前言
根据《通用数据保护条例》（General Data Protection Regulation, 以下简称为“GDPR”）第6条的规定，对于个人数据进行处理需具备相应的法律基础（legal basis）。对于一般企业而言，常用的法律基础包括数据主体的同意、履行合同所必要及正当利益（legitimate interest）。其中，针对数据主体的同意，在各个法域均被视为是数据处理合法性和正当性的重要依据。尤其在我国，根据《中华人民共和国网络安全法》的规定，对于个人信息的收集使用应当经被收集者同意 [1]。
2018年4月10日，第29工作组通过了《对第2016/679号条例下同意的解释指南》（Article 29 Working Party Guidelines on consent under Regulation 2016/679），欧盟数据保护委员会（European Data Protection Board，EDPB）在此基础上进行更新及修订，于2020年5月4日发布了新的《对第2016/679号条例下同意的解释指南》（Guidelines 05/2020 on consent under Regulation 2016/679[2]）。该指南对数据控制者如何获得数据主体的有效同意做出了详细的解释。
一、何为有效的同意？
根据GDPR第4条关于同意的定义及第7条对于同意的条件的规定，有效的同意应当同时具备以下要素：自愿做出的；具体的；知情的；明确的意思表示；可随时撤回。同时，数据控制者应当能够提供相应的证据以证明已获得数据主体的同意。
- 自愿做出的（freely given）
自愿做出，即表示数据主体不是被迫同意，同时可以在不受损害的情况下拒绝或撤回其同意。任何对数据主体施加不适当的压力或影响而直接或间接地迫使数据主体做出的同意，均不构成有效的同意。为确保数据主体的同意是其自愿做出的，数据控制者应当注意以下问题：
第一，数据控制者应当充分考虑与数据主体之间关系的不平等性。举一个典型的例子来说，鉴于雇主与雇员之间关系的依赖性，雇员通常无法拒绝同意其雇主对其个人数据进行处理，且不会因为拒绝而遭受恐吓等不利影响，因此工作中大部分场景下对于雇员的数据处理不能也不应当以同意作为相应的法律基础[3]。
第二，数据控制者应当避免将同意与接受条款相捆绑而使数据主体产生混淆。数据主体的同意和履行合同所必要作为数据处理活动的两种法律基础，不能被合并，也不能模糊二者之间的界限。对于“履行合同所必要”应当进行严格解释，必要性的判断要求处理数据和履行合同的目的之间需存在直接和客观的联系[4]。
第三，数据控制者应当充分考虑同意的颗粒度。根据序言第32条，当数据处理活动存在多种目的时，数据控制者应当针对每项目的获得数据主体的同意。实践中一项服务往往会因多种目的而涉及多项处理操作，在此种情形下，数据控制者应当对目的进行分离，对为每个目的所进行的每项数据处理活动所依据的法律基础进行判断，需要获得数据主体同意的，应当针对每项具体目的获取数据主体的同意。
第四，数据控制者应当充分保证数据主体可以在不受损害的情况下拒绝或撤回同意。如果数据控制者能够证明可以允许数据主体撤回同意，且撤回同意后不会产生任何不利后果（例如不会降低服务质量而损害数据主体），就足以证明数据主体的同意是自由做出的。 - 具体的（specific）
具体，即表示数据主体的同意不是笼统的。数据主体做出的同意必须与一个或多个特定目的相关，并且数据主体可以就每一个目的进行单独的选择。为获取数据主体具体的有效同意，数据控制者所采取的措施需同时满足以下条件：
首先，数据控制者应当将使用目的具体化以防止功能擅改（function creep，即在数据主体初始同意数据收集后，逐步扩大或模糊数据处理目的）。一旦已经获得数据主体的同意而收集数据，如数据控制者意图将此类数据用于其他目的，除非该项数据处理活动可基于其他法律基础进行，否则数据控制者应当为此目的另行获得数据主体的同意。
其次，数据控制者应当细化请求同意的颗粒度。若存在不同的数据处理目的，应当就每个目的提供单独的主动性选择，允许数据主体就具体的目的做出具体的同意[5]。
最后，数据控制者应当将与获得同意相关的信息与其他事项下的信息进行区分，同时应在每个单独的同意请求中向数据主体提供为实现每个具体目的所需处理的个人数据的详细情况。 - 知情的（informed）
知情，即表示数据主体的同意不是在不了解其个人数据被处理的相关情况的前提下所做出的。如果数据主体不了解他们同意了什么以及他们对于所同意的内容享有何种权利，数据控制者所获得的同意是无效的。
