规则出处与规范指向

本条（《中华人民共和国个人信息保护法》第二十八条，敏感个人信息的界定与处理门槛）：《个人信息保护法》第二十八条规定：敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，方可处理敏感个人信息。

一、为什么需要专门机制

敏感信息在目的论证、同意取得、保护措施与留存期限上都有额外要求，把这些要求塞进通用的个人信息管理制度，往往会被稀释成几句原则性表述。建立专门机制，是为了让高门槛在流程上真正显出差异。

二、机制应包含的五项内容

第一，识别与登记。建立敏感信息清单并定期更新，明确每一类的类别归属与处理目的。第二，准入论证。新增敏感信息处理须经专门论证，形成必要性结论与替代方案比较记录。

第三，特别同意与评估。取得单独同意并完成个人信息保护影响评估后方可上线。第四，加强保护。明确加密、权限、留痕与脱敏的具体标准与执行责任。第五，期限与清理。明确各类敏感信息的保存期限与到期处置方式。

三、责任如何落实

建议指定一名负责人统筹敏感信息相关事项，产品、技术、法务与业务各设对接人。敏感信息处理的上线、变更、停止都由这套人马共同确认，避免某一环节单独决定而造成失控。

四、培训要覆盖到一线

直接接触敏感信息的往往是一线岗位，例如客服、审核、运营。培训内容应当具体到能操作的程度：哪些字段可以看、能不能截图、能不能导出、发现异常向谁报告。抽象的合规原则对一线岗位帮助有限。