12月12日，周海媚工作室发声明确认，周海媚于12月11日因病去世，年仅57岁。
13日，一份疑似周海媚的电子病历截图在网上热传，详细记载了周海媚在北京顺义区某医院的就医信息。当天，涉事医院宣传科一名工作人员向媒体证实了该份病历的真实性。此事迅速引发热议。
有网友表示，“必须严查，太没有道德底线了”“泄露患者隐私是犯法的”。
12月14日，平安北京顺义发布通报称，近日，顺义公安分局查处一起散布他人隐私案件。
经查，12月11日，符某某（男，36岁）利用其在顺义区某医院工作的便利，出于炫耀目的，将一名病患的个人病历拍照发至微信群，导致信息扩散，造成恶劣社会影响。目前，顺义公安分局已将符某某依法行政拘留。
故意泄露患者病历者
需要承担什么样的法律责任？
12月13日，中国政法大学教授罗翔在其个人公众号发文对此事进行法律解读。
他认为，故意泄露患者病历者需要承担法律责任。
首先是民事责任，《民法典》第九百九十四条明确规定：“死者的姓名、肖像、名誉、荣誉、隐私、遗体等受到侵害的，其配偶、子女、父母有权依法请求行为人承担民事责任；死者没有配偶、子女且父母已经死亡的，其他近亲属有权依法请求行为人承担民事责任。”死者的名誉、肖像、姓名、荣誉称号等权利并不随着死亡而彻底的消失，而是可以由其近亲属继续维护，这既是对死者的尊重，也是对生者利益的保护。
其次是行政责任，《医师法》第五十六条、《护士条例》第三十一条规定，医师和护士在执业活动中泄露患者隐私或者个人信息的，会受到县级以上卫生主管部门警告、暂停执业活动直至吊销执业证书的行政处罚。
上述法律法规保障的是健全的医疗秩序，捍卫医护人员的职业道德，我个人的粗浅看法是，其中所说的患者并不应该仅仅限于活着的患者。即便认为患者不包括死者，那么《医师法》第五十八条也规定了“严重违反医师职业道德、医学伦理规范，造成恶劣社会影响的，由省级以上人民政府卫生健康主管部门吊销医师执业证书或者责令停止非法执业活动，五年直至终身禁止从事医疗卫生服务或者医学临床研究”。
至于刑事责任，《刑法》第二百五十三条之一规定：侵犯公民个人信息罪，违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，最高可以判处七年有期徒刑。个人的健康生理信息自然是一种敏感信息，非法获取、出售或者提供健康生理信息五百条以上的就构成犯罪。
罗翔还提醒，“刑法作为最严厉的部门法，不到万不得已不应该轻易动用”，但是，“如果死者的个人信息也包含生者的个人信息，自然也可以犯罪论处”“比如患者刚刚离世，家属就接到葬礼墓地的推销电话，泄露患者家属的个人信息那就很有可能构成侵犯公民个人信息罪”。
如何认定个人信息处理者对涉他人个人信息的查阅复制义务？
个人信息主体向个人信息处理者查阅复制涉及他人个人信息的浏览记录时，个人信息处理者有协助提供的义务，但不应侵害其他个人信息主体的合法权利。
根据场景的不同，个人信息处理者提供准确的网络链接地址，可以认定履行了协助义务。
【基本案情】
李某系某信息公司运营的某短视频APP实名用户，李某要求该公司向其提供其曾观看过的全部视频数据信息（包含视频名称、创作者账号名称、观看时长或观看完成度、观看时间、视频发布时间、播放量等），该公司未答复。
李某遂起诉要求该公司以书面形式提供上述信息。
某信息公司在诉讼期间以Excel表格的形式提供了部分时间段内李某浏览记录的副本，包括视频观看时间、观看完成度（百分比）、视频链接。
【法院裁判】
北京互联网法院审理后认为，对于浏览记录等衍生个人信息，应当允许个人信息处理者结合数据形式、存储能力、服务能力等，选择合理的方式和标准提供这些个人信息，但不得侵害其他个人信息主体的合法权利。
遂判决，某信息公司向李某提供一定期间的浏览记录。宣判后，李某不服，提起上诉。
北京市第四中级人民法院审理后认为，个人信息处理者是否对个人信息主体提出的请求进行及时响应、是否完整履行法律规定的个人信息查阅复制的协助或提供义务，应根据个人信息主体请求查阅复制的个人信息类型、信息数量以及请求提供的形式和具体要求等判断。