为使数据主体知情，数据控制者至少应当告知数据主体：数据控制者的身份、数据处理活动的目的、所收集的个人数据类型、撤回同意的权利、与自动化决策相关的信息以及可能存在的数据跨境传输风险等对数据主体做出选择来说至关重要的内容。
为使数据主体知情，数据控制者应当以清楚明了的语言和简洁的方式向数据主体提供上述信息，避免使用晦涩、冗长的文本。 - 明确的意思表示（unambiguous indication of wishes）
明确的意思表示，即数据主体是以主动的动作或声明而非被动的方式做出同同意。为使数据主体做出明确的意思表示，数据控制者必须有相应的机制保证数据主体会采取刻意的行动来同意对其个人数据所进行的特定处理。为获得数据主体明确的意思表示，数据控制者应当注意以下问题：
第一，数据控制者不得采用预先勾选或默认勾选选择框的方式。数据主体的沉默或者不作为以及仅仅接受服务的行为不能表示主动选择，仅主动的动作或声明可构成明确的意思表示；
第二，数据控制者不得通过数据主体同意一份合同或表示接受服务的一般条款等方式获得同意，数据主体对一般条款做出的一揽子接受不能被视为明确的意思表示；
第三，如果同意是通过电子方式做出的，数据控制者需把握获取同意及保证同意有效之间的微妙平衡，确保同意请求不会对数据主体使用该同意下的服务造成不必要的干扰；
最后，数据控制者应当保证在开始进行数据处理活动之前已经获得了数据主体的同意，如果数据处理的目的在获得同意后发生变化或者出现其他目的，数据控制者需要获得新的同意。 - 同意可随时撤回（withdrawal of consent）
根据GDPR的规定，有效的同意应当做到数据控制者可使数据主体随时轻易地撤回同意。
一方面，数据控制者应当保障向数据主体所提供的撤回同意的途径是易于操作的，同时撤回同意不会降低所提供的服务水平。
另一方面，在以同意作为法律基础的场景下，一旦同意被撤回，在没有其他合理目的以继续保留数据的情况下，数据控制者有义务删除在同意基础上所处理的数据[6]。如果需要对数据继续进行处理，数据控制者应当确保后续的处理活动具备相应的法律基础，且必须通知数据主体该法律基础的变化。 - 数据控制者能够提供相应的证明（demonstrate consent）
在以同意为基础进行数据处理活动的情形下，数据控制者必须证明其已从数据主体处获得了有效同意。GDPR并未对证明的方式及同意的持续期限进行规定，EDPB建议数据控制者一方面可以保留其所收到的同意声明以展示其如何获得同意、何时获得同意及向数据主体所提供的信息；另一方面应当在适当的间隔时间更新同意，再次向数据主体提供相关信息。
二、何为有效的明示同意？
若某项数据处理活动存在严重的数据保护风险，数据控制者则需要获得数据主体的明示同意（explicit consent）。根据GDPR，明示同意适用的场景主要包括：
①第9条、序言第51条所规定的针对特殊类别个人数据[7]所进行的处理活动；
②第22条、序言第71条所规定的自动化决策、用户画像；以及
③第49条、序言第111条所规定了跨境传输特殊情形下的克减[8]。
EDPB认为，“明示”一词指的是数据主体表达同意的方式，即数据主体必须给出同意的明确声明。因此，获得数据主体的明示同意，数据控制者需同时实现：
第一，满足关于同意的所有要求（即上述六项要素）；
第二，要求数据主体以声明的方式（书面、口头方式均可）做出明示同意。声明的方式既包括以书面的方式确认同意，也包括填写电子表格、发送电子邮件、使用电子签名的方式。
值得参考的是，根据英国数据保护机构ICO（Information Commission’s Office）发布的GDPR指南[9]，明示同意并不是要求数据主体自己出具一个同意声明，数据控制者可提前准备此声明，只要确保数据主体明确至知悉其给同意该声明即可（例如签名或主动勾选等）。明示同意也可以以口头方式取得，确保有录音及记录即可。从实质内容上来说，GDPR项下的同意及明示同意没有本质上的区别。
三、如何区分同意与其他法律基础？
根据GDPR，在进行数据处理活动之前，必须根据数据处理活动的目的明确所适用的法律基础，且只能有一项法律基础。
法律基础的明确，与数据处理活动的目的息息相关。在适用同意为法律基础的数据处理活动场景下，数据控制者应当保证在数据主体撤回同意时即停止相应部分的处理活动，同时不能任意地将法律基础从同意转换到其他法律基础。例如，在以同意作为法律基础的有效性存在瑕疵的情况下，数据控制者不得追溯利用以正当利益作为法律基础以证明其数据处理活动的合法性。
结语
