《个人信息保护法》实施在即，企业及个人应如何正确理解个人信息的告知、同意？

2021年11月1日，《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》）即将正式生效，针对饱受公众诟病的一揽子授权、强制索权等“痛点”问题，《个人信息保护法》以构建告知同意规则进行了回应。根据告知同意规则，什么情况下需要告知，什么情况下不需要告知，如何实现告知，告知的主要内容是什么等问题，不仅是个人信息处理者关注的合规重点，也备受个人信息主体的关注。
一、告知同意规则
什么是告知同意规则（Informed Consent）？简单来说，可以理解为对个人信息的处理（包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等行为），必须经过个人充分知情的前提下，自愿、明确作出的同意。告知同意规则体现了对个人信息主体自主价值的尊重，是个人信息保护的基石。1
相比于《中华人民共和国民法典》2《中华人民共和国网络安全法》3中对处理个人信息时，须征得本人或其监护人同意等概括性表述，《个人信息保护法》对如何适用告知同意规则进行了详细规定：
1.区分适用情形：一般情形v.s 例外情形
《个人信息保护法》第十三条明确将“取得个人同意”作为一般情形下处理个人信息的必要前置条件，并在此基础上列举了处理个人信息时“不需要取得个人同意”的例外情形，具体如下：

《个人信息保护法》允许例外情形下对告知同意规则的排除适用，并通过列举方式予以明确。通过此种条文设置，在避免该规则适用僵化的同时，降低了社会整体在特殊情形、紧急情形下获取个人信息的难度及成本，有利于促进大数据的流通使用。但同时也应注意，第十三条第一款第七项在已有的例外情形基础上，增设了兜底条款，虽然可以进一步增加法条适用的灵活性，但也存在减损“告知同意规则”适用效力的可能。
2.区分适用要求：概括同意v.s单独同意、重新取得
《个人信息保护法》第十四条规定，个人作出的同意必须是在充分知情时自愿、明确作出的同意。除一般情形下取得的概括同意外，在法律、行政法规规定应当取得个人单独同意或重新取得同意时，个人信息处理者还须取得个人的单独同意或重新取得其同意。
（1）取得单独同意的情形