本案中，某信息公司提供多种途径供用户查阅浏览记录，但是同时应当提供相应的浏览记录副本。至于浏览记录中包含的信息类型，在浏览历史记录信息查阅复制的场景下，某信息公司提供准确的网络链接地址即可以认定为已经尽到了历史记录信息的基本提供义务。
遂判决，驳回上诉，维持原判。
【评析】
本案争议焦点在于如何认定个人信息处理者对个人信息主体要求查阅复制涉他人个人信息的义务。
1.个人在短视频APP中浏览记录的法律性质。
个人信息保护法第四条规定，个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。
本案中，李某要求查阅复制的浏览记录是在使用账号时的行为记录信息。浏览记录由观看时间、观看时长、观看的视频等组成，进一步分析，观看时间是浏览行为作出的时间信息；观看时长（或观看完成度）是浏览的程度信息；浏览行为的客体是视频，视频名称、视频发布者账号名称是视频的组成部分。
因此，浏览记录虽然是衍生信息，但是各要素均能落入个人信息保护法第四条规定的个人信息的范畴内，具有人格利益。
2.个人信息查阅复制权与他人个人信息权益的平衡。
个人信息保护法第四十五条第二款规定，个人请求查阅、复制其个人信息的，个人信息处理者应当及时提供。但是法律并未规定个人请求查阅复制的个人信息涉及他人个人信息时，个人信息处理者的协助义务如何确定。
结合本案，视频名称、视频发布者账号名称与李某要求查阅复制的浏览记录虽不完全相同，但两者具有关联性，假定个人信息处理者将上述信息作为李某的浏览记录或其他类型个人信息进行了处理，则该两类信息具有同时成为李某个人信息和视频发布者个人信息的可能性。
当一组数据上承载多主体的个人信息权益时，个人信息处理者履行查阅复制义务时应当进行利益衡量，应以查阅复制本人个人信息为原则，同时兼顾他人信息权益；如查阅复制的个人信息和他人个人信息不可分割，在不侵害其他个人信息主体合法权利的前提下，个人信息处理者可以提供。
此种情形下，考虑到视频名称、视频发布者账号名称系创作者主动公开的个人信息，查阅复制该信息通常不会侵害视频创作者的合法权益的情况，个人信息处理者原则上需响应用户的信息查阅复制请求。
3.个人信息处理者在具体场景下提供个人信息的形式。
现行法律、行政法规未明确规定个人信息处理者履行协助义务，提供个人信息查阅复制的具体方式。
本案中，某信息公司向李某提供的浏览记录副本包括视频观看时间、观看完成度及视频链接。某信息公司以提供视频链接的方式提供个人信息是否合理，应当在具体的场景下进行讨论。
首先，从个人信息查阅复制权的规范意旨来看，个人信息查阅复制权主要为保障个人信息主体对于自己信息知情和决定等权利的实现，防范个人信息被不当处理进而损害个人权益而设置，并非旨在服务于个人信息主体的任意请求目的。
其次，从查阅复制的具体场景来看，本案中李某要求查阅复制的浏览记录是用户在使用网络服务过程中形成的行为信息，可认定为网络日志信息的一种，个人信息处理者对于操作日志的记录一般仅需具体到用户点击操作的网页链接地址即可，相关页面中展示的内容尤其是视频名称、视频的发布者账户信息等不属于个人信息处理者必须予以记录的个人信息类型，在信息处理者未将其作为类型化的个人信息进行处理、记录的情况下，某信息公司不具有必须以个人信息属性向李某提供此类信息的义务。
因此，在本案个人信息主体请求查阅复制浏览记录的场景下，可以认定个人信息处理者提供准确的网络链接地址已经履行了浏览记录查阅复制的基本协助义务。
— THE END —
本文综合自中国青年报、大河报、中国新闻网、罗翔说刑法、人民法院报等。
MORE
灼见热文
周海媚去世：最是人间留不住，朱颜辞镜花辞树
谈谈刘瑜笔下平庸得令人发指的文科博士
一个你没听过名字的小县城却出了大人物！
比勤奋更重要的是深度思考的能力
容易焦虑的人都有一个不太健康的习惯