引言
为更好地保障个人信息权益，《个人信息保护法》（“《个保法》”）规定了需要取得“单独同意”的五种情形。而落实“单独同意”的系统改造成本较高，且容易影响用户体验并引起用户反感致使拒绝同意。因此，本文旨在探索一条以较低成本落实“单独同意”的可行路径。
笔者认为，非基于同意处理个人信息，“单独同意”可以被豁免。
1、“单独同意”落实成本高
《个保法》第14条规定：法律、行政法规规定处理个人信息应取得“单独同意”的从其规定。经梳理，《个保法》明确在以下五种场景处理个人信息，需取得“单独同意”，详见下表：
北京理工大学法学院教授、国家标准《个人信息安全规范》编制组组长洪延青老师在保护人脸信息 规范行业健康发展的有效司法路径一文中认为：“单独同意”，目的是为了保障个人对其人脸信息的处理享有知情权、决定权，确保个人有权限制或者拒绝他人对其人脸信息进行处理。充分知情、自愿、明确、单独构成了“单独同意”的四个要件。在法律规定需要征得个人同意方可处理个人信息的场景下，采集人脸信息必须符合“单独同意”的要求。比如，具有人脸识别功能的应用程序，应用商可在用户首次开启人脸识别功能时，通过弹窗、跳转专门页面等形式同步告知该功能的信息处理规则（以满足“充分知情”的要求）；该规则应仅包含对人脸识别功能及其信息处理规则的描述而不包括对其他不相关事项的描述（以满足“单独”的要求）；用户通过点击“同意”或“已知悉，并继续使用”等主动性动作清楚地表达自己的意愿（以满足“明确”的要求）；如果人脸信息并不属于该应用的必要个人信息，用户在阅读信息处理规则后，既可以选择开启该功能，也可以选择不开启该功能。如果选择不开启该功能，用户仍然可以通过其他替代性方式继续使用应用程序的其他功能（以满足“自愿”的要求）。具体界面如何制作，请见下图招商银行手机APP界面。
“单独同意”示例
若每次都需要像示例一样落实“单独同意”的要求，那么成本就非常高了。因此，厘清“单独同意”的适用范围就显得尤为重要。
2、“单独同意”的前提是需取得同意
《个保法》第13条第1款明确了处理个人信息的7项合法性基础，详见下表。同时本条第2款强调：依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意。
笔者认为，需要考虑取得“单独同意”的前提是基于取得个人同意处理个人信息。若基于②-⑦处理个人信息，则无需考虑是否需要取得“单独同意”。
上述结论似乎有悖于直觉，因为“单独同意”是特殊条款，而第13条是一般条款，为何会适用一般条款而不用特殊条款呢？
2.1、举反例
场景一：在电商购物时，商家把客户的姓名、地址、手机提供给快递公司。这属于“履行合同所必需”。但同时也属于“个人信息共享”，依照《个保法》第23条需取得“单独同意”。
场景二：某人在街头病危，路人直接用其指纹解锁手机，电话通知家属。这属于“紧急情况下为保护自然人的生命健康所必需”。但同时也属于“处理敏感个人信息”，根据《个保法》第29条需要取得“单独同意”。
场景三：公安机关为追捕犯罪嫌疑人，将其个人信息制作成通缉令在全网公开。这属于“履行法定义务所必需”。但同时也属于“公开个人信息”，依照《个保法》第25条需取得“单独同意”。
在类似的情形下，若还需要取得个人的“单独同意”，似乎就有些不现实了。
2.2、程啸老师观点
程啸老师所著新书《个人信息保护法理解与适用》对于“单独同意”的几种情形也有提及，观点摘录如下：
对于将个人信息提供给他人（P220）：无论个人信息处理者是基于个人同意还是依据法律、行政法规的规定而处理个人信息的，要将自己处理的个人信息提供给其他个人信息处理者，就必须告知个人并取得个人的“单独同意”，除非法律、行政法规规定不需取得个人同意，如存在《个人信息保护法》第13条第2项至第7项规定的情形。
