深度解读“告知-同意”新国标，你的APP合规了吗？

2023年5月23日国家市场监督管理总局、国家标准化管理委员会正式发布了GB/T 42574-2023《信息安全技术个人信息处理中告知和同意的实施指南》（2023年12月1日实施，以下简称《实施指南》）。随着《个人信息保护法》的出台、监管的加强，大大小小的公司基于“告知-同意”规则不断修订完善隐私政策。但在具体场景中，由于对法律规则有着不同理解等原因，依然存在告知不明确、同意趋于形式等问题。在2022年11月3日国家网信办通报查处的135款侵犯个人信息App中，多款产品存在无隐私政策、未告知相关个人信息处理规则、未单独同意向第三方共享精确位置信息等问题。在国家不断加大执法力度，着力维护公民个人信息权益的背景下，企业完善落实“告知-同意”规则迫在眉睫，而《实施指南》在发布与正式实施之间所预留的6个月过渡期将成为企业落实《实施指南》的关键时间。
一 、《实施指南》基本概述
（一）《实施指南》的制定背景和目的
2019年4月，全国信息安全标准化技术委员会大数据安全标准特别工作组第一次会议在宁波召开，在云计算及大数据特别工作组讨论会议上，工作组同意了《个人信息告知同意指南》编制申请。
依据编制说明，《实施指南》的编制旨在于通过借鉴国外立法和标准的研究，结合国内应用实践和标准编制组的科研成果，提出与国际标准接轨、适合我国国情，并具有一定创新性的标准，为组织、监管部门、第三方测评机构等开展评估工作提供的指导和依据。
《实施指南》作为推荐性国家标准，虽非强制执行标准，但其出台有助于进一步细化《个人信息保护法》的相关规定，为企业构建合规的“告知-同意”体系提供指引，进一步规范网络运营者的个人信息处理行为，保障个人信息权益，助力数字经济的健康发展。
（二）《实施指南》的适用范围和对象
《实施指南》规定了个人信息处理者处理个人信息时，向个人告知处理规则、取得个人同意的实施方法和步骤。
《实施指南》适用于个人信息处理者在开展个人信息处理活动时保障个人权益，也可为监管、检查、评估等活动提供参考。
（三）《实施指南》的基本框架
《实施指南》主要包括正文部分的9个章节和附录部分。《实施指南》正文部分重点区分了告知和同意两个概念，并且就告知和同意的适用情形、主要方式等内容分别进行详细阐释，附录部分主要就互联网金融、快递物流等13个具体场景中涉及的“告知-同意”规则提出相关建议。《实施指南》的主要框架如下图：

二 、《实施指南》的要点解读
（一）告知和同意的法律基础
“告知-同意”是法律确立的个人信息保护的核心规则。《个人信息保护法》颁布前，我国法律已经就“告知-同意”规则作出规定。《全国人民代表大会常务委员会关于加强网络信息保护的决定》第二条规定：“网络服务提供者和其他企业事业单位在业务活动中收集、使用公民个人电子信息，应当遵循合法、正当、必要的原则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。”《网络安全法》第四十一条第一款规定：“网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。”《民法典》第一千零三十五条将征得“自然人或者其监护人同意”作为处理个人信息的首要条件，第一千零三十五条第一款规定：“处理个人信息的，应当遵循合法、正当、必要原则，不得过度处理，并符合下列条件：（一）征得该自然人或者其监护人同意，但是法律、行政法规另有规定的除外；（二）公开处理信息的规则；（三）明示处理信息的目的、方式和范围；（四）不违反法律、行政法规的规定和双方的约定。”
“告知-同意”规则在《个人信息保护法》中属于处理个人信息的基本规则。《个人信息保护法》第十三条明确规定了取得用户同意是处理个人信息的合法性基础之一：“符合下列情形之一的，个人信息处理者方可处理个人信息：（一）取得个人的同意；……依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意。”第十七条规定：“个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知下列事项：……”
（二）告知和同意的基本原则
《个人信息保护法》明确规定处理个人信息应当遵循合法、正当、必要、诚信、公开、透明等原则，《实施指南》在此基础上进一步提出告知和同意的基本原则。

“告知-同意”规则的核心就是要保护个人信息自决权，《实施指南》所提出了基本原则，旨在于切实保障用户的知情权，避免“告知-同意”规则流于形式，让个人在充分知情、自愿、明确的条件下作出同意，使个人信息权益得到充分保障。
（三）告知和同意的适用情形
《实施指南》在《个人信息保护法》的基础上进一步细化了告知和同意的适用情形，具体到实际处理场景，如《实施指南》举例说明提供、公开个人信息的情形包括但不限于向其他个人信息处理者提供个人信息；向境外提供个人信息；在一定范围内或向不特定范围公开个人信息；因合并、分立、解散、被宣告破产等原因转移个人信息。同时，《实施指南》也区分了告知和同意的适用情形，在部分场景虽无需取得用户同意但也需要告知个人。具体如下：


（四）告知的场景与方式
《个人信息保护法》第十七条规定，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知法条规定的事项。《实施指南》第8.1条进一步明确实践场景中告知的具体方式，提出了一般告知、增强告知、即时提示三种告知方式，并就三种不同的告知方式的适用场景和具体形式进行说明，见下表：

