《信息安全技术敏感个人信息处理安全要求》.pdf

GB/TXXXXX—XXXX

信息安全技术敏感个人信息处理安全要求

1范围

本文件给出了敏感个人信息界定方法，规定了敏感个人信息处理安全要求。

本文件适用于规范个人信息处理者的敏感个人信息处理活动，也可为监管部门、第三方评估机构对

个人信息处理者开展敏感个人信息处理活动进行监督、管理、评估提供参考。

2规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，

仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本

文件。

GB/T25069—2022信息安全技术术语

GB/T35273—2020信息安全技术个人信息安全规范

GB/T37964—2019信息安全技术个人信息去标识化指南

GB/T37988—2019信息安全技术数据安全能力成熟度模型

GB/T39725—2020信息安全技术健康医疗数据安全指南

GB/T39335—2020信息安全技术个人信息安全影响评估指南

3术语和定义

GB/T25069-2022、GB/T35273—2020界定的以及下列术语和定义适用于本文件。

3.1

个人信息personalinformation

以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的

信息。

[来源：GB/T35273—2020,3.1，有修改]

3.2

敏感个人信息sensitivepersonalinformation

一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人

信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周

岁未成年人的个人信息。

[来源：GB/T35273—2020,3.2，有修改]

3.3

个人信息处理者personalinformationprocessor

自主决定处理目的、处理方式的组织、个人。

[来源：GB/T35273—2020,3.4，有修改]

1

GB/TXXXXX—XXXX

3.4

个人信息主体personalinformationsubject

个人信息已识别或者可识别的自然人。

[来源：GB/T35273—2020,3.3，有修改]

3.5

个人信息处理活动personalinformationprocessingactivities

个人信息的收集、存储、使用、加工、传输、提供、公开、删除等活动。

3.6

特定身份信息personalinformationofspecificidentities

对个人人格尊严和社会评价有重大影响的身份信息。

注：主要包括民族、种族、犯罪记录、残障人士身份信息、身份证件号码等。

4缩略语

下列缩略语适用于本文件。

API：应用程序编程接口（ApplicationProgrammingInterface）

5敏感个人信息界定

5.1敏感个人信息识别

a)个人信息处理者在进行个人信息处理前，应按照以下方法识别敏感个人信息。

b)符合以下任一属性的，应识别为敏感个人信息：

1)个人信息遭到泄露或者非法使用，容易导致自然人的人格尊严受到侵害；

示例1：个人信息主体可能会因特定身份、犯罪记录、宗教信仰、性取向、特定疾病和健康状态等信息泄露遭到歧

视性待遇。

2)个人信息遭到泄露或者非法使用，容易导致自然人的人身安全受到危害；

3)个人信息遭到泄露或者非法使用，容易导致自然人的财产安全受到危害；

示例2：泄露、非法使用金融账户信息及其相关的鉴别信息（如支付口令），可能会造成个人信息主体的财产损失。

c)总体考虑个人信息汇聚融合后的整体属性，如汇聚融合的个人信息遭到泄露或者非法使用容

易对个人权益造成较大影响的，应判断个人信