本文作者：李赛

【文章摘要】《小型个人信息处理者个人信息保护简化措施规定》第七条就处理个人信息的依据作出简化安排。该条规定，小型个人信息处理者公开个人信息处理规则并履行告知义务后，个人因获取产品或者服务需要，在充分知情的前提下自愿、主动提供所必需的个人信息的，处理者即可按照公开的处理规则处理其个人信息；为特定目的处理敏感个人信息的，仍应当告知必要性及对个人权益的影响，并取得个人的单独同意。本文按适用前提、个人这一方需要满足的四个要素、敏感个人信息的加重规则、与相关条文的区别以及实务操作要点的顺序展开。

【关键词】告知同意；单独同意；敏感个人信息；自愿主动提供；处理依据；简化措施规定；个人信息保护法第十四条

引言

《小型个人信息处理者个人信息保护简化措施规定》第六条与第七条构成一组对应安排。第六条规定，同时符合两项条件的，可以仅通过公开个人信息处理规则向个人履行告知义务；第七条则规定，公开个人信息处理规则并履行告知义务后，个人自愿、主动提供相关个人信息的，处理者即可按照公开的处理规则处理其个人信息。前者解决告知义务的履行方式，后者解决处理个人信息的依据。

在《中华人民共和国个人信息保护法》的一般规则下，处理个人信息应当具备该法第十三条第一款所列的合法性基础，取得个人同意是其中最常见的一项。该法第十四条第一款要求，基于个人同意处理个人信息的，该同意应当由个人在“充分知情”的前提下“自愿、明确”作出。对处理规模有限、收集触点分散的小型个人信息处理者而言，为每一次信息收集均设置独立的同意交互并留存同意记录，其实施成本往往与处理活动所涉风险不相称。

第七条提供的路径是：在已经公开处理规则并履行告知义务的前提下，个人基于获取产品或者服务的需要而自愿、主动提供信息这一事实，即可作为处理其个人信息的依据，无须另行设置一次形式化的同意动作。该条同时保留了针对敏感个人信息的加重规则。

一、条文的结构、适用前提与法律依据

第七条分两款。第一款前段规定一般规则，后段就敏感个人信息规定更严格的要求；第二款与其他规范相衔接。第一款前段的适用需要同时具备三项前提，并逐一判断个人这一方的四项行为要素。

（一）适用本条的三项前提

该条的适用以三项前提同时具备为条件。

其一，已公开个人信息处理规则。这是第六条与第七条共同的前提。公开的方式依该规定第四条第二款确定：线下收集个人信息的，可以通过在经营场所醒目位置张贴公告等简便方式公开；线上收集个人信息的，可以通过服务协议、产品服务客户端弹窗和网站公告等方式公开。

其二，已履行告知义务。第六条已就告知义务的替代履行作出安排，符合该条两项条件的，可以仅通过公开个人信息处理规则履行告知义务。不符合第六条条件的情形，处理者仍应当依据《个人信息保护法》第十七条向个人告知，告知完成后才具备第七条的适用前提。

其三，处理活动未超出已公开规则载明的范围。该条将处理者可处理的范围表述为“按照公开的个人信息处理规则处理其个人信息”。处理目的、处理方式或者处理的个人信息种类超出该规则载明范围的，第七条不再适用。《个人信息保护法》第十四条第二款亦规定，处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得个人同意。

（二）与《个人信息保护法》的对应关系

第七条未改变《个人信息保护法》第十三条确立的合法性基础框架，而是在该框架之内，就同意的取得方式作出与处理规模相适应的安排。该法第十三条第一款第（一）项将取得个人的同意列为处理个人信息的依据之一；第十四条第一款将同意的要件表述为在充分知情的前提下自愿、明确作出。

