冠状病毒：确保抗击冠状病毒大流行的应用程序完全符合数据保护标准的指南

今天，欧洲委员会发布了开发协助抗击冠状病毒的应用程序所需遵循的数据保护指南。此类应用程序的开发及使用对于抗击疫情有重大的影响，并且同增加检测能力一样，在制定解除隔离措施的政策过程中扮演着重要的角色。与此同时，确保欧盟公民能完全信任此类创新数据解决方案且没有担忧顾虑地去使用它们同样至关重要。广泛的参与和使用才能让这些联系追踪应用程序更好地发挥作用。

欧盟的相关规则，特别是通用数据保护条例(GDPR)和隐私权指令(ePrivacy Directive)，为广泛而准确的使用这些应用程序提供了最高等级的信任度保护，如自愿参与、最小化数据获取、数据时效限制等。该指南旨在提供基本框架以确保公民在使用此类应用程序时个人数据能够得到充分的保护且对个人的信息获取有所限制。该指南的制定征询了欧洲数字保护委员会的意见。即便是在冠状病毒危机中，遵从该指南中的标准也能确保此类应用程序的合规性与有效性。

欧洲委员会负责价值观与透明度事务的副主席薇拉·尤罗娃 (Věra Jourová)表示：“这是首次针对我们遇到的全球性危机可以充分调动科技的力量去提供解决方案并协助大流行结束后的退出策略。欧洲人民的信任是此类联系追踪应用程序能否成功的关键。遵守欧盟数据保护规则将协助确保我们的隐私和基本人权得到尊重，确保欧洲应对方式是透明和恰当的。”

欧洲委员会负责司法事务的委员迪迪埃·雷恩代尔(Didier Reynders)表示：“联系追踪应用程序的使用在发挥其作用抗击冠状病毒方面有着相当的潜力，例如在建立医生和患者之间安全的沟通渠道以协助诊断，预警可能感染病毒的高危人群，协助解除隔离措施等方面。但同时我们也有责任去保护这个过程中收集的非常敏感的公民个人健康数据。与欧盟强有力的数据保护规则相契合，我们的指南将协助这些应用程序的安全开发并保护公民的个人数据。我们会在基本人权被完全尊重的情况下会走出这次疫情危机。”

该指南是最近发布的欧洲委员会建议书暨关于移动应用程序与数据使用的通用欧盟方法的进一步细化。联系追踪应用程序开发的欧盟工具箱也随该指南在今日发布。

针对何种应用程序及功能？

该指南重点针对有以下单一或多种功能的自愿参与使用的应用程序：

• 为使用者提供准确的冠状病毒疫情信息；
• 提供自我评估的问卷调查和个人建议(症状查询功能)；
• 预警可能接触冠状病毒感染者的人群，并指导他们获得检测或自我隔离(联系追踪及预警功能)；
• 给自我隔离的患者和医生提供沟通平台，含进一步的诊断和治疗建议(远程医疗功能)。

开发针对冠状病毒疫情的应用程序的主要前提要件：

• 国家医疗卫生监管机构的职责：应用程序开发初始就必须明确欧盟个人数据保护规则的合规性责任主体。鉴于信息的高度敏感性和应用程序的最终目的，欧洲委员会认为此合规性责任主体的角色应由各国医疗卫生监管机构承担。各国医疗卫生监管机构应确保在个人数据收集使用及处理的过程中，满足通用数据保护条例的合规性要求。
• 使用者对其个人数据拥有完全控制权：此类应用程序的安装应建立在自愿的基础上；使用者应能够对应用程序提供的每一种功能单独授权。若距离信息被使用，这些信息应被处储存在个人设备上，且仅当使用者授权同意时才可被分享。使用者应该能够根据通用数据保护条例行使其权力。
• 个人数据的有限使用：应用程序应当遵守最小化数据获取原则。根据原则，应用程序只应请求获取与服务相关的个人数据，并严格按照获取数据的目的处理该数据。欧洲委员会认为位置信息并非联系追踪所必需，进而不建议使用位置信息提供联系追踪服务。
• 严格的数据存储限制：个人数据的保存不应超过必要的时效限制。时效限制的判断应基于数据的医疗相关性，同时参考政府措施的实际时间需要。
• 数据安全性：数据应被加密存储在个人设备上。
• 确保被处理数据的准确性：根据欧盟个人数据保护规则，由第三方处理的个人数据必须是准确的。最高的准确性对联系追踪应用程序的效率至关重要。为了确保最高的准确性，应使用诸如蓝牙等技术来更准确的评估个人之间的联系。
• 国家数据保护监管机构的参与：数据保护监管机构应充分参与应用程序开发的过程，提出相应的意见与建议，并负责审查应用程序的开发。

背景

今天， 在欧洲委员会的支持下，欧盟成员国发布了联系追踪应用程序的欧盟工具箱，进一步细化并落实被采纳的欧洲委员会建议书暨抗击冠状病毒疫情的移动应用程序与数据使用的通用欧盟方法。为了依照欧洲数据保护规则确保欧洲公民的个人数据得到充分的保护，该指南同工具箱一同发布，用以协助此类应用程序的开发和后续各国医疗卫生监管机构对数据的使用。