论信息主体的知情同意及其实现

常宇豪

内容提要:知情同意是各国个人信息保护法普遍采用的基本规则，也是我国个人信息保护法律的核心规则。知情同意制度的法理基础来源于对信息主体意思自治的保障，通过充分告知后的有效同意实现信息主体对其个人信息的自主控制。大数据时代，随着个人信息来源的多元化和二次利用的广泛化，知情同意正面临隐私政策晦涩冗长、信息主体知识匮乏、信息处理者强制“二选一”、新型个人信息处理行为难以适用知情同意、频繁知情同意导致的告知疲劳等一系列困境。鉴于知情同意的重要价值和在个人信息保护制度中的基石性地位，轻言放弃并非明智之举。应采取多元共治模式，通过信息处理者依法告知、信息主体增强知情能力和行权意识、公共机构完善法律制度和严格执法司法、社会组织强化行业自律和第三方认证等举措，保证信息主体知情同意的实现。

一、问题的提出

知情同意是个人信息保护法的基石和核心制度，也是个人信息自主控制的实现途径和处理个人信息的合法性基础。该制度肇始于1973年美国健康、教育和福利部报告(HEW报告)中提出的“公平信息实践原则”(FIPPS)。美国、日本等国家和欧盟、经合组织(OECD)等国际组织均将知情同意作为个人信息收集、使用的重要合法性基础，并建立了“告知—同意”(Notice/Consent)框架保证制度实施。受国际立法尤其是同属于成文法域的欧盟法影响，我国也将“告知—同意”确立为个人信息保护的基础性规则。2021年1月1日开始实施的《中华人民共和国民法典》和11月1日正式实施的《中华人民共和国个人信息保护法》(以下简称《个人信息保护法》)均将“告知—同意”确定为个人信息处理的核心规则。《个人信息保护法》更进一步将知情权和同意权确认为信息主体在个人信息处理过程中的权利，开启了个人信息法律保护的新篇章。(1)《个人信息保护法》第44条规定：“个人对其个人信息的处理享有知情权、决定权，有权限制或者拒绝他人对其个人信息进行处理；法律、行政法规另有规定的除外。”

然而，与立法中不断强化的趋势相悖，现实中的知情同意却面临着功能式微甚至可能被架空的危险。一方面，由于告知文本不友好、信息主体缺乏知情主动性等原因，信息主体“告而不知”，同意的有效性遭到质疑；另一方面，不加区分的适用知情同意形成巨大的经济和社会成本，限制了大数据产业发展和社会整体福利提升。如何克服知情同意的现实困境，弥合制度建构与法律实践之间的鸿沟，使知情同意真正成为信息主体自主控制、自我保护之良方和个人信息处理的“总阀门”，成为《个人信息保护法》实施亟待解决的重大问题。基于此，本文以《个人信息保护法》解释论为视角，在分析知情同意的规范内涵和制度价值基础上，针对其存在的现实困境提出解决策略，为《个人信息保护法》的实施提供智识支持。

二、知情同意的规范内涵与制度价值

(一)同意的法理基础：意思自治

探究知情同意的规范内涵和制度价值，逻辑上应以其法理基础为依归。在历史上，“同意”一直发挥着认可他人行为的作用，“同意被认为是与他人‘有同样意向的状态’，被认为表达了一种‘心理上的赞成态度’或表明情感与意见方面的一致”(2)John Kleinig，The Ethics of Consent，8(12)Canadian Journal of Philosophy，91-118(1982).。洛克在《政府论》中提出“一切自然人都是自由的，除了他自己同意以外，无论什么事情都不能使他受制于任何世俗的权力”(3)〔英〕洛克:《政府论》(下篇)，叶启芳、瞿菊农译，商务印书馆1964年版，第74页。。这是“同意”首次被赋予法哲学上的意义。可见，“同意”概念在被引入法学领域之初就与意思自治存在紧密联系。

由于个人信息和信息主体存在密切关联，信息处理者在收集使用个人信息时告知信息主体并获得其同意，是信息主体对个人信息控制和支配的体现。有学者即指出“同意证明了个人权利的存在”(4)George P.Fletcher，Basic Concepts of Legal Thought，Oxford University Press,1996，p.109.。意思自治赋予了自然人根据自己的自由意志设立、变更、终止民事法律关系的权利，信息主体可以自由决定是否许可他人收集、处理、利用自己的个人信息。“同意”则是意思自治在个人信息保护中的实现机制和外在体现。在信息处理者收集信息主体的个人信息并进行加工利用而形成的法律关系中，信息主体享受信息处理者通过收集、利用个人信息提供的高质量服务，同时其对个人信息的支配权受到一定限制。在这一过程中，个人利益在不同方面出现了增益和减损，如何平衡这种增减进而使个人利益最大化即体现了每个个体的意思自治。信息主体可以选择“同意”信息处理者收集、利用个人信息的请求以换取大数据时代的种种便利，也可以选择“不同意”放弃分享数据红利以保证个人信息的安全。民事主体在自由、理性选择行为方式的同时，对于所选择的行为方式引发的后果，无论好坏，皆应自己承担。(5)参见谭启平：《中国民法学》，法律出版社2015年版，第55页。欧盟数据保护第二十九条工作组(Article 29 Data Protection Working Party)也在意见书中指出：“自由作出的同意意味着某个具有正常能力的人在不受任何胁迫(无论是社会的、经济的、心理上的或其他种类的)的情况下所作出的自愿的决定。”(6)Article 29 Data Protection Working Party，Working Document on the Processing of Personal Data relating to Health in Electronic Health Records(EHR),Feb.15,2005,available at http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2007/wp131_en.pdf,last visited on Jan.24,2022.同时，信息主体的“同意”也使信息处理者获得了收集、利用个人信息的正当性。

