一、问题的提出
个人信息保护法建立了以“告知—同意”为核心的处理规则。第十三条规定了七项合法性基础，第一项是取得个人的同意；第十四条至第十七条规定了同意的要件、告知的义务、撤回的权利以及不得因拒绝同意而拒绝提供服务的规则。
规则运行中，争议集中在三个层面。第一，性质层面：同意是意思表示，还是违法阻却事由；其效力来自当事人的意思，还是来自法律的规定。第二，要件层面：同意须具备哪些要件，概括同意是否有效，单独同意与书面同意的适用情形如何。第三，效力层面：同意的瑕疵如何处理，撤回的效力如何，与其他合法性基础的关系如何。
实务中存在两种偏向。其一是意思表示说：把同意当作纯粹的合同行为，认为只要形式上取得同意，即产生合法性；即使同意是捆绑的、概括的、不自愿的，也因为“已经同意”而有效。其二是万能基础说：把同意当作唯一的合法性基础，忽视了第十三条规定的其他六项情形，导致处理者在任何场景下都要求同意，反而加重了个人负担。
本文的基本主张是：同意在性质上是准法律行为，其效果由法律规定而非当事人意思，故同意的效力受法律的限制，不能通过同意放弃不可放弃的权利；告知是独立的义务，违反告知义务本身即构成违法处理；同意须具备自愿、明确、知情三项要件，概括同意原则上无效；撤回的效力仅向将来发生。
哪些情形需要同意、哪些情形不需要、告知应当包含什么内容，操作层面的规则可参见“告知同意：告知什么、怎么取得同意、哪些情形根本不需要同意”一文的梳理；本文不重复操作的步骤，只讨论同意的性质、要件与效力。
二、同意的规范性质
（一）意思表示说与违法阻却说
关于同意的性质，学理上有两种主张。意思表示说认为，同意是个人对其信息自决权的处分，属于意思表示，其效力来源于个人的自主决定；违法阻却说认为，同意是阻却处理行为违法性的事由，其效力来源于法律的规定，而非当事人的意思。
两说的差异，在裁判上表现为三个问题：同意能否放弃法律赋予的权利；同意的范围能否由当事人约定；同意的瑕疵应依何种规则处理。意思表示说倾向于肯定前两者，适用民法典关于意思表示的规定；违法阻却说倾向于否定前者，适用特别的规则。
本文认为，两种主张各有解释力，但均不完整。同意具有意思表示的外观，其成立须有表示行为；但其效果不由当事人的意思决定，而由法律直接规定：同意使处理行为获得合法性，但不同意为处理者创设义务，也不使个人丧失撤回的权利。此点，与意思表示的效果意思不同。
故同意的性质，应界定为准法律行为。准法律行为的特点是：有表示行为，但效果由法律规定；其成立适用意思表示的规定，其效果适用法律的特别规定。这一界定，既承认同意的表示属性，又限制其效果的任意性。
（二）准法律行为的定位
准法律行为的定位，有三个实益。其一，同意的成立，适用意思表示的一般规则：须有表示行为、须有行为能力、须无瑕疵。其二，同意的效果，适用个人信息保护法的特别规定：使处理合法、可撤回、不影响撤回前的效力。其三，同意的范围，受法律的限制：不得放弃不可放弃的权利，不得违反法律的强制性规定。
须注意，准法律行为的定位，不意味着同意完全不具有自主性。个人可以选择同意或者不同意，可以选择同意的范围与期限；此点，是信息自决权的体现。但选择的后果，由法律规定：同意后仍可撤回，撤回后处理者不得报复。
实务中，有的处理者以“已取得同意”为由，主张其处理行为不受任何限制。此种主张不能成立。同意只使处理获得合法性基础，不免除处理者的其他义务：告知的义务、安全保障的义务、删除的义务，均不因同意而免除。
还须注意，同意不使个人放弃损害赔偿请求权。处理者违反法律规定处理个人信息，造成损害的，个人仍可以请求赔偿；同意不是免责的条款，不能以“已同意”为由对抗损害赔偿的请求。此点，是同意效力的边界。
