第二章　個人信息處理規則

第二節　敏感個人信息的處理規則

　　第二十八條　敏感個人信息是一旦泄露或者非法使用，容易導致自然人的人格尊嚴受到侵害或者人身、財產安全受到危害的個人信息，包括生物識別、宗教信仰、特定身份、醫療健康、金融賬戶、行蹤軌跡等信息，以及不滿十四周歲未成年人的個人信息。

　　只有在具有特定的目的和充分的必要性，并采取嚴格保護措施的情形下，個人信息處理者方可處理敏感個人信息。

這一條是關于敏感個人信息的規定。

根據本條規定，敏感個人信息是哪些一旦泄露或者非法使用，容易導致自然人的人格尊嚴受到侵害或者人身、財產安全受到危害的個人信息，并且列舉了幾種敏感個人信息。

這里面需要引起特別注意的是生物識別信息。隨著科技的發展，出現了指紋識別、面部識別等識別技術的應用。目前這些技術被大量用作手機開機、支付密碼、進入特定場所等等場景。為了應用生物識別技術，就需要收集和儲存這些生物識別信息。當社會上越來越多的企業收集個人生物識別信息的時候，生物識別信息泄露或遭到非法使用的可能性就增加了，一旦該類生物識別信息泄露或者非法使用，將會對個人的財產安全造成威脅。因此，相比傳統的醫療健康、金融賬戶等敏感信息，生物識別信息的使用應該遵循何種規則，越來越被重視。

案例：小李系某小區業主，2021年，物業公司告示業主，小區門禁系統已改為人臉識別，限期要求業主至物業辦理人臉和身份信息錄入，否則將無法出入小區。小李認為存在隱私風險，不同意人臉識別驗證方式，每次只能跟隨其他業主通行，日常生活極度受到影響。小李與物業公司協商未果，訴至法院，要求物業公司為其通行提供其他非生物信息驗證方式。

法院審理過程中對物業公司進行了釋法析理，指出物業公司在使用人臉識別門禁系統錄入人臉信息時，應當征得業主同意，對于不同意的業主，物業公司應當提供替代性驗證方式。物業公司認識到了自身存在的問題，立即在人臉識別系統上增設了刷卡功能。雙方握手言和，小李也當場撤訴。（江蘇省高級人民法院發布十件弘揚中華優秀傳統文化典型案例）（來源：蘇州市吳中區人民法院）

第二十九條　處理敏感個人信息應當取得個人的單獨同意；法律、行政法規規定處理敏感個人信息應當取得書面同意的，從其規定。

這是第四個法律規定需要個人單獨同意的條款。第一個是信息處理者向其他信息處理者提供其處理的個人信息；第二個是信息處理者公開其處理的個人信息；第三個是在公共場所安裝圖像采集、個人身份識別設備，處理個人信息用于非維護公共安全的目的；第四個為處理敏感個人信息。

就像敏感個人信息是個人信息中一個特殊的種類一樣，需要個人單獨同意也是一種特別規則。這種規則增加了信息處理者的工作，提高了處理信息的難度，也更有利于保護個人的信息安全。

第三十條　個人信息處理者處理敏感個人信息的，除本法第十七條第一款規定的事項外，還應當向個人告知處理敏感個人信息的必要性以及對個人權益的影響；依照本法規定可以不向個人告知的除外。

本法第十七條是關于個人信息處理者的告知義務。根據第十七條的規定，個人信息處理者在處理個人信息之前，應該根據法律規定將相關事項告知個人。

對于處理敏感個人信息，個人信息處理者僅僅根據第十七條的規定進行告知是不夠的，還需要根據本條的規定進行告知。否則就屬于沒有盡到告知義務。

第三十一條　個人信息處理者處理不滿十四周歲未成年人個人信息的，應當取得未成年人的父母或者其他監護人的同意。

　　個人信息處理者處理不滿十四周歲未成年人個人信息的，應當制定專門的個人信息處理規則。

關于兒童的個人信息保護問題，曾經有學者建議作出特別規定。他們認為：嚴格的來說，不是所有的兒童個人信息都屬于敏感信息，又有其特殊之處，應該作出特別規定。不過最后通過的法律，把兒童個人信息的保護納入到了敏感個人信息的范圍，同時規定了個人信息處理者應該就兒童個人信息的保護制定專門的個人信息處理規則。法律這樣規定，其實增進了個人信息處理者的義務，要求個人信息處理者根據本法的精神和規定，就如何保護兒童的個人信息制定規則。

另外，因為兒童是無民事行為能力人或者限制行為能力人，心智不成熟，無法獨立作出同意與否的意思表示。為了維護兒童的合法權益，本文規定處理兒童的個人信息，應該取得兒童監護人的同意。

案例：

在李某某訴某網絡公司、某教育中心名譽權、隱私權糾紛案中，法院查明：李某某為未成年人。2014年，某網絡公司旗下的某網站刊出一組《探訪北京戒網癮學校》相關內容的照片和文章，相關網頁第一張照片為李某某正面全身照，圖片沒有打馬賽克或者做其他模糊處理。該圖片配有說明:“北京某教育中心是一所戒網癮學校，學校通過軍事化管理幫助青少年戒除網癮。目前，類似這樣的戒網癮學校在中國已經多達250所。為了幫助孩子戒除網癮，很多父母將孩子送到戒網癮學校，讓他們接受心理測驗和軍事化訓練。”另，李某某全身照還出現在第二十一張照片中，該照片配有說明:“5月22日，北京某教育中心，一名剛到中心的女孩子正與其他學生交談，在父母的要求下，這名女孩到這里戒癮。”

法院認為：自然人享有生命權、身體權、健康權、姓名權、肖像權、名譽權、隱私權等。任何組織或者個人不得披露未成年人的個人隱私。網絡服務提供者在刊載網絡信息時，應特別注意對未成年人個人隱私和個人信息的保護。網易公司作為網絡服務提供者，其轉載涉案的照片、文章并配有“這名女孩到這里戒癮”等文字的行為，侵犯了未成年人隱私權。因網易公司在國內的影響力，該組照片和文章被大量點擊和轉載，造成了李某某名譽權受到侵害，應當承擔侵權責任。

第三十二條　法律、行政法規對處理敏感個人信息規定應當取得相關行政許可或者作出其他限制的，從其規定。

科技在發展，新的使用敏感個人信息的技術不斷出現。本法出臺之后，有可能會出現本法沒有規定的新情況。為了應對可能出現的新情況，或者本法沒有規定的問題，本條為之后增加對敏感個人信息保護的規定保留了空間。