信息主体同意作为个人信息处理中的基本原则具有法理和制度设计上的双重基础。在法理维度，“同意”体现了法律对个人根据自己意思自由决定自身事务的承认，是对人格尊严和主体性的尊重。洛克认为：“人是自己的主人，是自身和自身行动或劳动的所有者。”(7)前引〔3〕，洛克书，第28页。在美国法律语境下，借以保护个人信息的隐私权被认为是“对个人私生活领域的管控”(8)谢远扬：《信息论视角下个人信息的价值——兼对隐私权保护模式的检讨》，载《清华法学》2015年第3期，第100页。。可见，个人有权决定自己的私人事务，其中显然包含了个人信息。一个人在其基本权利行使的正当范围内，若缺乏自治自决的机会，将丧失尊严，因此，自决权应受到国家及他人之尊重。(9)参见李震山：《从生命权与自决权之关系论生前预嘱与安宁照护之法律问题》，载《中正大学法学集刊》1999年第2期。在法律规范维度，同意是在信息主体和信息处理者的事实不平等关系中，保护信息主体权利的一种制度设计。在信息主体与信息处理者的互动中，信息主体处于不可逆转的劣势地位。在此种情形下，基于理性人假设，将保护自己信息的权利赋予信息主体就成为最有效的选择。事实上，同意原则也的确是基于“假设几乎所有的人，在所有时候，做出的选择都是基于自己的利益最大化，或者至少比其他人为自己做出选择好很多的考虑”设计的。(10)See Richard H.Thaler,Cass R.Sunstein，Nudge:Improving Decisions about Health,Wealth,and Happiness， Yale University Press,2008，p.9.由信息主体控制自己的个人信息并独立决定是否允许信息处理者收集、使用，使得信息主体拥有了对抗处于强势地位的信息处理者的筹码。一方面，信息处理者为使用个人信息必须承诺妥善保护信息主体的个人信息，并与信息主体分享利用个人信息带来的利益；另一方面，信息处理者的这种承诺事实上也成为信息主体维护自身信息权益的依据。因此有学者指出：“在个人和信息处理者的不对等关系中，权利人同意是一个最好的制约性权利。同意是个人对抗信息处理者的唯一对话途径，反映了信息处理者与个人的互动过程。”(11)徐丽枝：《个人信息处理中同意原则适用的困境与破解思路》，载《图书情报知识》2017年第1期，第110页。

(二)有效同意的条件：知情、自愿、明确作出

既然同意关乎个人的意思自治和利益维护，同意的有效性就至为重要。那么，何种同意方为有效，其条件为何？只有厘清此问题，才能探知知情同意的规范内涵。根据《个人信息保护法》第14条第1款“基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出”之规定，我国法上的有效同意应当具备充分知情、自愿做出、明确表示三个基本条件。其中，“知情”是有效同意的基础和前提。按照《现代汉语词典》的解释，知情是对某件事情原委情状的了解，充分知情自然是对该事情的充分了解。只有在对个人信息处理相关情况充分了解的前提下，信息主体的同意才能体现自己的个人意志。“自愿”是信息主体做出决定时的状态，即信息主体必须是在无任何胁迫、欺诈或威胁状态下做出的同意决定。“明确”则是同意的外在表现形式，要求同意是明确、不含糊的肯定行为。我国法的这一规定与欧盟《关于涉及个人数据处理中的个人保护以及此类数据自由流动的第 95/46/EC 号指令》(以下简称《95指令》)、《一般数据保护条例》(General Data Protection Regulation，简称GDPR)中的“同意”基本一致。按照GDPR第4条第11款之规定，“数据主体的‘同意’是指数据主体依照其意愿自愿作出的(freely given)、具体的/特定的(specific)、知情的(informed)及明确的(unambiguous)确认意思表示。通过声明或明确肯定的行为做出的这种意思表示，表明其同意对其相关的个人数据进行处理。”(12)《欧盟〈一般数据保护条例〉GDPR(汉英对照)》，瑞栢律师事务所译，法律出版社2018年版，第43页。但与欧盟法四要素不同的是，我国法并未将“具体的/特定的”(specific)作为限定条件。根据“欧盟数据保护第二十九条工作组关于同意的指南”(Guidelines on Consent under Regulation 2016/679)的解释，“具体的/特定的”要素包含两层含义：(1)个人信息处理的目的需要具体、特定，初始目的之外的个人信息处理行为，需要重新获得同意，此规定意在约束超预期目的处理行为；(2)同意请求事项需要与其他信息区隔，每个同意请求必须提供独立的信息，相应的同意必须是针对特定事项的，此要素意在防止捆绑请求、概括同意。(13)See Article 29 Data Protection Working Party,Guidelines on Consent under Regulation 2016/679,p.16.需要指出的是，尽管我国《个人信息保护法》未将“具体/特定”要素作为有效同意的必要条件，但“单独同意”制度的设置与此有异曲同工之效。

个人信息领域对于有效同意条件的规定有深厚的哲学基础和实践基础。约翰·克莱尼格(John Kleining)在其《同意的伦理学》中将“同意”界定为“一个人倾向于便利他人的主动性行为，并且同意的主体要在这一便利中承担责任”(14)前引〔2〕,John Kleinig文，第91页。。即同意可以被理解成是一种个人与他人“交互作用”的行为。这种主客体之间交互作用的“同意行为”必须满足三个条件,即同意必须是自愿地(voluntarily)、知情地(knowingly)以及故意地/专门地(intentionally)做出的。同意的这三个特征共同保证了同意的真实性(genuineness),只有完全满足以上三个条件的主动性同意行为才能被认为是有证成效力的真实的 (genuine)同意，而只有真实的同意才是人们真实意愿的表达。(15)参见刘笑言：《同意的困境——基于以同意理论证成政府家长式干预的视角》，载《北京航空航天大学学报(哲学社会科学版)》2011年第3期。因此，作为哲学意义上的“同意”，“知情”便成为其基础和前提。从行为逻辑学的视角看，同意是对他人意见、主张或者请求事项的赞同、准许，而赞同、准许等肯定性行为是对他人意见、主张或者请求事项全面了解、知情并做出理性判断的结果，因此，有效同意的基础必然是充分知情，不知情的同意则为无效同意。

医疗领域是知情同意研究最久、理念最成熟的领域，为个人信息保护中知情同意制度的设计奠定了实践基础。为了体现知情对患者做出同意决定的重要性，早在1948年《纽伦堡法典》就提出了“自愿同意”法则。(16)参见马特：《民事视域下知情同意权的权利基础及规则建构》，载《江淮论坛》2014年第5期。它指出：“自愿同意是指有关人员在法律上有资格提供同意；并应处于能行使自由选择权利的境况下，而没有暴力、欺骗、欺诈、强迫、哄骗以及其他隐蔽形式的强制与强迫等因素干预；应该对所涉及的问题有充分的知识和领会，使他能够理解并作出明智的决定。”并且，法典还以“自愿”“法律上有行为能力”“理解”和“知情”四个要素来说明自愿同意。(17)参见朱伟：《知情同意：困难和出路》，载《哲学动态》2008年第2期。法典将研究参与者的“知情”作为自愿同意的重要基础，同时将行为能力、理解能力和知识储备等保证参与者能充分知情的前提条件置于重要位置，足以表明知情对同意决定的重要性。纽伦堡审判之后，知情同意逐渐成为医患关系中，特别是人体试验领域最受关注的原则之一。(18)参见邱仁宗、卓小勤、冯建妹：《病人的权利》，北京医科大学、中国协和医科大学联合出版社1996年版，第53页。知情同意规则的建立标志着在医疗领域“知情”作为有效“同意”的基础性地位得以确立。鉴于“知情”对有效同意的重要性，英国法上甚至将知情同意称为“真正的同意”(true consent)。(19)参见曾凡昌：《医疗过失责任中的知情同意原则研究》，载《河南省政法管理干部学院学报》2011年第2期。

