内容
（一）《民法典》中的隐私权保护
《民法典》第1032条首次在立法层面将隐私内涵界定为自然人的私人生活安宁（普通人标准判断）与不愿为他人知晓的私密空间、私密活动、私密信息（主观标准判断），确定其消极防御的属性。对于其保护，除一般防御权以外，还以例示方式明确五类隐私侵权行为，并以法律另有规定或权利人明确同意为免责事由。
然而，《民法典》隐私权保护未对成年人与未成年人作区分。第1033条并未确认隐私权是否属未成年人可独立做出同意的事项，也未明确监护人是否可为未成年人隐私同意中的权利人。唯一明确的是，监护人代未成年人作出隐私处分同意时，应遵循最有利于被监护人的原则。同时，在尚无明确规定的前提下，不宜直接认定未成年人可就自己隐私独立做出同意。
（二）《民法典》中的个人信息保护
《民法典》第1034条采纳“可识别说”定义个人信息，范围远宽于传统隐私概念。就未成年人个人信息保护而言，第1035条确立了监护人同意的基本原则，尚未明确监护人同意的边界。《民法典》对隐私与个人信息的保护力度在表达上有具体的区分，对于隐私权要求“明确同意”，而个人信息保护仅要求“同意”，二者表述差异彰显了保护层级的不同。第1034条第2款非常清楚地表明法律对隐私权的保护力度高于对个人信息的保护。
（一）一般个人信息与敏感个人信息的二分结构
《民法典》应该被视为一般法，《个人信息保护法》在相关的私法层面应该被视为特别法。《个人信息保护法》在《民法典》基础上，创设一般个人信息与敏感个人信息的二分体系。其中，敏感个人信息的核心特征是泄露或非法使用易导致人格尊严受侵害或人身、财产安全受危害。对于敏感个人信息与私密信息的区分，交叉重合说认为对于私密信息，应优先适用《民法典》隐私权相关规范；对于敏感个人信息，应优先适用《个人信息保护法》规范；对于二者重合的部分，宜优先适用保护强度更高的隐私权规则。而司法实践更倾向于从隐私权角度进行司法救济。
（二）处理敏感个人信息的基本原则
对于敏感个人信息，其处理需在“知情-同意”框架下满足特定目的、充分必要性与严格保护措施的更高要求。对于“知情”，个人信息处理者应向个人告知处理敏感个人信息的必要性以及对个人权益的影响；对于“同意”，应取得个人单独同意，或根据法律、行政法规规定取得书面同意，且禁止概括性授权。
不满14周岁未成年人的所有个人信息均属敏感个人信息，处理时应特别告知处理信息的必要性和信息处理对个人权益的影响，并取得其父母或者其他监护人的单独同意。然而，对于个人在个人信息处理活动中的权利，法律完全没有区分未成年人与其监护人的不同身份，个人的一系列权利究竟由谁行使尚不清晰；个人信息处理者应如何进行身份识别以制定对未满14周岁未成年人专门的个人信息处理规则，也尚不明晰。
《未成年人保护法》从特别法层面细化未成年人个人信息保护，明确了处理不满14周岁未成年人个人信息的，除法律、行政法规另有规定外，应当征得其父母或者其他监护人同意。然而，《未成年人保护法》并没有回应14周岁以上的未成年人是否即具有完全的信息同意能力，及未成年人的监护人对未成年人的个人信息是否具有完全的同意权利的关键问题。此外，该法赋予未成年人及其监护人更正权、删除权，但未对未成年人作年龄区分。
相比之下，《未成年人网络保护条例》等配套规范以18周岁为统一保护界限。同时，该法要求未成年人或者其监护人提供未成年人真实身份信息，实质上将未成年人与监护人等同视为权利主体。部分规则以强化身份核验为名过度收集个人信息，反而存在侵害风险。总体而言，现行特别规范体系存在未成年人消极信息自决权保障不足、对14周岁以上未成年人保护薄弱等问题，需回归《民法典》基础框架寻求体系化解。
（一）同意的法律属性
