作者丨李云舒、王凌光
机构丨北京大成（广州）律师事务所
* 本文为威科先行首发文章，未经授权请勿转载
2024年9月18日，全国网络安全标准化技术委员会（“
信安标委
”）发布了TC260-PG-20244A《网络安全标准实践指南——敏感个人信息识别指南》（“
《识别指南》
”），旨在指导各组织识别敏感个人信息范围，为敏感个人信息处理、出境和保护工作提供参考。《识别指南》为《中华人民共和国个人信息保护法》（“
《个人信息保护法》
”）第28条第1款规定的敏感个人信息提供了实践指引；同时，相比于之前在个人信息保护合规实践中起着重要指导作用的推荐性国家标准GB/T 35273—2020《信息安全技术 个人信息安全规范》（“
《个人信息安全规范》
”》，《识别指南》在很多方面有所变化。本文对《识别指南》的主要变化、后续影响进行解读并提出合规建议。
|
个人信息安全规范
|
个人信息保护法
|
识别指南
|
|
二审稿
|
正式稿
|
|
一旦泄露、非法提供或滥用
可能
危害人身和财产安全，
极易
导致个人名誉、身心健康受到损害或歧视性待遇等的个人信息。
|
一旦泄露或者非法使用，
可能
导致个人受到歧视或者人身、财产安全受到严重危害的个人信息。
|
一旦泄露或者非法使用，
容易
导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息。
|
一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息。
|
与其他法域关于“敏感个人信息”（sensitive personal information）
[1]
或者“特殊类型的个人数据”（special categories of personal data）
[2]
的立法思路相似，《个人信息安全规范》
[3]
《个人信息保护法》均从个人信息被泄露后可能造成的危害的角度来界定敏感个人信息。前者将危害后果分为两个层次：对于“危害人身和财产安全”的后果而言，仅仅“可能”就足以认定为“敏感”；对于“导致个人名誉、身心健康受到损害或歧视性待遇”的后果而言，需要“极易”才构成“敏感”。《个人信息保护法》（二审稿）将这一或然性要求统一为“可能”，但考虑到这种界定方式可能导致实务中对敏感个人信息界定的泛化，在正式稿中，为了强调不当使用产生风险的
可能性较高
才构成敏感个人信息
[4]
，将“可能”调整为“容易”。《识别指南》延续了《个人信息保护法》中的定义。
尽管《个人信息保护法》规定了敏感个人信息的定义，但并未明确敏感个人信息的识别规则，而《识别指南》在前者的基础上规定了“单项识别+综合判断+法规规定”的识别规则。
根据《识别指南》第3条a）和b），判断单项个人信息是否属于敏感个人信息的方法有两个路径，一是风险判断，二是示例对照。
|
路径
|
识别规则
|
具体说明
|
|
风险判断
|
一旦遭到泄露或者非法使用，容易导致自然人的人格尊严受到侵害
|
容易导致自然人人格尊严受到侵害的情形可能包括“人肉搜索”、非法侵入网络账户、电信诈骗、损害个人名誉、歧视性差别待遇等。歧视性差别待遇可能因个人信息主体的特定身份、宗教信仰、性取向、特定疾病和健康状态等信息泄露导致。
|
|
一旦遭到泄露或者非法使用，容易导致自然人的人身安全受到危害
|
例如泄露、非法使用个人的行踪轨迹信息，可能会导致个人信息主体的人身安全受到危害。
|
|
一旦遭到泄露或者非法使用，容易导致自然人财产安全受到危害
|
例如泄露、非法使用金融账户信息，可能会造成个人信息主体的财产损失。
|
|
示例对照
|
属于《识别指南》附录- A中所列举的个人信息字段
|
具体包括生物识别信息、宗教信仰信息、特定身份信息、医疗健康信息、金融账户信息、行踪轨迹信息、不满十四周岁未成年人的个人信息以及其他敏感个人信息八个类别。
|
根据《识别指南》第3条c），既要考虑单项敏感个人信息识别，也要考虑多项一般个人信息汇聚或融合后的整体属性，分析其一旦泄露或非法使用可能对个人权益造成的影响，如果符合 a）所述条件，应将汇聚或融合后的个人信息整体参照敏感个人信息进行识别与保护。
同时，根据《识别指南》第3条b），即使某项个人信息属于《识别指南》附录 -A中所列举的个人信息字段，但如有充分理由和证据表示处理的个人信息达不到 a）中条件的，
可不识别为
敏感个人信息。
根据《识别指南》第3条d），法律法规规定为敏感个人信息的，从其规定。在《个人信息保护法》通过之前，我国其他的法律法规规定了一些特定类型的个人信息应当受到更为严格的保护。例如，《征信业管理条例》第14条规定：“禁止征信机构采集个人的
宗教信仰、基因、指纹、血型、疾病和病史信息