对于公开个人信息（P237）：《个人信息保护法》第13 条第1款第2 项至第7 项以及第2款规定了无须取得个人同意就可以进行个人信息处理的情形。 公开个人信息属于个人信息处理行为的一类，故此，当然适用该条之规定。
对于处理敏感个人信息（P273）：处理敏感的个人信息应当取得个人的“单独同意”，当然是指那些基于个人同意处理敏感的个人信息的情形，至于依据法律、行政法规的规定无须个人同意即可处理个人信息的情形，则不适用。
2.3、龙卫球老师观点
龙卫球老师主编新书《个人信息保护法释义》（P120）：如果将信息公开的权限范围仅限于取得个人的“单独同意”，那么在一些较为特殊的情形下，如本条所规定的“维护公共安全目”，可能存在来不及取得个人同意，或是个人不同意公开的情形。衡量公共安全与个人信息两种利益，公共安全的利益顺位显然较个人信息的更为靠前。本条虽然删去“法律、行政法规没有规定的除外”，但是不代表本条采取限定为个人“单独同意”的封闭模式，而是直接转接本法第13条，以允许法律、行政法规进行例外规定的形式保持免责事由的开放性与灵活性。“单独同意”模式亦属于告知同意规则的一种，所以本条自然地用第13条第2款，无需再单独予以强调。
2.4、完美世界数据合规总监观点
完美世界集团数据合规与知识产权总监薛颖在“单独同意”—《个人信息保护法》之明星条款一文中同样认为：需要说明的是，以上五种情形下会触发需要获得“单独同意”之义务的，前提仍然应该是该种个人信息处理活动的合法性基础是“同意”，即只有基于“同意”处理个人信息的情况下才会需要适用“同意”的通用要件和“单独同意”的增强要件，除非法律另有规定。
综上，对于《个保法》第二章规定的四种需要取得“单独同意”的场景，在非基于同意处理个人信息时，可以豁免“单独同意”。接下来再单独讨论一下位于第三章的个人信息出境。
3、个人信息出境的单独讨论
部分学者及律师认为，个人信息出境其实不仅是个人信息保护的问题，同时也是网络安全的问题。比起单纯个人信息保护，从国家安全角度来说，对个人信息出境进行约束，也是有更加深层次意义的。因此，本法第13条并不能直接适用于个人信息出境场景。
但是我认为，《个保法》设专章对个人信息出境作出规范。在国家安全层面，网信部门主要借助《个保法》第38条对个人信息出境进行规制，只有在符合以下条件之一才能出境：（1）安全评估；（2）个人信息保护认证；（3）订立网信部门制定的标准合同；（4）其他。第39条要求取得“单独同意”，依然是为了保障个人信息权益。豁免了个人的“单独同意”，并不会减弱国家对相关个人信息出境的审查。
其实我几周前已经研究过这个问题（详见：《个保法》的“单独同意”可以被豁免吗）。文章发出后，安杰律师事务所的杨洪泉律师通过微信表示支持我的观点并耐心地予以指引。经同意后将聊天记录梳理如下：
第13条第2款应当优先适用。举例说明，如果为了履行合同而收集个人敏感信息，不需要同意（普通同意、单独同意、书面同意）。对于个人信息出境的场景，最典型的是国际快递业务，数据出境是为了履行合同必要，不需要同意。换个场景来看，某人在某中国医院昏迷生命垂危，无监护人，现在中国医生知道国外医院有新治疗方式，在未经病人同意的时候把个人医疗信息发给了境外医院咨询，问，中国医生违反《个保法》了吗？上述两种情形在《个保法》下都有合法依据的，根据《个保法》第13条第2款，其他几条合法依据是优先于同意这个合法基础而适用的。
尽管程啸老师的新书中未提及个人信息出境是否也可以适用第13条，但依照上一部分引用内容相似的逻辑，个人信息出境亦属于处理个人信息，在基于第13条第1款第2-7项的情形而个人信息出境时，不需要取得“单独同意”。