德国私法理论中就同意的法律属性长期存在法律行为说、准法律行为说与事实行为说三种观点。目前法律行为说日益成为主流，认为同意本质是权利人通过授权相对人实施特定行为排除违法性。这也符合人格权商品化的新发展。
（二）信息同意的法律属性
信息同意与一般同意本质相同：信息同意行为可以排除信息处理行为的违法性，使双方的私法关系发生变更；信息同意可以随时撤回，但撤回前的处理行为仍具有合法性。因此，信息同意同样属于法律行为，其本身是单方的，但天然具有双向性。
基于此，可以衔接《民法典》第19条规定的限制行为能力人可以独立实施与其年龄、智力相适应的民事法律行为之规则，为8周岁以上未成年人就与其年龄、智力相适应的个人信息事宜做出意思表示提供了规范可能，进而为未成年人人格自我发展创造了充分的可能性。
信息同意的核心前提是认知能力。医疗决定行为中的同意与信息同意具有本质上的相似性，主流观点认为应以个案中的具体认知水平为判断标准；但信息同意行为可能比一般的医疗同意行为更加复杂，具有线上化、风险隐蔽性强、针对性解释阙如、格式条款化等特点，信息处理者难以对每个用户进行个案判断。因此，合理的模式是：以年龄作为一般推定标准，明确不同年龄段的同意权限；发生争议时，再结合具体场景、信息类型进行个案审查。且因为个人信息高度涉及人身利益，实际上需要双重同意，一方面获得未成年人的同意，另一方面还需要获得监护人的同意或许可。对此，欧盟GDPR确立了通过年龄标准设立一般性的认知能力推定规则，可供参考。
（一）未成年人保护的各类年龄线
我国法上针对未成年人设有多重年龄节点，各自承载不同的规范功能：8周岁是无民事行为能力与限制民事行为能力的分界，也是尊重未成年人意愿的重要节点；14周岁是刑事责任最低年龄、女性性同意年龄，也是《个人信息保护法》对未成年人特殊保护的年龄界限；16周岁是劳动成年拟制的起点，也是义务教育终结和未成年人得以独立身份进入网络空间的年龄。
不同年龄线对应不同的规范目的，不能简单等同。个人信息保护不能直接照搬某一领域的年龄标准，而需结合行为能力制度，区分不同信息类型的敏感程度，分层设计同意规则。
（二）以行为能力制度为基础的解释框架
化解现行规范之间的结构性冲突，核心路径是回归《民法典》行为能力制度，将《个人信息保护法》《未成年人保护法》定位为特别法。具言之，可构建如下的分层递进同意规则：
第一，不满14周岁的未成年人，其所有个人信息均属敏感个人信息，处理该类信息必须取得监护人的同意。对于8周岁以上至不满14周岁的未成年人，应考虑赋予符合其认知能力的信息自决权。
第二，14 周岁以上不满 18 周岁的未成年人，处理其敏感个人信息仍需监护人同意。这是因为敏感个人信息涉重大人身与财产利益，与该年龄段未成年人的认知能力不相适应。至于一般个人信息的同意事宜，可认定为与其年龄、智力相适应，由14周岁以上未成年人自行作出同意。
第三，16 周岁以上以自己的劳动收入为主要生活来源的未成年人，视为完全民事行为能力人，可独立作出各类个人信息的同意。
该解释框架既维持了《民法典》的体系性，又衔接了特别法的特殊保护规则，在不修改立法的前提下填补了14周岁以上未成年人敏感个人信息的保护空白，实现了规范体系的圆融自洽。
我国未成年人个人信息保护法律体系存在结构性冲突，根源在于不同立法的规范逻辑、年龄标准与权利配置不统一，导致14周岁以上未成年人的敏感个人信息保护缺位，规则适用存在分歧。
将个人信息同意认定为法律行为，回归《民法典》行为能力制度的基础框架，是实现体系解释的核心路径。分层设计的同意规则既尊重了现行立法的规范安排，又强化了对未成年人的全周期保护，契合数字时代未成年人权益保障的现实需求，也为司法实践提供了清晰的解释路径。
（本文文字编辑叶一舟。本文未经原文作者审核。本文为中国民商法律网“原创标识”作品。凡未在“中国民商法律网”微信公众号正式发布的文章，一律不得转载。）
