新冠疫情防控常态化背景下,为了提高大量疫情信息的处理效率,更好地应对新冠疫情,行政机关连同互联网企业推出了“健康码”作为数字防疫设施,同时构建内部与外部双重控制机制对“健康码”进行规制:其一,构建以代码为核心的内部控制机制,实现“健康码”系统数据收集、数据处理、结果输出全过程各阶段的控制;其二,构建以法律为核心的外部控制机制,促使“健康码”发挥辅助型自动化行政的功能,实现“健康码”的法律控制。然而现行“健康码”的控制机制过度依赖以代码为核心的内部控制,忽视以法律为核心的外部控制,导致现行控制机制难以实现对于“健康码”的有效控制。具体表现为:其一,输入系统前法律控制的缺失;其二,系统运算所得的结果输出后法律控制的缺失。输入阶段法律控制的缺失主要表现为法律对于“健康码”代码控制的缺失,包括数据收集代码的法律失控、数据处理代码的法律失控。数据收集代码的法律失控,使得“健康码”在进行数据收集时不区分不同数据的法律属性,继而难以提供相应的法定保护措施,同时在范围和限度上逾越“履行法定职责所必须”的限制,存在数据收集超越法定权限的情形。数据处理代码的法律失控,主要表现为赋码规则的法律失控,使得行政机关得以进行“偏好设置”,将实际健康风险程度较低的人员,纳入中、高风险人群范畴。输出阶段法律控制的缺失主要表现为“健康码”法律定位与功能定位不明确。“健康码”的代码架构及运行机制决定了它的功能局限性,在疾病预防和控制机构、卫生行政部门履行疫情防控职责过程中,作为有关机构、部门调查、收集、处理、登记、监测防疫信息手段的延伸。然而在实践中,行政机关将“健康码”运算结果作为应急处置措施启动的羁束性要件,受到数据驱动而存在裁量压缩、裁量懈怠等问题。因此,实现“健康码”以及此类辅助型自动化行政的法律规制,关键在于构建外部控制机制,加强输入系统前与输出系统后两个阶段的法律控制,在立足于法律规范的同时保持行政权的张力,坚持个案裁量。