性標準構建“健康碼”運行架構。以浙江省為例：[參見浙江省地方標準《傳染病防控人員健康碼管理規范》（DB 33/T 2242-2020）。

15]

表 2 浙江省“健康碼”賦碼規則

識別標準 “健康碼”結果應急處置措施

屬于確診或者疑似人群 “紅碼” 實施不低于傳染病潛伏期

的集中或居家硬隔離醫學

觀察

體溫異常

近期去過疫情關注地區

屬于涉疫關注人群

目前正身處疫情關注地區

填寫的內容屬于涉疫關注

人群

其他特殊情況

自述有敏感癥狀（發熱、咳嗽、乏力等） “黃碼” 實施不低于傳染病潛伏期

—半時間的居家隔離醫學觀察

有因敏感癥狀就醫記錄

“紅碼”隔離期內每日連續健康打卡過半時間后轉

“黃碼”

不屬于“紅碼”、“黃

碼”的人員 “綠碼” 進出制定區域可直接掃碼或亮碼通行

“黃碼”隔離期內每日連

續打卡期滿轉綠碼

規范表現形式載明的賦碼規則由行政機關制定，被“健康碼”嚴格執行，體現行政機關的意思表示，“健康碼”雖然具有高度自動化表象，但是并不具有獨立的意思表示，并非獨立的行政決策系統。

二、 “健康碼”運行機制體現的功能定位：輔助功能基于“自動化行政分級理論”，1學者提出“健康碼”對行政決策的影響已經突破了裁量輔助的范疇，實現機器裁量。[ 參見馬顏昕：《自動化行政的分級與法律控制變革》，載《行政法學研究》 2019年第1期，第83頁。] [ 參見查云飛：《行政裁量自動化的學理基礎與功能定位》，載《行政法學研究》 2021 年第3期，第118 頁。]然而，通過追蹤與分析“健康碼”數據處理機制，卻能夠得出截然相反的答案。

盡管在國內外各領域，人工智能都逐漸得到了廣泛的適用，如“智能合約” 在民事領域的應用、COMPAS （罪犯矯正管理替代性懲罰分析）、HART （危害風險評估工具）在刑事司法中的運用，[參見［德］加布里埃•布赫霍爾茨：《人工智能與法律科技：對法治的挑戰》，韓旭至譯，載《人工智能與法律的對話2》，上海人民出版社2020版，第198-201頁。]本質上都是通過向學習算法投喂大量的訓練樣本來建立人工智能模式的，這一程序被稱之為“機器學習”。[特里薩•施根達貝路、安德魯•查爾斯沃思、尼洛•克里斯蒂亞尼尼：《自動化決策及其對人類的影響》，載《馴服算法：數字歧視與算法規制》，林少偉、唐林垚譯，上海人民出版社2020年版，第53-54 頁。]

在人工智能語言中，通常會用特征（feature）來描述待分類的屬性，用標簽（label）來指代各項目所屬的類別。[特里薩•施根達貝路、安德魯•查爾斯沃思、尼洛•克里斯蒂亞尼尼：《自動化決策及其對人類的影響》，載《馴服算法：數字歧視與算法規制》，林少偉、唐林垚譯，上海人民出版社2020年版，第54頁。]機器學習的目標是通過建立函數模型，對未標記的對象進行類別標記， [特里薩•施根達貝路、安德魯•查爾斯沃思、尼洛•克里斯蒂亞尼尼：《自動化決策及其對人類的影響》，載《馴服算法：數字歧視與算法規制》，林少偉、唐林垚譯，上海人民出版社2020年版，第54頁。

16]為了能夠將未標記對象與不同類別的標簽相對應，需要根據未標記對象（變量）所具有的特征，按照一定的維度及標準進行分類，這樣將變量一定的特征與標簽相對應的過程被稱作特征提取（ feature extraction）， 1而變量被賦予標簽的過程屬于機器學習中的貼標環節。[ 參見《人工智能發展報告》（2019），第 5 頁。] [ 為了表示預測的輸出結果，一個輸出變量將會被貼上一個標簽，用以代表輸出變量的真實賦值。貼標環節往往取決于人類的判斷和決定。]在“健康碼”中，將“與特定人員存在密切接觸”“在規定時間內，在或到過疫情重點地區”等特征定義為“高風險”的過程就是特征提取的過程，特征提取的結果被規定在賦碼規則中，成為“健康碼”代碼的一部分，“健康碼”通過運算將這些人員從人群中篩選出來賦予“高風險人員”標簽的過程就是貼標過程。

如此，“健康碼”進行數據處理的方式似乎具有了機器學習的形式外觀，但是如果將“健康碼”運算過程與機器學習過程進行比較，便會發現“健康碼”與機器學習存在本質區別。

（一）機器決策模式

危害風險評估工具 HART 以被捕人員兩年內再次犯罪可能性大小及犯罪的危害程度為標準，以被捕人員兩年內是否犯罪以及犯罪輕重，將被捕人員劃分為高風險人員、中度風險人員、低風險人員三個等級。[參見特里薩•施根達貝路、安德魯•查爾斯沃思、尼洛•克里斯蒂亞尼尼：《自動化決策及其對人類的影響》，載《馴服算法：數字歧視與算法規制》，林少偉、唐林垚譯，上海人民出版社 2020 年版，第 59 頁。]

在對 HART 進行評價之前，首先需要厘清機器學習算法的基本概念：[ 機器學習包括監督學習、半監督學習和無監督學習。參見《人工智能發展報告》（2019），第 7 頁。]

表 3 機器學習基本概念

特征來源標簽來源機器學習類別

第1級算法訓練樣本監督學習

第2級算法訓練樣本+算法半監督學習

第3級算法算法無監督學習

其中，所有的訓練樣本都具有標簽,通過建立算法模型對訓練集（train set）中訓練樣本的標簽進行特征提取，建立未知樣本特征與標簽的對應關系，將未知樣本納入與之相對應的標簽的機器學習模式為監督學習。[特里薩•施根達貝路、安德魯•查爾斯沃思、尼洛•克里斯蒂亞尼尼：《自動化決策及其對人類的影響》，載《馴服算法：數字歧視與算法規制》，林少偉、唐林垚譯，上海人民出版社2020年版，第 53-54 頁。

17]HART算法是典型的監督學習算法， HART 開發者以 2008 年至 2012 年 5 年間發生的 104000 起拘留案件為訓練樣本， HART 算法提取訓練樣本標簽特征，最終實現對任意輸入變量未來兩年內再犯罪風險的預測。 HART 開發者以算法載明已知樣本特征，通過大量的訓練樣本，為 HART 構建起法律適用所需的法律知識和法律推理邏輯，此時，特征作為一種裁量基準， HART 通過機器學習能夠獨立判斷待識別對象是否符合既定特征，是否能夠被賦予相關標簽。

（二）機器分類模式

與 HART 相比，“健康碼”系統并不存在訓練集、驗證集、測試集的區分，數據標簽特征無需“健康碼”系統通過算法提取，而是以賦碼規則的形式寫入代碼，即“健康碼”系統非但不能自主進行標簽制定，也不能進行特征提取，標簽與特征都由行政機關事先予以明確，不具有機器學習的特征。至此，可以補全上述表格：

