媒体是传播信息的媒介。随着媒体融合的推进，媒体格局已发生深刻改变。除了传统的报纸、期刊、广播、电视，涌现出各种型态的网络媒体，包括各新闻单位、各级政府、司法机关、各企事业单位的门户网站、APP、官方微博、微信公众号，还有平台化的新闻信息聚合平台，以及海量的自媒体群体。为了追求信息传播的速度、数量，特别是借助算法技术实现新闻信息生产和分发的精准化和定制化，媒体的报道内容和报道方式越来越频繁地涉及到公民个人信息，尤其是个人隐私信息和敏感信息。
随着《中华人民共和国个人信息保护法》的正式施行，国家将系统建立健全个人信息保护制度，预防和惩治侵害个人信息权益的行为，加强个人信息保护宣传教育，推动形成政府、企业、相关社会组织、公众共同参与个人信息保护的良好环境，确保个人信息保护法的各项要求和规定在社会生活中得到全面的贯彻和实施。由此，各类媒体报道和传播个人信息不能任性而为，特别是新闻媒体违法报道和传播个人隐私权和敏感个人信息，将面临承担法律责任的风险，必须给予高度关注。
数字和网络时代，个人信息权益是一种消极权利，个人根本不知道是谁、在什么时间和地方、用什么手段收集和处理了其个人信息。从立法目的看，个人信息保护法的实质功能是一部个人信息处理活动行为规范法，出现频率最高的词汇不是“保护”，而是“处理”。在个人信息保护法的八章中（不包括目录部分），“处理”一词共出现217次，“保护”一词出现了67次。
个人信息保护法的实质功能是一部个人信息处理活动行为规范法。个人信息保护的真正立法目的有两个，一个是“保护个人信息权益”，另一个是“促进个人信息合理利用”，其中“规范个人信息处理活动”处于整个个人信息保护法的核心地位，只有夯实“规范个人信息处理活动”这个关键环节，才能确保实现保护个人信息权益和促进个人信息合理利用之目的。
一、新闻媒体处理个人信息应当基于“公共利益”
依据个人信息保护法的规定，处理个人信息应当遵循“告知-知情-同意”的规则。该法第十四条明确规定：“基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出”。可见，处理个人信息不仅仅是“告知-同意”，而是要确保个人的充分“知情”，个人只有在充分知情的前提下才能自愿、明确地作出决定。
值得注意的是，个人信息保护法第十三条规定了六项情形不需取得个人同意，其中就涉及了新闻报道“免同意”的规定，即“（五）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息”。该项规定有两层含义：一是实施新闻报道、舆论监督等行为，必须基于“公共利益”之目的；二是即使是为了“公共利益”实施新闻报道、舆论监督，也必须限定在“合理的范围内处理个人信息”，这个合理的范围主要是基于“公共利益”的目的范围，“公共利益”是与“私人利益”相对的一种利益。网络时代，应当最大限度地防止媒体利用“公共利益”免责事由对自然人“隐私信息”的侵害。
《中华人民共和国民法典》第九百九十九条规定：“为公共利益实施新闻报道、舆论监督等行为的，可以合理使用民事主体的姓名、名称、肖像、个人信息等；使用不合理侵害民事主体人格权的，应当依法承担民事责任。”该条同样强调了实施新闻报道、舆论监督应当基于“公共利益”的目的，并列举了可以合理使用民事主体的姓名、名称、肖像、个人信息等，但同时明确了如果使用不合理导致侵害民事主体人格权，将依法承担民事责任。
二、“个人信息”的法定内涵及“匿名化”处理
个人信息保护法第四条明确了“个人信息”的定义：“个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等。”
个人信息保护法、网络安全法、民法典以及最高人民法院、最高人民检察院《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称“两高”司法解释）中的“个人信息”定义在基本概念上保持了一致，即强调了“单独或者与其他信息结合即可识别”的“自然人的信息”。但个人信息保护法有关个人信息的定义与上述法律相比较，在内涵上有很大的不同。
首先，2017年6月1日起施行的网络安全法第七十六条（五）明确“个人信息”是指“以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等。”这是我国最早以法律形式明确的“个人信息”定义，该定义的核心是“能够单独或者与其他信息结合识别自然人个人身份”的各种信息属于“个人信息”，重点强调了自然人的个人身份信息。
其次，同样是2017年6月1日起施行的“两高”司法解释第一条规定：刑法第二百五十三条之一定义的“公民个人信息”，是指“以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等”。
