美国联邦隐私保护立法草案研究（二）：“个人敏感信息”

编者按：

目前，我国的个人信息保护立法工作正在进行之中。相对于欧盟《通用数据保护条例》（GDPR），国内对美国联邦目前的隐私保护立法尝试，以及已出现的多个版本隐私保护法律文本草案，研究很不充分【部分草案的翻译，见：美国联邦隐私立法重要文件编译第一辑（DPO沙龙出品），以及第五期数据保护官沙龙纪实：美国联邦隐私立法重要文件讨论】。本系列文章试图进一步填补这一空白。

遵循本公号一贯的风格，本系列文章将避免理论化的介绍，分专题对各个法律文本中的概念和制度设计开展分析研究，核心目的在于为我国各个层级的立法和监管提供借鉴。本系列已发表的文章：

今天这篇文章关注“个人敏感信息”的定义。到目前为止，本届美国国会的各个立法草案几乎都界定了“个人敏感信息”【注：本文中，敏感个人信息和个人敏感信息为同义混用】。现在让我们逐一分析。

‘‘Consumer Data Privacy and Security Act of 2020’’

在该法案中，个人敏感信息是指：

1. 政府发布的唯一的标识号，例如社保号、护照号、驾照号等

2. 用户名或电邮地址以及对应的密码或安全问题和答案

3. 个人的生物识别信息

4. 有线、口头、电子通信信息

5. 关于个人生理或精神状态、医疗情况及医疗付费相关的信息

6. 金融账户、信用账户、储蓄账户的账号及密码

7. 个人的种族、民族信息

8. 个人的宗教信仰信息

9. 个人性取向信息

10. 个人的精准地理位置信息

11. 由联邦贸易委员会界定的，且收集和处理可能给个人带来可合理预见的损害的信息
    

(14) SENSITIVE PERSONAL DATA.—The term ‘‘sensitive personal data’’ means personal data that is—

(A) a unique, government-issued identifier, such as a social security number, passport number, driver’s license number, or taxpayer identification number;

(B) a user name or email address in combination with a password or security question and answer that would permit access to an online account;

(C) biometric information of an individual;

(D) the content of a wire communication,oral communication, or electronic communication, as those terms are defined in section 2510 of title 18, United States Code, to which the individual is a party, unless the covered entity is the intended recipient of the communication;

(E) information that relates to—

(i) the past, present, or future diagnosed physical or mental health or condition of an individual;
(ii) the provision of health care to an individual; or
(iii) the past, present, or future payment for the provision of health care to an individual;

(F) a financial account number, debit card number, credit card number, if combined with an access code, password, or credentials that provide access to such an account;

(G) the race or ethnicity of the individual;

(H) the religious beliefs or affiliation of the individual;

(I) the sexual orientation of the individual;

(J) the precise geolocation of an individual that is technically derived and that is capable of determining with reasonable specificity the past or present actual physical location of the individual more precisely than a zip code, street, or town or city level; or

(K) such other specific categories of personal data as the Commission may define by rule issued in accordance with section 553 of 13 title 5, United States Code, the collection or processing of which could lead to reasonably foreseeable harm to an individual.

‘‘DATA Privacy Act’’

在该法案中，个人敏感信息是指：

1. 与个人的健康、生理、心理、生物识别、性方面、基因信息相关的信息；

2. 个人使用的设备的准确地理位置信息。
   

(11) SENSITIVE DATA.—The term ‘‘sensitive data’’ means any covered data relating to—

(A) the health, biologic, physiologic, biometric, sexual life, or genetic information of an individual; or

(B) the precise geolocation information of a device associated with an individual.

‘‘Consumer Online Privacy Rights Act’’

在该法案中，个人敏感信息是指：

1. 政府发布的唯一的标识号，例如社保号、护照号、驾照号等

2. 能够描述或揭示出个人的生理健康、精神健康、残疾及与相关的诊断的信息

3. 金融账户、信用账户、储蓄账户的账号及密码

4. 个人的生物识别信息

5. 个人或其使用设备的精准地理位置信息

6. 个人私人通信的内容、元数据或通信方身份

7. 用户名或电邮地址以及对应的密码或安全问题和答案

8. 能够以违背个人合理期待的方式，揭示出个人种族、民族、国别、宗教、工会身份的信息

9. 能够以违背个人合理期待的方式，揭示出个人性取向、性行为的信息

10. 揭示出个人一段时间以来和跨网站或跨服务的网上行为的信息

11. 个人设备的日历信息、地址信息、通话或文本信息记录、照片、视频

12. 展示个人私密部位的照片、视频或其他媒介

13. 处理或传输是为了识别上述信息的其他任何类型的信息

14. 联邦贸易委员会界定的其他信息

(20) SENSITIVE COVERED DATA.—The term ‘‘sensitive covered data’’ means the following forms of covered data:

(A) A government-issued identifier, such as a Social Security number, passport number, or driver’s license number.

(B) Any information that describes or reveals the past, present, or future physical health, mental health, disability, or diagnosis of an individual.

(C) A financial account number, debit card number, credit card number, or any required security or access code, password, or credentials allowing access to any such account.

