叶鹏霄，肖冬梅

0 引言

《中华人民共和国个人信息保护法》(以下简称《个人信息保护法》)自2021年11月1日起施行，敏感个人信息的有关规定颇受关注。我国在法律层面界定敏感个人信息尚属首次，《个人信息保护法》草案一审稿和二审稿列举的敏感个人信息中并无 “特定身份” 概念，但在正式通过的文本中却突然出现且未作界定，此举将对多方主体产生不利影响：权利主体不了解个人信息权益边界，无法强化其自我保护意识；义务主体不清楚自身合规义务内容，影响义务履行效果和风险防控措施运行；监管部门的权力范围不明确，监管的过度紧张或缺位会造成保护与利用之间的失衡；法官在裁判时缺少相关指引，导致自由裁量权过大，同案不同判影响司法权威。由此可见，特定身份信息界定直接关系到敏感个人信息强化保护的效果，具有重要的理论价值和实践意义。

在《个人信息保护法》制定过程中，研究集中在界定敏感个人信息方面，胡文涛[1]、陈红旭[2]、田野等[3]研究单独规定敏感个人信息的必要性和敏感个人信息具体种类，汤敏[4]、吴标兵等[5]提出判断敏感个人信息的不同方式或模型，其中宁园[6]、孙清白[7]借助场景理论对敏感个人信息界定或保护的特殊性进行论证。《个人信息保护法》出台后，敏感个人信息种类内涵和外延的界定成为亟待解决的新问题，但相关研究成果较少。学界对特定身份信息的界定尚未达成共识，只有少数学者对此做出尝试，研究处于起步阶段。程啸[8]262表示应当将种族、民族纳入敏感个人信息，虽然其使用概括加列举方式界定特定身份信息，但定义内容和列举的除种族、民族外其他各项特定身份信息均未进行说明和论证。考察我国相关立法可知特定身份信息界定缺失，其他规定中仅有列举的特定身份信息具体种类。正是因其包含广且范围不明，实践中已不断出现适用问题，需要配套措施对此进行界定。其他国家和地区的法律并无 “特定身份” 概念，每个国家根据历史背景和实际情况对不同种类的特定身份信息进行严格保护，在敏感个人信息界定中列举特定身份信息的多种下位概念①，并使用不同方式对其进行补充或界定以指导实践。本文在研究国内外立法现状的基础上，借鉴 “场景理论” 的风险导向思路，结合我国历史文化背景和社会发展需要，致力于科学清晰地界定 “特定身份” ，以便为相关配套措施的制定提供参考。

1 我国特定身份信息界定现状及困境

《个人信息保护法》草案一审稿和二审稿中规定的敏感个人信息种类有种族、民族、宗教信仰、个人生物特征、医疗健康、金融账户、个人行踪。然而，将 “种族、民族” 删除并增加 “特定身份” 概念，实质上扩大了敏感个人信息的保护范围，特定身份信息的含义需要进一步明确。横空出世的 “特定身份” ，在其他法律规定中并无与之相同或近似的表述，又可囊括推荐性国家标准中众多表述不一的下位概念。因此，有必要厘清我国相关规定中各种身份信息与特定身份信息之间的关系，以便明晰适用的具体困境。

