一句话定义：敏感个人信息，是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息以及不满十四周岁未成年人的个人信息；它把个人信息保护的标准抬到了最高档——单独同意、加强告知、事前评估、严格保护四项要求叠加适用。

构成要件

一、判断标准采「危害后果」口径。 第二十八条第一款给出的不是清单式定义而是后果式定义：一旦泄露或者非法使用，容易导致人格尊严受到侵害，或者人身、财产安全受到危害。判断某类信息是否敏感，先问泄露后会怎样，而不是先问它叫什么名字。

二、法定列举六类加一类。 依第二十八条第一款，敏感个人信息包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。人脸、指纹、声纹属生物识别；病史、体检报告、诊断结论属医疗健康；银行账号、支付账户属金融账户；定位轨迹、出行记录属行踪轨迹。列举带「等」字，未列明但符合危害后果标准的仍在其中。

三、处理前提是三项要件同时满足。 第二十八条第二款要求：具有特定的目的、具有充分的必要性、采取严格保护措施。三者缺一不可——目的笼统、可有可无、保护松懈的处理都不合规。这也是它与一般个人信息最实质的差别：一般信息讲最小必要，敏感信息讲充分必要。

四、同意必须单独作出，这是最容易出错的一点。 第二十九条规定，处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定应当取得书面同意的，从其规定。第十四条第一款后半句同样强调，法律规定应取得单独同意或者书面同意的从其规定。把敏感信息的处理夹在一份长篇隐私政策里让用户一次性勾选，不构成单独同意。

五、告知内容在第十七条之上再加两项。 第三十条规定，处理敏感个人信息的，除第十七条第一款所列事项外，还应当向个人告知处理敏感个人信息的必要性以及对个人权益的影响。也就是说，只写「我们会收集您的信息」不够，必须说明为什么非收不可、收了会有什么影响。

六、未成年人信息适用更严的规则。 第三十一条要求处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意，并制定专门的个人信息处理规则。注意不满十四周岁这一年龄线是硬的，与民法典上限制民事行为能力人的八周岁线不是一回事。

七、事前必须做影响评估并留痕。 第五十五条第一项把处理敏感个人信息列为应当事前进行个人信息保护影响评估并对处理情况予以记录的首类情形。评估不是走过场，记录本身就是日后自证合规的关键证据。

八、与私密信息存在交叉，两套义务叠着走。 民法典第一千零三十四条第三款规定，个人信息中的私密信息适用隐私权的规定。病历、行踪轨迹往往同时是私密信息和敏感个人信息，此时隐私权规则优先适用，但处理者仍须履行单独同意与严格保护义务，不是二选一。

法条依据

法条依据
  • 《中华人民共和国民法典》第一千零三十四条自然人的个人信息受法律保护。
  • 个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。
  • 个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定。
  • 《中华人民共和国个人信息保护法》第十四条基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。法律、行政法规规定处理个人信息应当取得个人单独同意或者书面同意的，从其规定。
  • 个人信息的处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得个人同意。
  • 《中华人民共和国个人信息保护法》第二十八条敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。
  • 只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。
  • 《中华人民共和国个人信息保护法》第二十九条处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。
  • 《中华人民共和国个人信息保护法》第三十条个人信息处理者处理敏感个人信息的，除本法第十七条第一款规定的事项外，还应当向个人告知处理敏感个人信息的必要性以及对个人权益的影响；依照本法规定可以不向个人告知的除外。
  • 《中华人民共和国个人信息保护法》第三十一条个人信息处理者处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意。
  • 个人信息处理者处理不满十四周岁未成年人个人信息的，应当制定专门的个人信息处理规则。
  • 《中华人民共和国个人信息保护法》第五十五条有下列情形之一的，个人信息处理者应当事前进行个人信息保护影响评估，并对处理情况进行记录：
  • （一）处理敏感个人信息；
  • （二）利用个人信息进行自动化决策；
  • （三）委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息；
  • （四）向境外提供个人信息；
  • （五）其他对个人权益有重大影响的个人信息处理活动。

