性自由与公共卫生可以兼得吗？建立一种保护隐私、尊重退出权的健康信任制度
一、问题的关键，不是限制多少自由，而是如何减少健康风险
关于性自由与性传播疾病，人们经常陷入两种相互对立的观点。
一种观点强调，成年人有权自主决定自己的性生活。只要双方自愿，社会就不应该过度干涉。
另一种观点强调，某些性行为和缺乏防护的行为可能增加性传播感染的风险，因此需要加强管理，甚至通过法律限制。
这两种观点分别关注了个人自由和公共健康，却容易忽略一个更重要的问题：
我们能否通过更好的制度设计，让人们在拥有更多选择的同时，也更容易了解风险、保护自己和他人？
如果一种制度主要依靠禁止和惩罚，就可能限制部分人的选择，却没有充分解决检测不便、信息不对称、隐私泄露和风险沟通困难等问题。
如果只强调个人自由，却不提供方便、可信的健康信息交换机制，人们就只能依赖口头承诺、个人判断和未经验证的检测报告。
因此，我们需要探索第三条路：不把某种性生活方式本身当成问题，而是针对真实的健康风险，建立更有效、更尊重人的治理机制。
我的设想是，建立一种以加密健康凭证为基础，由个人掌握授权、由医疗机构验证检测信息、由公共卫生服务提供支持的健康信任制度。
它不是性行为许可证，也不是记录每个人亲密关系的监控系统，而是一种帮助成年人自主决策、降低健康信息交换成本的公共基础设施。
二、核心设计：让信息可信，但不让个人失去控制权
设想两名成年人准备发生性关系。
双方都希望降低感染风险，但又不愿意直接交换完整病历、身份证信息以及其他无关隐私。
传统方式存在几个问题：
- 一个人可以声称自己近期做过检测，但对方难以核实。
- 检测报告可能被伪造、修改，或者已经过时。
- 一次阴性检测并不能排除所有感染风险。
- 有些人担心健康信息泄露或遭受歧视，因此不愿主动沟通。
- 即使双方愿意沟通，也可能不知道应该交流哪些信息、如何理解检测结果。
我们可以通过数字健康凭证改善这种情况。
医疗机构或合规检测实验室按照统一规则签发经过数字签名的检测凭证。个人将凭证保存在自己的健康钱包中，需要交换信息时，双方通过一次性二维码或短期会话码建立连接，并分别决定愿意披露的内容。
例如，用户可以选择分享：
- 某些指定项目是否接受过检测。
- 检测日期和结果。
- 检测机构是否可信、凭证是否有效。
- 检测项目的覆盖范围及结果的医学适用边界。
系统只交换本次决策所必需的信息，不默认分享完整病历，也不建立供公众查询的感染者名单。
但必须明确：
数字凭证证明的是信息的来源和完整性，而不是一个人绝对没有感染。
检测有窗口期，项目有覆盖范围，检测之后也可能出现新的感染风险。系统必须清楚呈现这些限制，不能把一次阴性结果包装成永久有效的安全认证。
三、制度应该如何运行？
这套系统由四个环节构成。
1. 医疗机构负责检测与凭证签发
医疗机构或合规检测实验室按照相应标准提供检测服务，并签发数字凭证。
凭证应当清楚说明检测项目、检测日期、结果和适用范围。验证者可以确认凭证是否由可信机构签发、内容是否被篡改，以及是否仍然有效。
不同疾病、不同检测方法应采用相应的医学规则，不能用一个笼统的“健康等级”代替具体信息。
医疗机构还需要建立纠错机制。当检测信息发生错误、凭证被误签发或者状态需要更新时，用户应当能够申请核实和更正。
2. 个人掌握健康钱包
健康信息原则上由个人控制。
用户决定是否参加系统、保存哪些凭证、向谁披露哪些内容，以及授权持续多久。
平台不应默认集中收集完整病历、伴侣关系和性行为记录。
个人也可以拒绝分享或退出服务。
