文/梁灯，首发于“创投法律顾问”
《个人信息保护法（草案）》2020年10月21日第一次审议稿（下称“一审稿”）首次亮相，其后该草案二次审议稿（下称“二审稿”）于2021年4月29日公布，向社会公开征求意见至5月28日截止。同步进行二审稿征求意见的《数据安全法》最终于2021年6月10日经全国人大常委会第三次审议正式颁行，而《个人信息保护法（草案）》的第三次审议却并未被列入本次全国人大常委会议程，可见后者的争议问题比前者更多。
本文以一审稿和二审稿之比对作为学习文本，逐条总结了学习笔记如下。
第十六条：撤回同意
关于本条的“撤回同意”问题，有几点需注意：
1.撤回同意不是民法语境下的撤回意思表示，故撤回前所作的同意所指向的个人信息处理行为仍然有效。二审稿增加了第二款明确了这一点，也消除了个人信息处理者对此的疑虑。
2.二审稿在本条第一款增加规定，撤回必须是“便捷”的，如何理解便捷？GDPR有相关的规定，可作参考：“撤回同意应和授予同意一样简单”。（It shallbe as easy to withdraw as to give consent.）
3.撤回同意不等于删除信息。因个人信息处理的行为包括收集、存储、使用、加工、传输、提供、公开等，撤回同意的指向可以是上述处理行为的一项或多项。极端而言，若个人撤回同意存储，则个人信息处理者基于此前的个人同意而进行的存储仍然有效，故不必然导致信息删除。当然，撤回同意存储的要求就是“今后不能再存储”，鉴于存储行为的持续性，个人信息处理者应该主动删除，若处理者未删除的，个人信息主体可依据本法第四十七条请求删除。进一步分析，若个人信息主体撤回关于提供和存储的同意，个人信息处理者A（提供者）和个人信息处理者B（接收者）是否都需要删除该等信息。我认为，此情况下，要视个人信息主体仅向A还是同时向B发出删除请求而情况不同：若个人信息主体未向B发出删除请求，B存储该个人信息是基于此前同意的提供行为，继续有效，B暂无需删除该等信息。
4.个人信息主体并非在任何情况下均可撤回同意。本条款赋予个人信息主体撤回同意并未附加任何条件，但并不因此可以认为个人信息主体可以在任何情形下向信息处理者撤回同意。因撤回同意的前提是此前授予同意，故根据本法第十三条第一款除同意以外的其他项获得个人信息处理行为合法性基础的情况，个人信息主体无从撤回同意。个人信息主体不能滥用本条款以“撤回同意”否定个人信息处理者基于同意以外合法处理个人信息的行为。
第十七条：拒绝服务
第十七条 个人信息处理者不得以个人不同意处理其个人信息或者撤回其对个人信息处理的同意为由,拒绝提供产品或者服务;处理个人信息属于提供产品或者服务所必需的除外。
二审稿对本条并未作出修改，本条规定的个人信息处理者不得拒绝提供产品或者服务的义务，对此，有两点值得注意。
1.不得拒绝提供产品或服务的例外条件是处理个人信息属于提供产品或服务所必须，如何判断必须呢？如我在前面条款的分析，必要性在APP个人信息保护语境下，可参考2021年5月1日，国家互联网信息办公室、工业和信息化部、公安部、国家市场监督管理总局四部门联合发布的《常见类型移动互联网应用程序必要个人信息范围规定》，另外在此规定前的2019年6月1日全国信息安全标准化技术委员会发布了《网络安全实践指南—移动互联网应用基本业务功能必要信息规范》，该规范也对APP的必要个人信息范围作了规定。
2.处理个人信息属于提供产品或者服务所必需的情况，此类处理行为的合法性事实上是不需要通过“同意”获得的，它属于“订立或履行合同”的需要。这将拒绝服务与“同意”相关联，是否意味着本条对第十三条第一款的否定呢？非也，我试图梳理如下：个人信息处理者出于订约或履约必要、未经同意处理个人信息，在处理过程中个人信息主体声称“我不同意你处理我的个人信息”，此意味着个人信息主体与个人信息处理者的所拟订立的合同没有成立或者个人信息主体提出解除合同，故合同基础已丧失的情况下个人信息处理者自然可以拒绝提供产品或服务。本条后半部分的“除外”规定即是对这种情况的阐明，因此与第十三条并不矛盾。
第十八条、第十九条：告知
第十八条 个人信息处理者在处理个人信息前,应当以显著方式、清晰易懂的语言向个人告知下列事项:
(一)个人信息处理者的身份和联系方式;
(二)个人信息的处理目的、处理方式,处理的个人信息种类、保存期限;
(三)个人行使本法规定权利的方式和程序;
(四)法律、行政法规规定应当告知的其他事项。
前款规定事项发生变更的,应当将变更部分告知个人。
个人信息处理者通过制定个人信息处理规则的方式告知第一款规定事项的,处理规则应当公开,并且便于查阅和保存。
第十八、十九条两条是关于告知的规定。二审稿对第十八条也未作修改，对第十九条仅将“予以”修改为“及时”。我对该两条的理解如下：
1.第十八条是又一条被误读的条款。无论学界还是业界，但凡提及“告知”，几乎均一并论及“同意”，甚至被归纳为“告知同意”规则。欧盟的GDPR没有单独单独的告知条款，也是把告知规定为有效同意的条件。也许是被GDPR行为逻辑的误导，当读到本法第十八条时就会误解此处规定的“告知”是基于“同意”这一项处理个人信息合法性基础而必经的前置程序。回归本条文义，其规定的“告知”义务履行时点是“处理个人信息前”而非“同意”前，故符合本法第十三条第一款所规定的各项合法性基础的各种个人信息处理行为均需要“告知”。
2.第十九条第二款的规定印证了“告知”非仅仅是“同意”的前置条件。第十九条规定的紧急情况，并非告知义务的豁免，而是规定该义务的延期履行，而且二审稿“予以”修改为“及时”也对该义务履行的时效性提出了要求。这意味着，“紧急情况下为保护自然人的生命健康和财产安全”而处理个人信息，可无须取得个人信息主体同意，但仍须在紧急状态解除后及时告知。
3.第二十七条也说明了基于公共利益收集个人信息须“告知”。该条规定“在公共场所安装图像采集、个人身份识别设备,应当为维护公共安全所必需,遵守国家有关规定,并设置显著的提示标识”。此处规定的设置标识，即为“告知”义务，从而防止自然人个人信息，特别是人脸信息被个人信息处理者以“公共利益”为由被无感知识别。但本法第二十七条仅规定“提示标识”似乎并不能完全满足本法第十八条规定的告知内容，故第十八条和第二十七条或其他条款的衔接可能需要进一步完善。
声明
１、本文系“创投法律顾问”梁灯律师原创。本文仅为作者个人观点，不代表作者所任职机构的立场。
２、其他媒体、网站或刊物如需转载，须事前获得作者授权。
３、获得授权的转载须严格遵守以下规范：须在文章首部显著位置注明作者“梁灯”及出处“创投法律顾问”公众号两项信息，且不得改动本文原标题进行转载。
４、本文不能视为正式法律意见。
