在个人信息处理中，告知-同意规则是一项最基本的规则。《个人信息保护法》（简称“《个保法》”）第十三条系处理个人信息的纲领性条款，亦为该法之“法眼”。该法第十三条将个人信息处理行为的合法性基础分为两类，一是取得个人的同意，二是法律、行政法规之规定。该法第十四条第一款对个人的同意作出具体规定。“基于个人同意处理个人信息”作为告知-同意规则的核心内容，系出于尊重和保护个人对其个人信息处理的知情权和决定权而产生，要求个人信息处理者须在告知并取得其信息被处理的个人同意后，才能对该个人信息作相应处理。因而，在“基于个人同意处理个人信息”的规则中，对于“同意”性质的界定将直接影响到整个告知-同意规则的立法路径与法律合规架构搭建。

 一、是否将“同意”界定为“意思表示”的制度意义

在各国立法例中，争议较大的是是否将同意界定为“意思表示”。欧盟《一般数据保护条例》第四条第11款未将“数据主体的同意”界定为意思表示；而我国台湾地区《个人资料保护法》第七条第一、二款则直接将同意归入意思表示范畴。[1]   我国《个人信息保护》立法则经历了从肯定意思表示说到否定的过程。

可见，《个人信息保护法》一读草案与二读草案最大的区别在于，一读草案曾采纳意思表示说，二读草案删除了“意思表示”四字，即个人“自愿、明确作出”，表明立法机关放弃了意思表示说的观点。而正式颁行的《个保法》亦沿袭了二读稿的观点，并明确“该同意应当由个人在充分知情的前提下自愿、明确作出”。

是否将“同意”界定为意思表示的意义在于，如果将同意界定为意思表示，则该同意属于法律行为，对个人信息处理者履行告知义务所提供的“隐私政策”等文件（即发出处理个人信息的要约）表示同意的（即承诺许可处理个人信息），双方之间建立合同关系，其行为效力与后果应直接适用《民法典》第三编合同的规定。从合同角度，个人信息处理者与个人之间自可通过隐私政策（协议）等法律文件约定双方的权利和义务，并约定法律文本的成立地点、履行方式、责任承担等事项，在法律合规事项中个信息处理者须特别关注《民法典》关于格式条款的规制内容。反之，该等隐私政策等文件的提供应属于单方行为，其行为成立应适用《民法典》第134条第一款[2]关于单方意思表示成立的规定。就单方行为而言，隐私政策的制定者（个人信息处理者）只能规定自己的义务，向基于同意而被处理信息的个人赋予相应权利。在法律效力层面，个人信息处理者在单方行为的隐私政策中规定基于同意而被处理信息的个人应履行的相应义务或承担相关法律责任等事项，对基于同意而被处理信息的个人不发生法律约束力。可见，对于不同性质的行为，个人信息处理者所应遵循的法律规则，及为履行法定或自我约束的义务所搭建的法律合规架构也会存在差异。

二、现行立法框架下“同意”的法律性质

个人的“同意”作为一种民事行为殊无异议，由于我国《个保法》立法例已经否定了“同意”是一种意思表示，自不符合民法对法律行为的定义。在民法基础理论中，除法律行为外，涉及民事行为规范的还有两类，一类是事实行为，另一类是准法律行为。个人的“同意”究竟是事实行为，还是准法律行为，存在不同的观点，但本文认为从学理上分析，个人的“同意”应属于准法律行为。

1、个人“同意”不属于事实行为

事实行为，是指行为人不具有设立、变更或消灭民事法律关系的意图，但依照法律的规定能引起民事法律后果的行为。[3]易言之，即事实上有此行为，即生法律上效果，行为人有无取得此种法律效果的意思，在所不问，故不适用意思表示之规定。持事实行为说的观点认为，在处理个人信息的告知-同意规则中，个人“同意”应属于事实行为。可是，从事实行为的规范框架分析个人的“同意”，存在以下两个问题：