（三）与合同的关系
同意与合同，常被混淆。处理者常以“用户协议”的形式取得同意，使同意与合同融为一体。但两者性质不同：合同是双方的意思表示一致，其内容由当事人约定；同意是单方的准法律行为，其效果由法律规定。
混淆的后果，是把同意当作合同的条款，适用合同法的一般规则：只要用户点击同意，即受约束；即使条款不公平，也因为“已同意”而有效。此种处理，忽视了同意的法定限制，也忽视了格式条款的规制。
须注意，两者的分离。用户协议中的同意条款，应当独立于其他条款，以显著方式提示；不得以“继续使用即视为同意”的方式，将同意捆绑在服务条款之中。此点，是同意独立性的要求。
还须注意，合同的必要性抗辩。处理者主张处理为履行合同所必需的，属于第十三条第二项的情形，不需要取得同意；但“必需”的判断应当严格，限于实现合同目的所不可缺少的处理，不包括为营销、改进服务等目的的处理。此点，是合同基础与同意基础的区分。
三、告知与同意的关系
（一）告知的独立性
个人信息保护法第十七条规定，处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地告知法定事项。告知是独立的义务，其履行不以取得同意为前提；即使处理属于第十三条第二项至第七项的情形，不需要同意，仍须告知。
告知的独立性，体现在三个方面。其一，义务的独立：告知义务由法律直接规定，不因处理的合法性基础不同而免除。其二，违反的独立：未告知的，即使取得同意，处理行为仍属违法。其三，救济的独立：个人可以就未告知的行为，请求停止处理、删除信息、赔偿损失。
须注意，告知与同意的先后。告知应当在同意之前，使个人在充分知情的前提下作出决定；先同意后告知的，同意无效。此点，是知情要件的程序保障。
实务中，有的处理者在隐私政策中笼统列举处理目的，未具体说明处理方式与信息种类。此种告知不完整，不构成有效的告知；据此取得的同意，存在瑕疵。告知的完整性，是同意有效性的前提。
（二）告知瑕疵的后果
告知瑕疵，包括未告知、告知不真实、告知不准确、告知不完整、告知的方式不显著。不同的瑕疵，后果不同。
未告知的，处理行为自始违法，个人可以请求停止处理、删除信息；造成损害的，可以请求赔偿。此点，是告知义务的刚性。
告知不真实的，例如虚构处理目的、隐瞒向第三方提供的事实，构成欺诈；个人可以依民法典第一百四十八条撤销同意，并请求赔偿。此点，是告知瑕疵与意思表示瑕疵的衔接。
告知不完整的，例如遗漏保存期限、遗漏个人行使权利的方式，属于一般瑕疵；个人可以请求补充告知，处理者在合理期限内补充的，同意的效力不受影响；拒不补充的，个人可以撤回同意。此点，是瑕疵程度的分层处理。
须注意，告知方式的不显著。隐私政策置于页面底部、字体过小、默认勾选，均属方式不显著；方式不显著的，视为未告知。此点，是形式要求与实质效果的统一。
四、同意的要件与类型
（一）自愿、明确、知情
第十四条规定，同意应当由个人在充分知情的前提下自愿、明确作出。三项要件，缺一不可。
自愿，指同意须出于个人的自由意志，不受欺诈、胁迫或者不当影响。捆绑同意、默认勾选、拒绝即不能使用服务，均可能影响自愿性；但服务确需该信息才能提供的，拒绝授权导致不能使用，不构成对自愿性的影响。
明确，指同意须以清晰的方式作出，不能以沉默或者不作为推定。预勾选的选项、隐晦的表述、需要额外操作才能拒绝的设置，均不构成明确；此点，是“选择加入”而非“选择退出”的要求。
知情，指个人在同意前，已经获得告知的全部内容，且能够理解其含义。告知的语言应当清晰易懂，避免专业术语的堆砌；涉及未成年人的，应当以未成年人能够理解的方式告知。