(三)知情同意的基本内涵：充分告知、表意能力、完全理解和自愿同意

知情同意最初译自医疗领域的“informed consent”，字面意思是基于说明的同意或者被告知基础上的同意。日本学者植木哲将其译为“医生的说明”和“患者的同意”，(20)参见〔日〕植木哲：《医疗法律学》，冷罗生等译，法律出版社2006年版，第127页。我国台湾地区学者一般将其译为“充分说明与同意”，(21)参见陈燕红：《困境与出路：我国患者知情同意权法律保护与使用的完善建议》，载《河北法学》2014年第2期。我国大陆地区通常译为“知情同意”。根据布莱克法律词典的解释，informed consent的含义为：医生在对患者实施医疗行为时，应该就医疗处理方案、医疗风险以及其他可以考虑采取的措施向患者做出详细说明，并在此基础上得到患者的同意。(22)See Black’s Law Dictionary,West Publishing Co.，1989，p.701.形式上，中国法语境下的“知情同意”由informed 和consent两个部分组成，早期的知情同意二要素说即源于此。(23)二要素说以医生为视角，认为知情同意由提供信息和征得同意两个要素构成。参见〔美〕T.A.波库连科：《知情同意原则对家长作风的挑战》，载《国外社会科学》1994年第11期。然而，字面上对应着“告知”“说明”的informed，在实践中能否做到使患者“知情”呢？换言之，医生履行了法定告知义务是否就代表患者充分“知情”了呢？答案是否定的，因为“情”的传达需要经过一个主观加工的过程，是否“知”以及“知”多少取决于主观加工是否契合所告知的“情”，“告”只是提供了基础和前提。(24)参见胡国梁：《患者知情同意权制度构造之反思——从榆林待产孕妇跳楼案切入》，载《法学杂志》2018年第11期。为了准确理解知情同意的基本内涵，需要对《纽伦堡法典》提出的自愿同意四要素作进一步考察。在四要素中，“自愿”是对患者意志自由的保护，任何强迫、胁迫、欺骗等非自愿状态下的同意都是无效的。“法律上有行为能力”为患者行为资格的表征，是对患者决定能力的客观要求。这一概念借鉴了民法上民事行为能力说的分类，即具备完全行为能力人的同意有效，无民事行为能力或者限制行为能力人的同意无效。然而，晚近研究表明，法律上的行为能力并非知情同意能力判定的绝对标准。发达国家的通说认为，医疗上同意能力的确定不是以民事能力为标准，而是以有无理解、认知医疗内容、意义和后果的能力为标准。(25)参见叶欣：《患者知情同意权的价值目标与法理思辨》，载《学习与实践》2019年第4期。尽管现有研究成果对这一能力的表述并不一致，评价标准也不尽相同，但将其作为知情同意的构成要素并无分歧。(26)表征患者此种能力的概念有“识别能力”“同意能力”“表意能力”等。参见赵西巨：《知情同意：要素构成与过程优化》，载《中国医学伦理学》2005年第3期；前引〔25〕，叶欣文。“理解”要求患者对医生告知的病情、诊治方案、风险、诊疗所预期达成之后果、疗养中的注意事项等所有与病情有关的信息充分了解、领会。(27)参见前引〔21〕，陈燕红文。关于“知情”，《纽伦堡法典》第1条设定了如下标准和要求：“(使受试者)对于试验的项目有充分的知识和理解，足以作出合理、明智决定之前，必须让他知道试验的性质、期限和目的；试验方法和采取的手段；可以预料的不便和危险，对其健康或可能参与试验人的影响。”(28)丁镜：《论患者知情同意权的限度》，载《广西社会科学》2012年第4期，第82页。在自愿同意四要素基础上，后来研究者将告知(或称信息披露)纳入知情同意的构成要素，提出知情同意四要素说和五要素说。(29)四要素说认为知情同意包括充分告知、完全理解、表意能力和自愿决定；五要素说认为，知情同意具备信息披露、表意能力、充分理解、自愿和同意决定五个要素。参见前引〔26〕，赵西巨文。在行为逻辑上，知情同意可表述为：具有同意能力的患者在对医生告知的信息充分理解和知情的基础上，自愿就是否同意医生告知、请求事项做出选择决定。

在个人信息保护领域，欧盟《95指令》、GDPR和我国的《个人信息保护法》仅在“同意”的定义中规定“知情”作为其基础要素，但对知情同意的内涵并未明确。可资参考的是欧盟数据保护第二十九条工作组第15/2011号意见书。该意见书强调，“自由作出的同意意味着某个具有正常能力的人在不受任何胁迫(无论是社会的、经济的、心理的或其他种类的)情况下所做的自愿决定”。同时，“信息主体作出的同意必须基于一项行动及有关事实及其对含义的理解和认识。信息处理者必须向当事人提供全部事项的、清晰、易懂、准确且全面的信息，尤其是《95指令》第10条和第11条所规定的信息，例如数据处理的性质、目的、可能的数据接收者以及信息主体的权利，包括对有关数据处理作出拒绝可能导致后果的了解”。综上，意见书确定自愿同意的四个必要条件为：充分告知、表意能力、完全理解和自愿决定。这里的“充分告知”要求信息处理者以清晰、易懂、准确、全面的方式向信息主体提供《95指令》第10条、第11条规定的全部信息。同时提出了判断告知是否适当的两项标准：(1)资讯的质素——提供资讯的方式(文字通俗、不使用术语、易懂且清晰)对判断信息主体是否“知情”是至关重要的指标；(2)资讯的可见性和可用性——资讯必须向当事人直接提供，且必须清晰可见、明显且全面。(30)参见《欧盟第二十九条数据保护工作组第15/2011号意见书：“同意”的定义》，澳门特别行政区政府个人数据保护办公室译，载https://www.gpdp.gov.mo/index.php?a=show&c=index&catid=112&id=12&m=content，最后访问时间：2021年11月28日。“表意能力”强调做出有效同意的主体需具备表示同意的能力。尽管《95指令》并未对无完全法律行为能力人(包括儿童)的同意作出具体规定，但欧盟数据保护第二十九条工作组认为有必要在法律层面进行一般规定，以增强法律的确定性。“完全理解” 要求信息主体对告知事项和告知内容充分理解并知情。欲满足此要求，告知形式应简洁、易理解，同时信息主体应具备一定的与告知事项相关的知识储备和理解能力。“自愿决定”指信息主体做出同意决定时必须处于一种完全自由的状态，不能受到任何不正当限制，包括强制、胁迫、欺骗、诱惑等，同意是信息主体完全自愿、发自内心的意思表示。从四个必要条件的特点看，充分告知、表意能力、完全理解属于知情范畴，充分告知是知情的基础和前置要件，知情是信息主体对告知内容理解、认识后的内化过程，要求信息主体必须具有相应的理解能力和表意能力。自愿同意属于同意范畴，自愿为有效同意的先决条件和状态条件，同意则是信息主体在知情前提下自愿作出的肯定性决定，是对信息处理者收集、利用个人信息的明确授权。因此，本文认为个人信息知情同意应由充分告知、表意能力、完全理解和自愿同意四个要素组成，此四要素共同构成个人信息知情同意的基本内涵。知情同意以信息处理者告知为基础，信息主体充分知情后，继而自由作出有效的同意决定，其基本逻辑为：信息处理者的事先告知—信息主体的知情—信息主体做出同意的意思表示。(31)参见高志明、张亚明：《论个人信息法的基本原则》，载《华东理工大学学报(社会科学版)》2013年第5期。

