gdpr-valid-consent

实现符合 GDPR 的有效同意

概述

GDPR 第 4 条第 11 款将有效同意定义为：“数据主体通过声明或明确的肯定性行为，表示同意处理与其相关的个人数据，由此作出的任何自由、具体、知情且明确的意愿表示。”第 7 条规定了同意的条件，而序言第 32 条则澄清，沉默、预先勾选的复选框或不作为均不构成同意。

欧盟法院（CJEU）在 C-673/17 案（Planet49 GmbH，2019 年 10 月 1 日）中重申了这一点，裁定预先勾选的复选框不构成放置 Cookie 的有效同意，并且同意必须针对每种处理目的分别作出。

有效同意的五项要求

1. 自由作出（第 7 条第 4 款，序言第 42 至 43 条）

在以下情况下，同意并非自由作出：

• 数据主体与控制者之间存在明显的不平衡（例如，雇主与雇员、公共机构与公民之间的关系）
• 将同意作为服务不可协商的条件（即第 7 条第 4 款规定的“条件性测试”）
• 数据主体因拒绝或撤回同意而遭受不利后果
• 没有真正的选择，或个人感到不得不同意

CloudVault SaaS Inc. 的实施方式： CloudVault SaaS Inc. 将核心云存储服务的同意与分析和营销的同意分开。拒绝同意营销的用户仍可完整使用存储功能。注册流程明确说明：“拒绝可选的数据处理不会影响您使用 CloudVault 存储服务。”

2. 具体明确（第 6 条第 1 款 a 项，序言第 32 条）

同意必须：

• 细化：针对每种不同目的分别征求同意
• 指明对象：明确列出控制者及任何第三方控制者
• 限定目的：与明确界定的处理目的清晰关联

CloudVault SaaS Inc. 的实施方式： CloudVault SaaS Inc. 在注册流程中分别征求以下三项同意：

• “允许 CloudVault SaaS Inc. 分析您的文件使用模式，以便推荐存储优化方案”（目的：改进服务）
• “允许 CloudVault SaaS Inc. 向您发送产品更新邮件”（目的：直接营销）
• “允许 CloudVault SaaS Inc. 与 Datalytics Partners Ltd. 共享匿名化使用统计数据，用于行业基准分析”（目的：第三方分析）

3. 知情（第 13 条，序言第 42、60 条）

在数据主体作出同意之前，至少必须告知其：

• 控制者的身份（CloudVault SaaS Inc.，注册地址为爱尔兰都柏林 D02 YX88，42 Innovation Drive）
• 每项征求同意的数据处理操作的目的
• 收集的数据类型
• 随时撤回同意的权利
• 有关自动化决策（包括用户画像）的信息（第 22 条第 2 款 c 项）
• 在没有充分性决定或适当保障措施的情况下向第三国传输数据的风险（适用第 49 条第 1 款 a 项的明确同意时相关）

CloudVault SaaS Inc. 的实施方式： 每项同意请求都包含分层告知内容：立即可见的简短摘要，以及包含完整第 13 条信息的“了解更多”可展开部分。文本使用通俗易懂的英语，Flesch-Kincaid 阅读等级为 8 级或以下。

4. 明确无歧义的表示

数据主体的意愿必须清晰明确。根据序言第 32 条：

• 同意需要明确的肯定行为
• 沉默、预先勾选的复选框或不作为均不构成同意（CJEU C-673/17 Planet49 已确认）
• 滚动网页或继续浏览网站不符合这一标准（EDPB Guidelines 05/2020，第 86 段）

CloudVault SaaS Inc. 的实施方式： CloudVault SaaS Inc. 为每个同意目的使用未勾选的复选框。无论用户选择如何，“创建账户”按钮始终可用。不会使用默认开启的切换开关。系统会记录 UI 状态，以证明用户主动操作了每个切换开关。

5. 明确的肯定行为（第 4(11) 条、序言第 32 条）

可接受的肯定行为包括：

• 勾选未勾选的复选框
• 在信息社会服务中选择技术设置
• 输入同意声明
• 签署书面声明（包括根据 eIDAS Regulation (EU) No 910/2014 进行的电子签名）