1.1 界定现状

1.1.1 法律法规

除《个人信息保护法》，其他法律均未定义敏感个人信息，《刑法》《数据安全法》《电子商务法》等法律仅使用 “个人信息” 概念且未作界定。《网络安全法》和《民法典》使用概括加列举方式界定个人信息，但其中与特定身份有关的内容仅有列举的身份证件号码。《网络安全法》将个人信息界定为 “以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息” ，识别标准是狭义的身份识别。网信部门据此制定的《个人信息出境安全评估办法(征求意见稿)》进一步定义了敏感个人信息，但是该部门规章目前尚未生效。相比之下，《民法典》对个人信息的界定更加宽泛，包含识别个人的各类信息[9]。识别自然人个人身份与识别特定自然人并不相同，能够单独识别特定自然人的信息不一定能够单独识别出自然人个人身份，例如，身份证件号码能够表明自然人公民身份也能唯一识别特定自然人，但电话号码需要结合其他信息才能识别个人身份。我国行政法规和部门规章中同样没有使用 “特定身份” 概念，只有少数部门规章有界定敏感个人信息，除《个人信息出境安全评估办法(征求意见稿)》的概括式定义外，《网络交易监督管理办法》第13条第2款仅列举了个人生物特征、医疗健康、金融账户、个人行踪4种敏感个人信息。有些行政法规虽没有明确提出敏感个人信息的概念，但从处理规则中可以看出这实质上是对敏感个人信息的列举。例如，2013年实施的《征信业管理条例》第14条第1款规定多种禁止征信机构采集的个人信息。由此可见，我国法律在界定个人信息时采用狭义和广义两种识别标准，行政法规和部门规章在进一步认定敏感个人信息时作用有限，无法为界定特定身份信息提供参考。

1.1.2 国家标准

相比《个人信息保护法》通过概括加列举的方式界定敏感个人信息，推荐性国家标准使用的分类列举规则相对混乱(见表1)。个人敏感信息的定义在《信息安全技术 个人信息安全规范》(GB/T 35273-2020)(以下简称《规范》)等多个标准中一致，与《个人信息保护法》中敏感个人信息含义相近。《规范》从个人信息保护与利用角度提供了判定个人敏感信息的方式并进行分类列举，对后续制定的国家标准产生深远影响，具有重要参考价值。在《个人信息保护法》实施后编制的《网络安全标准实践指南——网络数据分类分级指引》(以下简称《指引》)中的特定身份信息示例与《规范》中列举的个人身份信息种类基本相同，其他敏感个人信息种类也借鉴了该规范 “未公开的违法犯罪记录” 等概念。根据分类标准和概念表述，作以下理解：其一，国家标准多使用概括、列举方式界定敏感信息或重要数据，能够揭示个人特定身份的信息众多，个人身份类信息是其中重要部分，但因其包含较广，各类标准中使用的概念多样，分类方式也并不统一，导致该类信息通过不同表述被拆分进不同集合。其二，身份证件号码是个人身份信息的一类不存在争议，但《指引》中列举的特定身份信息种类只有各种身份证件，其明确证件照片属于个人信息，却并未在敏感个人信息示例中提及，这显然是 “特定身份” 概念的狭义理解，不仅造成保护范围局限，还忽略了种族、民族、职业、学历等个人信息在特定环境下对人格尊严或人身财产安全的影响。其三，分类体现出较强的场景特征，国家标准通常依据行业特点和应用场景进行划分，某些个人信息如身份证件，在绝大多数场景中属于敏感信息，但多数种类的个人信息如职业、性别等，并非在所有场景下都具有较高敏感度，应当在界定特定身份信息时将场景融入考量。

表1 我国国家标准中与特定身份信息相关的分类和内容对比

1.2 适用困境

“特定身份” 外延较广，与其他种类的敏感个人信息相比，其特殊之处在于其他法律中并无相同或近似的表述，相关国家标准均使用不同分类规则对特定身份信息的具体种类进行列举，分类混乱，因多是推荐性标准而不具强制力。早在草案二审稿提请审议时，就有需要网信部门针对敏感个人信息制定专门的个人信息保护规则、标准的提议[8]579。在《个人信息保护法》实施过程中，现有行政法规和部门规章缺少有关规定支持特定身份信息作为敏感个人信息进行强化保护，依据该法第62条由网信部门推进配套规定制定工作的进展相对缓慢，最高人民法院、最高人民检察院出台的司法解释是关于个人信息刑事保护的规定，适用范围有限，且其中也没有与界定特定身份信息有关的内容。在《个人信息保护法》未对特定身份信息进行界定的情况下，其他规定并不能够提供有效参考。