其一，事实行为的构成不要求行为人具有相应的民事行为能力，因此对于限制行为能力人所作的事实行为依然有效。[4] 而《个保法》第三十一条第一款规定，个人信息处理者处理不满十四周岁未成年人个人信息的，应当取得未成年人父母或者其他监护人的同意。显然，我国立法例已经排除了不满十四周岁未成年人就其个人信息处理作出“同意”行为，不满十四周岁未成年人的“同意”不具有个人信息保护法第十三条赋予的法定效果。此外，法律行为可以代理，事实行为不能代理，而《个保法》第三十一条第一款关于未成年人父母或者其他监护人的可以作出同意的依据系源于《民法典》第二十三条规定的法定代理人身份。因此，如果认为个人的“同意”是事实行为，在法律逻辑上相悖。

其二，一般认为事实行为一经作出，其法律后果即已产生，不能撤销或撤回。而《个保法》第十五条第一款规定：“基于个人同意处理个人信息的，个人有权撤回其同意”。尽管该条第二款规定，个人撤回同意，不影响撤回前基于个人同意已进行的个人信息处理活动的效力，但是显然该条关于同意撤回的规定已经超出了事实行为的法律效力范畴。

2、个人“同意”的性质应属于准法律行为

根据学理共识，所谓准法律行为，是指对外表示内心状态，但效果由法律直接规定的行为，有学者将其其构造简化为“表示行为+效果法定”的法律规范，表示行为是其构成要素，但法律效果完全由法律规定。[5]

法律行为的核心要素是意思表示，而意思表示的成立须满足主观上的效果意思、行为意思、表示意识以及客观上的表示行为。[6] 其中主观要件中，最核心的要素是效果意思，即行为人欲依其表示发生特定法律效果的意思。客观要件中表示行为的对象是效果意思。法律行为的制度功能旨在实现自由意志，其内在逻辑是通过表示行为来引起特定效果的效果意思，因而效果意思是法律行为最为根本的特质。

准法律行为有表示意思，却没有效果意思，表示行为的对象可以是某种意愿，也可以是对某种事实情况的认知，还可能是某种情感态度或立场，但是准法律行为的表示对象绝非效果意思。[7]

有学者在分析我国《个保法》第十四条个人就其个人信息被处理而作出的 “同意”时，认为在性质上属于违法阻却事由（免责事由），而非意思表示。[8] 我国《个保法》立法例未采纳“同意”是意思表示说，与《民法典》第一千零三十六条“处理个人信息免责事由”[9] 条款的基本逻辑保持一致。在法律规范的设计中，与“基于个人同意处理个人信息”模式相似的是医疗损害责任中的患者同意(《民法典》第一千二百一十九条)。[10] 患者同意的规范架构沿用了《侵权责任法》第五十五条的规定，采用的也是违法阻却事由（免责事由）规范模式。

从行为分析维度，学者将患者同意界定为准法律行为性质。[11] 在处理个人信息的同意方面，两者具有相似性。析言之，个人“同意”的性质属于准法律行为，理由如下：（1）在构成上个人同意个人信息处理者的处理活动，表明个人有被处理个人信息的意愿，但这个意愿并非效果意思；（2）在法律效果上通过个人的表示行为排除了个人信息处理者的违法性，且与权利变动无关；（3）该等表示行为的法律效果的发生是由《民法典》、《个人信息保护法》等法律直接规定的。

在个人同意的前提下，只要个人信息处理者在法定义务的范围内处理个信息的，就无需承担民事责任，即便个人同意的真实意愿并不是排除处理活动的违法性，或个人并无不追究个人信息处理者民事责任的意愿，亦不影响该等行为的法律效果。在准法律行为中，表示行为是其构成要素，但该表示行为的目的对法律效果没有意义，与该构成要件相应的法律效果完全由法律规定，具备上述特性的行为应归于准法律行为。

