Điều 4. Danh mục dữ liệu cá nhân nhạy cảm
1. Dữ liệu cá nhân nhạy cảm bao gồm:
a) Dữ liệu tiết lộ nguồn gốc chủng tộc, nguồn gốc dân tộc;
b) Quan điểm về chính trị, tôn giáo, tín ngưỡng;
c) Thông tin về đời sống riêng tư, bí mật cá nhân, bí mật gia đình;
d) Tình trạng sức khỏe;
đ) Dữ liệu sinh trắc học, đặc điểm di truyền;
e) Dữ liệu tiết lộ đời sống tình dục, xu hướng tình dục của cá nhân;
g) Dữ liệu về tội phạm, vi phạm pháp luật được thu thập, lưu trữ bởi các cơ quan thực thi pháp luật;
h) Vị trí của cá nhân được xác định qua dịch vụ định vị;
i) Thông tin tên đăng nhập và mật khẩu truy cập tài khoản định danh điện tử của cá nhân; hình ảnh thẻ căn cước, thẻ căn cước công dân, chứng minh nhân dân;
k) Tên đăng nhập, mật khẩu truy cập của tài khoản ngân hàng; thông tin thẻ ngân hàng, dữ liệu về lịch sử giao dịch của tài khoản ngân hàng; thông tin tài chính, tín dụng và các thông tin về hoạt động, lịch sử giao dịch tài chính, chứng khoán, bảo hiểm của khách hàng tại các tổ chức tín dụng, chi nhánh ngân hàng nước ngoài, tổ chức cung ứng dịch vụ trung gian thanh toán, chứng khoán, bảo hiểm, các tổ chức được phép khác;
l) Dữ liệu theo dõi hành vi, hoạt động sử dụng dịch vụ viễn thông, mạng xã hội, dịch vụ truyền thông trực tuyến và các dịch vụ khác trên không gian mạng;
m) Dữ liệu cá nhân khác được pháp luật quy định cần giữ bí mật hoặc cần có biện pháp bảo mật chặt chẽ.
2. Trong quá trình xử lý dữ liệu cá nhân nhạy cảm, cơ quan, tổ chức phải thiết lập quy định phân quyền giới hạn truy cập, quy trình xử lý và các biện pháp bảo mật.