与相邻概念的区别

对比项一般个人信息敏感个人信息私密信息（隐私层面）
判断标准能否识别或关联到特定自然人泄露或非法使用后是否易致人格尊严受损或人身财产危害是否不愿为他人知晓且具私密性
处理前提合法性基础＋最小必要特定目的＋充分必要性＋严格保护措施权利人明确同意或法律另有规定
同意形式一般同意即可单独同意，法律另有规定的书面同意明确同意，不承认默示
告知要求第十七条第一款四项事项另加告知必要性与对个人权益的影响无独立告知清单，按隐私权规则
事前评估一般不作强制要求应当事前进行影响评估并记录不适用评估制度
适用场景姓名、订单、设备信息人脸、指纹、病史、账户、轨迹、未成年人信息病历、通信内容、婚恋状况

最容易混的是「敏感个人信息」与「一般个人信息」。分界线不在名称而在危害后果与同意形式：同样一条信息，用途不同结论可能不同。举例说，收集手机号用于登录验证，属一般个人信息；把手机号与诊疗记录绑定用于保险核保，就滑向敏感一侧。判断时应当按具体处理场景逐项认定，而不是给数据库贴一个静态标签。

次容易混的是「单独同意」与「一揽子同意」。单独同意要求就敏感信息的处理单独作出意思表示，实践中表现为独立弹窗、独立勾选、独立确认，不能与其他事项合并，也不能以「继续使用即视为同意」替代。企业最常见的做法是把它写进隐私政策再让用户一键勾选，这个做法在合规审查中基本都会被认定为未取得单独同意。相关场景分析见体检报告、行踪轨迹、人脸信息：敏感个人信息为什么要单独同意。

实操指引

  • 第一步，先做分类分级。 把数据库里的字段逐一标注是否落入六类列举；未列举的按危害后果标准补判。分类结果要形成清单并随业务变更更新。
  • 第二步，审查处理前提三要件。 目的是否特定、是否充分必要、保护措施是否严格。能用一般信息实现的，就不要碰敏感信息；确需处理的，把必要性写成可核查的理由。
  • 第四步，补上加强告知。 除第十七条第一款四项事项外，必须写明处理敏感信息的必要性以及对个人权益的影响。只写「为提升服务体验」这类空话，达不到第三十条的要求。
  • 第五步，事前做影响评估并留痕。 按第五十五条第一项，在处理开始前完成评估并保存记录，内容应覆盖风险点、保护措施与残余风险。
  • 第六步，未成年人场景单独配置。 不满十四周岁的，须取得父母或者其他监护人的同意，并制定专门的个人信息处理规则；年龄核验、监护人同意的验证方式都要留痕。

常见问题

问：人脸信息一定是敏感个人信息吗？ 答：是的。人脸属生物识别信息，列入第二十八条第一款的法定列举。用人脸识别替代门禁、考勤、支付验证的，都要走单独同意与事前评估，不能以「为了安全」概括替代。

问：我在隐私政策里点过同意，为什么还算没取得单独同意？ 答：因为单独同意要求就敏感信息的处理单独作出意思表示。一揽子勾选无法证明你对这一特定事项知情并同意，处理者也就无法完成举证。这正是第二十九条要解决的问题。

问：员工入职体检，公司收集体检报告合规吗？ 答：体检报告属医疗健康信息，是敏感个人信息。公司须有特定目的与充分必要性，取得单独同意，并告知必要性与对个人权益的影响；能以满足岗位健康要求的结论替代完整报告的，不应收集完整报告。

问：处理敏感个人信息一定比一般个人信息赔得多吗？ 答：赔偿数额不按敏感与否直接加成，但敏感信息泄露更容易被认定为造成严重损害，且处理者要自证无过错。违法处理敏感信息的，行政处罚与刑事风险都明显更高，这两块压力往往大于民事赔偿。

注意避坑

以上内容为一般性法律知识介绍，不构成对具体案件的法律意见；是否构成敏感个人信息，须按泄露后的危害后果结合具体处理场景判断；一旦构成，单独同意、加强告知、事前评估与严格保护四项要求缺一不可，一揽子同意不能替代单独同意。请咨询执业律师，以律师出具的正式意见为准。法条核对日期：2026-10-26。