十条七百零六字：六类敏感信息只用五条管，管国家机关的五条平均五十六点八

十条，七百零六个条文汉字，条均七十点六。

⁠​‌​‌​​‌​‌‌‌​‌​‌​​‌​​​​‌‌‌​​‌​‌‌​‌‌​​​‌‌​‌​‌​‌‌​​⁠

这是《中华人民共和国个人信息保护法》第二章第二节和第三节的全部内容：第二十八条到第三十二条是敏感个人信息的处理规则，第三十三条到第三十七条是国家机关处理个人信息的特别规定。

全法条均一百一十四点零三，这一段只有它的六成二。十条七百零六字，是整部法最薄的一段。

这一篇不算一般处理规则，也不算跨境、权利、义务和监管，只算这十条。之所以要单独拿一篇出来讲，是因为这十条规定的是两件最容易出事、也最难打官司的事：最敏感的那几类信息怎么处理，国家机关处理信息受什么约束。

而恰恰是这两件事，条文最少。

一、先摆数：十条，七百零六字，全法最薄

把它放到全法八章里比：

管国家机关的那五条，条均五十六点八，比总则还低，是全法条均最低的一节。

逐条字数：

最长的是第二十八条，一百五十六字；最短的是第三十三条，三十五字。两者差四点五倍，而它们管的事恰恰是最需要细写的两件——敏感信息的范围和国家的边界。

十条里，「应当」十次、「可以」两次、「不得」一次、「禁止」零次、「有权」零次、「同意」三次。

「有权」零次是这一段最说明问题的地方。全法「有权」出现十次，五处在第四章（个人权利），两处在第五章和第六章，三处在第二十四条和第十五条。这一篇一次都没有——这一段通篇在讲「谁要做什么」，不讲「谁可以要求什么」。

二、第二十八条：敏感信息的定义，六类加一类

第一款先给判断标准，再给列举。

判断标准是一句后果描述：一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害，或者人身、财产安全受到危害。

注意它是「容易导致」，不是「已经导致」。这是一个事前判断，看的是风险等级，不是实际损害。

然后是列举，一共六类：

• 生物识别
• 宗教信仰
• 特定身份
• 医疗健康
• 金融账户
• 行踪轨迹

列举完之后还有一句：「以及不满十四周岁未成年人的个人信息。」

未成年人这一类，跟前六类的性质不一样。前六类是按「内容敏感」划的，未成年人是按「主体特殊」划的。一个人的姓名、身高、就读学校，放在成年人身上是普通信息，放在不满十四周岁的孩子身上就是敏感信息。

所以严格说，敏感信息是「六类内容」加「一类主体」。很多解读把它说成七类，虽然结果差不多，但逻辑上要分清：前六类看信息本身，第七类看信息属于谁。

第二款是三个门槛：特定的目的、充分的必要性、严格的保护措施。三个都满足，才「方可处理」。

三、为什么是这六类

这六类的共同点，是用错了会造成「不可逆」的后果。

生物识别——人脸、指纹、声纹、虹膜。特点是不能更改。密码泄露了可以改，人脸泄露了改不了。

宗教信仰——涉及人格尊严和不受歧视。这一类的敏感性不在财产，在身份认同。

特定身份——通常指政治面貌、民族、健康状况（如残疾）、犯罪记录等。这一类最模糊，法条没有列举具体范围，实务里争议最多。

医疗健康——病历、体检报告、用药记录、基因信息。

金融账户——账号、余额、交易流水。这一类直接对应财产安全。

行踪轨迹——位置记录、出行记录。特点是能还原一个人的生活全貌。

未成年人信息——单独一类，理由是心智尚未成熟，同意能力受限。

还有一层容易被忽略：敏感性是叠出来的。单独看，一条位置记录只是「你在哪」；把位置记录按时间连起来，就是「你每天几点出门、几点回家、周末去哪、去过几次医院」。一条通讯记录只是号码，把通话记录连起来，就是一张关系网。

