1. 引言
随着信息化时代的到来，信息技术不断发展，各类app软件如美团、支付宝、淘宝等也不断研发出来丰富便利了人们的日常生活。而信息用户在使用这些软件时所留下的“痕迹”被相关主体收集、利用，这些“痕迹”中包含着公民的个人信息，涉及到公民的切身利益。针对这种现象，不仅记者媒体以及信息用户热切关注，同时国家也出台了相关的法律法规进行规制。在《民法典》以及最新出台的《个人信息保护法》等相关法律法规中都对知情同意规则的适用作出了规定，即当相关主体需要处理公民的个人信息时应取得信息用户的同意，不得擅自收集、利用或从事其它的个人信息处理活动。为此用户在下载注册app时，首先会看到隐私协议，里面会告知对用户个人信息处理的范围和方式，以及“同意”或“不同意”的选项，这就是知情同意规则在当下最直观的体现。
但是近年来，利用知情同意规则对个人信息的保护在实践上也面临了许多争论，部分学者认为知情同意规则不能再成为对个人信息保护的基础规则，应当鄙弃知情同意规则的适用 [1] ，也有部分学者认为知情同意规则不应是对个人信息作出处理活动的正当性基础 [2] 。但是根据我国最新出台的《个人信息保护法》可知，我国还是明确了对该规则的适用。知情同意规则在我国已经有了很成熟的发展，在此基础上如若放弃该规则的适用而研究其它的保护方式，将大大增加试错成本不符合我国的国情 [3] 。但对于知情同意规则在实践中存在的对个人信息保护和利用的失衡以及所面临的虚置风险，实务界和理论界也需要引起重视，对知情同意规则的完善有利于跟上时代步伐，解决现实生活中的诸多与个人信息保护有关的问题。
2. 知情同意规则的含义
2.1. 知情同意规则的内涵
知情同意规则又被称之为告知同意规则 [4] ，并且还有部分学者称之为原则 [5] 。对于在学术用语上产生的歧义，我国《民法典》已对此予以明确。《民法典》第1035条指出当相关主体需要处理公民的个人信息时应取得信息用户的同意，不得擅自从事个人信息处理活动。因此相关主体收集、利用或从事其他个人信息处理行为时，“知情同意”是合法化的前提条件，该原则已变的具体化成为了规则。知情同意规则具体来说就是任何组织或个人在对信息用户的个人信息1做出处理行为2时，应当将处理结果充分告知信息主体，并取得个人同意。
知情同意规则包含了“知情–同意”两个规则 [6] ，两者如同是硬币的两面一般紧密相联。任何组织或个人在对个人信息进行处理时未向信息主体告知，信息主体不知晓对其个人信息的处理行为便不能做出决定；并且即使告知，若未能充分告知，信息主体在理解上存在偏差则表明存在意思瑕疵，那么处理行为也可能会被认定为无效。当然，即便是充分告知了，若信息主体并未做出有效同意，那么对于个人信息的处理行为也会被认定为侵权，属于违法行为。知情同意规则旨在保护公民对个人信息的知情权和信息自决权，个人知情并做出同意与否的决定的前提是相关主体能履行告知义务，所以告知行为才是合法处理个人信息的初始环节。合法告知涉及到了告知的方式和内容，最新出台的《个人信息保护法》对此做出了详尽的规定。第18条指出相关主体在告知方式上应当做到显著、易懂，向公民告知的范围包括相关主体的身份、所处理的个人信息的范围、目的等所有信息主体应当知悉的内容。之所以在告知方式上强调显著易懂，主要是由于目前隐私协议的繁杂冗长给用户带来了巨大的阅读障碍，但实际上即使告知方式合法，相关主体仍可以人为制造阅读障碍。而在告知内容上的列举规定，是为了在法律层面保障信息主体对重要内容的知悉。所以通过对告知方式和内容的规定，使收集者做到合法告知，保障用户对处理活动的知情。
个人的有效同意包括了明示同意和默示同意两种3，默示同意的特点在于不需要取得个人的明确同意，只要个人信息控制者作出信息处理行为时并未明确反对即可。采取默示同意的方式明显弱化了信息主体的知情权，因为用户相较于个人信息控制者而言是处于弱势地位的，因此一般人无法知悉自己个人信息的流转情况并且相关主体可能跳过告知的过程而自动为用户安排了同意的选择，弱化了用户的信息自决权。用户处于被动防御的状态，当发觉被侵权时，个人信息已然泄露。并且即便告知了用户，但未能充分告知或者当用户决定撤销对其相关信息的处理时作出限制，用户不能意识到该行为是不合法的，那么此时知情同意规则便流于形式，沦落为了告知规则。综上可知，采取明示同意的方式来保障用户知情是更为合理的，对此《个人信息保护法》也指出相关主体在处理个人信息时，应当保证用户能充分知情，并在此基础上作出有效同意。