实践中，腾讯、京东等互联网企业在《个人信息保护法》生效后陆续更新其隐私政策以实现合规要求，在特定身份信息界定缺失的情况下，上述义务主体考虑到自身业务特点和相应法律风险，在隐私政策中呈现的合规义务内容并不相同。例如，腾讯认为个人身份信息属于敏感个人信息，京东使用的敏感个人信息定义与《个人信息保护法》中一致，但二者均未明确敏感个人信息包含的具体种类，此时企业具有较大解释空间。相比之下，支付宝隐私权政策更为直观具体，在每个条款后附加说明前述何种信息为敏感个人信息②，但其认为敏感个人信息是 “身份证件号码、个人生物识别信息、银行账号、财产信息、交易信息、精准定位信息等个人信息”[10]，这显然是《个人信息保护法》中特定身份、金融账户、行踪轨迹信息的具体种类，以便在较小且明确范围内达到合规或监管要求。不论是回避解释概念，还是通过列举缩小义务范围，特定身份信息的适用困境凸显，甚至索尼在隐私政策中明确指出处理敏感个人信息不会对个人权益造成重大影响以规避法律风险。图书馆也是一类义务主体，通常处理的个人信息包括身份证件号码、学校、专业、职业、职称和文化程度等，界定特定身份信息关系到其是否需要履行敏感个人信息的严格保护义务。除了个人信息处理者，个人、监管部门、法院等多方主体都需要统一的规范为其行为提供指引。

2 域外特定身份信息界定的立法例考察

2.1 欧盟

1981年的《关于个人数据自动化处理的个人保护公约》(以下简称《公约》)首次区分一般个人信息与敏感个人信息，2018年修订的《公约》在敏感数据目录中增加了揭示工会成员和种族信息的数据处理活动。修订后的《公约》与《通用数据保护条例》(GDPR)第9条特殊类型个人数据内容基本一致，GDPR第9条纳入的特定身份信息包括种族或民族、宗教或哲学信仰、工会成员。与违法行为、刑事诉讼和定罪以及相关的安全措施有关的个人数据属于《公约》中特殊类型数据，而GDPR有单独条款对此进行规定。从《数据保护指令》到GDPR草案再到GDPR，与刑事定罪和犯罪或相关安全措施有关的个人数据历经多次调整，具体范围也与《公约》略有不同。该内容最初被规定在《数据保护指令》第8条第5款，拥有特殊、严格的处理要求，后GDPR草案第9条第1款将其纳入禁止处理的个人数据范围，并将允许处理的例外条件写入第2款(j)项。但是，与其他种类的特定身份信息相比，该类数据更多地涉及公共利益与公众知情权，为其规定禁止处理原则稍显不妥，也不利于各成员国根据自身立法特点和社会需要对相关措施进行补充，最终GDPR第10条单独规定与刑事定罪和犯罪有关的个人数据处理规则。当习惯性地将GDPR第9条特殊类型的个人数据与我国《个人信息保护法》敏感个人信息种类做比较时，很容易忽略使用单独条款和特殊处理规则规定的具有较高敏感度的与刑事定罪和犯罪或相关安全措施有关的个人数据，在考察欧盟法律中与特定身份信息相关的内容及其界定方式时，应当将其纳入范围。

在GDPR统一适用下，德国、法国、意大利等数据保护法中特殊类型的个人数据定义与GDPR第9条一致，但因为GDPR第10条授权成员国法律制定适当的保护措施，所以各国在此问题上采取了不同标准。例如，法国规定处理刑事定罪和犯罪数据的目的是预防、调查、侦查或起诉刑事犯罪，意大利规定在根据GDPR第10条制定的国家法律缺失时，可以由司法部部长确定。上述数据处理活动只能在有限范围内进行，甚至法国要求在不重新识别相关人员的情况下才可以处理已公布裁决中的公共信息。可以看到，即便是在拥有统一数据保护准则的欧盟，各国对于同一种类个人数据在不同场景下的保护程度实际上并不完全相同。

