衣俊霖｜论个人信息保护中知情同意的边界——以规则与原则的区分为切入点(8)

1.同意应以明示为原则
根据知情同意规则对明确性的要求，信息主体的同意行为应以明示为原则，在少数特定场景下允许默示同意。所谓明示的同意，是指行为人将其对个人信息处理的允诺直接表示于外；默示的同意则指通过特定行为间接推知行为人的允诺。个保法第14条第1款规定，同意须是明确作出的。不过，所谓明确同意，并不是一种同意类型，而是针对同意行为的规范性要求。明确性意味着，同意必须以清晰、明白无误的方式作出。通过口头、书面文字、框选同意等积极的明示行为，显然较契合“明确同意”的要求，故应以明示同意为原则。但是，默示方式未必不能满足明确性的要求。在特定场景下，默示反而可能更符合日常习惯。以刷脸门禁系统为例，倘若信息采集区中已有显著标识，则进入采集区并等待面部扫描的行为无疑是一种明确同意，只不过采取了默示方式。当然，默示同意确实在明确性上可能存在瑕疵，故一般不应允许默示同意。
特别在网络空间中，默示同意往往含义模糊、易生歧义。例如，若某网站在页面中置顶了隐私政策，那么用户持续的访问行为是否构成明确同意呢？一方面，考虑到网站和手机app采集个人信息的普遍性，若已公示告知相关规则，用户的持续访问似乎可推定为明确同意；另一方面，用户可能没看到隐私政策，或者看过却不置可否，甚至可能根本不知晓其个人信息正被收集。可见，对默示同意的解释缺乏一种稳定的判断基准。相比之下，采用勾选同意、书面声明等明示方式则更加可靠、无歧义。特别地，用户作出勾选、提交等动作后，易于编码成数据包发送至服务器端，后端代码通过识别、验证并记录该动作，作为明确同意的证据。故此，在批量、自动化的个人信息处理场景中，应以明示同意为原则。尽管不宜完全禁止默示同意，但应将其限定在少数、有限的特定场景中。此外，可借助技术标准对默示同意进行更细致的规定。
对于不符合国家或行业标准的默示行为，则推定其不构成明确同意。
2.法律不宜对同意进行拟制
作为一种立法技术手段，拟制同意是指在特定情景下把沉默或不作为视作信息主体作出同意。从法律效果上来说，拟制的同意与真实的同意似乎并没有区别。不过，拟制同意以法律意志代替了当事人意志，这显然不符合知情同意的自愿性、明确性要求。有学者指出，拟制同意可以化解知情同意规则因僵化、苛刻而造成的弊端。然而，适宜采取拟制同意的情形，往往就是同意规则的例外情形。故此，即便知情同意规则存在一定弊端，以此为由却不足以证成拟制同意，而须在立法技术层面对法定拟制的合理性进行论证。否则，通过规定同意行为的例外规则，显然比拟制同意更简单、直观。一种支持拟制同意的可能的理由是，同意行为构成意思表示，是产生访问权、更正权、可携带权等个人信息权利的基础。因此，拟制同意能够与法律行为理论有机衔接，进而创设整个个人信息权能体系。不难发现，这一理由的前提假设是同意行为的法律行为说。