(D) Biometric information.

(E) Precise geolocation information that reveals the past or present actual physical location of an individual or device.

(F) The content or metadata of an individual’s private communications or the identity of the parties to such communications unless the covered entity is an intended recipient of the communication.

(G) An email address, telephone number, or account log-in credentials.

(H) Information revealing an individual’s race, ethnicity, national origin, religion, or union membership in a manner inconsistent
with the individual’s reasonable expectation regarding disclosure of such information.

(I) Information revealing the sexual orientation or sexual behavior of an individual in a manner inconsistent with the individual’s rea-
sonable expectation regarding disclosure of such information.

(J) Information revealing online activities over time and across third party websites or online services.

(K) Calendar information, address book in formation, phone or text logs, photos, or videos maintained on an individual’s device.

(L) A photograph, film, video recording, or other similar medium that shows the naked or undergarment-clad private area of an individual.

(M) Any other covered data processed or transferred for the purpose of identifying the above data types.

(N) Any other covered data that the Commission determines to be sensitive covered data through a rulemaking pursuant to section 553 of title 5, United States Code.

‘‘Data Protection Act of 2020’’

该法案没有界定个人敏感信息，反而是界定了“敏感的个人信息使用”。具体是指：

1. 处理数据以揭示出个人的种族、肤色、民族、宗教、国籍、祖先、性、性别、性别身份、性取向、政治观点、工会身份、家庭状态、合法收入来源、财务状况、退伍情况、刑事定罪或逮捕、公民身份、生理或精神健康或情况、心理状况、残疾、地理空间数据，以及其他任何能够用于识别上述特征的数据，以及其他任何能够用于作为上述特征的指代的数据

2. 使用个人的生物识别数据或基因数据
   

(8) SENSITIVE DATA USE.—The term ‘‘sensitive data use’’ means—

(A) the processing of data in a manner that reveals an individual’s race, color, ethnicity, religion or creed, national origin or ancestry, sex, gender, gender identity, sexuality, sexual orientation, political beliefs, trade union membership, familial status, lawful source of income, financial status (such as the individual’s income or assets), veteran status, criminal convictions or arrests, citizenship, past, present, or future physical or mental health or condition,psychological states, disability, geospatial data, or any other factor used as a proxy for identifying any of these characteristics; or

(B) the use of the biometric or genetic data of an individual.

“United States Consumer Data Privacy Act of 2019”

在该法案中，个人敏感信息是指：

1. 政府发布的唯一的标识号，例如社保号、护照号、驾照号等

2. 能够描述或揭示出个人的生理健康、精神健康、残疾及与相关的诊断的信息
   

3. 金融账户、信用账户、储蓄账户的账号及密码

4. 个人的生物识别信息

5. 个人或其使用设备的精准地理位置信息

6. 个人私人通信的内容或通信方身份

7. 用户名或电邮地址以及对应的密码或安全问题和答案

8. 能够以违背个人合理期待的方式，揭示出个人种族、民族、宗教的信息

9. 能够以违背个人合理期待的方式，揭示出个人性取向、性行为的信息

10. 与该定义中各类型数据相关的个人网络活动数据
    

11. 个人设备的日历信息、地址信息、通话或文本信息记录、照片、视频
    

12. 处理或传输是为了识别上述信息的其他任何类型的信息

13. 联邦贸易委员会界定的、且一旦以违背个人合理期待而收集和处理，对一个理性个人而言将是极其冒犯的信息
    

(20) SENSITIVE COVERED DATA.—The term “sensitive covered data” means any of the following forms of covered data of an individual:

(A) A unique, government-issued identifier, such as a Social Security number, passport number, or driver’s license number.

(B) Any covered data that describes or reveals the diagnosis or treatment of past, present, or future physical health, mental health, or disability of an individual.

(C) A financial account number, debit card number, credit card number, or any required security or access code, password, or credentials allowing access to any such account.

(D) Covered data that is biometric information.
 
(E) Precise geolocation information capable of determining with reasonable specificity the past or present actual physical location of an individual or device at a specific point in time.

(F) The contents of an individual’s private communications or the identity of the parties subject to such communications, unless the covered entity is the intended recipient of the communication;

(G) Account log-in credentials such as a user name or email address, in combination with a password or security question and answer that would permit access to an online account.

(H) Covered data revealing an individual’s racial or ethnic origin, or religion in a manner inconsistent with the individual’s reasonable expectation regarding the processing or transfer of such information.

(I) Covered data revealing the sexual orientation or sexual behavior of an individual in a manner inconsistent with the individual’s reasonable expectation regarding the processing or transfer of such information.

(J) Covered data about the online activities of an individual that relate to a category of covered data described in another subparagraph of this paragraph.

(K) Covered data that is calendar information, address book information, phone or text logs, photos, or videos maintained on an individual’s device.

(L) Any covered data collected or processed by a covered entity for the purpose of identifying covered data described in another paragraph of this paragraph.

