作者簡介：查云飛，法學博士，浙江大學光華法學院講師。杭州 310008
內容提要：疫情背景下，行政機關只有充分掌握信息才能做出有效防控，健康碼以大數據分析的方式評判個人疫情風險，為行政機關的應急決策和行動提供支撐。健康碼雖然解決了反復登記、信息碎片化、信息流轉慢等問題，但存在數據質量瑕疵、標準和算法不透明、地域限制等技術障礙。從規范的角度看，生成健康碼在行為類型上屬于行政評級，過程為自動進行，方式是對個人信息的處理，須遵守行政評級、自動化行政和對個人信息的處理這三個概念所內含的法治要求。利用健康碼是為了分類監管，應將各地有關管理規定作為裁量基準看待，在個案中起到裁量壓縮的作用，同時不排除裁量收盡的可能，但要防止將健康碼的結果視為絕對標準。
關 鍵 詞：疫情/應急行政/風險/自動化評級
標題注釋：本文系2019年中國法學會法治研究基地浙江公法研究中心項目的研究成果，受中央高校基本科研業務費專項資金資助。
一、引言
現代行政乃信息行政，行政機關扮演著信息中心的角色，負責信息采集、儲存、分析、分享以及決策等工作。①在疫情背景下，由于傳染病具有突發性、隱蔽性和易傳播性等特點，行政機關只有充分掌握信息才能作出有效決策。為此，中央網絡安全和信息化委員會辦公室于2020年2月4日專門頒發了《關于做好個人信息保護利用大數據支撐聯防聯控工作的通知》，鼓勵企業在政府部門的指導下，在注意個人信息保護的同時，利用大數據分析預測確診者、疑似者、密切接觸者等重點人群的流動情況，為聯防聯控提供大數據支持。隨后，上百個地方人民政府與互聯網技術企業合作開發了各自版本的健康碼，要求所在地人員申領，并將該碼作為是否采取隔離措施、限制使用交通工具、限制進出公共場所以及批準復工復產的判斷標準。
政府聯合企業推廣健康碼，不僅是公私合作的體現，也是數據治理(data governance)的直接表現。數據治理，包括對數據的治理和利用數據治理，前者關注數據的質量和安全，后者是以數據分析的方式為政府的決策和行動提供支撐的一種機制，這樣的治理機制在大數據時代越來越普遍。②健康碼由個人提交的敏感信息和后臺的公共大數據自動比對而成，紅碼、黃碼和綠碼代表了個人的疫情風險等級，這些由個人疫情風險等級匯聚的數據集合宏觀上反映了當地的疫情風險狀況，有利于政府在防控疫情和恢復建設方面精準和有效地進行決策。微觀上而言，健康碼作為個人的“電子健康證明”，在具體場景中能為基層防疫部門和社會私主體提供判斷依據。然而，治理角度的有效性并不等同于規范上的合法性，健康碼在行政法上的法律性質如何界定，其應遵守何種法律邊界？這都需要從規范的角度進行分析。在展開分析之前，有必要對健康碼這一新生事物的運作機理和特點予以明晰。
二、健康碼的運作機理及其特點
(一)健康碼的基本原理
健康碼，即負載持有人疫情風險等級信息的二維碼，其生成分為個人申報、后臺分析和最終發碼三個階段。③首先，申請人須如實填寫個人信息，涵蓋姓名、手機號碼、是否在申領地、當前所在地區、詳細地址、14天內是否離開過當前城市、14天內有無接觸病人或疑似病人、當前健康狀況等。提交后，系統將這些信息與后臺大數據分析比對，標準由行政機關設定，算法由技術公司提供。最后，疫情風險等級以紅、黃、綠三色可視化呈現，該等級并非一成不變，系統將動態評估。④不同的風險等級意味著不同的法律后果，在首次判定風險等級后，紅碼和黃碼持有者得分別實施14天和7天的集中或居家隔離，只有綠碼持有者才免于隔離。不僅如此，該風險等級結果還被用于其他場景，成為判斷是否允許進入公共場所、乘坐公共交通工具和復產復工等情況的標準，是疫情期間區別對待的最重要憑證之一。
