其他
美国个信保护立法 | 州层面三部法案系列研究之一：个人敏感信息定义
编者按：
围绕着美国方面的个人信息保护立法，本公号发表了以下文章：
2月18日，《消费者数据保护法》(Virginia Consumer Data Protection Act，CDPA)已在美国弗吉尼亚州议会参议院和众议院通过，可能成为美国州层面颁布的第二部全面的消费者隐私法案。目前，该法案的最终通过，还需要州长的签字。也就是说，在3月1日本届州议会会议结束之前，还需要完成参议院的三读和众议院的两读。如果CDPA在本届州议会会议期间到达弗吉尼亚州州长手中，他将有七天时间批准、修改或否决该法案。如果他不采取任何行动，根据弗吉尼亚州宪法，该法案将在七天结束时成为法律。按照CDPA文本，该法案在2023年1月1日生效。这一天也恰好是加州隐私权利法案（CPRA）的执行日期，该法案对加州消费者隐私法案（CCPA）进行了实质性修订。
公号君将在接下来的系列文章中，分专题系统地比较CDPA、CPRA，以及美国华盛顿州正在审议过程中的《华盛顿州隐私法案》（the Washington privacy act），以为我国《个人信息保护法》立法提供些许参考。第一个专题关注“个人敏感信息”的定义。
弗吉尼亚州的CDPA
该法案中对“敏感数据”定义如下：
1. Personal data revealing racial or ethnic origin, religious beliefs, mental or physical health diagnosis, sexual orientation, or citizenship or immigration status;
2. The processing of genetic or biometric data for the purpose of uniquely identifying a natural person;
3. The personal data collected from a known child; or
4. Precise geolocation data.
"敏感数据 "是指一类个人数据，包括：
1. 揭示种族或民族出身、宗教信仰、精神或身体健康诊断、性取向或公民或移民身份的个人数据；
2. 为独特识别自然人而处理的基因或生物特征数据；
3. 从已知儿童那里收集的个人数据；
4. 精确的地理定位数据。
其中，对于精确的地理定位数据，CDPA还作出如下界定。
"Precise geolocation data" means information derived from technology, including but not limited to global positioning system level latitude and longitude coordinates or other mechanisms, that directly identifies the specific location of a natural person with precision and accuracy within a radius of 1,750 feet. "Precise geolocation data" does not include the content of communications or any data generated by or connected to advanced utility metering infrastructure systems or equipment for use by a utility.
"精确地理定位数据 "是指从技术中获得的信息，包括但不限于全球定位系统一级的经纬度坐标或其他机制，其具备在1750英尺的半径范围内以精确和准确的方式直接确定自然人的具体位置的能力。"精确的地理定位数据 "不包括通信内容，或由先进的公用事业计量基础设施系统或设备产生的或与之相连的供公用事业使用的任何数据。
加州的CPRA
敏感个人信息是CPRA新近引入的概念。
(1) personal information that reveals (A) a consumer’s social security, driver’s license, state identification card, or passport number; (B) a consumer’s account log-in, financial account, debit card, or credit card number in combination with any required security or access code, password, or credentials allowing access to an account; (C) a consumer’s precise geolocation; (D) a consumer’s racial or ethnic origin, religious or philosophical beliefs, or union membership; (E) the contents of a consumer’s mail, email and text messages, unless the business is the intended recipient of the communication; (F) a consumer’s genetic data; and
(2)(A) the processing of biometric information for the purpose of uniquely identifying a consumer; (B) personal information collected and analyzed concerning a consumer’s health; or (C) personal information collected and analyzed concerning a consumer’s sex life or sexual orientation.
Sensitive personal information that is “publicly available” pursuant to paragraph (2) of subdivision (v) of Section 1798.140 shall not be considered sensitive personal information or personal information.
"敏感个人信息 "是指
(1)揭示以下信息的个人信息：(A)消费者的社会保障、驾驶执照、国家身份证或护照号码；(B)消费者的账户登录、金融账户、借记卡或信用卡号码，以及任何所需的安全或访问代码、密码或允许访问账户的凭证。(C)消费者的精确地理定位；(D)消费者的种族或民族出身、宗教或哲学信仰或工会成员资格；(E)消费者的邮件、电子邮件和短信的内容，除非该企业是通信的预定收件人；(F)消费者的基因数据；以及(C)消费者的身份信息。
(2)(A)为独特识别消费者而处理生物识别信息；(B)收集和分析有关消费者健康的个人信息；或(C)收集和分析有关消费者性生活或性取向的个人信息。
根据第1798.140条第(2)款(v)项 "可公开获得 "的敏感个人信息不应视为敏感个人信息或个人信息。
其中，对于精确的地理定位数据，CPRA还作出如下界定：
“Precise geolocation” means any data that is derived from a device and that is used or intended to be used to locate a consumer within a geographic area that is equal to or less than the area of a circle with a radius of one thousand, eight hundred and fifty (1,850) feet, except as prescribed by regulations.
