敏感資訊是什麼？定義、類型與全球法規指南
什麼是敏感資訊？敏感資訊(sensitive information)涵蓋範圍廣泛，但其共通點在於，一旦資料外洩 (Data Breach)，將對個人或組織造成風險。敏感資訊的類型包括：
業務相關資料—會計資訊、財務、規劃與商業機密政府資料—機密、受限、秘密與最高機密資訊個人資料—電子郵件地址、電話號碼、實際地址與病歷交易資料—銀行帳戶資訊、信用卡號碼與身份證號碼大多數敏感資訊受到由各國政府與組織制定並執行的國內與國際法律與規章的多重保護。這些保護措施要求敏感資訊必須防範未經授權的存取。
無論敏感資訊是以實體或數位格式存在，都必須在靜態（即儲存時）與動態（即透過實體路徑如郵件，或數位路徑如電子郵件或應用程式間傳輸時）加以保護。
以下是有關於幾種不同類別敏感資訊的詳細資訊。
個人資訊個人訊息，通常稱為個人可識別資訊 (personally identifiable information, PII)，是敏感資訊中的重要類別，能夠直接追溯到特定個人。一旦洩漏，可能對當事人造成傷害。由於此類敏感資訊能夠區分不同個人，因此可用於對匿名資料進行去除可識別資料處理。
值得注意的是，單一的個人資料本身並不構成敏感資訊。然而，當多項個人資料被串聯起來時，其整體可能構成 PII。因此，建議各組織對個人資料與敏感資訊採取相同的保護措施，以避免違規罰則及其他負面影響。
屬於個人資訊範疇的敏感資訊類型範例包括：
外國人註冊號碼生物特徵資料（例如指紋、聲紋、視網膜或虹膜影像，或其他獨特的身體測量資料）犯罪記錄出生日期駕駛執照號碼基因資料網際網路協定 (IP) 位址位置資訊家族姓氏等姓名非駕駛人身分證號碼護照號碼電話號碼照片出生地政治立場或觀點種族或民族血統宗教或哲學信仰性傾向健保卡號碼工會成員資格退伍軍人和殘疾人士資料業務和客戶資訊敏感的商業資訊指的是任何一旦外洩就可能對組織造成風險的資訊。可被視為敏感資訊的商業與客戶資料範例包括：
銀行帳戶資訊持卡人資料消費者報告中的法院記錄信用卡或金融卡購買信用評分客戶資料(美國)聯邦稅務識別號碼財務資料智慧財產資料庫存資訊行銷計畫營運資訊支付卡訊息待執行的公司行動或計畫，例如首次公開募股 (IPO)、合併、收購或股票分割銷售資料供應商資訊商業機密未公佈的獲利報告政府機密資訊機密資訊是指根據敏感程度而限制存取的政府資料，通常分為最高機密、機密與保密。
最高機密 此類政府敏感資訊是指涉及國家安全、且需最高等級保護的資料。要被歸類為此等級的敏感資訊，必須符合極高的認定標準。
根據《聯邦法規》，如果此類資訊遭未經授權存取，可以合理預期其結果將是對國家安全造成「極其嚴重的損害」。
《聯邦法規》列出的「極其嚴重的損害」範例包括：
對美國或其盟友的武裝敵對行動對國家安全造成重大影響的外交關係中斷重要國防計畫的洩漏 / 受損敏感情報行動的揭露揭露對國家安全至關重要的科學發展機密根據《聯邦法規》，第二高等級的政府資訊分類適用於需要「高度保護」的敏感資訊，因為若遭未經授權存取，合理預期將對國家安全造成「嚴重損害」。
《聯邦法規》中所舉的「嚴重損害」的範例包括：
對國家安全造成重大影響的外交關係破壞對與國家安全直接相關的計畫或政策造成重大損害揭露重大軍事計畫或情報行動與國家安全相關的重要科學或技術發展遭到洩漏保密被列為保密等級的政府資訊，在未經授權存取的情況下，合理預期可能對國家安全造成「損害」。此類資訊需要受到保護，但其保護程度不如機密與最高機密等級。
保密資訊的範例包括：
洩漏顯示美國及海外地區陸、海、空軍實力的資訊遭到洩漏包含對敵方具有價值資訊的作戰與戰鬥報告情報報告包含用於訓練、維護與檢查機密戰爭彈藥之技術資訊的文件與手冊戰爭彈藥的研究、開發、生產與採購戰爭彈藥的效能特點、測試資料、設計與生產資料動員計畫揭示用於指涉機密資訊之代號或符號含義的文件與特殊調查、審查或人員指派相關的文件，這些人員將知悉或接觸機密資訊有關特殊運輸容器的特性、運輸路線及機密物資運送時程的詳細資訊受保護的健康資訊 (Protected Health Information, PHI) 或電子保護的健康資訊 (Electronically Protected Health Information, ePHI)PHI 或 ePHI 是受美國健康保險流通與責任法案 (HIPAA) 規範的敏感資訊。它包括任何可識別個人身分的醫療資訊，或在提供醫療服務過程中所建立、使用或揭露的資料。這些資訊涵蓋個人的醫療、身體或心理健康狀況，並以實體或數位形式記錄與儲存。
