导语

同意在时间上有两个关键点：一是必须在处理之前取得，二是目的变更后必须重新取得。很多人把同意理解为一次性的通行证，忽略了它的有效期其实由处理目的决定。

本篇说明取得时点、重新取得时点以及撤回效力的回溯边界。

规则出处与规范指向

《中华人民共和国公司法》第十四条（同意的自愿、明确与撤回）：《个人信息保护法》第十四条规定：基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出；法律、行政法规规定处理个人信息应当取得个人单独同意或者书面同意的，从其规定。个人信息的处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得个人同意。同意应当易于撤回，撤回同意不影响撤回前基于同意已进行的处理活动的效力。

一、时点要求

同意必须在处理开始之前取得。先收集后补勾选，即使事后补上了同意记录，也难以改变时点瑕疵。

处理目的、方式或信息种类发生变更时，应当重新取得同意。变更时点是判断后续处理是否获得授权的分界。

二、撤回的效力回溯边界

撤回同意不影响撤回前基于同意已进行的处理活动的效力，这一点常被误读为撤回无效。撤回针对的是将来的处理。

撤回后处理者应当立即停止基于同意的处理，并在合理期间内删除或匿名化相应数据，不得以「已取得同意」为由继续使用。

操作清单

把同意取得动作安排在数据收集之前，通过流程保证顺序不被颠倒。

处理目的、方式或信息种类变更时，重新取得同意并记录变更时点。

向个人说明撤回针对的是将来的处理，撤回前已进行的处理不受影响。

撤回后立即停止基于同意的处理，并在合理期间内删除或匿名化相应数据。