论个人信息同意撤回权的现实困境与完善建议

叶 敏 玛丽亚木·艾斯凯尔

(江南大学，江苏 无锡 214122)

一、 提出“同意撤回权”的现实语境

随着个人信息价值的不断被挖掘，对信息安全与人身利益保护的担忧也日益增长，世界各国开始纷纷制定和升级相应的法律法规以应对现实中出现的各类问题与纠纷，最为典型的是以欧盟《通用数据保护条例》为代表的个人数据保护模式和以美国《消费者隐私权利法案》为代表的隐私权保护模式。我国近年来相关立法的发展也紧随此趋势，2020年颁布的《中华人民共和国民法典》(下文简称《民法典》)首次在法律层面明确了对个人信息的保护，且基本采纳的是欧盟《通用数据保护条例》下的“知情同意”个人信息保护模式。但随着我国互联网经济的迅猛发展，“知情同意”模式日益暴露出其明显的不足，主要体现在：

(一)一次性的“知情同意”授权不符合数据产业的发展现状

我国原有“知情同意”制度的设计偏重于在信息收集环节的规制，但由于在大数据分析中信息收集仅为其初始阶段，对信息商业利用的真正价值主要体现在后续的深度分析与流通中，因此对海量信息的二次甚至N次利用呈现出复杂性、多元性和流动性。在此情形下，信息处理者无法在信息收集时针对其后续的全部信息利用内容要求信息主体给予广泛授权，也无法在信息商业利用中取得信息主体的再次授权(谢琳，2019)，显然这是无法适应数据产业发展需求的。《中华人民共和国个人信息保护法》(下文简称《个人信息保护法》)第14条增加了“个人信息的处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得个人同意”的规定，看似拓展了“知情同意”的适用范围，但由于数据后续利用的不可预测性，这项规定如果要不打折扣地完全落实，不仅使企业数据合规的难度加大、成本上升，甚至还可能阻碍大数据产业的发展(田野，2018)。

(二)现实中不存在个人在获得充分背景信息的前提下做出有效同意这一理想状态

为了“满足”法律中的知情同意规定，各类应用软件往往采取在其首页用最不引人瞩目的方式展现相关“隐私政策”，并需要用户点击同意相关条款后才能进入下一步操作，只有合规意识较强的能够做到要求用户下拉隐私政策条款或在隐私条款页面停留几秒才能点击同意，以此避免用户不经阅读就直接点击同意。实际上，这样的“知情-同意”很难取得实际效果。一方面，用户由于处于市场弱势地位无法真正行使拒绝权。虽然理论上用户若不同意隐私条款的内容，就可以行使拒绝权(张新宝，2019)，但实践中应用软件提供的隐私协议往往让用户陷入不同意授权就无法使用服务的两难困境。有些软件早已成为大家日常生活的必备产品，如果无法使用，就很有可能面临工作和生活上的各种不便，甚至沦为“数字弱势群体”而被边缘化(韩旭至，2021)。在这个意义上，用户的“知情-同意”早已是“只能同意”，普通个人消费者面对生活中必备应用软件的霸王条款无从选择，“告知同意”规则无异于形同虚设。另一方面，在当下信息科技发展的快节奏背景下，应用软件为了不断提升其服务质量和用户满意度几乎日日都在进行修复、更新等工作，其制定的隐私条款也需要相应更新，但用户很难高频率地在隐私政策被一次次更新后重新“知情”且授权同意。因此，这大大削减了“知情同意”规则的实际效果。

综上所述，原有的“知情同意”规则在面对大数据技术的重大挑战时，不仅未能很好地保护自然人的信息控制权，在很大程度上反而阻碍了个人信息资源的合理共享与数据产业发展(王涵，2019)。同意撤回权作为信息广义“退出”的方式之一，能够弥补“告知同意”固有的缺陷，为个人信息主体提供有效救济(万方，2021)，在一定程度上能够在现行法律体系中缓解信息利用与信息权利保护之间的冲突。