4、“单独同意”如何落实
终于把“单独同意”的适用场景缩限，接下来再简单谈谈如何落实“单独同意”要求。
4.1、摸排场景
第一步是摸排实际展业过程中可能涉及“个人信息共享”“公开个人信息”“处理个人敏感信息”“公共区域收集个人信息”“个人信息出境”的场景。
笔者理解，频率较高的几项依次是处理个人敏感信息、个人信息共享、个人信息出境。
4.2、厘清处理基础
其次，一定要梳理清楚，哪些是履行法定义务，哪些是履行合同所必需，哪些又是处理已公开信息等等。若确实具备其他合法性基础，就无需取得“单独同意”了。
比较可惜的是，目前较常用的其他两项合法基础如何适用仍待官方释义。首先，何为“履行法定义务所必需”之“法”尚不清晰。法律和行政法规肯定是“法”。但部门规章算吗，自律规范算吗？这个就不得而知了。其次，由于《个保法》删去了GDPR中“数据控制者或第三方为追求合法利益目的”的合法基础，这样意味着对“履行合同所必需”而言，必需是有利于个人信息权利人的利益。比如，要求客户提供个人信息以帮助个人信息处理者优化系统，则不可豁免同意。
4.3、适时放弃
最后，若确实没有其他合法基础只能取得“单独同意”时，就需要再权衡一下是否有必要开展本项业务。
因为如果既不是履行法定义务又不是履行合同所必需的话，那么可能就是非必需的个人信息处理行为了。将落实的成本与落实后可能获取的收益进行权衡，适时放弃一些不太可能取得用户“单独同意”或成本畸高的项目。
在与业务部门确有必要之后，再由业务部门提出需求方案，信息技术部门对相关APP页面进行改造，法律合规部门起草相应的单独告知书。
结语
巧合的是，在我撰写本篇文章时，汇业律师事务所的史宇航律师在公众号发文。文章观点与本文恰好完全相反。亦提供了一些比较有说服力的论证，比如：
对比《个人信息保护法（草案二次审议稿）》与《个人信息保护法》：
在正式通过的《个人信息保护法》中专门删除了“基于个人同意处理敏感个人信息”作为获取单独同意的前提条件。
史宇航，公众号：送法上网非基于同意处理个人信息，“单独同意”能豁免吗？
对于这点，我认为可能的解释是，由于其他四种情形都没有加“基于个人同意”这一前提，但其实也是应有之义，也就没有必要再强调了。在正式稿中考虑到条文间的统一性，就对此处的“基于个人同意”予以删除。
随后，我就此问题再次请教了杨洪泉律师（非常感谢杨律师一直以来对我写作进行鼓励并在很多我困惑的问题上予以指导），他补充道：如果说个保法里的个人单独同意的相关条款要优先于第13条第2款而适用，那么实质是在说“个人同意”和“单独同意”在《个保法》里是并列关系，而不是包括关系。我认为这种说法并不成立。从《个保法》的上下文来看，“同意”和“单独同意”、“书面同意”的包含关系还是很明显的。《个保法》里有很多对于“同意”的普适性原则，很显然不但适用于“普通同意”、也适用“单独同意”。例如，《个保法》第14条规定：基于个人同意处理个人信息的，该同意，应当由个人在充分知情的前提下自愿、明确作出。法律、行政法规规定处理个人信息应当取得个人“单独同意”或者“书面同意”的，从其规定。个人信息的处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得个人同意。不能说该条中的“充分知情”、“自愿”、“明确”这些原则仅适用于“普通同意”而不适用于“单独同意”。也不能说，对于需要个人“单独同意”的场景，如果处理目的、处理方式和处理的个人信息种类发生变更，这时候仅需要重新获得个人的“普通同意”就可以，而不再需要“单独同意”。