所以第二十八条的六类是举例，不是封闭清单。条文用的是「等信息」三个字，后面还跟着「以及不满十四周岁未成年人的个人信息」这一句。判断某一类信息要不要按敏感信息对待，落脚点不在它像不像那六类，而在它泄漏之后会不会造成第一款说的那两种后果——人格尊严受侵害，或者人身、财产安全受危害。

组合之后的杀伤力，往往比单个字段大一个量级。这也是为什么第五十一条要求「对个人信息实行分类管理」，而不是只管敏感字段。

四、这六类信息，在别的法里还各有一部专门法管着

本法第二十八条是兜底式定义，六类信息在实际场景里，各自还有专门的规范。做合规只翻本法是不够的。

这张表最实用的一点是：它告诉你「单独同意」不是最高要求。人类遗传资源的采集要书面同意加审批；征信业务要书面授权加许可。本法第二十九条只是底线，不是天花板。

五、一般信息和敏感信息，处理要求差在哪

把两套要求并排看，差在哪一目了然。

最后一行值得单独说：本法没有为敏感信息设更重的罚则。重罚都在第六十六条里，处理敏感信息违法与处理一般信息违法，落在同一个条款、同一档幅度。真正加重的是程序要求，不是处罚强度。

这个设计有利有弊。好处是避免了一事两罚；坏处是，从违法成本看，多碰一类敏感信息的边际代价并不高。

六、第二十九条：单独同意，不要求书面

第二十八条第二款只有一句话，但三个词每一个都要单独过。

「特定的目的」。不是「为了提升服务体验」这种泛泛的说法。目的要具体到能说清「处理哪一项、为了哪一件事」。

「充分的必要性」。比一般信息的「所必需」更高一档。一般信息要求「最小范围」，敏感信息要求「充分必要」——也就是不仅要有这个目的，还要证明非此不可。

「严格的保护措施」。对应第五十一条的加密、去标识化，第五十五条的事前影响评估，第五十二条的负责人。这三项在敏感信息场景里，不是可选项。

三个门槛合起来的效果是：处理敏感信息，举证责任基本在你自己身上。你要证明目的特定、必要充分、措施严格，而这三件事都不容易证明。

七、第二十九条：单独同意，不要求书面

五十二字，一句主体加一个引致。

主体：处理敏感个人信息，应当取得个人的单独同意。

引致：法律、行政法规规定应当取得书面同意的，从其规定。

注意这部法本身没有要求敏感信息必须书面同意。一遍读下来容易误以为「敏感=必须书面」，其实不是。本法只要求单独同意；书面要求来自别的法。

哪些别的法要求书面？《征信业管理条例》第十四条要求采集个人信息应当经信息主体本人同意，第十七条对不良信息的采集另有要求；《人类遗传资源管理条例》对采集遗传资源有书面同意要求。判断要不要书面，得回那一部法去看。

「单独同意」的形式要求在本篇上一节已经拆过：动作单独，不能和别的条款打包。

八、第三十条：比一般告知多说的那两句

八十三字，一句加一个除外。

规则是：处理敏感信息，除了第十七条第一款那四项之外，还要多告知两件事：

1. 处理敏感个人信息的必要性；
2. 对个人权益的影响。

为什么多这两项？因为第十七条那四项讲的是「我拿你的信息干什么」，这两项讲的是「为什么非拿不可」和「拿了对你有什么后果」。前者是事实告知，后者是风险告知。

实务里这一段几乎没人做到。大多数隐私政策写到「我们会收集您的人脸信息用于身份验证」就停了，不写为什么必须是人脸、不写泄露了会怎样。

除外情形是「依照本法规定可以不向个人告知的」，指向第十八条那两种。

九、第三十一条：不满十四周岁，监护人同意加专门规则

八十八字，两款，每款一句话。

第一款：处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意。

第二款：应当制定专门的个人信息处理规则。

这两款是两个独立的义务，不是一个。很多企业只做了第一款（让家长点个同意），没做第二款（单独写一份儿童规则）。

「专门规则」是什么意思？参考《儿童个人信息网络保护规定》，要求包括：单独章节或独立文件、明确收集目的和用途、明确保存期限和到期处理方式、明确拒绝或撤回的方式。

为什么是十四周岁？这是民法典和未成年人保护法共同使用的一条线：不满八周岁是无民事行为能力人，八周岁以上不满十八周岁是限制民事行为能力人。十四周岁则是刑事责任和部分民事行为能力的分界（刑法第十七条）。在个人信息保护上划在十四周岁，是取了「有一定判断能力但不足以独立处分重要权益」这一段。

