4、敏感个人信息：定义、特殊处理规则、与普通个人信息的区别
好，咱们进入第四讲。这一节我估计是很多企业最头疼的部分——敏感个人信息。为什么？因为处理不好，罚金直接翻倍。我在帮一家金融科技公司做合规审计时，就亲眼见过他们因为把生物识别数据当普通信息处理，差点被罚到破产。嗯，咱们今天就把这块彻底讲透。
4.1 什么是敏感个人信息？CCPA 怎么说
先看定义。CCPA 对敏感个人信息的界定，说白了就是——一旦泄露或滥用，会对个人造成严重伤害的那类数据。我个人习惯把它分成三类：
- 身份类：社保号、驾照号、护照号、税号。这些是“一旦丢了，你连门都进不去”的数据。
- 生物与健康类：指纹、人脸识别数据、基因数据、医疗记录。我在项目中遇到过一家做智能门锁的公司，他们采集用户指纹后直接存明文，我看了后背发凉。
- 财务与行为类：银行账号、信用卡号（带安全码）、精确地理位置（GPS 坐标）、种族或宗教信息。
CCPA 原文要点：敏感个人信息包括但不限于——
- 社会安全号码、驾照号码、护照号码
- 账户登录信息（用户名+密码或安全码）
- 金融账户、信用卡或借记卡号（结合安全码）
- 精确地理位置（半径 1/3 英里内）
- 种族、民族、宗教、工会成员身份
- 通信内容（非公开）
- 基因数据、生物识别信息
- 健康信息、性生活或性取向
你想想看，这些数据一旦出事，用户可能连银行都进不去，或者被人冒名贷款。所以 CCPA 对它们的保护级别，直接拉满。
4.2 特殊处理规则：比普通信息多出哪些“紧箍咒”？
普通个人信息，企业只要做到“告知+选择退出”就行。但敏感个人信息，CCPA 给了企业两条路，选错了就是违规。
规则一：限制使用目的
你收集敏感个人信息，只能用于：
- 提供服务（用户明确要求的）
- 安全防护（防止欺诈、物理安全）
- 短期临时用途（比如缓存）
- 法律要求的其他用途
我曾经帮一家电商平台做整改，他们用用户的精确地理位置做“附近门店推荐”，这本身没问题。但他们同时用这些数据做“用户画像分析”——这就越界了。嗯，这里要注意：超出上述目的，必须获得用户明确同意，不能默认勾选。
规则二：用户有权限制使用
CCPA 给了用户一个“限制按钮”。用户可以说：“你可以收集我的敏感信息，但只能用于给我提供服务，不能拿去分析我、不能卖给第三方。” 企业必须在网页或 App 上提供这个选项，而且入口要明显。我见过有些公司把它藏在“设置-隐私-高级-更多”里，这其实是在给自己埋雷。
我的实操建议：在数据收集页面，直接放一个开关——“仅用于提供服务，不用于分析或共享”。用户默认是关闭的，但你可以引导他打开。千万别默认开启，否则 FTC 找上门的时候，你连解释的机会都没有。
4.3 与普通个人信息的区别：一张表说清楚
我习惯用表格对比，这样一目了然。你直接拿去给法务和产品经理看，他们秒懂。
| 对比维度 | 普通个人信息 | 敏感个人信息 |
|---|---|---|
| 定义范围 | 姓名、邮箱、IP 地址、设备 ID 等 | 社保号、生物识别、精确位置、健康数据等 |
| 收集前提 | 告知目的 + 提供退出链接 | 告知目的 + 提供限制使用选项 + 部分场景需明确同意 |
| 使用限制 | 可用于合理商业目的（用户可退出） | 仅限提供服务、安全、法律要求等有限目的 |
| 共享/出售 | 用户可 opt-out | 用户可 opt-out，且必须提供“限制使用”选项 |
| 违规罚款 | 每次违规最高 $2,500（故意） | 每次违规最高 $7,500（故意） |
| 数据安全要求 | 合理安全措施 | 更高标准（加密、访问控制、定期审计） |
你看，敏感个人信息在罚款上直接翻了三倍。为什么？因为一旦出事，用户受到的伤害是实实在在的。我记得有个案例，一家公司把用户的指纹数据泄露了，结果用户无法修改自己的指纹——这跟密码泄露完全不是一个量级。
4.4 避坑指南：我踩过的三个坑
讲点实战经验。这些年我帮企业做合规，发现几个高频雷区：
坑一：把“精确位置”当普通信息处理
我曾经遇到一家外卖平台，他们收集用户的 GPS 坐标用于配送。但他们同时把这些数据卖给第三方做“人流分析”。用户完全不知情。这属于典型的目的越界。后来我们帮他们做了两件事：一是把位置数据单独标记为敏感信息，二是增加“限制使用”开关。整改花了三个月，但避免了至少 500 万的潜在罚款。
坑二：生物识别数据存明文
这个我提过。很多初创公司觉得“我们小，没人查”。但 CCPA 对敏感信息的安全要求是“合理且适当”，存明文绝对不合理。我建议至少做哈希加盐，或者用硬件安全模块。别等到数据泄露了才后悔。
坑三：用户限制使用后，依然用于模型训练
这个比较隐蔽。用户说“别用我的数据做分析”，但企业把数据脱敏后拿去训练 AI 模型。嗯，这里要注意：脱敏不等于豁免。只要数据来源是敏感个人信息，且用户限制了使用目的，你就不能拿去做训练。我见过一家健康 App 因此被投诉，最后和解赔了 200 万。
4.5 实操清单：你该怎么做？
好，最后给个可以直接用的清单。你对照着检查自己的产品：
- 盘点数据：把所有收集的数据列出来，标记哪些属于敏感个人信息。别漏了“精确位置”和“生物识别”。
- 更新隐私政策：单独列出敏感个人信息的处理目的、范围、用户权利。别跟普通信息混在一起写。
- 增加“限制使用”选项：在用户设置或数据收集页面，加一个开关。文案要清晰，比如“仅用于提供服务，不用于分析或共享”。
- 加强安全措施：敏感信息必须加密存储，访问权限最小化，定期审计日志。我建议至少每季度做一次安全扫描。
- 培训员工：让产品、技术、运营都明白——敏感信息不是普通数据，处理错了是要赔钱的。我曾经给一家公司做培训，产品经理听完后说：“原来我们之前一直在违规边缘试探。”
最后一句心里话：敏感个人信息合规，不是法务部门一个人的事。它需要产品、技术、运营、安全一起配合。你想想看，如果产品经理在设计功能时就把“限制使用”考虑进去，后面能省多少事？嗯，今天就到这里，下一节我们讲数据主体权利——那个更刺激。