2.2. 知情同意规则的立法发展
知情同意规则最早是应用在了医疗行业 [7] 。患者享有知情同意权，是指医务人员对患者作出诊疗行为前，患者有权了解病情并且对要采取的医疗措施作出同意与否的决定。科技的发展使得人们步入了大数据时代，获取信息的方式变得更为便捷并且不需要花费很大的时间成本，但也因此导致个人信息侵权行为不断发生，人们生活在了一个个人信息越来越透明的时代，知情同意规则便逐渐成为保护个人信息、规制个人信息处理行为的主要规则。
知情同意规则最早起源于美国。美国于1957年明确确立了知情同意规则，这一规则被各国纷纷采用。我国在2012年的《全国人民代表大会常务委员会关于加强网络信息保护的决定》中第一次在法律层面上对于个人信息保护问题作出规定，要求对个人信息的处理活动应当取得信息主体同意。之后在2013年的《个人信息保护指南》中要求信息收集者在处理行为的各个环节都要取得被收集者的同意，对于个人敏感信息的收集利用需要取得被收集者的明确同意 [3] 。而2013年修订的《消费者权益保护法》也指出收集者在对消费者的信息作出处理行为时必须保证消费者能够有效知情并同意其处理行为。随后的《网络安全法》将知情同意规则的适用作为规制网络运营者的主要方式。《民法典》生效后，将人格权编作为单独的一编，并在该编新增了个人信息权益的保护，明确要求收集者的处理行为要征得信息主体的同意。《个人信息保护法》出台以后又对此作了补充规定，再一次凸显了知情同意规则作为我国个人信息保护基础规则的重要地位。
3.《个人信息保护法》关于知情同意规则的规定
为了顺应时代潮流的发展，在2021年，《个人信息保护法》终于颁布生效，这对于我国提高个人信息保护具有重大意义。《个人信息保护法》的出台不仅在旧法基础上对知情同意规则的适用作出了更加细致的规定，建立起知情–同意的架构并且区分了敏感个人信息适用单独同意规则的规定以强化保护力度。
3.1. 确立以“知情同意”为核心的个人信息处理规则
通过现行法律可知我国对于个人信息的保护明确规定采取知情同意规则，而《个人信息保护法》是在《民法典》规定基础上作出了更进一步的细化。《民法典》明确规定了收集者的处理行为要征得信息主体的同意，这可以视为是对同意规则的规定。而《个人信息保护法》在第13条和第14条对同意规则以及知情规则进行了确立，并在第15条规定信息主体享有拒绝被收集个人信息，对之前作出的同意决定可以选择撤回的权利；第17条则对告知的方式和内容作出了要求，首先在告知的方式上不仅要公开而且个人信息处理者应当采取易懂、显著的方式充分告知被收集者，告知的内容涉及到所有应当告知的事项。为了保障信息主体的有效知情和作出同意，《个人信息保护法》对于个人信息处理者在告知的方式和内容上设定了多项法律义务。这些条款可说明《个人信息保护法》在对个人信息保护问题上，主要是通过把知情同意规则的适用作为了基础规则 [8] 。
3.2.“敏感个人信息”的单独同意规则
《个人信息保护法》将个人信息进行了敏感和非敏感的区分 [9] 。第28条对于敏感信息进行定义，是指容易侵害到公民的人格尊严或是人身、财产安全的个人信息并且明确了敏感信息的范围包括了生物识别信息、行踪轨迹等，甚至对于未成年人也加强了保护，将未满十四周岁的未成年人的个人信息，也界定为了敏感信息。第29条新增了单独同意规则以强化对敏感个人信息的保护，明确了对敏感个人信息的处理必须要征得信息用户的单独同意；在30条对于告知义务进一步附加严格限制，要求在告知内容上涉及到处理的必要性和处理行为对信息主体权益的影响，这种再次告知的义务显然是更加严格和合理的，因为敏感个人信息涉及到的是人格尊严等重要价值 [9] 。
