2021年11月1日起實施的《中華人民共和國個人信息保護法》規定了個人信息處理的基本規則，構建了個人信息保護的法律框架，筑牢了個人信息處理的安全邊界。敏感個人信息涉及自然人的人格尊嚴、人身利益和財產安全等，個人信息保護法對此進行專門規定，進一步明確了敏感個人信息的界定標準和處理規則，為敏感個人信息保護提供了基本法律指引。
明確敏感個人信息的界定標準
根據《中華人民共和國民法典》第一千零三十四條的規定，個人信息作為人格權的一種，其關乎人格尊嚴。將個人信息區分為“敏感個人信息”與“非敏感個人信息”，是因為在難以計數和范圍廣闊的個人信息中，敏感個人信息承載了更高的人格尊嚴，且敏感個人信息的泄露與非法使用更容易引發權益侵害。因此，需要對敏感個人信息進行特殊保護。
以“客觀權益侵害風險”為法律基準。個人信息保護法第二十八條第一款規定：“敏感個人信息是一旦泄露或者非法使用，容易導致自然人的人格尊嚴受到侵害或者人身、財產安全受到危害的個人信息，包括生物識別、宗教信仰、特定身份、醫療健康、金融賬戶、行蹤軌跡等信息，以及不滿十四周歲未成年人的個人信息�！痹摽蠲鞔_規定了敏感個人信息的法律基準，即“敏感個人信息”是一旦泄露或非法使用，容易使自然人人格尊嚴受到侵害或者人身、財產安全受到危害的個人信息。對于敏感個人信息的法律基準，學界主要存在三種觀點：“主觀說”（個體主觀反應基準）、“客觀說”（客觀權益侵害基準）與“折中說”（兼采主客觀基準）。以人格尊嚴受到侵害或人身安全受到危害的客觀結果，作為法律判斷基準，明確回應了學界有關敏感個人信息法律基準的相關爭議。
采取“列舉定義+等外”的涵蓋模式。個人信息保護法第二十八條第一款，采取列舉式定義模式，將與自然人生活密切相關的個人信息進行規定，即“生物識別”“宗教信仰”“特定身份”“醫療健康”“金融賬戶”“行蹤軌跡”六類。上述列舉規定，一定程度上做到了與《信息安全技術 個人信息安全規范》（以下簡稱《個人信息安全規范》）分類的銜接。同時《個人信息安全規范》關于個人信息的規定，也為個人信息保護法中敏感個人信息的判定提供了參照基準，但《個人信息安全規范》對個人信息的各項列舉中，既涉及敏感個人信息，也涉及非敏感個人信息。因此，對敏感個人信息的判斷，仍然應該在堅持列舉定義的基礎上，參考《個人信息安全規范》規定，結合實踐中的具體場景進行認定。同時，應對該款中“等”做廣義理解。這里的“等”應屬“等外”模式，它不僅為未來社會發展中可能出現的特殊信息預留了一定立法空間，也為敏感信息的判定預留了解釋可能。
規范敏感個人信息處理的前提
個人信息保護法第二十八條第二款規定：“只有在具有特定的目的和充分的必要性，并采取嚴格保護措施的情形下，個人信息處理者方可處理敏感個人信息�！痹摽钜浴疤囟ǖ哪康摹薄俺浞值谋匾浴薄皣栏癖Ｗo措施”為處理敏感個人信息的前提，為審查敏感個人信息處理行為的合法性提供了具體指引。
“特定的目的”。所謂特定目的，是指某一具體且確定的目的。個人信息保護法第六條規定：“處理個人信息應當具有明確、合理的目的，并應當與處理目的直接相關，采取對個人權益影響最小的方式�！彼幎艘话銈�人信息處理的原則，要求處理個人信息需要具有明確、合理的目的。和一般個人信息的處理相比，敏感個人信息處理的前提更嚴格，處理者必須在遵循一般個人信息處理前提的基礎之上，根據敏感個人信息的要求進行實際推斷，進而對其是否具有“特定性”進行綜合判斷。
“充分的必要性”。充分的必要性，是指對處理敏感個人信息之必要性的判斷應當更加謹慎。個人信息保護法第五條規定：“處理個人信息應當遵循合法、正當、必要和誠信原則，不得通過誤導、欺詐、脅迫等方式處理個人信息�！痹摋l作為個人信息處理的基本原則，明確規定了一般個人信息的處理行為的基本遵循。對于敏感個人信息而言，強調“充分的必要性”，這也是敏感個人信息處理的必要流程或必須程序，如不處理敏感個人信息則會影響相關活動的正常進行。
“嚴格保護措施”。嚴格保護措施是指相較于一般個人信息處理活動而言，敏感個人信息的處理應采取更為充分的保護措施，以保障其所處理的敏感個人信息的安全。例如，《個人信息安全規范》（6.3個人敏感信息的傳輸和存儲）規定：“傳輸和存儲個人敏感信息時，應采用加密等安全措施；個人生物識別信息應與個人身份信息分開存儲等”。這要求對敏感個人信息的保護應該落實加密等安全舉措，以確保敏感個人信息處理的安全。就具體的嚴格保護舉措而言，可以包括事前進行個人信息保護影響評估、制定相應內部管理制度和操作規程，以及對敏感個人信息作去標識化、匿名化處理等。
