重點解讀

本條規(guī)定了個人信息處理者在基于同意處理個人信息的情形下取得同意的方式。

就一般情形而言，個人信息處理者需要依據《個人信息保護法》第七條的規(guī)定向個人明示個人信息處理規(guī)則，在確保個人充分知情的基礎上，由個人自愿作出明確的意思表示。

就特殊情形而言，若法律或行政法規(guī)明確規(guī)定在某些場景下處理個人信息應當取得個人單獨同意或者書面同意的，則個人信息處理者應當遵守相應的規(guī)定。《個人信息保護法》第二十三條、第二十五條、第二十六條、第二十九條、第三十九條規(guī)定了需要單獨同意的五種情形，分別是“向第三方提供其處理的個人信息”“公開其處理的個人信息”“對外提供個人圖像、個人身份特征信息”“基于個人同意處理敏感個人信息的”以及“向中國境外提供個人信息”。

同時，本條第二款要求個人信息處理者在“處理目的、處理方式和處理的個人信息種類發(fā)生變更”的情形下，需要重新取得個人信息主體的同意。鑒于個人信息主體是否同意個人信息處理主要是基于對處理目的、處理方式和處理的個人信息的種類的認識并在此基礎上作出的判斷，當處理目的、方式和信息種類發(fā)生變更時，原有的同意亦自然失效。此時要求個人信息處理者重新取得個人同意，亦是對信息主體權利的尊重。

實務要點

1.同意應當如何作出

本條明確，同意應在個人充分知情的前提下自愿、明確作出。實務中，對于基于用戶同意處理用戶個人信息的情形，一般宜以彈窗等形式引導用戶閱讀《個人信息保護政策》等個人信息授權文本，通過《個人信息保護政策》主動向用戶充分說明處理個人信息的規(guī)則，并由用戶以手動點擊確認、手動勾選同意等“主動性”動作作出同意。

2.重新取得用戶同意應當如何實現

本條明確，在個人信息的處理目的、方式和處理的個人信息種類發(fā)生變更的情形下，應當重新取得個人同意。就重新取得同意而言，一般在相關處理行為對應的業(yè)務功能發(fā)生變更時，通過重新彈窗等形式要求用戶重新作出同意。

案例解析

*案情介紹

2019年4月，郭某與其妻子向某野生動物世界購買了雙人年卡，并以微信支付方式向該野生動物世界交付卡費1360元。根據購卡時的合同約定，郭某與其妻子可以使用指紋識別的方式入園。購卡后，郭某與其妻子留下姓名、身份證號碼、電話號碼等信息并錄入指紋，該野生動物世界還拍攝了郭某及其妻子的照片，在未經二人同意的情況下，通過照片獲取了人臉識別信息。

2019年7月，野生動物世界以提高游客入園的通行效率為由，決定將入園方式從指紋識別入園調整為人臉識別入園，并向包括郭某在內的年卡用戶發(fā)送了短信通知，隨后便停用了指紋識別的閘機。對此，郭某認為，野生動物世界與其簽訂的原合同約定以“指紋識別”作為入園方式，現在野生動物世界擅自將入園方式變更為“人臉識別”，屬于違反合同約定。故郭某將野生動物世界訴至法院，要求其作出賠償，并刪除已經收集的個人信息。

一審法院經審理認為，首先，野生動物世界通過單方通知的形式對合同進行了變更，改變了合同約定的履行方式，客觀上增加了郭某履行合同的負擔，違反了合同的約定，因此應當承擔違約責任并賠償郭某的損失。其次，根據原合同約定，野生動物世界將采取指紋識別的方式入園，就這一服務而言，野生動物世界收集郭某及其妻子的人臉識別信息并無必要，加之野生動物世界在收集時并未獲得郭某及其妻子的同意，而是私自從郭某及其妻子的照片上獲取了二人的人臉識別信息，故郭某有權要求野生動物世界刪除已經收集的人臉識別信息。最后，就其他已經收集的個人信息（如指紋信息等），因為野生動物世界在收集前已經取得了郭某的同意，故該收集行為合法有效，郭某請求刪除相關信息，法律依據不足。

最終，一審法院判決野生動物世界刪除人臉識別信息并賠償郭某相應的損失，但是無需刪除其他已經收集的個人信息。

郭某不服一審法院的最后一項認定，提出上訴。二審法院經審理后認為，雖然郭某辦理指紋識別年卡時對收集指紋等個人信息表示同意，選擇權并未受到限制或侵害，但鑒于野生動物世界停止使用指紋識別閘機，致使原約定的入園服務方式無法實現，故二審法院最終在一審判決的基礎上增判野生動物世界刪除郭某辦理指紋識別年卡時提交的指紋識別信息等個人信息。

*法律解析

本案中，野生動物世界拍攝郭某及其妻子照片的目的實際是進行人臉識別，但是該野生動物世界卻刻意向二人隱瞞了這一點，在野生動物世界未明示該收集行為的情況下，郭某及其妻子同意拍攝照片并不能被當然解釋為同意提供人臉識別信息。因此，野生動物世界獲取人臉識別信息的行為實質上并未取得二人的同意。

在《個人信息保護法》正式生效后，如個人信息處理者使用此類未經當事人同意而收集的個人信息甚至有可能直接違反關于個人信息的保護規(guī)定并遭致相應的處罰。因此，未經個人同意，不合法地收集個人信息對于處理者而言可謂得不償失。

關聯(lián)法條

《網絡安全法》第四十一條。