需要指出的是，由于我们将informed 译为“知情”，而英文中inform、notice均有告知、通知、信息披露等含义，故有观点认为“告知”即为“知情”，其实这是一种误解。从行为学视角看，告知的行为主体是信息处理者，而知情的行为主体是信息主体。告知是信息处理者为信息主体知情同意所提供的信息条件，属于一种信息提供机制；知情则是信息主体对告知内容进行阅读、理解、内化的结果。从告知到知情需要在两个不同主体之间进行角色转换和行为转换，要真正做到充分知情，信息主体必须发挥主观能动性，增强权利意识，提高知情能力。

(四)知情同意的价值目标：保护信息主体权益

知情同意的价值目标是增强个人信息的自主控制，保护信息主体的人格利益和财产利益。其保护重点随社会发展阶段的不同而有所侧重。在小数据时代，个人信息的收集、利用仅局限于政府部门或者具有公共服务职能的社会机构，目的是为公共管理和公共服务等公共职能的履行提供依据。在此种情形下，知情同意的价值更多体现为对个人信息的个人性和人格性的保护，个人隐私保护成为此阶段知情同意的主要价值。由于政府部门对个人信息的收集、利用具有强制性，信息主体的决策空间并不大，其价值更多体现在对个人信息收集、利用行为的知情上，通过信息处理者告知义务的履行以及访问权、更正权等权利的行使，增强个人信息的自主控制能力。进入大数据时代，随着个人信息社会性和资源性的逐步凸显，个人信息的收集、使用行为不再局限于政府部门，数据企业等私营部门成为个人信息收集、利用的重要主体。私营部门对个人信息的收集、利用更多体现在对经济利益的追求上，因此大数据时代信息主体除关注个人信息安全外，也对个人信息的经济价值和出让个人信息为自身带来的利益和风险更加重视。这一阶段知情同意的价值不仅体现为对信息主体隐私利益的保护，更重要的是成为信息主体与信息处理者谈判、争取个人信息经济利益的工具。因此，罗伯特·H.斯隆(Robert H.Sloan)和理查德·瓦格纳(Richard Warner)认为，如果信息主体有足够的实践经验和知识能对信息披露带来的收益和风险进行恰当平衡，就可认为其同意是知情的。(32)See Robert H.Sloan，Richard Warner,Beyond Notice and Choice:Privacy,Norms,and Consent,14(2)J.High Tech.L.,379(2014).

三、知情同意的现实困境与学理反思

个人信息领域的知情同意肇生于小数据时代单一来源的个人信息收集场景，随着大数据时代个人信息来源的多元化、二次利用的广泛化，知情同意面临诸多困境。

其一，作为主要告知载体的个人信息保护政策位置隐蔽查找困难、术语过多晦涩难懂、信息超载文本冗长，告知效果难言乐观。首先，作为主要告知形式的个人信息保护政策或隐私政策(以下简称“隐私政策”)多以二次链接或者多次跳转链接的形式呈现，文本隐蔽、获取性差成为网站、手机APP的突出问题。(33)参见刘娇、白净：《中外移动APP用户隐私保护文本比较研究》，载《汕头大学学报(哲学社会科学版)》2017年第3期。从点击次数看，用户平均需要点击3次才能找到相关的隐私政策。超过三分之一的APP需要点击3次或者4次才能到达隐私政策文本(占比分别为35.7%和33.9%)，3.6%的APP需要点击5次。甚至有些APP必须在用户注册成为会员后，才可以查看隐私政策。(34)参见朱颖：《我国移动APP隐私保护政策研究——基于96个移动应用APP的分析》，载《暨南学报(哲学社会科学版)》2017年第12期。其次，隐私政策篇幅冗长、描述复杂、专业术语过多，一般信息主体阅读存在实质困难。即使信息处理者清楚、详尽地告知个人信息处理的方式、范围和后果，信息主体也难以真正理解其中的内容，即使理解了字面含义，也难以准确理解深层内涵和可能给自身带来的影响。(35)参见武腾：《最小必要原则在平台处理个人信息实践中的适用》，载《法学研究》2021年第6期。如美国隐私政策的阅读水平一般设定为10级(大学阅读水平)，但社会平均阅读水平介于8～9级之间，(36)See M.Ryan Calo,Against Notice Skeptcism in Privacy(and Elsewhere),87 Notre Dame Law Review,1053(2012).二者之间的差距限制了许多人对政策的阅读和理解。(37)也有研究者认为美国常用网站的隐私政策声明(the privacy policy statement)需要11～12级教育水平才能准确阅读和理解。See Stephen A.Rains，Leslie A.Bosch,Privacy and Health in the Information Age:A Content Analysis of Health Web Site Privacy Policy Statements,24 Health Communication,436(2009).我国隐私政策的可读性也不容乐观，一项对63款手机APP隐私政策的定量研究显示，多数隐私政策阅读水平要求为大学一年级水平，对现阶段国内大多数网民而言，隐私政策的可读性低、阅读理解难度大。(38)参见秦克飞：《手机APP隐私政策的可读性研究》，载《情报探索》2019年第1期。我国目前未设定隐私政策阅读标准，但有研究指出，“对于信息主体而言，信息收集者的告知若不能使具有一般知识水平和生活经验的信息主体掌握或基本掌握其信息被收集、利用的情况，即可判定信息收集者未良好履行告知义务”(39)江帆、常宇豪：《个人信息保护中“知情同意”适用的困境与出路》，载岳彩申、盛学军主编：《经济法论坛》第21卷，法律出版社2018年版，第60页。。