(M) Any other category of covered data designated by the Commission pursuant to a rulemaking under section 553 of title 5, United States Code, if the Commission determines that the processing or transfer of covered data in such category in a manner  that is inconsistent with the reasonable expectations of an individual would be likely to be highly offensive to a reasonable individual.

小 结

总结五部草案的立法建议，会发现以下三方面的立法技术：

• 第一：识别就信息内容而言需要更高水平保护的信息类型。

在这方面，无论是美国的立法草案还是欧盟的GDPR，差别不大，均包含：种族、民族、政治观点、宗教和哲学信仰、工会成员身份、基因、生物识别数据、处理与健康相关的数据，或自然人性取向或性经历数据等。

很有意思的是，美国立法普遍认为“财务”、“精准地理位置”、网络账户和密码、个人设备中存储的照片视频日程等、私人通信元数据和通信方身份、网络浏览记录等信息，需要严格保护。这一点比GDPR要宽泛得多。

同样，在界定影响国家安全的敏感个人信息时，《2018年外国投资风险评估现代化法案》（FIRRMA）及其实施条例也界定了具体的范围【详情见：

个人数据与域外国家安全审查初探（二）：CFIUS实施条例详解】，具体来说包括：

• 可用于分析或确定个人财务压力或困境的数据

• 消费者信用报告数据

• 申请（健康、专业责任、抵押或人寿）保险时填写的信息

• 与个人身体、心理或者心理健康状况有关的数据

• 非公开电子通讯数据
  

• 地理位置数据，包括从手机信号塔、WiFi接入点和可穿戴电子设备获得所获得的地理位置数据

• 生物识别信息，例如指纹和面部扫描

• 用于生成政府身份证明的数据

• 与特定个人“保密级别状态”相关的数据

• “保密级别”申请表中的数据

• 基因检测结果

总的来说，美国方面圈定的个人敏感信息的范围，要显著大于GDPR所规定的“特殊类型个人信息”的范围。

以下是《个人信息安全规范》对个人敏感信息的例举——“个人敏感信息包括身份证件号码、个人生物识别信息、银行账户、通信记录和内容、财产息、征信信息、行踪轨迹、住宿信息、健康生理信息、交易信息、14岁以下（含）儿童的个人信息等。”在附录B中，《个人信息安全规范》进一步给出了举例：

• 第二：特别关注在大数据和人工智能时代，信息类型之间的可转化性。

注意到GDPR或者美国上述五部草案文本中都用到了一个措词——“处理个人数据，揭示出”（processing of personal data revealing）。正如公号君在【传染病疫情防控与个人信息保护初探之一：个人信息的性质】中一再强调的：

GDPR中的特殊类型数据，绝不是单纯的种族、民族、政治观点、宗教和哲学信仰、工会成员身份这几类具体的信息，而是数据控制者能够用一些数据来推断出上述信息即可。

举个例子：例如数据控制者知道一个清真寺的地理位置，同时得知一位个人每周去该地理位置五次之多，那显然这位个人大概率信奉穆斯林。此时，地理位置信息就应当被认定为GDPR中的特殊类型数据，享有特殊保护。

同样的，与健康相关的信息（data concerning health）也是这么一个理。在当下，武汉市民（及从武汉返乡人员）几乎等同于2019-nCoV病毒高危人群，其家庭住址、身份证号码等，被各个方面用于隔离、劝勉等目的。此时，其家庭住址、身份证号码等在GDPR中就会被当成与健康相关的信息（data concerning health），而“升格”为特殊类型数据。

此外，美国的立法草案中还专门增加了类似的语言——”处理或传输是为了识别上述信息的其他任何类型的信息”，进一步强化了避免因为信息类型之间的相互转化而逃脱监管的情形。

而且，部分立法还专门强调：“与该定义中各类型数据相关的个人网络活动数据”。即如果网络浏览记录能够揭示出其他类型的个人敏感信息，则网络活动数据也应当被认定为个人敏感信息。

• 第三：通过兜底条款给未来预留可能性。

在兜底条款中，美国文本使用了两个类型的界定，分别是：“收集和处理可能给个人带来可合理预见的损害的”，以及“一旦以违背个人合理期待而收集和处理，对一个理性个人而言将是极其冒犯的”。

这样的界定，和《个人信息安全规范》的界定比较类似——“一旦泄露、非法提供或滥用可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或歧视性待遇等的个人信息”。

公号君认为，这三个方面的立法技术，值得我们借鉴。此篇完。

---

数据保护官（DPO）社群主要成员是个人信息保护和数据安全一线工作者。他们主要来自于国内头部的互联网公司、安全公司、律所、会计师事务所、高校、研究机构等。在从事本职工作的同时，DPO社群成员还放眼全球思考数据安全和隐私保护的最新动态、进展、趋势。2018年5月，DPO社群举行了第一次线下沙龙。沙龙每月一期，集中讨论不同的议题。目前DPO社群已近300人。关于DPO社群和沙龙更多的情况如下：

DPO社群成果

线下沙龙实录见：

评估GDPR效果和影响:

线上沙龙见：

DPO社群成员观点

传染病疫情防控与个人信息保护系列文章

个人数据与域外国家安全审查系列文章