PHI 與 ePHI 的範例包括：
預約裝置識別碼與序號健康記錄提供的醫療保健服務實驗室或測試結果醫療記錄醫療帳單病人表格處方醫療提供者或病人的通訊記錄教育記錄教育資訊與記錄被視為敏感資訊，其潛在雇主、公立教育機構和外國政府存取的行為皆受到嚴格管制。
教育記錄的範例包括：
學術專業領域與學術活動諮詢記錄授予的獎項修讀的課程出生日期與地點獲得的學位紀律處分記錄出勤證明文件獲得的教育服務父母和/或監護人的緊急聯絡資訊成績和/或平均成績學校所建立、收集並保存的醫療與健康記錄學生註冊的課程單元數有關學生在校狀況的正式信函父母和/或監護人的地址日程就讀學校特殊教育記錄學生信箱學生識別碼考試成績敏感資訊與個人資訊敏感資訊
個人資訊
一種個人訊息，如遭洩露，可能會使個人面臨歧視或騷擾，並可能影響他們的生活、生活品質或日常活動的參與能力。
個人資訊是用來識別個人的資料。只要能夠以合理準確度識別一位在世人士的任何資訊，都屬於個人資訊。
敏感資訊範例包括：– 犯罪記錄– 政治立場– 種族或民族血統– 宗教– 性傾向– 工會或協會成員資格
個人資訊的範例包括：– 家庭住址– 姓名– 電子郵件地址– 身分證號碼– 網際網路協定 (IP) 位址– 位置資料
敏感資訊的法律規章以下是幾項涉提及敏感資訊並要求加以保護的法律與規章。
國家法律美國 (U.S.)
兒童網路隱私保護法 (COPPA)家庭教育權利與隱私法案 (FERPA)金融服務業現代化法 (GLBA)健康保險流通與責任法案 (HIPAA)1974 年隱私法國際
澳洲聯邦隱私權法澳洲隱私法與敏感資訊巴西的 Lei Geral de Proteçao de Dados (LGPD)加拿大個人資訊保護與電子文件法案 (PIPEDA)智利的第 19628 號私人生活保護法中國資料保護法，即個人資訊保護法 (PIPL)埃及個人資料保護法 (PDPL)歐盟一般資料保護規範 (GDPR)日本個人資訊保護法奈及利亞資料保護條例 (NDPR)泰國個人資料保護法 (PDPA)英國資料保護法管理敏感資訊的美國州法律
加州隱私權法案 (CPRA)，加州消費者隱私權保護法 (CCPA) 的修正案科羅拉多州隱私法案 (CPA)康乃狄克州個人資料隱私權與線上監控法案印第安納州消費者資料保護法案愛荷華州消費者資料保護法案 (ICDPA)馬里蘭州線上消費者保護法案麻薩諸塞州資料隱私權法蒙大拿州消費者資料隱私權法案紐約州隱私權法紐約州 SHIELD 法案（制止駭客攻擊與改善電子資料安全法案）俄勒岡州消費者隱私權法案 (OCPA)田納西州資訊保護法案德州資料隱私權和安全法案 (TDPSA)猶他州消費者隱私法案 (UCPA)維吉尼亞州消費者資料保護法案法律與規章中所涵蓋的主要敏感資訊類別以下是美國各項法律規章中規定敏感資訊處理方面的具體項目。
生物識別
允許消費者選擇不出售生物識別資訊制定有關生物識別資訊收集或保存的書面政策實施特定類型的生物識別（例如指紋、臉部、聲音、虹膜與手掌）兒童的線上隱私權
禁止為行銷目的蒐集未成年使用者的資訊要求網站、線上服務或應用程式的運營商刪除已蒐集的未成年人個人資訊連線裝置（例如喇叭、手機、攝影機與影像監控設備）應當禁止在未經個人同意的情況下，對其所擷取的資料進行以下行為：
收集儲存使用消費者權利提供與其敏感資訊和個人資料相關的具體消費者權利，例如：
存取—查看任何已儲存關於他們的資訊刪除—請求刪除有關他們的任何資訊更正—要求更新不準確的資訊地點隱私權
禁止在未經同意的情況下轉讓或出售消費者的地理位置或全球定位系統 (GPS) 資料網站隱私權
要求經營商業網站或線上服務的營運者，在蒐集個人可識別資訊時，須告知客戶其個人資訊分享的相關實務分享網路瀏覽器資訊前需徵得同意透過隱私納入設計(PbD)來保障敏感資料安全敏感資訊的保護對企業至關重要。越來越多的組織採用隱私納入設計(PbD , Privacy by Design)方法來保護敏感資訊。這種安全方法將隱私融入所有原則、系統和裝置的實施與部署中。
隱私納入設計透過七項核心原則，幫助組織確保敏感資訊的保護：
主動而非被動；預防而非補救隱私做為預設設定將隱私嵌入設計中功能完整—正和而非零和端對端安全性—完整生命週期保護可視性與透明度—保持開放尊重使用者隱私—以使用者為中心無論採用何種方法，組織都必須保護敏感資訊，以遵守多項法規和法律，並滿足對敏感資料保護的期待。