個人センシティブ情報（个人敏感信息）
個人センシティブ情報の漏えい、違法な提供、または濫用は、人身および財産の安全に危険を及ぼしうるもので、個人の名誉や心身の健康への損害、あるいは差別的取り扱いを招きやすいものです。
-
注1：個人センシティブ情報には、身分証番号、個人の生体識別情報、銀行口座、通信の記録と内容、財産情報、信用（与信）情報、行動軌跡、宿泊情報、健康・生理情報、取引情報、および14歳以下（14歳を含む）の児童の個人情報などが含まれます。
-
注2：個人センシティブ情報の判定方法と類型については、附録Bを参照してください。
-
注3：個人情報の取扱者が個人情報その他の情報を加工・処理して形成した情報であって、漏えい・違法な提供・濫用により人身および財産の安全に危険を及ぼしうるもの、すなわち個人の名誉や心身の健康への損害、あるいは差別的取り扱いを招きやすいものは、個人センシティブ情報に該当します。
GB/T 35273『情報セキュリティ技術——個人情報セキュリティ規範』附録B より
個人センシティブ情報の判定
個人センシティブ情報とは、ひとたび漏えい・違法な提供・濫用されると、人身および財産の安全に危険を及ぼしうるもので、個人の名誉や心身の健康への損害、あるいは差別的取り扱いを招きやすい個人情報を指します。一般に、14歳以下（14歳を含む）の児童の個人情報、および自然人のプライバシーに関わる情報は、個人センシティブ情報に該当します。個人センシティブ情報に当たるかどうかは、次の観点から判定できます。
-
漏えい：個人情報がひとたび漏えいすると、個人情報主体、ならびに個人情報を収集・利用する組織・機関が、その個人情報に対する制御能力を失い、情報の拡散範囲と用途が制御不能になります。一部の個人情報は、漏えい後に個人情報主体の意思に反する形で直接利用され、または他の情報と関連分析されると、個人情報主体の権益に重大なリスクをもたらしうるため、個人センシティブ情報と判定すべきです。たとえば、個人情報主体の身分証のコピーが、他人による携帯電話番号の実名登録や銀行口座の開設に使われる場合です。
-
違法な提供：一部の個人情報は、個人情報主体の授権同意の範囲を超えて拡散しただけで、個人情報主体の権益に重大なリスクをもたらしうるため、個人センシティブ情報と判定すべきです。たとえば、性的指向、預金情報、感染症歴などです。
-
濫用：一部の個人情報は、授権された合理的な範囲を超えて利用される（処理目的の変更、処理範囲の拡大など）と、個人情報主体の権益に重大なリスクをもたらしうるため、個人センシティブ情報と判定すべきです。たとえば、個人情報主体の授権を得ずに、健康情報を保険会社のマーケティングや個々の保険料の決定に用いる場合です。表B.1に個人センシティブ情報の例を示します。
表B.1 個人センシティブ情報の例
- 個人財産情報： 銀行口座、認証情報（パスワード）、預金情報（資金額、支払い・受取記録などを含む）、不動産情報、信用（与信）記録、信用情報、取引・消費記録、取引明細 等、ならびに仮想通貨・仮想取引・ゲームの交換コードなどの仮想財産情報
- 個人の健康・生理情報： 病気の治療などに伴って個人に生じる関連記録——症状、入院記録、処方せん、検査報告、手術・麻酔記録、看護記録、投薬記録、薬物・食物アレルギー情報、生育情報、既往歴、診療状況、家族歴、現病歴、感染症歴 等
- 個人生体識別情報： 遺伝子、指紋、声紋、掌紋、耳介、虹彩、顔認識の特徴 等
- 個人身分情報： 身分証、軍人証、パスポート、運転免許証、社員証、社会保障カード、居住証 等
- その他の情報： 性的指向、婚姻歴、宗教信仰、未公開の違法・犯罪記録、通信の記録と内容、アドレス帳、友だちリスト、グループリスト、行動軌跡、Webページの閲覧記録、宿泊情報、精密な測位情報 等
原文（GB/T 35273 附録B・中国語）
个人敏感信息（Personal Sensitive Information）
一旦泄露、非法提供或滥用可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或歧视性待遇等的个人信息。
注 1:个人敏感信息包括身份证件号码、个人生物识别信息、银行账户、通信记录和内容、财产信息、征信信息、行踪轨迹、住宿信息、健康生理信息、交易信息、14岁以下(含)儿童的个人信息等。
注 2:关于个人敏感信息的判定方法和类型参见附录B。
注 3:个人信息控制者通过个人信息或其他信息加工处理后形成的信息，如一旦泄露、非法提供或滥用可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或歧视性待遇等的，属于个人敏感信息。
From GB/T35273《信息安全技术个人信息安全规范》附录B
个人敏感信息判定
个人敏感信息是指一旦泄露、非法提供或滥用可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或歧视性待遇等的个人信息。通常情况下，14岁以下(含)儿童的个人信息和涉及自然人隐私的信息属于个人敏感信息。可从以下角度判定是否属于个人敏感信息:
泄露:个人信息一旦泄露，将导致个人信息主体及收集、使用个人信息的组织和机构丧失对个人信息的控制能力，造成个人信息扩散范围和用途的不可控。某些个人信息 在泄漏后，被以违背个人信息主体意愿的方式直接使用或与其他信息进行关联分析，可能对个人信息主体权益带来重大风险，应判定为个人敏感信息。例如，个人信息主体的身份证复印件被他人用于手机号卡实名登记、银行账户开户办卡等。
非法提供:某些个人信息仅因在个人信息主体授权同意范围外扩散，即可对个人信息主体权益带来重大风险，应判定为个人敏感信息。例如，性取向、存款信息、传染病史等。
滥用:某些个人信息在被超出授权合理界限时使用(如变更处理目的、扩大处理范围等)，可能对个人信息主体权益带来重大风险，应判定为个人敏感信息。例如，在未取得个人信息主体授权时，将健康信息用于保险公司营销和确定个体保费高低。表B.1给出了个人敏感信息举例。
表B.1 个人敏感信息举例
- 个人财产信息: 银行账户、鉴别信息(口令)、存款信息(包括资金数量、支付收款记录等)、房产信息、信贷记录、征信信息、交易和消费记录、流水记录等，以及虚拟货币、虚拟交易、游戏类兑换码等虚拟财产信息
- 个人健康生理信息: 个人因生病医治等产生的相关记录，如病症、住院志、医嘱单、检验报告、手术及麻醉记录、护理记录、用药记录、药物食物过敏信息、生育信息、以往病史、诊治情况、家族病史、现病史、传染病史等
- 个人生物识别信息: 个人基因、指纹、声纹、掌纹、耳廓、虹膜、面部识别特征等
- 个人身份信息: 身份证、军官证、护照、驾驶证、工作证、社保卡、居住证等
- 其他信息: 性取向、婚史、宗教信仰、未公开的违法犯罪记录、通信记录和内容、通讯录、好友列表、群组列表、行踪轨迹、网页浏览记录、住宿信息、精准定位信息等