網(wǎng)上投稿
一、 前言
敏感個(gè)人信息不僅是個(gè)人信息保護(hù)的關(guān)注焦點(diǎn)之一，也是企業(yè)履行數(shù)據(jù)合規(guī)義務(wù)的工作重點(diǎn)。根據(jù)相關(guān)法律法規(guī)，個(gè)人信息處理者在處理敏感個(gè)人信息時(shí)需要履行包括但不限于如下的合規(guī)義務(wù)：取得單獨(dú)同意、充分告知、事先進(jìn)行個(gè)人信息保護(hù)影響評(píng)估、履行安全保護(hù)要求、履行出境合規(guī)義務(wù)等。而履行前述合規(guī)義務(wù)的前提和基礎(chǔ)，是確認(rèn)哪些個(gè)人信息是敏感個(gè)人信息，即敏感個(gè)人信息識(shí)別。
在現(xiàn)有法律法規(guī)和推薦性國家標(biāo)準(zhǔn)基礎(chǔ)上，全國網(wǎng)絡(luò)安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)發(fā)布了《網(wǎng)絡(luò)安全標(biāo)準(zhǔn)實(shí)踐指南—敏感個(gè)人信息識(shí)別指南》（以下簡稱“《敏感個(gè)人信息識(shí)別指南》”），以指導(dǎo)各組織識(shí)別敏感個(gè)人信息。《敏感個(gè)人信息識(shí)別指南》的出臺(tái)，為敏感個(gè)人信息的識(shí)別提供了更加細(xì)化的指導(dǎo)方向和操作指引。在此背景下，本文擬對(duì)《敏感個(gè)人信息識(shí)別指南》中敏感個(gè)人信息的概念界定、分類以及識(shí)別規(guī)則進(jìn)行梳理，并結(jié)合司法實(shí)踐予以總結(jié)分析，以期為實(shí)務(wù)提供參考。
二、 現(xiàn)行法律法規(guī)及規(guī)范、指引對(duì)敏感個(gè)人信息的界定及分類
（一） 敏感個(gè)人信息的界定
當(dāng)前我國法律法規(guī)及各類規(guī)范、指引對(duì)敏感個(gè)人信息一般采取“危害結(jié)果概括+常見分類舉例”的定義方式，即從不法行為所導(dǎo)致的危害結(jié)果切入，對(duì)敏感個(gè)人信息的概念進(jìn)行界定，并列舉常見分類。例如：
2020年10月1日實(shí)施的《信息安全技術(shù) 個(gè)人信息安全規(guī)范》（GB/T 35273—2020，以下簡稱“《個(gè)人信息安全規(guī)范》”）附錄B個(gè)人敏感信息判定規(guī)定，個(gè)人敏感信息是指一旦泄露、非法提供或?yàn)E用可能危害人身和財(cái)產(chǎn)安全，極易導(dǎo)致個(gè)人名譽(yù)、身心健康受到損害或歧視性待遇等的個(gè)人信息。
2021年11月1日實(shí)施的《中華人民共和國個(gè)人信息保護(hù)法》（以下簡稱“《個(gè)人信息保護(hù)法》”）對(duì)敏感個(gè)人信息的定義進(jìn)行了精簡，并附以常見分類。第二十八條第一款規(guī)定，敏感個(gè)人信息是一旦泄露或者非法使用，容易導(dǎo)致自然人的人格尊嚴(yán)受到侵害或者人身、財(cái)產(chǎn)安全受到危害的個(gè)人信息，包括生物識(shí)別、宗教信仰、特定身份、醫(yī)療健康、金融賬戶、行蹤軌跡等信息，以及不滿十四周歲未成年人的個(gè)人信息。
此后發(fā)布或施行的相關(guān)規(guī)范，基本延續(xù)了《個(gè)人信息保護(hù)法》對(duì)敏感個(gè)人信息的定義，如2021年12月31日實(shí)施的《網(wǎng)絡(luò)安全標(biāo)準(zhǔn)實(shí)踐指南—網(wǎng)絡(luò)數(shù)據(jù)分類分級(jí)指引》（“以下簡稱《網(wǎng)絡(luò)數(shù)據(jù)分類分級(jí)指引》”）、2023年8月9日發(fā)布的《信息安全技術(shù) 敏感個(gè)人信息處理安全要求》（征求意見稿，以下簡稱“《敏感個(gè)人信息處理安全要求》”）與2024年9月14日實(shí)施的《敏感個(gè)人信息識(shí)別指南》等。
