1、*莫琳,暨南大学法学院博士研究生。本文为国家社会科学基金重大项目“国际法与国内法视野下的跨境电子商务建设研究”(1 7 Z D A 1 4 1)的阶段性成果。N o.2,2 0 2 3p p.2 1 3 5敏感个人信息的界定及其完善莫 琳*内容提要:敏感个人信息的界定是我国 个人信息保护法的重要内容。因为比非敏感个人信息更能反映和影响个人信息主体的重大利益,个人信息保护法对敏感个人信息采用更为严格的保护制度。个人信息保护法第2 8条第1款对敏感个人信息的界定采取客观风险标准。在法学视角下,“敏感”与“高度损害风险”相关联,敏感个人信息处理的损害风险程度较高。损害风险可以单独或同时来源于个人信息
2、内容的固有性、个人信息被非法使用时的工具性以及非敏感个人信息与敏感个人信息的关联性。个人信息保护法对敏感个人信息的界定尚不能涵盖所有损害风险来源,应在第2 8条第1款的基础上辅以场景化路径界定敏感个人信息,具体以个人信息是否揭示或关联敏感内容、受损害主体是否包括其他关联利益人为客观考虑因素。关键词:个人信息保护法 敏感个人信息 损害风险 场景一致性理论一、引 言2 0 2 1年8月2 0日,我国在个人信息保护领域的专门立法 个人信息保护法出台,明确将个人信息分为敏感个人信息和非敏感个人信息。由于敏感个人信息比非敏感个人信息更能反映和影响个人信息主体的重大利益,且与个人人身、财产权利的联系更为密
3、切,敏感个人信息在一般个人信息处理规则的基础上,适用更为严格的保护制度。个人信息保护法在第二章中设专节规定敏感个人信息的处理规则,主要包括:个人信息处理者处理敏感个人信息的前提条件为“具有特定目的+充分必要性+采取严格保护措施”(第2 8条第2款);应当取得个人的单独同意或是书面同意(第2 9条);处理不满1 4周岁未成年人个人信息应当取得其父母或者监护人的同意,12DOI:10.16823/ki.10-1281/d.2023.02.0032 0 2 3年第2期并为此制定专门规则(第3 1条);应当遵守法律、行政法规规定的其他限制条件(第3 2条)。个人信息处理者处理敏感个人信息的义务还包括必
4、须进行事前影响评估(第5 5条)。纵观不同法域的理论基础、立法情况以及行业规范,敏感个人信息保护规则存在的意义在于,防范其处理过程中极易产生的高度损害风险。敏感个人信息处理规则是我国 个人信息保护法的重要内容之一,给予敏感个人信息特殊保护的做法与世界主流个人信息保护立法规则保持一致,标志着我国从制度上保证了个人信息保护体系的完善,为信息化社会中新型经济的有序发展提供了坚强有力的保障。敏感个人信息特殊保护的首要问题应聚焦于如何界定敏感个人信息。个人信息保护法对此采取了“抽象概括+非穷尽式列举”的界定方式。“概括”涉及法律如何给出概念(即下定义),“列举”涉及行为如何罗列。1其第2 8条第1款规定
5、,敏感个人信息是指“一旦泄露或者非法使用,容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息,包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息,以及不满十四周岁未成年人的个人信息”。此为在法律规范中抽象界定敏感个人信息的内涵和外延,给予综合性定义,并明确列举敏感个人信息的非穷尽性示例。列举类型既依据信息内容,又以年龄为划分界限。该款规定凸显了我国当下急需保护的敏感个人信息类型,具备实践上的指引性,该表述也为未来技术与商业模式变化所可能出现的新型敏感个人信息预留了一定空间。我国 个人信息保护法中的“敏感”一词已完成由日常语境向法律语境的含义转化,但敏感个人信
6、息的界定依然存在边界模糊的争议,尚不能涵盖所有损害风险来源。虽体现了敏感个人信息损害风险来源中的个人信息内容的固有性和个人信息被非法使用时的工具性,但却忽略了非敏感个人信息与敏感个人信息的关联性,难以及时跟上未来个人信息保护进程。因此,有必要进一步完善敏感个人信息的界定,以场景化路径丰富敏感个人信息的界定视角。本文首先深度剖析敏感个人信息的内涵,解释“敏感”一词在法律语境中的含义转化,对敏感个人信息的高度损害风险进行类型化分析。其次,基于损害风险来源检视我国 个人信息保护法第2 8条第1款,进而结合场景一致性理论框架论述其在敏感个人信息方面的应用考量。最后,为推动我国构建多层次敏感个人信息保护
7、体系而提出彰显时代性的敏感个人信息界定的完善建议。二、敏感个人信息的内涵界定(一)“敏感”一词在法律语境中的含义转化如何理解法律语境中的“敏感”一词,是明确界定敏感个人信息内涵的首要前提。“敏感”在日常语境下具有较强主观性,通常用来表示个人的强烈感官输入。在心理学领域,敏感通常与焦虑等情绪相生相伴。“焦虑敏感性”是指应激事件使个体产生的担心、恐惧等情绪,是个体身上的一种稳定人格特质。2“感觉加工敏感程度”(s e n s o r yp r o c e s s i n gs e n s i t i v i t y,简称S P S)2212参见谢晓尧:法律文本组织技术的方法危机 反思“互联网专条”
8、,载 交大法学2 0 2 1年第3期。参见杜艳玲、郎红娟、高丽、贺世喆、曹宝花:军人焦虑敏感与心理应激关系及心理弹性中介作用的研究,载 华南国防医学杂志2 0 2 1年第2期。莫 琳:敏感个人信息的界定及其完善被描述为一种由遗传决定的气质或人格特征,能够反映个体中枢神经系统敏感程度的增加以及个体对身体、社会和情绪刺激的深层次认知加工。3敏感情绪是一种“感官防御”(s e n s o r yd e-f e n s i v e n e s s),与自身的经历、经验和行为有密切关系。4由于心理学上的个体敏感程度高低极具差异,“敏感”一词在法律语境中的含义需进行转化理解,不能直接以日常语义理解敏感个人
