《办法》要求经营者在收集、使用个人生物特征、医疗健康、金融账户、个人行踪等敏感信息时，必须逐项取得消费者同意。针对经营者尤其大型平台企业与自身关联主体之间共用个人信息的问题，《办法》明确规定经营者未经被收集者授权同意，不得向包括关联方在内的任何第三方提供。