个人敏感信息

个人敏感信息是指一旦泄露、非法提供或滥用可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或歧视性待遇等的个人信息。通常情况下，14岁以下（含）儿童的个人信息和涉及自然人隐私的信息属于个人敏感信息。

可从以下角度判定是否属于个人敏感信息：

泄露：个人信息一旦泄露，将导致个人信息主体及收集、使用个人信息的组织和机构丧失对个人信息的控制能力，造成个人信息扩散范围和用途的不可控。某些个人信息在泄漏后，被以违背个人信息主体意愿的方式直接使用或与其他信息进行关联分析，可能对个人信息主体权益带来重大风险，应判定为个人敏感信息。例如，个人信息主体的身份证复印件被他人用于手机号卡实名登记、银行账户开户办卡等。

非法提供：某些个人信息仅因在个人信息主体授权同意范围外扩散，即可对个人信息主体权益带来重大风险，应判定为个人敏感信息。例如，性取向、存款信息、传染病史等。

滥用：某些个人信息在被超出授权合理界限时使用（如变更处理目的、扩大处理范围等），可能对个人信息主体权益带来重大风险，应判定为个人敏感信息。例如，在未取得个人信息主体授权时，将健康信息用于保险公司营销和确定个体保费高低。

个人敏感信息的类型及示例

类型	示例
个人财产信息	银行账户、鉴别信息(口令)、存款信息（包括资金数量、支付收款记录等）、房产信息、信贷记录、征信信息、交易和消费记录、流水记录等，以及虚拟货币、虚拟交易、游戏类兑换码等虚拟财产信息
个人健康生理信息	个人因生病医治等产生的相关记录，如病症、住院志、医嘱单、检验报告、手术及麻醉记录、护理记录、用药记录、药物食物过敏信息、生育信息、以往病史、诊治情况、家族病史、现病史、传染病史等
个人生物识别信息	个人基因、指纹、声纹、掌纹、耳廓、虹膜、面部识别特征等
个人身份信息	身份证、军官证、护照、驾驶证、工作证、社保卡、居住证等
其他信息	性取向、婚史、宗教信仰、未公开的违法犯罪记录、通信记录和内容、通讯录、好友列表、群组列表、行踪轨迹、网页浏览记录、住宿信息、精准定位信息等

二、工业数据分类分级指南（试行）

企业类型	分类	范围
⼯业企业	研发数据域	研发设计数据、开发测试数据等
	⽣产数据域	控制信息、⼯况状态、⼯艺参数、系统⽇志等
	运维数据域	物流数据、产品售后服务数据等
	管理数据域	系统设备资产信息、客户与产品信息、产品供应链数据、业务统计数据等
	外部数据域	与其他主体共享的数据等
平台企业	平台运营数据域	物联采集数据、知识库模型库数据、研发数据等
	企业管理数据域	客户数据、业务合作数据、⼈事财务数据等

分级	释义
三级	（⼀）易引发特别重⼤⽣产安全事故或突发环境事件，或造成直接经济损失特别巨⼤； （⼆）对国⺠经济、⾏业发展、公众利益、社会秩序乃⾄国家安全造成严重影响。
⼆级	（⼀）易引发较⼤或重⼤⽣产安全事故或突发环境事件，给企业造成较⼤负⾯影响，或直接经济损失较⼤； （⼆）引发的级联效应明显，影响范围涉及多个⾏业、区域或者⾏业内多个企业，或影响持续时间⻓，或可导致⼤量供应商、客户资源被⾮法获取或⼤量个⼈信息泄露； （三）恢复⼯业数据或消除负⾯影响所需付出的代价较⼤。
⼀级	（⼀）对⼯业控制系统及设备、⼯业互联⽹平台等的正常⽣产运⾏影响较⼩； （⼆）给企业造成负⾯影响较⼩，或直接经济损失较⼩； （三）受影响的⽤户和企业数量较少、⽣产⽣活区域范围较⼩、持续时间较短； （四）恢复⼯业数据或消除负⾯影响所需付出的代价较⼩。

