规则出处与规范指向

本条（《中华人民共和国个人信息保护法》第十四条，同意的自愿明确与撤回）：《个人信息保护法》第十四条规定：基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出；法律、行政法规规定应当取得单独同意或者书面同意的，从其规定。处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得个人同意；同意应当易于撤回，撤回同意不影响撤回前基于同意已进行的处理活动的效力。

一、同意不宜一锅烩

同意的设计难点不在有没有，而在拆得对不对。把无关的处理捆在一起，用户看不懂，企业也难举证；拆得过细，弹窗连绵不断，用户体验受损，反而促成草率勾选。合理的做法是按处理的实质差异分层。

二、三层结构的建议

第一层是基础服务所需的处理，与注册或下单流程一并完成，重点是把用途写清楚。第二层是与主服务无关的营销触达，应当设置独立的确认动作，不得与第一层绑定。

第三层是敏感个人信息与对外提供等法定需要单独同意的事项，应当逐项单独弹窗，文案写明具体字段、接收方与用途，不得以概括条款代替。三层的确认动作在交互上要能区分，用户才能作出真实选择。

三、什么情况下要重新取得同意

处理目的、处理方式或处理的个人信息种类发生变更时，应当重新取得同意。判断标准可以简化为：如果新用途会让一个普通用户在注册时犹豫，它就属于应当重新确认的实质变更。新增营销用途、新增对外提供对象、新增敏感字段，一般都落入这一范围。

四、撤回入口的设计

撤回应当与同意同样便捷。常见做法是在设置页提供统一的信息授权管理入口，逐项列出已开启的授权并提供开关。撤回后应当停止相应的处理，并说明对已进行处理的效力不受影响，避免用户误以为数据会被全部回溯清除。