韩旭至

（华东政法大学法律学院副研究员）

·本文来源于《地方立法研究》年第3期

《个人信息保护法》第29条、第30条在法律上首次专门规定对敏感个人信息处理的告知同意。当前，一方面，敏感个人信息保护与告知同意规则的部分理论成果已为立法所扬弃；另一方面，部分理论成果又无法直接解释这一全新的法律规范。对此，需结合两个条款的规范目的，以法教义学的立场对敏感个人信息处理的告知同意进行解释。就敏感个人信息处理的特殊告知事项而言，必要性的告知应展示个人信息处理与提供相关具体的服务/功能之间的必然联系。对个人权益影响的告知应根据个人信息保护影响评估的结果进行。就敏感个人信息处理的同意规则而言，为满足单独同意的要求，处理敏感个人信息与一般个人信息的同意应相互独立，不能采取一揽子同意的方式。书面同意是在单独同意的基础上对同意的形式要求，可采取合同书、信件、电报、电传、传真等形式作出。敏感个人信息处理中的告知同意规则虽然重要，但绝非不可或缺。特定情形中处理敏感个人信息无须告知同意，告知同意亦不必然赋予敏感个人信息处理行为以合法性。

一、问题与方法

针对敏感个人信息处理的多种告知同意理论模型已为立法所扬弃。例如，不少学者主张，信息处理者应在清晰、明确告知后获得信息主体的明示同意，并构建相应的同意撤回机制。在我国《个人信息保护法》中，这些关于敏感个人信息告知同意的特殊主张已经升格为告知同意的一般要求。值得辨析的是，主张结合信息处理的具体场景、处理目的、处理方式进行动态分析的场景理论能否直接用于解释敏感个人信息处理的告知同意规范。在敏感个人信息的界定中，即有学者主张“兼顾敏感个人信息利用的情景、目的”。针对敏感个人信息处理的告知同意，又形成了分层同意、动态同意的理论，主张“从整齐划一的同意向基于信息分类、场景化风险评估的分层同意转变，从一次性同意向持续的信息披露与动态同意转变”。

场景理论与我国敏感个人信息保护的制度逻辑存在冲突。一方面，场景理论被大量误读，成了“具体问题具体分析”的代名词。尼森博姆(HelenNissenbaum)所提出的“情境完整性理论”，旨在从社群规范的角度对美国法中的隐私概念进行解构。直接适用场景理论将与我国敏感个人信息的法律界定相冲突。根据《个人信息保护法》第28条第1款，敏感个人信息的风险判断存在确定的前提，即“一旦泄露或者非法使用”，此时具体的信息处理场景已不再相关，其

转载请注明:http://www.aideyishus.com/lkjg/2058.html