导语

以捆绑方式取得同意，可能被认定为侵害个人选择权的独立违法行为，与缺乏合法性基础的违法处理叠加，风险敞口并不小。合规改造的投入集中在三处，属于一次性的支出。

本篇说明同意无效情形下的责任形态与改造成本的结构。

规则出处与规范指向

《中华人民共和国公司法》第十四条（同意的自愿、明确与撤回）：《个人信息保护法》第十四条规定：基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出；法律、行政法规规定处理个人信息应当取得个人单独同意或者书面同意的，从其规定。个人信息的处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得个人同意。同意应当易于撤回，撤回同意不影响撤回前基于同意已进行的处理活动的效力。

一、可能的责任形态

同意不成立或已撤回而继续处理的，属于缺乏合法性基础的违法处理，可能面临责令改正、警告、没收违法所得与罚款，情节严重的可处五千万元以下或者上一年度营业额百分之五以下罚款。

造成个人损失的，还应当承担赔偿责任。以捆绑方式取得同意的情形，还可能被认定为侵害个人选择权的独立违法行为。

二、合规改造的投入结构

改造成本主要发生在授权界面开发、撤回入口建设与日志系统对接三处，属于一次性投入，后续维护增量较小。

相对而言，因强制授权被投诉后被迫下架整改的业务中断损失往往更大，测算时应将中断风险一并纳入。

操作清单

按情节一般与情节严重两档说明可能的行政处罚后果。

把授权界面改造、撤回入口建设与日志系统对接三处投入列入预算。

将因强制授权被投诉后被迫整改的业务中断风险一并计入敞口。

说明除行政责任外还可能承担民事赔偿责任，责任形式并不单一。