摘要：我国个人信息保护法同意规则设定的“充分知情”与“明确作出”的高标准要求，因陷入“形式家长主义”的误区，在算法黑箱与海量训练数据面前，产生个人认知虚无与产业发展受阻的双重困境。基于私人自治与家长主义的二元互动理论，可引入“自由式家长主义”作为基本理念，对同意规则进行解释论修正：在知情维度，应摒弃完美的主观全知，转向基于助推理念的客观有效告知，重点改善信息成本；在明确维度，应厘清“明确”旨在要求意愿非模棱两可，而非苛求全场景的“明示同意”。此解释方案旨在超越形式束缚，打造一种适应数字时代发展需求的同意秩序。
作者：吕炳斌，复旦大学法学院教授
摘自：《比较法研究》2026年第2期
本文载《社会科学文摘》2026年第8期
问题的提出：数字时代同意规则的范式危机
随着数字时代数字化、网络化、智能化进程的不断深化，个人信息保护与数据价值释放之间的张力已从具体的合规操作层面上升为根本性的制度范式冲突。《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》），第14条第1款规定：“基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。”这一条款确立了“充分知情”与“明确作出”的双重高标准。在解释论层面，若不加辨析地将“充分知情”理解为个人角度的完全知情，将“明确作出”等同于全场景的明示同意，则法律实施会陷入一种“形式家长主义”的误区。一方面，个人认知维度的虚无化导致了保护的落空。另一方面，产业维度面临的制度性障碍可能抑制前沿技术的创新发展。值得警惕的是，欧盟2025年11月公布的《数字综合法案》（草案）提议对包括《通用数据保护条例》（GDPR）在内的一系列数字立法进行简化、修正，体现了主动回调严格立场以适应数字时代发展需求的趋势。若我国在解释论上反而固守比欧盟更为激进的形式标准，将面临制度倒挂的风险。
《个人信息保护法》中的同意规则在数字时代正面临着严峻的解释难题与实施困境。如何对这一极易引发理解偏差和实施困境的同意规则进行解释修正，从而增强规则的实效性？为了从根本上解决问题，本文将挖掘出《个人信息保护法》同意规则背后隐含的家长主义法律干预思想，基于对家长主义思想的反思，提出私人自治与家长主义的二元互动理论，以此为理论支撑展开同意规则的解释论修正。
从私人自治到家长主义：同意规则的制度逻辑与实践异化
（一）源自民法私人自治理念的“同意”及其困境
个人信息保护中的“同意”出自民法体系下的私人自治理念。然而，随着技术的演进，个人信息处理的复杂性不断增长，民法所预设的理性人假设面临严峻挑战。当个人的认知能力无法匹配技术的复杂性时，这种建立在传统民法认知基础上的同意机制，正面临着从“认知困难”走向“认知虚无”的危机。其根本原因在于人的有限理性难以应对个人信息处理活动的高度复杂性。
面对繁杂的隐私政策，个人的认知局限进一步放大。如果说传统网络服务场景中个人信息处理的告知问题主要是隐私政策“读不懂”，那么随着数字和智能技术的纵深演进，当前智能化阶段的突出问题则变为处理后果“不可知”。在AI大模型训练的语境下，数据处理者自身往往也难以精准预判海量数据被投喂给模型后，会生成何种具体的产出。这就使得民法所预设的知情同意面临着根本性的逻辑悖论：如果连处理者都无法完全预知后果，要求个人对此充分知情无异于一种法律虚构。这种状态可被称为“认知虚无”——由于技术本身的不可解释性，告知的内容被迫从实质性的风险揭示退化为形式主义的概括性描述。
（二）“保护法”家长主义理念下的同意干预
《个人信息保护法》兼具私法和公法内容，其在个人信息的私法保护基础上增添公法保护，而这种公法保护背后隐含着家长主义思想。
法学理论中的“家长主义”指的是一种“为了保护行为人的利益而限制行为人的自由”的法律干预模式。“家长主义”的概念可分解为两个要素：其一，家长主义法律干预的目的是保护行为人的利益，而不是保护公共利益；其二，这种法律干预的内容和方式是限制行为人自由。