其二，信息主体知识匮乏，对告知内容难以理解，主动知情意愿低。大数据时代，各种移动应用覆盖了人们生活的方方面面。为了自由、知情地决定是否同意各种应用对个人信息的收集，信息主体需要具备多种知识和能力，以对信息收集带来的收益和潜在危害进行准确评估。然而，多数信息主体缺乏相应的知识和能力，知识的缺乏导致许多人难以理解或应对信息披露。(40)参见〔美〕 欧姆瑞·本·沙哈尔、卡尔·E·施奈德：《过犹不及——强制披露的失败》，陈晓芳译，法律出版社2015年版，第95页。大数据时代是知识和信息的爆炸时代，各类特色平台和APP层出不穷，需要信息主体不断拓展知识空间，“就收集主体个人信息本身而言并无特别令人费解的专业知识，因此其侧重点应当是令公众知晓其行为，而非理解”的观点属于误解。(41)参见万方：《隐私政策中的告知同意原则及其异化》，载《法律科学(西北政法大学学报)》2019年第2期。尤其是多数隐私政策中都有履行法定义务需要收集的个人信息规定，比如《花椒直播用户隐私协议》载明，根据中华人民共和国相关的法律法规，在使用直播功能或服务时，需要收集真实身份信息(真实姓名、身份证号)、面部信息(用于芝麻信息识别)以完成实名验证。(42)参见《花椒直播用户隐私协议》，载http://www.huajiao.com/agree/privacy，最后访问时间：2022年2月22日。这需要信息主体了解隐私政策依据的法律名称和具体规定，以判断其要求是否合法，是否存在假借法律名义过度收集个人信息和信息滥用问题。

其三，平台和APP强制“二选一”削弱了知情同意功能，同意成为使用产品或者服务的符号，而非自己意思的真实表示。在许多平台和APP应用中，要求信息主体在“同意”和“不同意”之间进行选择，即“二选一”现象。同意代表对隐私政策的认可和收集相关个人信息的授权，是使用其产品或服务的前提；不同意则为相反意思之表示，相应地，无法使用其产品或享受其服务。目前平台隐私政策多为制式形式，信息主体对其内容无建议权和修改权，若同意，则表示全部接受其内容，无论是否合理；若不同意，则无法使用其产品或享受其服务。消费者若想使用其产品、享受其服务，只能点“同意”，别无选择。因此，在该种语境下隐私政策是否合理以及是否阅读、能否理解，对信息主体来讲已无关紧要，因为自己根本无法改变。按照知情同意机制设计的初衷，同意应是在无外力控制下自由地做出，但受互联网经济网络效应、消费者锁定效应影响，许多具有垄断地位企业的产品或服务，直接关系到消费者根本利益，加之转移成本高昂，拒绝这些服务变得越来越难。在这种情形下，这些根本利益本身的重要性以及其他消极压力和影响构成外力控制，胁迫信息主体在“同意”与“不同意”中做出选择。(43)参见王籍慧：《个人信息处理中同意原则的正当性——基于同意原则双重困境的视角》，载《江西社会科学》2018年第6期。只能选择“同意”的前提下，隐私政策的阅读和知情变得毫无必要，同意成为使用产品或享受服务的代名词。

其四，信息来源多元化、处理流程复杂化以及广泛的个人信息二次利用架空了知情同意。在大数据时代，信息收集、使用方式趋向多元化，除传统的“一对一”收集外，数据共享、cookies抓取、刷脸支付(门禁等)、监控设备、无人机或无人驾驶汽车等新型收集方式成为个人信息收集的重要途径，且占据了信息收集的主导地位。美国亚利桑那大学的一项研究表明，健康类网站的消费者个人信息中有80%来自自动抓取(collect automatically)。上述新型数据收集方式很难告知并征得信息主体同意。大数据聚合、挖掘所进行的“数据二次处理”也是如此。(44)参见常宇豪：《论信息主体同意权的绝对化困境与相对性重构——兼论〈个人信息保护法(二审稿)〉同意制度的完善》，载《江西财经大学学报》2021年第5期。

其五，不加区分的适用知情同意使信息主体陷入告知同意疲劳。根据法律规定，知情同意是个人信息收集、使用最主要的合法途径，多数信息收集、使用行为需要告知信息主体并获得同意，频繁告知、多次索取同意导致出现告知同意疲劳。据工业和信息化部统计，截止到2021年12月底，我国市场上监测到的移动应用252万款，其中本土第三方应用商店移动应用数量超过117万款，苹果商店(中国区)移动应用数量超过135万款，范围覆盖了人们日常生活涉及的诸多领域。(45)参见工信部：《2021年我国APP总量持续下降 其中游戏类APP数量仍居首位》，载https://www.sohu.com/a/520633632_121291394，最后访问时间：2022年2月17日。消费者初次使用任何一款APP均需在阅读其隐私政策后提供必需的个人信息；还有一些隐私政策根据法律规定属于定向推送或者邮寄送达，比如根据美国《金融服务现代化法案》规定，金融机构在向第三方分享消费者非公开个人信息前，必须明确告知消费者且之后不论隐私政策内容是否发生变化，需要每年至少邮寄送达一次。(46)See Gramm-Leach-Bliley Act of 1999(Financial service Modernization Act of 1999),Pub.L.No.106-102,113 Stat.1338(codified as amended in scattered sections of 12,15 U.S.C.).频繁告知、多次同意给消费者带来沉重负担。据美国2008年进行的一次调查，消费者全部阅读常用网站隐私政策需要花费244个小时，甚至每年超过30个工作日。美国联邦贸易委员会主席乔恩·莱博维茨(Jon Leibowitz)在2009年指出：我们都知道，消费者根本不去阅读隐私政策。(47)See Fred H.Cate,The Limits of Notice and Choice,IEEE Security & Privacy Magazine,59-62(2010).

面对知情同意在实践中的诸多困境，国内外学界进行了集体性反思与争论。主张废除知情同意规则的学者认为该规则在大数据时代既无法有效保护个人信息，又阻碍了数据流通及创新应用，不应再成为个人信息处理的合法性基础。(48)持此观点的如范为：《大数据时代个人信息保护的路径重构》，载《环球法律评论》2016第5期；田野：《大数据时代知情同意原则的困境与出路——以生物资料库的个人信息保护为例》，载《法制与社会发展》2018年第6期；任龙龙：《论同意不是个人信息处理的正当性基础》，载《政治与法律》2016年第1期。支持者出于知情同意在个人信息保护法律体系中的重要性、维护人格完整性和人的主体性，以及平衡信息主体与信息处理者权利势差之需要，认为知情同意不应轻言放弃，但需要进行改良和完善，并提出若干改良方案。(49)参见前引〔11〕，徐丽枝文；王成：《个人信息民法保护模式选择》，载《中国社会科学》2019年第6期；吕炳斌：《个人信息保护的“同意”困境及其出路》，载《法商研究》2021年第2期。较为典型的是基于场景风险理论的差别性适用探索，如有学者提出可根据不同场景中个人信息处理风险的高低适用不同的同意要求；(50)参见前引〔48〕，范为文。也有学者建议采用“场景合理+拟制同意=合法利用”模式化解知情同意的僵硬适用问题(51)参见蔡星月：《数据主体的“弱同意”及其规范结构》，载《比较法研究》2019年第4期。。另一较为常见的探索是动态同意模式的适用，主张在信息主体和信息处理者之间搭建一个交流平台，信息主体可视个人信息处理情况随时选择加入或者退出。(52)参见前引〔48〕，田野文。还有学者提出通过经济激励方式完善知情同意规则的建议。(53)参见蔡培如、王锡锌：《论个人信息保护中的人格保护与经济激励机制》，载《比较法研究》2020年第1期。笔者认为，大数据时代知情同意的功能下降是不争的事实，但鉴于知情同意在个人信息保护法律体系中的基础性地位，放弃则意味着整个法律体系根基之动摇，况且“以用户的知情、同意、选择、控制为核心来建构整体个人信息保护制度，以对抗强大的商业组织和政治力量的模式，其必要性取得了大多数人的共识，且在可见的未来，其他情形都难以撼动同意原则的主流和基础地位”(54)申卫星：《大数据时代个人信息保护的中国路径》，载《探索与争鸣》2020年第11期，第6-7页。。尤其在我国法已将知情同意确立为个人信息保护的核心规则背景下，理性的做法是立足于解释论原理研究提出消解或缓解知情同意困境的对策措施，赋予知情同意新的生命力。在方法论上，场景风险理论之运用、动态同意理论的探索以及经济激励方式均对解决知情同意困境有着积极意义，但并不符合我国严格个人信息保护的立法方向，在现有制度框架内通过规则解释和制度续造等方式探究知情同意的实现路径是较为妥帖之策。这也是本文以解释论视角探究知情同意实现路径的初衷。

