健康码正式下线，三年累积的个人数据如何安全处置

近期趋势：多地健康码服务陆续停止运营

随着疫情防控政策转入新阶段，从2022年底到2023年中，全国多个省市的健康码、行程卡相关小程序或APP陆续公告停止服务或下线入口。操作模式多为用户无法再开启扫码页面，后台停止数据更新。但不同地区的处置节奏存在差异——部分城市在停止使用后即删除原始数据库，另一些仍保留历史数据备份。

行业背景：健康码体系的技术架构与数据规模

健康码系统本质是一个覆盖十余亿人的实时身份、健康状态与行程轨迹数据平台，包含姓名、身份证号、手机号、地理定位（基站和扫码地点）、核酸/抗原检测结果、疫苗接种记录等。其数据采集、存储、流转涉及地方政府云平台、卫健委数据中心、运营商基站日志、第三方检测机构接口、健康码小程序开发商等多个节点。三年累积的数据量级以PB（拍字节）计，且多数未设置明确的过期删除自动机制。

用户关注点：个人敏感信息是否被彻底清除

普通用户最关心三个核心问题：第一，运营商或当地政务平台是否在服务下线时同步删除了原始数据库；第二，历史扫码记录、行动轨迹是否被导出用于其他目的（如征信、商业分析）；第三，数据备份、灾备副本、日志文件中的残留信息如何处置。实际上，按照《个人信息保护法》和《数据安全法》要求，健康码服务终止后应主动删除个人信息或做匿名化处理，但实际操作中删除流程的透明度、第三方合作的清理标准参差不齐。

注：部分地方已公开声明对休息期间的防疫数据进行封存，并承诺不会用于非防疫目的。但数据是否“真正删除”还取决于底层数据库是否执行了覆盖写操作、云服务商的残留副本是否被清理。

可能影响：合规风险与社会信任

• 隐私泄露风险：如果下线仅关闭前端入口，而未执行全链路删除，则集中存储的海量敏感数据仍是潜在攻击目标。
• 商业滥用可能性：部分互联网公司曾作为健康码技术合作方，若未签订明确的删除条款或数据归属协议，存在数据被间接用于用户画像的可能。
• 司法与行政取证需要：对于刑侦或防疫追溯需求，部分数据可能被要求保留一定时间，导致删除时效与法律豁免之间的冲突。
• 用户维权意识觉醒：越来越多的个人主动查询健康码数据去向，甚至申请公开数据销毁证明，这倒逼相关部门完善数据治理流程。

后续观察：数据处置的透明化与制度补漏

从趋势看，未来此类大规模应急数据平台的“软下线”流程需要建立几个关键环节：一是服务下线前应向社会公告数据处置预案，包括删除时间表、匿名化方案、第三方审计安排；二是建立独立的监督机构或委托第三方技术核查团队出具数据销毁报告；三是针对无法删除的日志归档或法律强制保留部分，应明确脱敏规则和访问权限。此外，关于健康码数据能否用于科研或统计，需在用户知情同意或去标识化前提下进行，避免“二次利用”争议。

用户自身的应对措施较为有限，但可以关注所在省市的政务数据公开声明，或通过“一网通办”等平台提出数据查阅与删除申请。对于已经删除备份的地区，用户可保留截屏或注销证明，以备后续争议时使用。