《个人信息保护合规实战手册》
第3章 个人信息分类分级
3. 个人信息分类分级：敏感个人信息与一般个人信息的界定、分类分级标准与实施方法
3.1 敏感个人信息与一般个人信息的法律界定
根据《中华人民共和国个人信息保护法》第28条，敏感个人信息是指一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息。包括但不限于：生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。
一般个人信息则是指除敏感个人信息之外的其他个人信息，例如姓名、电话号码（非用于特定身份识别）、工作单位、教育背景等。这类信息虽然也受法律保护，但在处理规则上相对宽松。
3.2 分类分级标准
分类分级标准应遵循“合法、正当、必要”原则，结合行业特点与业务场景。以下为通用分类分级框架：
| 级别 | 类别 | 典型示例 | 保护要求 |
|---|---|---|---|
| L4 | 极度敏感 | 生物识别、基因信息、性取向 | 单独同意 + 加密存储 + 访问审计 |
| L3 | 高度敏感 | 金融账户、医疗记录、行踪轨迹 | 单独同意 + 脱敏处理 + 权限管控 |
| L2 | 一般敏感 | 身份证号、手机号、家庭住址 | 告知同意 + 加密传输 + 最小化收集 |
| L1 | 低敏感 | 姓名、昵称、工作单位 | 基本保护 + 合规存储 |
3.3 实施方法
实施个人信息分类分级，建议采用以下五步法：
- 数据盘点与梳理：全面梳理企业收集、存储、使用的所有个人信息字段，建立数据资产清单。
- 分类定级评估：依据法律定义与行业标准，对每个字段进行敏感度评估，确定其所属级别（L1-L4）。
- 标签化管理：在数据资产目录中为每个字段打上分类分级标签，如“敏感-金融账户-L3”。
- 差异化管控：根据级别制定差异化的安全策略，包括加密、脱敏、访问控制、审计日志等。
- 持续监控与更新：定期复核分类分级结果，根据业务变化与法律更新动态调整。
3.4 实施要点与注意事项
- 单独同意原则：处理敏感个人信息必须取得个人单独同意，不得以捆绑方式获取。
- 目的限制：处理敏感信息必须有明确、合理的目的，且与处理目的直接相关。
- 影响评估：处理敏感个人信息前，应当进行个人信息保护影响评估（PIA）。
- 技术保护：对敏感信息实施加密存储、脱敏展示、访问控制等安全措施。
- 未成年人保护：不满十四周岁未成年人的个人信息一律按敏感信息处理，需取得其监护人的同意。
3.5 常见场景示例
| 业务场景 | 涉及信息 | 分类级别 | 合规要求 |
|---|---|---|---|
| 人脸识别门禁 | 人脸图像（生物识别） | L4 | 单独同意 + 加密存储 + 本地处理 |
| 在线支付 | 银行卡号、交易记录 | L3 | 单独同意 + 加密传输 + 支付验证 |
| 员工考勤 | 指纹、打卡记录 | L2 | 告知同意 + 脱敏存储 + 权限管控 |
| 会员注册 | 姓名、手机号 | L1 | 基本保护 + 合规存储 |
总结：个人信息分类分级是数据合规的基石。企业应建立常态化分类分级机制，将敏感个人信息与一般个人信息区分管理，确保在数据收集、存储、使用、加工、传输、提供、公开等全生命周期中落实差异化保护措施，从而有效降低合规风险。