为更好地保障个人信息权益，《个人信息保护法》（“《个保法》”）规定了需要取得“单独同意”的五种情形。而落实“单独同意”的系统改造成本较高，且容易影响用户体验并引起用户反感致使拒绝同意。因此，本文旨在探索一条以较低成本落实“单独同意”的可行路径。
笔者认为，非基于同意处理个人信息，“单独同意”可以被豁免。
1、“单独同意”落实成本高
《个保法》第14条规定：法律、行政法规规定处理个人信息应取得“单独同意”的从其规定。经梳理，《个保法》明确在以下五种场景处理个人信息，需取得“单独同意”，详见下表：
北京理工大学法学院教授、国家标准《个人信息安全规范》编制组组长洪延青老师在保护人脸信息 规范行业健康发展的有效司法路径一文中认为：“单独同意”，目的是为了保障个人对其人脸信息的处理享有知情权、决定权，确保个人有权限制或者拒绝他人对其人脸信息进行处理。充分知情、自愿、明确、单独构成了“单独同意”的四个要件。在法律规定需要征得个人同意方可处理个人信息的场景下，采集人脸信息必须符合“单独同意”的要求。比如，具有人脸识别功能的应用程序，应用商可在用户首次开启人脸识别功能时，通过弹窗、跳转专门页面等形式同步告知该功能的信息处理规则（以满足“充分知情”的要求）；该规则应仅包含对人脸识别功能及其信息处理规则的描述而不包括对其他不相关事项的描述（以满足“单独”的要求）；用户通过点击“同意”或“已知悉，并继续使用”等主动性动作清楚地表达自己的意愿（以满足“明确”的要求）；如果人脸信息并不属于该应用的必要个人信息，用户在阅读信息处理规则后，既可以选择开启该功能，也可以选择不开启该功能。如果选择不开启该功能，用户仍然可以通过其他替代性方式继续使用应用程序的其他功能（以满足“自愿”的要求）。具体界面如何制作，请见下图招商银行手机APP界面。
“单独同意”示例
若每次都需要像示例一样落实“单独同意”的要求，那么成本就非常高了。因此，厘清“单独同意”的适用范围就显得尤为重要。
2、“单独同意”的前提是需取得同意
《个保法》第13条第1款明确了处理个人信息的7项合法性基础，详见下表。同时本条第2款强调：依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意。
笔者认为，需要考虑取得“单独同意”的前提是基于取得个人同意处理个人信息。若基于②-⑦处理个人信息，则无需考虑是否需要取得“单独同意”。
上述结论似乎有悖于直觉，因为“单独同意”是特殊条款，而第13条是一般条款，为何会适用一般条款而不用特殊条款呢？
2.1、举反例
场景一：在电商购物时，商家把客户的姓名、地址、手机提供给快递公司。这属于“履行合同所必需”。但同时也属于“个人信息共享”，依照《个保法》第23条需取得“单独同意”。
场景二：某人在街头病危，路人直接用其指纹解锁手机，电话通知家属。这属于“紧急情况下为保护自然人的生命健康所必需”。但同时也属于“处理敏感个人信息”，根据《个保法》第29条需要取得“单独同意”。
场景三：公安机关为追捕犯罪嫌疑人，将其个人信息制作成通缉令在全网公开。这属于“履行法定义务所必需”。但同时也属于“公开个人信息”，依照《个保法》第25条需取得“单独同意”。
在类似的情形下，若还需要取得个人的“单独同意”，似乎就有些不现实了。
2.2、程啸老师观点
程啸老师所著新书《个人信息保护法理解与适用》对于“单独同意”的几种情形也有提及，观点摘录如下：
对于将个人信息提供给他人（P220）：无论个人信息处理者是基于个人同意还是依据法律、行政法规的规定而处理个人信息的，要将自己处理的个人信息提供给其他个人信息处理者，就必须告知个人并取得个人的“单独同意”，除非法律、行政法规规定不需取得个人同意，如存在《个人信息保护法》第13条第2项至第7项规定的情形。
