개인 민감정보 (个人敏感信息)
개인 민감정보의 유출, 불법 제공, 오용은 개인의 신체·재산 안전에 위험을 초래할 수 있으며, 개인의 명예, 심신 건강 훼손이나 개인정보에 근거한 차별적 대우로 쉽게 이어질 수 있습니다.
-
주 1: 개인 민감정보에는 신분증 번호, 개인 생체 식별 정보, 은행 계좌, 통신 기록·내용, 재산 정보, 신용(징신) 정보, 행적, 숙박 정보, 건강·생리 정보, 거래 정보, 만 14세 이하(포함) 아동의 개인정보 등이 포함됩니다.
-
주 2: 개인 민감정보의 판정 방법과 유형은 부록 B를 참고하세요.
-
주 3: 개인정보 관리자가 개인정보나 그 밖의 정보를 가공·처리하여 형성한 정보가, 유출·불법 제공·오용 시 개인의 신체·재산 안전에 위험을 초래하여 개인의 명예, 심신 건강 훼손이나 차별적 대우로 쉽게 이어질 수 있다면, 개인 민감정보에 해당합니다.
출처: GB/T35273 《정보보안기술 개인정보 보안 규범》 부록 B
개인 민감정보의 판정
개인 민감정보란 유출·불법 제공·오용 시 개인의 신체·재산 안전에 위험을 초래하여 개인의 명예, 심신 건강 훼손이나 차별적 대우로 쉽게 이어질 수 있는 개인정보를 말합니다. 일반적으로 만 14세 이하(포함) 아동의 개인정보와 자연인의 사생활과 관련된 정보는 개인 민감정보에 해당합니다. 다음 관점에서 개인 민감정보에 해당하는지 판정할 수 있습니다:
-
유출: 개인정보가 일단 유출되면, 정보 주체와 개인정보를 수집·사용하는 조직·기관이 개인정보에 대한 통제력을 잃어 개인정보의 확산 범위와 용도가 통제 불가능해집니다. 어떤 개인정보는 유출 후 정보 주체의 의사에 반하는 방식으로 직접 사용되거나 다른 정보와 연관 분석되면 정보 주체의 권익에 중대한 위험을 줄 수 있어 개인 민감정보로 판정해야 합니다. 예: 정보 주체의 신분증 사본이 타인의 휴대폰 실명 등록이나 은행 계좌 개설에 사용되는 경우.
-
불법 제공: 어떤 개인정보는 정보 주체가 동의한 범위를 벗어나 확산되는 것만으로도 정보 주체의 권익에 중대한 위험을 줄 수 있어 개인 민감정보로 판정해야 합니다. 예: 성적 지향, 예금 정보, 전염병력 등.
-
오용: 어떤 개인정보는 허가된 합리적 한계를 넘어 사용되면(처리 목적 변경, 처리 범위 확대 등) 정보 주체의 권익에 중대한 위험을 줄 수 있어 개인 민감정보로 판정해야 합니다. 예: 정보 주체의 허가 없이 건강 정보를 보험사 마케팅이나 개별 보험료 결정에 사용하는 경우. 표 B.1에 개인 민감정보의 예시를 제시합니다.
표 B.1 개인 민감정보 예시
- 개인 재산 정보: 은행 계좌, 인증 정보(비밀번호), 예금 정보(자금 액수, 지급·수취 기록 등 포함), 부동산 정보, 신용 기록, 신용(징신) 정보, 거래·소비 기록, 거래 명세 기록, 그리고 가상화폐·가상거래·게임 교환 코드 등 가상 재산 정보.
- 개인 건강·생리 정보: 질병 치료 등으로 개인에게 생기는 관련 기록 — 증상, 입원 기록, 처방전, 검사 보고서, 수술·마취 기록, 간호 기록, 투약 기록, 약물·음식 알레르기 정보, 생육 정보, 과거 병력, 진료 상황, 가족력, 현재 병력, 전염병력 등.
- 개인 생체 식별 정보: 개인 유전자, 지문, 성문(聲紋), 장문(掌紋), 귀 모양, 홍채, 얼굴 인식 특징 등.
- 개인 신원 정보: 신분증, 군인증, 여권, 운전면허증, 사원증, 사회보장카드, 거주증 등.
- 그 밖의 정보: 성적 지향, 혼인 이력, 종교 신앙, 미공개 위법·범죄 기록, 통신 기록·내용, 주소록, 친구 목록, 그룹 목록, 행적, 웹페이지 열람 기록, 숙박 정보, 정밀 위치 정보 등.
원문 (GB/T 35273 부록 B·중국어)
个人敏感信息（Personal Sensitive Information）
一旦泄露、非法提供或滥用可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或歧视性待遇等的个人信息。
注 1:个人敏感信息包括身份证件号码、个人生物识别信息、银行账户、通信记录和内容、财产信息、征信信息、行踪轨迹、住宿信息、健康生理信息、交易信息、14岁以下(含)儿童的个人信息等。
注 2:关于个人敏感信息的判定方法和类型参见附录B。
注 3:个人信息控制者通过个人信息或其他信息加工处理后形成的信息，如一旦泄露、非法提供或滥用可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或歧视性待遇等的，属于个人敏感信息。
From GB/T35273《信息安全技术个人信息安全规范》附录B
个人敏感信息判定
个人敏感信息是指一旦泄露、非法提供或滥用可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或歧视性待遇等的个人信息。通常情况下，14岁以下(含)儿童的个人信息和涉及自然人隐私的信息属于个人敏感信息。可从以下角度判定是否属于个人敏感信息:
泄露:个人信息一旦泄露，将导致个人信息主体及收集、使用个人信息的组织和机构丧失对个人信息的控制能力，造成个人信息扩散范围和用途的不可控。某些个人信息 在泄漏后，被以违背个人信息主体意愿的方式直接使用或与其他信息进行关联分析，可能对个人信息主体权益带来重大风险，应判定为个人敏感信息。例如，个人信息主体的身份证复印件被他人用于手机号卡实名登记、银行账户开户办卡等。
非法提供:某些个人信息仅因在个人信息主体授权同意范围外扩散，即可对个人信息主体权益带来重大风险，应判定为个人敏感信息。例如，性取向、存款信息、传染病史等。
滥用:某些个人信息在被超出授权合理界限时使用(如变更处理目的、扩大处理范围等)，可能对个人信息主体权益带来重大风险，应判定为个人敏感信息。例如，在未取得个人信息主体授权时，将健康信息用于保险公司营销和确定个体保费高低。表B.1给出了个人敏感信息举例。
表B.1 个人敏感信息举例
- 个人财产信息: 银行账户、鉴别信息(口令)、存款信息(包括资金数量、支付收款记录等)、房产信息、信贷记录、征信信息、交易和消费记录、流水记录等，以及虚拟货币、虚拟交易、游戏类兑换码等虚拟财产信息
- 个人健康生理信息: 个人因生病医治等产生的相关记录，如病症、住院志、医嘱单、检验报告、手术及麻醉记录、护理记录、用药记录、药物食物过敏信息、生育信息、以往病史、诊治情况、家族病史、现病史、传染病史等
- 个人生物识别信息: 个人基因、指纹、声纹、掌纹、耳廓、虹膜、面部识别特征等
- 个人身份信息: 身份证、军官证、护照、驾驶证、工作证、社保卡、居住证等
- 其他信息: 性取向、婚史、宗教信仰、未公开的违法犯罪记录、通信记录和内容、通讯录、好友列表、群组列表、行踪轨迹、网页浏览记录、住宿信息、精准定位信息等