十、「专门规则」到底要写哪几项

第三十一条第二款只有「应当制定专门的个人信息处理规则」十二个字。具体写什么，要看配套规定。

按《儿童个人信息网络保护规定》的口径，一份合格的儿童个人信息规则至少要包含六项：

1. 收集范围——收集哪些、不收集哪些，逐项列明；
2. 用途——每一项信息对应哪一项功能；
3. 保存期限——到期怎么处理，删除还是匿名化；
4. 共享情况——有没有向第三方提供，提供给谁；
5. 监护人权利——怎么查、怎么改、怎么删、怎么撤回；
6. 联系方式——谁负责、怎么联系。

六项里最常缺的是第三项和第五项。保存期限不写，第十九条就落不了地；监护人权利不写，第三十一条第一款那句同意就没法撤回。

还有一个容易忽略的点：「专门」意味着单独成文。把儿童条款塞进通用隐私政策的一节里，多数解读认为不满足「专门」的要求。

十一、第三十二条：行政许可的转致

第三十二条四十三字：法律、行政法规对处理敏感个人信息规定应当取得相关行政许可或者作出其他限制的，从其规定。

一句话，把本法和其他专门法接起来。比如征信业务要许可，人类遗传资源采集要审批，这些前置条件不因为本法有规定而免除。

十二、第三节换到国家机关：也要守法，但「本节优先」

三十五字，本篇最短，但它是整个第三节的定调条款。

两句话：国家机关处理个人信息的活动，适用本法；本节有特别规定的，适用本节规定。

这个结构叫「一般适用加特别优先」。它意味着：国家机关不是法外之地，但也不完全按企业的规则来。凡本节另写了的，按本节；本节没写的，回前面各章。

为什么要单设一节？因为国家机关处理信息的合法性基础和企業不同。企业靠同意和合同，机关靠法定职责。第十三条第（三）项「履行法定职责或者法定义务所必需」就是为机关准备的。

十三、第三十四条：权限、程序、必要范围

六十字，一句话三个限定：依照法律、行政法规规定的权限、程序进行，不得超出履行法定职责所必需的范围和限度。

三个限定分别是：

• 权限——你有没有权力做这件事；
• 程序——你按不按程序做；
• 范围和限度——你做的范围有没有超出必要。

「不得超出」这四个字，是本节唯一的禁止性表述。整个第三节五条，只有这一处用「不得」。

十四、第三十五条：告知义务，一个例外

七十字，给机关设了告知义务，同时开了两个口子。

义务：依照本法规定履行告知义务。

例外一：有第十八条第一款规定的情形（法律、行政法规规定应当保密或者不需要告知）。

例外二：告知将妨碍国家机关履行法定职责。

第二个例外是本节最值得注意的地方。它意味着：机关可以自己判断「告诉你就会妨碍我办事」，然后不告诉你。这个判断没有前置审批，也没有事后告知义务。

对比第十八条第二款：紧急情况下无法及时告知的，紧急情况消除后应当及时告知。第三十五条没有对应的「事后补告」条款。

十五、第三十六条：境内存储与安全评估

六十四字，两句。

第一句：国家机关处理的个人信息应当在境内存储。

第二句：确需向境外提供的，应当进行安全评估；评估可以要求有关部门提供支持与协助。

注意这里的用词是「应当」，不是「可以」。国家机关的信息出境没有第三十八条那三条路径可选，只有一条：安全评估。

对比第四十条：企业里的关键信息基础设施运营者和达到规定数量的处理者，也是境内存储加安全评估。两条规则内容相近，但适用主体不同——第三十六条管所有国家机关，第四十条管特定企业。