(二)健康碼的功能
行政機關可利用健康碼負載的信息動態管理，相比紙質登記和分散掃碼登記，健康碼具備如下優勢：
第一，有利于解決因多次登記帶來的信息重合問題，也有利于解決分散登記帶來的信息碎片化問題。在應用健康碼之前，相對人在各個流動節點都得登記。雖然在所居住的社區或者村落范圍內，可通過紙質的“出入證”自由出行，一旦離開該范圍，則每一次公共出行和場所出入都需要登記。如此多的信息重復填寫大大增加了行政工作量，一次申報即可獲取的健康碼有效解決了該問題。同時，重復申報意味著信息的碎片化，單次登記僅能反映相對人的靜態狀況，無法描繪其動態變化。
第二，有利于信息流轉共享，公平統一地判定個人的疫情風險等級。健康碼為一人一碼，其易讀取、易流轉的特性使得該碼可供所有公共行政主體和社會私主體使用，而且該碼僅呈現風險等級，申報人無須再次提供該碼生成背后所需的諸多個人信息，降低了信息泄漏的可能。因技術后臺基于同樣的算法生成健康碼，保證了在使用健康碼時根據不同的風險等級作出不同的處理，評判標準統一，在此意義上，行政機關推廣健康碼落實了憲法上對平等權的保護義務。
第三，有利于政府提高監管的效率和準確性，因人而異采取分類監管措施。⑤在應急行政中，行政機關必須從危險應對擴大至風險預防，將所有人作為風險責任人對待，同時兼顧行政效率。健康碼是結合申報人提供的信息和后臺大數據比對后得出的評價，可將復雜繁重的監管問題大為簡化，只需根據風險等級制定不同的監管方案，在此基礎上再因人施策，運用得當將真正有效地實現應急處置有效與合法的統一。
(三)健康碼的局限
第一，生成健康碼的數據質量有瑕疵。健康碼的生成依賴兩部分數據，一部分為申請人自主填寫，另一部分為行政機關所掌握的公共數據，這兩部分數據都可能存在質量瑕疵。⑥個人填寫部分，包括了申請人的行蹤軌跡和健康狀況，若申請人故意隱瞞行程和病情，則該部分信息為無效失真信息。⑦技術公司開發健康碼時，被授權接入公共數據，鑒于當前各主體間普遍存在著數據壁壘，數據共享的現狀并不理想，后臺數據的完整性也不能保障。此外，公共行政主體所掌握的數據，也包括人工采集的部分，該部分數據的準確性和一致性同樣不能確保。基于部分瑕疵數據作出的自動化決策，其結果不能作為絕對標準，只能作為參考。
第二，生成健康碼過程中存在標準和算法不透明的情況。技術后臺基于哪些數據比對分析，對各類數據如何賦值，在數據沖突時如何處理，風險等級的評定標準具體如何以及動態調整有哪些依據，這些由行政機關設定的標準并未公開。⑧技術公司受行政機關委托開發健康碼，所使用的算法也并不透明，被算法支配的信息申報人無從知曉。⑨從針對健康碼出現不少申訴的情況來看，算法至少存在一定程度的偏差，技術人員與非技術人員對其都無從審核。
第三，使用健康碼受到一定的地域限制。推廣健康碼初期，存在著一地一碼的現象，即申請人每到一地都需要申請當地的健康碼，而且各地健康碼反映的風險級別可能并不一致。原因在于，生成健康碼時所需要比對的公共數據庫存放于各地，各地行政機關確定的評判標準不一致，技術公司采用的算法也不一樣。而健康碼的功能之一便是在管控疫情的同時為人員流動提供便利，重復申請有違健康碼的應用初衷。為解決該問題，在區域行政法意義上，多地達成了健康碼的互認協議，國務院也制定了《全國一體化政務服務平臺防疫健康信息碼接口標準》，并建立了健康碼的信息跨省互認機制，異地健康碼可被驗證并自動轉化為當地健康碼，實現了“一碼通行”。
