敏感个人信息的授权获取必须遵循“单独同意+明确告知”的核心原则，且需满足法定形式与实质要件。具体操作需从以下角度展开：

一、法律对敏感个人信息的定义与保护层级

根据《个人信息保护法》第28条，敏感个人信息指一旦泄露或非法使用，易导致自然人的人格尊严受到侵害或人身、财产安全受到危害的信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等。法律对其保护层级显著高于一般个人信息，要求授权程序必须严格遵循法定标准。

二、授权获取的法定要件（需同时满足）

1. 单独同意原则

   • 敏感个人信息的处理必须取得个人单独同意，不得通过“一揽子授权”或默认勾选等方式获取。例如，在APP注册时，若需收集指纹信息，必须单独设置同意选项，且用户需主动勾选或点击确认。
     
   • 例外情形：根据《个人信息保护法》第13条，若处理敏感个人信息是为订立、履行合同所必需，或为履行法定职责/义务所必需，可豁免单独同意，但需证明必要性且履行告知义务。

2. 明确告知义务

   • 需以显著方式、清晰易懂的语言告知用户以下内容：
     
     • 处理敏感个人信息的目的、方式、范围；
       
     • 保存期限及到期后的处理方式；
       
     • 用户享有的拒绝权、撤回权、删除权及行使方式；
       
     • 可能存在的安全风险及已采取的保护措施。
       
   • 示例：在医疗APP中收集患者病历时，需在隐私政策中单独列明“病历信息处理条款”，并设置弹窗要求用户逐项确认。

3. 书面或可追溯的同意形式

   • 同意需以书面形式（如纸质签名、电子签名）或可追溯的其他方式（如系统记录用户操作日志）留存，以备监管部门或用户查询。
     
   • 例外：紧急情况下为保护自然人生命健康和财产安全无法及时获得同意的，可事后补全手续。

三、实务操作中的风险防控要点

1. 动态管理授权

   • 敏感个人信息的处理目的、方式或范围发生变更时，需重新获取用户同意。例如，原仅用于身份验证的指纹信息，若后续用于支付验证，需再次授权。

2. 提供便捷的撤回机制

   • 需在产品界面显著位置设置“撤回同意”入口，且撤回后不得影响此前基于同意处理的合法性。例如，用户撤回对行踪轨迹的授权后，企业应立即停止收集并删除已存储数据。

3. 儿童敏感信息的特殊保护

   • 处理不满14周岁未成年人敏感个人信息的，需取得其监护人的单独同意，并制定专门的个人信息处理规则。

四、违规后果与合规建议

• 法律责任：违反敏感个人信息授权规定的，可能面临警告、没收违法所得、罚款（最高达5000万元或上一年度营业额5%）、停业整顿、吊销业务许可等处罚，直接责任人员可能被处10万元至100万元罚款。
  
• 合规建议：
  
  1. 定期开展数据合规审计，确保授权流程符合最新法律要求；
     
  2. 建立用户授权记录管理系统，实现全生命周期可追溯；
     
  3. 对员工进行数据保护培训，避免因内部操作违规引发风险。

如需进一步分析具体场景下的授权方案（如跨境传输敏感信息、与第三方共享数据等），可直接向我咨询。