十六、第三十七条：授权组织比照国家机关

第三十七条五十五字：法律、法规授权的具有管理公共事务职能的组织，为履行法定职责处理个人信息，适用本法关于国家机关处理个人信息的规定。

这一条把「准机关」也纳进来了。典型的例子：法律法规授权的行业协会、公有事业单位、承担行政职能的开发园区管委会。

判断标准是两个：有没有法律法规授权、有没有管理公共事务的职能。两个都满足，才比照国家机关。只有政府委托没有法定授权的，一般按普通处理者对待。

判断上还有两个易混点。

第一，授权必须是法律法规授权，规章和规范性文件授权不算。地方性法规算，部门规章不算，红头文件更不算。实务里被当成准机关的组织，多数拿的是地方性法规或者行政法规的授权。

第二，管理公共事务不等于提供服务。供水、供电、公交这些公用企业提供的是公共服务，但一般不认为具有管理公共事务职能——它们处理个人信息，按普通处理者对待。真正比照机关的，是那些能作出影响权利义务决定的组织，比如法定检验检测机构、法定登记机构。

十七、和另外三部法各比一次

和网络安全法比。网络安全法第二十二条要求网络产品服务提供者收集用户信息要明示目的方式范围；第四十一条要求遵循合法正当必要原则。它没有区分敏感信息和一般信息。本法第二十八条补上了这个区分。

和数据安全法比。数据安全法管的是「数据」这个更大的概念，核心是分类分级和重要数据。个人信息保护法管的是「个人信息」这个子集，核心是权益。敏感个人信息和数据安全法里的「重要数据」不是一回事：前者按对个人的影响划，后者按对国家安全的影响划。同一份数据可能两者都是，也可能只是其中之一。

和未成年人保护法比。未成年人保护法第七十二条要求处理不满十四周岁未成年人个人信息应当征得父母或者其他监护人同意。本法第三十一条第一款与它一致，第二款多加了「制定专门规则」。两条是衔接关系，不是重复。

三法并行的时候，适用顺序可以这样记：先看有没有专门法；没有专门法，看本法有没有特别规定；都没有，回一般规则。具体到敏感信息，顺序是：人类遗传资源、征信、病历这些有专门规定的，先按专门规定；专门规定没管的环节，回本法第二十八条到第三十二条；这三节也没写的，回第二章第一节。

最容易出错的，是以为专门法可以替代本法。不能。专门法是加法，不是减法——它加要求，不减要求。一部专门法只规定了「要审批」，不等于说「审批过了就不用单独同意」。

十八、算例：小区刷脸门禁，物业算不算敏感信息处理者

场景：物业通知，下个月起门禁改刷脸，不录人脸不能进小区。

第一步，定性。人脸是生物识别，属第二十八条第一款列的六类之一，是敏感个人信息。物业是「自主决定处理目的、处理方式」的组织，按第七十三条是处理者。两个身份都成立。

第二步，看三个门槛。目的是「门禁管理」——特定，过关。必要性呢？门禁可以用卡、用密码、用手机蓝牙，人脸不是唯一手段，也不是必需手段。「充分的必要性」这一关过不去。保护措施呢？人脸数据存在物业的服务器上，多半没有加密和去标识化。三个门槛过不去两个。

第三步，看同意。第二十九条要求单独同意。物业发一张通知让业主去录脸，这是「通知」不是「同意」；就算签了字，如果同时写着「不录脸不能进小区」，那也违反了第十六条。

第四步，看有没有别的依据。第十三条第（二）项？物业合同里有门禁条款，但「人脸」显然超出合同所必需。第（三）项法定职责？物业没有这个职责。

第五步，怎么办。可以向履行个人信息保护职责的部门投诉；也可以按《人脸识别技术应用安全管理办法》要求提供替代方式——这一条最实用：你有权要求物业提供不刷脸的替代验证方式，物业不得因为你不刷脸就拒绝提供基本服务。

