健康码是否存在数据安全风险？专家：未授权扫码或会泄露信息

在后疫情时代，健康码的使用已经成为我们的日常。在采集了很多个人信息之后，健康码是否存在数据安全的风险？

10月13日，2020小蛮腰科技大会在广州举行。在南都承办的“深谋远虑·后疫情时代的大数据应用与隐私保护”分论坛上，中国电子技术标准化研究院信息安全研究中心数据安全部主任胡影作了题为《健康码数据安全指引》的演讲。

中国电子技术标准化研究院信息安全研究中心数据安全部主任胡影。摄/南都记者 冯宙锋

新冠疫情以来，健康码助力疫情防控和复工复产，发挥了非常大的作用。胡影介绍，大部分的健康码是一种动态码。个人健康状况生成的信息会生成相应的网址或者数据访问接口，然后被编码成一个二维码的形式。

健康码一般会收集用户的身份信息、行程信息、居住地以及接触信息、健康信息等。她还介绍，除了用户主动提供信息这种直接采集的方式，有的健康码也会间接获取信息。“用户会发现有的健康码让用户填写的信息很少，是因为很多政府部门比如交通、卫生等已经共享了一些信息。”胡影说。

对于健康码是否存在数据安全的风险的问题，胡影从健康码申领、制码、亮码以及扫码的整个流程进行了分析。她表示，首先采集信息会面临超范围收集的问题，比如有的健康码会多收集信息或是强制收集人脸信息。此外，在亮码的时候，未授权的扫码可能会造成个人信息的泄露，因为扫码就相当于获取了个人的信息。

前段时间，杭州的“渐变色”健康码和苏州在“苏城码”基础上推出的“文明码”引发网友热议，大众对于健康码是否会常态化使用十分关注。

胡影表示，疫情期间，隐私保护是让渡于公共卫生健康的，属于授权例外的情况。但在后疫情时代，公共卫生健康和隐私保护平衡的问题日益凸显，需要更加加强隐私保护。

对于健康码的数据安全风险，目前我国相关政策以及国家标准已经有了一些回应。胡影介绍，4月份以来已经陆续出台了三个关于个人健康信息码的国家标准，如《个人健康信息码 数据格式》《个人健康信息码 应用接口》等。

此外，她还提到，除了中央网信办发布的《关于做好个人信息保护利用大数据支撑联防联控工作的通知》、国家标准《信息安全技术 个人信息安全规范》外，8月底，全国信息安全标准化技术委员会还发布了国家标准《信息安全技术 网络数据处理安全规范》的征求意见稿，对网络运营者如何在突发公共卫生事件中对个人信息进行保护单列了一个小节。

南都记者注意到，上述征求意见稿中规定，指定机构收集、调用个人信息应坚持最小化原则，一般只限于个人信息主体的联系方式、位置、行踪信息；此外，根据应对突发公共卫生事件实际需要，严格限定调用个人信息的范围、规模、数量以及行踪信息的回溯时间跨度。

征求意见稿还规定，指定机构在提供信息服务过程中，以人脸识别作为身份验证方式时，原则上应提供其他身份验证方式供用户选择。

采写：南都记者 李慧琪