摘要：目前区分敏感个人信息和一般个人信息并对前者施以更为严格的保护措施已成为全球普遍做法.但在敏感个人信息具体类型的认定上,国际社会尚未达成共识,特别是关于金融账户信息、个人位置信息、与刑事判决有关的个人信息是否属于敏感个人信息仍存在争议.美国、欧盟、日本等代表性法域基于不同的监管思路对敏感个人信息跨境流动施以差异化措施:欧盟并不区分敏感个人信息和一般个人信息,而统一设定较严格的跨境流动限制性要求;美国倡导个人信息跨境自由流动,形成市场主导型的监管模式;日本则采取更加务实、灵活的敏感个人信息跨境传输政策,以尽可能吸引更多数据进入本国境内.我国基于国家安全考量的敏感个人信息出境规则更倚重数据出境安全评估,一定程度上挤压了出境标准合同、认证等路径的适用空间.敏感个人信息跨境主要关涉信息主体个人利益,在确保信息主体基本权益和国家数据安全的前提下,其规则设计应以依法合理流动为基础原则,以特定情形禁止或限制出境为例外,建立多元化敏感个人信息跨境流动规则体系,即除了"特定人数+敏感个人信息"的分类标准外,"特定人员+敏感个人信息"也可作为补充标准予以施用.面对当前个人信息跨境流动监管规则碎片化的难题,可先促进特定行业的充分保护水平认定,由点及面,推动国内规则与国际标准的协调,为敏感个人信息流动创建更具持续力的治理结构