非基于同意处理个人信息，“单独同意”是否可以被豁免。

一、数合专题研究：非基于同意处理个人信息，“单独同意”是否可以被豁免。

《中华人民共和国个人信息保护法》（以下简称“《个人信息保护法》”）第13条规定，符合下列情形之一的，个人信息处理者方可处理个人信息：（一）取得个人的同意；（二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；（三）为履行法定职责或者法定义务所必需；（四）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；（五）为公共利益实施新闻报道、舆论监督等行为在合理的范围内处理个人信息；（六）依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；（七）法律、行政法规规定的其他情形。

《个人信息保护法》对处理个人信息的情形进行了规制，并明确在向第三方提供个人信息（第23条）、公开个人信息（第25条）、在公共场所采集人脸、用于维护公共安全之外的其他目的（第26条）、处理敏感个人信息（第29条）、个人信息出境（第39条）这五种情形之下必须取得用户的“单独同意”。上述五种情况的单独同意是否适用《个人信息保护法》第13条第二项—第七项的情况呢？例如，某公司为应对突发公共卫生事件处理个人信息，而后又因该突发事件需处理敏感个人信息，此时该公司是否还需征得用户之同意呢？

目前学界观点主要有：

程啸认为，处理敏感的个人信息应当取得个人的单独同意，当然是指那些基于个人同意处理敏感的个人信息的情形，至于依据法律、行政法规的规定无需个人同意即可处理个人信息的情形，则不适用。

龙卫球认为，如果将信息公开的权限范围仅限于取得个人的“单独同意”，那么在一些较为特殊的情形下，如本条所规定的“维护公共安全目”，可能存在来不及取得个人同意，或是个人不同意公开的情形。衡量公共安全与个人信息两种利益，公共安全的利益顺位显然较个人信息的更为靠前。本条虽然删去“法律、行政法规没有规定的除外”，但是不代表本条采取限定为个人“单独同意”的封闭模式，而是直接转接本法第13条，以允许法律、行政法规进行例外规定的形式保持免责事由的开放性与灵活性。“单独同意”模式亦属于告知同意规则的一种，所以本条自然地用第 13条第2款，无需再单独予以强调。

笔者认为，非基于同意处理个人信息的，单独同意是可以豁免的。理由如下：

一是单独同意成本高。实践中，企业针对单独同意的情形通常都是设置弹窗且需要用户进行点击才，并需要保证用户完全理解弹窗之内容，在此情况下，若非基于个人同意的情况下处理信息也需获得个人单独同意，由此恐制约数据的流动，且在突发事件情况下，亦有可能损害用户权益。

二是在某些情况适用单独同意存在悖论。例如，公安机关为追捕犯罪嫌疑人，将其个人信息制作成通缉令在全网公开。这属于“履行法定职责所必需”。但同时也属于“公开个人信息”，若机械认为根据《个人信息保护法》第25条的规定，公开他人信息需要取得用户的单独同意，公开机关岂不是还需取得犯罪嫌疑人的单独同意，这与实际不符。

三是“取得个人同意”与“单独同意”是手段与目的的关系，而非一般与特殊的关系。事实上，采用单独同意的前提须是取得个人同意，否则何来单独同意一说。单独同意是取得同意的手段之一，即，在用户同意企业对其个人信息处理的前提下，针对某些场景下的信息运用需要再次取得用户同意，此所谓“单独同意”，在连“同意”都不需要的情形下，无所谓产生“单独同意”。

参考文献：

1. 程啸.《个人信息保护法理解与适用》[M].北京：中国法制出版社，2021.

2、龙卫球.《个人信息保护法释义》[M]. 北京：中国法制出版社，2021.

3、小何要开心、何琛没有以.非基于同意处理个人信息，“单独同意”可以被豁免[EB/OL]. https://mp.weixin.qq.com/s/IZt_hzR6lS1k-PD2KKDqdA