第七条就同意的取得方式作出安排：在已公开处理规则并履行告知义务的前提下，处理者无须以独立的点击、勾选等交互动作逐次征得同意，个人自愿、主动提供信息的行为本身即可作为处理其个人信息的依据。与点击勾选式的同意相比，两者均以个人在知情的前提下作出表示为要件，区别在于是否单独设置交互动作。该条系部门规章，其内容属于《个人信息保护法》第十三条第一款第（一）项在本规定适用范围内的具体安排，未在《个人信息保护法》之外另行创设合法性基础；条文未就自愿、主动提供行为的法律性质单独作出界定。

二、个人这一方需要满足的四个要素

条文就个人这一方的行为规定了四项要素，四项需要同时具备。

（一）提供动机：因获取产品或服务需要

第一项要素是行为动机。条文表述为个人“因获取产品或者服务需要”。该项限定了个人提供信息的原因，即提供行为与个人获取产品或服务之间存在对应关系。

该项限定了处理活动的场景边界：个人与处理者之间不存在产品或服务需求的，其提供的信息不在本条适用范围之内，处理者处理该等信息应当另行确定合法性基础。

（二）知情状态：在充分知情的前提下

第二项要素是知情状态。条文表述为“在充分知情的前提下”，与《个人信息保护法》第十四条第一款关于同意要件的表述一致。

知情的实现依赖于告知的完成。处理者已按该规定第四条第二款公开处理规则，并已按第六条或者《个人信息保护法》第十七条履行告知义务的，即可认为该项要素已具备。告知内容应当覆盖《个人信息保护法》第十七条第一款所列各项事项。

（三）行为方式：自愿、主动提供或配合提供

第三项要素是行为形态。条文列举了两种情形：一是个人“自愿、主动”向小型个人信息处理者提供信息；二是个人“自愿、主动配合”小型个人信息处理者提供信息。

两种情形的共同要求是自愿与主动。该要求排除两类行为：一是处理者以误导、欺诈、胁迫等方式取得信息，《个人信息保护法》第五条对此已作禁止；二是处理者以预设选项的方式替代个人作出表示，例如在界面中预先勾选同意项。《个人信息保护法》第十四条第一款将同意的要件表述为自愿、明确作出，与该项要求一致。

配合提供的情形，适用于处理者提出收集需求、个人予以响应的场景，例如个人按提示填写表单、上传材料。该情形同样以自愿为前提。《个人信息保护法》第十六条规定，个人信息处理者不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务；处理个人信息属于提供产品或者服务所必需的除外。在本条场景中，个人拒绝提供信息即属不同意处理其个人信息的表现，该项规定同样适用：个人拒绝提供的信息不属于获取产品或者服务所必需的，处理者不得以此为由拒绝提供产品或者服务；属于所必需的，个人不予提供将导致产品或者服务客观上无法提供。

（四）信息范围：以所必需为限

第四项要素是范围约束。条文将个人信息的范围限定为“获取产品或者服务所必需”。该项与《个人信息保护法》第六条关于收集个人信息应当限于实现处理目的的最小范围、不得过度收集的规定相一致。

对必需与否的把握，可以从两方面判断：一是该信息是否为提供产品或服务所不可缺省；二是是否存在对个人权益影响更小的替代方案。超出所必需范围收集的信息，不能纳入本条的处理依据。

三、敏感个人信息的加重规则

第七条第一款后段就敏感个人信息另设加重规则：为特定目的处理敏感个人信息的，小型个人信息处理者应当在个人信息处理规则中告知处理敏感个人信息的必要性以及对个人权益的影响，取得个人的单独同意。该规则对应《个人信息保护法》关于敏感个人信息的制度安排。

（一）敏感个人信息的范围

《个人信息保护法》第二十八条第一款规定，敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。该条第二款规定，只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。

（二）两项加重义务

就敏感个人信息，第七条要求处理者履行两项义务。

一是告知义务的加重。《个人信息保护法》第三十条规定，处理敏感个人信息的，除该法第十七条第一款规定的事项外，还应当向个人告知处理敏感个人信息的必要性以及对个人权益的影响。第七条将该项告知的载体明确为“个人信息处理规则”。