须注意，三项要件的证明责任。处理者主张已取得有效同意的，应当就三项要件承担证明责任：证明其已告知、证明个人已明确作出、证明不存在影响自愿性的情形。举证不能的，视为未取得同意。
（二）员工信息的同意
劳动关系中的个人信息处理，具有特殊性。劳动者对用人单位的从属性，使其同意往往缺乏自愿性；若不区分情形，要求用人单位逐一取得同意，将使正常的人力资源管理无法进行。
个人信息保护法第十三条第一款第二项为此提供了通道：按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需的，不需要取得同意。该情形的适用，须具备三项：有合法的规章制度或者集体合同、属于人力资源管理所必需、符合必要性原则。
须注意，规章制度的合法性。规章制度须经民主程序制定、向劳动者公示，方为合法；未经民主程序的规章制度，不能作为处理的依据。此点，与劳动合同法的规定一致。
还须注意，必需的范围。考勤、工资发放、社保缴纳所需的身份信息、银行账号，属于必需；收集员工的家庭成员信息、行踪轨迹、社交关系，不属于必需。超出必需范围的，仍须取得单独同意。
实务中，有的用人单位以“管理需要”为由，收集员工的全部通讯记录、安装定位软件。此种处理超出了必需的范围，构成违法；劳动者可以请求停止处理、删除信息，造成损害的可以请求赔偿。此点，是从属性的界限。
（三）单独同意与书面同意
个人信息保护法在特定情形下要求单独同意或者书面同意。单独同意，指针对特定事项、以独立的方式取得的同意，不能与其他事项捆绑；书面同意，指以书面形式作出的同意。
要求单独同意的情形包括：向其他处理者提供个人信息（第二十三条）、公开个人信息（第二十五条）、处理敏感个人信息（第二十九条）、向境外提供个人信息（第三十九条）、以及法律、行政法规规定的其他情形。
要求书面同意的情形，由法律、行政法规规定。例如，处理敏感个人信息，法律、行政法规规定应当取得书面同意的，从其规定。书面同意的功能，是使同意的内容固定，便于举证。
须注意，单独同意的形式。单独同意不要求独立的文件，但要求独立的表示：在一份文件中，以单独的段落、单独的勾选框，专门就特定事项取得同意；不得以“同意全部条款”的方式，概括取得单独同意。
实务中，有的处理者以“一键同意”的方式，取得全部事项的同意，包括敏感信息、第三方提供、跨境传输。此种做法不符合单独同意的要求；发生争议的，法院应当认定该同意不成立，处理行为违法。
（四）敏感信息的界定
第二十八条规定，敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。
敏感信息的处理，须具备特定的目的和充分的必要性，并采取严格的保护措施；须取得个人的单独同意，法律、行政法规规定应当取得书面同意的，从其规定；须进行个人信息保护影响评估。三项要求，缺一不可。
须注意，敏感性的判断标准。其标准是“容易导致人格尊严受侵害或者人身、财产安全受危害”，而非信息的类型本身。同一信息，在不同场景下的敏感性不同；例如，姓名在一般场景下不属于敏感信息，在特定身份的场景下可能属于。
还须注意，人脸信息的特殊性。人脸信息属于生物识别信息，具有不可更改性；一旦泄露，无法通过更换信息的方式救济。故其处理应当严格：须有特定的目的、充分的必要性，须取得单独同意，须提供替代方式。此点，是司法解释的明确要求。
实务中，有的场所强制要求人脸识别方可进入，不提供其他验证方式。此种做法不符合必要性要求；个人可以拒绝，并要求提供替代方式。此点，是选择权的保障。
（五）概括同意的效力
概括同意，指个人对处理者的全部处理行为、全部目的、全部信息种类，作出一次性的、无限制的同意。此种同意，在实务中极为常见，其效力值得检讨。