以及法律、行政法规规定禁止采集的其他个人信息。”有学者认为，该条所列举的实际上就是敏感的个人信息
[5]
。此外，一些部门规章和标准文件中明确区分了敏感与非敏感的个人信息。如，2021年3月15日国家市场监督管理总局颁布的《网络交易监督管理办法》第13条第2款规定：“网络交易经营者不得采用一次概括授权、默认授权、与其他授权捆绑、停止安装使用等方式，强迫或者变相强迫消费者同意收集、使用与经营活动无直接关系的信息。收集、使用
个人生物特征、医疗健康、金融账户、个人行踪等敏感信息
的，应当逐项取得消费者同意。”从内容来看，前述规定所列举的敏感个人信息内容基本已经被《个人信息保护法》所涵盖；未来如果有其他法律法规规定了《个人信息保护法》所未曾包含的敏感个人信息的类型或字段，则应识别为敏感个人信息。
在《个人信息保护法》第28条第1款规定的基础上，《识别指南》第4条及附录-A将敏感个人信息分为生物识别信息、宗教信仰信息、特定身份信息、医疗健康信息、金融账户信息、行踪轨迹信息、不满十四周岁未成年人的个人信息以及其他敏感个人信息八个类别，并分别列举了常见的示例。相比于《个人信息安全规范》附录B表B.1的举例，《识别指南》规定的更为细致，且在总体上有所限缩。以下结合《个人信息安全规范》《识别指南》（征求意见稿）和《识别指南》（正式稿）逐项进行对比和解读。
|
类别
|
个人信息安全规范
|
《识别指南》（征求意见稿）
|
《识别指南》（正式稿）
|
|
生物识
别信息
|
个人基因、指纹、声纹、掌纹、耳廓、虹膜、
面部识别
特征等
|
个人基因、
人脸
、声纹、
步态
、指纹、掌纹、
眼纹
、耳廓、虹膜等生物识别信息
|
个人基因、人脸、声纹、步态、指纹、掌纹、眼纹、耳廓、虹膜等生物识别信息
|
生物识别信息，也称“个人生物特征”“个人生物识别信息”，由于其具有不可更改性和直接识别性等特性，生物识别信息往往可以直接定位到个人。实践中，生物识别信息面临多样化的风险，关于人脸、指纹等地下非法交易层出不穷；人种生化特征亦可被用来研发基因武器，产生具有特定族群针对性的致病菌。2019年，换脸应用程序ZAO因其协议中存在存储个人面部生物识别特征信息而被监管部门叫停整改。
[6]
相比于《个人信息安全规范》，《识别指南》调整了部分信息类型的表述，如将“面部识别”调整为“人脸”，并增加了“步态”“眼纹”等新类型的信息。
|
类别
|
个人信息安全规范
|
《识别指南》（征求意见稿）
|
《识别指南》（正式稿）
|
|
宗教信
仰信息
|
宗教信仰
|
个人信仰的宗教、加入的宗教组织、宗教组织中的职位、参加的宗教活动、特殊宗教习俗等个人信息
|
个人信仰的宗教、加入的宗教组织、宗教组织中的职位、参加的宗教活动、特殊宗教习俗等个人信息
|
宗教信仰往往代表着一个人独特且鲜明的人生态度与价值观念。在信息时代，个人宗教信仰信息的泄露容易导致该人遭受歧视等人格尊严受损的风险；而部分特殊宗教习俗也可能成为违法分子利用其进行违法犯罪的手段。相比于《个人信息安全规范》中较为概括的规定，《识别指南》将宗教信仰信息具体化为信仰的宗教、加入的宗教组织、宗教组织中的职位、参加的宗教活动、特殊宗教习俗等内容，有利于实践中具体把握宗教信仰信息的具体内容。
|
类别
|
个人信息安全规范
|
《识别指南》（征求意见稿）
|
《识别指南》（正式稿）
|
|
特定身
份信息
|
身份证、军官证、护照、驾驶证、工作证、社保卡、居住证等
|
残障人士身份信息、不适宜公开的职业身份信息
（如军人、警察）
等个人信息
|
残障人士身份信息、不适宜公开的职业身份信息等个人信息
|
在比较法上，特定身份信息的范围非常广泛，可以包括自然人基于生物或社会构建而产生的某种身份信息，最典型的特定身份信息包括：民族、种族、工会成员、政党成员、性别身份、犯罪分子身份等信息。当然，并非特定身份信息都属于敏感的个人信息，此处的特定身份主要指对个人人格尊严和社会评价有重大影响的身份信息，特别是那些可能导致社会歧视的特定身份信息。
[7]
相比于《个人信息安全规范》，
《识别指南》将特定身份信息限缩为两类：
一是残障人士身份信息，二是不适宜公开的职业身份信息。后者的正式稿中删除了征求意见稿中有关军人、警察等职业身份的举例，某种程度上可以理解着为不宜对某些职业进行“一刀切”式的判断，而应具体地进行个案衡量。
|
类别
|
个人信息安全规范
|
《识别指南》（征求意见稿）
|
《识别指南》（正式稿）
|
|
医疗健
康信息
|
个人因生病医治等产生的相关记录，如病症、住院志、医嘱单、检验报告、手术及麻醉记录、护理记录、用药记录、药物食物过敏信息、生育信息、以往病史、诊治情况、家族病史、现病史、传染病史等
|
1.
