规则出处与规范指向

本条（《中华人民共和国个人信息保护法》第十四条，同意的自愿明确与撤回）：《个人信息保护法》第十四条规定：基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出；法律、行政法规规定应当取得单独同意或者书面同意的，从其规定。处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得个人同意；同意应当易于撤回，撤回同意不影响撤回前基于同意已进行的处理活动的效力。

一、为什么要先把同意动作查清

第十四条对同意提出了三项质量要求：充分知情、自愿作出、明确表示，并加之变更重取与便捷撤回。尽调时如果把同意动作仅理解为「有没有勾选框」，会漏掉大部分问题。真正需要查清的是这个动作在什么时点出现、文案写了什么、勾选后哪些处理被放行。

并购、采购产品或做年度体检时，同意机制往往是问题最集中的区域，也是整改起来牵动面最广的区域。

二、四个核查维度

第一，告知是否前置。同意动作应当建立在用户已经了解处理目的、方式与信息种类的基础上，先弹窗后补政策、或政策藏在二级页面深处，都会削弱同意的质量。第二，是否存在搭车。基础功能所需的同意与营销类处理是否被塞进同一个动作。

第三，是否自愿。拒绝同意后用户能否继续使用基础功能，是否存在反复弹窗、功能降级施压或变相强制。第四，是否可撤回。产品里有没有便捷的撤回入口，撤回是否与同意同样容易。

三、最容易出问题的三类同意

一是注册即同意，用一个勾选框覆盖全部处理场景。二是隐私政策更新时用「继续使用即视为同意」的方式批量取得确认，这种方式对新增的实质性处理用途通常难以成立。三是默认勾选或预先勾选，把知情与选择混为一谈。

四、尽调输出的形式

建议形成一份同意机制对照表：同意事项、触发时点、文案原文、对应处理活动、撤回路径、现存问题。表能写清，后续的设计与整改才有明确的靶子。