本文主张，概括同意原则上无效。理由是：其一，违反明确性要求：同意须针对特定的处理目的与方式，概括同意无从确定其范围。其二，违反知情要求：个人无从知悉未来可能发生的全部处理，其同意缺乏知情的基础。其三，违反自愿要求：概括同意往往与服务的提供捆绑，个人别无选择。
须注意，概括同意的例外。处理的目的、方式、种类在同意时已经明确，且此后不发生变更的，一次性同意可以有效；但目的、方式、种类发生变更的，应当重新取得同意。此点，是第十四条第二款的要求。
还须注意，概括同意的补正。处理者可以通过后续的单独告知与单独同意，补正此前的概括同意；补正后的处理，自补正时起合法，此前的处理仍属违法。此点，是补正的时点效力。
（六）未成年人的同意
第三十一条规定，处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意；处理者应当制定专门的个人信息处理规则。该条确立了监护人同意的规则。
监护人同意的正当性，在于未成年人欠缺完全的判断能力。其同意的效力，不以未成年人的同意为必要，但应当考虑未成年人的意愿；涉及未成年人重大利益的，应当尊重其意愿。此点，是能力补正与意愿尊重的结合。
须注意，年龄的核验。处理者应当采取合理措施核验未成年人的年龄，例如通过身份信息、技术手段；未核验致处理未成年人信息的，不能以“不知情”主张免责。此点，是注意义务的要求。
还须注意，专门规则的内容。专门规则应当包括：处理的目的、方式、种类，保存的期限，监护人行使权利的方式；规则应当以未成年人及其监护人能够理解的方式呈现。此点，是告知义务的特殊形态。
实务中，有的应用程序以“儿童模式”为名，收集未成年人的位置、通讯录、照片。此种处理超出了必需的范围，且未取得监护人同意，构成违法。此点，是儿童个人信息保护的重点。
五、效力瑕疵
（一）欺诈与胁迫
同意因欺诈、胁迫作出的，个人可以依民法典第一百四十八条、第一百五十条撤销。欺诈，指处理者故意告知虚假情况或者隐瞒真实情况，使个人陷入错误而作出同意；胁迫，指处理者以不法手段使个人产生恐惧而作出同意。
实务中，欺诈的常见形态是：虚构处理目的（如以“身份验证”为名收集通讯录）、隐瞒向第三方提供的事实、隐瞒信息泄露的风险。胁迫的常见形态是：以拒绝提供服务相要挟、以公开个人信息相威胁。
须注意，撤销的效力。同意被撤销的，视为自始未取得同意，处理行为自始违法；个人可以请求停止处理、删除信息、赔偿损失。但撤销不影响处理者在此前基于其他合法性基础的处理。
还须注意，撤销的期间。依民法典第一百五十二条，撤销权自知道或者应当知道撤销事由之日起一年内行使；因胁迫而撤销的，自胁迫行为终止之日起一年内行使。期间的经过，不影响个人请求停止处理的权利。
（二）重大误解
同意因重大误解作出的，个人可以依民法典第一百四十七条撤销。重大误解，指个人对行为的性质、对方当事人、标的等发生错误认识，致使意思表示与真实意思不符。
实务中，重大误解的常见形态是：误以为同意仅用于特定目的，实际用于其他目的；误以为可以随时撤回，实际无法撤回；误以为信息不会被共享，实际已向第三方提供。
须注意，重大误解与欺诈的区分。误解是个人自身的认识错误，欺诈是处理者的故意行为；两者可能并存，此时应当适用欺诈的规则，因为欺诈的责任更重。此点，是竞合时的处理。
还须注意，误解的证明。个人应当证明其误解的内容与同意的表示之间存在因果关系；仅证明其未阅读隐私政策，不构成重大误解，因为阅读是个人的义务。此点，是过失相抵的考量。
（三）格式条款的规制
