告知同意规则作为个人信息处理中最基本的法律规则，是指任何组织或个人在处理个人信息时，均应向其个人信息被处理的个人告知相应的事项，并在取得该个人（或者其监护人）的同意后，方可从事相应的个人信息处理活动。我国《个人信息保护法》对该规则作出了详细规定。但是，理论界对于告知同意规则中个人同意的性质、《个人信息保护法》新增的“单独同意”应如何理解与适用等问题存在不同认识。对此，清华大学法学院程啸教授在《论个人信息处理中的个人同意》一文中，对个人信息处理中个人同意的相关重要问题进行了研究，辨析了个人信息处理活动中个人同意的性质，明晰了同意的有效要件，并对同意能力与民事行为能力进行了区分，还分析了明确同意与单独同意以及书面同意之间的关系。
一、个人同意的性质
（一）性质之争
我国理论界对于个人信息处理中个人同意的性质，主要存在两种不同观点。
第一种观点为双重属性说。其认为个人同意具有双重属性，同意既是侵权法上的违法阻却事由，又是法律行为。从消极防御的角度看，同意就是违法阻却事由；从积极利用的层面看，同意就是个人在授权他人商业化利用其个人信息的许可。
第二种观点是单一属性说。其又可分为权益处分说和意思表示说。前者认为“同意”是一种对于个人信息权益的处分，这种处分只能被视为个人信息主体为了获得相应商品或服务而必须作出的权利处分。后者则认为“同意”是自然人作出的意思表示，可以适用《民法典》总则编关于意思表示的规定。
（二）积极与消极层面上的性质界定
对于个人信息处理中的个人同意，宜认定其不具有双重属性，也并非意思表示以及人格权要素商业化利用中权利人的许可或权益处分行为。从其性质来看，在消极的层面上，个人同意属于违法阻却事由即免责事由；在积极的层面上，是个人信息处理活动的合法根据或正当理由之一。论证如下：
第一，个人在个人信息处理中所作出的同意是个人信息处理活动的合法根据，并非个人旨在发生民事法律效果的内心意思的外在表示，不是意思表示。因而个人信息处理中的个人同意并不涉及民事法律行为，而属于“法律行为”或者“法律上的行为”。
第二，民法中关于意思表示的法律规则不能适用于个人信息处理活动中。一方面，个人同意所要求的同意能力不同于民事行为能力。我国《个人信息保护法》规定年满十四周岁的民事主体具有同意能力，与现行法关于民事行为能力的规定并不同。之所以就个人信息处理中个人同意的年龄作出不同于民事行为能力的规定，原因有二：其一，个人信息处理活动不是一种交易行为，而是事实行为，不能将适用于交易行为的民事行为能力套用在其上。其二，个人信息处理中的个人同意的有效性还受到个人信息保护法中其他规定的制约。另一方面，在基于个人同意的个人信息处理活动中，个人有权随时撤回同意，且个人同意的撤回不具有溯及力。这表明民法上意思表示的撤回、撤销以及撤销权除斥期间的规定都不能适用于个人信息处理中的个人同意。
第三，个人同意并非个人将自己的个人信息许可他人使用的意思表示。一方面，一个个自然人的个人信息本身无法进行商业化的许可利用。不仅除姓名、肖像之外的个人信息在性质上无法被许可使用，而且承认个人信息的许可使用也会直接导致个人与个人信息处理者之间形成许可合同法律关系，而这与个人信息处理的实际情况并不相符。另一方面，我国《民法典》人格权编也明确区分人格权主体的“同意”和“许可”他人使用。
（三）免责事由
对于个人同意性质的正确界定应当从消极和积极层面来理解。在消极的层面上，个人同意属于违法阻却事由即免责事由，而在积极的层面上，个人同意是个人信息处理活动的合法根据或正当理由之一。自然人针对个人信息享有受法律保护的权益，处理者对个人信息的任何处理行为客观上构成对个人信息权益空间的侵入和干扰。而当自然人同意时，处理者的处理行为就具有了合法根据，不构成对个人信息权益的侵害行为。此外，法律、行政法规的规定也可以构成此种客观上侵害行为的正当性来源。