我国增加对于个人敏感信息的规定显然也是与信息时代的发展相接轨的。比如对于生物识别信息的纳入，涉及到了公民的指纹信息、人脸识别信息等直接与人身、财产安全相关的信息。当前人脸识别技术滥用还有指纹信息泄露所可能引起的住宅安全、手机支付安全等危险，会引起公民心理上的恐慌以及人身财产的损失。并且对于个人信息进行划分，保护力度有所不同，能够在一定程度上缓解严格保护个人信息所引起的个人信息保护与利用的失衡。在信息时代，信息只有自由流通才能产生巨大的价值，如果我们禁止对个人信息的利用显然是不符合时代发展的。对于个人信息的分层次保护将会是完善知情同意规则对于个人信息保护和利用这一失衡现象的一个合理措施。但是对于个人敏感信息只是通过定义上的概括描述以及列举的方式显然不足以划定敏感信息的范围，因为在不同的场景中，公民的敏感信息可能有所不同，这在实践中可能会引发争议。
3.3. 对知情同意规则的豁免规定
《个人信息保护法》在第二章提到知情同意规则作为个人信息处理规则时，第13条在《民法典》还有《网络安全法》等对于知情同意规则的规定基础上，列出了其他几种不需要取得个人同意的免责情形包括第十三条第二款指出的为订立或履行个人合同所必需以及基于劳动规章或集体合同而实施人力资源管理所需；第十三条第四款又列出了应对突发的公共卫生事件还有紧急情况下的人身、财产安全保护的情况 [10] 。
对于公共卫生突发事件还有一些紧急情况的考量，一定程度上是与公共利益有关的。因为在保护个人信息时，公共利益也可能会与其发生利益冲突，所以通过设立一些免责条款对知情同意规则的适用进行补充说明，不是一味的强调个人同意，能够为处理个人信息提供更多的处理方式。并且当发生突发事件或紧急情况时，很难保证能够取得个人的同意，所以在这种情形下如果还严格适用知情同意规则反而是违反了适用该规则的本意，也会降低政府监管和解决问题的效率同样也会增加时间和金钱成本，对于互联网企业而言在处理个人信息时也会增加不小的难度 [10] 。对于这几项条款的增加不仅能够缓解公共利益和个人信息保护的利益冲突同样也考虑到了个人信息控制者的利益，回应了互联网企业的现实需求也能在一定能够程度上保障对个人信息的自由流通。但是基于公共利益的考量对公民的个人信息权益的限制，并未进一步规定限制的程度，这便会存在部分机关、组织对公民的个人信息权益作出不合理的限制或滥用个人信息的风险。
4. 知情同意规则的适用困境
4.1. 个人信息保护与利用的利益失衡
从现有的立法可知，我国对于个人信息保护方面的研究更加倾向于在信息化时代如何保护公民的个人信息，而针对信息主体和个人信息控制者之间的利益划分的边界问题并未有很好的解决方案 [11] 。《个人信息保护法》对知情同意规则的确立，其主要特点就是强化了信息主体对个人信息的控制，但该传统规则本身却给大大小小的企业带来不必要的压力。信息用户在使用各类数据软件时产生的各种信息被网络平台收集以及多次利用或与第三方平台共享，不同的平台对于信息收集的目的和使用方式也大为不同。在这种情况下现行法律要求个人信息控制者对所有的信息作出处理行为时都必须严格遵守知情同意规则，获得个人的同意，将会在很大程度上降低了个人信息控制者处理信息的效率，不利于对个人信息的利用。在商业活动中，如果每一次收集信息都要经过同意的环节便会导致商业运转的僵化。
很大程度上来说似乎大多数人认为大数据的发展是个人信息保护的威胁。正如前面所说个人信息只有被利用才会产生巨大价值，个人信息本身并不会有很大的价值，信息主体虽然在使用信息网络的过程中提供或者是产生了信息，但本身却不能通过所有权的形式对这些数据信息加以控制、利用。那么数据信息的控制者通过自己的努力收集信息以及分析各类数据得出对其有用的信息形成大数据。其在收集形成大数据的过程中也付出了巨大的时间和金钱成本，便也有权利用这些信息。《个人信息保护法》在内容上并没有很好的照顾到个人信息控制者的利益，在个人权益保护和信息自由流通的价值权衡中更倾向于前者，类似欧盟所采取的“私权至上”模式 [12] 。在信息化的时代，不仅信息主体不能控制支配其个人信息，互联网企业或是个人信息的控制者也不能完全掌握个人信息的收集、利用情况，因为互联网是动态开放的，个人信息进入网络中便处于自由流动的状态，如果严格采用知情同意规则是否对个人信息控制者附加了不合理的义务，而且从这个角度来说，似乎在对个人信息处理的各个环节适用该规则也是不可能的。
理想的知情同意规则必须兼顾到各方利益，平衡个人信息的保护与利用。不仅仅是让信息主体拥有更多保护个人信息的权利，避免被相关主体利用信息，还应当划定保护和利用的界限，照顾到收集者的利益，使得收集者能够避免不必要的收集和告知费用，在对信息作出处理行为的各个环节提高运作效率。