"精确的地理定位 "是指从装置中得出的、用于或打算用于在半径为一千八百五十(1,850)英尺的圆圈内对消费者进行定位的任何数据，但条例规定的除外。
对于“可公开获得”，CPRA还做出如下界定：
“publicly available” means: information that is lawfully made available from federal, state, or local government records, or information that a business has a reasonable basis to believe is lawfully made available to the general public by the consumer or from widely distributed media; or information made available by a person to whom the consumer has disclosed the information if the consumer has not restricted the information to a specific audience. “Publicly available” does not mean biometric information collected by a business about a consumer without the consumer’s knowledge.
"可公开获得 "是指：从联邦、州或地方政府记录中合法提供的信息，或企业有合理理由认为消费者合法向公众提供的信息，或从广泛传播的媒体中提供的信息；或由消费者向其披露信息的人所提供的信息，如果消费者没有将信息限制在特定受众范围内。"公开提供 "不是指企业在消费者不知情的情况下收集的关于消费者的生物识别信息。
华盛顿州的WPA
该法案中对“敏感数据”定义如下：
"敏感数据 "是指(a) 揭示种族或族裔出身、宗教信仰、精神或身体健康状况或诊断、性取向或公民身份或移民身份的个人数据；(b) 为独特识别自然人而处理基因或生物特征数据；(c) 来自已知儿童的个人数据；或(d) 特定地理位置数据。"敏感数据 "是个人数据的一种形式。
其中，对于精确的地理定位数据，WPA还作出如下界定：
"Specific geolocation data" means information derived from technology including, but not limited to, global positioning system level latitude and longitude coordinates or other mechanisms that directly identifies the specific location of a natural person within a geographic area that is equal to or less than the area of a circle with a radius of 1,850 feet. Specific geolocation data excludes the content of communications.
"特定地理定位数据 "是指从包括但不限于全球定位系统级经纬度坐标或其他机制的技术中得出的信息，这些信息能够直接识别自然人在等于或小于半径为1850英尺的圆的面积的地理区域内的具体位置。具体地理位置数据不包括通信内容。
简要分析
1、弗吉尼亚州的CDPA和华盛顿州的WPA在敏感数据方面定义比较接近。加州的CPRA纳入了更多的数据类型。
2、三者均将精确地理位置信息纳入了敏感数据的范畴之中。
3、三部草案均加了一个关键词，reveal——揭示。对于这个词，公号君想再次强调一遍，要特别关注这个词的含义。添加这个词是为了应对——"在大数据和人工智能时代，信息类型之间的可转化性”。
在【美国联邦隐私保护立法草案研究（二）：“个人敏感信息”】中，公号君举过以下这个例子：
4、相对于州法，美国的联邦层面的立法草案，对敏感数据定义的设计，更加丰富。详见【美国联邦隐私保护立法草案研究（二）：“个人敏感信息”】。（本篇完）
域外数据安全和个人信息保护领域的权威文件，DPO社群的全文翻译：
DPO线下沙龙的实录见：
美国电信行业涉及外国参与的安全审查系列文
美国电信行业涉及外国参与的安全审查（一）：基本制度介绍
美国电信行业涉及外国参与的安全审查（二）：国际性的第214节授权
美国电信行业涉及外国参与的安全审查（三）：建立外国参与安全审查的行政令
美国电信行业涉及外国参与的安全审查（四）：FCC对中国企业的陈述理由令
中国的网络安全审查系列文章：
自动驾驶系列文章：
欧盟“技术主权”进展跟踪系列文章：
数据安全法系列文章：
个人数据与域外国家安全审查系列文章
围绕着TIKTOK和WECHAT的总统令，本公号发表了以下文章：
中国个人信息保护立法系列文章
第29条工作组/EDPB关于GDPR的指导意见的翻译：
关于美国出口管制制度，本公号发表过系列文章：
供应链安全文章：
人脸识别系列文章：
数据跨境流动政策、法律、实践的系列文章：
传染病疫情防控与个人信息保护系列文章
人脸识别系列文章：