表 4 機器學習基本概念

特征來源標簽來源機器學習類別

第0級輸入輸入非機器學習

第1級算法訓練樣本監督學習

第2級算法訓練樣本+算法半監督學習

第3級算法算法無監督學習

監督學習之所以屬于機器學習范疇，在于標記數據引導下，機器具有特征提取、臨界值參數的設置與調整的自主性，而這些事項對于數據歸類具有決定意義，換言之，在監督學習的場合，機器對于數據歸類具有決定權。“健康碼”對數據進行歸類的過程，只是對代碼嚴格執行的過程，對于數據類別的劃分、數據類別特征的選取都不具有決定權，因此可以認為“健康碼”并不具有人工智能所應具備的機器學習的能力，并不是人工智能在行政活動中的運用，相反，只是行政機關處理數據的工具。

同時，賦碼規則在“健康碼”運行過程中也并非起到裁量基準的作用，而是行政機關充分行使裁量權的結果。行政機關設定裁量基準的目的在于降低行政裁量的隨意性、不確定性，提高行政裁量的效率，雖然具有選擇表格化、判斷是非化的形式外觀，但是行政機關具有排除適用裁量基準的權力；而在“健康碼”運行場合，“健康碼”只能嚴格執行代碼、嚴格執行賦碼規則，不具有排除適用代碼、賦碼規則的可能性，因此，“健康碼”進行數據處理的本質只是對待識別數

據依據行政機關制定的標準進行數據分類，在傳統行政活動中，發揮輔助行政的功能。

第三節小結

“健康碼”的運行包括數據收集、數據處理和結果輸出三個階段，其中數據處理是“健康碼”運行的核心階段，行政機關通過制定賦碼規則實現數據處理過程的規制。無論是規范表現形式載明的賦碼規則，還是“健康碼”內在運行機制，都體現出“健康碼”輔助行政的功能定位，因此，為了確保“健康碼”在輔助行政的功能定位上發揮作用，更好地服務疫情防控工作，需要構建控制機制，具有法律控制的必要性。

第二章 “健康碼”現有控制機制及其遺留問題

第一節 “健康碼”的雙重控制機制

作為防疫輔助設施，“健康碼”受到以代碼為核心的內部控制和以法律為核心的外部控制，法律與代碼具有不同的運作原則， 1法律的規制力來源于人們對于秩序的需要與正義的探索， [參見［德］加布里埃•布赫霍爾茨：《人工智能與法律科技：對法治的挑戰》，韓旭至譯，載《人工智能與法律的對話2》，上海人民出版社2020版，第203頁。] [參見［美］E •博登海默：《法理學：法律哲學與法律方法》，鄧正來譯，中國政法大學岀版社2004年版，第 227-339 頁。]代碼的“規制力”來源于代碼與程序之間特殊的技術架構模式，基于代碼和法律不同的控制模式，形成自動化行政內部、外部雙重控制機制。

一、 “健康碼”的內部控制：代碼控制

“健康碼”的內部控制指的是代碼對于“健康碼”運行各個環節的控制。在傳統的行政活動中，法律規范對行政行為產生直接的規制力，然而隨著自動化技術的應用，規范表現形式被代碼所取代，由代碼直接規制自動化技術運行全過程，諸如“健康碼”系統等自動化技術的發展，迫使我們以全新的視角重新檢視“規則”的范圍及“規則”產生規制力的方式：不同于傳統行政活動中“要件-效果” 的個案裁量模式，代碼將法律規范轉化為具體的指令，系統對待識別對象是否滿足指令所載明的條件進行“是或否”的判斷，并以“if... then... else... ”這樣的條件判斷語句對待識別對象進行分流。因此，計算機代碼被系統嚴格執行，不存在排除適用的空間，面對代碼強大的規制力，學者直言“代碼就是法律”。 [參見［美］勞倫斯•萊斯格：《代碼2.0：網絡空間中的法律》，李旭、沈偉偉譯，清華大學岀版社2009年版，第5-6頁。

20] 正是基于代碼強大的規制力，在自動化技術、自動化系統內部，自動化行政從數據收集、數據處理到結果輸出各個環節都受到代碼的嚴格控制，形成自動化行政的內部控制。

代碼

數據收集 ?數據處理 ?結果輸出

圖 1 “健康碼”內部控制示意圖

（一）數據收集階段的代碼控制

“健康碼”依托大數據進行防疫信息收集與管理，依托于大數據的數據收集具有人力難以比擬的體量、種類和速度優勢。1然而受到代碼控制，面對大數據， “健康碼”并不具有自主數據挖掘的能力，相反“健康碼”數據收集活動存在明確的邊界與限制：其一，只能調用行政機關預設的數據庫接口；[參見［荷蘭］瑪農•奧斯特芬：《數據的邊界：隱私與個人數據保護》，曹博譯，上海人民岀版社2020年版，第32 頁。] [參見國家標準《個人健康信息碼數據格式》（GB/T 38962-2020）第2頁。]其二，在“健康碼”調用相關數據庫接口前，需先申請會話權限。[參見國家標準《個人健康信息碼應用接口》（GB/T 38963-2020）第2頁。]這些邊界的存在不是“健康碼” 系統根據相關法律規范經機器裁量而來，而是行政機關及系統開發者在進行系統構建之時便以代碼的形式明確為“健康碼”數據收集劃定的界限，形成“健康碼” 數據收集階段的代碼控制。

（二）數據處理階段的代碼控制

“健康碼”以代碼為絕對且唯一的要件進行數據處理，“健康碼”系統依據代碼載明的數據特征，對待識別對象是否滿足指令所載明的條件進行“是或否” 的判斷，實現對數據的歸類。同時，“健康碼”在進行數據處理之時嚴格執行代碼，不具有排除適用的可能性，基于絕對執行與排除禁止，形成以代碼為核心的數據處理階段絕對控制機制。

（三）結果輸出階段的代碼控制

在“健康碼”系統內部，由于“健康碼”數據收集、數據處理受到代碼的絕對控制，則經由“健康碼”運算所得的結果也在代碼的控制之下，輸出“健康碼” 系統作為行政機關是否采應急處置措施、采取何種應急處置措施的判斷標準， [ 參見查云飛：《健康碼：個人疫情風險的自動化評級與利用》，載《浙江學刊》 2020 年第 03 期，第 28

35 頁。

21]進入“健康碼”外部控制機制調整范疇。

二、“健康碼”的外部控制：法律控制

“健康碼”的外部控制指的是法律規范對于“健康碼”運行的控制。“健康碼”的法律控制存在于兩個階段：其一，輸入系統階段，通過設計和默認設置，將法律規范的內核預先編寫入計算機代碼，繼而通過內部控制的運作，實現法律對“健康碼”運行全過程的控制；其二，輸出系統階段，將經由“健康碼”運算所得的結果嵌入傳統行政行為之中，通過控制傳統行政行為，實現對于“健康碼”