四、知情同意实现的多元共治路径

知情同意的实现涉及主体较多，本文将按照信息处理者、信息主体、公共机构和社会组织四类主体探究实现路径。

(一)信息处理者依法履行告知义务

在现行法律制度框架内，信息处理者告知义务的履行是知情同意实现的主要路径。在《个人信息保护法》中，信息处理者的告知义务主要包括第17条规定的个人信息处理前的一般告知义务，第22条规定的因合并、分立、解散、被宣告破产等原因需要转移个人信息前的告知义务，第23条规定的个人信息处理者向第三方提供其处理的个人信息前的告知义务，第30条规定的处理个人敏感信息前的告知义务等。这些告知义务中的内容和形式要求成为信息处理者履行告知义务的基本法律遵循。

一方面，信息处理者应严格遵守法律规定的告知事项，确保内容真实、准确、完整，不得遗漏、伪造相关信息，也不得采用陈旧过时的信息误导信息主体。一般告知内容应包括个人信息处理者的名称或者姓名和联系方式，个人信息的处理目的、处理方式，处理的个人信息种类、保存期限，个人行使法律规定权利的方式和程序等。对于特殊情形下的告知事项，法律作了特别规定，如：涉及转移个人信息的，除一般告知事项外还应当向个人告知接收方的名称或者姓名和联系方式；需要向其他处理者提供个人信息的，需增加告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意；需要处理敏感个人信息的，还需告知处理敏感个人信息的必要性以及对个人权益的影响等事项。

另一方面要严格依照法律规定的形式进行告知。《个人信息保护法》第17条规定“应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知”，此规定为解决告知文本不友好痼疾提供了指引。首先，告知文本位置应显著，便于查找和阅读。信息处理者应严格按照《信息安全技术 个人信息安全规范》(GB/T35273—2020)的要求，将隐私政策链接在网站主页、移动应用程序安装页、社交媒体首页等显著位置进行设置。(55)参见《信息安全技术 个人信息安全规范》(GB/T35273—2020)第5.5(d)条。其次，告知语言应清晰易懂，提高阅读体验感。做到条理清晰、语言简洁、通俗易懂、要求明确，而且告知请求事项要单独列出，不与其他事项混杂，使阅读者一目了然。近年来，针对隐私政策隐晦、难懂、可读性差等问题，学界和业界进行了多种创新，如通过法律术语通俗化、(56)See Mike Yang,Trmming Our Privacy Plolicies,Offcial Google Blog，Sept.3,2010，available at http//googleblog.blogstop.com/2010/09/trimming-privacy-policies.html,last visited on Nov.8,2021.分层通知、(57)See Center for Information Policy Leadership,Hunton & Williams LLP,Ten Steps to Develop a Multilayered Privacy Notice 1,2007, available at http://www. informationpolicycentre.com/files/Uploads/Documents/Centre/Ten Stepsw hitepaper.pdf, last visited on Dec. 5, 2021.表格化、图示化、标签化(58)See Patrick Gage Kelley et al.,Carnegie Mellon Univ,Standardizing Privacy Notice(2010),available at http://repository.cmu.edu/cgi/viewcontent.cgi?articlr=1002&conntext=cylab,last visited on Nov.20,2021;Alan Levy,Manoj Hastak.,Consumer Comprehension of Financial Privacy Notices(2008).和其他标准化披露、缩短篇幅等形式，(59)See Corey A.Ciocchetti,The Future of Privacy Policies:A Privacy Nutrition Label Filled with Fair Information Practies,26 J.Marshail J.Computer &Info.L.,45(2008).使隐私政策更易懂，内容更直观、突出。笔者进行的一项调查表明，有85.47%的被调查者认为将在隐私政策编写简洁、保证可读懂且不会占用过多时间的前提下认真阅读隐私政策。可见，改善告知语言和形式有利于消解隐私文本阅读体验差之顽疾。再次，告知形式应进行创新，满足不同群体诉求。隐私政策是针对不特定主体进行告知的，由于不同人群需求不同、知识结构各异，对隐私政策的详略程度、专业化水平以及个人信息处理可能引发的风险要求并不完全一致。比如，执法人员、司法人员、研究人员、信息专业人士和第三方评估机构要求告知内容详尽、描述准确、用语专业；而一般信息主体则希望隐私政策内容简短、重点突出、语言平实、易于理解。多元化需求的存在，导致同一隐私政策难以协调明确性与具体性、简洁性与全面性、通俗性与专业性之间的冲突。为了回应不同群体之诉求，信息处理者需要进行告知形式创新。一个可行的方案是采用“长短版结合”的形式进行告知。长版隐私政策属专业型隐私政策，供执法者、司法者和专业人士阅读，突出内容的全面性、完整性、专业性，可以链接形式呈现；短板隐私政策属公众型隐私政策，主要服务于一般信息主体，需凸显内容的简洁性、明确性和通俗性，可在突出位置设置，便于公众阅读。对于特殊情形下对特定主体的告知，则采用因人而异的个性化告知形式，以精确匹配异质需求。(60)See Christoph Busch,Implementing Personalized Law:Personalized Disclosures in Consumer Law and Privacy Law,86(2)The University of Chicago Law Review,551-580(2019).同时，隐私政策应目的明确、请求事项具体，以确保信息主体同意的真实、有效。

(二)信息主体增强知情能力和行权意识

《个人信息保护法》第44条赋予了个人对其个人信息处理的知情权和决定权，个人有权限制或者拒绝他人对其个人信息的处理。因此，信息主体可在信息处理者依法告知的基础上依决定事项之需要，向信息处理者索取与自己有关的处理信息，以在充分知情的前提下做出是否同意信息处理者处理自己个人信息的理性选择。这要求信息主体具备足够的知识储备和知情能力，同时增强知情权和决定权的行权意识。