確定敏感個人信息的處理規則
個人信息保護法第一條規定：“為了保護個人信息權益，規范個人信息處理活動，促進個人信息合理利用，根據憲法，制定本法�！痹摋l開宗明義，明確了個人信息保護法的調整邊界，即規范個人信息的“處理”活動。個人信息保護法在本質上就是要規范利用個人信息、對個人進行識別分析的行為。該法第二十九條、第三十條、第三十一條進一步明確了敏感個人信息的處理規則，凸顯了對敏感個人信息的保護力度。
“同意方式”強化。個人信息保護法第二十九條規定：“處理敏感個人信息應當取得個人的單獨同意；法律、行政法規規定處理敏感個人信息應當取得書面同意的，從其規定�！边@里的“單獨同意”，是指信息處理者在處理敏感個人信息中，必須就特定敏感個人信息的處理行為，單獨取得信息主體的同意，即堅持“告知、同意”。這與第十三條規定的“個人信息處理者取得個人同意方可處理個人信息”相比，“單獨同意”主要強調同意的獨立性，信息主體對于敏感個人信息的同意可以獨立于其他個人信息，信息處理者在實踐中就敏感個人信息處理的一系列行為征得“概括同意”應當被認定為無效。“書面同意”，是指信息處理者在處理特定敏感個人信息時，根據其處理的行為和目的，征求信息主體“紙質”或“電子”形式的同意。此處的“書面形式”，可以參考民法典關于書面形式的規定做進一步司法解釋。
“告知義務”提升。個人信息保護法第三十條規定：“個人信息處理者處理敏感個人信息的，除本法第十七條第一款規定的事項外，還應當向個人告知處理敏感個人信息的必要性以及對個人權益的影響；依照本法規定可以不向個人告知的除外�！眰�人信息保護法第十七條為一般個人信息處理的告知規則，第三十條針對敏感個人信息的特殊保護需求，增加了“必要性”和“對個人權益影響”事項。對于“必要性”告知事項，要求在敏感個人信息的處理中，應向信息主體告知處理敏感個人信息的必要性。這里的“必要性”可以結合個人信息保護法第二十八條第二款進行理解�！皩�人權益的影響”，要求信息處理者應將對信息主體的人格尊嚴、人身和財產權益的影響明確告知信息主體，從而使信息主體可以綜合分析，做出合理決定。
“未成年個人信息”保護。未成年人心智尚未成熟，個人信息保護意識相對薄弱，其個人信息一旦被泄露或非法使用，容易對其產生不利影響。個人信息保護法第三十一條第一款規定：“個人信息處理者處理不滿十四周歲未成年人信息的，應當取得未成年人的父母或者其他監護人的同意。”將不滿十四周歲的未成年人個人信息納入敏感個人信息保護范疇，主要出于對未成年人特殊保護的綜合考量，也是結合未成年人心智發展的特征來設定的。同時，確定這一年齡標準，也凸顯了對未成年人信息保護的力度強化。
這里對處理未成年人信息應取得未成年人父母或監護人同意，遵循了民法典關于監護人同意制度的基本規定，主要是從保障未成年人利益立場出發，強調家庭對未成年人保護應承擔首要責任。這可以更好地保護未成年個人信息的安全，維護未成年人的合法利益。個人信息保護法第三十一條第二款規定：“個人信息處理者處理不滿十四周歲未成年人信息的，應該制定專門的個人信息處理規則�！辫b于處理未成年個人信息問題的復雜性，可以通過相關司法解釋進一步完善未成年人個人信息保護的相關規定，構建未成年個人信息保護的法律框架。具體實踐中，可以從以下幾個方面努力：一是進一步完善未成年人的年齡和身份驗證機制；二是信息處理者對未成年人信息進行單獨歸類；三是建立未成年人及其監護人對未成年人信息的更正、撤回、刪除機制。
如何平衡信息保護和利用之間的關系，是互聯網時代重要的法治命題。個人信息保護法的實施，無疑在“保護”和“利用”之間搭建了一座法治橋梁，劃定了個人信息保護和利用的基本“場域”。信息分類是個人信息保護的重要進路，基于個人信息本身的重要性和對個人權益影響的差異，個人信息保護法對敏感個人信息保護做出了專門規定，要求信息處理者貫徹更為嚴格的保護舉措和標準，這不僅符合大數據時代個人信息保護的基本定位，也對敏感個人信息的認定和處理起到了重要的指引作用。
�。ㄗ髡撸骸跆丶s撰稿 趙寶 作者單位：華東政法大學法律學院）