规则出处与规范指向

本条（《中华人民共和国个人信息保护法》第十四条，同意的自愿明确与撤回）：《个人信息保护法》第十四条规定：基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出；法律、行政法规规定应当取得单独同意或者书面同意的，从其规定。处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得个人同意；同意应当易于撤回，撤回同意不影响撤回前基于同意已进行的处理活动的效力。

一、谁取的同意，责任就落在谁身上

数据合作中常见的争执是：出了问题，究竟由谁承担未取得有效同意的责任。合同如果只写一句「各方应遵守法律法规」，实际执行中等于没有分配。谈判阶段把同意的取得方、范围与举证责任写清楚，比事后争论谁是处理者更有意义。

二、我方要在合同中固定的四点

第一，明确由哪一方负责向用户告知并取得同意，以及需要取得的是普通同意还是单独同意。第二，约定取得同意的事项范围应当能够覆盖对方实际的数据使用目的，超出的部分由对方自行解决。

第三，约定对方应当在合理期限内提供取得同意的证明材料，例如弹窗文案与确认记录的形式。第四，约定同意被撤回时双方的处置安排，包括停止使用、删除数据与通知下游的时限。

三、对方的合理关切

合作方常担心承担无法控制的举证义务，例如要求其交出完整的用户确认记录。对此可以约定提供经过整理的书面说明与形式化材料，并限定举证的触发条件与通知期限，把义务限定在可执行的范围内。

四、模式本身的评估

如果对方明确表示由我方取得同意、其使用范围却远大于我方告知范围，这种结构本身就难以自洽。此时应重新评估合作模式，而不是靠合同条款回避风险。