4.2. 无法保证充分告知
《个人信息保护法》指出个人信息的收集者在作出处理行为时应当保证告知方式符合法律规定并且信息主体需要有效知情和作出同意。但是在实践中知情同意规则的适用却面临困境，难以落到实处。相关主体在处理个人信息时通常是发布隐私协议的方式，信息主体阅读了所发布的声明或协议并勾选了同意选项，收集者就完成了告知义务，可以收集信息主体的个人信息。而互联网企业在设计这些隐私协议时篇幅会比较长，经常人为地制造许多阅读障碍 [13] ，许多关键的信息即使作了字体加粗但混杂到许多没有实际价值的文字中往往会被人们忽视，并且大多数人在没有足够的知识储备的情况下，对于一些专业术语并不是很了解。针对这种现象，《个人信息保护法》规定个人信息控制者必须采取易懂、显著的方式告知；《APP违法违规收集使用个人信息行为认定方法》要求网络平台的隐私协议不得冗长繁琐以及使用大量专业术语等。但在实践中这些网络平台总会找到各种漏洞，并且即使协议不再冗长、专业术语减少还是可以人为制造障碍，而且在认定侵权的问题上难以证明。最为关键的是只有少部分用户在注册软件后会仔细阅读这些隐私协议，大部分情况下会直接勾选“同意”的选项。这些协议是否做到了充分告知，而用户是否充分知情并作出同意决定，这些问题都难以查证，知情同意规则可能也就面临虚置的风险了。
科技发展使得用户在网络上花费的时间越来越多，每个公民手机上安装的软件至少也有三十多个，信息主体为了获得便捷的网络服务，对于这种授权同意的声明已经司空见惯了，所以会降低心理防备甚至是感到厌烦。原本属于对他们个人信息保护的授权机制反而成为了他们的负担，因此在勾选“同意”选项时并没有仔细思考即形式上的同意出现 [13] 。
在多数情况下，用户往往是抱着很大的兴趣去注册软件的，虽然，《个人信息保护法》引入了强迫同意无效规则，即信息主体对于网络平台提出的处理个人信息请求拒绝作出同意的表示时，网络平台仍必须向信息主体提供网络服务。怎么可以称之为“强迫”？用户注册软件的目的就是为了享受网络服务。因此，如果用户拒绝提供个人信息便不能享受平台提供的个性化服务，会造成不舒适的体验感，在这种情况下无疑只能同意分享其个人信息，但这似乎不能说明平台有强迫用户的嫌疑。用户享受的“免费服务”本身就不可能真正免费的，是允许收集信息的代价 [14] 。所以说，个人信息控制者在收集信息时，信息主体并未真正了解个人信息的收集、利用情况，只是为了获得免费的网络服务，也就更谈不上获得信息主体的真正同意，信息主体对个人信息的控制便难以实现。
而且网络科技不断发达，出现了数据共享，也就是用户在使用某个软件或服务时，还有第三方主体在共享这些信息。而我国对于第三方平台的监管是有欠缺的并且与信息主体的互动联系的减少，用户经常会忽视第三方主体对其个人信息的处理，往往在享受网络服务时对于第三方提出的处理个人信息的弹窗请求直接勾选了，甚至不清楚对其个人信息的处理目的、范围等。而这种第三方主体共享信息的过程以及风险很难只通过隐私协议说明清楚，信息主体并未真正被告知风险程度以及对个人信息的处理规则。各个平台共享信息，在责任承担上也是十分模糊的，在承担充分告知的义务上，不能明确认定哪方平台应该负有更大责任。
4.3. 沟通成本高
个人信息处理者由于要遵守知情同意规则的要求，在对信息主体的个人信息进行收集、利用或其他处理活动前都需要取得信息主体的同意。其高成本体现在：
首先，对于被收集者而言他们并不愿意花费许多时间对隐私协议或声明仔细阅读，隐私政策本身是作为用户和个人信息控制者之间的沟通平台，充分保障到公民的信息自决权。但是信息主体经常花费时间去阅读这些协议往往耗费巨大的时间成本 [15] ，并且也没有起到很好的告知作用反而成为了网络平台免责的理由。