此外，准法律行为和事实行为的界限划分，可基于构成要件和法律效果的对比体现。构成要件方面，一方面，在行为形态上，事实行为并非表示行为，没有对外表达内心意愿的过程，系区别准法律行为的根本要素。由于准法律行为是表示行为，是否表示的决定权掌握在行为人手中，在处理个人信息时的个人同意中，其需将同意处理其个人信息的意愿表现于外部，属于典型的表示行为，非事实行为。另一方面，在意思要素上，准法律行为有表示意思，事实行为由于不是表示行为，故亦无表示意思。在法律效果上，相同之处是准法律行为与事实行为的法律效果完全取决于法律规定，但两者法律效果的形态具有明显差异。准法律行为不能直接导致权利变动，而事实行为的法律效果主要是权利变动，就同意处理个人信息而言，该同意不会引起人格权的变动。

三、将“同意”认定为准法律行为后对相关问题的理解

1、关于“同意能力”及处理不满十四周岁未成年人个人信息的同意

《个保法》第三十一条第一款规定：“个人信息处理者处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意”。如上述，事实行为对行为人的为或不为一定行为的能力没有要求，其只要从事相应的行为，该行为的后果由法律直接规定。如将个人同意定性为事实行为，个人信息处理者仅需征得不满十四周岁未成年人自己同意即可，无需再规定其父母或其他监护人的同意。显然，将处理个人信息的同意定性为事实行为有悖于现行立法规制与基本法律逻辑。

法律行为以民事主体具有行为能力为基础，《民法典》规定不满18周岁的未成年人，以及16周岁以上不能以自己劳动收入为主要生活来源的未成年人不是完全行为能力人。而《个保法》对不可以自主决定处理其个人信息的年龄划分在14周岁，因此14周岁以上但不满16周岁的未成年人，可以自主决定处理个人信息的同意事项。因此，从法律行为须具有行为能力角度无法解释该年龄段未成年人同意的效力问题。

《个保法》中关于同意的能力与传统民法中的行为能力不同，由此在理论与立法实践中提出“同意能力”的观点。[12] 在个人信息处理中，同意能力不同于行为能力，只有当作出同意的个人具有同意能力时作出同意即属有效。个人的同意系对自身权益的处分，作出同意的个人是否具有同意能力，关键取决于其能否认识到行为的后果，或言是否具有识别能力。我国《个保法》沿用《未成年人保护法》的观点，即：“从目前我国未成年人使用网络的实际情况来看，年满14周岁的未成年人已普遍具有了认知、判断网络风险的能力，而且我国部分法律已经将14周岁作为话费未成年人权利义务的重要年龄分界点。”[13] 因此，我国《个保法》将个人的同意能力的年龄划定在14周岁，不满14周岁的未成年人在个人信息处理中不具有同意的能力，其作出的同意无效。

对于准法律行为，其核心要素在于表示行为，对具有行为能力条件下成立意思表示所需具备的效果意思没有要求，因此行为人只要具有识别能力，即可认定其在个人信息处理中具有同意能力，可以作出同意的表示。

2、关于同意的撤回

如将“同意”界定为意思表示，《个保法》第十五条同意的撤回规则完全不同于传统民法中法律行为（合同）的撤回规则，因为合同法的撤回须在意思表示生效前到达相对人，其产生的效力是使得原先作出的意思表示不发生效力。因此，有观点认为《个保法》所指的同意的撤回实质是意思表示撤销。但需指出的是，依据传统民法的理论，撤销意思表示如给相对人造成损失的，应承担损害赔偿责任，而在《个保法》框架下，由于同意不是意思表示，不存在个人撤回同意后需要向个人信息处理者承担损害赔偿责任的问题。

