個人信息處理中的撤回同意

胡利玲

（中國政法大學民商經濟法學院 北京 100088）

我國《個人信息保護法》（以下簡稱“個保法”）第13條將同意作為處理個人信息的合法化基礎之一，同時第15條又規(guī)定：“基于個人同意處理個人信息的，個人有權撤回其同意。個人信息處理者應當提供便捷的撤回同意的方式。個人撤回同意，不影響撤回前基于個人同意已進行的個人信息處理活動的效力。”此即“同意撤回”在《個保法》上的體現(xiàn)，也是《個保法》針對個人信息處理的同意撤回權的規(guī)則。所謂撤回同意，是指基于個人信息主體同意而處理個人信息時，個人信息主體有權隨時撤回其同意，從而終止個人信息處理者進行個人信息處理行為的意思表示［1］。撤銷權針對的是信息主體在特定場景下對特定個人信息的處理所作出的同意［2］。

其意義在于強調信息主體對個人信息的支配權。撤回同意的權利是個人信息支配權的重要組成部分，是信息主體決定其信息何時被利用的手段。比較法上，各國立法也都允許個人信息主體撤回其同意。例如，歐盟《通用數(shù)據(jù)保護條例》（GDPR）第7 條第3 款規(guī)定：“數(shù)據(jù)主體有權隨時撤回其同意。允許個人撤回其同意，是個人對其個人信息處理同意權的當然內容。若個人一經作出同意就不能撤回，則個人的同意就不可能是真正的同意，其對個人信息的處理也就無真正的自主決定權［3］。”因此，法律應當允許個人撤回其同意，任何禁止或限制個人撤回其同意的條款或聲明均應屬于無效。

1 “撤回同意”的法律性質

《個保法》雖然規(guī)定了個人對其同意可以撤回，但并沒有明確撤回同意的法律性質為何。究其原因，主要是學界和立法界一直存有爭議，立法采取了沉默和擱置。

有學者認為，同意撤回是指個人信息主體基于告知同意規(guī)則，對自己已經作出的同意信息處理者對其個人信息進行處理的授權予以取消的意思表示。但從理論上分析，撤回意思表示須在意思表示未生效之前到達相對人，其產生的效力是使此前作出的意思表示不發(fā)生法律效力；而撤銷意思表示則是在意思表示到達相對人并生效后作出的取消此前意思表示的行為。因此《個保法》上的同意撤回雖名為“撤回”，實則為意思表示的撤銷，同時認為此種撤銷不同于一般民法上的撤銷行為，而是一種人格權體系下的同意撤銷權［1，4］。

但也有人認為，同意并非意思表示，撤回同意不適用《民法典》關于意思表示的撤回及撤銷的規(guī)則。理由是《民法典》對意思表示的規(guī)定，之所以區(qū)分撤回和撤銷并確立不同規(guī)則，主要是考慮到交易相對人的信賴保護，而個人信息處理中個人的同意不涉及對處理者的信賴保護，處理者對于個人是否同意以及是否撤回同意不存在需要法律保護的信賴。因此，也不存在個人撤回同意后，需要向處理者承擔損害賠償責任的問題［3］。

還有人認為，從權利的角度而言，個人信息主體撤回同意是個人對其個人信息支配的一種方式。賦予個人信息主體撤回權，是讓個人實際享有決定其個人信息權益是否被處分以及何時被處分的權利。可類比于《民法典》第173 條第2 項，即“被代理人取消委托”時，委托代理終止（學理上稱為“撤回代理權”）。所以單純從個人信息權益角度看，同意的撤回是權利人在法定限度內按照自己的意志行使支配權的體現(xiàn)［2］。

《個保法》立法過程中前后稿的變化也反映出對同意及其撤回同意法律屬性上的爭議。在《個保法》一審稿中曾規(guī)定，“處理個人信息的同意，應當由個人在充分知情的前提下，自愿、明確地作出意思表示”。但其后第二稿與最終出臺的《個保法》卻刪除了“意思表示”的表述，對“同意”的屬性采取了沉默、擱置的態(tài)度。

本文主張，同意的法律性質應屬意思表示。因此，撤回同意即是消滅其意思表示的行為。因為《個保法》上的“撤回同意”，均發(fā)生在個人的同意已到達處理者的前提下，因此其實質應是意思表示的撤銷而非“撤回”。至于撤回同意何以排除一般意思表示撤銷后的溯及力，則可從個人信息權益的強烈人格屬性特點出發(fā)加以解釋，并將其作為意思表示撤銷后果的例外對待，作為人格權體系下的同意撤回權。而且，“數(shù)據(jù)處理活動對個人所造成的影響在事實上也不可能恢復至原始狀態(tài)。而且，個人通過同意處理個人信息，已經換取了與之對等的增值服務，雙方當事人的權益并未失衡，亦無必要溯及既往”［2］。