之所以说《个人信息保护法》的同意规则体现了家长主义干预，是与《中华人民共和国民法典》（以下简称《民法典》）个人信息保护规范中的同意要求对比得出。《个人信息保护法》第14条引入的“充分知情”“明确作出”以及其他条款针对敏感个人信息处理等特殊情形引入的“单独同意”要求都超越了民法体系下的同意要求，是对个人自治的家长式干预。其一，民法体系下的同意以知情为前提，但并不强调充分知情。其二，同意的“明确作出”要求也体现着家长主义干预。《个人信息保护法》第14条在同意的概念中一概要求“明确作出”，很容易使人联想到明示同意。若作此解，同意的要求又被进一步提高，体现着家长主义干预。其三，《个人信息保护法》就特定情形引入的“单独同意”要求同样体现着家长主义干预。
个人信息处理领域同意的家长主义干预的正当性可从家长主义基本理论中寻得。家长主义的法律干预的经典理由主要包括行为能力缺失、保障基本人权、当事人同意干预和风险规避。在个人信息保护领域，一般情形下的自然人并未达到行为能力缺失的程度，也不存在个人同意干预的因素，家长主义干预的正当性可归结于保障基本人权和风险规避两种理由。在上述家长主义干预的经典理由之外，调整不对等法律关系中的失衡状态日益成为一项新的干预理由。个人信息处理通常发生在权力能力和信息能力不对等的法律关系之中。因此，立法者通过倾斜保护型法对特定领域的不平等关系进行调整。
（三）“形式家长主义”的异化：基于欧盟最新立法动态的反思
家长主义干预虽然具有正当性，但家长主义容易导致过度保护的副作用。若不加节制地追求充分知情与明示同意的形式完备性，初衷良好的家长主义干预则会异化为“形式家长主义”。所谓“形式家长主义”，在本文语境下，指的是一种侧重于同意的外在形式完备性而忽视其实质有效性的干预范式。立法者出于保护目的，对个人信息的同意设定了“充分知情”与“明示同意”等严格的形式要件；然而，在数字时代，这种对形式合规的刚性追求，并未转化为个人对风险的实质认知。这种立法上的高标准在实践中已经异化为一种合规表演：企业通过冗长的告知文件完成形式免责，个人通过机械的点击完成形式授权。法律文本上的严苛要求因无法落地而被迫流于形式。
在“保护法”家长主义理念下，法律不断推高同意的形式要求，却因忽视实施的可行性而导致个人陷入深度的“同意疲劳”，个人自主决定的意志产生异化。欧盟《数字综合法案》（草案）已经敏锐地捕捉到了这一危机，指出需要解决弹窗泛滥、同意疲劳的问题。欧盟《数字综合法案》（草案）在GDPR中新增第88a条，引入全新的“反同意疲劳”机制，包括一键拒绝、拒绝后的冷静期、同意后的不再打扰等新规。这一立法动向表明，若不加节制地追求形式上的反复确认，终将导致形式上的完美掩盖实质上的无效。
家长主义干预下的个人信息强化保护不仅会危及私人自治，若不加区分地将其形式化要求适用于数字产业，更会推高合规成本，进而引发严重的制度性障碍。从一般数字经济层面看，过高的合规成本将抑制信息流动与技术创新。从AI发展层面看，形式主义的同意规则将构成制度性障碍。若坚持“形式家长主义”，将《个人信息保护法》中的“明确作出”解释为普遍性的明示同意，要求企业对纳入训练的个人数据逐一获取授权，其交易成本在经济学意义上将趋近于无限大，这在实践中几近不可能。比较法经验表明，主要法域已通过“去形式化”的回调来破解这一障碍。根据《数字综合法案》（草案）的立法动态，GDPR拟新增题为“在人工智能开发和运行背景下的处理”的第88c条，明确在AI系统或AI模型开发和运行的背景下，处理个人数据可依据“合法利益”的豁免规则进行，除非欧盟或成员国的其他法律在特定情形下明确地要求同意，或者AI开发者追求技术创新与模型训练的合法利益需要让位于数据主体的基本权利和自由，尤其是当数据主体是儿童时。这一立法趋向实质上承认了在AI训练等特定场景下，坚持传统的高标准同意义务是不可行的。
反观我国，若固守形式上的高标准同意，将面临制度倒挂的滞后风险。在欧盟拟通过修法予以回调的背景下，若我国法律在实施中仍机械地固守“充分知情”与“明示同意”的形式家长主义，则不仅会导致个人意志的异化，更会束缚数字时代的新质生产力发展。
《个人信息保护法》同意规则的解释论修正
面对形式家长主义下的同意规则在数字时代引发的困境，彻底修改法律条文的成本过高且仍会滞后。可行的路径是在现行法框架下，通过解释论修正来实现规则的改善。应引入自由式家长主义作为底层理论，重构《个人信息保护法》第14条的规范含义，在保障个人权益与释放数据要素价值之间寻找一条符合时代特征的中间道路。
（一）教义学解释背后的理论支撑：私人自治与家长主义的二元互动理论