運算結果應用的法律控制。

法律規范

輸入階段

系統內部代碼

數據收集數據處理結果輸出

»外部控制輸出階段

—'IWSS 行政行為- 」

圖 2 “健康碼”外部控制示意圖

（一）輸入階段的法律控制

“健康碼”系統嵌入后的行政活動相比傳統行政活動具有高度自動化的特征，因此通過制度設計的法律規制能夠發揮較大的作用。所謂通過設計的法律規制，就是充分利用自動化技術嚴格執行代碼的特性，將法律規定寫入“健康碼”代碼，以實現數據收集、數據處理、結果輸岀全過程的法律控制。例如，以《個人信息保護法》為核心的數據保護構成“健康碼”進行數據收集的實質限制，通過代碼設置，控制“健康碼”只有在滿足必要性時才能調用給定數據庫，以此限制“健康碼”調用數據庫的權限，達到法律規制的效果。

另一方面，輸入階段的法律控制是行政機關充分裁量的結果。由于法律的適用與代碼的運行需要不同的環境，法律規范可以存在不確定法律概念，可以為行政機關預留裁量的空間，但是代碼不能存在運算的空白，因此行政機關在使用機器輔助行政之前，需要事先對不確定事項予以明確、對預留空間進行填補。如果法律規范為行政裁量預留了空間，行政機關需要通過事先的裁量填補空白的要件。科赫的“要件補充理論”可以很好地解釋這一過程，要件補充是指將構造為“法律要件+可以+法律效果”的模式，轉化為“法律要件+補充要件+應當+法律效果” 模式， [法律規定“B1、B2、B3實現時，可以發生R”可以轉化為“B1、B2、B3以及行政機關補充的新的構成要件B4實現時，必須發生R”。參見王貴松：《行政裁量的內在構造》，載《法學家》2009年第2 期,第 32-33 頁。

22]行政機關通過行政裁量，明確對何種情形采取應急處置措施、采取何種應急處置措施，將抽象的法律規范轉化為可以被機器識別的事實標準，使得“健康碼”的法律控制成為可能。

（二）輸岀階段的法律控制

不同于人工智能進行自動化行政時，高速性、復雜性與不可預測性使得傳統的“命令-控制”模式走向末路， 1“健康碼”系統由于本質上并不屬于人工智能在行政領域的應用，因此傳統的控制模式依然能夠發揮作用。具體而言，在“健康碼”岀現之前，行政機關采取隔離措施直接依據法律規定，從抽象的法律規范中以一定的標準歸納岀法律要件，又以是否具有法律意義為標準，從具體事實中抽象岀事實要件，繼而判斷事實要件能否被法律要件所涵攝，或者能否實現法律要件與事實要件的等置， [ See Alicia Solow-Niederman， Administering Artificial Intelligence， 93 S. CAL. L. REV.

633， 653-670（2020）.] [ 參見王貴松：《行政裁量的內在構造》，載《法學家》 2009年第2期，第37-38頁。]而后再通過對是否采取措施、采取何種措施等問題的判斷，進行法律效果的選擇。“健康碼”岀現之后，“健康碼”依然被嵌入傳統行政活動，承擔某一部分或環節的功能，受到法律規范對于行政行為規制的規制。

第二節內部控制機制的局限：數據運行失控

內部控制機制的局限性來源于機器運算的特性，該運算特性決定了“健康碼” 只能嚴格執行代碼所載明的事項，因此，當代碼載明的內容與法律規范的規定存在偏差之時，機器依然會執行“不合法”的代碼，而不具有進行法律適用和價值判斷的能力，導致數據運行失去法律控制。

一、數據收集越權

梳理“健康碼”數據收集機制，可以發現“健康碼”以公共數據庫檢索為主、以個人申報為輔進行數據收集。公共數據庫共享數據與個人主動申報的數據信息具有不同的法律性質，受到不同法律規范的調整。個人主動申報的數據信息由于存在個人“同意”的天然基礎，不存在數據收集越權的可能性，而以公共數據庫共享數據作為“健康碼”數據處理基礎時，存在一些合法性瑕疵。

（一）數據收集突破法律規范

2016 年，國務院印發《國務院關于印發＜政務信息資源共享管理暫行辦法＞的通知》， [ 《國務院關于印發＜政務信息資源共享管理暫行辦法＞的通知》，國發〔2016〕51號， 2016年9月5日發布。

23]《政務信息資源共享管理暫行辦法》（以下簡稱《暫行辦法》）第 5條明確政務信息以“共享為原則，不共享為例外”，并明確不共享的政務信息特指涉及國家秘密和安全的信息。2019 年《國務院辦公廳關于印發國家政務信息化項目建設管理辦法的通知》進一步提岀政務信息系統跨部門、跨層級的互通與共

享。1“健康碼”系統依托于國家政務服務平臺、各省級政務服務平臺，屬于政務信息資源共享在防疫健康信息服務中的嘗試，依照《暫行辦法》的精神，“健康碼”可以訪問除涉及國家秘密和安全的全部政務信息。[ 《國務院辦公廳關于印發國家政務信息化項目建設管理辦法的通知》，國辦發〔2019〕57號， 2019年12 月 30 日發布。] [ 《政務信息資源共享管理暫行辦法》第9條第1款：“政務信息資源按共享類型分為無條件共享、有條件共享、不予共享等三種類型。”但是實際上無條件共享的基礎信息資源十分廣泛。]

1.數據收集范圍超越權限

《暫行辦法》第 2條沿用 2008年《政府信息公開條例》第 2條、第 37條對于“政府信息”的定義方式， [ 《政務信息資源共享管理暫行辦法》第2條：“本辦法所稱政務信息資源，是指政務部門在履行職責過程中制作或獲取的，以一定形式記錄、保存的文件、資料、圖表和數據等各類信息資源，包括政務部門直接或通過第三方依法采集的、依法授權管理的和因履行職責需要依托政務信息系統形成的信息資源等。本辦法所稱政務部門，是指政府部門及法律法規授權具有行政職能的事業單位和社會組織。”

《政府信息公開條例》第2條：“本條例所稱政府信息，是指行政機關在履行職責過程中制作或者獲取的，以一定形式記錄、保存的信息。” 2008年《政府信息公開條例》第37條：“教育、醫療衛生、計劃生育、供水、供電、供氣、供熱、環保、公共交通等與人民群眾利益密切相關的公共企事業單位在提供社會公共服務過程中制作、獲取的信息的公開，參照本條例執行，具體辦法由國務院有關主管部門或者機構制定。”2019年《政府信息公開條例》第55條更改為：“教育、衛生健康、供水、供電、供氣、供熱、環境保護、公共交通等與人民群眾利益密切相關的公共企事業單位，公開在提供社會公共服務過程中制作、獲取的信息，依照相關法律、法規和國務院有關主管部門或者機構的規定執行。”]明確“政務信息”產生主體為政府部門及法律法規授權具有行政職能的事業單位和社會組織，范圍為在履行職責過程中制作或獲取的信息資源。將于2022 年5 月1 日實施的國家標準《政務信息系統定義和范圍》擴大了“政務信息”的范圍：[參見國家標準《政務信息系統定義和范圍》(GB/T 40692-2021)。]其一，擴大主體范圍。將黨政機關、國家機關適當納入政務部門范疇。[ 具體包括：中共中央、全國人大、國務院、全國政協、國家監察委員會、最高人民法院、最高人民檢察院及中央和國家機關各部門，各級地方黨委、人大、政府、政協、監察委、法院、檢察院及其直屬各部門，以及法律法規授權具有行政職能的事業單位和社會組織。]其二，擴大信息范圍。由政務部門或者為政務部門采集、加工、使用、處理的信息資源都屬于政務信息范疇。[ 具體包括：政務部門依法采集的信息資源；政務部門在履行職能過程中產生和生成的信息資源；政務部門投資建設和外購服務獲取的信息資源；政務部門依法授權管理的信息資源。]

