个人信息保护 | 中欧关于敏感个人信息类型的简单对比

编者按：

在万众瞩目下，我国《个人信息保护法》历经多年的酝酿，终于和国人乃至世界见面。对这部我国“数字时代的基本法”进行解读，从不同的角度能看到不一样的精妙之处。此前，本公号发表过的关于此议题相关文章包括：

今天和大家讨论一个似乎有点“老调重弹”的话题——敏感个人信息的界定，而且就聚焦一个方面——中欧之间的比较。

在《个人信息保护法》生效后，公号君总是在各个研讨会或者学术文章中看到将中国和欧盟在敏感个人信息类型和“特殊类型个人信息”的比较。似乎有这样一种共识——《个人信息保护法》对敏感个人信息类型界定太宽，欧盟的GDPR就非常明确和缩限。例如这样的论述：

但笔者认为，这至少对GDPR存在比较明显的误读。在【传染病疫情防控与个人信息保护初探之一：个人信息的性质】一文中，公号君给大家提供了对GDPR相关条款的一个解读，在此重复一遍：

GDPR第九条是这么写的：

翻译起来就是：

禁止以下数据处理行为：处理个人数据，揭露出其种族、民族、政治观点、宗教和哲学信仰，或工会成员身份；处理基因数据、生物识别数据，以识别出特定个人；处理与健康相关的数据，或与自然人性取向或性经历有关的数据。

要非常注意GDPR这个条文的措词——“处理个人数据，揭露出”（processing of personal data revealing）。也就是说，GDPR中的特殊类型数据，绝不是单纯的种族、民族、政治观点、宗教和哲学信仰、工会成员身份这几类具体的信息，而是数据控制者能够用一些数据来推断出上述信息即可。

举个例子：例如数据控制者知道一个清真寺的地理位置，同时得知一位个人每周去该地理位置五次之多，那显然这位个人大概率信奉穆斯林。此时，地理位置信息就应当被认定为GDPR中的特殊类型数据，享有特殊保护。

同样的，与健康相关的信息（data concerning health）也是这么一个理。在当下，武汉市民（及从武汉返乡人员）几乎等同于2019-nCoV病毒高危人群，其家庭住址、身份证号码等，被各个方面用于隔离、劝勉等目的。此时，其家庭住址、身份证号码等在GDPR中就会被当成与健康相关的信息（data concerning health），而“升格”为特殊类型数据。

总之，大家要特别特别关注细节——“revealing”这个词，就不会简单得出欧盟GDPR对特殊类型个人信息做缩限界定的看法了。

此外，美国联邦和州层面的各个立法草案对敏感个人信息的界定，也可见一斑：

首先，这些法律文本中，个人敏感信息范围相对宽泛，其次，不少采取了revealing这个词，同样“放大”了个人敏感信息类型的范围。

以上和大家做一个简单的讨论，不对之处敬请指正。（完）

数据保护官（DPO）社群主要成员是个人信息保护和数据安全一线工作者。他们主要来自于国内头部的互联网公司、安全公司、律所、会计师事务所、高校、研究机构等。在从事本职工作的同时，DPO社群成员还放眼全球思考数据安全和隐私保护的最新动态、进展、趋势。2018年5月，DPO社群举行了第一次线下沙龙。沙龙每月一期，集中讨论不同的议题。目前DPO社群已超过300人。关于DPO社群和沙龙更多的情况如下：

域外数据安全和个人信息保护领域的权威文件，DPO社群的全文翻译：

DPO线下沙龙的实录见：

个人数据与域外国家安全审查系列文章

围绕着TIKTOK和WECHAT的总统令，本公号发表了以下文章：

关于美国出口管制制度，本公号发表过系列文章：

供应链安全文章：

传染病疫情防控与个人信息保护系列文章

关于数据与竞争政策的翻译和分析：

健康医疗大数据系列文章：

网联汽车数据和自动驾驶的系列文章：

网络空间的国际法适用问题系列文章：

关于欧盟技术主权相关举措的翻译和分析：

关于保护网络和信息系统安全的相关文章包括：

中国个人信息保护立法的相关文章包括：

《网络数据安全管理条例（征求意见稿）》系列文章：

《数据安全法》的相关文章包括：

关于健康医疗数据方面的文章有：

关于人工智能安全和监管，本公号发布过以下文章：

关于中美与国家安全相关的审查机制，本公号发布过以下文章：

数据的安全、个人信息保护、不正当竞争等方面的重大案例：

关于数据执法跨境调取的相关文章：

业务场景中的数据跨境流动的文章如下：

数字贸易专题的系列文章有：

关于数据要素治理的相关文章包括：

人脸识别系列文章：

地缘政治与跨国科技公司运营之间的互动影响：

赴美上市的网络、数据安全方面的两国监管乃至冲突方：

个性化广告或行为定向广告（behavioral targeting advertising）系列的文章：

第29条工作组/EDPB关于GDPR的指导意见的翻译：