一、结论先行：五项情形与三个要点
《个人信息保护法》在"同意"之外，另设了"单独同意"这一更高要求的形式。它不是"再点一次同意"的形式问题，而是要求处理者对特定高风险处理活动就该事项单独取得、明确可辨、不得与其他事项打包的同意。先给结论，五项法定情形可以直接记：
- 向其他个人信息处理者提供其处理的个人信息——应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意（第十三条以外的传送场景，见第二十三条）。
- 公开其处理的个人信息——个人信息处理者不得公开其处理的个人信息，取得个人单独同意的除外（第二十五条）。
- 在公共场所安装图像采集、个人身份识别设备所收集的个人图像、身份识别信息用于维护公共安全以外的其他目的——取得个人单独同意的除外（第二十六条）。
- 处理敏感个人信息——应当取得个人的单独同意；法律、行政法规规定应当取得书面同意的，从其规定（第二十九条）。
- 向中华人民共和国境外提供个人信息——应当向个人告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使权利的方式和程序等事项，并取得个人的单独同意（第三十九条）。
围绕这五项情形，三个要点决定了合规与违规的分界：
- 要点一：单独同意必须"可区分"。同意应当由个人在充分知情的前提下自愿、明确作出；处理目的、处理方式或者个人信息的种类发生变更的，应当重新取得个人同意（第十四条）。把单独同意事项与一般告知同意裹在一份《隐私政策》里勾选一次，通常不构成单独同意。
- 要点二：单独同意必须"可撤回"。个人有权撤回其同意；个人信息处理者应当提供便捷的撤回同意的方式；撤回同意不影响撤回前基于同意已进行的个人信息处理活动的效力（第十五条）。
- 要点三：单独同意不是万能通行证。《个人信息保护法》第十三条列举了处理个人信息的合法性基础，取得个人同意只是其中第一项。敏感个人信息还须满足"具有特定的目的和充分的必要性，并采取严格保护措施"这一独立前提（第二十八条第二款），取得单独同意并不能替代必要性审查。
二、四种"同意"的区分：一般同意、单独同意、书面同意、监护人同意
实务中最常见的合规缺陷，是把这四种同意形式混为一谈。四者的适用条件与要求对比如下。
| 同意形式 | 适用情形 | 形式要求 | 主要条文 |
|---|---|---|---|
| 一般同意 | 以同意作为处理个人信息的合法性基础的一般场景 | 由个人在充分知情的前提下自愿、明确作出；目的、方式、种类变更须重新取得同意 | 第十三条第一项、第十四条 |
| 单独同意 | 向其他处理者提供、公开、公共场所图像采集用于其他目的、处理敏感个人信息、向境外提供 | 就该事项单独取得；不得与一般告知同意打包；须可撤回 | 第二十三条、第二十五条、第二十六条、第二十九条、第三十九条 |
| 书面同意 | 法律、行政法规对处理敏感个人信息规定应当取得书面同意的情形 | 须以书面形式作出；是否要求书面取决于法律、行政法规的特别规定 | 第二十九条后段 |
| 监护人同意 | 处理不满十四周岁未成年人个人信息 | 应当取得未成年人的父母或者其他监护人的同意；并应当制定专门的个人信息处理规则 | 第三十一条 |
需要注意两点：一是第三十一条针对不满十四周岁未成年人个人信息的要求是"监护人的同意"，条文本身未使用"单独同意"的表述；但由于不满十四周岁未成年人的个人信息本身属于《个人信息保护法》第二十八条列举的敏感个人信息，因此处理此类信息仍须同时满足第二十九条关于单独同意的要求。二是书面同意与单独同意可能叠加：若某部法律或行政法规明确规定处理某类敏感个人信息须取得书面同意，则处理者需同时满足"单独"与"书面"两项要求，以电子勾选方式取得同意即存在合规风险。
三、五项情形逐项展开
情形一：向其他个人信息处理者提供（第二十三条）
本项针对的是"处理者对处理者"的提供行为，典型场景包括向营销服务商提供客户名单、向数据服务商提供用户画像标签、向合作机构共享会员权益数据等。合规动作有三个：一是告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类；二是取得单独同意；三是限制用途——接收方应当在上述处理目的、处理方式和个人信息的种类等范围内处理个人信息，变更原先的处理目的、处理方式的，应当依照《个人信息保护法》规定重新取得个人同意。
需要区分的是"委托处理"与"提供"：委托处理关系下受托人仅按委托处理，不属于向其他处理者提供；一旦受托人超出委托范围自主决定处理目的与方式，性质即发生变化，须回到本项要求处理。
情形二：公开个人信息（第二十五条）
条文采取"原则禁止＋例外"的结构：不得公开其处理的个人信息，取得个人单独同意的除外。实践中容易忽略的是间接公开——例如在官方网站公示中奖名单、在宣传材料中展示用户评价并附带可识别信息、在企业年报中披露客户名称与交易细节等。此类行为是否需要单独同意，取决于信息是否具备可识别性。
情形三：公共场所图像采集用于其他目的（第二十六条）
