个人敏感信息的法律界定以权益风险为核心标尺，《个人信息保护法》明确将其与普通个人信息区分，强调其对个人人身、财产安全的直接影响。
从类型上看，主要涵盖能够直接识别特定自然人身份的信息，以及与个人生理特征、健康状况、金融状况等核心权益相关的信息，这些信息一旦被不当获取或使用，可能导致个人身份被冒用、财产遭受损失，或引发名誉损害、精神困扰等后果。
在具体范畴上，个人敏感信息包括生物识别信息、宗教信仰信息、特定身份信息、医疗健康信息、金融账户信息、行踪轨迹信息等，这些信息的共同特征是具有不可替代性或高关联性。
此外，不满十四周岁未成年人的个人信息，因未成年人自我保护能力较弱，被依法直接认定为敏感信息，需适用更严格的保护措施。
公民个人信息首要且核心的特征是识别性，即能够单独或与其他信息结合，直接或间接识别特定公民身份。这种识别性既包括直接识别，如信息本身可明确指向某一具体个人;也包括间接识别，即需与其他信息联动才能锁定个人，但只要存在识别可能性，就符合该特征。
识别性是判断某类信息是否属于公民个人信息的首要标准，缺乏识别性的信息通常不纳入个人信息保护范畴。
关联性是公民个人信息的另一重要特征，指信息与公民个人的人身、财产、社会关系等权益直接或间接相关。
这种关联性使得信息的处理会对公民权益产生影响，如与财产相关的信息处理可能涉及财产安全，与健康相关的信息处理可能影响人身健康权益。
关联性决定了信息保护的必要性，关联权益越核心，信息保护的力度通常越强。