三、生成健康碼的法律性質：基于個人信息的自動化評級
根據《突發公共衛生事件應急條例》第41條的規定，對傳染病暴發、流行區域內的流動人口，屬地人民政府應當做好預防工作，落實有關衛生控制措施。站在風險預防的角度，行政機關只有盡可能全面掌握風險信息，才能作出有效決策，做好預防控制工作。⑩健康碼正是出于風險預防的目的而出現，乃我國首次在應急行政中掌握全民疫情風險信息的一次嘗試。風險預防的目的一般是合法的，但并不意味著其手段同樣合法，若手段超過法律設定的邊界則不得使用，通過生成健康碼掌握全民的疫情風險信息，這樣的風險治理手段須經得起合法性審查的檢驗。生成健康碼，在行政法上的行為類型屬于行政評級，其過程是自動進行的，其方式是對個人信息的處理。為明晰生成健康碼時應注意的法律界限，首先剖析行政評級、自動化行政和對個人信息的處理這三個概念。
(一)行為類型：行政評級
生成健康碼在行為類型上符合行政評級的特征。行政評級，是指行政機關設定一些簡明的評價標準，結合相對人的相關信息或者過往的行為予以定性評價，在此基礎上可進行相應分類監管。(11)行政評級已被廣泛運用于各個領域，例如餐飲業的衛生等級評定、納稅人的納稅信譽等級評定、行政審批中介機構等級評定以及備受爭議的社會信用評價等。如此普遍運用行政評級，主要原因在于該行為簡化了復雜的行政監管，提升了行政效能，增加了行政透明度，實現了執法優化。(12)
從行政過程看，行政評級分為標準制定和評價賦值兩個階段。在標準制定階段，又可分為兩種情形，一種是行政機關自行設定指標體系，另一種是首先由第三方機構制定標準，行政機關再予以認可，此處存在公私合作的現象。在評價賦值階段，行政機關通過已有的信息，包括相對人的靜態信息和某一時間段內相對人的動態信息，結合制定標準予以評估分級。早期的健康碼屬于企業產品，行政機關介入后便主導了標準制定，企業只負責提供算法，可基于個人填報信息和后臺數據庫信息完成疫情風險評級，此評級行為由行政機關作出。
從行政結果看，行政評級是行政機關在職權范圍內，以等級、分值或者符號等形式要素給監管對象作出定性評價，屬于針對特定人在特定事項上作出的單方行為。問題是，該行為是否直接引起了行政法律關系的產生、變更或者消滅？有學者認為，行政評級確認了相對人一定期限內遵守法規范的程度，例如社會信用評價即是根據相對人守法狀態所作的確認性評價，所以該種行政評級符合行政確認的特征。(13)但健康碼的生成與相對人是否遵守法律規范并無關聯，不存在確認基礎。健康碼這樣的行政評級無法歸類于行政確認，在性質上與酒駕檢測和車輛年檢接近，實質上是通過大數據技術出具的“健康證明”，后者一般由醫療專業機構形成，健康碼則是由行政機關委托技術公司形成。所以，無論評價的結果是積極的還是消極的，生成健康碼本身都沒有直接引起行政法律關系的產生、變更或者消滅，應作為行政事實行為對待。(14)
(二)行為過程：自動化行政
生成健康碼在過程上是自動進行的，可被自動化行政覆蓋。廣義上講，只要行政機關在行政活動中使用了電子技術設備，都可稱為自動化行政。為避免概念的泛化，自動化行政應從狹義層面理解，即行政的大部分活動或者全部活動由機器完成。(15)實踐中，大量行政活動正進行著自動化改造。2016年起國務院開始推進“一站式在線政務服務平臺”建設，諸多行政許可、行政確認、信息公開事項都可以網上申請和辦理，如“最多跑一次”“讓數據多跑路，群眾少跑路”“不見面審批”都是自動化行政帶來的改革成果。該現象也出現在行政執法領域，電子警察和電子城管不僅發揮著取證功能，一旦配備人臉識別或者感應技術，就具備了發現和調查案件的能力，可替代人力完成行政檢查和行政調查工作。在規范化執法的要求下，行政機關還將制定的裁量基準電子程式化，執法人員只需在執法設備中輸入或者勾選事實要素，機器便能自動得出裁量結果。(16)