算例二：政务 App 要身份证和人脸。

场景：办一个电子证照，App 要求上传身份证正反面，还要活体人脸核验。

第一步，看依据。国家机关处理信息靠第十三条第（三）项「履行法定职责所必需」，不靠同意。

第二步，看第三十四条。权限——这个部门有没有办这项证照的法定职责？程序——有没有按政务服务的规定走？范围——核验身份需要身份证号和人脸，需不需要同时收集通讯录、位置？后者超出了必要范围。

第三步，看第三十五条。它有没有告知？例外情形是「告知将妨碍履行法定职责」——核验身份这件事，告知不影响办事，这个例外用不上。

第四步，看第三十六条。这些数据存在哪？如果存在境外的云上，就违反了「应当在境内存储」。

这个场景里的关键是：机关不需要你同意，但需要它有职权、守程序、不超范围、并且告知。四条里任何一条不满足，处理行为就有瑕疵。

十九、算例三：体检报告被卖给了保险公司

场景：某体检机构把客户体检数据打包卖给保险公司，用于精准推销重疾险。

第一步，定性。体检报告属于医疗健康信息，是第二十八条第一款列的六类之一；同时带姓名和身份证号，是可识别的个人信息。敏感信息与个人信息两个身份叠加。

第二步，看基础。第十三条七项里，卖数据能靠哪一项？同意——客户签的体检协议大多只写「用于本次体检及健康管理」，卖保险不在其中。合同所必需——卖数据和体检服务无关。法定职责——体检机构没有这个职责。七项里一项都不成立。

第三步，看第二十九条。即便协议里写了，卖数据也要单独同意。一份体检协议里夹一句「同意向合作机构提供健康数据」，不是单独同意。

第四步，看第三十条。它有没有告知必要性和影响？卖保险对客户的影响是真切的——保费可能上涨、可能被拒保。这些都没说。

第五步，看责任。按第六十六条，责令改正、警告、没收违法所得，拒不改正的并处一百万元以下罚款；情节严重的，五千万元以下或者上一年度营业额百分之五以下罚款。

第六步，看诉权。个人可以按第六十九条起诉，过错由体检机构举证；涉及众多客户的，检察院、消费者组织可以按第七十条提公益诉讼。医疗健康数据被倒卖，是公益诉讼最典型的适用场景之一。

二十、这一篇的三个软处

第一个软处：「特定身份」没有定义。六类里其余五类都能对上具体内容，只有「特定身份」是个开口。什么算特定身份？犯罪记录、残疾人身份、低保身份、政治面貌？条文没说，实务里靠个案判断。

第二个软处：第三十五条的第二个例外太宽。「告知将妨碍国家机关履行法定职责」由机关自己判断，没有前置程序，也没有事后补告。这一条在实际执法里几乎没有被挑战过。

第三个软处：这一节没有罚则。国家机关违法处理个人信息，落到第六十八条：责令改正加处分，没有罚款。而这一节恰恰是管国家机关的。

二十一、接着看

这一篇是族内的子篇。全书总账、总则、法律责任和附则，见母篇：

• 母篇：七十四条八千四百三十八字：总则条均六十五点三三全书最低，四笔罚款全写在一篇里（全书总账、总则、法律责任、附则）

相关页面

• 敏感个人信息
• 个人信息
• 人脸识别
• 未成年人个人信息
• 患者隐私
• 敏感个人信息
• 国家机关
• 法条深读
• 网络与数据
• 法条逐条深读
• 未成年人充值常见问题
• 数据处理协议
• 侵犯公民个人信息罪
• 个人信息泄露怎么办
• 个人信息侵权要哪些证据

---

本文依据《中华人民共和国个人信息保护法》现行文本逐条统计，条文汉字为条号后正文的全部字符数（含标点），不含条号与章、节标题。文中数字均经回库核对；个案结论因事实差异可能不同，本文不构成正式法律意见，具体事务请咨询执业律师。