9、信息。显然,敏感个人信息并非单纯指代“令个人产生敏感情绪的个人信息”。否则,无异于将界定敏感个人信息的决定权完全交由个人信息主体,缺乏明确标准。因此,在法学视角下,“敏感”与“高度损害风险”相关联,意味着处理敏感个人信息而产生的损害风险程度较高。通过剖析我国 个人信息保护法第2 8条第1款的内在逻辑可知,界定敏感个人信息采取客观风险标准。正是由于敏感个人信息处理往往伴随着高度损害风险,才值得法律对其严格保护。世界主流国家的敏感个人信息保护理论和实践,都基本完成了对“敏感”一词在法律语境中的含义转化。美欧信息隐私法认为敏感个人信息往往与更大的风险相关联,因此,对敏感个人信息处理进行风险评估是必不
10、可少的步骤。5在个人信息保护中,风险评估具有重要意义。6根据美国法律,处理敏感个人信息被认为是高风险行为。2 1世纪初,美国 关于执行电子政府法案的指南(G u i d a n c eo nI m p l e m e n t i n gt h eE-G o v e r n m e n tA c t)就已指出,考虑到个人健康和财务信息的隐私风险增强,要求监管机构在处理个人健康和财务信息前对其进行隐私风险影响评估。欧盟 一般数据保护条例(G e n e r a lD a t aP r o t e c t i o nR e g u l a t i o n,简称G D P R)以个人信息的性质为基石,
11、在其鉴于条款中指出,敏感个人信息值得法律特别保护的基本理由在于,敏感个人信息在具体处理场景下可能会对个人基本权利和自由造成重大风险。7即敏感个人信息是其处理可能给基础权利和自由带来高度损害风险的一类个人信息。“敏感”一词的法律化过程虽弱化了其主观性,但并非完全摒弃个人信息主体的内在感受。界定敏感个人信息离不开社会公众基于一般经验和生活常识的整体性价值认可。8法律依然需要考虑社会公众在具体场景下对个人信息敏感与否的认可程度,而非指个案中单一个人信息主体的纯粹心理情绪。保罗欧姆(P a u lO h m)评估某一个人信息是否敏感时指出,需要考虑处理该个人信息的风险是否反映了多数主体的利益。9有学者
12、对比多个国家和地区的隐私保护法律后发现,法律规范已列举的敏感个人信息类型获得社会公众的较高认可。1 0受区域历史文化、道德观念等多方面因素的影响,大多数国家和地区都认可医疗健康信息是敏感个人信息。其来源3234567891 0S e eE.N.A r o n,A.A r o n&J.J a g i e l l o w i c z,S e n s o r yP r o c e s s i n gS e n s i t i v i t y:AR e v i e wi nT h eL i g h t o fT h eE v o l u t i o no fB i o l o g i c a lR e
13、 s p o n s i v i t y,1 6(3)P e r s o n a l i t ya n dS o c i a lP s y c h o l o g yR e v i e w2 6 2(2 0 1 2).S e eS o f i eB o t e r b e r g&P e t r aW a r r e y n,M a k i n gS e n s eo f i tA l l:T h eI m p a c to fS e n s o r yP r o c e s s i n gS e n s i t i v i t yo nD a i l yF u n c t i o n i n
14、 go fC h i l d r e n,9 2P e r s o n a l i t ya n dI n d i v i d u a lD i f f e r e n c e s8 0,8 1(2 0 1 6).S e eM u g eF a z l i o g l u,B e y o n d t h e“N a t u r e”o fD a t a:O b s t a c l e s t oP r o t e c t i n gS e n s i t i v e I n f o r m a t i o n i n t h eE u r o p e a nU n i o na n dt h
15、eU n i t e dS t a t e s,4 6(2)F o r d h a mU r b a nL a wJ o u r n a l2 7 1,3 0 6(2 0 1 9).参见刘颖:我国 中的“守门人”条款,载 北方法学2 0 2 1年第6期。S e eG e n e r a lD a t aP r o t e c t i o nR e g u l a t i o n,R e c i t a l 5 1.S e eK a r e n M c C u l l a g h,D a t aS e n s i t i v i t y:P r o p o s a l sf o rR e s o
16、 l v i n gt h eC o n u n d r u m,2(4)J o u r n a lo fI n t e r n a t i o n a lC o mm e r c i a lL a wa n dT e c h n o l o g y1 9 0(2 0 0 7).S e eP a u lO h m,S e n s i t i v e I n f o r m a t i o n,8 8(5)S o u t h e r nC a l i f o r n i aL a wR e v i e w1 1 2 5,1 1 5 5(2 0 1 5).参见王敏:敏感数据的定义模型与现实悖论:基于9 2个国家隐私相关法规以及2 0 0个数据泄露案例的分析,载 新闻界2 0 1 7年第6期。2 0 2 3年第2期于个人信息主体在医疗、健康、卫生领域的社会活动,不仅是反映个人人格权益的信息载体,还是具有公共属性的社会工具。1 1这反映了社会公众对某类个人信息是否敏感存在着合理期待,具有不希望其被泄露和非法使用的诉求。1 2因此,在具体场景中判断敏感个人信息是否符合社会公众的合理期待,应是法律
