为什么你的病历和你的外卖记录，待遇不一样？

很多人有个疑问：我在App上点外卖，平台收集我的口味偏好；我去医院看病，医院记录我的病情。这两类信息，法律上的保护力度是一样的吗？

答案是：不一样。

《个人信息保护法》把个人信息分成两类：一般个人信息和敏感个人信息。敏感个人信息包括生物识别信息（人脸、指纹、声纹）、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹，以及不满十四周岁未成年人的个人信息。

为什么这些要单独拎出来？因为它们一旦泄露或被滥用，后果不是"被推送几条广告"那么简单——可能直接导致人格尊严受侵害、人身财产安全受威胁。你的行踪轨迹泄露，可能被人跟踪；你的金融账户泄露，可能被精准诈骗；你的人脸信息泄露，可能被用来伪造身份。

敏感个人信息：需要"单独同意"，不是"一揽子同意"

这是很多人容易忽略的关键点。

一般个人信息，平台可以在用户协议里打包征求同意。但敏感个人信息，法律要求必须取得用户的单独同意——也就是说，不能混在一个"我已阅读并同意用户协议"的勾选框里，必须单独弹出来、单独说明、单独让你点"同意"。

举个例子：某小区门禁要录入人脸信息。按照法律要求，物业不能只在公告栏贴一张通知就完事，也不能把"同意刷脸"和"同意物业服务条款"捆绑在一起。它需要单独告知你：收集人脸信息的目的、方式、保存期限，然后取得你的单独同意。而且，如果存在其他验证方式（比如刷卡），你不能被强制要求必须刷脸。

再比如，医院采集你的病历数据用于诊疗，这属于履行合同所必需，可以基于"必要"原则处理。但如果医院要把你的病历数据用于科研或商业合作，那就必须重新取得你的单独同意。

实操建议：下次遇到App要求人脸识别、上传身份证、授权位置轨迹时，留意一下是不是有独立的同意弹窗。如果没有，直接捆绑在总协议里，这本身就涉嫌违规。

告知同意原则："同意"必须是真心的