TC260-PG-20244A 《網(wǎng)絡(luò)安全標(biāo)準(zhǔn)實踐指南-敏感個人信息識別指南》

—敏感個人信息識別指南全國網(wǎng)絡(luò)安全標(biāo)準(zhǔn)化技術(shù)委員會秘書處I《網(wǎng)絡(luò)安全標(biāo)準(zhǔn)實踐指南》（以下簡稱《實踐指南》）是全國網(wǎng)絡(luò)安全標(biāo)準(zhǔn)化技術(shù)委員會（以下簡稱“網(wǎng)安標(biāo)委”）秘書處組織制定和發(fā)布的標(biāo)準(zhǔn)相關(guān)技術(shù)文件，旨在圍繞網(wǎng)絡(luò)安全法律法規(guī)政策、標(biāo)準(zhǔn)、網(wǎng)絡(luò)安全熱點和事件等主題，宣傳網(wǎng)絡(luò)安全相關(guān)標(biāo)準(zhǔn)及知識，提供標(biāo)準(zhǔn)化實踐指引。本《實踐指南》版權(quán)屬于網(wǎng)安標(biāo)委秘書處，未經(jīng)秘書處書面授權(quán)，不得以任何方式抄襲、翻譯《實踐指南》的任何部分。凡轉(zhuǎn)載或引用本《實踐指南》的觀點、數(shù)據(jù)，請注明“來源：全國網(wǎng)絡(luò)安全標(biāo)準(zhǔn)化技術(shù)委員會秘書處”。技術(shù)支持單位本《實踐指南》得到中國電子技術(shù)標(biāo)準(zhǔn)化研究院、中國科學(xué)院信息工程研究所、國家信息技術(shù)安全研究中心、北京理工大學(xué)、螞蟻科技集團(tuán)股份有限公司、北京抖音信息服務(wù)有限公司、北京快手科技有限公司、北京百度網(wǎng)訊科技有限公司、中信銀行股份有限公司、貝殼找房（北京）科技有限公司、阿里巴巴（北京）軟件服務(wù)有限公司、中國銀聯(lián)股份京）技術(shù)有限公司、飛利浦（中國）投資有限公司、北京小桔科技有限公司、華為技術(shù)有限公司等單位的技術(shù)支持。依據(jù)《中華人民共和國個人信息保護(hù)法》《中華人民共和國網(wǎng)絡(luò)安全法》《中華人民共和國數(shù)據(jù)安全法》等法律法規(guī)，支撐敏感個人信息處理安全要求國家標(biāo)準(zhǔn)研制工作，指導(dǎo)各組織開展敏感個人信息識別工作，制定本實踐指南。本實踐指南給出了敏感個人信息識別規(guī)則以及常見敏感個人信息類別和示例?？捎糜谥笇?dǎo)各組織識別敏感個人信息，也可為敏感個人信息處理和保護(hù)工作提供參考。1 12術(shù)語與定義 13敏感個人信息識別規(guī)則 24常見敏感個人信息 3附錄A常見敏感個人信息類別示例 5參考文獻(xiàn) 71本實踐指南給出了敏感個人信息識別規(guī)則以及常見敏感個人信2術(shù)語與定義以電子或者其他方式記錄的與已識別或者可識別的自然人有關(guān)注：敏感個人信息包括生物識別、宗教信仰、特定身份、醫(yī)療健康、金融賬戶、行蹤軌跡等信息，以及不滿十四周歲未成年人的個人信息。23敏感個人信息識別規(guī)則1)一旦遭到泄露或者非法使用，容注1：容易導(dǎo)致自然人人格尊嚴(yán)受到侵害的情形可能包括“人肉搜索”、非法侵入網(wǎng)絡(luò)賬戶、電信詐騙、損害個人名譽、歧視性差別待遇等。歧視性差別待遇可能因個人信息主體的特定身份、宗教信仰、性取向、特定疾病和健康狀態(tài)等信息泄露導(dǎo)致。2)一旦遭到泄露或者非法使用，容易導(dǎo)致自然人的人身安全注2：例如泄露、非法使用個人的行蹤軌跡信息，可能會導(dǎo)致個人信息主體的人身安全受到危害。3)一旦遭到泄露或者非法使用，容易導(dǎo)致自然人財產(chǎn)安全受注3：例如泄露、非法使用金融賬戶信息，可能會造成個人信息主體的財產(chǎn)損失。注4：如有充分理由和證據(jù)表示處理的個人信息達(dá)不到a）中條件的，可不識別為敏感個人信息。34常見敏感個人信息注1：生物識別信息可參考GB/T40660、GB/T41819、GB/T41807、GB/T41773、GB/T41806等生物識別信息安全國家標(biāo)準(zhǔn)。注2：特定職業(yè)（外賣員、快遞員等）用于實現(xiàn)服務(wù)履約場景下除外。45附錄A常見敏感個人信息類別示例1.與個人的身體或心理的傷害、疾病、殘疾、疾病風(fēng)險或隱私有關(guān)的健康狀況信息[注5]，如病癥、既往病史、家族病檢驗檢查數(shù)據(jù)（如檢驗報告、檢查報告）等注1：基因信息即基因識別數(shù)據(jù)，具體可參考國家標(biāo)準(zhǔn)GB/T41806-2022《信息安全技術(shù)基因識別數(shù)據(jù)安全要求》。注2：人臉信息即人臉識別數(shù)據(jù)，具體可參考國家標(biāo)準(zhǔn)GB/T41819-2022《信息安全技術(shù)人臉識別數(shù)據(jù)安全要求》。6注3：聲紋信息即聲紋識別數(shù)據(jù)，具體可參考國家標(biāo)準(zhǔn)GB/T41807-2022《信息安全技術(shù)聲紋識別數(shù)據(jù)安全要求》。注4：步態(tài)信息即步態(tài)識別數(shù)據(jù)，具體可參考國家標(biāo)準(zhǔn)GB/T41773-2022《信息安全技術(shù)步態(tài)識別數(shù)據(jù)安全要求》。注5：個人的體重、身高、血型、血壓、肺活量等基本體質(zhì)信息，如果與個人的疾病和醫(yī)療就診無關(guān)，則可認(rèn)為不屬于敏感個人信息范疇。注6：通過調(diào)用個人手機(jī)精準(zhǔn)位置權(quán)限采集的位置信息是精準(zhǔn)定位信息，通過IP地址等測算的粗略位置信息不是精準(zhǔn)定位信息，連續(xù)采集的精準(zhǔn)定位信息可用于生成行蹤軌跡。注7：犯罪記錄，是指我國國家專門機(jī)關(guān)對犯罪人員的客觀記載，如罪名、刑罰等記錄。7參考文獻(xiàn)[3]《網(wǎng)絡(luò)數(shù)據(jù)安全管理條例（征求意見稿）》[4]GB/T35273—2020《信息安全技術(shù)個人信息安全規(guī)范》[5]GB/T43