Thông tin nhạy cảm (Sensitive information) là thông tin được phân loại cần được bảo vệ và không thể truy cập bởi các bên bên ngoài trừ khi được cấp phép cụ thể. Dữ liệu có thể ở dạng vật lý hoặc điện tử, nhưng thông tin nhạy cảm được coi là thông tin cá nhân hoặc dữ liệu riêng tư. Một lý do đạo đức hoặc pháp lý có thể bảo chứng cho nhu cầu có các hạn chế phức tạp về người có thể truy cập thông tin nhạy cảm cá nhân hoặc tổ chức, đặc biệt khi nó liên quan đến quyền riêng tư cá nhân và quyền tài sản.
Ví dụ, vi phạm dữ liệu trong ủy ban chính phủ có thể tiết lộ bí mật chính phủ cho các thế lực nước ngoài. Cái tương tự có thể áp dụng cho dữ liệu cá nhân hoặc tổ chức, có thể gây rủi ro nghiêm trọng như gián điệp doanh nghiệp, rủi ro bảo hiểm, mối đe dọa mạng hoặc vi phạm quyền riêng tư của khách hàng và nhân viên.
Mô tả pháp lý của thông tin nhạy cảm mô tả nó như thông tin phải được bảo vệ chống lại tiết lộ trái phép, bao gồm PII (Thông tin nhận diện cá nhân), PHI (Thông tin sức khỏe được bảo vệ), v.v.
Khi nói thông tin là nhạy cảm, thì độ nhạy cảm của nó phải có các cấp độ. Độ nhạy cảm của dữ liệu có thể được phân loại thành nhiều loại và phân loại của chúng có thể được xác định bởi quy định liên bang do đơn vị kiểm soát bảo mật quy định, đặc thù ngành hoặc một cá nhân bao gồm CISO (Chief Information Security Officer) có thể xác định điều này.
Do đó, Biên soạn thông tin nhạy cảm (Compilation of sensitive information) được quy định chặt chẽ. IPPs (Các nguyên tắc Quyền riêng tư Thông tin) cho phép mức độ bảo vệ cao hơn cho thông tin nhạy cảm. Điều này nghĩa là dữ liệu hoặc ý kiến liên quan đến một cá nhân:
- Lựa chọn chính trị (Political options)
- Niềm tin tôn giáo hoặc triết học (Religious or philosophical beliefs)
- Sở thích hoặc thực hành tình dục (Sexual preferences or practices)
- Thành viên hiệp hội chuyên nghiệp, công đoàn hoặc nhóm chính trị (Membership of professional relationship, trade unions or political groups)
- Nguồn gốc chủng tộc hoặc dân tộc (Racial or ethnic origin)
- Thông tin hình sự (Criminal information).
Nguyên tắc này bao gồm:
- Một cơ quan không nên thu thập thông tin nhạy cảm liên quan đến một cá nhân trừ khi:
- Cá nhân đồng ý thu thập.
- Tổ chức được luật pháp yêu cầu thu thập dữ liệu.
- Cá nhân không thể về mặt thể chất hoặc pháp lý cung cấp sự đồng ý cho việc biên soạn hoặc không thể thể chất truyền đạt sự đồng ý cho việc thu thập và thu thập thông tin là cần thiết để ngăn chặn hoặc giảm thiểu mối đe dọa nghiêm trọng và sắp tới đối với cuộc sống hoặc sức khỏe của cá nhân hoặc người khác.
- Thu thập thông tin là cần thiết để thiết lập, thực hiện hoặc bảo vệ một yêu cầu pháp lý hoặc công bằng. Tuy nhiên, cơ quan có thể thu thập thông tin nhạy cảm về cá nhân nếu việc thu thập là cần thiết cho nghiên cứu, hoặc biên soạn hoặc kiểm tra thống kê, liên quan đến dịch vụ phúc lợi hoặc giáo dục mục tiêu do chính phủ tài trợ hoặc là thông tin liên quan đến nguồn gốc chủng tộc hoặc dân tộc của cá nhân và là cho mục đích cung cấp dịch vụ phúc lợi hoặc giáo dục mục tiêu do chính phủ tài trợ.
- Không có lựa chọn thực tế hợp lý khác để thu thập dữ liệu cho mục đích đó.
- Không thể cho tổ chức tìm kiếm sự đồng ý của cá nhân cho việc thu thập.