网络安全标准实践指南—敏感个人信息识别指南（征求意见稿）.docx

TC260-PG-2024XA

网络安全标准实践指南

—敏感个人信息识别指南

（征求意见稿v1.0-202406）

全国网络安全标准化技术委员会秘书处2024年6月

本文档可从以下网址获得：

/

I

前言

《网络安全标准实践指南》（以下简称《实践指南》）是全国网络安全标准化技术委员会（以下简称“网安标委”）秘书处组织制定和发布的标准相关技术文件，旨在围绕网络安全法律法规、政策、标准、网络安全热点和事件等主题，宣传网络安全相关标准及知识，提供标准化实践指引。

II

声明

本《实践指南》版权属于网安标委秘书处，未经秘书处书面授权，不得以任何方式抄袭、翻译《实践指南》的任何部分。凡转载或引用本《实践指南》的观点、数据，请注明“来源：全国网络安全标准化技术委员会秘书处”。

技术支持单位

本《实践指南》得到中国电子技术标准化研究院、中国科学院信息工程研究所、国家信息技术安全研究中心、蚂蚁科技集团股份有限公司、北京抖音信息服务有限公司、北京快手科技有限公司、北京百度网讯科技有限公司、中信银行股份有限公司、贝壳找房（北京）科技有限公司、阿里巴巴（北京）软件服务有限公司、中国银联股份有限公司、奥林巴斯（北京）销售服务有限公司、医渡云（北京）技术有限公司、飞利浦（中国）投资有限公司、北京小桔科技有限公司、华为技术有限公司等单位的技术支持。

III

摘要

为指导个人信息处理者识别敏感个人信息，规范敏感个人信息处理、出境和保护活动，依据《中华人民共和国个人信息保护法》《中华人民共和国网络安全法》《中华人民共和国数据安全法》等法律法规，参照正在制定的敏感个人信息处理安全要求国家标准，制定本指南。

本指南提出了敏感个人信息识别方法，给出了常见敏感个人信息类别和示例，可用于指导各组织识别敏感个人信息范围，也可为敏感个人信息处理、出境和保护工作提供参考。

1

目录

1范围 1

2术语与定义 1

3敏感个人信息识别 2

4常见敏感个人信息 3

附录A常见敏感个人信息类别示例 5

参考文献 7

1范围

本指南提出了敏感个人信息识别方法，给出了常见敏感个人信息的类别和示例。

本指南可用于指导各组织识别敏感个人信息范围，也可为敏感个人信息处理、出境和保护工作提供参考。

2术语与定义

2.1个人信息

以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息。

注：个人信息不包括匿名化处理后的信息。

[来源：GB/T35273—2020,3.1，有修改]

2.2敏感个人信息

一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息。

注：敏感个人信息包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。

[来源：GB/T35273—2020,3.2，有修改]

2.3个人信息主体

个人信息所标识或关联的自然人。[来源：GB/T35273—2020,3.3]

1

2.4个人信息处理者

在个人信息处理活动中自主决定处理目的、处理方式的组织、个人。

[来源：GB/T35273—2020,3.4，有修改]

3敏感个人信息识别

个人信息处理者应按照以下规则，识别敏感个人信息。

a)符合以下任一条件的个人信息，应识别为敏感个人信息：

1)个人信息一旦遭到泄露或者非法使用，容易导致自然人的

人格尊严受到侵害；

注1：维护个人的人格尊严包括维护生命权、身体权、健康权、姓名权、名称权、肖像权、名誉权、荣誉权、隐私权以及其他人格权益。容易导致自然人人格尊严受到侵害的情形可能包括“人肉搜索”、非法侵入他人网络账户、贩卖个人信息、电信诈骗、损害个人名誉、歧视性差别待遇等。

注2：例如个人信息主体可能会因特定身份、宗教信仰、性取向、特定疾病和健康状态等信息泄露遭到歧视性待遇。

2)个人信息一旦遭到泄露或者非法使用，容易导致自然人的

人身安全受到危害；

注3：例如泄露、非法使用个人的行踪轨迹信息，可能会造成个人信息主体的人身安全受到损害。

3)个人信息一旦遭到泄露或者非法使用，容易导致自然人财

产安全受到危害。

注4：例如泄露、非法使用金融账户信息，可能会造成个人信息主体的财产损失。

b)按照第4章和附录A，识别收集、产生的常见敏感个人信息。注5：根据用户的个人信息推断其敏感个人信息，推断出的信息也属于敏感个人信

2

3

息。

c)既要考虑单项敏感个人信息识别，也要考虑多项一般个人信息汇聚或融合后的整体属性，分析其一