相较于我国《中华人民共和国网络安全法》、《信息安全技术个人信息安全规范》等法律法规及国家标准项下对于同意的规定，GDPR关于同意的要求更为具体和严格。在国内网安法框架下，一般情形下的同意作为个人信息处理活动的通用法律基础，仅在部分特殊情形下明确要求个人信息控制者以获得个人信息主体的明示同意作为个人信息处理活动的前提[10]，目前对于明示同意尚未形成与GDPR对标的系统规定[11]。随着各部委密集开展违法违规收集使用个人信息执法行动，现今强监管态势下对于个人信息主体作出同意及明示同意的有效性要求也将不断细化。
为帮助企业更好的理解中国及欧盟复杂的数据保护执法监管环境，更有效的降低法律风险，我们将结合在网络安全与数据保护领域的广泛实践经验，持续推出系列文章，对国内外立法及政策走向及时进行解读。
[注]
[1] 《中华人民共和国网络安全法》第四十一条：网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。
[2] https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_en，最后访问时间：2020年6月1日。
[3] 2019年7月，希腊数据保护机构（Hellenic Data Protection Authority, HDPA）对PWC作出15万欧元的处罚。HDPA认为PWC使用同意作为对员工个人数据进行处理所依据的法律基础是不恰当的，因为当事双方的权利并不平等，雇佣关系下员工的同意不能认为是基于其自由意志所自愿做出的。
[4] 根据EDPB于2019年4月9日所发布的《关于在向数据主体提供在线服务时依据GDPR第6(1)(b)条处理个人数据的指南》征求意见稿（Guidelines 2/2019 on the processing of personal data under Article 6(1)(b) GDPR in the context of the provision of online services to data subjects（version for public consultation）），在判断必要性时可考虑如下问题：提供给数据主体的服务的本质是什么？合同的具体目的是什么？合同各方的理解和期待是什么？一个普通用户时是否能够合理地预见到会对其个人数据进行处理？
[5] 2019年1月，法国数据保护机构（Commission Nationale de l'information et des Libertes， CNIL）对Google作出五千万欧元的处罚。其中一项违规事由即为Google要求用户必须完全同意隐私政策中的数据处理条款，而未对各种不同目的进行区分。
[6] 2018年，捷克数据保护机构（Office for Personal Data Protection, OPDP）对某食品经销商作出处罚。其中一项违规事由为食品经销商的客户向OPDP投诉称已拒绝或撤回对其个人数据进行处理的同意后，仍会收到商家的联系信息，损害了数据主体的合法权利。
[7] 根据GDPR第9条，特殊类别的个人数据是指与数据主体的种族、民族、政治观念、宗教或哲学信仰、工会、基因数据、生物识别数据（用于识别特定自然人）、健康、个人性生活或性取向等相关的数据。
[8] 根据GDPR第49条，数据主体被明确告知不存在充足的保护和适当的安全措施以及数据跨境传输可能存在风险后，仍然明确表示同意将其个人数据传输至欧盟境外的，适用跨境传输在特特殊情形下的克减，无需具备适当的传输保障机制即可进行数据跨境传输。
需要注意的是，根据EDPB于2018年5月25日发布的《关于GDPR第49条所规定的克减情形指南》（Guidelines 2/2018 on derogations of Article 49 under Regulation 2016/679），考虑到数据主体随时撤回其同意可能给数据传输及业务活动造成的影响，数据控制者应当谨慎适用此例外情形。
[9] https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/consent/what-is-valid-consent/#what5，最后访问时间：2020年6月1日。
[10] 根据《信息安全技术个人信息安全规范》，需要获得个人信息主体明示同意的情形主要包括：对特殊主体—未成年人的个人信息进行处理；对特殊类型—个人敏感信息进行处理；进行特殊行为（超出范围使用等）。明示同意是指个人信息主体通过书面、口头等方式主动作出纸质或电子形式的声明，或者自主作出肯定性动作，对其个人信息进行特定处理作出明确授权的行为。
[11]《信息安全技术个人信息安全规范》针对移动互联网应用程序运营者提出区分基本业务功能与扩展业务功能并获得个人信息主体的明示同意的要求。