（五）同意的条件与方式
1、明示同意与推定同意
个人信息处理者取得同意时，原则上需使用明示同意的方式。《个人信息保护法》第十四条规定，基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。但是由于因客观条件限制、个人自身习惯、保护各方合法利益等原因，个人无法通过明示同意的方式表示同意，在一些特殊情况下可以推定出个人表示同意。
值得注意的是，推定同意不同于《个人信息保护法》第十三条第一款第（二）至（七）项所规定的不需取得个人同意的情形，而是属于第（一）项取得同意情形的特别规定。推定同意的适用应当严格限制，否则极易产生滥用的情形。
《实施指南》明确了推定同意的适用条件，只有同时满足时方能适用，且条件不具备时需要向个人告知撤回的方式或者重新取得个人的明示同意，适用条件如下：（1）取得明示同意存在显著困难；（2）经个人信息保护影响评估确认个人信息的处理不会对个人权益造成不利影响。（3）基于第8章，采取了适当的方式向个人告知个人信息处理规则。（4）被推定为个人同意的情形不影响个人行使撤回同意的权利。此外，《实施指南》还在附录N中列举了推定同意的情形。
2、单独同意
《实施指南》第9.3.1条明确单独同意作为“增强”同意的一种方式，在第9.2条的基础上实施。因此，对于无需取得同意的个人信息处理活动，也无需取得单独同意。如果认为个人信息处理活动涉及第6.2条所列出的情形即免于取得同意的情形，经个人信息保护负责人审核批准后也就不再需要取得单独同意。
《实施指南》针对《个人信息保护法》中规定的应当取得单独同意的5种情形提出了具体的实施要点。同时，《实施指南》明确除特定的个人信息处理情形，可能给个人权益带来重大影响的个人信息处理活动也可能需要取得单独同意，而“单独同意”清单需要不断更新。《实施指南》意在采用实质标准，将是否给个人权益带来重大影响纳入是否应当取得单独同意的判断标准，以避免遗漏因列举而无法穷尽的情形。

3、书面同意
《实施指南》梳理了现行法律法规以及其他规范性文件中需要取得个人书面同意的情形，同时建议个人信息处理者需要建立需执行书面同意的清单，并且不断更新清单内容。书面同意的情形并不限于法律法规的所明确规定的情形，个人信息处理者认为有必要以书面形式取得个人同意的，也应当采用书面形式取得个人同意。
书面同意，“书面”一词的认定不宜过于狭窄。《民法典》第四百六十九条规定：“书面形式是合同书、信件、电报、电传、传真等可以有形地表现所载内容的形式。以电子数据交换、电子邮件等方式能够有形地表现所载内容，并可以随时调取查用的数据电文，视为书面形式。”《实施指南》明确书面同意要求个人信息处理者需以纸质或数字电文等有形表现所载内容，并由个人通过主动签名、签章等形式取得个人同意，而采取个人点击确认、点击同意、上传提交、登录使用或配合拍照等方式取得个人的同意不视为书面同意。
4、撤回同意
《个人信息保护法》第十五条规定：“基于个人同意处理个人信息的，个人有权撤回其同意。个人信息处理者应当提供便捷的撤回同意的方式。个人撤回同意，不影响撤回前基于个人同意已进行的个人信息处理活动的效力。”
《实施指南》就《个人信息保护法》所规定的“应当提供便捷的撤回同意的方式”进行细化，宜采取与取得同意过程类似的方法设置撤回同意的机制。同时，个人信息处理者有必要告知个人撤回同意的具体场景和操作方法，对于可能对个人权益造成重大影响的撤回同意，要以特别的方式予以强调。对于撤回同意的，需要设计对应的删除或匿名化机制，且不得以频繁打扰等方式反复提醒个人再次同意。《实施指南》对撤回机制的便捷性和覆盖面的强调，旨在于避免用户撤回同意的权利被实质性剥夺。
（六）强化用户体验
《实施指南》注重用户体验，致力于维护用户权益。隐私政策通常存在冗长、晦涩难懂等问题，使大多数用户难以理解、容易误读、甚至放弃阅读隐私政策，这导致用户的知情权得不到充分保障。《实施指南》在多处建议个人信息处理者尽量采用清晰、简洁、显著等方式告知和取得用户同意，并且强调告知和取得同意的合理频率与时机。例如，在告知方面，个人信息处理者需以便于个人立即阅读、获取的方式，设计适当的告知界面或渠道(8.3.2)；告知内容的展示需以个人视角的用户体验和权益保障为出发点，以清晰易懂、内容简洁、主次分明为目标设计展示方案(8.3.3)；个人信息处理者选择的告知时机和频率需平衡告知的充分性和用户体验(8.3.4)。而在同意方面，在页面篇幅允许的情况下，个人信息处理者宜在展示告知内容的同一页面征求个人同意；在使用个人信息保护政策等一般告知的方式展示全部个人信息处理规则时，可通过弹窗提示、独立段落等显著方式向个人说明(9.2)。

三 、《实施指南》与《个人信息保护法》的衔接
《实施指南》基本衔接《个人信息保护法》的有关规定，并进一步通过列举等方式，细化法条规定的情形，提出具体的实施要点。具体条文对应见下表：

四 、结语
“告知-同意”规则对保障个人信息权益极为重要，《实施指南》细化了《个人信息保护法》的规定，为在具体场景中落实“告知-同意”规则提供了参考。然而，互联网技术日新月异，数字经济蓬勃发展，《实施指南》并未穷尽所有运用场景，许多条文如何落地尚需实践，企业和相关政府部门需要在具体场景中不断探索，让“告知-同意”规则在保障个人信息权益和充分利用个人信息上发挥真正的作用。
感谢大成成都实习生贾雨婧为本文做出的贡献