个人信息保护中的知情同意规则

1. 基本概念与法律定位
   个人信息保护中的知情同意规则，是指信息处理者在处理自然人个人信息前，必须向该个人明确告知处理目的、方式、种类、保存期限等关键信息，并取得其自主、明确同意的法律要求。该规则是《民法典》第1035条规定的个人信息处理核心原则之一，旨在保障个人对其信息的自决权，是平衡个人信息权益与信息利用价值的基础性制度。

2. “知情”要素的详细要求
   “知情”是同意有效的前提，要求告知必须满足以下条件：

   • 及时性：在信息处理开始前或至少在处理时进行告知。
   • 明确性：告知内容应清晰、易懂，避免使用模糊或专业术语。
   • 具体性：需明确告知处理目的（如营销、用户画像）、处理方式（如自动化决策）、个人信息种类（如身份信息、行踪轨迹）、保存期限、以及个人行使权利（如查询、删除）的方式等。
   • 可访问性：告知形式（如隐私政策文本）应便于个人查阅和保存。

3. “同意”要素的有效要件
   有效的同意必须同时符合：

   • 自主作出：个人在完全理解告知内容的基础上，未受欺诈、胁迫或重大误解影响。
   • 明确作出：通常要求通过主动勾选、点击同意等肯定性动作作出，默示或不作为一般不构成同意。
   • 具体作出：同意应针对具体的处理目的和场景，笼统的“一揽子同意”可能无效。
   • 可撤回性：个人有权随时撤回同意，且撤回应如同意一样简便，撤回不影响撤回前已进行的合法处理的效力。

4. 适用例外情形（无需取得同意）
   根据《民法典》第1036条，在以下情形处理个人信息可不经同意：

   • 为订立或履行个人作为一方当事人的合同所必需。
   • 为履行法定职责或法定义务所必需（如行政机关依法调查）。
   • 为应对突发公共卫生事件或紧急情况下保护生命健康所必需。
   • 为公共利益实施新闻报道、舆论监督等，在合理范围内处理。
   • 处理个人自行公开或其他已合法公开的信息（但个人明确拒绝或侵害其重大利益的除外）。
   • 法律、行政法规规定的其他情形。

5. 违反规则的法律后果
   信息处理者违反知情同意规则可能承担：

   • 民事责任：被侵权人可依据《民法典》第1038条、第1165条等，要求停止侵害、删除信息、赔偿损失（包括精神损害赔偿）。处理者需证明自己无过错，否则推定有过错。
   • 行政责任：根据《个人信息保护法》等法规，可能面临责令改正、警告、没收违法所得、罚款（情节严重时可处五千万元以下或上年度营业额5%以下罚款），乃至责令暂停业务、吊销许可等处罚。
   • 刑事责任：若构成侵犯公民个人信息罪等，将依法追究刑事责任。

6. 与其他规则的协同适用
   知情同意规则需结合以下规则整体适用：

   • 最小必要原则：即使取得同意，处理范围也限于实现处理目的的最小范围。
   • 单独同意规则：处理敏感个人信息、向他人提供个人信息、公开个人信息、跨境提供个人信息等特定场景，需取得“单独同意”。
   • 未成年人保护：处理不满十四周岁未成年人个人信息，应取得其父母或其他监护人的同意。