不过，该制度虽然已写入《个人信息保护法》，在立法层面明确了个人的同意撤回权，但对该权利行使渠道的建立、提供同意撤回的义务人违反该规定的法律责任及权利受损后的个人救济措施的规定还不够具体。同时，这些问题也未得到学界很大的关注与讨论。目前，我国关于同意撤回权的理论研究还主要停留在个人信息保护法引入同意撤回权的正当性与可行性(万方，2021)、对同意撤回权内涵的理解(韩旭至，2021)、同意撤回与“选择退出”在现实运行中的区别(冯恺，2020)等立法前的理论研究上，并未涉及同意撤回权立法后在制度实施过程中可能出现的现实问题的讨论。然而，就我国的社会现状及人性的固有弱点来看，同意撤回制度的实施可能面临较大的现实困境。

因此，本文试图通过对“同意撤回”制度日后可能出现的问题进行初步探索，从心理学和博弈论的角度在法律规制逻辑上进行一个逆向的探讨，以期达到抛砖引玉之效。希望本文的研究能够启发关于应如何通过落实同意撤回制度实现我国信息的广义“退出”，以暂时弥补“知情同意”框架的缺陷，及在大数据背景下应如何获得数据产业发展与个人信息保护之间更优平衡等问题的相关思考，为我国同意撤回权制度的进一步深入研究提供参考。

二、“同意撤回权”立法的理论基础

(一)从合同自由到实质正义的价值演变

随着我国大数据技术和互联网经济的飞速发展，从事信息处理相关行业的企业在经济实力、处理个人信息的技术能力等方面都占据了绝对的优势地位，个人信息主体的弱势地位在对比之下更为明显。如果坚持传统民法中的合同自由与契约精神，隐私协议似乎就是个人信息保护过程中形式正义的体现。但是，缺乏个人信息保护意识与能力的普通大众由于现实的弱势地位，早已难以在信息处理者与信息来源主体间的合同中获得实质公平。如前文所述，沦为形式的用户隐私协议正在以这种只满足形式正义却偏离实质正义的方式侵害着大多数信息来源主体的合法权益。

虽然我国《民法典》已经在合同编中设置了情势变更、单方合同解除权等制度来作为民事主体在特定情形下单方撤回其前期基于自由意志作出的同意的救济方式，但同时也规定了严格的适用条件，要借助这样的渠道来为个人信息权利主体提供保障是远远不够的。同意撤回权不设置额外的限制条件，赋予信息主体基于自愿前提同意授权后又可以单方面撤回这一项同意的权利，既是对实质正义的贯彻，也体现了对合同自由原则的合理限制和补充。

(二)意思自治的价值挖掘

同意撤回权的立法逻辑并不仅仅是因为信息主体是弱者，所以需要被特殊保护，更深一层的本质在于：在个人信息处理的语境下，信息主体本身存在对于信息处理者的服务依赖，导致信息主体缺乏表意自由(万方，2021)。这种表意不自由既包括认知能力上的弱势造成的不自由，也包括信息不完全、不充分、不对称方面的弱势造成的意思不自由。同意撤回权的设立，就是通过法律强制赋权的方法来救济这种不自由，使信息主体看似“自愿”的情形下授权同意后还能通过二次思考、权衡利弊形成其相对真实的意思，避免在缺乏认知和信息弱势情况下的“不真实授权”同意给个人主体带来的过重负担，平衡了信息处理者与信息主体之间的利益冲突，从而在个人信息处理领域真正体现民法的“意思自治”本意。

(三)人格权优先于财产权的价值选择

从民事权利类型划分的角度来看，我国的个人信息保护立法借鉴了欧盟的做法，在《民法典》中将个人信息纳入自然人的人格权范畴，将其提升到人格自由与人格尊严的高度来进行保护。在具体权利内容上，我国相关法律虽并未明确采用自然人的信息控制权这一提法，但同意撤回权本身就是对信息控制权的一种体现，意在保障个人自由自主地决定其信息是否被处理，从而保护自然人的自由人格。这一承载着自然人人格利益的权利在法律的价值序列中明显是高于企业基于数据商业利用所带来的财产权利的，因此，即使撤回会对企业造成财产上的损失，仍然要优先保护自然人的人格利益。在这个意义上，《个人信息保护法》明确规定同意撤回权，表明我国法律努力在人权保障和市场活力之间寻求平衡点，是我国个人信息保护立法既保障基本人权又可能释放市场活力与创造力的举措。