2.2 美国

美国没有 “特定身份” 这一概念，在其联邦和各州的法律中有特定身份信息种类的列举。政府颁发的唯一标识符在美国社会具有较高敏感度，《消费者数据隐私和安全法案》《消费者在线隐私权法案》《美国消费者数据隐私法案》都将其列为敏感个人数据(见表2)。在界定敏感未披露数据时，《消费者在线隐私权法案》《美国消费者数据隐私法案》强调的是以不符合个人合理期望方式的处理行为，而不是数据本身，与其他法律的界定范围明显不同。除种族或民族，《数据保护法案》《在线隐私法案》还增加了肤色和国籍。虽然《数据保护法案》没有定义敏感个人数据，但对 “敏感数据使用” 进行了界定，其中涉及特定身份的内容繁多，如刑事定罪或逮捕、公民身份，甚至退伍军人身份和性别都涵盖在其中。

表2 美国联邦法律中与特定身份信息相关内容对比

目前美国只有少数州制定了个人信息保护法。《加利福尼亚州隐私权法案》在敏感个人信息界定中列举的特定身份信息包括政府颁发的唯一标识符的具体种类，《弗吉尼亚州消费者数据保护法案》《华盛顿州隐私法案》中规定的一类敏感个人信息不是各种身份证件号码，而是公民或移民身份，实质上扩大了保护范围。虽然美国联邦和各州法律规定的敏感个人数据种类存在差异，但政府颁发的唯一标识符、种族、民族、肤色、国籍等数据还是受到了较多认同进行强化保护。将美国与欧盟的立法进行比较，能体现出敏感个人数据较强的本土性特点。经济合作与发展组织(OECD)《隐私框架》指出各国文化传统差异是导致立法中敏感个人数据种类存在差别的主要原因，如欧盟可能不太介意处理肤色、国籍等个人数据，而美国认为处理这些数据极可能导致歧视的后果[11]231。这实质上体现了 “移民国家” 对移民问题的高度敏感。

2.3 其他国家和地区

敏感个人信息在日本《个人信息保护法》中被称为 “需要特别关注的个人信息” 。2017年实施的《个人信息保护法》第2条第3款规定 “需要特别关注的个人信息是指包括种族、信仰、社会地位、病史、犯罪记录(criminal record)、因犯罪受损害的事实或内阁令规定的其他处理需要特别关注以免造成不公平歧视、偏见或其他不利的个人信息” ，列举的种类与特定身份信息有密切关联。与法律同步实施的内阁令有上述条款的补充规定，内阁令第2条首先指出 “《个人信息保护法》第2条第3款中由内阁令规定的内容不包括犯罪前科(criminal history)” ，并增加 “对犯罪嫌疑人、被告人实施逮捕、搜查、扣押、拘留、提起公诉或者其他与刑事案件有关的程序的事实” 等内容。综合看，日本法律对过去或现在发生在刑事诉讼过程中的实体或程序事实进行特殊保护。2020年公布的《个人信息保护法修正案》未对该界定作出修改，内阁令仍旧具有重要参考价值。日本通过内阁令对重要的敏感个人信息种类进行补充或界定的方式有效减少了法律适用过程中的不确定性，可为解决我国特定身份信息适用困境提供借鉴。

2020年实施的韩国《个人信息保护法》没有界定敏感个人信息，但第23条敏感信息处理的限制中提到禁止处理的信息包括信仰、加入或退出工会或政党。与美国将政府颁发的唯一标识符纳入敏感个人信息进行保护的思路不同，韩国使用单独条款规定居民登记号码处理的限制条件，与GDPR规定方式相似(GDPR第87条)。2011年《个人信息保护法》第24条处理唯一标识符的限制经过多次修改，最终规定为第24条处理个人可识别信息的限制和第24-2条处理居民登记号码的限制。第24-2条第1款明确个人信息控制者不得处理任何居民登记号码的基本规则，说明立法者逐渐认识到居民登记号码的高度敏感性并为其制定更为严格的保护条件。

2.4 可借鉴之处

除韩国外，上述国家或地区以及巴西、墨西哥等均将种族或民族这类特定身份信息纳入敏感个人信息进行保护。同样在全世界受到广泛保护的还有宗教信仰信息，虽然《公约》具体保护宗教或其他信仰，GDPR则选择宗教或哲学信仰，韩国和日本直接使用 “信仰” 这一概念，但不可否认的是宗教信仰信息都是敏感个人信息中的重要一类。

