体检报告、行踪轨迹、人脸信息：敏感个人信息为什么要单独同意

敏感个人信息单独同意，是《个人信息保护法》第二十九条设的一道独立门槛：处理生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息，不能靠一份笼统的隐私政策“一揽子”打包拿走，必须取得个人的单独同意；法律、行政法规规定应当取得书面同意的，还应当取得书面同意。先给结论：敏感信息的门槛比一般个人信息高两层——既要有“特定目的和充分必要性”，又要有“单独同意”，两者缺一，处理行为就失去合法性基础。

⁠​‌​‌​​‌​‌‌‌​‌​‌​‌‌‌‌​‌‌‌‌‌‌‌‌‌‌​​​‌​‌​‌​‌​‌​‌‌​​⁠

先说结论

一、条文原文

二、处理敏感个人信息的五个要件

五个要件是并列关系，不是选择关系。目的不正当、必要性不成立，即使拿到了同意，处理行为仍然违法——同意不能把不必要的信息处理“洗白”。

三、“单独同意”到底怎么才算单独

这是本条最容易被虚化的一句。监管与司法实践中，判断“单独”通常看四点：

第一，单独呈现。 敏感信息的处理规则应当单独弹窗、单独页面或者单独勾选项呈现，而不是埋在几万字隐私政策的第 37 页。把“同意隐私政策”这一个动作视为对全部敏感信息的同意，通常不构成单独同意。

第二，单独选择。 用户要能对这项敏感信息说“不同意”，而不影响其他非敏感服务的正常使用。所有事项捆成一个“同意／不同意”的开关，实际上剥夺了选择权。

第三，单独目的。 一次单独同意只对应一个特定目的。今天为门禁采集人脸，明天用来做考勤分析，属于目的变更，应当重新取得同意（第十四条第二款）。

第四，可撤回。 第十五条规定个人有权撤回同意，处理者应当提供便捷的撤回方式。撤回不影响撤回前已经进行的处理活动的效力，但撤回后继续处理就没有依据了。

四、敏感信息清单：哪些落在本条范围内

第二十八条用了“等”字，列举不是封闭的。被明确列举的有六类：

生物识别信息——人脸、指纹、掌纹、虹膜、声纹、步态。人脸信息之所以敏感，是因为它不可更改：密码泄露可以改，脸泄露改不了。

宗教信仰——包括宗教活动的参与记录、宗教团体成员身份。

特定身份——主要指犯罪记录、特定职业身份等一旦泄露可能导致歧视或人身风险的身份信息。

医疗健康——体检报告、病历、诊断结论、用药记录、基因信息、生育信息、心理咨询记录。

金融账户——银行账号、支付账户、证券账户及其余额、交易流水。

行踪轨迹——连续的位置记录、出行记录、住宿记录。单次定位往往不构成轨迹，连续、可回溯的才构成。

另外，不满十四周岁未成年人的个人信息，不论内容是否属于上述六类，一律按敏感个人信息处理。这一条常被忽视：儿童的名字加学校加班级，本身就要按敏感信息对待。

五、处理者的三项配套义务

其一，事前影响评估。 第五十五条明确，处理敏感个人信息应当事前进行个人信息保护影响评估，并对处理情况进行记录。第五十六条要求评估内容至少覆盖：处理目的、方式是否合法正当必要；对个人权益的影响及安全风险；保护措施是否合法有效并与风险程度相适应。评估报告和处理情况记录至少保存三年。

其二，告知义务。 第十七条要求在处理前以显著方式、清晰易懂的语言，真实、准确、完整地告知处理者名称和联系方式、处理目的与方式、信息种类与保存期限、个人行使权利的方式和程序。处理敏感信息时，还应当告知处理该敏感信息的必要性和对个人权益的影响——这一项是敏感信息特有的额外告知内容。

其三，严格保护措施。 这一要件没有统一的技术标准，但监管检查通常看：是否分类分级管理、是否加密存储与传输、是否权限最小化并留痕、是否定期做安全评估、是否对接触敏感信息的岗位单独授权。

六、违法处理的后果：三层责任

行政责任最直接。 第六十六条规定：违反本法处理个人信息，或者未履行个人信息保护义务的，由履行个人信息保护职责的部门责令改正、给予警告、没收违法所得；对违法处理个人信息的应用程序，责令暂停或者终止提供服务；拒不改正的，并处一百万元以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。情节严重的，罚款幅度大幅提高，并可责令暂停相关业务、停业整顿、通报有关主管部门吊销相关业务许可或营业执照。

民事责任实行过错推定。 第六十九条把举证责任压给处理者：只要造成损害，处理者不能证明自己没有过错就要承担赔偿责任。对个人来说，这意味着起诉时不必先证明平台“哪里做错了”，只要证明损害存在、处理行为与损害有关联即可。

