规则出处与规范指向

本条（《中华人民共和国个人信息保护法》第二十八条，敏感个人信息的界定与处理门槛）：《个人信息保护法》第二十八条规定：敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，方可处理敏感个人信息。

一、说明的重心在必要性

涉及敏感信息的争议，对方往往不会纠缠于是否采集，而是直接质疑必要性：这个功能真的需要采集这类信息吗。因此说明的重心应当放在目的的具体性与替代方案的比较上，而不是笼统强调安全需要。

二、需要准备的四类材料

第一，必要性说明，包括业务功能与敏感字段的对应关系，以及为何未采用更温和的替代方案。第二，影响评估报告，用以说明当时对风险与措施的评估过程。第三，单独同意的取得记录，包括文案版本与确认动作。

第四，保护措施的执行证据，例如加密方式、权限配置、访问日志与脱敏展示的截图。四类材料共同构成说明的整体，缺一环都会显得单薄。

三、涉及未成年人的特殊处理

若涉及不满十四周岁未成年人的个人信息，还应当说明监护人同意的取得方式与专门处理规则的内容。这一环节缺失，通常难以通过补充说明弥补，需要在整改中正面解决。

四、处置建议

对确无充分必要性支撑的处理，宜停止并说明替代安排。对保护措施不到位的，应当立即补强并留痕。对存在争议但确有必要的，应当完整呈现论证过程，把判断交给对方。