与个人的身体或心理的伤害、疾病、残疾、疾病风险或隐私有关的健康状况信息，如病症、既往病史、家族病史、传染病史、体检报告、生育信息等
2.
在疾病预防、诊断、治疗、护理、康复等医疗服务过程中收集和产生的个人信息，如医疗就诊记录（如医疗意见、住院志、医嘱单、手术及麻醉记录、护理记录、用药记录）、
医疗设备数据
（如检验报告、检查报告）等
|
1.
与个人的身体或心理的伤害、疾病、残疾、疾病风险或隐私有关的健康状况信息，如病症、既往病史、家族病史、传染病史、体检报告、生育信息等
2.
在疾病预防、诊断、治疗、护理、康复等医疗服务过程中收集和产生的个人信息，如医疗就诊记录（如医疗意见、住院志、医嘱单、手术及麻醉记录、护理记录、用药记录）、
检验检查数据
（如检验报告、检查报告）等
|
《识别指南》将医疗健康信息分为两类，一是与个人的身体或心理的伤害、疾病、残疾、疾病风险或隐私有关的健康状况信息，二是在疾病预防、诊断、治疗、护理、康复等医疗服务过程中收集和产生的个人信息。这些信息往往被各种医院、美容机构、医疗保险公司等组织所收集，表现为住院日志、医嘱单、检验报告、手术及麻醉记录、病理资料、护理记录等病历资料。此类信息一旦泄露或非法使用，极容易对个人的人格尊严和生命健康造成损害，故此，属于敏感的个人信息。
相比于《个人信息安全规范》，
《识别指南》所列举的医疗健康信息要相对更广，
不仅涉及个人因生病医治等产生的相关记录，还涉及疾病预防、体验（如检验报告、检查报告）等过程中产生的个人信息。
|
类别
|
个人信息安全规范
|
《识别指南》（征求意见稿）
|
《识别指南》（正式稿）
|
|
金融账
户信息
|
银行账户、鉴别信息(口令)、存款信息（包括资金数量、支付收款记录等）、
房产信息、信贷记录、
征信信息、
交易和消费记录、流水记录等
，以及
虚拟货币、虚拟交易、游戏类兑换码等虚拟财产信息
|
个人的银行、证券、基金、保险、公积金等账户的账号及密码，公积金联名账号、支付账号、银行卡磁道数据（或芯片等效信息）以及基于账户信息产生的支付标记信息、个人收入明细等个人信息
|
个人的银行、证券、基金、保险、公积金等账户的账号及密码，公积金联名账号、支付账号、银行卡磁道数据（或芯片等效信息）以及基于账户信息产生的支付标记信息、个人收入明细等个人信息
|
此类信息是《识别指南》相对于《个人信息安全规范》限缩的较为明显的领域。
在《个人信息安全规范》中较为相近的类型是“个人财产信息”。由于“个人财产信息”中的很多字段只能标识信息主体所拥有财产的类型和多寡，并一定会对其权益带来直接的风险，《识别指南》依照《个人信息保护法》的分类，将相关信息列举为一旦泄露容易直接导致信息主体财产损失的金融账户的账号及密码以及基于账户信息产生的支付标记信息、个人收入明细等个人信息，从而在某种程度上将《个人信息安全规范》中所列举的
房产信息、信贷记录、交易和消费记录、流水记录、虚拟货币、虚拟交易、游戏类兑换码等虚拟财产信息
排除在敏感个人信息之外，减轻了相关个人信息处理者的合规负担。
|
类别
|
个人信息安全规范
|
《识别指南》（征求意见稿）
|
《识别指南》（正式稿）
|
|
行踪轨
迹信息
|
行踪轨迹
|
实时
精准定位信息、
GPS
车辆轨迹信息、
航班高铁出行记录
、
人员轨迹信息等个人信息
|
连续
精准定位
轨迹
信息、车辆
行驶
轨迹信息、人员
活动
轨迹信息等个人信息
|
行踪轨迹信息也称为“行踪信息”
[8]
或“行踪轨迹”
[9]
，是个人在一定期间内因为所处具体地理位置、活动地点和活动轨迹的移动变化而形成的连续轨迹信息。既包括实时的位置信息，也包括移动的轨迹。
[10]
上述信息与个人人身安全密切相关，一旦被泄露或非法使用，可能为不法分子进行敲诈勒索、盗窃抢劫等违法行为提供便利条件。
对于某些特定行业而言，其因工作而产生的行踪轨迹信息需要被实时记录，因而，《识别指南》规定，
