健康码三年后退场，专家建议这类隐私数据应销毁或封存

随着新十条提出“不再对跨地区流动人员查验核酸检测阴性证明和健康码”，伴随了大家三年的健康码正逐渐退出日常生活。

国务院联防联控机制近日发布的《关于进一步优化落实新冠肺炎疫情防控措施的通知》，提出除养老院、福利院、医疗机构、托幼机构、中小学等特殊场所外，不要求提供核酸检测阴性证明，不查验健康码。重要机关、大型企业及一些特定场所可由属地自行确定防控措施。不再对跨地区流动人员查验核酸检测阴性证明和健康码，不再开展落地检。

“看演出的时候，三道门都不用查验健康码了，就在最后的入闸口电子扫了绿码作场所码。”新十条发布后的第3天，上海市民陈先生告诉第一财经。

小小的健康码，过去三年和每个人的日常生活紧密相连，作为一种技术辅助手段，也为开展疫情防控工作提供了重要保障。随着“新十条”的落地，跨地区通行及公共场不再查验健康码，健康码是否会彻底退出历史舞台？这些积累的数据该如何处理？

应该销毁部分个人信息数据

作为数字治理基础设施，健康码的诞生也是数字社会建设国过程中的标志性事件。追其起源，都是率先诞生在两款互联网平台企业的移动app支付宝和微信上，以用来帮助地方政府投入抗疫，民众也让渡了一部分个人隐私来支持疫情防控。

从种类上来看，健康码大致包含了个人基本信息、个人健康信息、行程信息、健康证明信息四类。随着健康码的普及应用，在后续升级改造中合并了诸如核酸检测证明，疫苗接种证明，以及场所码、复工码、货运码等信息。

微信健康码的技术团队带头人，上海交通大学特聘教授、人工智能研究院副院长马利庄曾对记者解释，健康码首先包含民众的身份核实，这个时候一般会运用远程光线活体检测技术进行识别，捕捉到人脸信息后台快速计算比对完成远程核实，以此保障用户身份的真实性防止做假。健康码还可以附带核酸信息、位置信息等，比如场所码就是健康码和通讯位置信息绑定起来的。系统开发和执行人员对于转码等都是没有权限的，“红码、黄码、绿码这种转码工作是归行政部门管。另外包括用户识别用的人脸信息这种隐私，也不会在系统留存。”

而这些个人数据信息，有一部分例如身份等在疫情开始之前就已由相关部门采集，一部分则是疫情后才诞生，比如核酸信息、场所码等。

“真正属于疫情后采集的数据，主要是核酸检测数据和和场所码信息，现在关键是这两类留存的数据接下来怎么办。”复旦大学国际关系与公共事务学院教授、数字与移动治理实验室主任郑磊接受第一财经记者采访时表示。

对于个人信息的处理，从国家乃至地方都出台了明确规定。

根据《个人信息保护法》总则第六条：处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息。

国务院联防联控机制综合组在2021年1月印发的《新冠肺炎疫情防控健康码管理与服务暂行办法》，第二十四条明确加强个人隐私保护，为疫情防控、疾病防治收集的个人信息，不得用于其他用途。第二十九条明确，任何组织和个人发现违规违法收集、利用、公开个人信息的行为，可以及时向网信、公安部门举报。

今年5月24日起施行的《上海市人民代表大会常务委员会关于进一步促进和保障城市运行“一网统管”建设的决定》，明确信息核验中采集、处理个人疫情防控信息应当遵守个人信息保护相关法律、法规的规定，采集的个人信息仅用于疫情防控需要，任何单位和个人不得泄露。

“随着新十条的落地，类似核酸信息、场所码等数据都应该销毁、封存或者彻底脱敏。以前手机通讯信息就是经过严格脱敏的，在公共应急事件例如节假日景点游客众多等情形下会对人流量进行提示，但这些分析预测和预警不会关联到具体某个人。”郑磊解释。

而如今的场所码包含更多个人的隐私信息，一些省市也已经严格执行定期销毁场所码，“场所码的采集目的是为了流调，信息都具有时效性，过了这个时间后信息都需要销毁。”他告诉记者，最重要的是，随着健康码跨区域流动查验的取消，健康码平台下融合的各类信息也应回归到只能由原相关部门依法管理和使用，不再共享，而场所码的信息采集也理应退出。

健康码应该聚焦便民服务

虽然叫健康码，但健康码在疫情发生以来一直是作为一种和风险指数绑定的二维码，代表着接触过什么人，去过什么地方。随着“新十条”的落地，健康码理应回归便民服务的本源，民众自愿使用。

“未来健康码首先应该回归到出于卫生健康的目的而使用，比如说就医没带医保卡，用健康码刷医保卡扫码挂号付费等。”郑磊认为，疫情总会过去，而民众养成的使用能力和习惯以及过去几年累计的技术和应用基础，也可以借此转换为居民的电子ID或者电子名片，用来预约进入图书馆、博物馆，到政府办事。