由于准法律行为在民法中未作出专门规定，而是散见于各编或各单行立法，因此在准法律行为分析框架下，同意是否可以撤回及其效力可直接由法律规定或赋予。从现行立法规定看，同意撤回的法律效力体现在：（1）同意的撤回系仅针对基于个人同意处理的个人信息，就《个保法》第十三条条第一款第二项至第七项规定情形的，不存在撤回同意的问题；（2）个人信息处理者应依据《个保法》第四十七条第一款第三项的规定，删除其个人信息；（3）同意的撤回不具有溯及力，个人撤回同意，不影响撤回前基于个人同意已进行的个人信息处理活动的效力。

附录

[1] 第七条第一款规定：“第十五条第二款及第十九条第五款所称书面同意，指当事人经搜集者告知本法所定应告知事项后，所为允许之书面意思表示”。

第二款规定：“第十六条第七款、第二十条第一项第六款所称书面同意，指当事人经搜集者明确告知特定目的外之其他利用目的、范围及同意与否对其权益之影响后，单独所为之书面意思表示”。

[2] 《民法典》第一百三十四条第一款规定：“民事法律行为可以基于双方或者多方的意思表示一致成立，也可以基于单方的意思表示成立”。

[3]  法律行为系属一种表示行为，即行为人企图发生一定私法上效果而表示其意思，故以意思表示为其不可或缺的要素。非表示行为不以表现内心的意思为必要，乃无关于心理的行为，故亦称事实行为，从而不适用关于意思表示的规定，尤其是关于行为能力之规定。参见王泽鉴《民法总则》，中国政法大学出版社2001年版，第255页-256页。

[4] 事实行为与法律行为的区别在于: （1）事实行为不以意思表示为其必备要素，法律行为以意思表示为必备要素；（2）事实行为依法律规定直接产生法律后果，法律行为依据行为人的意思表示的内容而发生效力；(3)事实行为只有在行为人的客观行为符合法定构成要件时才发生法律规定的效果，民事行为的本质在于意思表示，而不在于事实构成；(4)事实行为的构成不要求行为人具有相应的民事行为能力，法律行为以行为人具有民事行为能力为生效条件。

[5] 常鹏翔：“对准法律行为的体系化解读”，载《环球法律评论》，2014年第2期，第48页。

[6] 王泽鉴《民法总则》，中国政法大学出版社2001年版，第335页-3376页。

[7] 表示行为，系心理状态之发于外者，心理状态可分为知、情、意三方面，故表示行为可细分为：知之表示、如观念通知；情之表示，如宽宥；意之表示则再分为意思通知与意思表示。传统民法将意思通知、观念通知、宽宥界定为准法律行为，以意思表示为要素的意之表示行为界定为法律行为。参见史尚宽：《民法总论》，中国政法大学出版社，2000年版，第302页-304页。

[8] 程啸：《个人信息保护法理解与适用》，中国法制出版社，2021年版，第147页-149页。

[9] 《民法典》第一千零三十六条规定:“处理个人信息，有下列情形之一的，行为人不承担民事责任：（一）在该自然人或者其监护人同意的范围内合理实施的行为；（二）合理处理该自然人自行公开的或者其他已经合法公开的信息，但是该自然人明确拒绝或者处理该信息侵害其重大利益的除外；（三）为维护公共利益或者该自然人合法权益，合理实施的其他行为。”

[10] 《民法典》第一千二百一十九条规定：“医务人员在诊疗活动中应当向患者说明病情和医疗措施。需要实施手术、特殊检查、特殊治疗的，医务人员应当及时向患者具体说明医疗风险、替代医疗方案等情况，并取得其明确同意；不能或者不宜向患者说明的，应当向患者的近亲属说明，并取得其明确同意。

医务人员未尽到前款义务，造成患者损害的，医疗机构应当承担赔偿责任。”

[11] 常鹏翔：“对准法律行为的体系化解读”，载《环球法律评论》，2014年第2期，第54页。

[12] 程啸：《个人信息保护法理解与适用》，中国法制出版社，2021年版，第276页-277页。

[13] 郭林茂主编：《中华人民共和国未成年人保护法释意义》，法律出版社2021年版，第223页。