综上，我国个人信息保护法中增设个人信息同意撤回权是具有充分的立法理由的，也贯彻了清晰的立法逻辑，但这一良好的立法目的是否能够在现实中得到贯彻落实，并取得预期的效果，仍然需要考量更多的现实因素方能作出判断。

三、同意撤回权可能面临的现实挑战

(一)企业角度

1.合规成本加重

随着互联网技术的不断发展，知情同意的电子化、网络化已经成为一个普遍的趋势，在这一背景下，《个人信息保护法》第15条明确要求个人信息处理者应当提供便捷的撤回同意的方式。当然，良好的行权渠道有利于促进信息处理者与信息主体之间的持续互动，以实现多次的授权同意与撤回同意，但这一技术渠道的建立也明显为企业增加了巨大的营业成本。虽然承担这项支出确实是企业承担社会责任的表现，但法律制度在要求企业承担一定社会责任的同时，也需要为企业的健康发展负责(吕加岭 等，2017)。尤其是对一些用户群极为庞大的互联网龙头企业，同意、撤回同意的诉求数量可能会远远超出单个企业的正常处理能力，这一行权技术渠道的建设与维护势必会使相关企业面临巨大的合规成本，而这将直接决定同意撤回权能否能够有效付诸实践。

2.可能选择的规避途径

企业是为营利而生的典型商主体，其在面临巨大的合规成本时可能的选择就是寻求某种规避途径。现行的《个人信息保护法》第15条中正好存在这一漏洞。因为该条仅适用“基于个人同意而进行的个人信息处理活动”，也就是说，撤回是在同意的前提下方有的权利。如果不是基于个人同意而收集的信息，如依据《个人信息保护法》第13条列举的情形，除第1款外，为订立或履行合同、为履行法定职责或法定义务、为应对突发公共卫生事件、为紧急情况下保护自然人的生命健康和财产安全、为公共利益实施新闻报道和舆论监督等情形而必需处理的个人信息，以及在合理范围内处理已公开的个人信息等情形，都不适用撤回同意权。尤其是其中第2款的规定“为订立、履行个人作为一方当事人的合同所必需”特别容易为企业所利用，如通过使用“微型合同”来提供个人信息，使得每项信息的提供都显得是为订立或履行合同所必需，从而很容易规避同意撤回条款(Scassa，2000)，造成个人很难解决的“撤回困境”。

(二)信息主体角度

1.个人行使同意撤回权的心理障碍分析

国外有文献从心理学角度展开研究，通过假设信息主体在授权同意其信息被处理中的心理过程，提出大众在已经授权同意使用其信息的情况下，通常会拒绝审查、修改或撤回他们的同意的观点(Barrigar et al.，2006)。多项研究都支持“一旦给予同意，就不太可能撤回”的观点(Johnson et al.，2002)。本文基于心理学的互通性和资本运作的基本规律等相同的背景，以在线读书软件为例，设定了相同的假设来尝试研究我国的实践状况，也得出了相同的结论。

欣欣读书(1)此名为本文因写作需要而假设，并非真实存在的读书软件。是最近新上线的读书软件，因其提供即时和免费的听书服务，极大地方便了既想学习又不愿意自己读书的群体。用户只要戴上耳机，选择一本自己感兴趣的书，轻松点击听书就能够通过AI人声获取书中的内容。但是，为了获得这样的服务，用户必须提供大量的个人信息，注册成为其免费会员。为了获取这种便利的听书服务，大众纷纷提供个人信息并同意被其处理。这些用户中的很大一部分人在注册时根本没有意识到自己已经泄露了个人信息(下文称A群体)，而另一部分有信息隐私意识的群体(下文称B群体)相对清楚地知道自己授权了欣欣读书软件处理其个人信息，但此时，其对于使用该软件满足自己便利读书的渴望超过了其对信息隐私的担忧，所以也都完成了注册过程，同意授权该软件对其个人信息的处理，甚至没有试图理解这些过程的含义。而且B群体中也一定有部分人对我国已经通过的《个人信息保护法》有基本的认知，知道可以在任何时候撤回自己的同意(下文称C群体)。接下来，分别分析不同群体面对个人信息被处理的不同态度及行为选择。