“比如我们去办事总是要带户口本、房产证等纸质证书，如果推行二维码关联，扫码后这些信息能一目了然，再也不用带繁琐纸质的证明。”在郑磊看来，健康码未来的应用场景可以朝这个方向推行的，并且是非强制性使用，只是给民众提供一个多样选择。

同时他强调，在日常状态下，健康码就只用来方便看病用，相关行政部门和企业后台的数据不应再像疫情期间一样集成到健康码下，需要各自归口做好治理和利用，“比如医疗部门就不需要知道我的交通出行信息”。

郑磊说，数字治理体现在日常的方方面面。推进数字治理的过程中，不仅需要考虑建怎么建等技术性操作性问题，更需要思考为谁而建、为什么建、由谁来建以及什么不应该建等原则性、根本性问题。

“当健康码在未来转型为一个便民码的同时，要坚持有所为有所不为，而且是依法为和依法不为，没有得到个人授权不能随便使用，对于数据的治理和保护都要承担起法律责任。”郑磊说。

要钱还是要命？医院遭勒索攻击暂停手术，转移重症患者

想象一个场景：你正躺在手术台上，医生和护士们都已经消完毒，换好无菌手术服准备进行手术，此时医院的数字化系统遭到勒索组织的攻击，关键的数字化系统已经被加密，不少手术设备直接无法再使用。此时，勒索攻击者开出了解密系统的赎金，医院可以选择不支付赎金。但对于急需手术的病人来说，无异于是一场“谋杀”。

在数字化道路上狂奔了十年的医疗行业，也许正在成为勒索组织眼中一个装满黄金的保险箱。Obrela最近的一项调查发现，81%的英国医疗组织在2021年遭受了勒索软件攻击。此前某医疗机构CEO就曾表示，“除了自然灾害外，网络安全是诊所面临的头号风险。”2021年，爱尔兰全国卫生系统遭受勒索软件攻击，其相关负责人表示恢复成本可能超过6亿美元。而《医疗行业勒索病毒专题报告》的数据显示，我国有247家三甲医院检出了勒索病毒，以广东、湖北、江苏等地区检出勒索病毒最多。

在2022年最后的一个月，我们观察到勒索组织对于医疗机构的攻击变的更加频繁起来，对于病人的影响也越来越明显，甚至会导致医院关闭，手术暂停的严重后果。

美国第二大医疗机构遭攻击，泄露62万用户数据

当地时间12月1日，美国美国第二大卫生系统CommonSpirit Health 对安全事件的最新内部调查结果，承认在10月份发生的勒索软件攻击中，不仅当时医疗机构的IT系统被瘫痪，还有超过62万患者的敏感数据被窃取。

据悉该机构在21个州运营着140家医院和1000多个护理点，因此其运营中的任何中断都具有广泛的影响潜力。泄露的患者信息包括姓名、家庭住址、电话号码、出生日期以及在该医院内使用的ID号码。

CommonSpirit Health 尚未透露进行此次攻击的勒索软件组织，也没有任何犯罪活动声称对此负责。事件发生后，该医疗机构承诺会将数据泄露通知给每一位用户，但当时没有透露受影响患者的人数。

毫无疑问，如此敏感的数据被攻击者窃取，不论这些信息是在暗网上兜售，还是以此为基础进行大范围的欺诈，患者本人及其亲属大概率面临严峻的钓鱼邮件攻击或者电信欺诈，这样的操作在历次的信息泄露事件中已经十分常见。而调查结果显示，一份包含保险文件、医疗文凭、医生执照和DEA许可证的医疗信息在暗网上售价约500美元，丰厚的利润让攻击者动力十足。

因遭受勒索攻击攻击，病人等待12小时才能看病

个人敏感信息泄露还只是医疗机构被勒索攻击影响较小的一种，更严重的是，勒索攻击往往会加密医院的数字化系统，直接导致医院陷入瘫痪状态，大大降低了医生看病问诊的时间，无数亟待救治的病人将因此无法得到及时的治疗，将直接引起更加可怕的“灾难”。

11月底，跨国医疗保健机构Keralty 跨国医疗保健遭受了 RansomHouse 勒索软件攻击，扰乱了该公司及其子公司的网站和运营。随后，勒索组织向Keralty公布了赎金，但是该医疗机构并未支付，因此只能被动承受勒索攻击带来了巨大影响。

Keralty 是哥伦比亚的一家医疗保健提供商，在拉丁美洲、西班牙、美国和亚洲运营着一个由 12 家医院和 371 个医疗中心组成的国际网络。该集团拥有 24000 名员工和 10000 名医生，为超过 600 万患者提供医疗服务。

在遭遇勒索攻击后，Keralty 及其子公司 EPS Sanitas 和 Colsanitas 的 IT 运营、医疗预约安排及其网站都受到了干扰。而最严重的当属IT系统中断带来的恶劣影响，不少患者甚至排队就医时间甚至已经超过12小时，一些患者因缺乏医疗护理而晕倒，极大地影响了患者就医秩序和危重病人的救治时间。