用户协议、隐私政策，多由处理者单方制定，属于格式条款。民法典第四百九十六条至第四百九十八条规定了格式条款的规制：提供方应当以显著方式提示对方注意与其有重大利害关系的条款，并按要求予以说明；未履行提示或者说明义务，致使对方没有注意或者理解该条款的，对方可以主张该条款不成为合同的内容。
同意条款是格式条款中的典型。其规制的要点有三：其一，提示的显著性：同意条款应当以加粗、变色、单独弹窗等方式提示，不能淹没在长文中。其二，内容的公平性：不得以格式条款排除个人的主要权利，如撤回权、删除权、赔偿请求权。其三，解释的不利规则：对条款的理解发生争议的，应当作出不利于提供方的解释。
须注意，捆绑同意的处理。将同意与服务的提供捆绑，不同意的即不能使用服务，属于格式条款的滥用；但服务确需该信息才能提供的，不构成滥用。判断的标准，是信息是否为服务所必需。
还须注意，“继续使用即视为同意”的条款。该条款以不作为推定同意，不符合明确性的要求；处理者不能以用户的继续使用，主张其已取得同意。此点，是同意与合同变更的区别。
六、撤回与重新同意
（一）撤回的效力
第十五条规定，基于同意处理个人信息的，个人有权撤回其同意；处理者应当提供便捷的撤回方式。撤回是法定的权利，不得以约定排除。
撤回的效力，仅向将来发生。撤回前基于同意已进行的处理，其合法性不受影响；撤回后，处理者应当停止处理，并依个人的请求删除信息。此点，与撤销不同：撤销使同意自始无效，撤回只使同意向后失效。
须注意，撤回的便捷性。处理者应当提供与取得同意同等便捷的撤回方式：取得同意只需一次点击的，撤回也应当只需一次点击；不得设置复杂的流程、要求书面申请、收取费用。此点，是程序对等的要求。
还须注意，撤回的后果。处理者不得因个人撤回同意，而拒绝提供产品或者服务；但处理属于提供产品或者服务所必需的除外。此点，是第十六条的要求，也是防止报复性拒绝的必要安排。
（二）举证责任
个人信息侵权案件的举证责任，是实务中的难点。个人与处理者之间存在严重的信息不对称：处理的目的是否特定、信息的种类是否超出、同意的取得是否真实，均由处理者掌握。
第六十九条规定，处理个人信息侵害个人信息权益造成损害，处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。该条确立了过错推定的规则：个人只须证明损害与处理行为，处理者须证明自己没有过错。
须注意，过错推定的范围。该条适用于损害赔偿的侵权责任，不适用于停止侵害、删除信息的请求；后者的成立，只须证明处理行为违法，不以过错为要件。此点，是责任形式与要件的对应。
还须注意，同意有效性的举证。处理者主张已取得有效同意的，应当就告知的履行、同意的作出、要件的具备承担证明责任；举证不能的，视为未取得同意。此点，是过错推定在同意问题上的延伸。
（三）重新同意的要件
撤回后，处理者再次取得同意的，应当重新履行告知义务，重新取得明确的同意；不得以“此前已经同意”为由，径行恢复处理。此点，是同意的时间性要求。
须注意，重新同意的自愿性。个人撤回后，处理者不得以更优惠的条件诱导、以更严苛的限制施压，迫使个人重新同意；此种做法，影响自愿性，重新同意的效力存疑。
还须注意，重新同意的范围。重新同意只对新的处理有效，不溯及撤回期间的处理；撤回期间的处理，仍属违法，个人可以请求赔偿。此点，是期间划分的意义。
七、与其他合法性基础的关系
（一）匿名化与去标识化
第七十三条规定，匿名化，指个人信息经过处理无法识别特定自然人且不能复原的过程；去标识化，指个人信息经过处理，使其在不借助额外信息的情况下无法识别特定自然人的过程。
两者的法律效果不同。匿名化的信息，不属于个人信息，不受个人信息保护法的约束；去标识化的信息，仍属于个人信息，仍须遵守处理规则，只是风险较低。区分的标准，是能否复原。
