同意撤回法律条文.pdfVIP

同意撤回法律条文

一、个人信息处理中的“同意”

（一）“同意”的性质分析

个人信息主体对信息处理者的信赖从根本而言是出于信息主体

对国家治理能力的信任。“告知”融合了公法和私法的双重属性，

在所有场景之下均属必须；而“同意”属于受限的私权处分，个人

信息的自决权益在某些情境下受到一定的限制。个人信息主体与信

息处理者仅可就信息处理的目的进行协商，这是个人信息主体行使

自己防御性的个人信息权益的表现。

（二）“告知—同意”模式的缺陷

第一，难以获得无效力瑕疵的用户意思表示。信息主体缺乏对

重要情事的知悉，且由于信息主体本身存在对于信息处理者的服务

依赖，导致信息主体缺乏表意自由。第二，信息主体难以获得有效

保护。以合同的方式予以救济显然效力不济。而个人信息适用的场

景呈动态化特点，信息处理者可能需要不断根据自己业务类型的调

整而修订其隐私政策，信息处理方式的不断变革使得清晰透明且稳

定的个人信息处理方式不具有可期待性。

虽然告知同意有上述诸多缺陷，但至今仍为各国广泛采用，原

因在于其标准化的模式，对于用户和信息处理者均为成本最小化的

解决方式。从目前来看，在“告知—同意”模式下，对于个人信息

主体保护最为直接有效的方式即是赋予个人信息主体以同意撤回

权。

二、同意撤回的法理分析

同意撤回是指个人信息主体基于“告知同意”原则，对自己已

经作出的“同意信息处理者对其个人信息进行处理”的授权予以取

消的意思表示，其实质含义为意思表示的撤销。同意的撤回包含个

人信息主体对个人信息使用全过程中的处分。

同意撤回权体现了主体对于个人信息的自决处分，带有强烈的

人格利益特性，可以被定性为人格权体系下的撤销权。首先，同意

撤回权属于形成权，个人信息主体仅需向信息控制者发出其意欲撤

回同意的意思表示即可产生效力。其次，同意撤回权属于撤销权，

个人信息主体可以通过行使同意撤回权禁止信息控制者对其个人信

息的后续处理行为。最后，同意撤回权涉及人格权益的意思表示之

处分，体现了人格利益的特性，并同样具有人格权体系下撤销权的

特殊性。

对个人信息处理许可的同意撤回权之行使应当遵循以下规则：

首先，应当更偏重保护意思表示主体的行权之便利性。其次，应当

摒除除斥期限对权利主体的时间限制。再次，同意撤回也不具有溯

及力。最后，同意撤回权的行使不以个人信息主体受到损害为前

提。此外，除信息主体故意或重大过失外，也不宜令信息处理者拥

有损害赔偿请求权，此举会给信息主体带来诸多顾虑，进而从实体

上架空同意撤回制度。但需注意，同意撤回权与消费者的反悔权和

删除权等相关概念存在区别。

三、同意撤回的域外立法比较及路径选择

欧盟与美国大部分立法采用的个人信息保护机制存在明显不

同。GDPR强调个人主体对信息的控制权，但欧盟家长式的模式并未

真正实现“个人信息自决权”的展开，反而因此使得“个人信息自

决权”受到更多的限制而背离了其赋予信息主体以控制权的初衷。

美国所采取的隐私路径更多的是一种消极被动姿态来捍卫用户个人

信息权利，一旦涉足非个人隐私的领域，法律对于个人信息主体的

保护明显乏力。而以合同的角度寻求救济似乎也并非坦途，个人信

息主体难以因信息处理者违反隐私政策泄露个人信息而要求其承担

违约责任，于是只得借助消费者保护的路径推进。

欧盟与美国的立法对“同意”的设计存在不同，因而同意撤回

的行使场景也存在差异，其根本原因即在于两者的价值取向不同。

因此，数据产业发展固然能产生巨大的经济和社会效应，但是个人

的人格性利益也需要得到合理的保护。在路径选择过程中，面对需

要保护的多重利益应综合平衡考量。

对于我国个人信息保护制度的路径选择而言，对信息的界权并

不具有紧迫性，但界权后因其界分复杂、公示难度大、管制成本高

昂及存在极大的寻租空间等带来的对其他社会资源的过度损耗才是

真正值得警惕的问题。而且，不予界权不代表无所限制，对于达到

一定体量的主体对信息的处理行为应当有所规制，对于处理个人信

息的行为也应当受到调整。

在个人信息的维度内，从权利分配角度入手，藉由对同意及同

意的撤回等细化的制度层面的调整，可能更适合我国个人信息保护

与实现产业发展的双重目标。由于我国对于个人信息保护方向的行

政执法力度较强，因而不宜采取对于企业较为严苛的“一刀切”式

立法模式。设定标准时应当将规则落地的可能性及后续产生的诸如

过于频繁的诉