2 撤回同意適用的前提和范圍

2.1 適用前提

邏輯上，個人撤回同意需以其已經作出同意為前置條件。我國《個保法》為個人信息處理提供了兩類（7種）合法性基礎——基于個人同意與其他不需要個人同意的法定情形（第17 條）。只有基于個人同意而處理個人信息的，才存在“撤回同意”的可能。因此撤回同意僅適用于“基于個人同意處理個人信息”的情形，也即同意作為個人信息處理合法化基礎的情形。撤回的目的是阻卻根據(jù)個人的在先同意繼續(xù)處理個人信息。如果個人信息處理的合法基礎是《個保法》第13條第1 款第2-7 項所規(guī)定——無需取得個人同意的情形，即為了訂立或者履行個人作為當事人的合同、應對突發(fā)公共衛(wèi)生事件、為履行法定職責或法定義務、在合理范圍內處理個人已合法公開的個人信息或者法定的其他情形，則不存在個人撤回其同意的前提。

2.2 適用范圍

按照《個保法》的規(guī)定：個人信息處理是指對個人信息的收集、存儲、使用、加工、傳輸、提供、公開和刪除等活動。相應地，個人撤回同意權也應適用于個人信息處理的各個階段。但是從目前我國個人信息的國家標準以及實踐來看，撤回同意權主要規(guī)定在個人信息收集、使用階段，而不是處理活動的全部環(huán)節(jié)。例如《信息安全技術個人信息安全規(guī)范》（GB/T 35273-2020）（以下簡稱《個人信息安全規(guī)范》）第8.4 條規(guī)定：應向信息主體提供撤回“收集、使用”階段個人信息授權同意的方法，并對信息主體“拒絕接收基于其個人信息推送商業(yè)廣告”的權利，“對外共享、轉讓、公開披露個人信息”時提供撤回同意的方法。比較法上，GDPR也沒有限定個人信息主體撤回同意適用的具體處理活動階段。

3 撤回同意的方式

3.1 是否可以隨時撤回或任意撤回

對信息主體是否可以隨時撤回或任意撤回，我國《個保法》沒有明確規(guī)定。但GDPR第7條第3款規(guī)定：數(shù)據(jù)主體有權隨時撤回其同意。而且未對撤回同意規(guī)定任何事由的限制。因此，可以認為，在GDPR 下，個人信息主體享有任意撤回其同意的權利而不附加任何其他條件，并且可以隨時撤回而無需受到時間上的限制。2021年11月14日，國家網信辦發(fā)布的《網絡數(shù)據(jù)安全管理條例（征求意見稿）》在要求“便捷”的基礎上規(guī)定“不得設置不合理條件”。其第23 條規(guī)定，“個人提出查閱、復制、更正、補充、限制處理、刪除其個人信息的合理請求的，數(shù)據(jù)處理者應當履行以下義務：……（二）提供便捷的支持個人復制、更正、補充、限制處理、刪除其個人信息、撤回授權同意以及注銷賬號的功能，且不得設置不合理條件；……”。但如此規(guī)定，可能推導出這樣一種結論，即個人信息處理者可以為撤回同意設置條件，只要該條件“合理”。這顯然不符合賦予個人信息主體享有撤回同意權的立法意圖，也難以避免個人信息處理者通過設定條件變相阻礙個人信息主體行使撤回同意權，從而架空該權利。而且“合理”與否難以判斷。

3.2 何謂便捷的撤回同意方式

《個保法》第15 條規(guī)定：“個人信息處理者應當提供便捷的撤回同意的方式。”

