告知同意：告知什么、怎么取得同意、哪些情形根本不需要同意

一句话定义：告知同意是个人信息处理的两项基础义务——处理前用显著方式、清晰易懂的语言把法定事项讲清楚（告知），并在这个基础上取得个人自愿、明确的同意（同意）。两者是先后关系而不是一件事：告知不以取得同意为前提，同意也替代不了告知。而且同意只是个人信息保护法第十三条七项合法性基础中的第一项，不是唯一通道；它也不是一劳永逸，处理目的、方式、种类一变就要重新来过。

本词条属于网络与数据栏目。实务中最大的误区是「弹窗点了同意，合规就完成了」。这个理解在三处都会翻车：一是有六种场景法律要求「单独同意」，混在总政策里点一次不算；二是第十三条第二项至第七项本来就不需要同意，但不需要同意不等于不需要告知；三是同意有硬标准——充分知情、自愿、明确，缺一个就不成立。

构成要件

一、告知和同意是两个独立动作，法律后果也分开。 告知的义务依据是个人信息保护法第十七条，是一项无条件的程序义务：只要处理个人信息，处理前就得告知，不管你打不打算靠同意取得合法性。同意的依据是第十三条第一款第一项和第十四条，是七项合法性基础之一。二者关系是：同意必须在告知之后取得，但告知可以独立存在。区别的实际意义在于责任：没有告知，即使拿到了同意，仍然违反第十七条；告知到位但同意质量不合格，则违反第十四条。两条是分开查的，不能互相抵销。

二、告知的内容是「四加一」，条例把它细化成清单。 第十七条第一款四项是：处理者名称或姓名和联系方式；处理目的、方式、种类、保存期限；个人行使权利的方式和程序；法律、行政法规规定应当告知的其他事项。第二款要求事项变更时告知变更部分，第三款要求规则公开、便于查阅和保存。《网络数据安全管理条例》第二十一条在此基础上把标准抬高了：规则要集中公开展示、易于访问、置于醒目位置，内容明确具体、清晰易懂；保存期限难以确定的，必须写明确定方法而不是留空；权利行使途径必须涵盖查阅、复制、转移、更正、补充、删除、限制处理、注销账号、撤回同意。向其他处理者提供个人信息的，还要以清单形式列明接收方信息。

三、告知的时间点是「处理前」，事后补告知不算履行。 第十七条第一款用的是「在处理个人信息前」，第十八条第二款只对紧急情况另设补救通道。这条例外反证了常规规则：除紧急情况外，先收集后告知、先上线后补政策，都违反第十七条。实务中常见「政策上线日晚于功能上线日三个月」，这个时间差在检查中可以直接认定。

四、「显著方式」是可举证的事实问题，不是格式问题。 第十七条第一款要求「显著方式、清晰易懂的语言、真实准确完整」。四个词都要落到证据上：显著方式看位置与视觉权重——弹窗首屏、独立段落、字号不小于正文、不与无关内容混排；清晰易懂看句子——「为改善服务体验，可能向合作伙伴共享必要的去标识化信息」，普通用户读不懂共享了什么；真实准确完整看有无漏项——漏了保存期限、接收方名单、境外接收方，都是不完整。判断标准不是「我们写了」，而是「一个普通用户能不能在合理时间内找到并读懂」。

五、同意的质量有三个要件：充分知情、自愿、明确。 第十四条第一款写得很紧：「应当由个人在充分知情的前提下自愿、明确作出」。充分知情对应告知义务的履行；自愿排除误导、欺诈、胁迫，条例第二十二条第一项明确禁止「通过误导、欺诈、胁迫等方式取得个人同意」；明确排除沉默、预勾选、默认同意、继续使用即视为同意。三者并列，任何一个不成立，同意整体不成立，处理行为随即失去合法性基础。

六、法定要求「单独同意」的场景有六类，这是最容易翻车的一节。 逐条列清：①向其他个人信息处理者提供个人信息（第二十三条）；②公开个人信息（第二十五条）；③在公共场所安装图像采集、个人身份识别设备，收集的个人图像、身份识别信息用于维护公共安全以外的其他目的（第二十六条）；④处理敏感个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹，以及不满十四周岁未成年人的个人信息（第二十八条、第二十九条）；⑤向境外提供个人信息（第三十九条）；⑥处理不满十四周岁未成年人个人信息，须取得父母或者其他监护人的同意（第三十一条第一款）。「单独同意」不是「在总政策里点一次同意」，而是针对这一项处理单独作出、能与其他同意相区分的意思表示。一份协议打包十几个事项、底部一个勾选框，形式上就不满足单独性。