（二） 敏感個(gè)人信息的類別
筆者對(duì)上述法律法規(guī)及規(guī)范、指引中關(guān)于敏感個(gè)人信息的分類進(jìn)行了梳理，詳見下表：
| 序號(hào) |
法規(guī)或規(guī)范名稱 |
敏感個(gè)人信息類別 |
| 1 |
《個(gè)人信息安全規(guī)范》 2020.10.01 |
個(gè)人財(cái)產(chǎn)信息、個(gè)人健康生理信息、個(gè)人生物識(shí)別信息、個(gè)人身份信息、其他信息 |
| 2 |
《個(gè)人信息保護(hù)法》 2021.11.01 |
生物識(shí)別、宗教信仰、特定身份、醫(yī)療健康、金融賬戶、行蹤軌跡、不滿十四周歲未成年人的個(gè)人信息 |
| 3 |
《網(wǎng)絡(luò)數(shù)據(jù)分類分級(jí)指引》 2021.12.31 |
特定身份、生物識(shí)別信息、金融賬戶、醫(yī)療健康、行蹤軌跡、未成年人個(gè)人信息、身份鑒別信息、其他敏感個(gè)人信息 |
| 4 |
《敏感個(gè)人信息處理安全要求》 2023.08.09 |
生物識(shí)別信息、宗教信仰信息、特定身份信息、醫(yī)療健康信息、金融賬戶信息、行蹤軌跡信息、不滿十四周歲未成年人個(gè)人信息、身份鑒別信息、其他敏感個(gè)人信息 |
| 5 |
《敏感個(gè)人信息識(shí)別指南》 2024.09.14 |
生物識(shí)別信息、宗教信仰信息、特定身份信息、醫(yī)療健康信息、金融賬戶信息、行蹤軌跡信息、不滿十四周歲未成年人的個(gè)人信息、其他敏感個(gè)人信息 |
《敏感個(gè)人信息識(shí)別指南》對(duì)于敏感個(gè)人信息的分類基本借鑒了《個(gè)人信息保護(hù)法》所列的七項(xiàng)，并增加兜底性質(zhì)的“其他敏感個(gè)人信息”。而各類別項(xiàng)下的具體示例則在過往實(shí)務(wù)經(jīng)驗(yàn)的基礎(chǔ)上，新增或調(diào)整幾例特定敏感個(gè)人信息的表述，如特定身份信息中的“不適宜公開的職業(yè)身份信息”、其他敏感個(gè)人信息中的“展示個(gè)人身體私密部位的照片或視頻”等，這些調(diào)整部分需要予以關(guān)注。
三、 《敏感個(gè)人信息識(shí)別指南》關(guān)于敏感個(gè)人信息識(shí)別的規(guī)則
《敏感個(gè)人信息識(shí)別指南》第3章規(guī)定了敏感個(gè)人信息的識(shí)別規(guī)則，主要包括：
1. 實(shí)質(zhì)性識(shí)別規(guī)則?！睹舾袀€(gè)人信息識(shí)別指南》從定義出發(fā)，以泄露或非法使用的不法行為所容易導(dǎo)致自然人人格尊嚴(yán)、人身安全以及財(cái)產(chǎn)安全受損的危害后果作為實(shí)質(zhì)性標(biāo)準(zhǔn)，建立起敏感個(gè)人信息的實(shí)質(zhì)性識(shí)別規(guī)則。其中：
w 人格尊嚴(yán)是個(gè)人基于自己所處的社會(huì)環(huán)境、地位、聲望、工作環(huán)境、家庭關(guān)系等各種客觀條件而對(duì)自己或他人的人格價(jià)值或社會(huì)價(jià)值的認(rèn)識(shí)和尊重。侵害人格尊嚴(yán)會(huì)致使個(gè)人的人格評(píng)價(jià)被降低、隱私被泄露，造成精神創(chuàng)傷和痛苦。容易侵害人格尊嚴(yán)的情形可能包括“人肉搜索”、非法侵入網(wǎng)絡(luò)賬戶、電信詐騙、損害個(gè)人名譽(yù)、歧視性差別待遇等。例如：泄露個(gè)人的特定身份、宗教信仰、性取向、特定疾病和健康狀態(tài)等信息，容易引發(fā)社會(huì)偏見、導(dǎo)致個(gè)人遭受歧視性差別待遇，進(jìn)而侵害其人格尊嚴(yán)；
