敏感個(gè)人信息保護(hù)：我國(guó)《個(gè)人信息保護(hù)法》的重要內(nèi)容

人臉識(shí)別在新冠肺炎疫情防控中提供了高效的手段，同時(shí)也引發(fā)了人們對(duì)收集和處理人臉信息等生物識(shí)別信息邊界的關(guān)注。我國(guó)《個(gè)人信息保護(hù)法》要求，在公共場(chǎng)所安裝圖像采集、個(gè)人身份識(shí)別設(shè)備，應(yīng)當(dāng)為維護(hù)公共安全所必需，遵守國(guó)家有關(guān)規(guī)定，并設(shè)置顯著的提示標(biāo)識(shí)。所收集的個(gè)人圖像、身份識(shí)別信息只能用于維護(hù)公共安全的目的，不得用于其他目的；取得個(gè)人單獨(dú)同意的除外。由于敏感個(gè)人信息與自然人的人格尊嚴(yán)等基本權(quán)利、重大人身利益和財(cái)產(chǎn)利益具有極為密切的聯(lián)系，對(duì)此類個(gè)人信息的處理會(huì)對(duì)自然人的基本權(quán)利和人身財(cái)產(chǎn)安全產(chǎn)生重大風(fēng)險(xiǎn)，我國(guó)《個(gè)人信息保護(hù)法》借鑒了歐盟、美國(guó)等法域的立法經(jīng)驗(yàn)并結(jié)合我國(guó)實(shí)際，對(duì)敏感個(gè)人信息的處理進(jìn)行了專門(mén)規(guī)定。敏感個(gè)人信息的保護(hù)是我國(guó)《個(gè)人信息保護(hù)法》的重要內(nèi)容之一。

一、《個(gè)人信息保護(hù)法》對(duì)敏感個(gè)人信息進(jìn)行了定義和列舉

《個(gè)人信息保護(hù)法》規(guī)定將敏感個(gè)人信息定義為一旦泄露或者非法使用，容易導(dǎo)致自然人的人格尊嚴(yán)受到侵害或者人身、財(cái)產(chǎn)安全受到危害的個(gè)人信息，同時(shí)列舉了敏感個(gè)人信息的種類，包括生物識(shí)別、宗教信仰、特定身份、醫(yī)療健康、金融賬戶、行蹤軌跡等信息，以及不滿十四周歲未成年人的個(gè)人信息?！秱€(gè)人信息保護(hù)法》將不滿十四周歲未成年人的個(gè)人信息列為敏感個(gè)人信息，強(qiáng)化了對(duì)未成年人個(gè)人信息權(quán)益的保護(hù)。

敏感個(gè)人信息和非敏感個(gè)人信息是我國(guó)《個(gè)人信息保護(hù)法》從規(guī)范個(gè)人信息處理行為的角度對(duì)個(gè)人信息進(jìn)行的一種重要分類，有針對(duì)性地提高處理者在處理敏感個(gè)人信息時(shí)的法定義務(wù)，更加充分地保護(hù)個(gè)人信息權(quán)益。

我國(guó)《個(gè)人信息保護(hù)法》在列舉敏感個(gè)人信息種類中的“等”字，應(yīng)采“等外”之意，表示列舉未盡?？v使不在法律明文列舉之列，因其在特定場(chǎng)景所具有的高度敏感性，也應(yīng)納入敏感個(gè)人信息的保護(hù)范疇。技術(shù)的發(fā)展及場(chǎng)景的變化，也為新型的敏感個(gè)人信息特殊保護(hù)留下空間。

二、《個(gè)人信息保護(hù)法》對(duì)敏感個(gè)人信息規(guī)定了專門(mén)的處理規(guī)則

我國(guó)《個(gè)人信息保護(hù)法》在區(qū)分敏感個(gè)人信息與非敏感個(gè)人信息的基礎(chǔ)上，在第二章專節(jié)規(guī)定了“敏感個(gè)人信息的處理規(guī)則”，對(duì)處理敏感個(gè)人信息的前提進(jìn)行了限制，要求只有在具有特定的目的和充分的必要性，并采取嚴(yán)格保護(hù)措施的情形下，個(gè)人信息處理者方可處理敏感個(gè)人信息。以此為基礎(chǔ)，《個(gè)人信息保護(hù)法》規(guī)定了一些僅適用于敏感個(gè)人信息的特殊處理規(guī)則，知情同意原則是個(gè)人信息保護(hù)領(lǐng)域公認(rèn)的首要原則，既適用于敏感個(gè)人信息，也適用于非敏感個(gè)人信息，意在實(shí)現(xiàn)與加強(qiáng)個(gè)人自決。針對(duì)敏感個(gè)人信息的處理，《個(gè)人信息保護(hù)法》提出了更高的要求，要求處理敏感個(gè)人信息應(yīng)當(dāng)取得個(gè)人的單獨(dú)同意。這意味著在處理敏感個(gè)人信息時(shí)，概括同意或推定同意的授權(quán)模式為法律所禁止。法律、行政法規(guī)規(guī)定處理敏感個(gè)人信息應(yīng)當(dāng)取得書(shū)面同意的，還應(yīng)取得書(shū)面同意。

