近年来,科学技术的高速发展引领人类社会由信息化迈向智能化的同时,亦引发了社会各界对个人信息保护关注的新浪潮。有一类个人信息因其性质和内容较为特殊,一旦处理不当或泄露将给个人信息主体造成严重的后果或风险,故而称之为个人敏感信息。欧盟、美国、俄罗斯等诸多国家和地区已在法律上对个人敏感信息进行明确规定。与内地同宗同源、一脉相承的我国香港、澳门和台湾地区也对个人敏感信息予以保护,个人敏感信息的重要性可见一斑。本文第一部分以我国个人信息保护立法为切入点,探求我国关于个人敏感信息法律保护的现状。我国尚无关于个人信息保护的专门法律,主要通过分散的法律、行政法规等规范性文件对个人信息进行规制。虽然我国高位阶的法律尚无个人敏感信息的规定,但是从行政法规、司法解释等规范性文件可以隐约看出对个人敏感信息和个人一般信息的差别规定和区分保护。此外,我国关于个人信息保护的国家标准也将个人信息类型化为个人一般信息和个人敏感信息,并加强对个人敏感信息的保护。本文第二部分为个人敏感信息的界定方法以及考量因素。个人敏感信息的界定方法除了域外立法最为常用的“列举法”,学界对“情境说”“目的说”等综合考量法亦有推崇。本部分结合域外立法实践,对界定方法进行评析后,认为我国未来个人敏感信息保护立法应该以列举法为主、综合考量法为辅的界定模式,以提高法律适用性。最后对影响个人敏感信息界定的因素进行考量,在界定个人敏感信息时,文化差异下公众对信息不同敏感度、科学技术发展以及信息泄露导致的后果都是不容忽视的考量因素。本文第三部分为法域外个人敏感信息法律保护制度的探究。它山之石,可以攻玉。本部分主要探究欧盟、美国、俄罗斯以及我国香港特别行政区、澳门特别行政区和台湾地区个人敏感信息保护的现状。对法域外个人敏感信息的规定作了具体的介绍和分析,发现禁止对个人敏感信息处理的区别保护制度成为域外立法的主流。本文第四部分为我国个人敏感信息保护法律制度的构建。在未来个人信息保护立法中,我国应明定个人敏感信息的概念和范围,借鉴法域外个人信息保护的规定并结合我国具体国情,本文建议将个人财产信息、生理健康信息、生物识别信息、身份识别号码、性生活和性取向、个人通讯信息六类个人信息列为个人敏感信息。同时,在个人敏感信息的保护层面应区别于个人一般信息的保护机制,以禁止对个人敏感信息的处理为原则,同时创设禁止处理的例外情形,可将“信息主体明确同意”“重大公共利益”“国家机关履行法定职能之需要”“法律规定的其他情形”作为处理个人敏感信息的法定条件。最后应该加重侵害个人敏感信息的民事责任、行政责任和刑事责任。