“两高”司法解释和网络安全法均强调“能够单独或者与其他信息结合识别”，最大不同点在于，前者将个人信息限定在“特定自然人身份或者反映特定自然人活动情况的各种信息”，特别是强调了“特定自然人”；后者则将个人信息定位在“公民个人身份的各种信息”。
第三，民法典强调了“识别特定自然人的各种信息”，完全摆脱了“识别自然人个人身份的各种信息”的限制。在个人信息保护的司法实践中，自然人所涉及的“个人信息”不完全是与自然人个人身份有关的信息，还包括与自然人身份无关的各类信息。为此，民法典第一千零三十四条将个人信息定义为“个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等”。其范围相比网络安全法、“两高”司法解释的定义更为宽泛。
第四，个人信息保护法有关“个人信息”的定义与网络安全法、民法典和“两高”司法解释中“个人信息”的定义最大不同点在于，个人信息保护法中的“个人信息”定义增加了“不包括匿名化处理后的信息”，明确了“个人信息”经匿名化处理后不属于个人信息，也就无须适用个人信息保护法的相关规定。因此，新闻媒体可以合理使用经匿名化处理后的信息。个人信息保护法第七十三条（四）明确“匿名化”是指“个人信息经过处理无法识别特定自然人且不能复原的过程。”该定义中的“不能复原”指采取以下两种方法，一是删除个人信息包含的个人描述部分，包括将描述部分替换为其他描述部分，或者使用具有不可恢复的方法等；二是删除所述个人信息中所包含的全部标识符，包括将标识符替换为其他描述部分，或者使用具有不可恢复的方法等。
三、媒体报道和传播不得涉及个人隐私和敏感信息
民法典共七编，唯独有一编名称中有一个格外醒目的字——人，即第四编“人格权”。人格权独立成编恪守了“以人民为中心”的思想，以人格尊严的至高无上为其根本出发点，这是我国民法典编纂最大的创新和亮点。
民法典第一千零三十二条规定：“自然人享有隐私权。任何组织或者个人不得以刺探、侵扰、泄露、公开等方式侵害他人的隐私权。隐私是自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息。”该条中自然人隐私的定义主要有两层含义：一是自然人的私人生活安宁，二是不愿为他人知晓的私密空间、私密活动、私密信息。
“个人敏感信息”不同于“个人隐私信息”，“个人隐私信息”由民法典第四编第六章“隐私权和个人信息保护”规定，特别是民法典第一千零三十四条第三款规定“个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定”。由此，民法典对个人信息保护进行了分工，即“隐私信息”适用民法典的规定，其他个人信息的保护适用个人信息保护法。因此，个人信息保护法没有对自然人的隐私信息做出专门规定，而是将个人信息分为敏感信息和非敏感信息，并以专节设置了“敏感个人信息的处理规则”。
个人信息保护法第二十八条将“敏感个人信息”表述为：“敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。”该条采用了“个人信息被泄露或者非法使用+导致的危害后果+列举重要敏感个人信息”的立法技术。
在疫情防控期间，凡与疫情有关的个人信息容易受到关注和传播。一旦涉疫个人信息，特别是敏感个人信息的收集、使用和传播不当，不但会给涉疫个人及其家庭增添很多烦恼，也容易使其他居民产生恐慌，甚至被别有用心之人违法滥用，不但不利于疫情防控，还影响社会稳定。因此，疫情信息发布应当全面贯彻落实个人信息保护法的各项规定，尤其是强化敏感个人信息的保护。媒体不应使用“X某X”等类似可识别的自然人信息，更不能将感染者称为“毒王”。政府部门发布疫情通报也应当严格执行个人信息保护法和传染病防治法。依据传染病防治法规定，故意泄露传染病病人、病原携带者、疑似传染病病人、密切接触者涉及个人隐私的有关信息、资料的，将由县级以上人民政府卫生行政部门责令限期改正，通报批评，给予警告；对负有责任的主管人员和其他直接责任人员，依法给予降级、撤职、开除的处分，并可以依法吊销有关责任人员的执业证书；构成犯罪的，依法追究刑事责任。因此，媒体应当秉持公共利益原则进行报道，严禁对敏感个人信息进行曝光，保护感染者的人格权益。
今年11月5日，中央网信办发布《提升全民数字素养与技能行动纲要》，这是我国首部提升全民数字素养的行动纲要。《提升全民数字素养与技能行动纲要》强调，要加大个人信息和隐私保护相关法律法规的普及宣传力度，提高全民个人信息和隐私保护意识。制定完善个人信息和隐私保护标准，健全个人信息和隐私保护监管机制，优化社会群众监督举报机制，压实行业组织、企业机构等保护个人信息安全主体责任，加大对侵犯个人信息和隐私等违法犯罪行为的打击力度。
媒体报道和传播敏感个人信息不能任性而为，应当依法而为。