事实上，个人信息处理中的个人同意与诊疗活动中患者（或其近亲属）的同意以及受试者或者受试者的监护人的同意，都必须遵循告知同意规则，同意的性质也相同。由于个人信息权益的效力位阶低于生命权、身体权和健康权，因而《个人信息保护法》同时以保护个人信息权益和促进个人信息合理利用为立法目的，并规定了除取得个人同意外其他许多个人信息处理的合法事由。
二、个人同意的有效要件
我国《民法典》《网络安全法》等法律没有对同意的有效要件作出规定。《个人信息保护法》第14条第1款第1句对同意的有效要件作出规定：“处理个人信息的同意，应当由个人在充分知情的前提下自愿、明确作出。”具体而言，个人信息处理中个人同意的有效要件包括以下几项。
（一）同意能力
在个人信息处理中，只有当作出同意的自然人具有同意能力时，所作出的同意方属有效。根据我国法律规定，年满十四周岁的人具有同意能力。针对年满十四周岁，但不能辨认或不能完全辨认自己行为的人，其在个人信息处理中是否具有同意能力，需要根据具体情形加以判断。
（二）同意系个人在充分知情的前提下作出
个人信息处理者为处理个人信息而取得个人同意之前，应当履行告知义务，为个人提供相应的知识。根据透明原则，处理个人信息时应当采取公开、透明的方式，公开个人信息处理的规则，向信息主体明示个人信息处理的目的、处理的方式和处理的范围。这一规则在我国和国外立法中都有体现。
（三）同意是自愿且明确的
一方面，网络信息科技使得处理者与个人之间存在不对等关系，为了避免个人作出同意时受到强迫或陷入其他丧失选择自由的状态，我国规定同意必须是自愿的，个人信息处理者通过欺诈、胁迫或者误导等方式取得的个人的同意无效；另一方面，同意必须是明确的，也即个人需以清晰、明白而非含糊的、模棱两可的方式表示同意。至于形式则无关紧要。
三、个人同意的方式与类型
对于个人同意的方式，《个人信息保护法》明确规定，个人信息处理中的同意必须是明示的，而不能是默示、预选方框或者不作为的。所谓明示的同意，是指个人通过言语、文字等积极的行为即作为来作出对处理者实施的个人信息处理行为的同意。由于个人信息处理者负有举证证明取得个人同意的义务，因此对处理者而言更宜采取纸质或者电子方式。
个人同意的类型有以下三类：
第一，明确同意。从法律文本来看，“明确”仅是对个人信息处理中个人同意的一般性要求，因而明确同意并不是一种同意的类型。
第二，单独同意。根据《个人信息保护法》的规定，除了要求同意必须在个人充分知情的前提下自愿、明确地作出，法律、行政法规还可以提出特别的要求即单独同意或书面同意。我国《个人信息保护法》规定了五类会对个人权益产生较为重大影响而需要取得单独同意的个人信息处理活动。在这五种情况下，个人信息处理者在取得个人同意的时候，既不能将需要取得同意的个人信息处理活动的内容与其他信息混在一起，也不能将处理目的、处理方式和个人信息种类等不同的个人信息处理活动混在一起而概括取得个人的同意。处理者必须就法律所规定的特定类型的个人信息处理活动专门取得个人的同意。
第三，书面同意。在个人信息处理中，书面同意使得处理者负有举证证明存在该书面同意的义务。如果处理者不能证明取得了个人的书面同意，即便可以证明取得了同意，该处理活动也是非法的、无效的。我国《个人信息保护法》并没有要求同意必须是书面形式，但法律、行政法规要求采取书面形式的，从其规定。
四、结论
在法律、行政法规未作特别规定时，处理个人信息应当取得个人同意，否则即属违法。对于个人同意，应认定其既不是作为法律行为核心要素的意思表示，也不属于人格权商业化利用中权利人的许可。意思表示的瑕疵及撤销、撤回的规则也不能当然适用于个人信息处理中的个人同意。从个人同意的性质来看，在消极的层面上，其属于违法阻却事由即免责事由，而在积极的层面上，则是个人信息处理的合法根据或正当理由之一。个人同意的生效须具备同意能力、充分知情、真实自愿及明确具体等要件。我国个人信息保护法中规定的明确同意、单独同意与书面同意这三者间既有联系又有区别。
|