二是取得个人的单独同意。《个人信息保护法》第二十九条规定，处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定应当取得书面同意的，从其规定。单独同意指就特定处理事项单独作出的同意表示，不能被概括性的同意所覆盖。

两项义务不因适用第七条而免除。个人自愿、主动提供信息，可以替代一般同意的交互动作，不能替代针对敏感个人信息的单独同意。

（三）不满十四周岁未成年人个人信息的处理

不满十四周岁未成年人的个人信息属《个人信息保护法》第二十八条第一款所列敏感个人信息。处理该类信息，除前述两项加重义务外，还应当遵守下列规定。

其一，《个人信息保护法》第三十一条第一款规定，处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意。

其二，制定专门的个人信息处理规则。《个人信息保护法》第三十一条第二款已作此要求，《简化措施规定》第四条第三款在小型个人信息处理者范围内再次明确该项要求。

上述规定均不因适用第七条而调整。处理活动涉及不满十四周岁未成年人个人信息的，不能仅以个人自愿、主动提供为由径行处理。

（四）其他规范的优先适用

第七条第二款规定，法律、行政法规、部门规章对于小型个人信息处理者处理敏感个人信息另有规定的，从其规定。该款为衔接条款，其作用是在本规定之外保留其他规范的适用空间。处理活动的对象或者领域另有特别规定的，应当同时遵守该等规定。

四、与第六条、第四条、第八条的区别

（一）与第六条的关系

第六条与第七条前后衔接，分别对应告知与处理依据两个环节。符合第六条两项条件的，告知义务可以仅通过公开个人信息处理规则履行；在此基础上，个人自愿、主动提供信息的，处理者即可依第七条处理。第六条第一款第（一）项的条件为：处理个人信息（不含敏感个人信息）为提供产品或者服务所必需。处理活动涉及敏感个人信息的，不符合该项条件，告知义务不能仅通过公开个人信息处理规则履行。但第七条并不因此整体退出适用：第七条第一款后段本身就是针对敏感个人信息作出的安排，处理活动涉及敏感个人信息的，仍可依第七条确定处理依据，只是应当同时履行该款规定的加重义务，即告知处理敏感个人信息的必要性以及对个人权益的影响，并取得个人的单独同意。个人自愿、主动提供信息不能替代该项单独同意。

（二）与第四条的关系

第四条就个人信息处理规则的内容与公开方式作出规定。该条第一款列举了规则至少应当包括的三项内容：小型个人信息处理者名称或者姓名；个人行使权利的受理部门或者人员及联系方式；处理目的、处理方式，处理的个人信息种类、保存期限等。该条第二款规定了公开方式。第七条以已公开的处理规则为适用前提，两者是内容与效力的关系：规则内容是否完备，依第四条判断；规则公开后能否作为处理依据，依第七条判断。

（三）与第八条的关系

第八条另设一条免除路径：同时符合该条第一款三项条件的小型个人信息处理者，可以不再制定个人信息处理规则、履行告知义务。三项条件为：仅通过网络平台开展个人信息处理活动，且不向网络平台外的其他个人信息处理者提供；网络平台已针对其个人信息处理活动制定发布相应的个人信息处理规则，并与该处理者约定了各自的权利和义务；该处理者声明遵守网络平台按本规定要求制定的处理规则，且处理个人信息为提供产品或者服务所必需，未超出该规则载明的处理目的、处理方式和个人信息种类范围。

该项免除与前述两条构成选择关系：适用第八条的，不再依第六条、第七条确定告知义务与处理依据，处理活动依网络平台的规则进行；处理活动超出平台规则范围的，依该条第三款，仍应当另行制定个人信息处理规则并履行告知、合规审计和影响评估义务。

