规则出处与规范指向

本条（《中华人民共和国个人信息保护法》第二十八条，敏感个人信息的界定与处理门槛）：《个人信息保护法》第二十八条规定：敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，方可处理敏感个人信息。

一、敏感信息的文本要求更高

敏感信息的处理除需要告知处理目的、方式与信息种类外，还应当说明处理的必要性以及对个人权益的影响，并取得单独同意。文案如果只写「为保障账户安全，我们可能收集您的人脸信息」，远未达到要求。

二、四段式文案结构

第一段说清处理什么，具体到字段名称与采集方式。第二段说清为什么必须处理，把必要性讲明白，并说明是否有替代方案及为何未采用。第三段说清可能的影响与保护措施，包括保存期限、访问限制与加密方式。

第四段给出明确的选择，包括同意与拒绝两条路径，并说明拒绝后哪些功能可用、哪些不可用。四段写全，用户知情才有实际内容。

三、涉及未成年人的特别要求

处理不满十四周岁未成年人的个人信息，应当取得其父母或者其他监护人的同意，并制定专门的个人信息处理规则。文案中应当明确告知由监护人代为作出确认，以及不同意后不影响基础功能的使用安排。

四、影响评估报告与文本的衔接

个人信息保护影响评估的内容应当与对外文案保持一致。报告中论证的必要性、影响与措施，应当能够在用户看到的文案中找到对应的表达。两份文件口径不一，说明其中至少一份没有认真做。