需要注意，拒绝分享不等于感染。系统不能因为用户没有凭证、拒绝授权或者无法完成验证，就自动推断其健康状况。
3. 双方自主进行信息交换
双方分别确认披露范围后，系统才交换被授权的信息。
授权应当明确说明分享对象、具体字段、用途和有效期限。
一次性二维码只是建立交换会话的入口，不代表双方已经同意发生性关系，也不意味着任何一方承担对方全部健康风险。
即使完成了信息交换，双方仍然可以拒绝或停止亲密接触。健康信息授权和性行为同意是两件不同的事，不能相互替代。
4. 系统提供风险提示，而不是替人作决定
验证完成后，系统使用清晰、经过医学审核的语言解释信息的意义和局限。
例如：
- 凭证来源已验证，但检测结果不能排除所有感染。
- 检测时间可能影响结果解释，需要结合相关疾病的窗口期判断。
- 当前凭证没有覆盖全部需要关注的风险。
- 凭证无法验证，建议进一步核实或咨询医疗人员。
系统不应该给人简单打上“安全”或“不安全”的标签，更不应该自动决定两个人是否可以发生性关系。
它提供的是决策所需的信息，而不是代替人作出决定。
四、为什么这可能有助于控制性传播疾病？
性传播疾病防控不仅取决于人们遵守什么规则，也取决于检测、预防、治疗和健康沟通是否容易实现。
加密健康凭证可以在几个方面发挥作用。
第一，降低健康信息造假的空间
数字签名和凭证验证可以帮助识别伪造或篡改的报告，减少信息不对称。
但它无法保证所有检测结果绝对准确，也无法保证检测后没有发生新的暴露。因此，凭证应当与检测时间、项目范围和医学解释一起使用。
第二，改善健康沟通
“我很健康”和“我最近检测过”都是不够精确的表达。
系统可以帮助双方了解检测了什么、何时检测、结果能够说明什么，以及仍然存在哪些不确定性。
这有助于双方更具体地讨论安全套、疫苗接种、定期检测和其他适当的防护措施。
第三，连接检测、预防与治疗服务
系统可以在用户授权后，提供正规检测机构查询、疫苗接种建议、规范治疗信息和暴露后及时就医提示。
对于可能受到感染影响的伴侣，也可以探索由医疗机构提供保密的伴侣通知与检测服务，减少不必要的信息暴露。
第四，探索提高主动检测意愿的可能
如果人们能够在不公开完整病历的情况下，证明自己接受过某些检测，部分人可能更愿意主动检测。
但这只是需要验证的假设。
如果检测成本高、医疗服务不便，或者人们担心检测记录被用于歧视和追责，系统反而可能增加逃避检测的动机。
因此，必须把健康凭证与低成本检测、保密治疗和反歧视措施结合起来，而不能指望一个技术工具独立解决公共卫生问题。
五、最大的制度风险：凭证会不会变成新的社会等级？
任何可以验证的健康凭证，都可能被赋予超出其实际意义的社会含义。
有凭证的人可能被视为更安全，没有凭证的人可能被视为可疑。不同机构、不同检测项目之间也可能出现人为的等级差异。
经济条件较好的人更容易获得检测服务，而缺乏医疗资源的人可能因此受到排斥。
如果这种现象出现，系统就会从降低风险的工具，变成制造新门槛的工具。
因此，需要明确以下制度原则。
第一，凭证不是准入许可证。
不应把使用系统作为所有成年人发生性关系的普遍强制条件。
第二，没有凭证不等于感染。
系统只能说明缺少可验证的信息，不能据此推断一个人的健康状态。
第三，基本医疗服务不能以持有凭证为条件。
无论是否参加系统，个人都应当能够获得必要的检测、预防和治疗服务。
第四，不能把经济能力转化为健康等级。
如果制度鼓励使用健康凭证，就应努力降低检测和签发成本，为低收入群体以及数字能力不足的人提供可及的服务和替代渠道。