刑事责任另有一条线。 非法获取、出售或者提供公民个人信息，情节严重可能构成侵犯公民个人信息罪，属于另一套评价体系，不在本条的民事、行政框架内讨论。

七、边界：这些情形其实不必“单独同意”

第二十九条只解决“以同意为合法性基础”时的门槛问题。以下情形要分开看：

第一，本来就不靠同意的处理。 第十三条规定了六类合法性基础，除“取得个人同意”外，还有：为订立、履行个人作为一方当事人的合同所必需，或者按依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；为履行法定职责或者法定义务所必需；为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；法律、行政法规规定的其他情形。这些情形不依赖同意，自然也不存在“单独同意”的问题，但目的限制、必要性、严格保护措施这三项照样要满足。

第二，“单独同意”不等于“书面同意”。 第二十九条的默认要求是单独同意，书面同意只是法律、行政法规另有规定时才需要。反过来说，处理者不能自己把标准抬成“必须书面”来给用户添负担，也不能用一份电子勾选替代法规明确要求的书面形式。

第三，已合法公开的敏感信息。 个人自行公开的敏感信息，在合理范围内处理可以不依赖同意，但“公开过”不等于“可以随便用”——超出合理范围、违背公开时的目的使用，仍然可能违法。

第四，匿名化之后不再是个人信息。 经过处理无法识别特定自然人且不能复原的信息，不属于个人信息，本条不适用。但“去标识化”不等于“匿名化”，前者仍属个人信息，只是降低了风险。

第五，法定情形下的公共场所图像采集。 为维护公共安全所必需，在公共场所安装图像采集、个人身份识别设备，所收集的个人图像、身份识别信息只能用于维护公共安全的目的，不得用于其他目的；取得个人单独同意的除外。这是一条“目的锁定”规则，与本条互为补充。

八、个人遇到敏感信息被处理，可以这样做

第一步，分清是哪一类。 打开 App 的隐私设置，看它收集了什么：人脸、通讯录、位置、健康数据、银行卡。落在第二十八条六类里的，就适用单独同意规则。

第二步，找“单独”的证据。 回看当时是怎么同意的：是单独弹窗，还是混在长达几十页的协议里一次勾选？截图保存弹窗页面、授权记录、时间点。这一份证据决定后续主张能不能立住。

第三步，行使权利。 第十七条要求处理者告知个人行使权利的方式和程序。可以要求查阅、复制、更正、删除、撤回同意。撤回同意后，处理者应当停止基于该同意的处理。

第四步，投诉举报。 向履行个人信息保护职责的部门（网信、市场监管等按领域分工）投诉。涉及 App 违法违规收集使用个人信息的，可通过官方渠道举报，监管部门可责令暂停或终止提供服务。

第五步，主张赔偿。 造成实际损害的，可以依第六十九条起诉。注意举证结构：个人证明损害与处理行为，处理者证明自己没有过错。

九、条文关系网

这张表里最容易被忽略的是第十三条与第二十九条的组合关系：先看有没有合法性基础，再看是不是敏感信息、要不要单独同意。顺序颠倒，结论就会错。

敏感信息被泄露后的取证与索赔路径，另见个人信息被泄露、被人肉搜索怎么办？；平台泄露的赔偿责任，见个人信息被平台泄露，可以索赔吗？。

十、常见误区

误区一：“隐私政策里写了，就等于同意了。” 敏感信息要求单独同意。概括授权通常不满足“单独”的要求。

误区二：“不同意就不让用，所以只能同意。” 这恰恰是第十六条禁止的做法：不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务；处理个人信息属于提供产品或者服务所必需的除外。是否“必需”，要看这项信息与核心功能是否不可分离。

误区三：“人脸信息加密存了就没事。” 加密只是“严格保护措施”的一项。目的不特定、必要性不成立，保护得再好也不合法。

误区四：“用户自己公开过，就可以随便用。” 已合法公开的信息只能在合理范围内处理，且不得违背公开时的目的。

误区五：“同意一次，永久有效。” 处理目的、方式、种类变更的，应当重新取得同意；个人也有权随时撤回。

误区六：“只有大平台才受管。” 本法适用于在中华人民共和国境内处理自然人个人信息的活动，不论处理者规模。小微企业、物业、健身房、教培机构，只要处理敏感信息，同样受约束。

一句话总结：敏感个人信息包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹以及不满十四周岁未成年人的信息；处理它必须同时满足特定目的、充分必要、严格保护措施和单独同意四项要求，法规要求书面的还要书面；事前要做影响评估并保存三年，目的变更要重新取得同意；违法处理面临行政处罚与过错推定的民事赔偿；但依第十三条其他合法性基础处理、已合法公开信息在合理范围内处理等情形，不适用单独同意规则。

---

以上内容为一般性法律知识介绍，不构成正式法律意见。具体案件请结合证据与实际情况，咨询执业律师或向有管辖权的人民法院提起诉讼。