自動化行政也可能帶來法律風險，尤其是信息處理的風險、對個人隱私和數據保護的侵擾風險、算法不透明的風險等。(17)自動化行政還引發了傳統行政行為理論的革新，出現了“全自動行政決定”的概念，為防止由機器作出的全自動行政決定侵害相對人的權益，德國已經通過立法予以限制。2017年，德國修改《聯邦行政程序法》，于第35條之一處設置了“全自動行政決定”條款，提出了嚴格的適用要求。首先，只有法律明確授權，行政機關才可通過機器作出全自動行政決定；其次，全自動行政決定僅適用于羈束行為，排除了裁量情形；最后，相對人在全自動行政程序中享有知情權、選擇適用權、要求人工介入權，也包括有效及時的法律救濟權。(18)不過，德國尚未對全自動行政事實行為進行立法約束。
健康碼經由機器自動化決策生成，行政機關先將評判標準程式化，然后相對人在線提交信息并申請，最終由系統自動分配不同顏色標識的二維碼。在過程上，健康碼的生成是自動完成的，且由行政機關主導，服務于行政目的，因此可歸屬于自動化行政。如前所述，健康碼的生成是對現有個人信息的形成性分析評價，并未直接引起行政法律關系的產生、變更或者消滅，所以健康碼的自動生成屬于全自動行政事實行為。雖然尚未有立法例對全自動行政事實行為進行限制，但仍需注意自動化行政的一般風險，尤其是須注意個人信息保護法上的規定。
(三)行為方式：對個人信息的處理
生成健康碼在方式上是對個人信息的處理。個人信息處理，包括對個人信息的收集、使用、加工、共享、轉讓、跨境傳輸、去識別化、匿名化等操作。(19)從個人信息保護法的角度審視，生成健康碼必須遵守個人信息保護的一般原則，《網絡安全法》第41條確立了合法、正當、必要原則，學理上拓展為合法、目的明確、透明、必要適宜等原則。(20)
首先，合法原則要求行政機關為履行法定職責，在職權范圍內處理個人信息，所以作為限制個人信息權的職權行為應滿足法律保留的要求。在應急行政下法律保留也不得突破，《突發事件應對法》第69條規定，在進入緊急狀態前，得先采取法律、法規、規章所規定的應急措施，明確指出法律保留原則適用于應急措施。(21)而當前健康碼的生成所依據的都是各地人民政府頒發的行政規定，在授權依據層級上存在偏低的情況。其次，目的明確，是指個人信息的收集得具備清晰特定的目的，限制概括性的目的或者留存式的目的。(22)防控疫情屬于概括性目的，判定是否采取隔離措施、是否限制使用公共交通工具、是否限制進入公共場所等則是清晰特定的目的，只能從這些清晰特定目的出發才可收集個人信息。另外，透明要求在處理個人信息時的過程和方式必須清晰，使個人能夠查詢、更正、提出異議。如前所述，健康碼的生成過程中存在著標準和算法不透明的問題，分析比對時使用了哪些公共數據庫，算法是否符合國家標準，其偏差性如何，信息主體無從獲知，因此也無法查詢和更正生成過程中所利用的個人信息，只能通過技術公司提供的申訴渠道對健康碼的結果提出異議。最后，必要適宜，是指行政機關在處理個人信息時，采取符合目的且對于相對人權利侵害最小的手段，該手段不得超過目的達成所要求的邊界。由中央網絡安全和信息化委員會辦公室頒發的《關于做好個人信息保護利用大數據支撐聯防聯控工作的通知》中明確提出，收集聯防聯控所必需的個人信息應堅持最小范圍原則，收集對象原則上限于確診者、疑似者、密切接觸者等重點人群，一般不針對特定地區的所有人群。而健康碼面向所有人推廣，其采集信息范圍覆蓋所有人，在必要性上健康碼的生成也存在瑕疵。