须注意，匿名化的标准。匿名化须达到“无法识别且不能复原”的程度；仅删除姓名、身份证号，而保留其他可识别信息（如住址、职业、消费记录）的，不构成匿名化。此点，是实质标准的要求。
还须注意，匿名化的证明。处理者主张信息已匿名化的，应当就“无法识别且不能复原”承担证明责任；举证不能的，仍按个人信息处理。此点，是举证责任的分配。
实务中，有的处理者以“数据脱敏”为名，将去标识化的信息对外提供，主张不受约束。此种主张不能成立。去标识化的信息仍属个人信息，对外提供仍须取得单独同意；此点，是概念区分的实益。
（二）合同必需
第十三条第二项规定，为订立、履行个人作为一方当事人的合同所必需，可以处理个人信息，不需要取得同意。该情形在实务中被广泛援引，其边界值得明确。
“必需”的判断，应当严格。其标准是：没有该处理，合同的目的即不能实现。例如，快递服务需要收件人的姓名、地址、电话，属于必需；收集收件人的通讯录、位置轨迹，不属于必需。
须注意，必需与有用的区分。处理者常以“提升服务体验”“防范风险”为由，主张处理属于必需；此种主张超出了必需的范围。必需指向合同目的的实现，有用指向经营效益的提升，两者不能混同。
还须注意，合同基础与同意基础的选择。处理者可以选择其一作为合法性基础；选择合同基础的，不需要同意，但仍须告知；选择同意基础的，须取得有效同意，个人可以撤回。选择权在处理者，但选择的后果不同。
（三）损害赔偿的计算
个人信息侵权的损害，多为精神损害与财产损失的混合。精神损害，指因信息泄露、滥用导致的人格尊严受损、生活安宁受扰；财产损失，指因信息被用于诈骗、推销导致的直接损失。
损害的计算，有三种方式：实际损失、处理者的获利、法院酌定。实际损失难以计算的，可以按处理者因侵权所获得的利益确定；两者均难以确定的，由法院根据侵权的性质、情节、后果酌定。此点，与著作权侵权的计算方式相似。
须注意，酌定的考量因素。包括：信息的敏感程度、泄露的范围、持续的时间、处理者的过错程度、是否采取补救措施、个人的维权成本。因素的综合权衡，使酌定不至于恣意。
还须注意，惩罚性赔偿的适用。个人信息保护法未设惩罚性赔偿的规定；故对故意侵权、情节恶劣的，只能通过酌定提高赔偿数额，不能适用惩罚性赔偿。此点，与消费者权益保护法的规定不同。
（四）法定义务与公共利益
第十三条第三项至第七项规定了其他合法性基础：履行法定职责或者法定义务所必需、应对突发公共卫生事件或者紧急情况下保护生命健康与财产安全所必需、为公共利益实施新闻报道与舆论监督所必需、处理已合法公开的个人信息、法律行政法规规定的其他情形。
这些情形的共同特点，是处理的必要性由法律或者公共利益证成，不需要个人的同意。但其适用仍有边界：必要性须严格把握，不得以“公共利益”为名，行商业利用之实。
须注意，已公开信息的处理。第二十七条规定，处理已合法公开的个人信息，应当在合理的范围内，并不得违反法律、行政法规的规定；处理对个人权益有重大影响的，应当取得同意。此点，是公开不等于放弃权利的要求。
还须注意，新闻报道与舆论监督的边界。为公共利益实施新闻报道，可以在合理的范围内处理个人信息；但超出必要范围、与公共利益无关的披露，仍构成侵权。此点，是目的限制的体现。
（五）与算法决策的关系
第二十四条规定，利用个人信息进行自动化决策，应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇；通过自动化决策方式作出对个人权益有重大影响的决定，个人有权要求说明，并有权拒绝仅通过自动化决策的方式作出决定。