其次，对于个人信息控制者而言为了使信息主体知情，需要对网络平台进行分析、测试。据美国某银行协会统计，对于隐私协议测试、分析等一系列的程序每年的金钱成本预计在四五亿。我国对于隐私协议是采取电子形式，为了告知用户对个人信息的处理情况，在设计隐私协议或修改时也会消耗大量金钱和时间 [13] 。并且依照《个人信息保护法》的规定，对于个人信息处理的任一环节都需要告知个人，过程更加严格和繁琐；而且对于隐私协议的界面也是需要设计成本的，还有对弹窗或提示窗的设计。网络平台在收集利用公民的个人信息时，本就花费了巨大的时间和金钱成本，而大多数用户不愿意花费心思阅读或修改这些隐私设置，对于弹窗提醒也是掠过。可以认为公民对于经常出现的东西其防备心理会大大减弱，这种过度的同意请求和告知界面使得用户疲于对个人信息的保护，在这种情况下所作的同意表示也质量堪忧，但个人信息控制者却要为此花费如此高昂的时间和金钱的代价似乎是对资源的一种浪费。
第三， 在大数据时代数据信息的自由流通将会产生巨大的收益，所以过度强调个人信息的保护将会影响到个人信息的财产价值。对于知情同意规则所适用范围的划分直接关乎到个人信息控制者在处理信息时可能消耗的成本，因此如果把知情同意规则作为处理个人信息的唯一合法要件而没有限制在一定的范围内的话，那么在收集、利用环节中消耗的巨大成本也将导致处理个人信息的效率低下，并且对于收集者以及信息主体而言也是一种负担。对于个人信息流通的阻碍也会给我国的数据产业的发展带来不小的阻力。与此同时，互联网企业在面对越来越多的苛刻要求以及对知情同意规则的严格遵守所增加的不合理的告知成本，将会打击到他们的自信心和活跃度也会影响数据信息的自由流通，最终对于经济的发展乃至公共利益都造成损害。
综上，在信息化的时代，互联网科技的发展对于传统的保护个人信息的知情同意规则造成了巨大的冲击，在使用该规则时给信息用户以及收集者造成的时间和金钱的成本增加以及给生活带来的不便利使得我们必须要进一步完善知情同意规则的适用，平衡好个人信息的保护和利用，降低消耗的成本，缓解该规则在实践中所面临的困境。
5. 知情同意规则的适用标准
5.1. 平衡个人信息的保护与利用
正如前面所说，《个人信息保护法》对于知情同意规则的适用上，要求个人信息处理者承担更多的责任，为了在对个人信息处理的各个环节使用户知情承担了过重的压力并且在时间金钱的投入上也成本巨大 [15] ；而被收集者享有的权利不断的增加，义务却过少。这种利益分配以及风险分担的失衡不仅是对个人信息控制者活跃度的打击同样也会阻碍信息流通以及科技创新，进而对公共利益构成威胁。平衡个人信息的保护与利用就意味着我们需要动态的评估风险以及从不同的维度衡量各方的权利义务，基于不同的场景设定不同的处理规则即场景规则的动态保护 [16] 。引入场景规则可以兼顾到各方利益，根据不同的风险程度划定个人信息控制者承担告知义务的轻重，减少收集者不合理的告知成本而对用户的重要个人信息的保护程度也并未降低。在涉及公共利益的保护时，原则上个人权益和公共利益的冲突之间，个人要有所妥协。但不单单只是在知情同意规则之下设定免责条款对公民的个人信息权益进行限制，还要基于比例原则对于这种限制具体衡量，防止相关主体对个人信息的侵害。
5.1.1. 场景规则的动态保护
“场景”，刚开始是对于电影、戏剧等的舞台的描述。之后由于社会学研究家将该理论用于解释无法通过传统理论来说明的社会现象而被更多的专家学者所注意。后面随着网络技术的发展，场景理论就被用于电子传媒现象的研究，这也大大扩展了该理论的研究范围，从有形场景到互联网这样虚拟流动的无形场景。直到现在人类进入了大数据时代，罗伯特·斯考伯在《即将到来的场景时代》中预测互联网在未来即将步入场景时代，而这个理论也彻底的成为了分析研究互联网现象的重要理论。
个人信息作为场景的组成元素之一，亦是可以对场景中的信息流动通过场景规则进行规制约束。个人信息的处理过程是处于流动状态的，在不同的环节，不同主体的作用也各不相同。有些是信息的持有者、传播者也有的是共享信息的第三方主体，在利益分配以及风险分担上也应该适用不同的处理规则。场景规则强调的是动态的保护个人信息的安全，在信息主体的信息权益保护和对个人信息的利用之间寻找利益平衡点兼顾到信息主体和个人信息控制者的利益 [16] 。场景规则的亮点在于不同于静态的评估个人信息“合理使用”的边界，而是在具体场景中基于对个人信息处理的动态变化进行风险评估；所谓“合理使用”即个人信息控制者在对个人信息作出处理行为时是否在信息主体的接受范围内 [17] 。西米提斯教授衡量对敏感信息的合理使用程度时也指出：信息的敏感与否，在处于具体场景中结果可能都会有所不同。也有部分学者对美国信息保护方式进行研究指出，这种静态的保护个人信息方式是对于隐私的保护方式。而当前我国对于个人信息的范围界定是远远超出隐私的范围的，那么静态的保护方式实际上限缩了对个人信息的保护范围。从静态到动态的保护个人信息的思路转化能够避免僵化的“全有或全无”式的认定合理使用程度，是平衡个人信息保护和利用的有效途径。