首先，A群体完全缺乏行权意识。在注册软件、授权同意个人信息被处理的过程中，A群体对其行为几乎没有法律上的认知，甚至无法意识到其行为究竟意味着什么可能的后果，更不会想到其个人信息正在被处理。因此，对A群体来说，同意撤回权的设置几乎毫无意义。

其次，B群体清楚地知道自己通过披露个人信息给该读书软件获得了听书服务，明白自己的行为意味着将来可能出现的个人信息泄露隐患，更有一部分人在这种担忧超过对听书服务需求的时候会产生主观上的意愿去撤回当初的授权同意。可是，B群体中是否真的会有人撤回其同意呢？这取决于许多心理因素，这些因素可能导致B群体未必会表现为完全遵循自身利益最大化的“理性人”状态。

出于对中华民族优秀传统文化的崇尚，国人常常标榜自己是知行合一的人，B群体也不例外，其认为自己会根据自己的价值观和喜好做出谨慎周到的决定。然而，面对欣欣读书软件的免费服务，其行为举止与价值观并不相符：轻松地同意自己的个人信息被处理，以换取相对较小的收益。这是心理学上的一种常见现象，被称为“认知失调”(Barrigar et al.，2006)。根据心理学理论，当人们的行为与态度不一致时，其会感到不舒服甚至紧张(Mao et al.，2010)。欣欣读书的例子满足引发认知失调的所有条件(Cooper et al.，1987)：(1)B群体对于信息隐私具有相对更完整的认识，也懂得授权同意欣欣读书处理其个人信息的隐患；(2)B群体自主作出同意授权的决定，对其授权同意的后果负有个人责任；(3)B群体明白其授权同意决定导致自己所重视的信息隐私受到了损害；(4)B群体完全可以通过其他方式以较小的代价解决读书需求。

心理研究表明，大众一般倾向于通过以下三种方式解决认知失调问题(Harmon-Jones et al.，1996)：(1)淡化相互竞争意识(Simon et al.，1995)。在本例中，B群体可能用相比了解书的内容、充实自己的大脑被侵犯隐私或隐私本身并不重要等理由来说服自己，以此缓解自己知行不一的紧张感，达到认知和谐。(2)有选择地寻求与其决定一致的信息(Ehrlich et al.，1951)。在此路径之下，B群体可能通过更多地关注与个人信息保护有关的正面信息，例如隐私政策来安慰自己。如因为欣欣读书具有符合法律规定的隐私政策，处理其个人信息并不构成对其隐私的侵犯，其仍然享有信息控制权。(3)改变态度、观念或者行为(Elliot et al.，1994)。此种情形下，B群体可以改变自己对信息隐私的态度，以使自己认为隐私并没有那么重要，或者使自己不那么重视已经披露给欣欣读书的特定信息。毕竟，相比改变行为(注销账户)，B群体更容易改变自己的态度。以上每一种方式都能够解决B群体的心理不适；与此同时，每种方式都减少了B群体之后撤回其同意的可能性(Scassa，2000)。实际上，一旦其成功地解决了内心认知失调带来的不舒适感，B群体中的大部分人就没有理由重新考虑自己最初的同意。毕竟现在，其已经改变了自己对信息隐私的态度，抑或觉得软件经营者有隐私政策，这不构成侵权，一切都符合自己的认知，不会也没有动力去考虑撤回自己的同意。

最后，C群体对我国《个人信息保护法》有基本的认知，知道自己可以在任何时候撤回同意，而这正表明在其同意授权时，已经权衡过眼前收益的主观价值——获得听书服务与对个人信息失去控制这一不太明显的主观价值，即放弃了自己的信息控制权。这虽然影响很大，但在此时此刻并不那么明显和急迫。相反，撤回同意通常会导致立即的损失，例如失去听书服务，并获得相对遥远甚至虚幻的重新控制自己个人信息的权利。面对同意与撤回所带来的收益与损失，绝大部分普通人都会缺乏行使撤回同意权的意志。