此外，對個人信息的處理可能通過自動化的方式進行，為避免信息主體淪為純粹的被評價客體，法律上對其予以了特別限制。(23)例如，《歐盟一般數據保護條例》第22條規定，針對個人人格特征的評判(例如征信)，原則上應禁止信息系統的自動決策，除非取得信息權利主體的同意，或者信息責任機關告知了權利主體并能為其提供適當的措施保護其正當利益。我國目前尚未有個人信息保護的一般法，但全國信息安全標準化技術委員會在2017年底頒發的《信息安全技術個人信息安全規范》提及應當“約束信息系統自動決策”。按其規定，“當僅依據信息系統的自動決策而做出顯著影響個人信息主體權益的決定時，個人信息控制者應向個人信息主體提供申訴方法”。另外，2019年由公安部網絡安全保衛局聯合北京網絡行業協會、公安部第三研究所發布的《互聯網個人信息安全保護指南》也有相關規定，為保護個人信息主體對本人信息的控制權，在涉及給用戶帶來法律后果的全自動行政決策類增值應用時，應獲得用戶的明確授權。健康碼的生成屬于自動化方式的個人信息處理行為，行政機關鼓勵相對人生成健康碼，生成健康碼是基于申請人同意的。而且，技術公司受行政機關委托，提供了針對健康碼異議的申訴渠道，可以及時有效地提供救濟。因此，在個人信息的自動化處理方面，健康碼的生成滿足了國家標準和保護指南提出的基本要求。但從整體看，由于健康碼的生成在遵守個人信息保護一般原則處存在不足，其在合法性方面仍然存在完善的空間。
四、利用健康碼：壓縮裁量空間
健康碼生成后，行政機關可在疫情防控中進行分類監管，即涉及利用健康碼的問題。實踐中行政機關根據健康碼的不同結果直接作出不同的行政決定，包括是否采取隔離措施、是否允許出行、是否允許復產復工等。結合行政法理論，健康碼的管理規定在利用階段發揮了裁量基準的功能，健康碼在個案中應起到裁量壓縮的作用，但不能將其作為絕對標準對待，當然也不排除裁量收盡的可能。
(一)應急行政需要裁量基準
立法者在制定法規范時，為行政機關保留了一定的決定空間，在此行政機關享有自我決定的權力，即自由裁量權。隨著依法行政的不斷深化，行政機關的自由裁量權將逐漸轉變為法定裁量權，即行政機關所有的裁量活動都應在法之下，受到法的約束。(24)行政機關除了在個案中行使裁量權，為了達到同案同處理的效果，還可事先制定裁量基準將法規范提出的裁量要求具體化，從而形成法規范——裁量基準——個案裁量的路徑。從憲法的角度看，行政機關制定裁量基準是為了落實憲法上對平等權的客觀保護要求。(25)從行政過程的角度看，行政機關通過裁量基準進行了自我約束，乃行政自制的一種表現。裁量基準根據法規范的兩部分劃分，在構成要件處對不確定法律概念的判斷標準，稱為要件基準或者解釋基準，在法律后果處的標準則稱為后果基準或者引導基準。
應急行政相較于常規行政，無論在處置階段，還是在恢復階段，所適用的法規范幾乎都授權行政機關進行裁量。例如在應急處置階段，根據《突發事件應對法》第50條規定，行政機關應當針對事件的性質和特點，采取一項或者多項應急處置措施，包括封鎖場所、道路，查驗身份證件，限制公共場所的活動。此處“事件的性質和特點”屬于構成要件處需要解釋的不確定法律概念，應采取哪一項或者哪幾項以及如何采取措施則屬于法律后果部分行政機關的決定空間。