七、重新取得同意的触发条件是「三变更」，条例还加了保存期限。 第十四条第二款规定：处理目的、方式、种类发生变更的，应当重新取得同意。《网络数据安全管理条例》第二十二条第四项进一步明确「不得超出个人同意的处理目的、方式、种类、保存期限处理个人信息」，第六项重申三变更要重新取得同意。保存期限延长同样越界，只是条文放在「不得超出」而不是「重新取得」里——处理上应按重新取得同意办。判断是不是「变更」的分水岭在于：处理行为对个人权益的影响是否实质加重。换一个技术供应商但目的、种类、影响都不变，属于内部实现方式调整，不是「处理方式变更」；把原本只用于风控的数据拿去做营销，就是目的变更，必须重新取得同意。

八、同意可以撤回，且撤回通道必须「便捷」。 第十五条规定个人有权撤回同意，处理者应当提供便捷的撤回方式；撤回不影响撤回前已进行处理的效力。「便捷」的比较基准是授权路径：如果授权是在首屏两次点击完成，撤回却要发邮件、寄纸质申请、打客服转三个人工，就不构成便捷。条例第二十一条第一款第四项把「撤回同意的方法和途径」列入必须告知的内容，等于把撤回通道本身变成了告知义务的一部分。

九、不能因为不同意或者撤回就拒绝提供服务，例外只有一个。 第十六条规定：不得以个人不同意或者撤回同意为由拒绝提供产品或者服务；处理个人信息属于提供产品或者服务所必需的除外。这个「必需」要严格解释，通行判断是三问：与核心功能是否直接相关；不收集是否客观无法实现；用户能否自主选择不用该功能。有一个答「否」，就不属于必需。把「用户画像用于个性化推荐」说成必需，是典型的越界。

十、不需要同意的情形有六项，但「不需要同意」不等于「不需要告知」。 第十三条第一款第二项至第七项包括：为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；为履行法定职责或者法定义务所必需；为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；为公共利益实施新闻报道、舆论监督等行为，在合理范围内处理；依照本法规定在合理范围内处理个人自行公开或者其他已经合法公开的个人信息；法律、行政法规规定的其他情形。这六项免的是「同意」，不是「告知」。免告知只有第十八条第一款一种情形：法律、行政法规规定应当保密或者不需要告知。大量企业以为「履行合同所必需」就可以什么都不说，实际仍须按第十七条告知，只是不必等用户点同意。

十一、不满十四周岁未成年人的信息，有两道额外门槛。 第三十一条要求取得监护人同意，并且制定专门的个人信息处理规则。专门规则不是总政策里加一段话，而应当是可以独立呈现、独立查阅、语言与内容都针对未成年人场景的文件。这类场景详见网络、个人信息与未成年人上网中的分年龄说明。

法条依据

与相邻概念的区别

第一，与医疗知情同意的区别。 医疗场景的知情同意解决的是「患者对自己身体和健康的选择权」，义务主体是医疗机构，核心是说明病情、医疗风险、替代方案，手术、特殊检查、特殊治疗要落到书面，落脚点是医疗损害的免责与责任分配。个人信息场景的告知同意解决的是「个人对自己信息流向的控制权」，义务主体是个人信息处理者，核心是说明处理目的、方式、种类、保存期限和接收方，形式要求是显著、清晰、可举证，落脚点是处理行为有没有合法性基础。两者最容易混淆的一点是「签字效果」：手术同意书上的签字，法律上只构成医疗机构已尽说明义务的初步证据，患者可以用相反证据推翻；个人信息场景的「同意」，一旦质量不合格（不充分知情、不自愿、不明确），同意本身不成立，等于从来没有取得过合法性基础，效果比「证据不足」严重得多。

第二，与隐私政策的区别。 隐私政策是告知义务的载体之一，不是告知义务本身。第十七条第三款说的是「通过制定个人信息处理规则的方式告知」，政策只是一种手段。这意味着两件事：一是政策写得再全，若用户在实际界面里接触不到、或被折叠到三层链接以下，告知义务仍未履行到位；二是不写政策不等于不能告知，短告知、分层告知、场景内即时提示都可构成有效告知。实践中把「有没有隐私政策」当成合规检查项，是把手段当成了目的。

第三，与用户协议的区别。 用户协议是合同，违反的后果是违约；隐私政策是合规文件，约束的是处理行为是否符合法定条件，违反的后果是行政处罚和侵权责任。两者可以一起展示但不能混同：用户协议里写「用户同意我们收集必要信息」，替代不了法定告知事项；隐私政策里写「保留最终解释权」，也改变不了第十七条的强制性。把两份合并成一份，技术上没问题，但告知部分仍须满足显著、完整、可查阅的要求，不能因合并而降低标准。