对于公开个人信息（P237）：《个人信息保护法》第13 条第1款第2 项至第7 项以及第2款规定了无须取得个人同意就可以进行个人信息处理的情形。 公开个人信息属于个人信息处理行为的一类，故此，当然适用该条之规定。
对于处理敏感个人信息（P273）：处理敏感的个人信息应当取得个人的“单独同意”，当然是指那些基于个人同意处理敏感的个人信息的情形，至于依据法律、行政法规的规定无须个人同意即可处理个人信息的情形，则不适用。
2.3、龙卫球老师观点
龙卫球老师主编新书《个人信息保护法释义》（P120）：如果将信息公开的权限范围仅限于取得个人的“单独同意”，那么在一些较为特殊的情形下，如本条所规定的“维护公共安全目”，可能存在来不及取得个人同意，或是个人不同意公开的情形。衡量公共安全与个人信息两种利益，公共安全的利益顺位显然较个人信息的更为靠前。本条虽然删去“法律、行政法规没有规定的除外”，但是不代表本条采取限定为个人“单独同意”的封闭模式，而是直接转接本法第13条，以允许法律、行政法规进行例外规定的形式保持免责事由的开放性与灵活性。“单独同意”模式亦属于告知同意规则的一种，所以本条自然地用第13条第2款，无需再单独予以强调。
2.4、完美世界数据合规总监观点
完美世界集团数据合规与知识产权总监薛颖在“单独同意”—《个人信息保护法》之明星条款一文中同样认为：需要说明的是，以上五种情形下会触发需要获得“单独同意”之义务的，前提仍然应该是该种个人信息处理活动的合法性基础是“同意”，即只有基于“同意”处理个人信息的情况下才会需要适用“同意”的通用要件和“单独同意”的增强要件，除非法律另有规定。
综上，对于《个保法》第二章规定的四种需要取得“单独同意”的场景，在非基于同意处理个人信息时，可以豁免“单独同意”。接下来再单独讨论一下位于第三章的个人信息出境。
3、个人信息出境的单独讨论
部分学者及律师认为，个人信息出境其实不仅是个人信息保护的问题，同时也是网络安全的问题。比起单纯个人信息保护，从国家安全角度来说，对个人信息出境进行约束，也是有更加深层次意义的。因此，本法第13条并不能直接适用于个人信息出境场景。
但是我认为，《个保法》设专章对个人信息出境作出规范。在国家安全层面，网信部门主要借助《个保法》第38条对个人信息出境进行规制，只有在符合以下条件之一才能出境：（1）安全评估；（2）个人信息保护认证；（3）订立网信部门制定的标准合同；（4）其他。第39条要求取得“单独同意”，依然是为了保障个人信息权益。豁免了个人的“单独同意”，并不会减弱国家对相关个人信息出境的审查。
其实我几周前已经研究过这个问题（详见：《个保法》的“单独同意”可以被豁免吗）。文章发出后，安杰律师事务所的杨洪泉律师通过微信表示支持我的观点并耐心地予以指引。经同意后将聊天记录梳理如下：
第13条第2款应当优先适用。举例说明，如果为了履行合同而收集个人敏感信息，不需要同意（普通同意、单独同意、书面同意）。对于个人信息出境的场景，最典型的是国际快递业务，数据出境是为了履行合同必要，不需要同意。换个场景来看，某人在某中国医院昏迷生命垂危，无监护人，现在中国医生知道国外医院有新治疗方式，在未经病人同意的时候把个人医疗信息发给了境外医院咨询，问，中国医生违反《个保法》了吗？上述两种情形在《个保法》下都有合法依据的，根据《个保法》第13条第2款，其他几条合法依据是优先于同意这个合法基础而适用的。
尽管程啸老师的新书中未提及个人信息出境是否也可以适用第13条，但依照上一部分引用内容相似的逻辑，个人信息出境亦属于处理个人信息，在基于第13条第1款第2-7项的情形而个人信息出境时，不需要取得“单独同意”。
4、“单独同意”如何落实
终于把“单独同意”的适用场景缩限，接下来再简单谈谈如何落实“单独同意”要求。
