政策原文-网络安全标准实践指南—敏感个人信息识别指南（征求意见稿）-12页_486kb

TC260-PG-2024XA网络安全标准实践指南—敏感个人信息识别指南总结

该指南依据《中华人民共和国个人信息保护法》《网络安全法》和《数据安全法》等法律法规，结合正在制定的敏感个人信息处理安全要求国家标准，旨在指导个人信息处理者识别敏感个人信息，并规范其处理、出境和保护活动。

范围与目的

指南提供了敏感个人信息识别的方法和常见类别示例，适用于组织识别敏感信息范围，并为处理、跨境传输和保护工作提供参考。

关键术语

• 个人信息：以电子或其他方式记录的与已识别或可识别自然人有关的信息，不包括匿名化处理后的数据。
• 敏感个人信息：一旦泄露或非法使用，易导致人格尊严、人身或财产安全受侵害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人信息。

识别方法

（1）识别规则：单项信息如果易导致自然人权益受损（如人格尊严侵害、人身安全危害或财产损失），则认定为敏感。
（2）综合考虑：单项识别与一般个人信息汇合后的整体影响，如果符合标准，应整体视为敏感信息。
（3）示例依赖：基于《指南》附录和标准，推断敏感信息也应保护。

常见敏感个人信息类别

包括以下几类及其示例：

• 生物识别信息：如基因、人脸、声纹、指纹等，可与其他信息结合识别人身份。
• 宗教信仰信息：涉及个人信仰和相关活动。
• 特定身份信息：对人格尊严有重大影响的身份，如残障、军人身份等。
• 医疗健康信息：包括健康状况、就诊记录和设备数据，涵盖过去、现在和未来的健康数据。
• 金融账户信息：涉及银行、证券等账户和资金交易细节。
• 行踪轨迹信息：记录位置、活动地点和轨迹。
• 不满十四周岁未成年人个人信息：特殊保护未成年群体。
• 其他敏感信息：如精准定位、性取向、犯罪记录等。

结论

《指南》为组织提供系统方法来识别、处理和保护敏感个人信息，强调风险评估和社会责任，支持合规和个人数据安全。