《中华人民共和国个人信息保护法》（2021年11月1日起施行）确立了以“告知—同意”为核心的个人信息处理规则
《中华人民共和国个人信息保护法》（2021年11月1日起施行）确立了以“告知—同意”为核心的个人信息处理规则，强调合法、正当、必要和诚信原则。其核心处理规则包括：
合法性基础：处理个人信息须有法定依据，包括取得个人同意、履行合同所必需、履行法定职责、应对突发公共卫生事件、为公共利益实施新闻报道或舆论监督、合理处理已公开信息等（第十三条）。
告知义务：处理者应在处理前以显著方式、清晰易懂的语言，向个人告知处理目的、方式、种类、保存期限、权利行使方式等（第十七条）。
单独同意：在处理敏感个人信息、向第三方提供、公开、跨境传输等情形下，必须取得个人的单独同意（第二十三条、第二十九条、第三十九条）。
最小必要原则：收集范围、处理方式、保存期限等均应限于实现处理目的的最小范围（第六条）。
自动化决策规范：利用算法进行用户画像或自动化决策时，应保证透明度与结果公平，不得实施不合理的差别待遇，并提供拒绝选项（第二十四条）。
跨境提供规则：向境外提供个人信息，需通过安全评估、认证、订立标准合同等方式，并取得个人单独同意（第三十八条至第四十条）。
个人信息处理者义务：包括制定内部管理制度、采取技术与管理措施保障安全、开展合规审计、指定个人信息保护负责人、事前影响评估（第五十一条至第五十五条）。
个人权利保障：赋予个人知情权、决定权、查阅复制权、更正补充权、删除权、要求解释说明权等（第四十四条至第四十九条）。
这些规则共同构建了我国个人信息处理的法治框架，强调“以人为本”，平衡数据利用与人格权益保护。
《个人信息保护法》中“单独同意”与一般“同意”在法律性质、形式要求、适用场景及举证责任等方面存在实质性区别，具体如下：
✅法律依据：
- 一般“同意”规定于第十四条：“基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。”
- “单独同意”则多次明文规定于第二十三条（向第三方提供）、第二十九条（处理敏感个人信息）、第三十九条（跨境提供），强调“取得个人的单独同意”，且不得通过概括授权等方式获取。
🔍核心区别：
| 维度 | 一般同意 | 单独同意 |
|---|---|---|
| 形式要求 | 可与其他事项一并告知、一并勾选（如用户协议中嵌入） | 必须单独列出、显著标识、单独征得，不得捆绑或默认勾选 |
| 知情程度 | 要求“充分知情”，但可整合在整体隐私政策中 | 要求就特定事项进行专项告知+专项确认（如弹窗提示“是否同意将您的健康信息用于疾病风险分析？”） |
| 撤回机制 | 可统一撤回 | 每项单独同意应支持独立撤回，不影响其他已获同意的处理活动 |
| 举证责任 | 处理者需证明同意存在 | 处理者须分别留存每项单独同意的记录（时间、内容、方式、版本等），证明其独立性与有效性 |
📌典型适用场景（必须取得“单独同意”）：
- 向其他个人信息处理者提供个人信息（第23条）——如APP将用户手机号共享给广告合作方；
- 处理敏感个人信息（第29条）——包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等；
- 向境外提供个人信息（第39条）——无论是否敏感，均需单独同意；
- 利用个人信息进行自动化决策（如用户画像、精准营销）并用于信息推送或商业营销（第24条第3款隐含要求，司法实践与监管指南普遍将其纳入单独同意范畴）。
⚠️ 注意：
- “单独同意”不等于“书面同意”，电子形式（如点击弹窗确认、语音确认、人脸识别验证等）均可，但必须确保可追溯、可验证、可分离；
- 不能以“不同意即拒绝服务”作为获取单独同意的手段（除非该处理为提供核心服务所必需，否则构成变相强制，违反第十六条）；
- 若同一场景涉及多项需单独同意的事由（如既跨境又处理健康信息），应分别说明、分别征得，不可合并为一次“打包同意”。