用户知情同意

定义

用户知情同意指个人信息处理者在处理个人信息前，向作为个人信息主体的用户充分说明处理规则，并在此基础上取得其自愿、明确作出的同意表示。在法律文本中，它表现为一组相互衔接的规则：处理者承担告知义务，用户享有知情权，并据此行使是否同意以及撤回同意的决定权。^[3]

同意规则的实质内容是用户的自我决定。按照中华人民共和国个人信息保护法的规定，以个人同意为依据处理个人信息时，该同意须由个人在充分知情的前提下自愿、明确作出；法律、行政法规要求单独同意或者书面同意的，从其规定。^[1]

在域外语境中，欧盟《通用数据保护条例》(GDPR)将同意界定为数据主体以声明或明确肯定性动作作出的、表示同意处理与其相关个人数据的任何自由给出、具体、知情且不含歧义的意愿表示，并把它列为处理个人数据的合法性基础之一。^[4]

同一原则在医疗、科研等涉及人身的研究活动中长期存在，属于更广义的知情同意概念在个人信息处理场景中的延伸。本词条所述含义限于个人信息保护领域。^[1]

原理

该原则由告知与同意两条规则咬合而成。告知对应处理者的主动说明义务和用户的知情权，同意对应用户对个人信息处理的决定权；处理者先履行告知，用户才可能在了解处理目的、方式和范围的基础上作出有效同意，因此告知构成同意得以成立的前置条件。^[3]

告知的内容有法定最低清单。处理者应在处理行为开始前，以显著方式、清晰易懂的语言真实、准确、完整地告知处理者的名称或姓名与联系方式，处理目的、处理方式、处理的个人信息种类与保存期限，个人行使权利的方式和程序，以及法律、行政法规规定应当告知的其他事项；上述事项变更时，应就变更部分再行告知。^[1]

同意环节分若干强度层级。除一般同意外，处理敏感个人信息、向其他处理者提供或公开个人信息、向境外提供个人信息等情形须取得单独同意；处理不满 14 周岁未成年人个人信息，须取得其父母或其他监护人的同意，并制定专门的个人信息处理规则。^[2]

流程可概括为：处理者识别处理场景与信息类型，确定应采用的告知方式与同意强度，实施告知并留存同意证据，处理目的、方式或信息种类发生变化时重新告知并重新取得同意，用户撤回同意后停止处理或删除相应信息。^[5]

flowchart LR

A[识别处理场景与信息类型] --> B[确定告知方式与同意强度]

B --> C[显著方式告知处理规则]

C --> D{用户是否同意}

D -- 同意 --> E[处理个人信息并留存同意证据]

D -- 拒绝 --> F[不处理非必需信息]

E --> G{事项是否变更}

G -- 是 --> C

E --> H[用户可随时撤回同意]

H --> I[停止处理或删除]

发展历程

2012 年 12 月 28 日，第十一届全国人民代表大会常务委员会第三十次会议通过《关于加强网络信息保护的决定》，要求网络服务提供者等主体收集、使用公民个人电子信息时遵循合法、正当、必要原则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。^[6]

此后，《中华人民共和国民法典》将征得同意、公开处理规则、明示处理目的方式和范围确立为处理个人信息的条件；《中华人民共和国网络安全法》延续了明示并取得同意的要求。这些规定为后续专门立法积累了规范基础。^[7]

2021 年 8 月 20 日，第十三届全国人民代表大会常务委员会第三十次会议通过《中华人民共和国个人信息保护法》，该法自 2021 年 11 月 1 日起施行，共 8 章 74 条，构建起以告知与同意为核心的个人信息处理规则。^[2] 该法第 14 条规定同意的自愿、明确与充分知情要件，第 17 条规定告知事项清单，使该原则在条文层面体系化。^[1]

2023 年 5 月 23 日，国家市场监督管理总局、国家标准化管理委员会发布推荐性国家标准《信息安全技术 个人信息处理中告知和同意的实施指南》(GB/T 42574-2023)，于 2023 年 12 月 1 日实施，给出向个人告知处理规则、取得个人同意的实施方法和步骤。^[8]

2026 年 1 月，国家互联网信息办公室就《互联网应用程序个人信息收集使用规定(征求意见稿)》公开征求意见，要求应用程序首次启动时以弹窗等显著方式告知收集使用规则，并在用户充分知情的前提下取得明确表示；向第三方提供个人信息的，须取得单独同意。

应用

在移动互联网应用中，该原则主要通过隐私政策与授权弹窗落地。应用在首次启动时需向用户呈现个人信息收集使用规则，用户以勾选、点击等方式作出明确表示；对相机、麦克风、位置、通讯录等系统权限，由操作系统弹窗征得用户同意。

在向第三方提供信息、公开信息、跨境传输等环节，应用需采用单独同意的交互形式。国家标准将告知方式区分为一般告知、增强告知与即时提示，并要求单独同意以明示方式取得，默认勾选、推定或默示均不构成单独同意。^[9]

在行业场景中，该原则被细化为具体操作规范。例如车联网场景的告知与同意，国家标准附录对车内场景作了资料性规定，其适用范围主要覆盖驾驶辅助系统。^[10]

对企业而言，告知与同意既是个人信息合规的起点，也是监管检查、民事诉讼与合规审计中反复核查的环节，通常需保留同意记录、维护处理规则版本并建立撤回渠道。^[7]

局限

告知在实践中容易形式化。隐私政策篇幅冗长、条款专业，用户往往缺乏时间与专业知识逐条阅读；而法律对告知提出显著、清晰易懂的要求后，处理者倾向于以更长的文本应对，反而加剧信息过载。有研究指出，在单一交互界面内对复杂风险作充分告知，本身存在难以克服的困难。^[11]

同意的质量同样受限。当服务以勾选隐私协议取得一揽子授权、用户面临不同意即无法使用的处境时，同意的自愿性难以保证，这也是立法专门设置单独同意、禁止以拒绝同意为由拒绝提供必需服务等规则的原因之一。^[5]

域外规则亦从侧面印证这一难题。欧盟规则强调同意须自由作出，并明确在评估自愿性时应充分考虑服务提供是否以同意非必要的数据处理为条件；数据主体与处理者之间存在明显不对等时，自由性常受质疑。

此外，同意并非个人信息处理的唯一合法性基础。为订立或履行合同所必需、履行法定职责或法定义务所必需等情形，可依法无需取得同意而处理个人信息，此时该原则的适用范围相应收窄。^[1]

参见

• 中华人民共和国个人信息保护法 —— 确立告知与同意规则及其例外情形的专门法律。

• 个人信息 —— 该原则所指向的处理对象。

• 隐私政策 —— 处理者履行告知义务的主要载体。

• 敏感个人信息 —— 须取得单独同意方可处理的信息类别。

• 通用数据保护条例 —— 欧盟确立同意要件的数据保护法规。

• 知情权 —— 与告知义务相对应的用户权利。