又根據《傳染病防治法》第41條第1款，縣級人民政府可以對已經發生甲類傳染病病例的場所或者場所內的特定區域的人員實施隔離措施，由于疫情期間各省都將“新型冠狀病毒肺炎”劃入乙類傳染病目錄并按照甲類傳染病防控，該條的構成要件滿足，但該條的法律后果規定的是“可以”采取隔離措施，屬于決定型裁量后果，行政機關得在個案中綜合各種情況判斷是否采取隔離措施。所以，作為應急處置授權依據的《突發事件應對法》第50條和《傳染病防治法》第41條第1款都屬于裁量型規范，行政機關需要在個案加以判斷。在恢復重建階段，按《突發事件應對法》第59條，應急處置工作結束后，行政機關應組織盡快恢復生產、生活、工作和社會秩序，應滿足何種條件以及按怎樣的程序恢復也都需要行政機關進行裁量。
相較常規行政，應急行政下行政機關所作行政決定的頻次更多，侵益性程度更為激烈，若僅在法規范——個案裁量的框架下作出個案判斷，既不利于迅速處置應急事件，也不利于保護相對人的權利。需要引入法規范——裁量基準——個案裁量的框架，通過裁量基準這一轉換器將一般情形相對具體化，這樣既能保證應急處置措施有效及時地作出，也兼顧了相對人的權利保護。
(二)應急行政中裁量基準的設定密度
從依法行政的原理看，行政機關乃執行法規范的主體，應急行政也須符合法律保留和法律優先原則，為保護公民的生命健康權，同時又不過度限制應急措施相對人的人身自由權，行政機關在此承擔基本權利調和的義務，裁量基準的制定即為了實現此種義務。既然應急行政需要裁量基準，接下來的問題便是如何設定？裁量基準的設定并非易事，既可能出現細化不足無法使用的問題，也可能出現規定過細、過于僵化的情況，后者在實踐中更為常見，行政機關易產生裁量技術精細化的技術迷戀情節。(26)雖然裁量基準較法規范更為細密，但其本身的目的是為了縮小裁量空間，或者更形象地說，是為了給裁量空間裝上風向標。在常規行政下，裁量基準這一風向標指明大致方向即可，在應急行政下其指向可能需要更為明確，但仍然不能消滅裁量空間。(27)
從各地所頒布的健康碼管理規定看，多數地方將不同顏色的健康碼作為采取應急處置措施的絕對標準：持綠碼者無需隔離，可自由出入公共場所以及乘坐交通工具，復工時也無需再提供健康證明；持黃碼者隔離7日，限制出行，不得復工；持紅碼者隔離14日，限制出行，不滿足復工條件。(28)這些行政規定并沒有發揮裁量基準的功能，而是在構成要件部分將健康碼作為《突發事件應急法》第50條“事件的性質和特點”這樣的不確定法律概念的必要判斷依據，在法律后果部分則使用了“應當”的語句范式，使得健康碼的顏色標識從“基準”變成了“絕對標準”。這些管理規定背離了依法行政原則，將法規范賦予行政機關的裁量空間徹底消滅。合法的健康碼管理規定應當在構成要件和法律后果部分保持一定的開放性，作為判斷不確定法律概念和選擇法律后果的主要依據，而非唯一依據。
(三)個案中的裁量壓縮、裁量怠惰和裁量收盡
依法設定裁量基準的健康碼管理規定，在個案中對行政機關產生拘束效力，這樣的拘束效力體現在行政機關的裁量空間得以壓縮。個案中的裁量壓縮，是指一般情形下，行政機關不得偏離裁量基準的要求，若行政機關欲偏離從而作出不同的決定，應承擔說理義務。(29)疫情防控中，作出個案行政決定的主體以基層防疫組織為主，即《突發事件應對法》第55條所授權的居民委員會、村民委員會和其他組織。這些組織在判斷《突發事件應對法》第50條所規定的“事件的性質和特點”從而采取合適的應急處置措施時，可按照健康碼的管理規定執行，原則上根據健康碼的不同顏色作出區分處理，若出現特殊情形應綜合判斷以決定是否偏離基準，若偏離應向相對人說明理由。在此基礎上，個案中的裁量壓縮還可以區分侵益行政行為和授益行政行為，若涉及侵益行政行為，例如行政機關對持有黃碼和紅碼的相對人作出采取隔離措施的行政決定，因決定嚴重關涉相對人的人身自由權，須格外注意其他偏離裁量基準的因素。若涉及授益行政行為，如行政機關對持有綠碼的相對人準予復工，一般不作出偏離裁量基準的決定，這也是各地規定持有綠碼者無需另行提供健康證明的原因。