图1 “同意撤回的心理障碍”形成路径图

根据前景理论，决策是在损失似乎大于收益的情况下作出的(Scassa，2000)。如果正在考虑的决定是是否提供同意，最显著的效果表现为一种“收益”：现在C群体通过同意，就可以立刻获得“免费”的听书服务；相比之下，如果正在考虑的是是否撤回同意的决定，那么显著的结果则很可能表现为一种“损失”，即失去原本已经拥有的听书服务。另外，前景理论还认为，人们对损失和获得的敏感程度是不同的(Scassa，2000)，损失所带来的痛苦远远大于获得所带来的快乐。举一个通俗的例子来讲，捡到100元所带来的快乐难以抵消丢失100元所带来的痛苦。因此，C群体在行使撤回同意权时，失去听书服务的痛苦会被放大，而且这种痛苦是远距离且不明显的重新获得信息控制权的收获所无法弥补的。更何况，聪明、专业的企业运营人员作为信息收集者，一直都在利用禀赋理论(2)禀赋理论是指当一个人一旦拥有某项物品，那么其对该物品价值的评价要比未拥有之前大大增加。牢牢控制着信息主体的授权同意行为。

综上所述，从信息主体角度来看，我国同意撤回权立法很可能面临“同意撤回的心理障碍”，源于用户缺乏充分的行权意识和行权意志，再加之商家的有意诱导。

“同意撤回的心理障碍”形成路径如图1所示。

2.在博弈中形成“撤回困境”

2018年，华谊兄弟荣获了第九届天马奖创业板最佳董秘、最佳新媒体运营奖以及第23届华鼎奖最佳制作机构奖等诸多奖项，同时华谊兄弟制作或发行的电影依旧是大奖、提名的钟爱，2018年一月由华谊兄弟和美国STX联合出品的影片《茉莉的牌局》获得美国电视金球奖提名。同年四月电影《芳华》获得最佳影片、最佳编剧、最佳导演、最佳男主角以及两位最佳新锐演员5奖大项的提名，而最终斩获了华鼎奖电影满意度调查最佳新锐演员奖。

从信息控制者和信息主体之间的博弈来看，如前所述，信息主体已经做出同意授权出让自己个人信息的控制权，以此交换信息处理者所提供的看似“免费“的网络服务，并对已经获得的便捷服务产生了一定的依赖。信息处理者通过给予信息主体各种蝇头小利，诱导更多的人成为其用户，可以以此吸引各大品牌广告主，还可以通过深入挖掘分析信息主体的行为数据，获取信息主体的生活习惯、兴趣爱好甚至是社交网络进行精准营销，获得额外的收益(徐汉明 等，2020)。当然，考虑到目前日益严格的数据合规要求与已经正式出台的《个人信息保护法》，企业必须采取一定的技术措施来保障信息主体行使撤回同意权，且今后很可能不可再延续当前的“不同意就无法享受服务”、以逼迫消费者“自愿”同意用户隐私协议的二选一模式(3)《个人信息保护法》第16条规定：“个人信息处理者不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务；处理个人信息属于提供产品或者服务所必需的除外。”。对于不同意或撤回对其个人信息处理授权的用户，企业也需要提供基础的网络服务，只是可能通过给授权用户提供更多增值服务的方式来体现差别。

在信息处理者和信息主体之间的动态博弈中，双方会根据我国个人信息保护执行力度的加大、企业个人信息保护成本的变化、普通大众个人信息保护意识的提升、同意撤回权制度的普及等条件作出决策，且会在此过程中通过学习、试错、模仿和总结他人的信息，从而调整和修正自己的行为策略。在每一次的博弈条件变化中，经过重复博弈走向局部稳定策略并实现稳定均衡。