美国联邦法律非常关注政府颁发的唯一标识符这类敏感个人信息，列举的社会保障号码、护照号码和驾驶执照号码均具有概念所述的 “政府颁发” 与 “唯一标识” 二要素。韩国《个人信息保护法》使用单独条款规定禁止处理居民登记号码规则。居民登记号码由韩国内政部统一发放，可作为居民个人纳税人识别号使用，同样满足 “二要素” 要求。我国与之相对应的是身份证件号码，针对目前频发的身份证件号码泄露或非法使用导致人身、财产受损的案件，有必要借鉴美国和韩国的做法，在我国对身份证件号码提供更严格的保护。

欧盟及其成员国和日本均为犯罪记录类信息规定了特殊处理条件，但规定中使用的概念不同使得实际保护范围有所差别(见表3)。欧盟GDPR规制与刑事定罪和犯罪或相关安全措施有关的个人数据处理行为，《公约》还将违法行为纳入特殊类型数据进行严格保护。日本法律中所用概念为 “犯罪记录” ，且内阁令中明确 “犯罪前科” 与 “犯罪记录” 二者存在不同之处。犯罪前科不包含刑事强制措施等程序事实。例如，犯罪嫌疑人首次被批捕还未被起诉，该记录不是犯罪前科，再如，有罪判决中的犯罪事实是犯罪前科，但在刑事诉讼期间产生的批捕、提起公诉等信息属于犯罪记录中一种与刑事案件有关的程序事实。判决有罪或执行的结果固然重要，但也不能忽视其间各种程序记录信息对人格尊严的影响，日本对二者实现同等严格保护的做法值得借鉴。我国应对犯罪记录类信息予以足够重视，需要结合司法公开现状和《个人信息保护法》中关于已公开个人信息的有关规定，在保障公众知情权和公共利益的基础上，为犯罪记录类信息划定合适的保护范围。

表3 域外特定身份信息界定的共同点与差异

工会成员身份在欧盟、美国、韩国、澳大利亚、巴西等国家和地区都属于敏感个人信息，其能够揭示个人经济、职业、政见等多个方面，尤其是政见或政治观点在某些国家法律中也属敏感个人信息。在特定历史背景影响下，工会成员身份具有较高敏感度，而我国不具有相应社会背景，不需要将其纳入敏感个人信息，如果工会成员信息满足已识别或可识别自然人的要求，将其作为个人信息保护即可。

3 我国特定身份信息的界定思考

3.1 特定身份信息的界定方式

我国《个人信息保护法》使用概括加列举方式界定敏感个人信息，所列举的种类对于个人人格尊严和人身财产安全的极端重要性已经被人们普遍认可[7]，而没有被列举的个人信息也会在某些处理场景下 “升级” 为敏感个人信息。在界定特定身份信息时，可采用定义加列举方式，因 “特定身份” 外延较广，为避免挂一漏万，引入 “场景理论” ，既可为静态列举提高适用灵活性以应对技术的快速发展，又能够弥补动态多元场景带来的判断标准主观且难以统一的不足。有学者初步尝试将特定身份信息定义为 “自然人基于生物或社会构建而产生的某种身份信息” ，并列举最典型的特定身份信息包括民族、种族、工会成员、政党成员、性别、犯罪分子身份等信息[8]261，但缺乏详细论证。考虑到我国目前尚无相关实践，理论研究也处于起步阶段，科学清晰地定义 “特定身份” 这一概念的条件尚不成熟。本文选择结合我国文化历史和社会发展需要，列举出敏感度被普遍认可的特定身份信息，如种族、民族、身份证件及身份证件号码、犯罪记录，可称之为 “绝对特定身份信息” ，并定义含义模糊的列举项，以求减少适用的不确定性。未列举的个人信息可能在某些特殊场景中因处理方式、目的等因素使人格尊严或人身财产安全面临较高风险，这类 “相对特定身份信息” 需要在场景中实施动态审查进行个案判断。

