衣俊霖｜论个人信息保护中知情同意的边界——以规则与原则的区分为切入点(7)

有学者主张，“同意他人处理其个人信息……实现的正是其所欲实现的法律效果”，故属于法律行为。相反，亦有学者认为，“个人对于个人信息处理者就其个人信息所要实施的处理活动而作出的同意，并非旨在发生民事法律后果的内心意思的外在表示”，因此不是民事法律行为。有鉴于此，有必要从客观法律效果上进行分析，作为主观效果意思的补充。具体来说，法律行为生效后，直接产生民事权利变动的效果；相比之下，准法律行为的效果则通常“只是为权利变动提供准备或配套”。例如，医疗侵权中患者同意行为的法律效果是“排除诊疗活动的违法性，与权利变动无关”，故应归入准法律行为。类似地，信息主体的同意行为也不直接涉及权利变动，而只是为权利变动做准备。此外，信息主体作出同意行为后，可不受拘束地随时撤回，也从侧面佐证了同意行为并未产生权利义务。
相比之下，法律行为生效后则直接造成权利变动，产生“超越时间的拘束性”。
故此，信息主体的同意行为是一种准法律行为，不构成意思表示。
另外，若将同意行为视为意思表示，还会引起“撤回”与“撤销”的概念混淆。撤回发生于意思表示生效前，以阻止该表示生效。撤销发生于意思表示生效后，是取消前一表示的一个新的意思表示。假若同意行为构成意思表示，个人意欲反悔则只可撤销该法律行为，不可谓之撤回。事实上，个保法相关条款（第15、16、47条等）均采取撤回同意的说法，这意味着同意不构成意思表示。有学者试图通过将撤回同意解释为意思表示之撤销——同意行为生效后创设了某种民事权利义务，只不过信息主体可任意撤销之。应当说，这一观点是值得商榷的。首先，撤回与撤销的术语差别属于法律常识，立法者应不至于轻易混用。其次，将同意撤回理解为某种专为个人信息保护所设立的任意撤销权，似乎与法律行为理论的价值取向亦有抵牾。作为意思自治的主要手段，“法律行为不但对于当事人来说具有相当于法律的效力，体现为行为规范，而且对于法院来说同样具有法律规范的品格”。
法律行为生效后不能随意撤销，民法典有关撤销的规定都非常审慎，且在构成要件、除斥期间、溯及力等方面均有所限定。故此，将同意撤回理解为一种贯穿信息处理全周期的任意撤销权，这与法律行为的一般规定相冲突，亦不利于交易安全和信赖利益保护。
同意行为的表示方式
同意规则的规范性要求可概括为知情、自愿和明确三方面。个保法第14条第1款规定，同意应是在充分知情的情况下自愿、明确作出的。作为个人信息处理的合法性依据，同意行为具有类似“形式推论装置”或者“证据”的特点——如果存在个人同意，则可推定信息处理活动具有合法性，否则该活动即违法。尽管存在例外情况，但信息主体的同意行为仍是一项证明信息处理合法性的标准化、低成本的手段。借助于同意行为，可以降低信息主体和信息处理者之间的交易成本，从而“直接进入到与个人信息权益行使最为核心的地带”。