《個(gè)人信息保護(hù)法》對(duì)敏感個(gè)人信息處理者的告知義務(wù)提出了更高的要求。《個(gè)人信息保護(hù)法》第17條第1款規(guī)定：“個(gè)人信息處理者在處理個(gè)人信息前，應(yīng)當(dāng)以顯著方式、清晰易懂的語(yǔ)言真實(shí)、準(zhǔn)確、完整地向個(gè)人告知下列事項(xiàng)：（1）個(gè)人信息處理者的名稱或者姓名和聯(lián)系方式；（2）個(gè)人信息的處理目的、處理方式，處理的個(gè)人信息種類、保存期限；（3）個(gè)人行使本法規(guī)定權(quán)利的方式和程序；（4）法律、行政法規(guī)規(guī)定應(yīng)當(dāng)告知的其他事項(xiàng)?！钡?0條規(guī)定：“個(gè)人信息處理者處理敏感個(gè)人信息的，除本法第17條第1款規(guī)定的事項(xiàng)外，還應(yīng)當(dāng)向個(gè)人告知處理敏感個(gè)人信息的必要性以及對(duì)個(gè)人權(quán)益的影響；依照本法規(guī)定可以不向個(gè)人告知的除外?！?/p>

《個(gè)人信息保護(hù)法》不僅將不滿十四周歲未成年人的個(gè)人信息列為敏感個(gè)人信息，還要求個(gè)人信息處理者處理不滿十四周歲未成年人個(gè)人信息的，應(yīng)當(dāng)取得未成年人的父母或者其他監(jiān)護(hù)人的同意。個(gè)人信息處理者處理不滿十四周歲未成年人個(gè)人信息的，應(yīng)當(dāng)制定專門(mén)的個(gè)人信息處理規(guī)則?！秱€(gè)人信息保護(hù)法》將不滿十四周歲未成年人的個(gè)人信息作為敏感個(gè)人信息，回應(yīng)了現(xiàn)實(shí)中兒童信息泄露等問(wèn)題，對(duì)未成年人個(gè)人信息處理進(jìn)行了更嚴(yán)格的規(guī)范，有利于切實(shí)維護(hù)未成年人的合法利益并促進(jìn)未成年人健康成長(zhǎng)。

《個(gè)人信息保護(hù)法》還規(guī)定，法律、行政法規(guī)對(duì)處理敏感個(gè)人信息規(guī)定應(yīng)當(dāng)取得相關(guān)行政許可或者作出其他限制的，從其規(guī)定。

三、個(gè)人信息處理者處理敏感個(gè)人信息應(yīng)當(dāng)事前進(jìn)行個(gè)人信息保護(hù)影響評(píng)估

對(duì)處理敏感個(gè)人信息等幾種特定情形，《個(gè)人信息保護(hù)法》規(guī)定應(yīng)在事前進(jìn)行個(gè)人信息保護(hù)影響評(píng)估，并對(duì)處理情況進(jìn)行記錄。個(gè)人信息保護(hù)影響評(píng)估本質(zhì)上是風(fēng)險(xiǎn)評(píng)估。由于處理敏感個(gè)人信息可能對(duì)自然人的權(quán)利和自由帶來(lái)高度風(fēng)險(xiǎn)，對(duì)此類處理進(jìn)行事前風(fēng)險(xiǎn)評(píng)估可以防患于未然?！秱€(gè)人信息保護(hù)法》要求個(gè)人信息保護(hù)影響評(píng)估應(yīng)當(dāng)包括下列內(nèi)容：（1）個(gè)人信息的處理目的、處理方式等是否合法、正當(dāng)、必要；（2）對(duì)個(gè)人權(quán)益的影響及安全風(fēng)險(xiǎn)；（3）所采取的保護(hù)措施是否合法、有效并與風(fēng)險(xiǎn)程度相適應(yīng)。個(gè)人信息保護(hù)影響評(píng)估報(bào)告和處理情況記錄應(yīng)當(dāng)至少保存三年。

綜上，我國(guó)《個(gè)人信息保護(hù)法》區(qū)分敏感與非敏感的個(gè)人信息，并在此基礎(chǔ)上確定了敏感個(gè)人信息的特殊處理規(guī)則，與世界主流個(gè)人數(shù)據(jù)保護(hù)立法一致，體現(xiàn)了對(duì)與人格尊嚴(yán)或人身、財(cái)產(chǎn)安全密切相關(guān)的個(gè)人信息的傾斜保護(hù)，能更有效地防范個(gè)人信息風(fēng)險(xiǎn)，更全面保護(hù)個(gè)人信息主體的利益。同時(shí)，區(qū)別對(duì)待不同種類的個(gè)人信息，能提高對(duì)處理行為的可預(yù)測(cè)性，明確了企業(yè)合規(guī)重點(diǎn)，在一定程度上降低企業(yè)的合規(guī)成本，有利于數(shù)字經(jīng)濟(jì)發(fā)展。

（作者簡(jiǎn)介：劉穎，廣東省法學(xué)會(huì)網(wǎng)絡(luò)與電子商務(wù)法學(xué)研究會(huì)會(huì)長(zhǎng)，暨南大學(xué)法學(xué)院教授）