2023年5月23日，国家标准化管理委员会和国家市场监督管理总局联合发布了《信息安全技术个人信息处理中告知和同意的实施指南》（以下简称“《实施指南》”）。系列解读文章第一期已对告知同意的适用情形进行解读，本文将从告知行为的基本原则出发，具体介绍告知的实施方式与告知流程。
一、告知的基本原则
《实施指南》在规定告知的方式和流程前，首先明确了告知的基本原则，包括公开透明、有效传达、适时充分、真实明确和清晰易懂。基本原则是处理者开展告知同意的基准性要求，也是在确定告知内容、方式、流程等事项时，需遵循的宗旨。例如，处理者在公布处理个人信息的种类、目的、方式、安全措施等处理规则时，不应该采取故意遮挡、隐藏等方式诱导个人略过告知内容。再如告知文本应当显眼易找，而非置于角落或需要多重操作等。处理者应当将其放置于个人信息主体能够清楚看到的位置，方便相关主体快速了解。除此之外告知文本还应当符合个人的语言习惯，使用通用且无歧义的语言、数字、图示等。
二、告知的方式有哪些？
在“浙江法院个人信息保护典型案例”中，一款音乐视频教学类App存在未显示隐私政策条款，未通过弹窗等明显方式提示用户阅读隐私政策，以及在申请打开可收集用户行踪轨迹等个人敏感信息时，未同步告知用户其目的、方式和范围，违反了《App违法违规收集使用个人信息行为认定方法》、《信息安全技术个人信息安全规范》（GB/T 35273-2017）等法律，被要求进行全面整改，立即删除违法违规收集、储存的全部用户个人信息，在法治日报及该App首页向社会公众做公开赔礼道歉等惩罚措施。
在案例中，App存在未通过明显的方式告知等违法行为，导致个人信息主体未有效了解自己的信息处理内容，因此个人信息处理者在将告知内容传达给相关主体时，应当采取合适的告知方式，在避免过高成本的同时，将应当告知的内容完整的告知个人。
在《实施指南》中，将告知方式分为了一般告知、增强告知和即时提示，处理者实施告知行为时，需结合产品或服务的业务功能特点，选择适当的告知方式或多种告知方式的组合。具体如下图所示。
| 告知方式 | 适用场景 | 具体形式 |
| 一般告知 | 主要用于个人信息处理者在处理个人信息前，向个人全面阐述个人信息处理的规则。 | 1. 通常采用制定、展示 个人信息保护政策 （或称为“隐私协议”、“隐私政策”、“隐私权政策”等）的形式进行告知。 2. 将个人信息保护政策的完整内容置于产品或服务的基本业务功能开启时与告知相关的交互式界面中，通过 弹窗提示、提醒勾选、突出链接等 明显方式，提示个人阅读个人信息保护政策。 3. 无法实现交互式界面展示个人信息保护政策的，需考虑其他方式，例如 发送通知、邮件（或信件）、提供文档（包括电子版或纸质版）、张贴告示、播放音视频等 ，向个人主动提供或展示。 4. 当向个人逐一告知的成本过高或者有显著困难时，可通过 公告的形式 发布个人信息保护政策。 |
| 增强告知 | 适用于帮助个人理解个人信息处理规则中的关键内容或与特定业务功能处理目的相关的个人信息处理规则。 | 1. 通常采用个人 不可绕过的方式（如设置专门界面或单独步骤） 向个人告知相关信息，以协助个人作出是否同意的决定。 2. 增强告知要比一般告知更加明显，例如，一般告知采用要求个人勾选、点击等方式以达到提醒的目的，而增强告知则采用 弹窗等 方式向个人 直接展示或送达关键内容 。 3. 涉及发生停止运营某类业务功能，停止运营产品或服务、涉及合并、分立、解散、被宣告破产等特殊情形，可 通过邮件、短信、站内信等 告知方式。 4. 涉及可能对个人权益产生重大影响的个人信息处理活动时，可选择 电话、语音提示等 方式。 |
| 即时提示 | 用于进一步强化个人对收集个人信息目的的理解、方便个人获取有价值的信息，以辅助个人对个人信息处理规则的理解。 | 即时提示的告知方式宜结合产品或服务特点灵活选择，如选择使用 弹窗、浮窗或浮层、文字说明、状态栏提示、提示条或提示框、提示音、短消息等 方式。可对不同方式进行对比，尽可能选取对个人打扰最少的方式。 |
三、如何实施告知？
在了解告知的基本原则和方式后，具体如何实施告知，还需要个人信息处理者制定具体的步骤、考虑各方面进行操作。《实施指南》中规定了详细的内容，处理者可选择适当的告知界面或渠道、清晰易懂的告知内容展示方式、合理的告知时机和频率，以具体实施告知。