《暫行辦法》《政務信息系統定義和范圍》都將“法律法規授權具有行政職能的事業單位和社會組織”納入“政務部門”的范疇，不同于政府信息公開領域 “公共企事業單位”的表述，“法律法規授權具有行政職能的事業單位和社會組織”在語義上似乎將“公共企事業單位”可能包含的職能上、實質上具有行政職能的企事業單位排除在外。[ 成文規范沒有明確主體定位的企事業單位，因“職能類同”而被認定為公共企事業單位。參見朱芒：

《公共企業事業單位應如何信息公開》，載《中國法學》 2013年第2期，第157頁。

24]電信業務運營者提供的漫游數據一度作為“健康碼” 準確判斷人員風險程度的殺手锏，《電信條例》第 5 條明確電信業務運營者提供電信服務的義務，公共服務的提供區別于具有強制性的行政職權行使， 1難以納入 “政務部門”范疇。即使以“實質標準”擴展“政務部門”外延，用戶因使用電信服務而產生的漫游數據信息也很難認為屬于“履行職能”產生的信息， [ 參見朱芒：《公共企業事業單位應如何信息公開》，載《中國法學》 2013 年第 2 期，第 153 頁。] [ 《政務信息資源共享管理暫行辦法》第 2 條第 1 款：“本辦法所稱政務信息資源，是指政務部門在履行職責過程中制作或獲取的，以一定形式記錄、保存的文件、資料、圖表和數據等各類信息資源，包括政務部門直接或通過第三方依法采集的、依法授權管理的和因履行職責需要依托政務信息系統形成的信息資源等。”] [ 參見彭錞：《公共企業事業單位信息公開的審查之道：基于 108 件司法裁判的分析》，載《法學家》 2019 年第 4 期，第 43-44頁。]在政府信息公開語境下，電信業務運營者為用戶提供電信服務，雙方構成民事合同關系， 3漫游數據信息屬于履行民事合同過程中產生的數據信息，難以認為屬于能夠共享的“政務信息”。行政機關在“健康碼”運行框架構建初期，直接通過電信業務運營者收集漫游數據信息，而未經漫游數據主體同意，屬于超越其法定權限收集數據信息。

2.數據收集限度超越權限

隨著《網絡安全法》《民法典》與《個人信息保護法》等法律的岀臺，“個人信息”的外延得到實質性擴張：一方面，個人信息的認定標準改變。由過去的雙重標準， [ 雙重標準是指個人信息需要同時滿足“個人隱私”與“單獨能夠識別公民身份”兩項條件。 2012 年 12

月28 日全國人大常委會通過《全國人民代表大會常務委員會關于加強網絡信息保護的決定》，該決定第 1 條定義“個人信息”為“能夠被識別公民身份和涉及公民隱私的電子信息”，即不需要結合其他信息就能直接識別信息主體的信息或者涉及公民隱私的信息才能夠成為受國家保護的個人信息。]轉向單一的公民身份識別標準，是否涉及公民隱私不再是區分是否構成法律意義上“個人信息”的標準。另一方面，公民身份識別標準變得寬松。如果有關數據信息與其他的數據信息發生交互，能夠產生主體識別的效果，此時這樣的數據信息也被認為是個人信息。“[《網絡安全法》第 76 條第 5 項規定：“個人信息，是指以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別自然人個人身份的各種信息，包括但不限于自然人的姓名、岀生日期、身份證件號碼、個人生物識別信息、住址、電話號碼等。”

《民法典》第 1034 條規定：“自然人的個人信息受法律保護。個人信息是以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別特定自然人的各種信息，包括自然人的姓名、岀生日期、身份證件號碼、生物識別信息、住址、電話號碼、電子郵箱、健康信息、行蹤信息等。個人信息中的私密信息，適用有關隱私權的規定；沒有規定的，適用有關個人信息保護的規定。”

《個人信息保護法》第 4 條第 1 款規定：“個人信息是以電子或者其他方式記錄的與已識別或者可識別的自然人有關的各種信息，不包括匿名化處理后的信息。”

25] 個人信息”概念外延的擴張，導致“健康碼” 在就防疫健康信息進行訪問時，所訪問的數據信息時常兼具政務信息與個人信息的特征。

《數據安全法》第 38 條、《個人信息保護法》第 34 條規定國家機關收集、使用、處理數據或者個人信息，受到“履行法定職責”的必要性限制。1由于《暫行辦法》屬于國務院印發的規范性文件，法律位階較低，與《數據安全法》《個人信息保護法》存在沖突，優先適用《數據安全法》《個人信息保護法》，因此，對于政務信息中，屬于個人信息的部分，受到“履行法定職責所必須的范圍和限度”的限制，即“健康碼”進行公共數據庫信息訪問存在邊界，而“健康碼”在進行數據收集架構設置之時，并未設定相應的訪問邊界，數據收集的范圍和限度均存在越權。

以浙江省“健康碼”為觀察對象，浙江省“健康碼”平臺系統具有調用人口綜合庫的權限，依據《暫行辦法》第 10 條第 2 項之規定，基礎信息資源的基礎信息項無條件共享， [ 《數據安全法》第 38條： “國家機關為履行法定職責的需要收集、使用數據，應當在其履行法定職責的范圍內依照法律、行政法規規定的條件和程序進行；對在履行職責中知悉的個人隱私、個人信息、商業秘密、保密商務信息等數據應當依法予以保密，不得泄露或者非法向他人提供。”

《個人信息保護法》第 34 條：“國家機關為履行法定職責處理個人信息，應當依照法律、行政法規規定的權限、程序進行，不得超出履行法定職責所必需的范圍和限度。”] [ 《政務信息資源共享管理暫行辦法》第 10 條：“人口信息、法人單位信息、自然資源和空間地理信息、電子證照信息等基礎信息資源的基礎信息項是政務部門履行職責的共同需要，必須依據整合共建原則，通過在各級共享平臺上集中建設或通過接入共享平臺實現基礎數據統籌管理、及時更新，在部門間實現無條件共享。”]人口信息作為《暫行辦法》所稱的基礎信息，屬于無條件共享的基礎信息項。浙江省市場監督管理局發布的地方標準《人口綜合庫數據規范》公布的基礎信息包括登記信息、生理狀態、家庭信息和聯系信息四大類目， [參見地方標準《人口綜合庫數據規范》(DB33/T 2234-2019),第10-25頁。]以相關度最高的生理狀態為例，作為基礎信息共享的生理狀態信息包括身高、體重、雙眼裸視力、雙眼矯正視力等生理體征，難以認為衛生行政部門履行疫情防控職責與衛生行政部門獲取雙眼視力信息之間存在必要性關聯，屬于超越法定限度收集數據信息的行為。