第五，感染者的权利必须得到保护。
公共卫生的目标是减少感染和健康损害，而不是羞辱、排斥或公开标记感染者。
一个制度如果只增加个人义务，却不改善医疗服务和隐私保障，就不能称为真正的制度进步。
六、隐私不能只靠加密，还需要约束信息接收者
加密可以保护数据传输，却不能彻底阻止接收者截图、拍照或转发已经看到的信息。
因此，系统需要采用多层保护：
- 默认只披露必要字段，不交换完整病历。
- 尽量避免显示姓名、住址等与本次健康判断无关的信息。
- 使用短期会话码和适当的凭证隐私技术，降低信息被重复使用和关联的风险。
- 减少平台侧的数据收集，不默认保存双方身份、地点和关系记录。
- 明确禁止未经授权的健康信息传播和不当利用。
- 建立泄露事件调查、责任认定、投诉和受害者救济机制。
还应当坦诚承认：即使使用最先进的技术，也无法保证接收方绝不复制已经展示的信息。
因此，制度不能承诺绝对安全，而应当尽可能降低泄露概率、限制不当用途，并在出现伤害时提供有效救济。
七、如何防止自愿授权变成事实上的强迫？
这套制度最值得重视的，不只是隐私保护，而是它能否真正保护个人的退出权。
在现实生活中，亲密关系并不总是完全平等的。
一方可能因为经济依赖、情感操控、暴力威胁或害怕关系破裂，而被迫交出健康信息。
即使系统提供了“拒绝分享”按钮，如果拒绝就会失去生活来源或遭受威胁，那么所谓的自愿授权仍然可能只是形式。
因此，必须保护三种退出权。
1. 信息退出权
个人可以拒绝参与自愿的信息交换。拒绝本身不能被系统自动解释为感染，也不应成为无关机构惩罚个人的依据。
2. 关系退出权
任何一方都可以拒绝发生性关系或随时停止亲密接触，不需要以满足对方的要求为条件。
同时，任何一方也有权根据自己的风险判断决定是否继续关系。保护退出权，并不意味着强迫他人接受自己无法接受的风险。
3. 制度退出权
个人可以退出健康凭证服务，而不会因此自动失去基本医疗服务或被永久标记为可疑对象。
当然，退出权不意味着可以欺骗他人、故意侵害他人的健康权益，或免除依法产生的责任。
它要保护的是：任何人都不应该因为缺乏经济能力、担心失去关系或害怕隐私曝光，而被迫接受不合理的条件。
真正的自由，不仅是拥有选择，还包括能够拒绝不合理的要求。
八、法律制度应当约束什么？
系统上线前，需要明确医疗机构、平台和用户的责任边界。
医疗机构应当对凭证签发、检测信息处理和纠错机制承担相应责任。
平台运营方应当对其控制范围内的安全措施、授权管理和数据处理承担相应责任。
用户应当能够核实信息、纠正错误，并在合法范围内管理自己的披露选择。
对于伪造凭证、非法获取健康信息、恶意泄露隐私等行为，应当依据具体行为和适用法律处理。
但不能把所有问题都简化为“是否扫码”。
没有扫码不意味着违法，扫码也不意味着免除其他法律义务。健康凭证不能替代知情同意，也不能自动决定一个人的法律责任。
此外，系统需要防止被滥用于无关目的。健康信息的调取和使用应当有明确的法律依据，并受到必要性、比例原则和适当程序的约束。
不同国家和地区的法律环境不同，实际部署前必须对敏感个人信息、医疗数据、网络安全、反歧视和相关责任进行专门审查。
九、从六把尺子看：我们真正应该追求什么？
这套制度的成功，不能只看它是否增加了风险控制能力，还必须分别检验六个维度。
保障尺： 是否让检测、预防和治疗更容易获得，减少疾病造成的健康损害？
选择尺： 是否让成年人能够在获得可靠信息的基础上自主决定，同时保留拒绝分享和退出服务的权利？