第四，与「授权」的区别。 民事上的授权是委托代理，解决「谁有权代表谁做事」；个人信息保护法上的同意是合法性基础，解决「处理行为有没有正当性」。两者在员工信息场景区别最明显：让员工签一份「信息使用授权书」，形式上像授权，实质是同意。而员工与公司之间存在管理与被管理关系，同意的「自愿性」天然受质疑，所以第十三条第一款第二项专门给出了一条不依赖同意的路径——按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需。这条路径的正确用法是「先证明必需，再走规章制度程序」，而不是「让员工签一份授权书了事」。员工信息被侵害后要收集哪些材料，可参照个人信息被侵害：要收集哪些证据？的清单准备。

第五，与「匿名化」的区别。 匿名化处理、无法识别特定自然人且不能复原的信息，不再属于个人信息，告知同意规则整体不适用。去标识化不在此列：去标识化后的信息仍属个人信息，只是应当单独存储、采取技术保护措施，告知同意规则照旧适用。把「去标识化」当成「匿名化」主张免于告知，是这一领域最常见的定性错误。

实操指引

第一步，先把「哪些场景必须单独同意」列成表。 不要从政策文本出发，要从业务功能出发：逐条功能问一句「这一步把信息给了谁、给了什么、用来干什么」，然后对照六类法定场景打勾。典型场景包括：第三方登录、支付、推送、统计分析、客服系统、向关联公司共享、个性化推荐、采集人脸或指纹、采集精确位置、面向儿童的产品。表格三列即可：场景、对应法条、单独同意的呈现方式。这张表是后续工作的基础，也是检查时最有说服力的材料。

第二步，把政策从「法律文本」改写成「分层告知」。 完整政策保留，但首屏只放用户当场需要知道的三件事：收集什么、用来干什么、给谁。其余按场景拆成短提示，在触发时弹出。第十七条要求「显著方式」和「清晰易懂」，分层恰恰是同时满足这两者的最省力做法。改写时逐句删掉三类表述：无主语的「可能」「必要的」「相关」；用「合作伙伴」笼统带过而不列名单；用「改善服务」代替具体目的。

第三步，把「单独同意」做成可举证的动作。 单独同意的核心是可区分，落地要求三条：独立的勾选框而不是与总政策共用一个；默认不勾选；记录里能区分出「用户在哪一天、对哪一项、点了同意还是拒绝」。技术上是在同意日志里存「场景标识＋政策版本号＋时间戳＋结果」，而不是只存一个是非标志。没有分场景日志，事后无法证明单独同意存在，等于没做。

第四步，把撤回通道做到「不比授权更难」。 授权在两步内完成，撤回就要在两步内完成。可行做法是在设置页一级入口放「隐私与权限」，逐项列出已开启的处理场景，每项一个开关，关掉即生效并写入日志。不要设「需书面申请」「需客服审核」「需注销账号才能撤回」这类前置条件。撤回后要真正停止处理，只改标志位而数据继续在后台流转，属形式撤回。

第五步，区分「变更」和「澄清」，管好版本。 目的、方式、种类、保存期限实质变化的，重新取得同意；仅文字更清晰、错别字修正、联系方式变更的，属澄清，公告即可。判断标准是「对个人权益的影响有没有实质加重」。版本管理要做到：每版政策有独立版本号与生效日期；新旧对比可查阅；同意日志绑定版本号。争议中才说得清「用户同意的是哪一版」。

第六步，未成年人场景单独做一套。 第三十一条要求的不只是监护人同意，还有专门的个人信息处理规则。可落地的四步是：识别（年龄声明或分层产品设计）、验证（监护人手机号验证或其他合理方式）、规则（独立成文的未成年人个人信息处理规则）、限制（不采集与服务无关的信息、不做个性化推荐、不公开）。缺一件，机制就不完整。

第七步，出问题时的取证顺序。 一旦被投诉或被检查，按这个顺序调材料：政策版本与生效日期、当时的弹窗与勾选框截图、该用户的同意日志、第三方共享清单、撤回通道的操作路径记录、内部审批与评估文件。这个顺序的用处在于：先证明「告知过」，再证明「同意有效」，最后证明「范围没超」。倒过来举证会很吃力。需要向平台或处理者正式主张权利时，可直接套用个人信息侵权投诉函（范本）的结构，把场景、时间、诉求写清楚。

常见问题