三、YD/T 3813—2020 基础电信企业数据分类分级方法

⼀级⼦类	⼆级⼦类	三级⼦类	四级⼦类
⽤户相关数据	⽤户身份相关数据	⽤户身份相关数据	⾃然⼈身份标识、⽹络身份标识、⽤户基本资料、实体身份证明、⽤户私密资料
	⽤户服务内容数据	服务内容和资料数据	服务内容数据、联系⼈信息
	⽤户服务衍⽣数据	⽤户服务使⽤数据	业务订购关系、服务记录和⽇志、消费信息和账单、位置数据、违规记录数据
		设备信息	终端设备标识、终端设备资料
	⽤户统计分析类数据	⽤户使⽤习惯和⾏为分析数据	/
		⽤户上⽹⾏为相关统计分析数据	/
企业⾃身相关数据	⽹络与系统的建设与运⾏维护类数据	规划建设类数据（分发布前后）	⽹络规划类、投资计划类、项⽬管理类
		⽹络与系统资源类数据	公共资源类数据、传输资源类数据、承载⽹资源、核⼼⽹资源、接⼊⽹资源等
		⽹络与系统运维类数据	信令、⽹路信息、⽹段、⽹址VLAN、划分、设备监测等
		⽹络安全管理类数据	安全审计记录、⽹络安全应急预案、违法有害信息监测、核⼼区域监控等
	业务运营类数据	业务运营服务数据	产品信息、渠道信息、客户服务信息、营销信息
		公开业务运营服务数据	/
	企业管理数据	发展战略与重⼤决策	发展战略、重⼤决策、重要会议
		业务发展类	市场策略、营销管理、资费管理等
		技术研发类	技术管理、技术研究报告、专利⼯作
		运⾏管理类	/
		⽣产经营类	财务预算、业绩披露、考核信息等
		综合管理类	⼈⼒资源、财务信息、办公⾃动化、采购
	其他数据	合作⽅提供数据	/

四、JR/T 0197-2020 金融数据安全 数据安全分级指南

	分类	范围
客户数据	个⼈数据	是指个⼈的⾃然属性信息，包括个⼈⾃然信息、个⼈身份鉴别信息、个⼈资讯信息等信息
	单位数据	是指单位的⾃然属性数据，包含单位基本信息、单位身份鉴别信息、单位标签信息等单位信息
业务数据	账户信息	指账户相关数据，如账户的基本信息、计息信息、冻结信息、介质信息和核算信息等
	法定数字货币钱包信息	指法定数字货币钱包相关属性信息
	合同协议信息	指合同或协议所包含的所有属性信息，如合同法以及商业银⾏法所规定的基本信息
	⾦融监管和服务	包括反洗钱业务信息、贷款业务信息、货币⾦银业务信息、贷款保险业务信息等
	交易信息	交易通⽤信息、保险收付费信息等
经营管理	营销服务	产品信息、渠道信息、营销信息
	运营管理	安防管理信息、业务运维信息、客户服务信息、单证管理信息等
	风险管理信息	风险偏好信息、风险管控信息
	技术管理	项⽬管理信息、系统管理信息
	综合管理	战略规划信息、招聘信息、员⼯信息、机构信息等
监管	数据报送	监管报送信息
	数据收取	评级、处罚与违规信息、外部审计信息等

本标准根据⾦融业机构数据安全性遭受破坏后的影响对象和所造成的影响程度，将数据安全级别从⾼到低划分为5级、4级、3级、2级、1级。

五、GB/T 39725-2020 信息安全技术 健康医疗数据安全指南

分类	范围
个⼈属性数据	单独或者与其他信息结合能够识别特定⾃然⼈的数据，如个⼈统计信息、个⼈身份信息、个⼈通讯信息、个⼈⽣物识别信息等。
健康状况数据	能反映个⼈健康情况或同个⼈健康情况有着密切关系的数据，如现病史、家族史、症状、体检检查数据、⽣活⽅式、基因测序等。
医疗应⽤数据	反映医疗保健、门诊、住院、出院和其他医疗服务情况的数据，如住院医嘱、门诊病历、⽤药信息、护理记录、⼊院记录等。
医疗⽀付数据	医疗或保险等服务中所涉及的与费⽤相关的数据，如医保⽀付信息、交易⾦额、交易记录、保险状态、保险⾦额等。
卫⽣资源数据	可以反映卫⽣服务⼈员、卫⽣计划和卫⽣体系的能⼒与特征的数据，如医疗基本数据、医疗运营数据。
公共卫⽣数据	关系到国家或地区⼤众健康的公共事业相关数据，如环境卫⽣数据、传染病疫情数据、疫情监测数据、疫情预防数据等。

