（一）源自民法私人自治理念的“同意”及其困境

　　基于民法理性人假设和私人自治的同意规则是个人信息保护法律体系的基石，但其面临着个人信息处理复杂性与个人认知理性有限性之间的矛盾与困境。其一，同意规则的有效实施预设了具备充分认知能力的理性主体，但人的有限理性难以应对个人信息处理活动的高度复杂性。在认知惯性、从众心理等因素影响下，个人经过简单的成本收益分析很容易认为阅读冗长的告知文件得不偿失，从而直接点击同意。理想状态下的私人自治在起点上便已失灵。其二，大模型具有涌现能力和算法黑箱的特征，连数据处理者都无法完全预知后果，个人针对具体后果更难以充分知情。由于技术本身的不可解释性，告知的内容被迫从实质性的风险揭示退化为形式主义的概括性描述，掩盖了具体的风险差异。

　　（二）“保护法”家长主义理念下的同意干预

　　所谓“家长主义”，是一种为了保护行为人的利益而限制行为人自由的法律干预模式，其间存在私人自治与法律干预的协调问题。《个人信息保护法》第14条引入的“充分知情”“明确作出”以及其他条款针对敏感个人信息处理等特殊情形引入的“单独同意”要求都超越了民法体系下的同意要求，体现了对个人自治的家长式干预。

　　对个人信息处理之同意进行家长主义干预的正当性主要来自于三个方面：其一，通过个人信息保护，维护人格尊严与自由发展，保障基本人权；其二，规避个人信息处理可能对个人财产权益、人格权益的系统性风险；其三，通过倾斜保护型法律，矫正不对等法律关系中主体之间利益的失衡状态，弥补私人自治的不足。

　　（三）“形式家长主义”的异化：基于欧盟最新立法动态的反思

　　若不加节制地追求充分知情与明示同意的形式完备性，就可能异化为“形式家长主义”。这种苛求同意的外在形式完备而忽视其实质有效性的干预措施也并未转化为个人对风险的实质认识，法律文本上的严苛要求因无法落地而被迫流于形式。

　　从个人角度而言：一方面，过高而忽视实施可行性的形式要求，易对个人自我判断和自由决定的能力形成冲击，消解私人自治的空间。另一方面，形式家长主义忽视了个体在不同场景下的隐私偏好差异，没有对个人隐私意愿的场景依赖性、个体差异性和方式偏好性予以必要尊重，而是脱离场景予以一刀切的规范。

　　从社会角度而言：不加区分地将形式家长主义干预适用于数字产业，将会推高合规成本，抑制个人信息的规模化流动，不利于数据要素高效流通利用；还将构成AI产业发展的制度性障碍，因为若将“明确作出”解释为普遍性的明示同意，要求企业对纳入训练的个人数据逐一获取授权，其交易成本将趋近于无限大。

　　从比较法经验看：即便是强监管的欧盟也已经开始通过“去形式化”的回调来主动降低制度性交易成本，反思传统的高标准同意义务。

　　当然，家长主义与私法自治并非绝对矛盾，关键是确保家长主义不过度偏离私法自治逻辑的限度。需要探求一种私人自治与家长主义的互动理论，以作为同意规则解释修正的底层理论支撑。

　　（一）教义学解释背后的理论支撑：私人自治与家长主义的二元互动理论

　　首先，家长主义与私人自治之间呈现排斥与互补的二元互动关系。在信息不对等的情景下，家长主义有利于矫正单纯形式自治的不足。关键是要明确家长主义干预的限度，促进私人自治而非强制管制，避免走向忽视普通民众自治能力的误区。

　　其次，在制度形态上走向将自由与干预有机结合的“自由式家长主义”。在最大程度保留个人选择自由的同时，通过非强制性的手段引导个人行为；承认认知的局限性，又致力于通过灵活的架构设计保留选择空间，从而在深层次上实现私人自治与家长主义的动态平衡；既避免因追求形式完备而导致的“同意疲劳”，又能为新兴产业的发展打破交易成本过高的制度性障碍。

　　再次，在运行机制上，自由式家长主义推崇的核心措施是“助推”，旨在通过可预测的方式引导个体的行为，帮助个体克服决策中的有限理性和认知偏见，在不剥夺选择权的前提下作出更好的选择。

