「用户协议我都同意过了，怎么还说我不合规？」——不少平台栽就栽在把概括同意当成万能钥匙。个人信息保护法里有五处场景被明文点名必须取得单独同意：向其他处理者提供信息、公开信息、公共场所安装图像采集和身份识别设备、处理敏感个人信息、向境外提供信息。所谓个人信息单独同意，就是在这五处场景里，不能搭车、不能打包、不能默认勾选，必须让用户就这一件事专门表一次态。本文以第二十九条、第二十三条为锚，把五处场景逐个讲透，告诉你什么才算合格的单独同意，不同意时合法的路怎么走。
先看这三个要点
- 五处场景法定点名：向他人提供、公开、公共场所识别设备、敏感个人信息、向境外提供——这五处法律直接写了「单独同意」，缺一不可。
- 单独就是单独：单独同意要单独页面或单独动作专门作出，混在长协议里一揽子勾选、默认打勾、拆成小字条款，都不合格。
- 不同意 ≠ 不能服务：用户对单独事项拒绝或撤回，处理者不得以此为理由拒绝提供产品或服务（该处理确属服务所必需的除外）。
一、条文原文
- 《中华人民共和国个人信息保护法》第二十九条
- 处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。
- 《中华人民共和国个人信息保护法》第二十三条
- 个人信息处理者向其他个人信息处理者提供其处理的个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。接收方应当在上述处理目的、处理方式和个人信息的种类等范围内处理个人信息。接收方变更原先的处理目的、处理方式的，应当依照本法规定重新取得个人同意。
二、五处法定场景对照
| 场景要件 | 条文依据 | 实务典型 | 合格的单独动作 |
|---|---|---|---|
| 处理敏感个人信息 | 第二十九条 | 刷脸、行踪定位、病历、征信查询 | 弹窗就「采集人脸用于核身」单独确认 |
| 向其他处理者提供 | 第二十三条 | 平台把订单信息共享给合作物流、风控机构 | 告知接收方名称与用途后单独勾选 |
| 公开个人信息 | 第二十五条 | 把用户案例、获奖名单公示上网 | 就「公开」本身单独确认，不等于当初收集时的同意 |
| 公共场所图像采集 | 第二十六条 | 商场摄像头识别人流、闸机人脸核验 | 显著标识＋单独同意（用于公共安全目的之外的） |
| 向境外提供 | 第三十九条 | 跨境订单、海外服务器存储 | 就出境事项单独同意并告知境外接收方 |
三、什么才算合格的单独同意
对照第十四条，同意要在充分知情的前提下自愿、明确作出，单独同意在此基础上再加一道门槛——针对性和动作性。实务里被认定不合格的常见形态有三种：
- 打包捆绑：把敏感信息处理条款塞进上百行的用户协议，用户勾一次全打包——这不是单独，是概括；
- 默认勾选：弹窗里框已提前打勾，不反对即视为同意——同意必须主动作出，沉默不是同意；
- 一码多事：一个按钮同时对应「同意隐私政策＋同意向第三方共享＋同意出境」，多个事项粘在一起，等于没有单独。
合格的形态相反：一个事项一个弹窗、一段浅白说明（谁接收、干什么用、什么风险）、一个明确的确认动作，且用户可以只点这一个「否」而不影响其他功能。处理目的、方式或信息种类变更的，按第十四条第二款重新取得同意——同意不是一次授权终身有效。
四、边界与误区
- 误区一：「加了单独同意就稳了」。单独同意只是入口，敏感信息处理还要过「特定目的＋充分必要性＋严格保护措施」的第二十八条；出境还要过第三十八条的合规通道，同意替代不了这些前置条件。
- 误区二：「用户不同意，我就不给用」。第十六条明令不得以不同意或撤回同意为由拒绝提供产品服务，除非该处理确属提供服务所必需——刷脸进小区，用户有权要求提供刷卡、密码等替代方式，物业不得强制。
- 误区三：「同过一次就不用再同」。信息种类没变但接收方换了、目的变了、从境内存储变出境了，都要重新单独同意；撤回同意后已进行的处理不受影响，但撤回之后不得再继续。
- 不适用：为订立履行合同所必需等第十三条第二至七项情形，本来就无需同意，自然也谈不上单独同意；但敏感个人信息一旦入内，单独同意不可绕过。
五、延伸问答
问：单独同意一定要弹窗吗？ 不限定形态，但限定效果：让用户就这一个事项、在充分知情下作出主动、明确的确认。语音提示后按键确认、纸质场景单独签字都可以；判断标准是「这一件事有没有被单独表态」，不是「有没有一个叫单独同意的弹窗」。