在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著的提示标识；所收集的个人图像、身份识别信息只能用于维护公共安全的目的，不得用于其他目的，取得个人单独同意的除外。本项的结构是"双重限制"：既限制安装目的（须为公共安全所必需），也限制使用目的（不得改变为其他目的）。将公共场所采集的人脸信息用于客流分析、商业营销的，属于改变使用目的，须取得单独同意且同时应评估前述"为维护公共安全所必需"这一前提是否仍然成立。
情形四：处理敏感个人信息（第二十九条、第二十八条）
第二十九条是单独同意规则中适用面最广的一项。适用前提是先落入第二十八条的敏感个人信息范围：一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。此外还须满足第二十八条第二款的前提：只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，方可处理敏感个人信息。同时，除第十七条第一款规定的一般告知事项外，还应当向个人告知处理敏感个人信息的必要性以及对个人权益的影响（第三十条）。
情形五：向境外提供个人信息（第三十九条）
本项在单独同意之外，还叠加了"告知义务的内容扩张"——除一般告知事项外，还须告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息的种类，以及个人向境外接收方行使本法规定权利的方式和程序。此外，向境外提供个人信息本身还须具备第三十八条列举的条件之一（通过安全评估、经专业机构进行个人信息保护认证、订立标准合同或者法律、行政法规、国家网信部门规定的其他条件）。也就是说，单独同意是必要条件而非充分条件。
四、取得方式：同意的具体、明确与可撤回
《个人信息保护法》第十四条规定：基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出；法律、行政法规规定处理个人信息应当取得个人单独同意或者书面同意的，从其规定。处理目的、处理方式和个人信息的种类发生变更的，应当重新取得个人同意。据此，取得方式应当满足四项要求：
- 交互可区分。单独同意事项应当以独立的弹窗、独立的确认动作或者独立的勾选项目呈现，不得与《隐私政策》的整体同意、注册协议的同意合并为一个动作。多个单独同意事项并存时，宜逐项分开确认。
- 告知够充分。至少应包括处理者的名称或者姓名和联系方式；处理目的、处理方式、个人信息的种类、保存期限；个人行使权利的方式和程序；法律、行政法规规定应当告知的其他事项（第十七条第一款）。涉及敏感个人信息的，还须告知必要性及对个人权益的影响（第三十条）；涉及向境外提供的，还须告知第三十九条列举的专项内容。
- 拒绝有空间。不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务，但处理个人信息属于提供产品或者服务所必需的除外（第十六条）。若某项处理活动并非服务所必需，却在流程中设置为"不同意就无法继续使用"，该同意可能因不具备自愿性而被否定。
- 撤回够便捷。应当提供便捷的撤回方式（第十五条）。实务中常见缺陷是：同意通过一键弹窗取得，撤回却要求书面申请、人工审核，二者在便利程度上明显不对等。
五、常见瑕疵与整改要点
| 常见瑕疵 | 风险 | 整改方向 |
|---|---|---|
| 把敏感信息处理、向第三方提供等事项写在《隐私政策》中，以一次勾选取得同意 | 不构成单独同意，处理活动缺乏合法性基础 | 拆分为独立弹窗或独立确认项，逐项取得 |
| 告知内容只写"可能向合作伙伴提供"，未列明接收方名称或姓名、联系方式 | 未满足第二十三条的告知要求，单独同意不成立 | 列明接收方清单或类别＋目的＋信息种类，并在变更时重新取得同意 |
| 未提供撤回同意的路径，或撤回路径显著困难 | 违反第十五条，构成合规缺陷 | 在 App、小程序、网站等入口设置便捷撤回功能，并留存撤回记录 |
| 同意记录未留痕，仅有"已同意"的布尔值 | 无法证明取得同意的时间、版本、内容与范围 | 留存同意时间戳、同意文本版本号、交互渠道、操作日志 |
| 拒绝授权即拒绝提供基本功能 | 违反第十六条关于不得以不同意或撤回同意为由拒绝提供服务的规定（属于提供服务所必需的除外） | 区分必需与非必需信息，对非必需项提供"暂不授权仍可使用基础功能"的选项 |
| 公共场所采集的人脸信息用于客流分析、营销 | 违反第二十六条关于使用目的的限制 | 停止改变使用目的，或在符合条件时另行取得单独同意并完成影响评估 |
六、与个人信息保护影响评估的衔接
单独同意并非孤立的程序动作。根据《个人信息保护法》第五十五条，有下列情形之一的，个人信息处理者应当事前进行个人信息保护影响评估，并对处理情况进行记录：处理敏感个人信息；利用个人信息进行自动化决策；委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息；向境外提供个人信息；其他对个人权益有重大影响的个人信息处理活动。可以看出，这一清单与本篇讨论的五项单独同意情形高度重合。