六、JR/T 0158-2018 证券期货业数据分类分级指引

分类	范围
交易数据	包括成交信息、委托信息、交易业务参数信息、交易⽇志信息。
监管数据	包括监察参考信息、监管统计及预警信息、评价、处罚与违规信息、上报信息。
信息披露数据	包括产品发⾏信息（公开）与产品发⾏信息（未公开）。
其他数据	包括统计信息、其他业务信息、规划类数据、运⾏管理信息。

分级	释义
4级（极⾼）	数据主要⽤于⾏业内⼤型或特⼤型机构中的重要业务使⽤，⼀般针对特定⼈员公开，且仅为必须知悉的对象访问或使⽤。
3级（⾼）	数据⽤于重要业务使⽤，⼀般针对特定⼈员公开，且仅为必须知悉的对象访问或使⽤。
2级（中）	数据⽤于⼀般业务使⽤，⼀般针对受限对象公开；⼀般指内部管理且不宜⼴泛公开的数据。
1级（低）	数据⼀般可被公开或可被公众获知、使⽤。

七、GB/T 38667-2020 信息技术 大数据 数据分类指南

维度	分类	释义
技术选型维度	按产⽣频率分类	可划分为：每年更新数据、每⽉更新数据、每周更新数据、每⽇更新数据、每⼩时更新数据、每分钟更新数据、每秒更新数据、⽆更新数据等。
	按产⽣⽅式分类	可划分为：⼈⼯采集数据、信息系统产⽣数据、感知设备产⽣数据、原始数据、⼆次加⼯数据等。
	按结构化特征分类	可划分为：结构化数据，如零售、财务、⽣物信息学、地理数据等；⾮结构化数据，如图像、视频、传感器数据、网页等；半结构化数据，如应⽤系统⽇志、电⼦邮件等。
	按存储⽅式分类	可划分为：关系数据库存储数据、键值数据库存储数据、列式数据库存储数据、图数据库存储数据、⽂档数据库存储数据。
	按稀疏程度分类	可划分为：稠密数据和稀疏数据
	按处理时效性分类	可划分为：实时处理数据、准实时处理数据、批量处理数据。
业务应⽤维度	按产⽣来源分类	可划分为：⼈为社交数据、电⼦商务平台交易数据、移动通信数据、物联⽹感知数据、系统运⾏⽇志数据等。
	按业务归属分类	可划分为：⽣产类业务数据、管理类业务数据、经营类业务数据
	按流通类型分类	可划分为：可直接交易数据、间接交易数据、不可交易数据。
	按数据质量分类	可划分为：⾼质量数据、普通质量数据、低质量数据。

八、DB 52/T 1123-2016 政务数据 数据分类分级指南

分类	范围
主题分类	综合政务、经济管理、国⼟资源、能源、⼯业、交通、邮政、信息产业、城乡建设、环境保护、农业、⽔利、财政、商业、贸易、旅游、服务业、⽓象、⽔⽂、测绘、地震、对外事务、政法、监察、科技、教育、⽂化、卫⽣、体育、军事、国防、劳动、⼈事、民政、社区、⽂秘、⾏政、综合党团。
⾏业分类	农、林、牧、渔业；采矿业；制造业；电⼒、热⼒、燃⽓及⽔⽣产和供应业；建筑业；批发和零售业；交通运输、仓储和邮政业；住宿和餐饮业；信息传输、软件和信息技术服务业；⾦融业；房地产业；租赁和商务服务业；科学研究和技术服务业等
服务分类	惠民服务、服务交付⽅式、服务交付的⽀撑、政府资源管理。

政府数据的分级由数据的敏感程度划分，分为如下3个级别。

分级	释义
⾮敏感数据	此类数据为公开数据。政府部门无条件共享。
涉及⽤户隐私数据	此类数据为政府内部数据。原则上政府部门⽆条件共享，部分涉及公民法⼈、其他组织权益的敏感信息可在政府许可的情况下有条件共享。
涉及国家秘密数据	此类数据为涉密数据。依据法律法规决定是否共享。

九、TC260-PG-20212A 网络安全标准实践指南-网络数据分级分类指引