根据《中华人民共和国个人信息保护法》：
个人信息：以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息（第四条）。这是一个宽泛的概念，涵盖姓名、手机号、地址等几乎所有能关联到个人的信息。
个人敏感信息：一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息（第二十八条），法定列举包括：生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。
维度 | 一般个人信息 | 敏感个人信息 |
风险等级 | 低风险，泄露后通常不会直接导致严重损害 | 高风险，泄露后易引发人格侵害、诈骗、歧视等 |
处理规则 | 遵循"告知+同意"核心规则，可通过一揽子授权同意 | 需单独同意，且必须具备特定目的和充分必要性，采取严格保护措施 |
合规义务 | 履行基本告知义务，保障信息准确性与安全性 | 需事前进行个人信息保护影响评估（PIA），并记录至少三年 |
处罚力度 | 最高可处1000万元或上一年度营业额2%的罚款 | 最高可处5000万元或上一年度营业额5%的罚款 |
信息是否属于敏感并非一成不变，需结合具体场景和处理目的动态评估。以下是典型场景的认定标准：
身份证号/护照号：2025年新规调整后，不再整体归为敏感信息，日常办事（入职登记、APP实名认证）中收集无需单独同意，但需符合最小必要原则。
身份证照片/手持身份证照片：仍为敏感信息，收集时需单独明示告知用途，采用端侧加密、数据脱敏技术防护（如支付宝实名认证仅传输核验特征码）。
社保卡号/驾驶证号：仅作为身份核验用途时，按一般个人信息处理；但若涉及社保待遇、违章记录等核心权益关联，则可能被认定为敏感。
基础财产信息：存款金额、房产信息、普通交易记录不再属于敏感个人信息，银行办理存款、房产中介留存基础信息可简化流程。
核心财产信息：个人收入明细、银行卡CVV码、支付密码仍为敏感信息，处理需单独同意并严格权限管控（如HR查看员工收入需授权并留痕）。
基础体质信息：身高、体重、血型等不关联疾病的信息，在健身房、体检中心用于常规服务时不视为敏感信息。
医疗敏感信息：病历、疾病诊断、基因检测报告属于严格保护的敏感信息，仅限医护人员访问，需分级管理和加密存储。
例外：为紧急救援收集血型信息时，可不认定为敏感信息。
粗略位置：基于网络地址测算的城市级位置，新闻类APP用于本地资讯推荐不视为敏感信息。
精准定位与轨迹：连续的精准定位信息（如外卖APP实时位置、车辆行驶轨迹）属于敏感信息，需取得单独同意并明确使用期限，服务结束后及时删除。
例外：外卖员、快递员履约过程中的行踪轨迹仅用于配送服务，不视为敏感信息。
非敏感隐私信息：婚史、普通差旅住宿记录、航班车票信息不再归为敏感个人信息，企业人事管理、差旅报销可正常收集。
例外：涉密单位相关住宿记录、涉及特殊场所的住宿信息仍可能被认定为敏感。
高敏感隐私信息：性取向、宗教信仰、特定疾病史属于高度敏感信息，原则上不应处理，禁止用于构建用户画像或歧视性分析。
不满十四周岁未成年人的所有个人信息直接被认定为敏感信息，处理需取得监护人同意并制定专门保护规则，违规将面临最高1000万元罚款。
以信息泄露或非法使用后是否容易侵害自然人人格尊严、人身安全、财产安全作为核心判断标准：
人格尊严侵害：如宗教信仰、性取向泄露引发社会偏见、歧视待遇；
人身安全危害：行踪轨迹泄露导致被不法分子追踪；
财产安全风险：金融账户信息泄露引发盗刷、诈骗。
多项一般个人信息汇聚或融合后若符合实质性标准，应被整体认定为敏感个人信息。例如：普通市民姓名+家庭住址+日常出行时间的组合信息，可能被用于精准诈骗，需按敏感信息保护。
法律明确列举的7类敏感个人信息（生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹、未成年人信息），原则上无需额外评估直接认定为敏感，除非存在法定例外情形（如公共利益优先）。
综上，《个人信息保护法》对一般个人信息与敏感个人信息的区分，既是平衡个人权益与信息利用的制度设计，也是企业合规的行动指南。在数字时代，信息敏感性并非一成不变，需结合场景动态判断，避免“一刀切”或过度保护。企业应构建分层防护体系，严格落实敏感信息单独同意、风险评估等制度；个人需增强敏感信息识别能力，理性授权并关注信息流向。唯有法律约束、技术防护与个人意识协同发力，才能在数字生活中筑牢隐私防线，实现个人信息保护与数字经济发展的双赢。