第五十六条进一步规定，个人信息保护影响评估应当包括：个人信息的处理目的、处理方式等是否合法、正当、必要；对个人权益的影响及安全风险；所采取的保护措施是否合法、有效并与风险程度相适应。个人信息保护影响评估报告和处理情况记录应当至少保存三年。
七、常见问题（FAQ）
问：用户注册时勾选了一份隐私政策，能不能涵盖单独同意事项？
通常不能。单独同意要求就特定事项单独取得可区分的同意。把向第三方提供、处理敏感信息等事项并入整体隐私政策的勾选，难以认定为单独同意，处理活动将因缺乏合法性基础而存在违规风险。
问：用户点击"同意"后反悔了，可以撤回吗？撤回后之前的处理要不要停止？
可以撤回，处理者应当提供便捷的撤回方式（第十五条）。撤回同意不影响撤回前基于同意已进行的个人信息处理活动的效力，但撤回后应当停止相应的处理活动。此外，个人对其个人信息的处理还享有知情权、决定权，有权限制或者拒绝他人对其个人信息进行处理（第四十四条）。
问：处理员工的人脸信息用于考勤，需要单独同意吗？
人脸信息属于生物识别信息，落入第二十八条列举的敏感个人信息范围，原则上应当取得单独同意，并须满足"特定的目的和充分的必要性"这一前提。同时需要注意：为实施人力资源管理所必需的情形属于第十三条第二项规定的合法性基础，与以同意为基础的处理在举证方向与抗辩逻辑上不同，具体适用与边界实务中存在争议，建议先行开展个人信息保护影响评估，并优先采用侵入性更低的技术方案。
问：向境外总部传输员工信息，需要哪些手续？
至少需要两项：一是在具备《个人信息保护法》第三十八条列举的条件之一（安全评估、个人信息保护认证、标准合同或其他法定条件）的基础上进行跨境提供；二是向个人告知第三十九条列举的专项事项并取得单独同意。此外，向境外提供个人信息属于应当事前进行个人信息保护影响评估的情形（第五十五条）。
问：公共场所安装摄像头，一定要取得单独同意吗？
不一定。为维护公共安全所必需而安装并用于公共安全目的的，属于第二十六条允许的常态情形，只需设置显著的提示标识；只有将所收集的个人图像、身份识别信息用于维护公共安全之外的其他目的时，才需取得单独同意。但需注意，改变使用目的同时还需要重新评估"为维护公共安全所必需"这一安装前提是否仍然成立。
问：单独同意的记录要保存多久？
《个人信息保护法》未对同意记录单独设定保存期限，但对处理个人信息影响评估报告和处理情况记录明确要求"至少保存三年"（第五十六条）。考虑到举证需要，建议同意记录的留存期限与个人信息保存期限、评估报告保存期限相衔接，并能够还原同意的时间、版本与范围。
八、实务提示：五步合规清单
- 先梳理处理活动清单。逐项标注是否落入五项单独同意情形，以及是否属于第五十五条应当事前评估的情形。清单化是合规的起点，也是监管检查中最先被要求的材料。
- 再做影响评估。对敏感个人信息、向第三方提供、公开、出境、自动化决策等情形事前完成个人信息保护影响评估，形成报告并至少保存三年。
- 然后改造前端交互。把单独同意事项从《隐私政策》整体勾选中拆出，以独立弹窗或独立确认项呈现；保证"不同意仍可使用基础功能"的选项存在（属于提供服务所必需的信息除外）。
- 同步配置撤回与行权入口。提供便捷的撤回同意、查阅、复制、删除等行权方式，并将处理结果留痕。
- 最后固化留痕与版本管理。记录同意时间、渠道、文本版本号、操作日志，建立同意文本的版本台账；发生目的、方式、种类变更时重新取得同意。
律师提示：单独同意的争议，最终会落到两个问题上——告知是否到位、同意是否可证。企业最常见的失误不是"没做"，而是"做了但无法证明做过"。建议将同意管理纳入产品需求评审与上线检查环节，把同意文本、交互设计、日志留痕与影响评估作为上线的前置条件，而不是事后补做的合规文件。同时注意：以同意为合法性基础的处理活动，一旦个人撤回同意，处理者须停止处理，业务连续性风险应当在方案设计阶段一并考虑。
法条与依据核验：《中华人民共和国个人信息保护法》（2021年8月20日第十三届全国人民代表大会常务委员会第三十次会议通过，自2021年11月1日起施行）第十三条、第十四条、第十五条、第十六条、第十七条、第二十三条、第二十四条、第二十五条、第二十六条、第二十八条、第二十九条、第三十条、第三十一条、第三十二条、第三十八条、第三十九条、第四十四条、第五十五条、第五十六条；《网络数据安全管理条例》（2024年9月24日国务院公布，自2025年1月1日起施行）关于个人信息处理规则与告知同意的配套规定。特别说明：本文所引法律、行政法规的条文序号均依现行有效版本标注。以"为实施人力资源管理所必需"等法定基础处理敏感个人信息时能否替代单独同意、公共场所图像采集的"为维护公共安全所必需"的具体判断标准、单独同意的交互设计合规标准（弹窗形式、勾选默认状态等）、跨境提供场景中标准合同与认证的适用边界，实践中尚未形成统一口径，已在正文逐处标注"实务中存在争议"，具体合规方案应结合监管部门要求与行业实践判断，请以全国人大、国务院官方公布文本为准。