基于以上分析，本文对信息处理者和信息主体的收益做出如下假设：

·信息主体在使用网络服务时所获得的固定收益为P1(P1≥0)

·信息主体通过授权同意获得的增值收益为P2(P2>P1，P2>0)

·信息主体撤回同意时失去的收益为P3(P3>0)

·信息处理者为信息主体提供服务所能获得的基础收益为S1

·信息处理者获得授权同意而进行数据价值挖掘所能获得的增值收益为S2(基于目前的信息技术及市场条件，一般S2>S1)

·信息处理者不满足信息主体的同意撤回权时所承担的违法成本为C2(C2>0,且将随法律执行力度加大而升高)

综合以上假设，在国家现行法律和政策不变、国民整体素质稳定的前提下，信息处理者和信息主体直接博弈的支付矩阵如图2所示。

信息处理者信息主体 同意 不同意 撤回 (P1+P2-P3, S1+S2-C1) (P1+P2-P3, S1+S2-C2) 不撤回 (P1+P2, S1+S2-C1) (P1+P2, S1+S2)

图2显示，当信息主体选择撤回同意时，对于信息处理者而言，在S1+S2-C1与S1+S2-C2中，信息处理者将会对其投入与产出进行利益衡量。若C1>C2，则S1+S2-C1

同意撤回权被侵犯的信息主体，由于目前还缺乏直接针对信息主体的个人信息权益遭到侵害时便利的救济措施，在很大程度上只能默认有权利无法行使也无救济的现状，也就致使同意撤回权制度存在一定程度的虚化。若C1S1+S2-C2，意味着信息处理者为建立同意撤回渠道的技术投资小于其不作为带来的违法成本，绝大多数的信息处理者就会选择投资建立同意撤回的操作渠道，保障信息主体同意撤回权的行使，也就使得同意撤回权立法有了落实的可能。当信息处理者不同意撤回的情况下，由于P1+P2>P1+P2-P3，根据禀赋理论，信息主体面临失去更大的利益换取更小利益的绝对选择，必然选择不行使同意撤回权，但其做出这样的意思表示是否又是“同意撤回心理困境”在起作用，值得进一步的深入研究；当信息主体不撤回同意的情况下，由于S1+S2>S1+S2-C1，原本就不愿意失去个人信息资源的信息处理者既然能够持续处理个人信息进行牟利，也就必然不会存在主动同意撤回个人信息的可能性，也就不会选择同意撤回。同样，当信息处理者选择同意撤回的情况下，由于P1+P2>P1+P2-P3，相比行使同意撤回权时所获得的收益，信息主体在不行使该权利的情况下的收益更大，一般也就不会再选择行使同意撤回的权利，但这样的选择结果是否是信息主体真实的意思表示将无从知晓，也就回到了对“同意撤回的心理障碍”的研究上。当然，在博弈过程中，信息处理者基于自身利益的考量，不大可能选择主动撤回信息主体的同意授权。

上述分析表明：在信息处理者和信息主体之间的博弈中，仅有信息主体同意撤回的意愿并不能够促成信息处理者为之作出同意撤回的结果，经过自身利益及现实情况的衡量，最终信息主体和信息处理者都将选择不同意撤回，造成“同意撤回困境”。然而，当有政府机关的行政监管介入该博弈模型，使得信息处理者的违法成本超过其建立同意撤回操作渠道的技术成本时，信息处理者无论是从其资本投入还是从企业合规考虑，都会做出其投资更少、效果更好的选择(高秦伟，2019)，即愿意投入技术资本建立同意撤回渠道，保障信息主体的同意撤回权能够行使。如果没有行政外力的介入，(P1+P2，S1+S2)也就成了本次博弈唯一的纳什均衡点，能够使双方总收益达到最优。这也就表明，除非有强有力的行政干预介入，否则信息主体一旦做出了授权同意，基本上也就没有撤回其同意授权的可能，“撤回同意”困境将很难打破。