1.增强知识储备和知情能力

知情是信息主体在信息处理者充分告知的基础上充分内化的结果。如何在告知基础上做到充分知情，信息主体有效增强知识储备、提高自身知情能力是关键。隐私政策内容一般包括拟收集信息的类型及数量、用途、收集者或与之共享的第三方信息等，要做到读懂、理解至少需要常识性和专业性两方面知识。其一，对于平台或者APP的通用功能，一般需要收集姓名、手机号码、出生日期等身份信息；当使用支付功能时，需收集姓名、银行卡类型及卡号、有效期及银行预留手机号码等信息；当需要发布音视频、图片文字和进行直播时，则需要授权使用相机、麦克风权限和设备所在位置信息权限。这些常识性知识是生活在大数据时代公民的必备知识。其二，根据功能差异，不同平台对独具特色的功能有特殊规定，如《微信隐私保护指引》第1.2条规定，当使用微信服务时，需要收集设备型号、操作系统、唯一设备标识符、登录IP地址、微信软件版本号、介入网络的方式和类型、设备加速器、操作日志等信息。(61)参见《微信隐私保护指引》，载https://weixin.qq.com/agreement?lang=zh_CN&cc=CN&s=privacy&v=1&need，最后访问时间：2022年1月28日。《蚂蚁金服隐私权政策》规定，为了进行业务风险评估，需要记录使用设备型号、IP地址、设备软件版本信息、设备识别码、设备标识符、位置、网络使用习惯以及其他与服务相关的日志信息等。要理解上述规定，首先需要了解相关功能的基本内容，其次需要知晓使用这些功能需要的基本信息类型。这样才能准确甄别政策文本中规定收集的个人信息种类是否必要、是否存在过度收集情形。

2.提高知情权和同意权行权意识

目前对隐私政策的法律性质尚存在争议，从国外法律实践看，美国普遍将隐私政策视为合同，正如马克·莱姆利(Mark Lemley)指出的：“双方同意合同条款是合同法的基本原则，同意赋予了合同私法上的合法性。”(62)Mark A.Lemley,Terms of Use，91 Minn.L.Rev.,459,464-465(2006).这意味着只要信息主体有同意行为，即可认定其认同了隐私政策之约定，自然需要受该合同之约束。因此，信息主体应主动阅读、理解隐私政策的内容，了解其中规定的个人信息收集、使用、共享政策，收集的具体信息种类，以及个人信息处理可能带来的风险，在充分知情后慎重做出选择，避免因未认真阅读隐私政策而盲目同意带来不利后果。对于隐私政策中难以理解的专业术语，应积极行使知情权，要求信息处理者以通俗语言进行解释；对于法定告知内容无法满足同意权行使需要的情形，应及时向信息处理者要求所需信息，真正将个人同意建立在充分知情基础上，使同意充分体现自己的自由意志。

(三)公权力机构完善法律制度，严格执法司法

“建立健全个人信息保护制度，预防和惩治侵害个人信息权益的行为”是《个人信息保护法》赋予公共机构的职责，公共机构应通过完善法律制度、加强行政执法、强化司法保护等方式，保证信息主体知情同意之实现。

1.完善法律制度，弥合告知事项与民众关切之错位

我国《个人信息保护法》规定的个人信息处理前告知事项包括：信息处理者名称或者姓名和联系方式；个人信息的处理目的、处理方式，处理的个人信息种类、保存期限；信息主体权利的行使方式和程序等。但根据国内外对公众隐私关注的研究，信息主体在做出同意决定之前更多关注的是隐私保护和隐私损失(privacy loss)等问题。根据巴特·卡斯特斯(Bart Custers)、西蒙娜·范德霍夫(Simone Van der Hof)和巴特·舍默(Bart Schermer)等人的调查，向网站提供个人信息可能造成的隐私损失和个人隐私保护两个问题的关注值在里克特七分量表上分别达到5.78和5.28，表明信息主体对此两类问题高度关注。(63)See Bart Custers，Simone Van der Hof,Bart Schermer，Sandra Appleby-Arnoid,Noelie Brockdorff,Informed Consent in Social Media Use-The Gap between User Expectations and EU Personal Data Protection Law,10(4)SCRIPT-ed, 441(2013).塔玛拉·迪内夫(Dinev)和保罗·哈特(Hart)的研究也表明消费者关注重点是非授权访问、黑客攻击、安全漏洞、非授权二次使用、信息错误等与隐私泄露、隐私危害等与隐私安全相关的问题。(64)See Dinev T,Hart P,Internet Privacy Concerns and their Antecedents-measurement Validity and a Regression Model,23(6)Behaviour & Information Technology,413(2004).然而，现行《个人信息保护法》并未将个人信息安全保护措施、信息泄露可能给信息主体造成的危害等公众关心的问题纳入告知范围，法定告知内容与信息主体的隐私关注存在错位，现有告知信息无法满足信息主体同意决策之需要。应以《个人信息保护法》第17条第1款第(4)项“法律、行政法规规定应当告知的其他事项”为依托，在未来出台配套行政法规时，将个人信息处理可能给信息主体带来的风险以及与之相关的安全隐患列入依法必须告知范围，以回应信息主体之关切。

2.加强行政执法，削减权利势差

进入大数据时代，信息主体与信息处理者之间在信息拥有、技术能力等方面差距拉大，已然形成巨大的权利势差。在强势的信息处理者面前，强制“二选一”、超范围收集个人信息、不告知收集处理个人信息等问题突出，知情同意被架空，市场失灵现象明显。政府作为市场秩序的维护者和规则的制定者，有必要对个人信息处理者的义务履行进行监管，以解决告知义务履行不充分、模糊告知、强制同意等削弱知情同意的问题，迅速恢复个人信息利用秩序。一方面，严格执行《App违法违规收集使用个人信息行为认定方法》《App违法违规收集使用个人信息自评估指南》等政策规范，继续对违规收集用户个人信息、违规使用用户个人信息、不合理索取用户权限等突出问题进行整治，公开曝光、约谈、下架、关闭一批问题严重且整改不彻底的App和网站，使无隐私政策、捆绑授权和强制索权、超范围收集使用个人信息等典型问题得到根本改善。另一方面，坚持问题导向，对人脸识别等生物特征信息收集使用不规范，深度伪造，App后台自启动、关联启动、私自调用权限上传个人信息，录音、拍照等敏感权限滥用等社会反映强烈的重点问题进行集中整治，通过行政权力制约数据权力的方式，防止信息处理者利用权利势差刻意规避知情同意现象的发生。

