2020年伊始,我国武汉市爆发了新型冠状病毒引发的肺炎疫情,并迅速席卷全国,形成突发公共卫生事件,对人民的生命健康造成巨大威胁。在应对突发公共卫生事件的过程中,行政机关不可避免的利用公民个人信息进行疫情防控工作,主要表现在收集和公开两种行为。行政机关通过收集公民个人信息,第一时间追踪可能有感染风险的公民,制作疫情通报,以维护公共利益。但是,行政机关在利用公民个人信息应对突发公共卫生事件的过程中,暴露出来了一些问题。首先,行政机关利用公民个人信息的行为缺乏科学性。该问题主要体现在两个方面:一是收集标准不明确。在防疫工作中,行政机关及其授权组织为了给居民办理“出入证明”,收集了公民血型、婚姻状况等于疫情防控无关的个人信息;二是信息被无用公开。以成都市疫情通报为例,相关通报中将患者姓名、年龄等信息随其行动轨迹一并公开,导致其生活受到了严重的影响。二是救济不充分。在行政法领域,当公民认为其利益受到行政机关的行政行为损害时,可以通过行政诉讼或行政复议来救济。但是,无论是《行政诉讼法》还是《行政复议法》,都未明确将行政机关利用公民个人信息失当作为受案范围,只能依靠兜底性条款和法官自由心证,存在无法救济的可能;行政诉讼和行政复议耗费时间较长,公民个人信息因行政机关的错误利用已经长时间暴露在公众视野中;同时,由于《国家赔偿法》中并未将行政机关错误利用公民个人信息导致公民利益受损作为赔偿适用范围,公民无法得到有效的救济。为解决该问题,笔者参考了美国和日本相关领域立法现状,并提炼出其制度中值得参考的部分:美国HIPPA法案虽然关注的是保险领域的公民个人信息保护,但其详尽周密的个人信息去识别化规定和对于信息利用的安全性规定十分具有参考价值。一方面,该法案制定了详细的去识别化步骤,包括隐去公民姓名、州以下的地址、电话号码,传真号码,电子邮箱地址,社会保障号码,病历号码,健康计划受益人号码,账号,证件或许可号码,车辆识别码和序号,设备识别码和序号等;另一方面,HIPPA法案规定了行政机关对公民个人信息所负有的安全职责,包括对工作人员进行安全培训、保证储存安全等。日本最具有特色的是其“个人信息保护委员会”制度。该委员会为独立机关,其主要职责是对行政机关进行指导、监督和检查;承认并监督认证机构对个人信息的保护;设立专门窗口受理有关个人信息的投诉,解答相关法律问题;它还评估使用个人电话号码和其他信息的行政机关和企业的个人信息保护和风险应对系统等。结合上述研究成果,笔者提出了完善我国突发公共卫生事件中公民个人信息制度的建议:第一,制定利用公民个人信息的准则。由于不同行政机关职能不同,所需要的利用的公民个人信息范围也就不同,因此可以按照公共利益保护原则、比例原则、正当程序原则和安全原则,制定本部门的公民个人信息利用规则,并对公民个人信息进行分级化和去识别化处理;第二,我国已经出台《个人信息保护法》草案,其中规定了各级网信部门为个人信息保护职责部门,笔者认为可以在其框架内,效仿日本,设立“个人信息委员会”,其职责为向行政机关利用公民个人信息的行为提供指导,以及为公民提供便利的救济渠道。其组成人员应由常设人员和非常设人员组成,常设人员独立行使职责,非常设人员主要由被监督的行政机关派出工作人员参与审查活动,此外还应当有律师参与;第三,修改《行政诉讼法》和《行政复议法》,明确将“行政机关利用公民个人信息不当”作为受案范围,同时修改《国家赔偿法》,将“行政机关利用公民个人信息不当造成公民利益损害”作为赔偿范围。