(二)數據收集違背法律原則

“健康碼”通過各種途徑獲得數據的過程，實質上是行政調查的過程，不同于行政機關委托計算機程序進行數據調查的合法性基礎需要進一步論證。關于行政調查的法律性質，學界長期以來難以達成共識，形成事實行為、獨立的行政行為、程序性行政行為或中間行政行為等學說的分野， [ 參見金自寧：《論行政調查的法律控制》，載《行政法學研究》 2007年第 2 期，第 79 頁；參見周佑勇：《作為過程的調查——在一種新研究范式下的考察》，載《法商研究》 2006年第 1 期，第 130 頁。

26]但是由于行政調查可能給行政相對人權利帶來的限制，因此在行政調查的規制層面存在一定的共識，“健康碼”系統作為行政機關提高疫情防控效率而開發的計算機程序，在權限方面不可能突破其開發者所具有的權限范圍。受到依法行政原則、越權無效原則以及比例原則的限制，“健康碼”進行數據訪問時存在一定的限制，但是“健康碼”數據收集的過程并不符合上述原則，存在數據收集過限而侵害數據權的情況。

1.不符合依法行政原則

行政調查是行政行為的基礎，行政機關開展行政調查具有不言自明的正當性， 1但是由于行政調查本身可能對行政相對人權利形成的限制，因此行政調查也不能是漫無邊際的，學者認為需要對行政調查的種類進行區分，任意性調查的場合由于獲得行政相對人的協助，行政相對人自愿配合行政調查，且對行政調查可能產生的不利后果予以接受，因此不需要法律依據，但是強制性調查的場合由于涉及對于行政相對人合法權利的限制，因此需要明確的法律依據。[ 參見金自寧：《論行政調查的法律控制》，載《行政法學研究》 2007年第2期，第80頁。] [ 參見周佑勇：《作為過程的調查——在一種新研究范式下的考察》，載《法商研究》 2006 年第 1 期，第 131-132 頁。]

“健康碼”服務平臺數據信息收集的過程，以用戶“知情同意”為基礎進行，具有任意性調查的形式外觀，但是“健康碼”系統對于用戶“知情同意”體系的架構方式并不能真實反映用戶是否知情、是否同意，系統將用戶“打開”軟件用戶端時用戶端自動向服務平臺發送的個人信息查詢請求、健康碼調用請求及健康碼制碼請求認定為用戶的數據授權，但事實上，“健康碼”用戶對于其“打開” 這一動作的法律含義并沒有深刻的理解，并且“健康碼”在實質上具有類似“通行憑證”的功能，行政相對人除了使用“健康碼”并沒有其他選擇的余地，行政相對人的“同意”和“協助”并不能被認為是其真實意愿的表達，存在“以任意調查之名行強制調查之實”的嫌疑。[ 參見金自寧：《論行政調查的法律控制》，載《行政法學研究》 2007年第2期，第82頁。

27]因此，“健康碼”系統進行數據收集應當具有明確的法律依據，否則侵害數據主體權利。

2.不符合比例原則

受比例原則的限制，首先進行數據信息收集的目的必須具有合法性與正當性，在“健康碼”運行的場合，“健康碼”對相關數據庫進行訪問、對數據信息進行搜集與輸入，必須是出于新冠疫情防控的需要，對于與新冠疫情防控無關的數據信息無權進行訪問、收集與輸入。其次，數據信息的收集以滿足公共衛生事件預防控制所需為限，對于超出該限度的數據信息，行政機關無權收集。

在疫情信息收集過程中，“健康碼”作為衛生行政部門行政調查的工具，其在訪問其他行政機關、行政機關其他部門的數據庫時，并不當然享有政務信息共享的權限，而受到“履行法定職責所必須的范圍和限度”的限制。然而，“健康碼”作為我國從更大的范圍和程度上掌握全民健康風險信息的嘗試，1以各大數據庫為數據信息的主要來源，依據“健康碼”的架構，“健康碼”在調取各大數據庫信息時，享有極大的數據庫訪問權限，依據國家標準《個人健康信息碼應用接口》“調用接口”的表述，“健康碼”系統在作為衛生行政部門的手段與工具獲取數據信息時，直接被賦予整個數據庫的訪問權限，2并不對各數據庫中數據信息的法律屬性加以區分，不進行是否屬于履行法定職責的必要性判斷，存在侵害數據權、個人信息權益或隱私權的風險。

二、數據保護不足

“健康碼”能夠調用的數據庫數據信息種類繁多，其法律屬性也各不相同，例如調用重點人群庫時，被訪問對象的身份信息因采取匿名化、脫敏化處理而屬于非個人信息，醫療健康、行蹤軌跡等屬于敏感個人信息，其他個人基礎信息屬于普通個人信息。對于不同法律屬性的數據信息，《個人信息保護法》對數據處理者課以不同的義務。

表 5 法定保護措施

法律性質信息種類保護措施

敏感個人信息健康信息、行程信

息取得個人的單獨同意

告知處理者的名稱和聯系方式、告知處理敏感個人信息的必要性以及對個人權益的影響

普通個人信息個人基礎信息不需取得個人同意，但需要履行告知義務

非個人信息匿名化處理身份信息不需取得個人同意，無告知義務

不能識別自然

人重點區域分類信息

1參見查云飛：《健康碼：個人疫情風險的自動化評級與利用》，載《浙江學刊》 2020 年第 3 期，第 30

頁。

2數據庫中可能涉及國家秘密和安全的數據不在討論范圍。

然而“健康碼”在運行過程中，并不對不同性質的數據加以區分，也未采取與信息級別相對應的措施，而將這些數據信息認定為政務信息在各行政機關、行政機關各部門之間共享，侵犯數據權、個人信息權益乃至隱私權。

第三節外部控制機制的忽視：應急處置措施失控

對自動化行政進行法律控制的必要性在于自動化技術的高效性、復雜性與不可預測性突破了行政機關“命令-控制”的行政活動方式，1在于全面打破現行法律框架、挑戰法律秩序的可能性。[ See Alicia Solow-Niederman， Administering Artificial Intelligence， 93 S. CAL. L. REV. 633，653-670(2020).] [ 參見胡敏潔：《自動化行政的法律控制》，載《行政法學研究》 2019年第2期，第57頁。]代碼本身不具有價值判斷，以代碼為核心的內部控制不能緩和自動化行政與現行法律制度之間的矛盾，存在難以避免的局限性，因此需要通過外部控制將自動化技術置于現行法律框架下運行。然而現行“健康碼”的控制機制過度依賴以代碼為核心的內部控制，忽視以法律為核心的外部控制，導致現行控制機制難以實現對于“健康碼”的有效控制，具體表現為要件裁量階段裁量濫用與效果裁量階段裁量壓縮，招致應急處置措施錯誤與錯位。

一、應急處置措施錯誤

應急處置措施相關法律規范往往采取概括性詞匯，為應急處置措施的啟動預留了行政裁量的空間，[ 參見查云飛：《行政裁量自動化的學理基礎與功能定位》，載《行政法學研究》 2021 年第3期，第 117

