行踪轨迹信息属于敏感个人信息吗？企业收集位置信息要怎么合规

一句话回答：属于。《个人信息保护法》第28条明确把"行踪轨迹"列入敏感个人信息；企业处理这类信息，必须取得个人的"单独同意"，还要额外告知处理必要性、事前做个人信息保护影响评估，违规情节严重的最高可罚5000万元或者上一年度营业额的5%。

一、法律依据：行踪轨迹为什么是敏感个人信息

《个人信息保护法》第28条规定：敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。只有在具有特定目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者才可以处理敏感个人信息。

二、处理行踪轨迹信息要遵守哪些规则

第一，单独同意。第29条规定，处理敏感个人信息应当取得个人的单独同意，法律、行政法规规定应当取得书面同意的从其规定——不能用一份大而全的隐私政策打包同意。

第二，额外告知。第30条要求，除一般告知事项外，还应当告知处理敏感个人信息的必要性以及对个人权益的影响。

第三，事前影响评估。第55条规定，处理敏感个人信息、利用个人信息进行自动化决策、委托处理或者向其他处理者提供、公开个人信息、向境外提供个人信息等情形，应当事前进行个人信息保护影响评估并记录；评估报告和处理情况记录应当至少保存三年（第56条）。

第四，罚则很重。第66条规定，拒不改正的处100万元以下罚款；情节严重的，处5000万元以下或者上一年度营业额5%以下罚款，并可责令暂停业务、停业整顿、吊销许可，对直接责任人处10万元至100万元罚款，还可以禁业。

三、实务视角：企业最容易踩的坑

实务中要注意四点：一是把"定位打卡""外勤轨迹"当一般考勤信息处理，没有单独同意；二是App在后台持续定位、超范围收集位置；三是把位置信息随员工信息一并传回境外总部，却没做影响评估和出境合规；四是物流、外卖、网约车等平台拥有海量轨迹数据，留存期限和安全措施不到位。这些都可能被认定为违规处理敏感个人信息。

四、案例分析（示意情景）

（示意情景）某公司用带定位功能的手环记录员工上下班轨迹，员工离职后数据仍未删除。这类情形同时涉及两个问题：一是"行踪轨迹"属于敏感个人信息，处理要单独同意；二是个人信息保存期限届满应当主动删除，否则还可能违反删除义务。合规的做法是事前评估、告知到位、到期即删。

五、常见问题（FAQ）

问：行踪轨迹一定是敏感个人信息吗？

答：个保法第28条已明确将行踪轨迹列入敏感个人信息；个案中还要结合能否识别到特定自然人等因素判断。

问：处理员工定位信息要单独同意吗？

答：要。处理敏感个人信息应当取得个人的单独同意。

问：客户的位置信息能当一般信息处理吗？

答：不能，涉及行踪轨迹的要按敏感个人信息处理。

问：没做影响评估会有什么后果？

答：属未履行个人信息保护义务，可被责令改正、警告，情节严重的处以高额罚款。

问：违规最高罚多少？

答：情节严重最高5000万元或者上一年度营业额5%，对责任人最高罚款100万元并可禁业。

行踪轨迹信息属于敏感个人信息吗？企业收集员工定位、客户位置信息要遵守哪些规则？