普法小课堂丨2023年《数字经济法律资讯》之个人信息区分、数据分类分级
随着数字经济时代的到来，互联网行业全面步入数字化转型，数据已成为核心资源。为了更好的研究数据合规在数字经济领域的法律问题，现将《互联网电商合规法律资讯》中相关内容整理如下，以作交流学习。以下内容摘自合规律刊——2023年《数字经济法律资讯》3月、4月刊。一、个人信息、敏感个人信息和隐私信息的区分1. 个人信息定义《中华人民共和国个人信息保护法》 第四条：个人信息是以电子或其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。欧盟《通用数据保护条例》(GDPR) 第4(1)条：个人数据指的是任何已识别或可识别的自然人(“数据主体”)相关的信息。需要说明的是，主流法规是以“可识别”来划定个人信息的范围，一般“可识别”的个人信息分为两种情况：一是可以识别出这个人是谁，另一种是识别出某个人干了什么、用了什么、去了哪里等，所以只要能区分开这个人和其他人就可以算个人信息。这种识别可以是直接识别，也可以是结合其他信息共同识别出。那么问题来了，结合其他信息共同识别的情况下，需要结合多大范围内的信息才算“可识别”的？英国《数据保护和数字信息法案》给出了更为详细的解释，该解释进一步缩小了个人信息的范围，根据这一定义，如果控制者或处理者只能在理论上在第三方的帮助下(例如，互联网服务提供商提供的IP地址数据)识别这个人，则数据不能被视为个人数据。在这个解释下，掌握较多数据的大型公司的个人信息量和信息保护责任远远大于小型公司。2.敏感个人信息一些特定的情况下如需要处理敏感个人信息的，需遵守《个人信息保护法》第二十九条和第三十条的规定。即告知个人处理事项，并取得个人的明确单独同意。从法律法规中的定义出发，敏感个人信息定义如下：《中华人民共和国个人信息保护法》第二十八条：敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。《通用数据保护条例》(GDPR)第9条 对特殊类型个人数据的处理第1款：对于那些显示种族或民族背景、政治观念、宗教或哲学信仰或工会成员的个人数据、基因数据、为了特定识别自然人的生物性识别数据、以及和自然人健康、个人性生活或性取向相关的数据，应当禁止处理。由此可见GDPR的特殊类型个人数据是对于那些显示种族或民族背景、政治观念、宗教或哲学信仰或工会成员的个人数据、基因数据、为了特定识别自然人的生物性识别数据、以及和自然人健康、个人性生活或性取向相关的数据。从二者对比来看，个人的生物识别、宗教信仰、特定身份、医疗健康等数据都属于这一概念，而个保法提到的金融数据、行踪轨迹等GDPR并未明文规定，GDPR中的性生活和性取向在国内的个保法中也没有提及。3.隐私信息首先说结论，隐私的概念大于个人信息。隐私是自然人的私生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息，权力主体行权的核心目的在于“不愿为人知晓”和“生活安宁”,即隐私的核心是“私密性”,即信息主体不想让外界知悉这些空间、获得的信息，即使有些信息并不属于他的个人信息，甚至只是一种物理空间(私人活动所覆盖的范围)。民法典不仅将“私人生活安宁”纳入隐私权的保护范围，还对隐私权和个人信息保护加以区分。民法典第1034条规定：“个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定。”两者紧密联系，如私密信息既属于隐私也属于个人信息。隐私权关涉个人的人格尊严，保障个人私有领域不受侵犯、不被刺探，侧重于对私人生活安宁与私人信息秘密的保护。而个人信息保护，除了涉及人格尊严，还带有明显的公共利益考量，侧重于对个人信息全生命周期处理活动的保护，涉及个人信息的收集、存储、使用、加工、传输、公开等环节。”本质上，个人信息的分类或分级应结合此类信息一旦泄露对当事人造成的主观伤害或客观伤害的风险进行判断(Risk of harm),让个人信息保护落到实处。来源：中国政法大学数据合规研究中心二、数据分类分级框架及流程一览1.数据分类框架及流程：先按行业领域分类，再按业务属性分类，特殊情况如个人信息、敏感个人信息进行单独识别和分类。行业领域包括：工业、电信、金融、能源、交通运输、自然资源、卫生健康、教育、科学等。业务属性包括：业务领域、职责部门、描述对象、上下游环节、数据主题、数据用途、数据处理、数据来源等。2.数据分级框架及流程:根据对于经济社会发展的重要程度，以及安全事件发生后的危害程度，将数据从高到低分为核心、重要、一般三个级别。核心数据:可能直接危害政治安全、国家安全重点领域、国民经济命脉、重要民生、重大公共利益的数据。重要数据:可能直接危害国家安全、经济运行、社会稳定、公共健康和安全的数据。一般数据:仅影响小范围的组织或公民个体合法权益的数据。转载：合规律