118 頁。]因此在應急處置措施的場合，行政機關具有質疑自動化處理結果的權力和能力。[參見邁克爾•維勒、伊琳娜•布拉斯：《算法行政？公共管理與機器學習》，載《馴服算法：數字歧視與算法規制》，林少偉、唐林垚譯，上海人民出版社2020年版，第152頁。

29]如果行政機關能夠明確“健康碼”作為事實調查、證據材料搜集工具的功能定位，依然可以把握行政決策的主動權，充分行使行政裁量權。然而受到數據驅動，行政機關以“健康碼”運算結果為依據，甚至作為應急處置措施啟動的羈束要件，極大地削減乃至消弭了行政裁量的空間。具體而言，如果相關人員存在“健康碼”賦碼規則載明的“紅碼”情形，便會被判定為“紅碼” 人員，進而被采取隔離措施，而不對該人員是否屬于“危險源”、是否存在“暴露于甲類傳染病病原的風險”進行個案裁量與判斷，存在裁量懈怠、裁量壓縮乃至裁量收盡等問題。“健康碼”本不具有機器裁量、機器決策的功能，但是由于行政機關將其運算結果作為應急處置措施的羈束性啟動要件，在實際上起到了機器決策的作用，超越“健康碼”輔助系統的功能定位，屬于結果輸出階段的法律

失控。

（一）“健康碼”作為應急處置措施羈束性啟動要件現狀

1.直接規定羈束性對應關系

在防疫實踐中，規范性文件、相關標準常常直接規定與“健康碼”運算結果相對應的應急處置措施，呈現一一對應關系。例如，《河南省“健康碼”使用管理辦法》定義了河南省“健康碼”三色二維碼的內涵以及相應的應急處置措施。 1又如，寧夏回族自治區針對“健康碼”紅、黃、綠三色設置不同的就診流程，劃分紅、黃、綠不同的醫院就診區域。[ 將患者、無癥狀感染者、疑似病人、密切接觸者以及來自疫情嚴重國家或地區的人員等人員納入“紅碼”管理，對“紅碼”人員采取嚴格的隔離治療或醫學觀察，進行嚴格管控；將具有發熱、干咳、氣促、呼吸道癥狀的人員，實施居家觀察的治愈出院確診病人、解除醫學隔離的無癥狀感染者等人員納入“黃碼”管理，對“黃碼”人員實施居家隔離醫學觀察；將“紅碼”與“黃碼”以外的人員納入“綠碼”管理，“綠碼”人員則可以在省內與省際自由流動。] [ 寧夏回族自治區衛生健康委員會發布《自治區衛生健康委關于進一步做好新冠肺炎疫情期間醫療服務工

作的通知》。參見《涉疫人員咋看病？寧夏“紅黃綠”三色方案來了》，光明日報公眾號，https： //mp.weixin. qq. com/s/msQeHS0WLCzKaD0o6a0d9A。最后訪問日期：2021 年 12 月 10 日。]

2.直接作為羈束性啟動要件

“健康碼”運算結果不僅僅作為是否采應急處置措施、采取何種應急處置措施的判斷標準，[參見查云飛：《健康碼：個人疫情風險的自動化評級與利用》，載《浙江學刊》2020年第03期，第28-

35 頁。]而是直接作為應急處置措施羈束性啟動要件。例如，在深圳 Delta 變異株疫情防控中，凡被“健康碼”判定為“黃碼”的人員，行政機關不在運算結果之外另行判斷“黃碼”人員的風險程度，直接啟動應急處置措施，限制相關人員的人身自由。[ “健康碼”將2021年6月10日至6月18日在深圳機場停留1小時以上的人員以及曾在確診病例、密切接觸者、次密接者居住地、工作地、活動軌跡中停留的人員判定為“黃碼”，行政機關對持“黃碼”者采取相應的應急處置措施，如非必要不外出，暫停聚餐、會議等集體性活動，避免乘坐公共交通工具，不得進入各類公共場。參見深圳市衛生健康委員會《深圳“黃碼人”， 54個最新檢測點，一鍵查詢！》，深圳市衛生健康委員會網站,http： //wjw. sz. gov. cn/yqxx/content/post_8897041. html。最后訪問日期： 2021年12月23日。]直接將“健康碼”運算結果作為應急處置措施的羈束性啟動要件，放棄通過行政調查糾正機器運行錯誤的權力、通過行政裁量變更機器運行結果的權力，[ 參見王正鑫：《機器何以裁量：行政處罰裁量自動化及其風險控制》，載《行政法學研究》 2022 年第 2 期，第172-173頁。

30]存在合法性問題，擴大應急處置措施錯誤的可能性。

（二）“健康碼”作為應急處置措施羈束性啟動要件的結果

以“健康碼”作為應急處置措施的羈束性啟動要件，容易因行政行為錯誤而侵害人身權。一方面，由于“健康碼”存在數據錯誤的可能性，另一方面由于程序的缺失，行政機關對“健康碼”所“認定”的事實不加辨別地予以認定，不在程序外添加事實認定環節，一旦“健康碼”所收集、處理的數據信息發生錯誤，不論是信息收集階段因自身運行機制原因導致的信息錯誤，還是信息處理階段因 “過擬合”導致虛假因果關系引發的信息錯誤，都將最終導致行政決策的偏差或者錯誤，表現為對不需要采取隔離措施的人員采取隔離措施，出現行政行為錯誤。

1.無法規避數據錯誤

相比較 2003 年 SARS 病毒的防疫工作，依托于大數據的新冠疫情防控工作體現出全面、高效的特性，隨著大量原始數據的獲得，“健康碼”系統能夠輕易地勾勒出任意個體的移動軌跡及個人關系圖譜，但是“健康碼”系統對于事實的收集與認定依然存在錯誤的可能性，而與 SARS 疫情防控相比，此時的錯誤具有不可避免性與隱蔽性。

(1)數據收集錯誤

原始數據的搜集與輸入是“健康碼”服務平臺運行的基礎，原始數據的錯誤將直接導致計算結果的錯誤，繼而導致行政行為的錯誤。“健康碼”服務平臺試圖通過從不同的渠道和維度收集同一事件的信息來規避數據錯誤的可能性，但事實證明這樣的方式并非一直奏效。

首先，個人自主申報信息存在錯誤的可能性。例如，個人對自己所屬行政區劃不熟悉，錯誤申報所屬街道信息，1當申報街道出現陽性病例時，便會發生錯誤賦碼的情形。

其次，“健康碼”進行數據收集存在錯誤的可能性。以行程信息的收集為例， “健康碼”服務平臺獲得行程信息的主要來源為三大運營商的人員漫游位置信息，即利用手機 SIM 卡會自動、持續、定時向附近基站傳輸信令信號的特征實現基站定位，個人移動通信終端接收基站信號超過一定時長，便會被認定為在該基站所在地停留，[ 參見《健康碼“變色”，杭州這里曾一天處理30000 條申訴數據！申訴關鍵一步，你做對了嗎？》，杭州

