健康数据、金融数据与生物识别数据，是第91/2025/QH15号《个人信息保护法》在第2条中归入敏感个人信息的三组数据——并赋予明显更严格的处理制度：单独同意、强制的数据保护组织与更重的事件责任。医疗机构、金融机构以及每一家以人脸识别考勤的工厂，都应自2026年起重新审查整条处理链。
法律依据
敏感数据更严格的处理条件
第91/2025号法律第2条将个人信息分为基本数据与敏感数据；敏感类包括健康数据、生物识别数据、金融数据、精确地理位置以及政府细化规定的其他类别。分类的法律后果是给一切处理活动加上一整套强化条件：处理前必须明确告知主体数据属敏感类；同意——在作为处理依据时——必须就该类数据单独作出，不得埋在一份笼统同意之中；控制者还须采取相称的保护措施，包括按角色的访问控制、存储与传输加密以及访问日志。
最关键的组织要点：敏感个人信息的控制者与控制兼处理者必须指定个人信息保护部门与专责人员——该要求源自第13/2023/ND-CP号议定，并在第91/2025号法律框架及其指导议定第356/2025/ND-CP号中成文化。对医院、诊所、银行、金融公司与使用生物识别考勤的企业，这不是可选项：没有书面指定的数据保护职能本身就是独立违规，与数据是否曾泄露无关。第21条影响评估档案还须逐组描述所处理敏感数据的保护措施。
适用分析
按行业看，适用要点各异。医疗：病历数据既是第91/2025号法律下的敏感数据，也是医疗法下的病历保密信息——医疗机构必须同步两套制度，尤其在向保险方共享数据或上传集团系统时。金融：交易与信用数据同时受国家银行信息安全规则约束；第2345/QD-NHNN号决定下的线上交易生物识别认证表明生物识别已是行业强制基础设施，每一个生物识别采集点都是独立的合规义务。工厂生物识别：用于考勤的指纹与人脸即使目的”只是点名”也是敏感数据——企业必须为不同意的员工提供替代方案（刷卡、PIN码），且不得将生物识别数据用于已告知目的之外的用途。
敏感数据发生事件时，响应机制有两层：依现行机制在法定时限内（自发现起72小时，承袭第13/2023号议定与新框架的规定）向个人信息保护专门机关通报，事件可能造成损害时通报受影响主体；以及法律责任——依该法违规处理规定与专门处罚文件处以行政处罚、向受损害主体承担民事赔偿，严重者依现行法律追究刑事责任。处罚严厉程度随数据敏感度与受影响主体数量上升，因此同一起泄露事件，涉及生物识别或病历数据时总比涉及普通联系数据时评估更重。
行动建议
- 按系统清点敏感数据（病历、交易、生物识别），并在数据图中标注第91/2025号法律第2条的分类。
- 以书面指定数据保护部门与人员；在第21条档案与隐私政策中公布该职能。
- 将敏感数据同意与一般同意分离：独立表格、独立目的、独立撤回通道；按旧笼统表格取得的同意重新取得。
- 落实强化技术措施：静态与传输加密、按角色授权、敏感数据访问日志与定期权限复核。
- 制定敏感数据专门事件预案：72小时通报节点、主体通报模板、隔离与证据保全步骤。
常见问题
自2026年起，医疗、金融、生物识别领域的敏感数据须满足哪些更严格的处理条件？
在第91/2025号法律框架下比普通数据多四项强化条件：（1）收集前明确告知主体数据属第2条的敏感类及具体目的；（2）同意——在作为处理依据时——须就敏感类单独作出，不得埋在多目的笼统同意中；（3）指定负责该类数据的数据保护部门与人员；（4）相称的技术与组织保护措施——访问控制、加密、日志——且第21条影响评估须逐组敏感数据描述保护措施。缺少任何一项即构成独立违规，即使尚未发生任何数据事件。
处理敏感数据的企业必须指定数据保护组织吗？
必须。敏感个人信息的控制者与控制兼处理者须指定个人信息保护部门与专责人员——该要求源于第13/2023/ND-CP号议定，并在第91/2025号法律框架及指导议定第356/2025/ND-CP号中成文化。指定须以书面作出，明确职责范围（数据类型、系统、与专门机关的对接），并体现在影响评估档案中。小规模处理敏感数据的企业同样在义务范围内；随规模变化的只是部门的组织形式，而非义务是否存在。
敏感数据的同意需要何种独立形式？
敏感数据同意须在三个维度上独立：文书独立——一份单独的同意声明（或显著分立的部分）仅针对敏感数据类及其具体目的，不与服务条款合并；行为独立——主体须作出单独的肯定行为（签署、单独勾选、应用内单独确认），不得从其对普通处理的同意中推定；生命周期独立——撤回敏感数据同意须可独立完成，并触发停止该类数据的处理，即使其他处理继续进行。2026年前按笼统表格取得的同意，应按此分离结构重新取得。
敏感数据违规如何处罚？事件通报机制如何运作？
两套机制并行。事件通报：发现敏感数据违规或泄露后，企业须在法定时限内——现行机制为自发现起72小时——向个人信息保护专门机关通报，事件可能造成损害时通报受影响主体，同时采取遏制与补救措施。违规处理：违规行为依第91/2025号法律的违规处理规定与专门处罚文件处以行政处罚，并附强制删除数据或暂停处理等纠正措施；受损害主体可索赔民事赔偿，严重行为可被追究刑事责任。由于敏感数据的严重系数更高，同一起事件通常比涉及普通数据的事件处罚更重。