自动化决策的特殊性，在于其处理的信息量巨大、决策的过程不透明。故其规则不同于一般的处理：须进行事前评估，须保证透明，须提供拒绝的选项。三项要求，构成算法决策的约束。
须注意，说明义务的范围。个人要求说明的，处理者应当说明决策的基本逻辑，而非算法的全部代码；说明的程度，以使个人能够理解决策的依据为限。此点，是商业秘密与知情权的平衡。
还须注意，拒绝权的效力。个人拒绝仅通过自动化决策作出决定的，处理者应当提供人工决策的途径；不得以“无法人工处理”为由拒绝。此点，是选择权的保障，也是算法治理的底线。
（六）类案的统一
个人信息案件的裁判尺度，各地差异明显。同样的隐私政策，有的法院认定告知充分，有的认定不充分；同样的同意方式，有的认定有效，有的认定无效。差异的根源，在于要件与标准的把握不一。
统一的方向，是统一要件的审查顺序，而非统一结论。顺序为：处理的合法性基础、告知的履行、同意的要件、瑕疵的有无、责任的承担。顺序统一，结论自然趋同。
最高人民法院可以通过发布典型案例，明确若干争点：概括同意的效力；捆绑同意的判断；单独同意的形式；敏感信息的范围；损害的计算方法。规则明确，才能减少争议，也才能为企业合规提供指引。
还须强调说理的完整。认定处理违法的判决，应当说明违反了哪一项义务、为何构成违法；认定合法的，应当说明告知与同意如何符合要件。仅以“未尽告知义务”一语带过，难以服人，也难以指导实践。
此外，个人信息保护的实施，还需要监管与司法的协同。监管部门的事前检查、事后处罚，与法院的个案裁判，应当形成合力；处罚的决定可以作为民事案件的证据，裁判的规则也可以为监管提供参考。两者的协同，使保护从纸面走向实践。
还有一点须补充：同意的记录与留痕，是处理者合规的基础，也是诉讼中举证的关键。处理者应当完整保存告知的文本、同意的界面、同意的时间与方式；保存的期限，不短于处理的期间。留痕的意义，不在于形式，而在于使同意可追溯、可核查。
从制度演进的角度看，个人信息的保护正在从“一次同意”走向“持续治理”。同意只是起点，处理过程中的目的限制、最小必要、安全保障，才是保护的核心。这一转向，要求处理者从形式合规走向实质合规，也要求裁判者从审查形式要件走向审查处理的全过程。
需要补充的是，行业标准与技术规范在告知同意中的作用不可忽视。统一的分级同意界面、统一的撤回入口、统一的告知格式，可以降低个人的理解成本，也便于监管的检查。标准不是法律，但其细化法律的要求，使抽象的规则获得可操作的形态。
八、结语
告知同意规则，是个人信息保护的基础制度。其功能的实现，取决于对同意性质的准确把握与对要件、效力的精细构造。性质不准，则或者同意被滥用，或者处理者无所适从。
本文的三个主张，都围绕这一把握展开。性质上，同意是准法律行为，其效果由法律规定，故不得放弃不可放弃的权利；要件上，告知是独立的义务，同意须具备自愿、明确、知情三项要件，概括同意原则上无效；效力上，瑕疵依欺诈、胁迫、重大误解处理，撤回仅向将来发生。
对裁判者而言，这一框架的实益是使审理有了顺序：先审查处理的合法性基础；再审查告知是否履行、是否完整；再审查同意是否具备三项要件；再审查是否存在瑕疵；最后确定责任的范围。五步依次展开，结论自然清晰。
最后须指出，个人信息保护不能仅靠个案的救济。处理者的合规建设、监管部门的执法、行业的标准，都是保护的组成部分。司法的作用，在于通过个案的裁判，厘清同意的边界，传递清晰的信号：同意不是形式，而是实质的授权；告知不是程序，而是知情的前提。这一信号的传递，无法由一次裁判完成，而须在每一个具体案件中，通过细致的说理与均衡的裁量逐步实现；也正是在这种传递中，告知同意才能从纸面的规则，走向实在的保护。