據(jù)此，首先，個人信息處理者有義務向個人信息主體提供撤回同意的方式。《個人信息安全規(guī)范》在第8.4條“個人信息主體撤回授權同意”中對個人信息控制者要求：（a）應向個人信息主體提供撤回收集、使用其個人信息的授權同意的方法，撤回授權同意后，個人信息控制者后續(xù)不應再處理相應的個人信息。（b）應保障個人信息主體拒絕接收基于其個人信息推送商業(yè)廣告的權利。對外共享、轉讓、公開披露個人信息，應向個人信息主體提供撤回授權同意的方法。《網絡數(shù)據(jù)安全管理條例（征求意見稿）》第23 條也規(guī)定，“個人提出查閱、復制、更正、補充、限制處理、刪除其個人信息的合理請求的，數(shù)據(jù)處理者應當履行以下義務：……（二）提供便捷的支持個人復制、更正、補充、限制處理、刪除其個人信息、撤回授權同意以及注銷賬號的功能，……”。但是，若個人信息處理者沒有提供撤回同意的方式，會產生何種法律后果，《個保法》沒有進一步規(guī)定。《App違法違規(guī)收集使用個人信息行為認定方法》第3條第8款規(guī)定，未向用戶提供撤回同意收集個人信息的途徑、方式的，屬于“未經用戶同意收集使用個人信息”。如此，在只有“取得個人同意”才能處理個人信息的情形下，處理個人信息的行為將被視為不具有合法性基礎［5］。

其次，個人信息處理者向個人信息主體提供的撤回同意的方式應該便捷。但何謂便捷，《個保法》并未具體規(guī)定。《個人信息安全規(guī)范》在第8.7條中特別規(guī)定：“采用交互式頁面（如網站、移動互聯(lián)網應用程序、客戶軟件端等）提供產品或服務的，宜直接設置便捷的交互式頁面提供功能或選項，便于個人信息主體在線行使其訪問、更正、刪除、撤回授權同意、注銷賬戶等權利”［8.7（b）］。比較法上，歐盟GDPR第7條第3款規(guī)定：“撤回同意應與作出同意同樣容易［6］。”比較而言，GDPR的規(guī)定更為可行，兼具具體和開放。目前在我國《智能家用電器個人信息保護要求和測評辦法》（GB/T 40979-2021）中可以看到類似的規(guī)定，其除了強調撤回的“隨時性”外，規(guī)定了應與作出授權同意“同等容易”。

此外，與之相關的另一問題是：個人信息處理者是否有義務在取得個人同意前告知個人信息主體有權撤回同意。根據(jù)GDPR的規(guī)定，數(shù)據(jù)控制者在取得個人同意前，必須告知個人有隨時撤回同意的權利。如果數(shù)據(jù)控制者沒有履行這一告知義務，可以對數(shù)據(jù)控制者處以最高2000萬歐元或者上一財政年度全球營業(yè)總額4%的罰款。我國《個保法》第15條沒有明確規(guī)定。但有人認為，由于撤回同意也是《個保法》規(guī)定的個人權利，故應包括在第17條第1款第3項規(guī)定的必須告知事項的“個人行使本法規(guī)定的權利的方式和程序”中［4］。

本文認為，有必要在《個保法》上作出更為具體細致的安排，GDPR 的規(guī)定可資借鑒。個人信息主體不僅有權隨時撤回其同意，而且法律上不應存在任何附加條件；個人信息處理者有義務在取得個人同意前告知個人信息主體有權撤回同意，并應提供撤回同意的方式。如果未向用戶告知，也未提供撤回同意的方式的，應被視為“未經用戶同意處理個人信息”；個人信息處理者提供的撤回同意的方式，應至少與作出同意同樣便捷。

4 撤回同意的法律效果

比較法上，個人撤回同意所產生的法律效果不同。GDPR規(guī)定的撤回同意的法律效果有二：其一，撤回同意不影響在撤回前基于同意作出的數(shù)據(jù)處理的合法性（第7條第3款）。這意味著同意的撤回不具有溯及力，其效力僅指向未來的處理行為。其二，基于數(shù)據(jù)主體同意處理個人數(shù)據(jù)的，如果數(shù)據(jù)主體撤回其同意，只有在缺乏其他有關數(shù)據(jù)處理的法律依據(jù)的情況下，數(shù)據(jù)控制者才有責任及時刪除個人數(shù)據(jù)（第17條第1款（b）項）［7］。這意味著此種情況下，數(shù)據(jù)處理者可以依法保有這部分個人數(shù)據(jù)，而并非必須刪除數(shù)據(jù)。GDPR 沒有明確規(guī)定撤回同意后后續(xù)處理活動是否繼續(xù)進行。對此，英國在《GDPR適用指南》中進行了解釋：一方面處理者不能再依賴同意作為處理的合法依據(jù)；另一方面?zhèn)€人必須能夠在不遭受任何損害的情況下撤回對處理的同意。盡管處理者接收到撤回同意的申請后應該盡快停止處理，但GDPR 也給予了信息處理者一定的響應時間，即在一些情況下，可以證明處理撤回時的短暫延遲是合理的［8］。

