舆情监测中采集到个人敏感信息该如何处理？《个人信息保护法》合规要点

舆情监测中采集到个人敏感信息后的处理，通常指对监测活动获取的生物识别、医疗健康、行踪轨迹等高风险信息进行识别分类、限制用途、安全存储与到期删除的一整套合规安排，其内涵主要涉及处理依据是否合法、处理范围是否必要、保护措施是否严格等层面。依据《中华人民共和国个人信息保护法》，此类信息即便来自网络公开内容，后续处理仍受该法约束；该法由全国人民代表大会常务委员会于2021年8月20日通过，自同年11月1日起施行，是舆情工作涉及个人信息议题时最直接的规范依据。由于监测活动依赖对网络言论与传播脉络的持续采集，敏感信息的混入往往难以完全避免，采集之后如何依规处置，直接关系到相关机构能否在完成本职任务的同时守住法律边界。

“敏感个人信息”包含哪些内容？

从该法第二十八条的规定来看，敏感个人信息涵盖生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息以及不满十四周岁未成年人的个人信息，其共同特征在于一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害。

就舆情工作而言，网络讨论中的健康状况描述、身份信息曝光等内容均可能落入上述类别。依据该法第三十一条，处理不满十四周岁未成年人的个人信息还应当取得其父母或者其他监护人的同意，并制定专门的处理规则。监测系统在批量抓取与归档时可能被动接收敏感内容，前置的识别分类环节在很大程度上决定着后续处理的合规程度。

舆情监测处理个人信息的合法性基础有哪些？

该法第十三条列明了处理个人信息的合法性基础，既包括取得个人同意、订立或履行合同所必需等常见情形，也包括履行法定职责或者法定义务所必需、为公共利益实施新闻报道和舆论监督等行为在合理的范围内处理个人信息，以及依法在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息。对政务部门而言，履行法定职责所必需往往构成监测活动的主要依据；对企事业单位及受托开展监测的机构而言，同意路径与已公开信息路径的适用边界，需要结合监测目的、使用方式与公开范围逐一判断。“为公共利益实施舆论监督”受公共利益与合理范围的双重限定，监测结论的公开程度与后续用途均会影响其适用空间，将其理解为无条件的豁免容易造成误判。

为什么敏感个人信息需要更严格的处理条件？

相较于一般个人信息，该法为敏感个人信息设置了更高门槛：处理活动以特定的目的、充分的必要性与严格的保护措施为前提，涉及同意路径的，依照第二十九条还应当取得个人的单独同意。已公开状态的敏感信息同样受到约束，个人明确拒绝的，相关处理应当停止；处理行为对个人权益有重大影响的，仍须依法取得同意。该法第五十五条还将处理敏感个人信息列为事前个人信息保护影响评估的法定情形，评估报告与处理情况记录应当至少保存三年。就舆情工作而言，议题研判若仅需呈现群体层面的观点分布，个体敏感信息的留存往往并无必要，最小化的处理方式既符合法律要求，也相应降低了机构自身的合规风险。

采集之后的存储、使用与删除应当遵循哪些要求？

依据该法第六条，处理个人信息应当具有明确、合理的目的，收集范围限于实现目的的最小必要限度；第十九条则要求，除法律、行政法规另有规定外，保存期限应当为实现处理目的所必要的最短时间。落实到存储与使用环节，相关要求大体集中在以下方面：

• 目的限定：敏感信息的使用不得超出既定目的，扩展用途应当重新评估合法性基础；
• 期限控制：达到保存期限或者处理目的已经实现的，应当主动删除或者匿名化；
• 技术保护：采取加密、去标识化、访问权限控制等安全技术措施，并配套内部管理制度与应急预案；
• 匿名化分流：经处理无法识别特定自然人且不能复原的信息不属于个人信息，仅作去标识化、借助额外信息仍可识别的，仍按个人信息管理。

去标识化与匿名化的差异尤其需要辨析，混淆两者容易高估数据的脱敏程度，进而形成安全隐患。

泄露风险出现时应当如何应对？

泄露一旦发生或者可能发生，该法第五十七条为个人信息处理者设定了即时义务，即立即采取补救措施，并通知履行个人信息保护职责的部门和个人，通知内容涵盖泄露原因、可能造成的危害以及个人可采取的减轻措施。敏感个人信息的泄露后果往往难以挽回，尤其值得警惕的是，通知义务的迟延履行本身也可能构成违法情节，相关单位的应急安排应当包含明确的触发条件、责任岗位与时限要求。

总结

总体上来看，舆情监测与个人信息保护并非彼此排斥，二者的平衡集中于合法性基础、最小必要范围与严格保护措施。敏感信息的混入属于监测活动中的常见情形，并不必然导向合规风险，识别分类到位、处理依据清晰、存储删除有据的工作安排，能够使监测职能在法律框架内持续运转。该法配套规则的适用细节仍在通过执法实践逐步廓清，持续关注规范动态对相关机构具有长期的现实意义。

常见疑问解答

网上已经公开的涉事信息，采集后仍需按个人信息对待吗？

公开状态改变的是取得同意的路径，并未改变信息的个人信息属性。依据该法第二十七条，处理者可以在合理范围内处理个人自行公开或者其他已经合法公开的个人信息，但个人明确拒绝的，处理活动应当停止；处理行为对个人权益有重大影响的，还应当依法取得同意。

匿名化处理后的数据还需要按个人信息管理吗？

该法将匿名化界定为经过处理无法识别特定自然人且不能复原的过程，匿名化后的信息不属于个人信息，已脱离其调整范围。与之相对，去标识化数据在不借助额外信息时虽难以定位到具体个人，其属性仍是个人信息，两类处理所对应的保护义务存在实质差异。

违法处理敏感个人信息可能承担哪些后果？

责任形态沿行政、民事与刑事三个方向衔接：监管部门可以责令改正、给予警告、没收违法所得，情节严重的最高可处五千万元以下或者上一年度营业额百分之五以下的罚款；违法处理造成他人损害的，处理者依法承担损害赔偿责任，且在过错认定上由处理者自行举证；构成犯罪的，依法追究刑事责任。敏感信息处理环节的违法成本相对更高，事前的合规安排因而比事后的补救更为紧要。