处理人脸、行踪、健康信息，要单独同意吗？要。人脸、行踪轨迹、医疗健康等信息属于敏感个人信息，处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定应当取得书面同意的，从其规定。而且处理前还要把处理目的、方式、保存期限等事项讲清楚。
先说结论
三句话：① 人脸、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息，属于敏感个人信息；② 处理敏感个人信息应当取得个人的单独同意，法律、行政法规规定应当取得书面同意的从其规定；③ 处理个人信息前，应当以显著方式、清晰易懂的语言，真实、准确、完整地告知处理目的方式种类、保存期限、行使权利的方式和程序等。
一、先弄清哪些信息算「敏感」
结论：人脸等生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息，属于敏感个人信息。
- 《中华人民共和国个人信息保护法》第二十八条敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。
- 只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。
判断是不是敏感信息，看的是「一旦泄露或者非法使用」的后果。人脸、指纹，病历、体检报告，银行卡、账户，以及行踪轨迹，都属于这一类，处理的门槛更高：目的特定、必要充分、措施严格。
二、敏感信息要「单独同意」
结论：处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定应当取得书面同意的，从其规定。
- 《中华人民共和国个人信息保护法》第二十九条处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。
普通个人信息，取得同意即可；敏感个人信息，要求的是「单独同意」——不能埋在一揽子协议里、不能和其他授权混在一起。有的情形法律、行政法规还要求书面同意，那就更要落到纸面上。
三、同意之前，还要充分告知
结论：处理个人信息前，应当以显著方式、清晰易懂的语言，真实、准确、完整地告知处理者名称联系方式、处理目的方式种类与保存期限、行使权利的方式和程序等事项。
- 《中华人民共和国个人信息保护法》第十七条个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知下列事项：
- （一）个人信息处理者的名称或者姓名和联系方式；
- （二）个人信息的处理目的、处理方式，处理的个人信息种类、保存期限；
- （三）个人行使本法规定权利的方式和程序；
- （四）法律、行政法规规定应当告知的其他事项。
- 前款规定事项发生变更的，应当将变更部分告知个人。
- 个人信息处理者通过制定个人信息处理规则的方式告知第一款规定事项的，处理规则应当公开，并且便于查阅和保存。
同意的前提是知情。这一条要求把「谁来处理、为什么处理、怎么处理、处理哪些、存多久、个人怎么行使权利」都讲清楚。处理目的或者方式改了，也要把变更的部分告诉个人。
四、面对「要授权才能用」该怎么办
结论：先分清处理的是普通信息还是敏感信息，再判断同意是不是单独作出的。
看清要收集的是哪几类信息，人脸、行踪、健康等属于敏感信息；
查看是否就该项敏感信息单独征求同意，而不是打包勾选；
核对告知内容是否包含处理目的、方式、种类、保存期限和权利行使方式。
两个提醒：① 敏感信息不是「多勾一个框」就行，同意必须单独、明确；② 需要删除时，可以通过法定的权利行使渠道主张。
五、常见问题
结论：关于敏感个人信息的同意问题，常见疑问如下。
人脸信息被采集，只在总协议里勾了一下，算单独同意吗？
敏感个人信息要求单独同意，埋在总协议里的一揽子勾选通常不能算。
App 不给权限就不能用，合理吗？
要看收集是否必需，具体可参阅手机 App 强制收集信息，可以拒绝吗？。
同意之后还能反悔吗？
可以依法行使个人的相关权利，包括要求删除等必要措施，可参阅隐私被他人泄露，可以要求赔偿吗？。
一句话：普通信息要「同意」，敏感信息要「单独同意」，且同意之前必须充分告知——三者缺一，处理就可能出问题。
以上内容为一般性法律知识分享，不构成正式法律意见；具体案件请结合证据情况咨询执业律师。