綜合頻道公眾號，https： //mp.weixin.qq.com/s/Lu9OO0dZN3Rqpdq9 QDl2A。最后訪問日期：2021 年 12 月23日。] [參見國家標準《個人健康信息碼參考模型》(GB/T 38961-2020)第12頁。]作為行程信息輸入“健康碼”服務平臺，作為運算的基礎。但是若當事人居住在兩省交界處，時常接收到鄰省基站的信號信息，則容易發生旅居地的誤判。[ 杭州市民因在湖南吉首旅居期間接收到湖北恩施的信號而被賦予“紅碼”并被采取隔離措施。參見《一個人六個碼，健康碼為什么這么難統一？》界面新聞，https：

//www. jiemian. com/article/4102923. html. 2021. & 22。最后訪問日期：2021 年 10 月 9 日。

最后，數據主體實時數據信息與“健康碼”系統收集數據信息之間存在時間差。新冠病毒核酸混采檢測具有低成本、高效率的特征，在核酸檢測、篩查中被允許使用。然而，混采檢測的缺點在于一旦出現陽性樣本，不能在第一時間明確陽性樣本的來源，需要對受試者逐一復核。在復核結果產生前，受試者是否感染病毒存疑，其“健康碼”仍然顯示為“綠碼”。1這就導致“健康碼”所收集的數據信息可能因時效性問題而呈現錯誤的狀態。上海疫情防控實踐彌補了這一漏洞，滬肺炎防控辦《關于進一步明確本輪疫情期間“隨申碼”賦碼規則的通知》將初篩混管陽性人員納入“紅碼”管理，[參見《獨家調查：兩名上海游客是否“自行離開”》，人民網，http:

//sh. people. com. cn/n2/2021/1019/c134768-34962816. html。最后訪問日期：2021 年 12 月 23 日。] [參見《關于進一步明確本輪疫情期間“隨申碼”賦碼規則的通知》，滬肺炎防控辦〔2022) 464 號, 2022 年4月25日發布。]在一定程度上減少了因時效性導致的假陰性樣本數量，但同時帶來假陽性樣本數量增加的問題。

(2)數據處理錯誤

“健康碼”進行數據處理時，可能不能全面地對各大數據庫的數據信息進行分析比對，僅就其中部分的、片面的數據信息進行了評價，導致處理結果與數據信息之間不存在因果關系。例如，乘坐列車穿越中高風險地區，但列車并未在中高風險地區車站停靠，由于持續接收到中高風險地區的信號信息，也會被判定為旅居中高風險地區，[ 參見胡敏潔：《論自動化行政中的瑕疵指令及其救濟》，載《北京行政學院學報》 2021 年第4期，第81 頁。隨著“健康碼”系統優化，目前乘坐列車穿越中高風險地區而列車未停靠的場合，乘客的“健康碼” 不會發生改變。]但實際上，在列車沒有停靠的場合，列車上的乘客因途徑而感染病毒的可能性微乎其微，“健康碼”系統對這些乘客進行轉碼屬于數據處理錯誤。

2.無法彌補事實認定程序缺失

自動化行政將程序、內容雜糅入代碼的特征一直為學界所警惕，[ 參見胡敏潔：《自動化行政的法律控制》，載《行政法學研究》 2019年第2期，第59頁。]這樣的情況在“健康碼”運行中也同樣存在。行政調查所獲得的信息是行政活動的基礎，[ 參見金自寧：《論行政調查的法律控制》，載《行政法學研究》 2007年第2期，第80頁。]但是這些信息并不能直接成為法律事實，而需要經過事實認定環節，即對相關證據進行質證，再利用經過質證的證據證明事實真偽，在明確真實性的基礎上，相關事實才有可能進一步受到法律的評價。[ 參見王貴松：《行政裁量的內在構造》，載《法學家》 2009年第2期，第36頁。

32]誠然應急行政可以在一定程度上對程序進行縮減或者變通，但是在“健康碼”系統中根本不存在“事實認定”的環節，即將程序壓縮至零，原始數據輸入“健康碼”系統之后，便默認數據庫信息具有真實性，這也是為什么“健康碼”上線四天便有三萬余人申請復核的原因之一， 1“健康碼”服務系統缺少將原始數據轉化為要件事實的機制，即使在“健康碼” 系統已經相對成熟的今天，如果發生數據錯誤，相對人依然只能在錯誤賦碼后申請“健康碼”復核。

由于正當程序的缺失，即行政機關對“健康碼”所“認定”的事實不加辨別地予以認定，不在程序外添加事實認定環節，一旦“健康碼”所收集、處理的數據信息發生錯誤，不論是信息收集階段因自身運行機制原因導致的信息錯誤，還是信息處理階段因“過擬合”導致虛假因果關系引發的信息錯誤，都將最終導致行政決策的偏差或者錯誤，進而侵害相關主體的合法權益。

二、應急處置措施錯位

在長期的行政決策過程中，行政機關存在一定的“偏好”，從風險行政法的角度看，風險規制最大的特征在于風險的不確定性，行政機關面臨“決策于未知” 的難題，[ 參見胡敏潔：《論自動化行政中的瑕疵指令及其救濟》，載《北京行政學院學報》 2021 年第 4 期，第 82 頁。] [ 參見宋華琳：《風險規制與行政法學原理的轉型》，載《國家行政學院學報》 2007年第 4 期，第 61 頁。]面對未知與不確定，行政機關無法判斷什么樣的風險規制活動是有效的，[ 參見金自寧：《風險行政法研究的前提問題》，載《華東政法大學學報》 2014 年第 1 期，第 10 頁。]“健康碼”的出現有利于行政機關有效應對未知的風險，以數據運算的科學性增加行政決策的合法性與合理性，然而這種形式外觀也容易被用于掩蓋行政行為的合法性與合理性瑕疵，將行政機關固有“偏好”內化成為賦碼規則，繼而轉化為代碼，被“健康碼”嚴格執行，對不同風險等級的人員采取與其風險程度不相匹配的應急處置措施，屬于忽視以法律為核心的外部控制機制導致的數據處理失控，導致應急處置措施錯位，行政行為不合理。

（一）行政機關進行“偏好設置”的傾向

2003 年 SARS 疫情防控的實踐證實，行政機關采取應急處置措施具有固有 “偏好”。2003 年《衛生部關于將傳染性非典型肺炎（嚴重呼吸道綜合癥）列入法定管理傳染病的通知》[ 《衛生部關于將傳染性非典型肺炎（嚴重呼吸道綜合癥）列入法定管理傳染病的通知》，衛疾控發〔2003〕84 號， 2003 年 4 月 8 日發布。

33]（以下簡稱《通知》）將疑似病例納入隔離措施對象范圍，又進一步規定對于接觸者在必要時可以采取強制控制措施，突破了 1989 年

《傳染病防治法》法定傳染病目錄的輻射范圍。1同年《北京市人民政府關于對非典型肺炎疫情重點區域采取隔離控制措施的通告》（以下簡稱《通告》），[參見朱芒：《SARS與人生自由——游動在合法性與正當性之間的抗SARS措施》載《法學》2003年第5 期，第 58-59 頁。] [ 《北京市人民政府關于對非典型肺炎疫情重點區域采取隔離控制措施的通告》，京政發〔2003〕11 號， 2003 年 4 月 23 日發布。]將被污染的場所、物品作為隔離措施的對象，超越 1989 年《傳染病防治法》規定的隔離范圍，[ 參見龍宗智：《關于隔離措施的法律制度亟待完善》，載《法學》 2003 年第 6 期，第 35-36 頁。]體現出行政機關傾向于，在欠缺暴露風險與危害結果之間因果關系論證的情況下，對低于《傳染病防治法》、低于《通知》所規定的風險程度的人群、場所、物品，采取上述法律、規范性文件中規定的嚴厲性最強的管控措施。