五、实务操作要点

其一，是否需要留存提供过程的记录。第七条未就同意记录的留存另设要求；对一般个人信息适用本条简化路径的，不涉及单独设置并逐笔留存点击、勾选类同意记录的问题。需要区分的是，处理敏感个人信息的，仍应当取得单独同意，并依《个人信息保护法》第五十五条第（一）项、第五十六条第二款事前开展个人信息保护影响评估、对处理情况进行记录，影响评估报告和处理情况记录应当至少保存三年；《简化措施规定》第十四条另就影响评估的简便方式作出安排。此外，处理者宜留存能够反映自愿、主动提供过程的材料，例如个人填写表单、提交信息的操作记录，以及告知内容与公开规则的发布记录，以便在监督检查中说明处理依据。

其二，敏感个人信息应当单独判断、单独处理。同一处理活动既涉及一般个人信息又涉及敏感个人信息的，就一般个人信息的处理可以适用本条；涉及敏感个人信息的部分，仍应当履行第七条第一款后段规定的加重义务，并依《个人信息保护法》第五十五条第（一）项事前开展个人信息保护影响评估，不宜与一般个人信息合并处理。

其三，处理范围变更时如何应对。处理目的、处理方式或者处理的个人信息种类发生变更，超出已公开规则载明范围的，应当依《个人信息保护法》第十四条第二款重新取得个人同意，并同步更新公开的处理规则。

六、常见问题（FAQ）

Q1：已按第六条公开处理规则，是否还需要个人点击同意？

A：符合第六条两项条件并已公开处理规则的，无须就一般个人信息另行设置点击同意的动作。个人自愿、主动提供信息的，处理者即可依第七条处理。处理活动涉及敏感个人信息的，仍应当取得个人的单独同意。

Q2：界面中默认勾选同意项，能否视为个人自愿、主动提供？

A：不能。第七条要求个人自愿、主动提供或者自愿、主动配合提供。默认勾选属处理者预设的选项，个人未作出提供表示。《个人信息保护法》第五条另就通过误导、欺诈、胁迫等方式处理个人信息作出禁止。

Q3：线下门店请顾客填写会员登记表，是否适用本条？

A：适用。前提是门店已按第四条第二款在经营场所醒目位置公开处理规则，并已履行告知义务。登记表所填内容含敏感个人信息的，门店还应当在处理规则中告知处理该类信息的必要性以及对个人权益的影响，并取得顾客的单独同意。

Q4：处理不满十四周岁未成年人个人信息，能否按本条简化？

A：不能仅依本条取得简化效果。不满十四周岁未成年人的个人信息属《个人信息保护法》第二十八条第一款所列敏感个人信息。第七条第一款后段关于自愿、主动提供的事实场景在此仍可发生，但本条不产生免除下列义务的效果：一是依该法第三十一条第一款取得未成年人的父母或者其他监护人的同意；二是依该法第二十九条取得单独同意，并依该法第三十条告知处理敏感个人信息的必要性以及对个人权益的影响；三是依该法第三十一条第二款制定专门的个人信息处理规则，《简化措施规定》第四条第三款在小型个人信息处理者范围内再次明确该项要求。个人自愿、主动提供不能替代上述义务。

结语

第七条的作用，是在已经完成公开与告知的前提下，将个人自愿、主动提供信息这一事实确认为处理个人信息的依据，从而使小型个人信息处理者无须为每一次信息收集单独设置同意交互。该条适用的边界同样清晰：处理范围限于所必需，处理活动不得超出已公开规则载明的范围，处理敏感个人信息仍应当履行必要性及影响的告知并取得单独同意，涉及不满十四周岁未成年人个人信息的，还应当取得监护人同意并制定专门的个人信息处理规则。

【免责声明】本内容仅为通用法律科普，不构成针对个案的正式法律咨询与诉讼建议；具体案件需结合事实、证据及本地司法实践判断，建议线下携带材料咨询律师。