具体而言，收集者在处理信息时，要根据信息主体所处场景的不同来作出不同的信息安全风险评估(在具体场景中对个人信息侵犯的可能性大小)，然后基于不同的风险等级设置不同的处理规则。不同于传统的知情同意规则的是不一味的强调对个人信息的控制而是评判对个人信息处理的影响大小然后考虑处理规则是否平衡各方利益。风险等级有三层包括高、中、低。
当风险程度为高时，那么此时的个人信息实际上涉及到了对用户敏感信息或私密信息的处理，收集者作出这样的风险评估结果时，必须向用户提供择入式的同意机制即在处理前需取得用户的明确、有效同意。具体的流程：当用户使用网络服务时，网络平台对于风险等级为高的信息不能适用用户在注册时所同意的隐私协议条款，而是必须单独提供提示窗或弹窗并设置阅读时间，用户在阅读了相关的处理方式后需要在最后一栏“手写签名”。之所以设置手写签名，不仅是增加用户的参与感而且也是对用户的一种警戒。在正常情况下，当用户需要自己签名时就会提高警惕，意识到自己可能是在签一份“合同”，那么在签字时也会给予自己再次仔细思考的时间。因此，这种程度的告知能够提高同意的质量弱化形式同意出现的可能性，也强化了对于敏感个人信息的保护程度。
当风险程度为中时，相比于敏感信息而言信息的重要程度有所降低，此时收集者作出这样的评估结果后，仍需要采取择入式的同意机制，但是在告知方式上有所改变。具体的流程：当用户使用网络服务时，此时的隐私协议便是告知方式，隐私协议中需要告知对个人信息处理的范围、方式等。由于此时的隐私协议主要涉及的是对中等风险程度的信息处理规则的告知，因此在内容上有所减少，篇幅不会过长，用户在阅读时不会视觉疲劳就会更加有耐心阅读，当然如果用户不满意处理规则时也享有撤回权可以进行设置。这种告知方式是与当下我国网络平台遵守知情同意规则的方式相类似的。
当风险程度为低时，那么此时置于信息主体所处场景得到的风险评估结果对于信息主体而言即使处理信息风险较小，那么对于信息主体的信息自决权应当进一步限缩。具体流程：用户在使用网络服务时适用默式同意的方式，不需要事先取得用户的同意。对于这些最基础信息的保留，平台系统能够更好的为用户提供个性化服务，体验感也不会太差。如若用户不愿意被收集这些信息也享有撤回权。这种告知方式虽然限缩了用户的信息自决权但是对于用户的信息保护并未减弱反而提高了用户的体验感，而对于个人信息控制者而言可以降低告知成本以及对信息的收集成本，知情同意的机制也更加灵活，使得部分信息可以自由流通。
综上，场景规则的动态保护兼顾了信息主体和信息收集者的利益，降低了知情同意规则被虚置的风险。知情同意权规则的完善更多的是需要转变观念，不应该把信息利用视为对个人信息保护的威胁。场景规则的动态保护一方面强化了信息主体对于敏感信息等高风险信息的自决权，保证信息主体能被有效告知和作出同意；同样对于低风险的信息侧重自由流通，能够降低个人信息控制者收集和流通信息的成本并且在告知方式上花费的时间金钱成本不会被浪费，这种分层次的动态保护是实现利益平衡的有效方式。
5.1.2. 比例原则作为补充性规定
我国在《个人信息保护法》中列举了几条排除知情同意规则的免责条款，主要是基于对公共利益的考虑包括突发公共卫生事件、紧急情况、新闻报道或履行法定职责等，所以当涉及到公共利益时也需要对个人信息权益进行限制 [18] 。在当前的疫情背景下，为了防控的需要，相关的机关、组织会广泛的收集公民的个人信息以及实时公布确诊、疑似案例，最为典型的就是对健康码、行程码信息的收集，收集这些信息不需要取得公民的同意并且符合正当性规定 [19] 。所以在当前疫情背景下，部分机构、组织可能通过对公共利益的维护这一正当理由而对信息主体的个人权利有所干预，但是以公共利益为名对信息主体权利的限制也应当严格遵循比例原则。