问：用户跳过了单独同意弹窗，算同意吗？ 不算。同意必须主动作出，跳过、关闭、沉默都是拒绝；处理者不得以「弹了窗你没反对」来补足同意。据此继续处理敏感信息的，属于未经同意处理。
问：给同一接收方第二次提供同一类信息，还要再单独同意吗？ 同一接收方、同一目的、同一方式的重复提供，一般在原同意范围内；接收方换了、目的变了、信息种类扩大了，就要重新告知并重新取得单独同意。判断单位是「处理事项」，不是「合作方」本身。
问：向集团内关联公司提供信息，也要单独同意吗？ 要。第二十三条的「其他个人信息处理者」不以是否同一集团划分；关联公司各自是独立处理者，共享同样触发告知与单独同意，集团内共享协议替代不了对个人的义务。
问：撤回单独同意后，之前共享出去的信息怎么办？ 撤回不影响撤回前已进行的处理；但撤回后，原接收方基于原同意的继续处理也失去依据，处理者有义务把撤回情况传递给接收方并要求其停止处理、按第四十七条删除。
问：单独同意的记录要留多久？ 至少覆盖争议可能的追溯期；同意记录（时间、页面版本、确认动作）是处理者证明合法性的关键证据，留不出记录的授权主张，在监管检查与诉讼里都很难成立。
问：单独同意和书面同意是什么关系？ 两回事：单独同意强调「就一件事专门表态」，书面同意强调「以文字形式作出」。第二十九条留了衔接——法律、行政法规规定敏感信息须书面同意的，从其规定；此时既要单独、又要书面，两个条件叠加。
问：未成年人场景的单独同意谁来做？ 处理不满十四周岁未成年人信息要取得父母或其他监护人同意，涉及敏感类别的还要走单独同意——由监护人专门确认，而不是让孩子在屏幕上点「我同意」。专门处理规则（第三十一条第二款）也应在授权环节向监护人展示。
问：用户中途想改主意，怎么撤单独同意？ 与撤回同意同一条路（第十五条）：处理者要提供便捷的撤回方式；撤回某一单独事项的同意，不影响其他独立事项的授权，但该事项此后不得再处理。撤回入口找不到的，本身违规。
问：把授权拆成几十个弹窗逐个点，会不会太干扰用户？ 合规与体验确实有张力，解法是场景化：在真正触发该处理动作时才弹（用到时再授权），而不是集中轰炸；合并的只能是无争议的同场景说明，五处法定场景的单独表态不能省。
问：授权记录丢了，处理还能主张合法吗？ 很难。单独同意是处理敏感信息等场景的合法性前提，举证责任实际上落在处理者一侧；拿不出同意的时间、版本、动作记录，主张如同空中楼阁。日志留存是授权体系的另一半。
问：五处场景之外，企业还能自己加单独同意吗？ 可以。法定五处是下限；对风险较高或争议较大的处理，企业主动加设单独确认属于加分项，但要防「以合规之名增加摩擦、变相劝退拒绝」的设计——加设的门槛同样不得捆绑服务。
问：用户同意后，企业可以留存授权截图当证据吗？ 可以且应当：授权记录（页面版本、时间、确认动作）是处理合法性的证明材料，留存属于合规管理；但记录本身也按个人信息管理，只用于证明授权与争议处理，不得挪作他用。
问：合并授权弹窗但提供「逐项展开」选项，合格吗？ 有争议空间：默认形态仍是打包确认的，多数用户不会逐项展开，单独性名存实亡；稳妥设计是默认逐项、允许快捷全选——把选择权交给用户，而不是把便利留给企业。
问：App 改版后授权页面变了，旧授权还有效吗？ 授权对应的是当时的处理事项与告知版本；改版后处理目的、方式或接收方发生实质变化的，旧授权覆盖不了新事项，要重新告知并重新取得单独同意，页面改版本身不当然触发，实质变化才触发。
问：企业能否以「符合行业标准模板」抗辩单独同意瑕疵？ 不能。标准模板解决的是形式要素，单独同意审查的是实质效果——用户是否就特定事项真正表态；模板用了、同意没单独作出，瑕疵照旧，行业惯例在这个问题里没有抗辩力。
六、实操建议：企业与个人的两头清单
企业侧：把五处场景做成合规清单，每处落一个独立弹窗与日志留痕；说明书按「接收方＋目的＋种类」三要素写浅写白；每次变更处理目的或接收方，先重新取得同意再切换。
个人侧：遇到打包授权先拆开看，只确认你愿意的那一项；拒绝单独事项被卡功能的，截图留证，按第十六条主张权利；撤回同意走官方渠道并保留提交记录。
站内《体检报告、行踪轨迹、人脸信息：敏感个人信息为什么要单独同意》《处理人脸、行踪、健康信息，要单独同意吗》《境外机构处理境内个人信息：跨境提供的三条合规通道》对具体场景有专文，可对照使用。
一句话总结：五处法定场景——提供、公开、识别设备、敏感信息、出境，每一处都要单独点一次、单独记一笔；打包等于没同意，不同意也不许断服务。
以上内容为一般性法律知识介绍，不构成正式法律意见。具体案件请结合授权页面与业务场景，咨询执业律师后主张。