劳动尺： 是否减少不必要的信息核验和重复沟通，把更多资源用于真正有价值的医疗服务？
贡献尺： 是否确实改善了检测、预防和治疗，而不只是产生更多数据和扫码记录？
激励尺： 是否鼓励主动检测、规范治疗和诚实沟通，而不是让人们因为担心隐私泄露而逃避检测？
意义尺： 是否尊重不同人的亲密关系选择，同时维护双方自主决策和健康权益？
这六把尺子不是一个简单的加权评分表，而是六个需要分别审视的问题。
一个系统即使提高了信息验证效率，如果同时造成新的歧视、扩大强迫披露或者降低医疗服务可及性，也不能仅凭效率提升就认定它是好的制度。
十、如何从理念走向现实？
合理的实施路径不是一开始就建设大型数据库，而是先验证最基本的功能与制度边界。
第一阶段：技术原型
使用模拟数据开发健康钱包、数字凭证签发与验证、双向授权和风险提示。
重点测试凭证是否容易伪造、授权是否清晰、临时数据能否按设计清除，以及用户是否理解检测结果的局限。
第二阶段：医疗合作
在独立安全评估、隐私影响评估和医学审核完成后，与合规医疗机构合作，明确检测项目、凭证字段、签发规则和纠错机制。
同时制定数据处理、责任分配和用户申诉规则。
第三阶段：自愿试点
在明确告知、允许退出和接受独立监督的前提下开展试点。
评估指标不仅包括验证成功率，还应包括：
- 用户是否更好地理解检测结果的局限。
- 检测和治疗服务是否更容易获得。
- 是否发生未经授权的信息访问或泄露。
- 是否出现强迫授权、歧视或新的准入门槛。
- 系统是否真正改善健康结果。
如果试点发现系统让用户更害怕检测、让弱势群体更难参与，或者产生了无法接受的隐私风险，就应当修改设计，必要时停止试点。
制度应当接受现实效果的检验，而不是要求现实适应制度的预设。
十一、结语：好的制度，是让保护自己和他人的成本更低
性自由与公共卫生并不是必然冲突的目标。
成年人可以拥有不同的性生活方式，但自由不意味着可以把未经他人知情的健康风险任意转嫁给他人。公共卫生需要减少疾病传播，却也不必通过全面监控个人亲密关系来实现。
加密性健康信息交换系统提供了一种值得探索的可能：让医疗机构验证检测凭证，让个人决定披露什么，让系统只处理必要信息，让双方获得更可靠的风险提示，同时让公共卫生服务承担起检测、预防和治疗的责任。
它无法消除所有感染风险，也不能阻止所有欺骗和隐私泄露。但如果设计得当，它可能降低健康信息交换成本，改善风险沟通，让预防和治疗更容易获得。
从六把尺子的角度看，制度真正应该追求的，不是最大限度地控制个人，而是让保障更充分、选择更真实、必要劳动更少、有效贡献更容易实现、激励更加合理，并尊重每个人对生活的自主安排。
从退出权的角度看，制度也不能只问人们是否遵守规则，还要问他们是否有能力拒绝不合理的要求。
最终，我们应该追求的是这样一种社会：
- 可信的健康信息更容易获得。
- 检测、预防和治疗更容易实现。
- 健康风险更容易识别和管理。
- 个人隐私不会因为寻求保护而失去控制。
- 没有凭证的人不会自动受到歧视。
- 每个人都能自主决定自己的亲密关系，并有能力拒绝不合理的要求。
真正先进的公共卫生制度，不是让每个人都必须证明自己绝对安全，而是让保护自己和他人的成本足够低，让健康风险更容易被识别，让必要的医疗服务更容易获得，同时让每个人保有隐私、尊严、选择权和退出权。
这才是加密性健康信息交换系统值得探索的根本意义：不是给亲密关系发放许可证，而是建立一种更可信、更低成本、更尊重人的健康合作机制，让个人自由、公共卫生与社会责任真正兼容。