w 危害人身、財(cái)產(chǎn)安全主要指個(gè)人的生命權(quán)、身體權(quán)、健康權(quán)等人身權(quán)益或者個(gè)人的財(cái)產(chǎn)權(quán)益遭受了侵害或者有被侵害的風(fēng)險(xiǎn)。例如泄露、非法使用個(gè)人的行蹤軌跡信息，容易導(dǎo)致個(gè)人的人身安全受到危害；泄露、非法使用金融賬戶信息，容易造成個(gè)人的財(cái)產(chǎn)損失。
綜上，實(shí)質(zhì)性識(shí)別規(guī)則旨在綜合判斷個(gè)人信息的敏感程度，即被泄露或者遭非法使用后，造成個(gè)人人格尊嚴(yán)、人身安全以及財(cái)產(chǎn)安全遭受侵害或侵害風(fēng)險(xiǎn)的難易程度。如通過社會(huì)一般理性判斷容易造成前述侵害或侵害風(fēng)險(xiǎn)的，該個(gè)人信息應(yīng)識(shí)別為敏感個(gè)人信息。
除了正向識(shí)別外，實(shí)質(zhì)性識(shí)別規(guī)則亦可適用于敏感個(gè)人信息的排除上，即反向識(shí)別哪些信息不屬于敏感個(gè)人信息。
2. 對(duì)照式識(shí)別規(guī)則。即將個(gè)人信息與《敏感個(gè)人信息識(shí)別指南》“表A.1常見敏感個(gè)人信息”的示例進(jìn)行比對(duì)，經(jīng)比對(duì)落入其列舉范圍的，原則上將被識(shí)別為敏感個(gè)人信息，除非存在充分理由和證據(jù)表明個(gè)人信息達(dá)不到實(shí)質(zhì)性標(biāo)準(zhǔn)。
3. 整體性識(shí)別規(guī)則。即多項(xiàng)一般個(gè)人信息匯聚或融合后的整體如符合實(shí)質(zhì)標(biāo)準(zhǔn)，則應(yīng)被識(shí)別為敏感個(gè)人信息。比如，《敏感個(gè)人信息識(shí)別指南》指出“人肉搜索”屬于容易導(dǎo)致自然人人格尊嚴(yán)受到侵害的情形。尤其當(dāng)個(gè)人已經(jīng)引發(fā)相關(guān)輿情時(shí)，其姓名、家庭住址等信息很可能被整合利用并對(duì)個(gè)人實(shí)施“人肉搜索”，容易導(dǎo)致該個(gè)人受到追蹤、騷擾、網(wǎng)絡(luò)暴力，進(jìn)而侵害其人格尊嚴(yán)。那么上述一般個(gè)人信息形成的整體就可能構(gòu)成敏感個(gè)人信息。
《敏感個(gè)人信息識(shí)別指南》建立的敏感個(gè)人信息識(shí)別規(guī)則如下圖：
四、 司法實(shí)踐中關(guān)于敏感個(gè)人信息的識(shí)別規(guī)則
司法實(shí)踐中，已有部分案例具體闡釋了敏感個(gè)人信息的識(shí)別規(guī)則，其思路與《敏感個(gè)人信息識(shí)別指南》所建立的識(shí)別規(guī)則大體一致，即先通過對(duì)照式識(shí)別規(guī)則判斷是否屬于敏感個(gè)人信息，再通過實(shí)質(zhì)性識(shí)別規(guī)則進(jìn)行二次識(shí)別。經(jīng)檢索，筆者大致梳理總結(jié)如下：
1. 對(duì)照式識(shí)別規(guī)則。當(dāng)案件中涉及的個(gè)人信息落入相關(guān)法律法規(guī)及規(guī)范、指引列舉的敏感個(gè)人信息示例時(shí)，法院一般直接認(rèn)定其構(gòu)成敏感個(gè)人信息。例如：
w 人臉信息歸為生物識(shí)別信息，屬于敏感個(gè)人信息。在（2023）浙0192民初4563號(hào)中，法院認(rèn)為：“人臉信息屬于生物識(shí)別信息，生物識(shí)別信息屬于極為重要的個(gè)人敏感信息，處理人臉類的生物識(shí)別信息除必須獲得個(gè)人的單獨(dú)同意外，還需要遵守行政法規(guī)的特別規(guī)定”；