首先，在理论原点上，需要寻求从对立到互动的二元关系。在本质上，二元互动理论涉及家长主义干预的限度。家长主义应当避免强势干预，其合理定位应当是引导人的行为，促进个人自治。其次，在制度形态上，二元互动理论的制度化结果是走向一种将自由与干预有机结合的“自由式家长主义”（libertarian paternalism）。它以自由为限定语，意在最大程度保留个人选择自由的同时，通过非强制性的手段引导个人行为。这种理论范式既承认个体认知的局限性，又致力于通过灵活的架构设计保留选择空间，从而在深层次上实现私人自治与家长主义的动态平衡。再次，在运行机制上，自由式家长主义推崇的核心措施是“助推”。恰当的助推可以帮助人们克服有限理性和认知偏见，在不剥夺选择权的前提下作出更好的选择。
（二）“助推”理念下的充分知情
《个人信息保护法》第14条将充分知情作为有效同意的前提。基于二元互动的自由式家长主义理念，法律不应强求个人主观上的完全知情，而应将重心转向客观层面的有效告知，致力于通过架构设计改善信息成本，助推个人作出理性选择。
解释论应当切换视角，采取主观判断客观化的方法。我国法下的“知情”应被解释为处理者的告知义务：只要处理者以一般理性人可理解的方式履行了告知义务，即应视为满足了知情要件。这既在一般意义上保障了知情权，又通过义务的客观化避免了给数字产业造成过高的合规负担。
将“知情”解释为“告知”，那么“充分知情”在文义上就转变为“充分告知”。从信息成本的视角观察，告知的增多并不利于信息成本的降低，法律干预的方向应当是改善信息成本，以此助推和促进个人知情。个人在作出选择时面临两个成本：机械成本和信息成本。因此，按照自由式家长主义主张的“助推”理念，在告知的充分要求方面应体现为降低信息成本、适度提高机械成本的双向调节：一方面，基于提高机械成本的目的，对于敏感个人信息等高风险处理，应落实法律上所要求的单独同意、书面同意等要求，人为增加同意的机械难度；另一方面，基于降低信息成本的目的，对“充分”的解释应侧重于信息的可获得性与可理解性。清晰、简明、易懂的告知才是真正的助推。
总之，解释论上的“充分知情”不应追求形式上的大而全，而应追求实质上的有效告知，通过改善信息成本结构，助推和促进个人知情。
（三）同意概念中的明确要素：“非模棱两可”而非“普遍明示”
同意概念中的“明确”两字当作何解？若将同意概念中的明确要素理解为“明示同意”，对所有同意均强制施加形式上的明示要求，就落入了形式家长主义的圈套。本文基于自由式家长主义立场，主张“明确”应被解释为意愿的非模棱两可，而非方式的明示性。比较法上，保护程度较高的欧盟法并未普遍要求“明示同意”。欧盟GDPR的同意规则区分了“明确”（unambiguous）和“明示”（explicit），前者指向内容上的明确，意指同意与否不能模棱两可；后者指向同意方式上的明示。针对敏感个人信息等特定情景施加的明示同意是一种额外的形式要求。
本文提倡的二元互动理论和比较法上的参照例都支持不应将同意概念中明确要素解释为“明示同意”。进一步地，面对数字时代数据要素流通利用的迫切需求，这一观点还可依据我国个人信息保护法的价值取向及相关原理进行体系化解释。《民法典》第1035条规定了通常情况下个人信息处理中的“同意”，而第1033条针对私密信息专门使用了“明确同意”的表述。若认为《个人信息保护法》对所有的个人信息处理均要求明示同意，将抹平《民法典》确立的风险分层规范逻辑，破坏法律体系的内部和谐。
虽然摒弃全场景的明示同意要求，但为了防止这种解释方案走向另一个极端，需要对默示同意的适用边界即“低风险场景”进行严格限定。低风险场景的判断依赖于具体场景，可从数据属性、处理目的和技术保障三个维度进行综合限缩解释。只有当数据属性非敏感、目的非定向、技术已脱敏这三方面要求均得以满足时，才能落入低风险场景的范畴，从而允许处理者以默示同意作为合法性基础。这种解释论上的方案既可避免个人因面对频繁的告知同意而产生“同意疲劳”，又可保留意思自治空间。
结论
我国个人信息保护法确立的同意规则虽然在立法论上构建了以“充分知情”和“明确作出”为核心的高标准保护体系，但在数字化、网络化、智能化不断推进的数字时代，这一体系正面临着范式危机。走出困境的可行出路在于解释论的务实转向。本文主张引入“自由式家长主义”作为底层理论，通过“助推”而非“强制”的手段重构同意规则。通过自由式家长主义的解释论修正，可以在维护人格尊严与释放数据价值之间找到理性的中间道路，从而构建契合数字时代特征的个人信息保护新范式。
