只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。

在网络生活中，服务方往往会打着“为客户提供更好的服务”的大旗全面地收集用户的个人敏感信息。这种大而虚的笼统由头是不符合《个保法》中对处理个人敏感信息所设前提中要求的“特定的目的”和“充分的必要性”。应当逐一梳理收集的敏感个人信息及所涉及的业务场景，确保所收集的敏感个人信息都具备相对应的具体的、特定的处理目的。而且个人信息处理者不得为了收集敏感个人信息而在某些业务场景中将敏感个人信息与产品或服务强行关联。

另外在学校里，含有支付功能的校园卡信息也应属于个人敏感信息，师生也要注意保护呀。平时我们不要到处瞎扫码，瞎授权，明白“下一步”操作的目的再点“确定”也来得及。

个人信息保护法-第二十八条：敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。

来源：教育信息安全等级保护测评中心