第二十八条到第三十七条，十条七百零六个条文汉字，条均七十点六，是全法条均一百一十四点零三的六成二，也是全法最薄的一段。其中敏感个人信息五条四百二十二字，条均八十四点四；国家机关五条二百八十四字，条均五十六点八，比总则的六十五点三三还低，是全法条均最低的一节。第二十八条列了六类敏感信息再加一类主体（不满十四周岁未成年人），这一条一百五十六字，是本篇最长；第三十三条只有三十五字，本篇最短。十条里「禁止」零次、「有权」零次、「不得」只有一次。
小店收集顾客个人信息要怎么做，2026 年 9 月 1 日施行的《小型个人信息处理者个人信息保护简化措施规定》给了明确口径：处理不满十万人个人信息的经营者，可把处理规则贴在墙上、以顾客主动提供代替逐个勾选，合规审计五年一次、影响评估用简表。但最小必要、敏感信息单独同意、删除响应一条没减，强制关注公众号才点单、摄像头对着试衣间仍然踩线。
概括同意打勾不代表什么都能干——个人信息保护法里有五处明文要求「单独同意」：向他人提供信息、公开信息、公共场所安装识别设备、处理敏感个人信息、向境外提供信息。这五处场景一个都不能少，而且单独同意必须是专门、清晰的单独动作。本文以第二十九条和第二十三条为主锚，把五处场景逐个列清，讲清单独同意和概括同意的区别、什么才算合格的单独同意，以及拿不到同意时的合法出路。
手机号算、车牌号算、删掉头像的聊天记录还算不算？讨论个人信息保护，第一步是把「什么才算个人信息」划清楚。个人信息保护法第四条给出定义：与已识别或者可识别的自然人有关的各种信息，匿名化处理后的信息被明确排除；第二十八条把生物识别、行踪轨迹、医疗健康、金融账户和不满十四周岁未成年人的信息划为敏感个人信息，适用更严的处理规则。本文把定义要件逐个拆开，讲清去标识化与匿名化的分界，帮你判断手头的信息落在哪一档。
装个点餐小程序，要读取通讯录；办张会员卡，要刷脸、要身份证、要家庭住址；隐私政策一页纸，只有一个「同意」按钮。2024年7月1日施行的消费者权益保护法实施条例第二十三条把这几件事写进了禁止清单：不得过度收集个人信息，不得采用一次概括授权、默认授权等方式强制或变相强制同意收集、使用与经营无直接关系的信息；处理生物识别、医疗健康、金融账户、行踪轨迹等敏感信息，还要符合专门规定。本文讲清哪些信息可以不给。
电商平台9.9元基因检测卖出上万单，12天出报告，有用户反映连血型都错。低价不是问题，定性才是问题：这份报告算检测服务还是娱乐内容，决定了能不能退钱、能不能三倍赔偿，以及那根棉签里的基因信息现在归谁。
未经同意拿走他人照片、身份证号码，合成人脸动态验证视频去解封账号，属于非法获取公民个人信息，可能构成侵犯公民个人信息罪。本文照录李某旗、韦某等侵犯公民个人信息案（如皋市人民法院）裁判要旨，并对照刑法与司法解释的入罪门槛。
处理敏感个人信息、自动化决策、委托处理或对外提供或公开个人信息、向境外提供，以及其他对个人权益有重大影响的处理活动，都须事前做个人信息保护影响评估并记录，报告与记录至少保存三年，漏做是执法与诉讼中的硬伤。
不满十四周岁未成年人的个人信息一律按敏感个人信息保护，处理须取得父母或其他监护人同意并制定专门处理规则；监护人可代行查阅、复制、更正、删除、转移等权利，信息泄露时处理者须报告网信部门并逐一告知受影响儿童及监护人。
敏感个人信息一旦泄露容易侵害人格尊严或人身财产安全，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹及不满十四周岁未成年人信息；处理须有特定目的、充分必要性并采取严格保护措施，原则上取得单独同意。
敏感个人信息单独同意，是《个人信息保护法》第二十九条设的一道单独门槛：处理生物识别、医疗健康、金融账户、行踪轨迹等信息，不能靠一份笼统的隐私政策打包带走，必须取得个人的单独同意；法律、行政法规要求书面同意的，还要书面。本文讲清哪些信息算敏感、单独同意怎样才算单独、影响评估与告知义务、违法处理的三层后果，以及哪些情形其实不必单独同意。
要。人脸、行踪轨迹、医疗健康、金融账户、不满十四周岁未成年人信息等属于敏感个人信息，处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定应当取得书面同意的，从其规定。此外，处理前还必须以显著方式、清晰易懂的语言把处理者名称、处理目的方式、保存期限、行使权利的方式等告知清楚。
