规则出处与规范指向

本条（《中华人民共和国个人信息保护法》第十四条，同意的自愿明确与撤回）：《个人信息保护法》第十四条规定：基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出；法律、行政法规规定应当取得单独同意或者书面同意的，从其规定。处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得个人同意；同意应当易于撤回，撤回同意不影响撤回前基于同意已进行的处理活动的效力。

一、同意是一项持续状态

用户勾选同意只是开始。此后每一次用途变化、每一次新增共享对象、每一次政策改版，都可能使原有的同意不再成立。履行阶段的管理目标，就是保证产品实际在做的事始终落在用户已经同意的范围内。

二、四项日常动作

第一，需求与用法对齐。新增用途前先查它是否已被现有同意覆盖，未覆盖的先补告知与确认。第二，撤回响应及时化。撤回入口收到请求后，应当在合理期限内停止相应处理并通知下游。

第三，确认记录留存。用户作出同意的时间、页面版本与勾选内容应当可回溯，留存期限与业务需要相匹配。第四，政策改版管理。改版涉及实质变更的，不得以继续使用即视为同意的方式批量处理。

三、撤回之后的处置

撤回同意不影响撤回前基于同意已进行的处理活动的效力，因此不需要回溯否定此前的处理。但撤回之后应当停止相应处理，并对已收集数据的去留作出判断：属于仍可依其他依据保留的，说明理由；属于无依据继续留存的，安排删除或匿名化。

四、把这些动作落到岗位

建议明确一名责任人统筹同意机制的整体状态，产品负责交互与文案、技术负责采集与停止处理的实现、客服负责撤回请求的受理与转办。分工清楚，撤回请求才不会在部门之间被反复转手。