四、对同意撤回权制度的完善建议

从前述研究可知，同意撤回权立法的实施主要面临着信息主体心理因素上的撤回困境及博弈中的撤回困境，而在这两个困境的解决中，与如何合理规制作为信息控制者的企业行为相比，如何破除个人信息主体的同意撤回心理障碍似乎是更为棘手的问题。毕竟，企业作为营利机构有其明显的目的性，政府完全能够通过行政手段在与其博弈过程中逐渐规制其行为，以保障立法目的实现(魏益华 等，2019)。然而，普遍存在的民众的心理障碍不是某个机关或简单的几个法律条文就能够解决的。正如马斯洛在激励原理中所言，人是一种欲壑难填的动物，只会被自己所没有却能够通过努力得到的东西而激励(马斯洛，1987)。这正是普通大众愿意为了一点蝇头小利而授权同意处理自己的个人信息的深层原因。萨特指出，人是意识到好处之后才会行动的(萨特，1987)。那么个人信息保护立法应如何给予信息主体拒绝不合法信息处理行为、及时撤回不必要的个人信息的同意授权的激励呢？这还需要更进一步深入的研究。

因此，在个人信息过度收集与滥用频发，个人的信息安全遭受到严重侵害，不得不重新平衡信息主体与信息处理者之间利益的当下，有效激励信息主体在必要时行使同意撤回权的路径还不明朗，在同意撤回的博弈中信息主体处于绝对弱势地位，信息处理者在信息、技术方面又有绝对优势。基于此，本文建议，在完善相关法律法规，加强我国重视个人隐私、加强个人信息保护观念的宣讲及提高个人信息保护法律普及率的同时，政府机关应当更有效地介入同意撤回权的法律实施中，有效改善信息主体与信息处理者之间的博弈，以在如今公众个人信息保护意识还薄弱、能力还不具备、相关救济措施并不明确的情况下，真正使《个人信息保护法》发挥实质性作用。

基于本文的研究结果和解决同意撤回困境中的现实困难，在现有理论和实践条件下，为促使同意撤回权制度的有效实施，在此提出以下政策建议：

(一)设置专门的个人信息监督管理机构与职位，弥补多头管理模式的不足

针对前文讨论的信息主体因同意撤回的心理障碍而缺乏有效的行权意识和行权意志的问题，各国(地区)采取的应对方式一般是加强行政监管的力量，构建公权力主导的统一的个人信息监督管理机构，诸如欧盟的数据保护专员、美国的隐私专员公署、日本的主管大臣、我国香港地区的个人资料隐私专员公署等。

我国目前的信息监管权力比较分散，主要是由网信部门综合协调，公安部门、工信部门、市场监督管理部门以及其他行业主管部门在各自职责范围内行使监督管理职责，这些行业主管部门又包括金融、医疗、教育、交通等非常广泛的领域(肖登辉 等，2017)。《个人信息保护法》延续了这一行政监管模式。但是，多头治理很容易带来执法标准不一，交叉领域监管难、监管混乱等问题，并非大数据时代的最佳选择(曾铮 等，2021)。建立统一的个人信息监督管理机构对于统筹协调全国个人信息保护的行政监管和执法工作，脱离行业利益地解决有关机构、组织和个人之间的信息利益冲突，构建更加安全、健康、公平的个人信息管理秩序至关重要。同时，建立统一的个人信息监督管理机构，也有利于促进全社会的个人信息保护意识提升，畅通个人消费者的维权渠道，避免出现个人信息利益受损后求助无门，甚至被各个部门“踢皮球”的现象发生，是加强我国个人信息保护的关键性一步(王磊，2021)。

因此，建议在网信部门下设置专门的机构和职位，专职负责监督个人信息领域的信息处理各环节、各主体的法定义务履行情况，切实保护个人信息安全，在信息主体与信息处理者之间的博弈中起到更有效的调节作用。