（2）重新取得同意的情形

对上述情形进行归纳分析后，不难看出，在个人信息处理过程中，《个人信息保护法》提高了在个人信息处理时对个人知情权的保护。此类须单独取得及重新取得“个人同意”的情形，均与个人信息处理者主体变更、信息处理类型变更、信息使用目的变更、信息使用方式变更密切相关。
从防止滥用个人信息及充分保护个人信息权益的角度出发，《个人信息保护法》此举体现了大数据时代下对个人自主意识的充分尊重，也是促进合理利用个人信息、规范个人信息处理活动的必要制度保障。
3.区分信息类型：一般个人信息v.s敏感个人信息
《个人信息保护法》将敏感个人信息分为两类：一类是一旦遭到泄露或是被个人信息处理者非法使用，容易导致个人人格尊严受损，或者人身及财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息。另一类是不满十四周岁未成年人的个人信息。
针对上述敏感个人信息，《个人信息保护法》赋予了高于一般个人信息的保护程度，具体而言：
（1）在取得前提上，强调个人信息处理者仅在具有特定目的和充分必要性的前提下才可获取，并应采取严格保护措施；
（2）在取得形式上，必须取得个人的单独同意，如果法律法规有书面同意的特别规定的，还应当同时取得书面同意；
（3）在告知内容上，除了《个人信息保护法》第十七条4规定的一般告知内容外，个人信息处理者在取得敏感个人信息时，还应当告知处理敏感个人信息的必要性以及对个人权益的影响，除非存在法律规定不可告知的事项；
（4）在告知主体上，个人信息处理者在处理不满十四周岁未成年人的个人信息时，应当取得其监护人的同意，同时应当制定专门适用于不满十四周岁未成年人的个人信息处理规则。
综上所述，我们理解，《个人信息保护法》确立的告知同意规则体系具有以下特点：
1.以一般适用为原则，以具体特殊情形排除适用为例外；
2.以概括同意为原则，以单独同意/重新取得同意为例外；
3.基于信息敏感程度的不同，给予不同严格程度的保护。
二、个人信息处理者如何履行告知同意规则的义务？
从个人信息处理者的角度出发，如何在符合告知同意规则的前提下进行个人信息处理活动是其合规风控的重点。从《个人信息保护法》的条文设置可以看出，其多针对于个人信息处理者的信息处理行为进行规制；对于个人而言，法律不通过增设更多的注意义务来提高对其权益保护的要求。相反，在一定程度上，此类注意义务被转移至个人信息处理者。
因此我们理解，个人信息处理者在向个人获取处理个人信息的同意时，可以通过制定《隐私政策》《个人信息保护政策》等书面/电子文件，从以下几个方面体现主体告知义务的履行：
第一，区分必须获取的个人信息与非必须获取的个人信息。个人信息处理者应当根据自身提供产品或者服务的范围，对个人信息进行分类获取。对于非必须获取的个人信息，保留个人选择“拒绝同意”后仍能继续使用产品或享受服务的权利。理由在于，根据《个人信息保护法》第十六条之规定，个人信息处理者不得以“个人不同意其处理个人信息或者撤回同意”为由，拒绝向其提供产品或服务，除非处理的个人信息为提供产品或服务所必需。
例如：以音乐服务类的APP为例，其对个人信息通讯录的获取或是与个人其他社交类APP信息的互相绑定，就属于非提供产品所必须，当用户拒绝同意其获取个人信息通讯录等非必要个人信息时，该类APP不能以此为由拒绝提供产品服务。
第二，区分待获取的个人信息系属一般个人信息还是敏感个人信息。如前所述，《个人信息保护法》已经对敏感个人信息进行了明确界定，个人信息处理者应当根据获取的个人信息的类型不同，区分不同的告知同意前提、形式及内容，并在《隐私政策》《个人信息保护政策》中予以体现。
例如：医院、银行等开展日常业务与处理敏感个人信息密切相关的主体，应当对其处理的医疗健康及金融账户类个人信息谨慎处理。除获得此类信息须取得的单独同意外，还应在符合一般告知内容的基础上，充分告知关于处理敏感个人信息的必要性以及对个人权益的影响。
第三，树立在个人信息处理活动中须动态获取个人同意的意识。个人信息处理者获取个人同意并不是一劳永逸的，一旦使用目的、使用方式、处理信息类型，甚至个人信息处理者自身情况发生变更时，都必须依据《个人信息保护法》单独取得或重新取得个人同意。
例如：微信里内嵌了各种APP小程序，某一APP小程序在被用户首次点开之时，都会跳出弹窗提示，确认是否授权个人信息给APP小程序使用。此即微信作为个人信息处理者，在向第三方提供个人信息时，需要单独获得个人同意之例。
三、个人如何通过适用告知同意规则保护个人信息？
从个人角度出发，大数据时代下，我们在享受各种数据、算法带来的便捷生活的同时，每个人都在数据海洋里“裸泳”。《个人信息保护法》明确规定告知同意规则，无疑是对个人信息的有力保护，但作为大数据亿万分之一的个体，如何通过适用告知同意规则保护个人信息呢？
生活中，我们对各种《隐私政策》《个人信息保护政策》并不陌生，在APP的安装及更新程序中、在服务机构（例如：银行、医院）提供各类个人服务的协议中，因为行文冗长、内容繁多而被我们直接略过的，就是个人信息处理者用以获取个人同意的文件。
有观点认为，《隐私政策》《个人信息保护政策》于企业而言，其目的在于履行告知义务以规避法律风险，并非出于促进个人知情而拟定。5实际上，个人难以通过此类告知文件的阅读对个人信息保护有所助益，相反，基于此类文件本身的复杂内容、较高的阅读和理解成本，会造成信息主体处于信息过载的情形之中；此外，结合即便通过仔细阅读也无法规避的个人信息潜在风险，信息主体直接略过并点击同意的做法，似乎不能一概而论认为是完全不理智的做法。
因此，我们理解，仔细阅读《隐私政策》《个人信息保护政策》的建议可能形同虚设。通过上述分析，仅从单一信息主体的维度，难以实现对个人信息的真正保护。比较可行的路径是通过诸如《个人信息保护法》等法律法规的制定及施行，在法律指导的前提下，加强主管部门对个人信息处理行为的监管，对侵害个人信息权益的不当处理行为予以处罚，进而促进个人信息处理行为的合法化及规范化。在这一过程中，逐步树立并增强信息主体保护个人信息的维权意识，进而形成“法律法规保护——主管部门监督——信息主体维权”这一多主体多层次的个人信息保护体系。
四、结语
《个人信息保护法》建立了较为完善的告知同意规则适用体系，通过增设个人信息处理者的法定义务，对信息主体的个人信息予以保护。对于企业而言，此举增加了企业管理成本及合规管理风险，但却是大数据背景下对个人信息处理者的必然要求。对个人而言，立法者通过制定《个人信息保护法》保障我们自身的权益，然徒法不足以自行，社会整体关于个人数据安全意识的建立需要每一个信息主体主动参与、积极推动。
注释
1田野：《大数据时代知情同意原则的困境与出路——以生物资料库的个人信息保护为例》，《法制与社会发展（双月刊）》，2018年第6期。
2《中华人民共和国民法典》第一千零三十五条处理个人信息的，应当遵循合法、正当、必要原则，不得过度处理，并符合下列条件：（一）征得该自然人或者其监护人同意，但是法律、行政法规另有规定的除外；（二）公开处理信息的规则；（三）明示处理信息的目的、方式和范围；（四）不违反法律、行政法规的规定和双方的约定。 个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开等。
3《中华人民共和国网络安全法》第四十一条网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。
4《中华人民共和国个人信息保护法》第十七条个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知下列事项：
（一）个人信息处理者的名称或者姓名和联系方式；
（二）个人信息的处理目的、处理方式，处理的个人信息种类、保存期限；
（三）个人行使本法规定权利的方式和程序；
（四）法律、行政法规规定应当告知的其他事项。
前款规定事项发生变更的，应当将变更部分告知个人。
个人信息处理者通过制定个人信息处理规则的方式告知第一款规定事项的，处理规则应当公开，并且便于查阅和保存。
5吕炳斌：《个人信息保护的“同意”困境及出路》，《法商研究》，2021年第2期。