與裁量壓縮相反，若行政機關根據健康碼的顏色直接作出應急措施，則可能構成裁量怠惰。所謂裁量怠惰，是指法規范要求裁量但行政機關在個案中不予裁量的情形，這樣裁量服務于個案正義便無從談起，因此裁量怠惰被視為違法裁量的一種情形。行政機關或者法定被授權的組織在個案中采取應急措施時，如若對不同顏色健康碼的持有者直接作出決定，而不考慮諸如相對人的健康碼在產生時就存在不合理的技術原因或者相對人擁有除健康碼之外的其他證明等情況，實質上將健康碼作為絕對標準對待，則落入裁量怠惰的違法境地。
另外，裁量學說中還包括裁量收盡理論，該理論的適用結果從表面上看和裁量怠惰相同，似乎與裁量壓縮相悖。裁量收盡，是指受個案的限制，行政機關只得保留一種選擇，個案限制的原因一般為公共利益或者相關人基本權利的考量。(30)從概念上可見，裁量收盡是裁量壓縮的一種例外，是在個案客觀環境下對裁量的限制，與主觀意義上的裁量怠惰不同。在應急行政下，尤其在應急響應為一級的情況下，行政機關需在極短的時間內對大量的相對人作出相應的應急措施，以迅速有效地保護公眾的生命健康權。若此時持有紅碼的相對人經測量體溫為正常，在沒有其他證明的情況下，行政機關可以為保護公共利益一律作出隔離的決定。又如面對國際疫情復雜的情況，行政機關對所有境外來華人員予以隔離，也屬于裁量收盡的情形。一旦應急響應級別調低，尤其進入秩序恢復期，無論是行政機關作出應急處置還是作出例如復工申請這樣的恢復重建措施，個案中都不再具備裁量收盡的原因，應按裁量基準結合健康碼和其他因素作出綜合判斷。
五、代結語
1996年尼葛洛龐帝在《數字化生存》一書中提到，“計算不再只和計算機有關，它決定了我們的生存”。(31)數據治理正是當今行政越來越傾向使用的手段，形塑和影響著國家和社會的各個方面。按國務院在《促進大數據發展行動綱要》中的表述，數據治理就是要建立一個“用數據說話、用數據決策、用數據管理、用數據創新”的政府管理機制，疫情背景下健康碼的推廣和利用正是此種管理機制的體現。從監督視角來看，健康碼還須經得起合法性審查，為此，健康碼的法律性質界定尤為關鍵。行政機關生成健康碼，行為類型上屬于行政評級，過程是自動進行的，方式是對個人信息的處理，應遵守行政評級、自動化行政和對個人信息的處理這三個概念所內含的法治要求。各地有關健康碼的管理規定則應作為裁量基準看待，在個案中健康碼起到壓縮行政機關裁量空間的作用，同時不排除裁量收盡的可能，但一定要防止將健康碼作為絕對標準，以免落入裁量怠惰的境地。符合依法行政要求的健康碼為防控疫情而存在，作為應急狀態下的臨時措施在疫情結束后應歸于消滅，收集和利用的個人信息也應全部銷毀。(32)然而作為行政機關運用大數據治理的一次大規模操練，其不僅不會消滅，也許還會有其他各種二維碼的出現，行政也隨之進入“碼上時代”，對此的討論或許剛剛開始。
注釋：
①施密特·阿斯曼：《秩序理念下的行政法體系建構》，林明鏘等譯，北京大學出版社，2000年，第233頁。
②沈巋：《數據治理與軟法》，《財經法學》2020年第1期。