3.转化保护模式，强化司法保护

目前，我国司法审判普遍采用义务模式保护信息主体的知情同意。在义务模式下，法院将信息处理者法定义务之履行作为判断信息主体是否知情的标准。只要信息处理者履行了法定告知义务，且信息主体有机会阅读并了解告知内容，不论个人是否真正阅读或是否读懂、理解，法院都将认定信息主体做出的同意为“知情同意”。在“朱某与北京百度网讯科技有限公司隐私权纠纷案”中，二审法院即认为：“百度网讯公司在《使用百度前必读》中已经明确告知网络用户可以使用包括禁用cookie、清除cookie或者提供禁用按钮等方式阻止个性化推荐内容的展现，尊重了用户选择权。朱某在百度网讯公司已经明确告知上述事项后，仍然使用百度搜索引擎服务，应视为对百度网讯公司采用默认‘选择同意’方式的认可。”(65)江苏省南京市中级人民法院(2014)宁民终字第5028号民事判决书。此种裁判思路即为义务保护模式。但在一审法院采用的权利保护模式下，尽管百度网讯公司网页中的《使用百度前必读》有说明和提醒的内容，但文字放在了网页的最下方，不仅字体明显较小，而且还夹在“◎2014baidu”与“京ICP证030173号”中间，难以识别并加以注意，无法起到规范的说明和提醒作用，不足以让消费者明了存在“选择同意”的权利，因此认定被告侵犯了消费者知情权和选择权。同一个案件，一审法院和二审法院得出了完全相反的结论，原因即在于两个法院采用了不同的裁判思路。当二审法院采用义务保护模式时，明知消费者的知情利益未受到应有的保护，但由于经营者未违反法定告知义务，仍然不能为消费者的知情利益提供充分的保护。(66)参见李友根：《论经济法权利的生成——以知情权为例》，载《法制与社会发展》2008年第6期。因此，在司法维度上，只有以信息主体为中心，变义务保护模式为权利保护模式，方可实现对信息主体知情同意的充分保护。尤其在《个人信息保护法》已经正式赋予信息主体知情权和决定权的背景下，权利保护模式更具有必要性和现实性。

(四)社会组织强化行业自律和第三方认证

1.制定科学的行业告知文本

遵守知情同意规则、强化个人信息保护符合企业和行业的根本利益。良好的行业自律既可以为立法提供指引，避免盲目立法抑制信息产业发展，又可以以之提升经营者商誉，吸引消费者“用脚投票”。(67)参见张新宝：《从隐私到个人信息:利益再衡量的理论与制度安排》，载《中国法学》2015年第3期。因此，应当鼓励企业适应大数据时代的特点，确立数据安全观念，把数据当作核心资产，秉持用户个人信息至上的基本价值观， 培育保护个人信息就是维护核心竞争力的意识， 积极主动承担个人信息保护责任。(68)参见周汉华：《 探索激励相容的个人数据治理之道——中国个人信息保护法的立法方向》，载《法学研究》2018年第2期。

一个可能的方向是由行业协会针对不同类型信息处理者开展不同业务时的不同需求，编写本行业自律公约和隐私政策示范文本。例如《国民经济行业分类》(GB/4754—2011)中邮政业的快递服务需要收集信息主体的姓名、地址、电话号码，而不需要收集网络邮箱号或指纹信息；又如淘宝、京东等互联网销售平台与优步、滴滴出行等互联网约车平台虽然同属于互联网生活服务平台，但业务模式、交易方式、实现功能都完全不同，即可在统一的保护细则或自律公约下分别编写不同的示范文本。信息处理者按照行业惯例收集本行业一般经营者所需的个人信息时可按照上述个人信息分类标准进行监管，而收集额外信息或将信息用于非常规用途时则必须向信息主体详细告知并征得同意，所受监管也将更加严格。这种保护模式一方面细化了个人信息保护场景，实现了法律稳定性、可预测性和针对性保护的有机统一，另一方面在隐私风险无法完全避免的前提下可将风险控制在最低限度。

2.强化第三方认证

充分发挥第三方认证机构专业性强、技术力量雄厚的优势，构建知情同意第三方认证体系，以此作为个人信息事前保护的重要内容。信息处理者如果希望取得认证机构的认证则需要符合该机构的个人信息保护标准。一旦认证机构形成公信力并为信息主体所熟知，具有该认证机构的认证就会成为信息处理者的核心竞争力，从而激励信息处理者自觉履行告知义务，提高个人信息保护水平。在通过认证的背景下，信息主体虽然可能仍无法完全理解隐私政策的全部内容，但可以通过信息处理者的认证资格对其个人信息保护水平产生信任，并基于信任做出同意。对于认证的作用，索罗夫教授以食品和汽车为例指出，我们并不具备食品和汽车安全的专业知识，但是食品和汽车制造商需要根据安全标准进行生产，消费者只需要了解其是否符合标准即可。(69)See Daniel J.Solove,Privacy Self-Management and the Consent Dilemma,126 Harvard Law Review,1880(2013).美国对于隐私认证已经发展出了一套较为完备的体系可供借鉴，我国也已经成立了互联网诚信联盟(iTrust)可提供个人信息安全认证，其核心成员包括了人民网、阿里巴巴、新浪、腾讯、百度、搜狐、网易、凤凰网等国内较有影响力的网络服务提供商，但其影响力(尤其是对信息主体而言)还有待提升。

五、结 语

信息主体的知情同意是我国个人信息保护法的法律基础，也是访问权、撤回权、修改权、携带权、删除权等个人信息权具体权能存在的前提和条件。(70)参见前引〔49〕,王成文。尽管在大数据时代知情同意陷入困境，但轻言放弃并非明智之举。《个人信息保护法》创设信息主体知情权和决定权，昭示着我国个人信息保护立法坚持自主控制、弘扬“以人为本”理念的强化。当然，由于信息处理者和信息主体之间存在严重的权利势差，加之信息主体专业知识和信息技能的匮乏，仅仅依靠个人无法充分实现知情同意，必须借助公权力介入以监督信息处理者法定告知义务的履行，通过加强行政执法改善制约信息主体知情同意实现的社会环境、制度环境和技术环境，遏制信息处理者利用数据权力刻意规避、架空知情同意现象的发生。同时，积极发挥行业协会和第三方机构专业性强、技术力量雄厚之优势，共同营造有利于知情同意实现的氛围，打造具有中国本土特色的知情同意实现机制。《个人信息保护法》创设知情权和决定权仅是提高知情同意保护水平的开端，未来应通过配套法规、规章建设和法律解释，明确信息主体主动知情的程序和路径，同时将司法保护从义务模式转向权利模式，方能真正实现信息主体的知情同意，助力《个人信息保护法》的实施。需要指出的是，强调信息主体知情同意的实现并非将之绝对化，个人信息的处理应以《个人信息保护法》第13条确立的多元合法性基础为依托，本文意图在于探讨以同意为合法性基础的处理情形中如何使同意建立在知情前提上，保证信息主体的同意决定真正体现自己的自由意志。