敏感个人信息是个人信息里保护等级最高的一档，一旦泄露或者非法使用，容易导致人格尊严受侵害或者人身、财产安全受危害。它不是靠感觉划分的，第二十八条用列举加概括的方式划出了范围；处理门槛也从“一般同意”抬升到“单独同意”加“严格保护措施”。这篇讲清哪些信息算敏感、门槛怎么落、以及企业用“打包同意”糊弄时你怎么反驳。
一、哪些信息属于敏感个人信息
- 《中华人民共和国个人信息保护法》第二十八条敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。
- 只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。
六个明示类别加一个兜底年龄线：
- 生物识别：人脸、指纹、声纹、虹膜，独一无二且无法挂失重置；
- 宗教信仰、特定身份：涉及人格尊严与社会评价；
- 医疗健康：病历、体检报告、用药记录、就诊记录；
- 金融账户：卡号、支付账号及交易流水；
- 行踪轨迹：定位、出行记录，直接指向人身安全；
- 不满十四周岁未成年人的全部个人信息：不论内容，一律按敏感对待。
法定列举之外还有“等”字兜底，判断标准回到定义：泄露后是否容易伤及人格尊严或人身财产安全。身份证号、通信记录等是否构成敏感，司法实践会结合泄露后果个案认定。
二、单独同意怎么给才算数
- 《中华人民共和国个人信息保护法》第二十九条处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。
“单独”两个字是关键：不能混在整包授权里，不能藏在一份同意勾选里。打开一个弹窗让你勾选“同意收集人脸用于登录+同意接收营销信息”，这不叫单独同意；必须针对敏感信息处理事项单独弹出、单独确认。与一般同意相比还有两处加码：
- 告知内容加码：第二十条要求除一般告知事项外，还要告知处理敏感个人信息的必要性以及对个人权益的影响；
- 书面同意：法律、行政法规有要求的从其规定。
没做到单独同意的后果是双向的：处理活动因欠缺合法性基础而违规，你可以要求停止处理并删除；发生损害的，处理者依第六十九条自证无过错，而“同意链条有瑕疵”本身就很难自圆其说。
三、为什么门槛这么高：特定目的与充分必要性
第二十八条第二款给了两把尺子加一道工序：
- 特定的目的：处理前目的必须明确、具体。“为了提升服务体验”这种万金油表述撑不起处理人脸的正当性；
- 充分的必要性：没有更轻的替代手段。门禁有刷卡可选，人脸就不是“充分必要”；支付有密码可选，刷脸开通就不是必选项；
- 严格保护措施：加密存储、访问权限控制、脱敏处理、留存期限限定，第十五条要求的具体措施依处理场景落地。
三要件层层递进，缺一即不可处理——这与一般个人信息的“目的相关”标准明显不同，是企业合规里最容易低估的差距。
四、常见场景对照
- App 刷脸登录：属生物识别，须单独弹窗同意并说明必要性；与指纹解锁二选一时应提供替代方式。
- 健身房、医美机构收集健康与体测数据：属医疗健康类敏感信息，报名合同里一行小字带过不构成单独同意。
- 借贷平台读取通讯录、定位：通讯录不是放贷必需，定位超出风控必需范围，不属于可处理的敏感情形。
- 企业给员工做考勤人脸打卡：属生物识别，即便有人力资源管理必需作合法性基础，仍应提供替代打卡方式。
- 商家调取监控识别会员到店行为：涉及行踪轨迹与人脸，须单独同意，不能靠会员协议打包。
五、常见误区
- 误区一：同意过一次就永久有效。 敏感信息处理的同意须针对具体目的与方式；撤回同意后继续处理即违规，撤回路径见不同意收集信息就不让用，App 这么做合法吗。
- 误区二：隐私政策里写了就算单独同意。 一揽子条款不产生单独同意的效力，这是司法解释反复确认的立场。
- 误区三：信息是用户自己填的，就不算敏感处理。 来源合法不等于处理合法，目的与必要性审查照做。
- 误区四：儿童信息等到泄露再说。 不满十四周岁信息一律按敏感对待，监护人同意是前提，规则见下篇儿童专文。
六、问答
收束一句：敏感个人信息的公式是“特定目的＋充分必要＋单独同意＋严格保护”，四项少一项就站不住。单独同意规则的另一种讲法见体检报告、行踪轨迹、人脸信息：敏感个人信息为什么要单独同意；人脸场景的三条红线见小区门禁刷脸、商场摄像头识别人脸，合法吗？人脸识别信息的三条红线与维权；被泄露后怎么追责见个人信息被泄露，能主张什么。
以上内容为一般性法律知识分享，不构成正式法律意见；具体案件请结合证据情况咨询执业律师。