CloudVault SaaS Inc. 的实施方式： CloudVault SaaS Inc. 会记录具体的 UI 交互（勾选复选框、启用切换开关），并一并记录时间戳、用户的会话 ID、IP 地址、显示的同意文本版本以及用户代理字符串。

同意表单审核清单

#	审核项目	GDPR 参考条款	通过/未通过标准
1	同意与服务条款分开	Art. 7(2)	同意请求与其他事项清楚区分
2	没有预先勾选的复选框或默认开启的切换开关	Art. 4(11), Recital 32, CJEU C-673/17	所有同意机制的初始状态均为“关闭”
3	按目的细分同意	Recital 32, EDPB Guidelines 05/2020	每个不同的处理目的均单独选择加入
4	说明控制者身份	Art. 7(2), Art. 13(1)(a)	显示数据控制者的完整法定名称和联系方式
5	清楚说明目的	Art. 13(1)(c)	使用通俗语言描述每个目的，不使用法律术语
6	指明数据类型	Art. 13(1)(d)	列出每个目的涉及的个人数据类别
7	列明第三方接收方	Art. 13(1)(e)	按名称列明具体第三方（而非类别）
8	说明撤回机制	Art. 7(3)	明确说明可随时撤回同意，并提供操作说明
9	拒绝不会造成不利影响	Art. 7(4), Recital 42	访问服务不以提供可选同意为条件
10	撤回同意与给予同意同样容易	Art. 7(3)	撤回所需步骤不得多于最初给予同意所需的步骤
11	提供年龄验证	Art. 8	对面向儿童的服务设置年龄门槛或验证机制
12	语言通俗清晰	Art. 7(2), Recital 42	Flesch-Kincaid 年级为 8 级或以下，不使用法律术语
13	保存同意记录	Art. 7(1)	记录时间戳、版本、目的、机制和身份
14	目的变更时重新征求同意	Art. 13(3)	目的变更时设有获取新同意的流程
15	不使用阻止访问的 Cookie 墙	EDPB Guidelines 05/2020 para 39	无论 Cookie 同意选项如何，均可访问内容

实施工作流

1. 梳理处理活动 — 识别每项以第 6(1)(a) 条规定的同意作为合法依据的处理活动。记录每项活动的目的、数据类别、接收方和保留期限。

2. 设计同意机制 — 创建细化且默认未勾选的同意控件。确保界面清晰区分各项目的。遵循 EDPB《05/2020 年关于同意的指南》。

3. 起草同意文案 — 为各项目的撰写简洁、通俗易懂的说明。以分层形式提供第 13 条要求的所有信息。测试文案的可读性，确保 Flesch-Kincaid 年级水平不高于 8 级。

4. 实施记录保存 — 构建同意回执系统，记录以下信息：时间戳（ISO 8601）、同意版本哈希、目的标识符、机制类型（复选框/切换开关/签名）、数据主体标识符，以及向其展示的确切文本。

5. 构建撤回机制 — 在用户账户控制面板中实现一键撤回。确保撤回后，相关处理在 24 小时内停止。

6. 开展审计 — 使用上述清单审计同意实施情况。记录审查结果和补救措施。

7. 安排重新审计 — 设置定期审计周期（建议每季度一次），并在任何影响同意流程的界面变更后开展审计。

主要法规参考

• GDPR 第 4(11) 条 — 同意的定义
• GDPR 第 6(1)(a) 条 — 同意作为合法依据
• GDPR 第 7 条 — 同意的条件
• GDPR 第 8 条 — 适用于儿童同意的条件
• GDPR 序言第 32、33、42、43 段 — 关于同意要求的指南
• CJEU 案件 C-673/17（Planet49 GmbH）— 关于预先勾选框的裁决
• EDPB《05/2020 年关于〈条例 2016/679〉下同意的指南》
• eIDAS《欧盟条例 No 910/2014》— 用于同意的电子签名