根據(jù)我國《個保法》的規(guī)定，撤回同意后會產生兩項法律效果：其一，不影響撤回前基于個人同意已進行的個人信息處理活動的效力（第15 條）。即撤回同意不具有溯及力，也即此前個人信息處理者所進行的處理活動是基于個人同意而進行的具有合法基礎的活動，故其行為效力不受影響。其二，個人撤回同意的，個人信息處理者應當主動刪除個人信息；個人信息處理者未刪除的，個人有權請求刪除（第47 條）。據(jù)此，個人撤回同意后，個人信息處理者負有主動刪除個人信息的義務，個人具有刪除個人信息的請求權。那么，個人信息處理者是否必須刪除這些個人信息而不得繼續(xù)保有？第47條在前述規(guī)定之后，繼續(xù)規(guī)定到“法律、行政法規(guī)規(guī)定的保存期限屆滿，或者刪除個人信息從技術上難以實現(xiàn)的，個人信息處理者應當停止除存儲和采取安全保護措施之外的處理”。依此，我國《個保法》上對于個人信息主體撤回同意后的法律效力，還應包括：若存在法定事由或者技術原因無法刪除時，則個人信息并非必須刪除，但不得繼續(xù)處理這些個人信息。由此，撤回同意并不必然引發(fā)刪除個人信息的法律后果［9］。《個人信息安全規(guī)范》中也規(guī)定“撤回授權同意后，個人信息控制者后續(xù)不應再處理相應的個人信息［第8.4條（a）］。之所以撤回同意后個人信息處理者不得再繼續(xù)處理相應的個人信息，是因為撤銷同意后繼續(xù)處理將因缺乏個人的同意而不具備合法化基礎。只有重新取得個人的同意，才能恢復處理。

我國《個保法》沒有明確在接到個人要求撤銷同意的通知后響應的時間。不過《網絡數(shù)據(jù)安全管理條例（征求意見稿）》第23條作了規(guī)定：數(shù)據(jù)處理者收到個人復制、更正、補充、限制處理、刪除本人個人信息、撤回授權同意或者注銷賬號申請的，應當在十五個工作日內處理并反饋。法律、行政法規(guī)另有規(guī)定的從其規(guī)定。

除上述法律效果外，《個保法》還在第16 條規(guī)定，“個人信息處理者不得以個人不同意處理個人信息或撤回同意為由，拒絕提供產品或服務；處理個人信息屬于提供產品或者服務所必需的除外”。此規(guī)定表明，個人信息主體撤回同意并不意味著拒絕繼續(xù)使用相關產品和服務，因此，只要個人信息主體撤回同意部分的個人信息不屬于提供產品或服務所必須，則個人信息處理者就不得以撤回同意為由拒絕提供產品或服務。難題在于如何判斷“處理個人信息屬于提供產品或者服務所必須”。一般是指如果不處理個人信息將無法提供產品或服務的基本功能服務。對此可參考《常見類型移動互聯(lián)網應用程序必要個人信息范圍指引》的規(guī)定，該指引第三條對“必要信息”作了界定：“本規(guī)定所稱必要個人信息，是指保障APP 基本功能服務正常運行所必需的個人信息，缺少該信息APP 即無法實現(xiàn)基本功能服務。”同時在第五條對諸如地圖導航、網絡約車等互聯(lián)網應用程序的基本功能所必需的個人信息進行了列舉。

5 結語

我國《個人信息保護法》第13 條將同意作為處理個人信息的合法基礎之一，第15條又規(guī)定同意可以撤回，由此形成針對個人信息處理的同意撤回權的特別規(guī)則。本文認為，個人撤回同意在法律實質上可歸于意思表示的撤銷，但是與民法上意思表示撤銷效果并不完全相同。個人信息主體不僅有權隨時撤回其同意，且法律上不應附加任何其他條件；個人信息處理者有義務在取得個人同意前告知個人信息主體有權撤回同意，并應提供便捷的撤回同意的方式。如果未向用戶告知，也未提供撤回同意的方式的，應被視為“未經用戶同意處理個人信息”；個人信息處理者提供的撤回同意的方式，應至少與作出同意同樣便捷。個人撤回同意的，撤回同意不具有溯及力，不影響撤回前基于個人同意已進行的個人信息處理活動的效力；個人撤回同意后，原則上個人信息處理者應刪除撤回同意部分的個人信息，個人也有請求刪除其個人信息的權利。但特定情形下，允許個人信息處理者依法繼續(xù)保有該個人信息，但不得繼續(xù)處理這些個人信息。