w 醫(yī)療就診記錄歸為醫(yī)療健康信息，屬于敏感個(gè)人信息。在（2023）京03民終15621號(hào)中，法院認(rèn)為：“醫(yī)療健康信息與自然人的人身、健康密切關(guān)聯(lián)，屬于敏感個(gè)人信息，……徐某的病歷資料涉及徐某本人的生理健康，屬于徐某的敏感個(gè)人信息”。
w 房產(chǎn)信息歸為個(gè)人財(cái)產(chǎn)信息，屬于敏感個(gè)人信息。在（2023）蘇0505民初394號(hào)中，法院認(rèn)為：“從個(gè)人信息敏感程度來看，國家市場監(jiān)督管理總局、國家標(biāo)準(zhǔn)化管理委員會(huì)于2020年3月6日發(fā)布于2020年10月1日實(shí)施的《信息安全技術(shù)個(gè)人信息安全規(guī)范》附錄B“個(gè)人敏感信息判定”中表B.1“個(gè)人敏感信息舉例”中認(rèn)為房產(chǎn)信息作為個(gè)人財(cái)產(chǎn)信息屬于個(gè)人敏感信息，本案所涉房產(chǎn)信息應(yīng)屬于個(gè)人敏感信息”。
2. 實(shí)質(zhì)性識(shí)別規(guī)則。如果案件所涉?zhèn)€人信息并非法律法規(guī)及規(guī)范、指引中所示例的敏感個(gè)人信息，則需要根據(jù)實(shí)質(zhì)性識(shí)別規(guī)則，綜合判定是否屬于敏感個(gè)人信息。
w 在（2021）遼01民初3574號(hào)中，法院認(rèn)為：“本案涉及的自然人的微信賬號(hào)、手機(jī)號(hào)碼、登錄密碼和支付密碼，承載了大量的自然人身份信息，具有區(qū)別于他人的屬性，即在與其他信息結(jié)合后能夠識(shí)別出特定自然人，故均屬于自然人的個(gè)人信息。上述信息一旦被泄露或者被非法利用，可能導(dǎo)致自然人的人格尊嚴(yán)受到侵害或者人身、財(cái)產(chǎn)安全受到危害，可能對(duì)個(gè)人信息主體的權(quán)益帶來重大風(fēng)險(xiǎn)，故屬于個(gè)人敏感信息的范疇。”
w 實(shí)踐中，亦存在通過實(shí)質(zhì)性識(shí)別規(guī)則將案涉?zhèn)€人信息排除在敏感個(gè)人信息范圍之外的情形。如在（2022）浙0192民初4259號(hào)中，法院認(rèn)為：“本案中，淘寶公司處理薛某的個(gè)人信息主要涉及案涉購物訂單信息、交易支付完成情況信息、商品配送信息等。從信息的具體內(nèi)容上看，淘寶公司處理的薛某案涉?zhèn)€人信息既不屬于前述法條中具體列舉的敏感個(gè)人信息，也不屬于社會(huì)通常認(rèn)識(shí)意義上具有危及自然人人身、財(cái)產(chǎn)安全的敏感個(gè)人信息……故淘寶公司處理的薛某案涉購物訂單信息、交易支付完成情況信息、商品配送等個(gè)人信息，屬于一般個(gè)人信息類型?！痹摪钢?，法院正是按照：對(duì)照式識(shí)別規(guī)則→實(shí)質(zhì)性識(shí)別規(guī)則的順序，先將案涉?zhèn)€人信息從列舉范圍內(nèi)排除，又實(shí)質(zhì)性判定該個(gè)人信息一般不會(huì)危及人身、財(cái)產(chǎn)安全，進(jìn)而認(rèn)定案涉?zhèn)€人信息不屬于敏感個(gè)人信息。
五、 結(jié)語
作為敏感個(gè)人信息合規(guī)的前置性程序，敏感個(gè)人信息識(shí)別對(duì)企業(yè)的數(shù)據(jù)合規(guī)至關(guān)重要。伴隨著立法與實(shí)踐對(duì)個(gè)人信息保護(hù)的日益重視，敏感個(gè)人信息識(shí)別或?qū)⒊蔀槠髽I(yè)必不可少的合規(guī)課題。我們建議企業(yè)將敏感個(gè)人信息識(shí)別工作提上日程，關(guān)注立法與司法前沿訊息，建立健全相應(yīng)的識(shí)別規(guī)則，并在此基礎(chǔ)上切實(shí)履行合規(guī)義務(wù)。
滬公網(wǎng)安備 31010402007129號(hào)