比例原则是广泛应用于不同领域的原则，并且经常被相关主体用于处理利益冲突。当发生利益冲突时不能只是依赖私法自治来解决问题，特别是在大数据时代，对个人信息权益的保护会不可避免的与公共利益有所冲突 [20] 。在这种情况下需要设置适用知情同意规则的例外规定，而比例原则的适用可以发挥很大的作用。比例原则的主要功能就是在不同的利益冲突中确定合适的比例或合理界限，最大程度兼顾双方利益。比例原则包括了必要性原则、适当性原则和狭义的比例原则(也被称之为均衡原则) [18] ，必要性原则强调的是采取的手段可能造成其他利益损害的话，这种损害需要降到最低；而适当性原则指的是采取保护某一利益限制另一利益的手段是可实现的；狭义的比例原则是指对某一利益的限制程度应当与所保护的利益程度相当。公共利益对个人信息权益作出限制时都必须符合这三个子原则的要求。这就要求首先对公民个人信息权益的限制必须是出于维护公共利益或大多数主体利益的目的；其次这种限制程度必须是合理的，在公民的可接受范围内并且对于权益的伤害要控制到最小；最后要求所保护的公共利益要与对公民个人信息权益的伤害程度相当。只有满足以上条件，相关机关、组织基于维护公共利益的目的而限制公民个人信息权益的行为才具备合法、正当性。
引入比例原则来解决不能适用知情同意规则的公共利益和个人信息权益冲突，不仅为两种权益的失衡提供了协调途径，而且也能规范相关主体处理个人信息的行为，避免了机关、组织借助公共利益的名义对公民个人信息的滥用、非法处理或对个人信息权益作出不合理限制。
5.2. 隐私政策中需增加对风险程度的告知义务
前面指出知情同意规则面临困境的原因之一就是隐私协议的冗长繁杂，即使允许隐私政策中主要涉及对于中等风险的个人信息处理的告知，但是在实践上仍然会存在“浑水摸鱼”的情况。首先，在大多数情况下相关主体制定隐私协议的主要目的并不是为了告知而是在遵守规则的前提下谋取更多的利益，因此在目的上的严重背离会使他们采取各种手段隐瞒重要信息，而用户可能无法被充分告知 [14] 。同时，隐私协议中会使用许多模糊用语来介绍自己的产品，并未实际说明软件的功能或具体的业务范围，在这种情况下，用户无法得知相关主体处理个人信息的目的、方式、范围等情况；并且收集者在隐私协议中刻意隐瞒，对于大多数不具备专业知识能力无法辨别的普通用户而言会造成误导，也会低估享受这些网络服务时可能存在的巨大风险 [15] 。正是基于这些潜在问题，因此必须要求个人信息处理者在隐私协议中单独列出用户使用该产品的风险程度。
具体而言，用户在使用软件之前，网络平台需要在隐私协议中以明显的方式告知信息主体，网络平台处理其在平台保留的所有信息特别是敏感信息时的可能风险。这些风险的告知内容涉及到对个人信息处理的程度、可能的流转范围、个人信息被泄露的可能性等。通过增加风险程度的告知义务，信息用户在享受网络服务之前，可以提前了解风险情况，这样就可以把对个人信息保护的事后防御机制转化成事前预防机制。对于信息主体而言，即使网络平台使用模糊用语介绍功能、业务范围，无法知悉处理情况，但是通过阅读风险程度的告知声明，也会了解到使用后果进而提高对个人信息的保护程度；另一方面，对于个人信息处理者而言，虽然他们在收集信息方面可能会流失一些潜在客户，但是这种风险程度的告知声明在后续用户不满意其处理个人信息的活动以及面临用户投诉等售后问题时，也会成为相关主体的免责方式并且对于后续可能面临的赔偿问题或责任承担问题上可以有所减少。当然，用户投诉等概率的降低也是有利于提高他们的商业信用的。因此，隐私协议中增加风险告知义务，对于信息主体和收集者而言都会是有益的，也会缓解隐私政策对于知情同意规则的架空。
5.3. 增加对追踪反馈制度的适用
信息主体与信息收集者之间对信息处理情况沟通的缺失，使得用户难以知情。当用户点击同意授权的选项后，之后个人信息的处理状况就很难知悉。因此通过设置一个反馈机制，使得知情和同意长期进行，全程追踪对个人信息的处理情况，可以改善隐私协议的打包式同意的表现形式。在这个制度下，当用户提出查询请求时，网络平台应当让用户及时了解信息的流转、收集、利用等情况，并且当涉及到对敏感个人信息的处理时应当随时记录处理状况并且自动的不断向用户反馈。信息处理者的告知义务是长期的并且没有具体的反馈时间，当用户发出请求时就应当及时反馈，这一制度真正意义上建立起了信息主体和网络平台的联系，进行实质性的沟通。