(二)明确超大互联网平台特定的个人信息保护义务内容，保障同意撤回权的操作便捷

《个人信息保护法》第58条新增了超大互联网平台特定的个人信息保护义务，即“提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者，应当履行下列义务：(一)按照国家规定建立健全个人信息保护合规制度体系，成立主要由外部成员组成的独立机构对个人信息保护情况进行监督；(二)遵循公开、公平、公正的原则，制定平台规则，明确平台内产品或者服务提供者处理个人信息的规范和保护个人信息的义务；(三)对严重违反法律、行政法规处理个人信息的平台内的产品或者服务提供者，停止提供服务；(四)定期发布个人信息保护社会责任报告，接受社会监督。”这一规定首次从法律层面明确提出强化超大互联网平台个人信息保护义务的要求，是符合目前市场上超大平台与个人用户力量严重悬殊的现实状况的。建议在下一步立法中进一步明确超大互联网平台特定的个人信息保护义务的具体内容，尤其是应充分考虑个人用户同意撤回权的落实措施，将相关具体内容增加到该条款中。先从超大互联网平台开始要求为信息主体提供便捷的撤回同意的方式，并为今后推广到所有的信息处理者提供试点经验。

(三)细化同意撤回权的适用规则，平衡信息保护与信息利用间的利益冲突

1.细化规则设计，防范规避行为

如前文分析，因现行《个人信息保护法》对同意撤回权的适用划定了严格的范围限制，即仅限于根据其个人同意而授权的个人信息，这就为企业通过“微型合同”来规避该条款留下了较大操作空间。因此，在后续审议修改过程中要细化和完善规则的具体设计：一是适当扩大该条的适用范围，尤其要注意规定互联网企业通过微型合同收集信息的撤回规则，规定人为切割合同的情形下应将系列“微型合同”视为一个合同整体进行法律适用；同时，同意撤回权也必须受到一定的限制，如其行使不能影响数据信息的留存义务的履行(万方，2021)。二是严格规范主客观适用条件，确保信息主体告知义务的完备性。信息主体通过“同意撤回”行使了更多的信息控制权，而该权利在某种意义上是以信息处理者的利益损失为代价的，因此有必要完备信息主体的告知义务，避免对信息处理者造成过大的合规负担。三是规范同意撤回权的实现流程，如明确提出信息主体履行告知义务的流程及后期撤回同意结果的反馈流程等，将可能出现的相关风险尽量控制在合理的范围之内。

2.允许行业间的一定差异空间

互联网企业作为同意撤回权行权的最终环节，关系同意撤回权能在多大程度上得到落实并真正发挥作用。个人信息保护与数据产业发展并非水火不容，关键是要厘清企业发展权与其承担社会责任之间的边界，平衡互联网企业发展权和个人同意撤回权之间的冲突(阳镇 等，2020)。由于不同行业的情况有所差异，如医疗行业应更多考虑病人隐私权的保护与传染病防治公共利益的协调，金融行业应注意国家宏观经济调控的需求与反洗钱的监管保障，因此应当结合行业特征制定具体的操作细则，尽可能地综合平衡需要保护的多重利益，在保护自然人的个人信息利益的同时也要兼顾企业的发展权乃至国家的数据安全、公共利益维护，争取实现信息保护与信息利用之间的动态平衡。

五、结语

在个人信息泄露常态化、信息保护与数据安全制度亟待完善的今天，虽然《个人信息保护法》已经出台，但要意识到个人信息处理领域仍然缺乏一套适合我国现状的完善的制度设计，尤其是现阶段广泛使用的“知情同意”框架存在巨大不足，甚至在一定程度上成了企业不合理处理个人信息时规避法律风险的工具。与之相对应的，“同意撤回权”作为我国个人信息“退出”的可能路径，虽得以确立，但其制度设置还不明确，有若干问题没有解决，且未能引起学界的广泛关注。实际上，同意撤回权的设置能够在现实逻辑和主观理念上带来新的启发，以寻求信息主体的信息利益与企业的商业利益之间的平衡与进步。因此，本文通过心理学与经济学的方法对同意撤回的现实困境进行研究发现，基于我国的现实状况，人性与各主体利益的复杂化使得同意撤回权的真正落实任重而道远。只有正视这一问题，引导学界进行广泛讨论与研究，设计有效的规则来保障这一权利的实效发挥，弥补“知情同意”制度的不足，引导企业合理合法地处理数据，方能促进信息资源的挖掘与数据产业的长远健康发展。