对于告知的界面或渠道，个人信息处理者应当以便于个人立即阅读、获取的方式，设计适当的告知界面或渠道，并根据载体、环境等的不同进行调整，优化告知界面或渠道的形式。比如在个人可操作的计算机、智能终端（包括固定终端、移动终端等）等屏幕展示告知界面时，可采取弹出可关闭（或点击按钮、滑动后可跳过）的单独窗口、设置经多次点击、下拉菜单访问的交互式界面等方式。
对于告知内容的展示，应当以个人视角的用户体验和权益保障为出发点，以清晰易懂、内容简洁、主次分明为目标设计展示方案。比如通过交互式界面展示告知内容的，可采用多层次的告知方式，直接展示核心告知内容、提示关键内容、提供完整告知内容的链接等方式。可在个人注册界面、登录界面、App 启动页、首页等显著位置通过交互式界面展示个人信息保护政策核心内容，并提供完整的个人信息保护政策链接，相关内容位于界面中央等显著位置。
对于告知时机和告知频率，个人信息处理者应当选取适当的时机和频率，既需要避免告知的频率过低，导致告知的内容无法有效传达，又需要避免告知的频率过高对个人造成不必要的打扰。通常首次告知采用的是一般告知的方式，同步告知、再次告知采用增强告知或即时提示的机制，个人信息处理者选择的告知时机和频率还需平衡告知的充分性和用户体验。
除此之外，《实践指南》在附录中针对基本业务功能、扩展业务功能、第三方SDK嵌入、不满14周岁未成年人个人信息等13个特殊的场景给出了具体的告知建议，以方便处理者在具体场景中对告知同意的操作。以第三方SDK嵌入为例，SDK 提供者与 App 运营者之间的合作模式决定了 App 就 SDK 处理个人信息进行告知和同意的实施方式。当 SDK 提供者与 App 运营者之间为受托和委托关系时，根据 App 运营者的要求处理个人信息，SDK提供者需至少向 App 运营者披露 SDK 的个人信息处理规则，由App 运营者向使用 App 的用户告知 SDK 的个人信息处理规则并取得用户同意后，SDK 才可处理个人信息；当 SDK 作为单独的个人信息处理者时，SDK 提供者需向 App 运营者、使用 App 的用户披露 SDK 的个人信息处理规则。在用户使用 SDK 相关的业务功能时，在 App 的界面中或从 App 跳转至相关的业务功能界面中，可以 SDK 提供者的名义向使用 App 的用户进行相关的告知并取得其同意。这种情况具体可参考在网上购物 App 的支付环节，使用 App 的用户点击或选中支付 SDK 的图标后，App 会跳转/展示支付功能的交互式界面，支付 SDK 在该界面上独立向用户告知支付服务的个人信息处理规则并取得用户同意（此前已经取得同意的除外）后，才可为用户提供支付服务。
四、告知中的例外情形
在告知前，需要注意告知的例外情形，若不符合法定不告知的情况，则应按《实施指南》的告知方式、步骤进行告知。《个保法》第十七条规定，个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知下列事项：
（一）个人信息处理者的名称或者姓名和联系方式；
（二）个人信息的处理目的、处理方式，处理的个人信息种类、保存期限；
（三）个人行使本法规定权利的方式和程序；
（四）法律、行政法规规定应当告知的其他事项。
前款规定事项发生变更的，应当将变更部分告知个人。
第十八条规定了例外情形，个人信息处理者处理个人信息，有法律、行政法规规定应当保密或者不需要告知的情形的，可以不向个人告知前条第一款规定的事项。紧急情况下为保护自然人的生命健康和财产安全无法及时向个人告知的，个人信息处理者应当在紧急情况消除后及时告知。
第三十五条，国家机关为履行法定职责处理个人信息，应当依照本法规定履行告知义务；有本法第十八条第一款规定的情形，或者告知将妨碍国家机关履行法定职责的除外。
在处理个人信息时，处理者需要告知个人有关自己的信息，但在特殊情形下不需要告知，这种特殊情况包括但不限于以下：
1.个人信息处理者的合法权利（商业秘密或知识产权）优于个人信息主体的知情权（由个人信息处理者提供证明）。
2.为保障刑事侦查活动顺利进行，可以在先行冻结执行期间正当限制个人信息主体的知情权。
3.告知相关信息会妨碍国家机关履行法定职责的，国家机关可选择不予告知。例如税务机关检查纳税人的账簿、记账凭证、报表和有关资料，检查扣缴义务人代扣代缴、代收代缴税款账簿、记账凭证和有关资料时，若提前告知，个人可能转移、篡改、销毁有关资料，严重妨碍税务机关履行税收征收管理的法定职责。
4.信息提供者向征信机构提供依照法律、行政法规规定的公开不良信息，无须告知信息主体。
5.其他法律、行政法规规定应当保密或者不需要告知。