一句话回答：处理个人信息之前，必须先告诉对方你是谁、拿信息干什么、怎么处理、保存多久、他有什么权利。这套先说清楚、再取得同意的规则，就是《个人信息保护法》里的告知同意规则。没告知就收集，或者用默认勾选的方式制造假同意，都属于违法处理个人信息，轻则责令改正、警告、没收违法所得，情节严重的最高可罚五千万元或者上一年度营业额的百分之五。

一、法律依据：第十三条、第十四条、第十七条

《个人信息保护法》第十三条规定，符合下列情形之一的，个人信息处理者方可处理个人信息：取得个人的同意；为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；为履行法定职责或者法定义务所必需；为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；法律、行政法规规定的其他情形。

第十四条规定，基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出；法律、行政法规规定应当取得个人单独同意或者书面同意的，从其规定；处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得个人同意。

第十七条把要告知什么写得很具体：处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地告知下列事项——一是个人信息处理者的名称或者姓名和联系方式；二是个人信息的处理目的、处理方式，处理的个人信息种类、保存期限；三是个人行使本法规定权利的方式和程序；四是法律、行政法规规定应当告知的其他事项。这些事项发生变更的，应当将变更部分告知个人。通过制定个人信息处理规则（也就是通常说的隐私政策）告知的，规则应当公开，并且便于查阅和保存。

二、同意必须满足三个条件

第一，充分知情。同意的前提是告知做到位，告知不完整，同意就失去了基础。

第二，自愿。《个人信息保护法》第十六条明确规定，处理者不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务；处理个人信息属于提供产品或者服务所必需的除外。也就是说，不同意就不给用这种操作，除非信息确实是提供服务的必需项，否则本身违法。

第三，明确。默认勾选、捆绑授权、一揽子同意，都不符合自愿、明确的要求。第十五条还给了个人撤回同意权，并要求处理者提供便捷的撤回方式。

另外要区分一般同意和单独同意。向其他处理者提供个人信息、处理敏感个人信息、公开个人信息、向境外提供个人信息等场景，依法需要取得个人的单独同意，不能用一条概括条款打包带走。

三、实务中要注意什么

第一，告知要做分层。注册页面上一行小字、把隐私政策藏在页面底部，很难被认定为显著方式。比较稳妥的做法是：首次收集前弹窗提示核心事项，隐私政策全文可一键打开，涉及单独同意的单独弹窗。

第二，保存同意记录。谁来证明同意存在？是处理者。所以要留存同意的版本号、时间戳和当时告知内容的快照，一旦发生争议能拿出证据。

第三，信息变更要重新取得同意。业务上线新功能、新增第三方共享、改变使用目的，都属于处理目的、方式、种类发生变更，必须重新取得同意，不能靠旧的授权继续用。

第四，罚则不轻。《个人信息保护法》第六十六条规定：违反本法规定处理个人信息，或者处理个人信息未履行本法规定的个人信息保护义务的，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得，对违法处理个人信息的应用程序，责令暂停或者终止提供服务；拒不改正的，并处一百万元以下罚款；对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。情节严重的，由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照；对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款，并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。

四、案例分析

（示意情景）某生活服务类App在用户注册时，只在一个折叠弹窗里放了隐私政策链接，没有单独说明收集通讯录、位置信息的目的和保存期限，并把已阅读并同意设为默认勾选。被监管部门检查发现后，认定其未以显著方式完整告知，且同意并非自愿明确作出，责令限期改正并处罚款；因涉及信息种类较多，被要求同步整改第三方共享清单。这个情景的要点是：告知同意不是形式动作，弹窗设计、勾选方式、告知颗粒度都会成为执法认定的证据。（本案例为示意情景，不是真实案件。）

五、常见问题（FAQ）

问：处理个人信息前必须告知哪些内容？

答：依据个人信息保护法第十七条，应当以显著方式、清晰易懂的语言告知四类事项：处理者的名称或者姓名和联系方式；处理目的、处理方式、处理的个人信息种类和保存期限；个人行使权利的方式和程序；法律、行政法规规定应当告知的其他事项。事项变更的，要告知变更部分。

问：用户不同意，企业还能不能用他的信息？

答：不能，除非属于个人信息保护法第十三条第一款第二项至第七项的情形，例如为订立、履行合同所必需，或者为履行法定义务所必需，这些情形不需要取得个人同意。

问：不同意就不让用App，这样合法吗？

答：个人信息保护法第十六条明确禁止这种捆绑，除非处理个人信息属于提供产品或者服务所必需。否则以不同意或者撤回同意为由拒绝提供服务，本身构成违法。

问：哪些情况需要单独同意？

答：向其他个人信息处理者提供个人信息、处理敏感个人信息、公开个人信息、向境外提供个人信息等情形，依法需要取得个人的单独同意，不能用概括条款代替。

问：没告知就收集会被罚多少？

答：由履行个人信息保护职责的部门责令改正、给予警告、没收违法所得，拒不改正的并处一百万元以下罚款；情节严重的，并处五千万元以下或者上一年度营业额百分之五以下罚款，还可以责令暂停相关业务或者停业整顿。

问：业务变了，原来的同意还能继续用吗？

答：不能。处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得个人同意。

相关阅读

王冠律师｜北京浩略律师事务所联合创始人｜咨询电话：17813108512