③《河南省健康碼使用管理辦法》對健康碼作出了界定：“是以個人真實身份信息和實時健康數據等為基礎，個人通過‘豫事辦’自行申報，經大數據分析自動生成，用于新冠肺炎疫情防控期間出行、返崗、復工顯示個人健康狀況的二維碼電子憑證。”
④也有個別例外，例如吉林省的“吉祥碼”為紅、橙、黃、綠四色，南京市健康碼為紅、橙、綠三色，國際版健康碼為橙、黃、綠三色。
⑤劉權：《用好健康碼，助力精準防控》，《法制日報》2020年2月26日，聲音版。
⑥孫麗巖：《行政決策運用大數據的法治化》，《現代法學》2019年第1期。
⑦為防止個人隱瞞或者不實填報，各地紛紛將此類行為列為失信行為或者予以嚴肅處理，參見《吉林省關于全面啟動“人人有碼、碼上行動”工作支撐我省有序復工復產復業的通知》《海南健康碼規則解讀》以及《河南省健康碼使用管理辦法》等。
⑧多數地方都未公布健康碼的判斷標準，少有的例子如杭州市市委領導在新聞采訪中透露，杭州健康碼以空間、時間和人際關系三個維度為判斷依據。
⑨關于算法黑箱，參見鄭戈：《算法的法律與法律的算法》，《中國法律評論》2018年第2期。
⑩沈巋：《風險治理決策程序的科學與民主——以防控甲流的隔離決策為例》，《行政法論叢》第12卷，法律出版社，2009年，第138頁。
(11)(13)王瑞雪：《論行政評級及其法律控制》，《法商研究》2018年第3期。
(12)吳元元：《信息基礎、聲譽機制與執法優化——食品安全治理的新視野》，《中國社會科學》2012年第6期。
(14)王鍇：《論行政事實行為的界定》，《法學家》2018年第4期。
(15)馬顏昕：《自動化行政的分級與法律控制變革》，《行政法學研究》2019年第1期。
(16)郝元：《基于計算機控制的自由裁量輔助決策系統初探》，《電子政務》2010年第9期。
(17)胡敏潔：《自動化行政的法律控制》，《行政法學研究》2019年第2期。
(18)查云飛：《人工智能時代全自動具體行政行為研究》，《比較法研究》2018年第6期。
(19)參見張新寶、葛鑫起草的《個人信息保護法(專家意見稿)》第103條第14項。
(20)Hting,Datenschutz-Grundverordnung,1.Aufl.,2016,S.145.
(21)趙宏：《疫情防控下個人的權利限縮與邊界》，《比較法研究》2020年第2期。
(22)《歐盟一般數據保護條例》對目的限制有所松動，參見周漢華：《探索激勵相容的個人數據治理之道——中國個人信息保護法的立法方向》，《法學研究》2018年第2期。
(23)Wischmeyer,Regulierung intelligenter Systeme,AR 2018.
(24)章劍生：《現代行政法總論》，法律出版社，2019年，第101-102頁。
(25)毛雷爾：《行政法學總論》，高家偉譯，法律出版社，2000年，第127頁。
(26)王錫鋅：《自由裁量權基準：技術的創新還是誤用》，《法學研究》2008年第5期。
(27)(29)章劍生：《現代行政法總論》，第104-106、104頁。
(28)例如《山西省新冠肺炎疫情防控“健康碼”系統管理辦法》《天津健康碼使用規則》《海南健康碼規則解讀》等。
(30)毛雷爾：《行政法學總論》，高家偉譯，第132頁。
(31)尼葛洛龐帝：《數字化生存》，胡泳等譯，海南出版社，1997年，第4頁。
(32)在吉林省人民政府出臺的規定中，明確“所獲取的個人健康數據僅限此次防疫期間使用”，參見《關于全面啟動“人人有碼、碼上行動”工作支撐我省有序復工復產復業的通知》(數字吉林辦[2020]5號)。