特定职业（外卖员、快递员等）用于实现服务履约场景下产生的行踪轨迹信息应排除在敏感个人信息之外
。同时，通过调用个人手机精准位置权限采集的位置信息是精准定位信息，通过IP地址等测算的粗略位置信息不是精准定位信息，因而，
连续采集通过IP地址等测算的粗略位置而形成的“轨迹信息”应不属于敏感个人信息
。
|
类别
|
个人信息安全规范
|
《识别指南》（征求意见稿）
|
《识别指南》（正式稿）
|
|
不满十四周岁未成年人个人信息
|
十四周岁以下儿童的个人信息
|
不满十四周岁未成年人的个人信息
|
不满十四周岁未成年人的个人信息
|
不满14周岁未成年人的个人信息可以理解为儿童个人信息。
[11]
由于信息主体的特殊性，其涵盖的范畴较广，包括儿童的姓名、年龄等一切个人信息，因而，无论是《个人信息安全规范》，还是《识别指南》，都没有对这一类型的敏感个人信息进行进一步列举。
|
类别
|
个人信息安全规范
|
《识别指南》（征求意见稿）
|
《识别指南》（正式稿）
|
|
其他敏感个人信息
|
性取向、婚史、未公开的
违法
犯罪记录、
通信记录和内容、通讯录、好友列表、群组列表、网页浏览记录、住宿信息、
精准定位信息等
|
精准定位信息、
身份证照片
、性取向、
性生活、
征信信息、犯罪记录信息、
展示个人身体私密部位的照片或视频信息
等
|
精准定位信息、身份证照片、性取向、性生活、征信信息、犯罪记录信息、展示个人身体私密部位的照片或视频信息等个人信息
|
在《个人信息保护法》的起草过程中，不少人建议在敏感个人信息的范围中增加性生活、诉讼记录、犯罪前科等类型的信息，但《个人信息保护法》毕竟无法逐一列举所有的敏感个人信息，故此《个人信息保护法》第28条第1款使用了“等信息”作为兜底。
相比于《个人信息安全规范》，《识别指南》在此类敏感个人信息的列举上有几个值得关注的改变：一是删除了《个人信息安全规范》中所列举的
通信记录和内容、通讯录、好友列表、群组列表、网页浏览记录、住宿信息等内容，
这些信息是诸多App运营者涉及的最主要的敏感个人信息类型，其
敏感性也在司法案例
[12]
中被充分探讨
；二是将《个人信息安全规范》列入“个人身份信息”中的“身份证”调整到本分类，并明确为“身份证照片”；三是增加了“性生活”的表述；四是将“犯罪记录信息”明确为“我国国家专门机关对犯罪人员的客观记载，如罪名、刑罚等记录”，并删除了“未公开的”条件以及“违法”记录的表述；五是增加了展示个人身体私密部位的照片或视频信息。
《识别指南》在《个人信息保护法》的基础上对敏感个人信息的识别进行了细化。相对于《个人信息安全规范》，《识别指南》
更加符合上位法的原则和精神，更便于企业在合规过程中参照。但其仍存在一些问题，有待立法机关和监管机关后续明确。
例如，关于
犯罪记录信息是否可以一概识别为敏感个人信息就值得商榷。一般而言，法院作出的裁判文书除非涉及国家秘密、未成年人犯罪等例外情形的，应当予以公开，因此犯罪记录信息在很多情况下属于《个人信息保护法》第27条规定的“已经合法公开的个人信息”，不宜作为敏感个人信息进行特别保护。同时，
《识别指南》以团体标准而非国家标准的形式发布，表明其具有一定的探索性和延展性
。
基于上述理解，我们建议企业参照
《识别指南》中
“单项识别+综合判断+法规规定”的路径对企业的个人信息处理行为进行重新梳理
。
第一，单项识别。在这一过程中，企业应对照《识别指南》附录A中常见敏感个人信息类别示例字段对自身收集处理的个人信息字段进行排查，尤其是《个人信息安全规范》中未包含而《识别指南》中新增的字段。
第二，综合判断。在这一过程中，企业应跳出对单个字段的分析，综合考量自身掌握的多项一般个人信息汇聚或融合后的整体属性，分析其一旦泄露或非法使用可能对个人权益造成的影响，如果容易造成《识别指南》第3条a）所提及的风险，则应将汇聚或融合后的个人信息整体参照敏感个人信息进行识别与保护。