重新檢視依據賦碼規則被采取應急處置措施的常見情形，部分情形的風險程度不屬于相關法律規范羅列的人員、事項，并未達到相關法律規范提示的風險程度，超越法律規范涵攝范圍。[ 不符合《傳染病防治法》第 39 條第 1 款、第 41 條第 1 款、《突發事件應對法》第 49 條第 2 項所列人員、事項的風險程度。]例如，《河南省健康碼賦碼規則（第二版）》，[ 《關于印發河南省健康碼賦碼規則（第二版）的通知》，豫疫情防指辦〔2021〕68 號， 2021 年 8 月 6 日發布，http： //www. henan. gov. cn/2021/08-24/2299981.html。最后訪問日期：2021 年 12 月 23 日。

34]將次密接者列為“紅碼”人員、將空間伴隨者列為“黃碼”人員，限制相關人員流動自由，應急處置措施的嚴重程度與其自身的性質、特點、危害程度不相適應。

（二）行政機關進行“偏好設置”的結果

1.應急處置措施程度錯位一方面，“健康碼”延續了行政機關對低風險人員采取與之風險程度不相匹配的嚴厲措施傾向，導致人員的風險與其被采取的措施之間不相適應。同時，“健康碼”運算結果成為應急處置措施啟動的羈束性要件，行政機關不再如同無自動化技術時代一般進行個案裁量，甚至“盲從”于“健康碼”運算結果。行政機關 “盲從”自動化技術又大幅度壓縮行政裁量的結果便是增加行政決策出現錯位的可能性。

另一方面，行政機關操縱“健康碼”，將賦碼規則規定的人員以外的人員納入“紅碼”或者“黃碼”管理。例如，黑龍江黑河市愛輝區的防疫實踐顯示，行政機關以戶籍所在地為標準，將具有某一地區戶籍的居民一律認定為“黃碼”人員，認為其具有較高的健康風險，而不論該人員是否在特定時期實際到往疫區。

1如此將全體黑河市戶籍居民納入“黃碼”人員管理的行為，逾越相關法律規定的應急處置措施采取的必要限度，行政行為錯位。[ 行政機關將黑河市戶籍居民的“健康碼”統一變更為“黃碼”。參見《新增4個中風險！黑龍江一地戶籍人員全部“黃碼”》，《黑龍江日報》公眾號，https：

//mp. weixin. qq. com/s/68DzSNNd4bpJeYGdszO1Uw。最后訪問日期：2021 年 12 月 23 日。] [此次被“轉碼”的人員包括異地黑河市戶籍人員，對其賦予“黃碼”限制其岀行乃至責令其居家隔離，違反法律規定，屬于行政行為錯誤。]

2.應急處置措施時限錯位

“健康碼”作為常態化防疫的手段，與《突發事件應對法》構建的突發事件應對動態調整機制存在一定程度的沖突。《突發事件應對法》以應急預案制度、突發事件監測制度、突發事件預警制度為核心，建立起完備的突發事件應對體系，同時也構成對于突發事件應對、應急處置措施采取的限制。行政機關需要依據事態發展，判斷是否宣布進入預警期、是否啟動應急預案、是否調整預警級別，預警級別隨著當地疫情狀況、防疫工作的開展而變化，應急處置措施的對象、程度也隨著是否處于預警期、處于何種級別的預警期內而有所不同。這與“健康碼” 運行機制存在一定程度的沖突，賦碼規則以及相應的應急處置措施并不隨著響應級別的變化而變化。

例如對于被賦予“紅碼”或者“黃碼”的人員，必然被限制進入公共場所，然而依據《突發事件應對法》第45條規定，“限制公共場所活動”以II級及以上預警期內為時間條件。又如依據浙江省“健康碼”的賦碼規則，來重點地區的人員需要被賦予“紅碼”，對“紅碼”人員實施不低于傳染病潛伏期的集中或居家硬隔離醫學觀察，但是依據《浙江省突發急性呼吸道傳染病事件應急預案》， [《浙江省人民政府辦公廳關于印發浙江省突發公共衛生事件應急預案、突發急性呼吸道傳染病事件應急預案的通知》，浙政辦發〔2020） 55號， 2020年10月30日發布。

http： //www. zj. gov. cn/art/2021/11/11/art_1229019365_2373284. html。最后訪問日期：2021 年 12 月 23日。]只有在采取III級及以上響應時，來自重點地區人員才能被納入重點人群，[ 具體包括來自疫點、疫區或疫情中高風險國家（地區）的人員。

35]被采取相應的應急處置措施。如此，“健康碼”提示具有健康風險的人群與實際應該采取應急處置措施的人群存在偏差，行政行為錯位。

第四節小結

為了促使“健康碼”在行政活動中發揮輔助型自動化行政的功能，行政機關構建雙重控制機制規制“健康碼”的運行，但是在實際控制過程中，過度依賴以代碼為核心的內部控制機制，忽視以法律為核心的外部控制機制，使得“健康碼” 運行偏離輔助性的功能定位，具體表現為：

其一，數據收集的過程偏離輔助性功能定位。“健康碼”數據收集超越法定權限，且不能提供相應的保護措施，在一定程度上依據各大數據庫進行數據挖掘，偏離輔助性功能定位。

其二，數據處理的過程偏離輔助性功能定位。賦碼規則的“偏好設置”內化成為“健康碼”對數據的“偏好處理”，導致應急處置措施錯位風險，偏離輔助性功能定位。

其三，結果輸出的過程偏離輔助性功能定位。“健康碼”的運算結果被作為應急處置措施的羈束性啟動要件，使得“健康碼”在實際上發揮決策系統的作用，擴大應急處置措施錯誤風險，偏離輔助型自動化行政的功能。

因此，需要明確“健康碼”在傳統行政活動中的作用、功能，使得“健康碼” 在數字防疫輔助設施的定位上發揮作用，回歸輔助型自動化行政的功能定位。
高校學術論文網提供專業的碩士畢業論文寫作、畢業論文輔導寫作、博士論文寫作發表、碩士論文寫作發表、SCI論文寫作發表、職稱論文寫作發表、英文論文潤色的服務網站，多年來,憑借優秀的服務和聲譽贏得了社會的廣泛認可和好評，為畢業生解決寫論文的煩惱

【本文地址：http://www.bzhlmm.com//guanlilei/xingzhengguanli/3365.html】

上一篇：特朗普政府商業太空戰略發展分析

下一篇：休閑旅游類村莊的公共服務設施配置問題與對策研究 ——以濟寧市尼山三村為例

相關標簽:

最熱期刊