3.2 特定身份信息的种类

人类历史一再证明滥用敏感个人信息(如种族信息)会助长大规模侵犯人权行为，如种族歧视[12]。如今种族歧视尚未消失，新型歧视如算法歧视、算法偏见更为隐蔽，如通过COMPAS罪犯再犯概率预测系统评估的结论显示，黑人再犯罪率明显高于白人，前者是后者两倍[13]。我国少数民族种类繁多，应当坚持各民族一律平等，维护民族团结。因此，在我国有必要将种族和民族纳入特定身份信息进行更为严格的保护。

特定身份信息中应当包含身份证件及身份证件号码。身份证件号码是指国家机构按照统一标准编制的与个人具有唯一对应关系的号码。 “特定” 强调具体某个，不同于 “特殊” 所指的非同一般。例如，居民身份证号码虽不特殊但最常用于证明中国公民身份。身份证件号码通常用于身份认证，使用场景众多，可与出行、住宿、金融等多方面信息产生联系，泄露或非法使用容易危害个人财产安全，尤其是冒用身份证件极易导致本不应由该个人承受的法律关系归于其名下[6]。只关注身份证件号码而忽略身份证件会出现保护漏洞，应当将影印件、手持身份证件图片等包含身份证件的信息和身份证件号码实现同等保护。但因其具有工具属性，义务主体通常需要处理身份证件信息以实现身份认证，例如公共图书馆要求读者在注册时填写身份证号码进行实名认证，履行处理敏感个人信息的合规义务的成本陡增。《个人信息保护法》草案三审稿第62条新增 “推进网络身份认证公共服务建设”[8]573是一种有效的应对方式，若仅接收验证结果，不处理相关敏感个人信息，就能够有效规避法律风险，避免义务主体从特定身份信息适用困境落入保护困境。

“宗教信仰” 与 “特定身份” 同是敏感个人信息的一类，宗教信仰信息能够揭示个人是否信仰宗教、信仰何种宗教，进而判断出个人是否具有信徒、教徒等特定身份，特定身份信息中应当包含宗教信仰。在《个人信息保护法》草案二审稿使用 “种族” “民族” 的情况下，并不会产生冲突，而修改后使用 “特定身份” 这一表述涉及将具有包含关系的概念并列进行列举的问题。建议删除 “宗教信仰” ，将其归入特定身份信息进行保护。

犯罪记录类信息在多个国家和地区的敏感个人信息中有所体现，在我国该类信息同样具有较高的敏感度。有学者发现在我国认为刑事记录极度敏感的人占46.22%，认为完全不敏感的仅占13.06%[1]。在《个人信息保护法》起草阶段曾有不少建议，主张在敏感个人信息中增加犯罪前科信息类型，从目前情况看，该信息可被解释到特定身份信息当中[8]265。《规范》将 “未公开的违法犯罪记录” 列为个人敏感信息，具有局限性。其一，各地违法信息公开程度不一，强调未公开特征使得各地之间保护差异较大。如上海市公开被处罚人姓名，而浙江还公开行政处罚决定书的全文或摘要，其中包含职业、行踪轨迹等多种个人信息，还有许多省市未公开或仅公开某类行政处罚信息。其二，违法记录包含内容多，只有部分违法行为在特定场景下具有较高敏感度，如禁渔区捕捞和嫖娼两种违法行为对人格尊严的危害程度不同。考虑到司法公开力度之大，公开的限度、范围、程序等方面存在不足，有必要将 “犯罪记录” 作为敏感个人信息进行保护并规定特殊的处理条件。《公安机关办理犯罪记录查询工作规定》第2条将犯罪记录定义为 “我国国家专门机关对犯罪人员的客观记载” ，除法院生效判决确认有罪外，仅涉嫌犯罪、检察院作出不起诉决定或终止案件侦查的都不属于犯罪人员，此处犯罪记录被作狭义理解。事实上，各级人民检察院已在网上公开大量不起诉决定书，结合其他信息容易识别特定个人并侵害其人格尊严。因出具犯罪记录证明与保障个人信息权益两者差异显著，此处犯罪记录应进行广义理解。本文认为犯罪记录是指过去或现在与刑事定罪或犯罪有关的程序或实体事实的记载。检察院和法院在平台上公开的犯罪记录属于《个人信息保护法》第27条规定的 “其他已经合法公开的个人信息” ，个人信息处理者在合理范围内处理不需要取得个人同意，但若处理个人信息对个人权益有重大影响，属于超出合理范围处理的典型情形[11]222，需要另行取得个人同意。虽然处理被合法公开的敏感个人信息容易对个人权益产生重大影响，但平台上公开的犯罪记录已经按规定删除身份证号码、住址、银行账号等个人信息，单独无法识别特定自然人，考虑到犯罪记录信息具有公共属性，应当认为不以重新识别特定自然人为目的进行的处理属于合理范围，实现个人权益和公共利益之间的平衡。