追踪反馈制度可以做到对第三方平台的规制，原因在于我国对于第三方平台的监管力度是不足的，这就导致第三方平台滥用个人信息的概率增大。目前，数据共享是一个主流趋势，网络平台大都会与第三方平台合作，并借助推广广告谋取利益。但对于信息主体而言他们与第三方平台之间的联系是比较少的，因此会很大程度上忽视了第三方主体对他们个人信息的收集、利用等。所以追踪反馈制度可以把网络平台作为中间的媒介，搭建信息主体与第三方的沟通桥梁。网络平台既然谋取了利益，那么就需要在告知信息主体处理情况上承担更多责任。当二次利用个人信息或者第三方平台处理信息时，网络平台需要随时监管、随时记录，通过全程追踪对个人信息的处理和利用并向用户反馈的做法，信息用户不仅能意识到第三方平台的存在，提高防范意识，而且也能起到对第三方平台处理行为的监管和规制。
总之，追踪反馈制度就像是个沟通平台，不仅加强了与网络平台的沟通也加强了与第三方主体的沟通，使得用户能够及时了解到对其个人信息的处理情况，做到有效知情，切实保障到他们的个人信息权益；而且也能扩大知情同意规则对第三方主体的适用，特别是针对数据信息的二次利用、数据共享时能充分约束到个人信息处理者。
6. 结语
在信息化时代，知情同意规则在应对个人信息保护问题上的不足使得在实践中面临困境。首先我国对知情同意规则的适用更多的是保障信息主体的权益，这种对个人信息的过度保护在实践中备受质疑：一方面基于知情同意规则的隐私协议并未发挥很好的作用，信息主体难以通过隐私政策实现对个人信息处理情况的有效同意反而隐私协议沦为了收集者的免责工具；另一方面要求个人信息处理者在信息处理的各个环节经过信息主体同意的僵化适用，阻碍了信息的自由流通、扩大了收集和流通成本，使得在个人信息的保护和利用上出现了失衡现象。传统的知情同意规则未能处理好两者的利益冲突，过度强调对用户的个人信息保护，并未很好的照顾到个人信息处理者的利益并且为了使得用户知情，往往耗费巨大的时间和成本也不利于信息的自由流通；同时由于隐私协议的作用不佳，知情同意规则的适用不免流于形式。
理想的知情同意规则需要在利益冲突上找到平衡点兼顾两者利益。在面对个人信息保护和利用的利益冲突时，通过对个人信息处理的相应场景设置不同的同意机制实现对个人信息的动态保护，不仅强化了信息主体对于个人信息的控制和信息自决；对于一般的信息侧重自由流通，也降低个人信息控制者收集和流通信息的成本，大大提升了相关主体处理信息的效率，这种分层次的动态保护是实现利益平衡的有效方式。其次在面对公共利益与个人信息保护的冲突时，通过设置知情同意规则例外规定的做法，虽然很好的维护了公共利益，但却存在着部分机关、组织以公共利益为名对公民个人信息自决权作出不合理限制或非法处理个人信息的隐患。因此把比例原则作为补充性规定，能够平衡两者的利益冲突，同时也能规制相关主体的处理行为，对个人信息权益的限制不是绝对的而是需要受到比例原则的具体检视。
而隐私政策在内容上的冗长繁琐、信息主体不能被有效告知等问题，即使《个人信息保护法》强调在内容上必须显著易懂，但实践中相关主体仍能人为制造阅读障碍，不能做到充分告知。因此，要求收集者在隐私政策中增加对风险程度的告知义务可以确保用户在适用产品之前知悉个人信息受侵害的风险程度，提高对个人信息的保护意识，信息收集者也能通过该声明减轻责任和避免后续的投诉、诉讼问题。同时在个人信息的二次利用和数据共享方面，知情同意规则在规制第三方主体上存在不足。追踪反馈制度通过全程追踪对个人信息的处理活动并及时向用户告知的方式，一方面用户可以持续和网络平台沟通，了解信息的流转情况；另一方面要求网络平台加强对第三方平台的监视，记录其个人信息处理情况并向用户反馈，有效规制第三方主体，做到持续的、动态的告知。
NOTES
1《民法典》第一千零三十四条第二款：“个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。”
2《民法典》第一千零三十五条第二款：“个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开等。”
3根据《民法典》第140条的规定，同意作为意思表示，可以明示或默示的方式作出。