4.1、摸排场景
第一步是摸排实际展业过程中可能涉及“个人信息共享”“公开个人信息”“处理个人敏感信息”“公共区域收集个人信息”“个人信息出境”的场景。
笔者理解，频率较高的几项依次是处理个人敏感信息、个人信息共享、个人信息出境。
4.2、厘清处理基础
其次，一定要梳理清楚，哪些是履行法定义务，哪些是履行合同所必需，哪些又是处理已公开信息等等。若确实具备其他合法性基础，就无需取得“单独同意”了。
比较可惜的是，目前较常用的其他两项合法基础如何适用仍待官方释义。首先，何为“履行法定义务所必需”之“法”尚不清晰。法律和行政法规肯定是“法”。但部门规章算吗，自律规范算吗？这个就不得而知了。其次，由于《个保法》删去了GDPR中“数据控制者或第三方为追求合法利益目的”的合法基础，这样意味着对“履行合同所必需”而言，必需是有利于个人信息权利人的利益。比如，要求客户提供个人信息以帮助个人信息处理者优化系统，则不可豁免同意。
4.3、适时放弃
最后，若确实没有其他合法基础只能取得“单独同意”时，就需要再权衡一下是否有必要开展本项业务。
因为如果既不是履行法定义务又不是履行合同所必需的话，那么可能就是非必需的个人信息处理行为了。将落实的成本与落实后可能获取的收益进行权衡，适时放弃一些不太可能取得用户“单独同意”或成本畸高的项目。
在与业务部门确有必要之后，再由业务部门提出需求方案，信息技术部门对相关APP页面进行改造，法律合规部门起草相应的单独告知书。
结语
巧合的是，在我撰写本篇文章时，汇业律师事务所的史宇航律师在公众号发文。文章观点与本文恰好完全相反。亦提供了一些比较有说服力的论证，比如：
对比《个人信息保护法（草案二次审议稿）》与《个人信息保护法》：
| 《个保法（二审稿）》 | 《个保法》 |
| 基于个人同意处理敏感个人信息的，个人信息处理者应当取得个人的单独同意。……（第30条） | 处理敏感个人信息应当取得个人的单独同意；……（第29条） |
在正式通过的《个人信息保护法》中专门删除了“基于个人同意处理敏感个人信息”作为获取单独同意的前提条件。
史宇航，公众号：送法上网非基于同意处理个人信息，“单独同意”能豁免吗？
对于这点，我认为可能的解释是，由于其他四种情形都没有加“基于个人同意”这一前提，但其实也是应有之义，也就没有必要再强调了。在正式稿中考虑到条文间的统一性，就对此处的“基于个人同意”予以删除。
随后，我就此问题再次请教了杨洪泉律师（非常感谢杨律师一直以来对我写作进行鼓励并在很多我困惑的问题上予以指导），他补充道：如果说个保法里的个人单独同意的相关条款要优先于第13条第2款而适用，那么实质是在说“个人同意”和“单独同意”在《个保法》里是并列关系，而不是包括关系。我认为这种说法并不成立。从《个保法》的上下文来看，“同意”和“单独同意”、“书面同意”的包含关系还是很明显的。《个保法》里有很多对于“同意”的普适性原则，很显然不但适用于“普通同意”、也适用“单独同意”。例如，《个保法》第14条规定：基于个人同意处理个人信息的，该同意，应当由个人在充分知情的前提下自愿、明确作出。法律、行政法规规定处理个人信息应当取得个人“单独同意”或者“书面同意”的，从其规定。个人信息的处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得个人同意。不能说该条中的“充分知情”、“自愿”、“明确”这些原则仅适用于“普通同意”而不适用于“单独同意”。也不能说，对于需要个人“单独同意”的场景，如果处理目的、处理方式和处理的个人信息种类发生变更，这时候仅需要重新获得个人的“普通同意”就可以，而不再需要“单独同意”。