《个人信息保护法》要点速查：接种与追溯信息怎么管

定位

《中华人民共和国个人信息保护法》（2021 年 11 月 1 日施行）是个人信息处理活动的基本法。疫苗流通和接种环节天然涉及个人信息：受种者身份、接种记录、追溯扫码数据。冷链信息系统只要碰到这些数据，就必须对照该法自查。

与冷链相关的核心要求

处理要有合法性基础（第十三条）：处理个人信息应具备法定情形之一，最常见的是取得个人同意，或为履行法定职责、法定义务所必需。疫苗接种信息处理很大程度基于法定职责（免疫规划要求），但这不意味着可以任意扩大用途。

目的明确、最小必要（第六条）：处理个人信息应当具有明确、合理的目的，并与处理目的直接相关，采取对个人权益影响最小的方式，不得过度收集。

敏感个人信息从严（第二十八、二十九条）：医疗健康信息属于敏感个人信息，处理须取得单独同意，并采取严格保护措施。受种者的接种记录明确落在这一档。

委托处理要约束（第二十一条）：委托第三方（如追溯平台服务商）处理个人信息，应约定处理目的、方式、保护措施等，并监督其处理活动。

实务要点

• 梳理数据流：接种点系统、追溯平台、冷链监测系统之间谁在传什么数据，画清楚再谈合规。
• 展示脱敏：运维大屏、报表导出时，非必要不展示完整身份证号、手机号。
• 影响评估：处理敏感个人信息前应进行个人信息保护影响评估（第五十五条），评估记录留存备查。
• 权限与留痕：谁能查受种者信息，查了什么，系统要有日志。

常见误区

• "去标识化 = 匿名化"——去标识化后仍可回溯的，仍是个人信息；只有真正匿名化才出圈。
• "内部系统不用告知"——员工信息、受种者信息的处理告知义务不因系统对内而免除。
• 为统计分析把接种明细整库导出到个人电脑——违反最小必要，也制造泄露风险。
• 委托平台处理却不签合同，出事时责任无法厘清。

参考：《中华人民共和国个人信息保护法》（2021 年）。