3.3 特定身份信息界定中的场景理论

除列举的 “绝对特定身份信息” 外，为能够及时应对新技术、新应用引发的人格尊严或人身财产安全危机，还应当为其他可以揭示个人特定身份的敏感个人信息留下一定的适用空间。 “场景理论” 由美国教授海伦·尼森鲍姆提出[14]236，最早用于解释隐私信息问题，后被国内多名学者用于讨论敏感个人信息的种类和保护。该理论摒弃了静态 “全有或全无” 的认定方式，主张在场景中考虑多因素的共同作用，对风险进行动态监控和评估。在特定身份信息难以实现逐一列举的情况下，场景理论也可为其界定提供有益借鉴。

判断某个特定身份是否属于敏感个人信息中的特定身份信息，不能脱离敏感个人信息的共性特征。职业、学历、性别等均可揭示个人特定身份，根据场景理论，将其认定为特定身份信息需要考虑个人信息处理范围、方式或目的是否符合《个人信息保护法》第28条使用的 “基本权利面临高侵害风险”[11]227标准，该条款与场景理论使用的风险导向思维具有较高契合度。在人工智能技术快速发展的今日，由机器识别出个人的特定身份，据此开展的信息处理活动应用场景多样。例如，招聘平台对个人简历内容进行分析或画像并筛选推荐岗位一般不会危害人格尊严、人身或财产安全，但若泄露简历信息或将简历投递去向推送给当前任职公司的主管人员牟利，很容易使个人遭遇排挤、辞退等不公平对待，该场景下处理目的成为考量职业信息敏感度的重要因素。再如，有研究表明，女性收到谷歌发送的高薪工作推荐次数只有男性的六分之一[15]，此时依靠算法作出决策的处理方式在女性就业方面产生了性别歧视等严重不利影响。图书馆通过读者提供的学校、专业、学历、职称、职业等个人信息，结合借阅记录和浏览信息分析个人阅读兴趣并为其提供个性化服务，应避免非法使用造成歧视等危害结果，尤其是将芝麻信用分数作为注册或借阅条件的公共图书馆，更要关注信用分数高低对推荐服务算法的潜在影响。因此，没有列举的个人信息并非没有敏感性，而是需要在具体场景中结合信息处理的多种因素进行综合判断。

4 结语

特定身份信息是敏感个人信息中重要一类，其界定缺失带来的适用困境亟须解决。我国可为《个人信息保护法》制定相关配套制度，如行政法规、部门规章或司法解释，明确规定特定身份信息应当包括种族、民族、身份证件及身份证件号码、宗教信仰、犯罪记录，并进一步对 “身份证件号码” 和 “犯罪记录” 概念进行定义，以及针对犯罪记录信息附加特殊处理规则，同时引入场景理论进行个案分析，在多因素影响下进行风险动态、综合评估，方可有效解决法律适用困境。

注释

①我国与韩国、日本等使用 “个人信息” 概念，欧盟及其成员国使用 “数据” 概念，美国法律中二者都有使用，以法律规定原文表述为准。

②支付宝隐私权政策使用 “个人敏感信息” 概念，此处统一表述为 “敏感个人信息” 。