　　（二）“助推”理念下的充分知情

　　基于自由式家长主义理念，解释论上的“充分知情”不应强求个人主观上对技术原理与处理后果完全知情，而应关注实质上的有效告知，改善信息成本。

　　首先，主观判断客观化：将“知情”解读为外在客观的告知义务之履行。只要处理者以一般理性人可理解的方式履行了告知义务，即满足了知情要件。因为告知义务之履行不仅可以间接助推个人知情，也可为个人在是否愿意知情、多大程度上知情留下自治余地。

　　其次，准确理解“充分”：降低信息成本并适度提高机械成本，避免告知冗余。一方面，对于敏感个人信息等高风险处理，应落实单独同意、书面同意要求，通过打断用户的无意识点击，起到警示作用。另一方面，“充分”应侧重于信息可获得、可理解：（1）隐私政策应确立分层告知和模块化呈现的架构设计标准。首层告知应当实质性地提炼关键信息，配以进一步解释和举例说明的链接；完整的隐私政策则作为最后一层告知。（2）风险提示的核心要素应具体化为数据流转的不可逆性提示、处理后果的非预期性提示、潜在的负面影响提示等维度。

　　最后，有效告知的标准在解释论上应当具有动态维度，根据不同类型受众的认知特征进行差异化的架构设计。处理者应当结合受众群体的特征，采取针对性的助推策略，例如采取大字版、语音播报、图文混排等方式。

　　（三）同意概念中的明确要素：意愿的非模棱两可，而非方式的明示性

　　《个人信息保护法》中同意概念的“明确”要素强调同意的内在要求，指向的是同意与否不能模棱两可，不应解释为同意方式上一律强加的“明示”要求。在比较法上，欧盟GDPR的同意规则区分了“明确”（unambiguous）和“明示”（explicit），前者指向内容上的明确，意指同意与否不能模棱两可；后者指向同意方式上的明示。二者并不等同，明确同意可以以默示的方式作出。这一观点也可依据我国个人信息保护法的价值取向及相关原理获得体系化解释。

　　第一，《个人信息保护法》内含着保护个人信息与促进个人信息合理利用的二元价值取向，天然排斥“全场景明示同意”的激进解释。若将“明确同意”一律解释为形式上的明示同意，要求对海量个人信息逐一获取显性授权，实质上是过于强调个人信息保护而忽视利用。

　　第二，对《民法典》和《个人信息保护法》同意规则的理解，应当保持法释义学上的体系一致性。结合《民法典》第140条可知，《民法典》只对处理私密信息施加了以明示的方式作出同意的特别要求。若认为《个人信息保护法》对所有的个人信息处理均要求明示同意，将有违《民法典》的区分对待立场。

　　第三，家长主义干预的正当性理由有程度要求。并非所有的个人信息处理都会涉及人的尊严或造成高风险，法律上只适宜对高风险个人信息处理活动施加明示同意的高门槛，对大量非敏感、低风险的数据处理，应当允许个人通过“默示同意”来满足“明确作出”的要求。至于如何判断默示同意的适用边界即“低风险场景”，应根据具体场景，从数据属性（不包括敏感个人信息）、处理目的（并非针对个人的侵入性使用）和技术保障（安全脱敏）等维度进行综合限缩解释。

　　第四，就产业发展和AI训练中的个人信息处理而言，我国可以通过默示同意的路径为AI训练中非敏感个人信息的处理打开合规空间。默许企业按照默示同意的路径获取个人信息进行AI训练的同时，秉承自由式家长主义的干预理念，也需要确保个人可以通过反向的意思表示退出默认框架。

　　本文主张引入“自由式家长主义”，通过“助推”手段重构同意规则：在知情维度，应承认个体认知的局限性，将重心从完全披露转向有效告知，通过改善信息成本结构，助推个人在明晰实质风险的前提下作出理性选择；在明确同意的维度，应坚守《民法典》确立的体系逻辑，将“明确”解释为意愿的非模棱两可而非形式的普遍明示，从而为低风险场景下的默示同意预留合规空间。通过自由式家长主义的解释论修正，可以在维护人格尊严与释放数据价值之间找到理性的中间道路，从而构建契合数字时代特征的个人信息保护新范式。

　　文献链接：《数字时代个人信息同意规则的解释论修正》

　　（本文文字编辑彭睿。本文为中国民商法律网“原创标识”作品。凡未在“中国民商法律网”微信公众号正式发布的文章，一律不得转载。）