隐私政策的效力边界：格式条款审查、提示说明义务与「同意」的认定

一、结论先行：三项审查加一个后果

隐私政策（个人信息处理规则）在法律上的身份，首先是格式条款。它由处理者单方预先拟定、面向不特定用户、订立时不与用户协商，完全符合《中华人民共和国民法典》第四百九十六条第一款的定义。因此，隐私政策中免除或者减轻处理者责任、限制用户权利的条款，必须接受三重审查：是不是格式条款；有没有履行提示义务与说明义务；内容是否不合理地免除责任、加重对方责任或者排除对方主要权利。审查结论决定两种不同后果——未履行提示说明义务的，用户可以主张该条款不成为合同的内容（第四百九十六条第二款）；内容不合理的，该条款无效（第四百九十七条）。

《中华人民共和国个人信息保护法》第十七条则从告知义务的角度提出了更具体的要求：处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地告知处理者名称与联系方式、处理目的与方式、信息种类与保存期限、个人行使权利的方式和程序等事项；通过制定个人信息处理规则的方式告知的，该规则应当公开，并且便于查阅和保存。两部法律的角度不同但指向一致：隐私政策要把该说的说清楚，让用户看得见、看得懂。

二、审查一：先确认是不是格式条款

格式条款的认定采实质标准，不取决于文件名称，也不取决于用户是否点击同意。只要是为了重复使用而预先拟定、订立时未与对方协商，即为格式条款。《最高人民法院关于适用〈中华人民共和国民法典〉合同编通则若干问题的解释》（法释〔2023〕13号）第九条进一步封堵了两条常见抗辩路径：

1. 不能以"依据示范文本制作"或者"双方已明确约定不属于格式条款"为由主张不是格式条款。当事人的约定与文件的来源，均不改变其单方拟定的实质。
2. 不能以"未实际重复使用"为由主张不是格式条款，但有证据证明该条款不是为了重复使用而预先拟定的除外。隐私政策面向海量用户、通过同一版本展示，这一例外几乎不可能成立。

实务中还有一类争议：处理者在隐私政策之外，另以《用户协议》《服务条款》或者弹窗说明的方式载明个人信息处理规则。这类分散安排并不改变其格式条款属性，但会带来一个附带问题——哪一份文件构成合同内容、哪一份只是说明，直接影响用户能否主张某项条款不成为合同内容。从合规角度，最稳妥的做法是把个人信息处理规则集中在一份可长期访问、版本可追溯的文件中，避免多处表述冲突。

三、审查二：提示义务的履行标准

民法典第四百九十六条第二款要求：采用格式条款订立合同的，提供格式条款的一方应当遵循公平原则确定当事人之间的权利和义务，并采取合理的方式提示对方注意免除或者减轻其责任等与对方有重大利害关系的条款，按照对方的要求，对该条款予以说明；未履行提示或者说明义务，致使对方没有注意或者理解与其有重大利害关系的条款的，对方可以主张该条款不成为合同的内容。

通则解释第十条第一款把"合理方式"具体化为可操作的标准：在合同订立时采用通常足以引起对方注意的文字、符号、字体等明显标识，提示对方注意免除或者减轻其责任、排除或者限制对方权利等与对方有重大利害关系的异常条款的，人民法院可以认定其已经履行提示义务。

把这个标准套到隐私政策上，可以拆出三项检查点。

个人信息保护法第十七条对告知内容提出了五项具体要求，与提示义务形成叠加：处理者名称与联系方式、处理目的与处理方式、处理的个人信息种类与保存期限、个人行使权利的方式和程序、法律行政法规规定应当告知的其他事项。缺项不只是合规瑕疵，也可能被认定为未完成有效告知，进而影响"同意"的有效性。

四、审查三：说明义务与"不合理"的判断

说明义务与提示义务是两项独立义务。通则解释第十条第二款规定：提供格式条款的一方按照对方的要求，就与对方有重大利害关系的异常条款的概念、内容及其法律后果以书面或者口头形式向对方作出通常能够理解的解释说明的，可以认定已履行说明义务。要点有二：说明义务以对方提出要求为前提（被动义务），说明的内容须覆盖概念、内容与法律后果三个层面。

提示义务与说明义务的举证责任均在提供格式条款一方（通则解释第十条第三款第一句）。这意味着发生争议时，处理者需要证明自己做过什么，而不是由用户证明处理者没做。

第三层审查是内容控制。民法典第四百九十七条规定格式条款无效的三种情形：具有本法第一编第六章第三节和第五百零六条规定的无效情形；不合理地免除或者减轻其责任、加重对方责任、限制对方主要权利；排除对方主要权利。在个人信息场景中，容易被认定为不合理的条款包括：

• 概括授权处理者将个人信息用于"与合作方共同开展营销"而不列明合作方类型与信息种类；
• 约定用户"不可撤销地同意"全部处理行为，排除个人信息保护法第十五条规定的撤回同意权；
• 约定"因信息泄露造成的一切损失由用户自行承担"，免除处理者的安全保障义务；
• 约定争议由处理者所在地法院管辖并排除用户住所地管辖，且未采取合理方式提请用户注意。

需要区分的是"不合理"与"不利"。格式条款对用户不利并不当然无效，只有在同时具备"不合理"要素时才落入第四百九十七条第二项。判断是否不合理，通常结合条款是否违反法律强制性规定、是否与处理者提供的服务对价明显失衡、是否有替代选择等因素。这一判断在个案中差异较大，实务中存在争议，不宜以单一标准套用。

五、后果：不成为合同内容与无效的区别

两条路径的后果不同，实务中经常被混为一谈。

对处理者而言，两条路径的实际风险是相同的：一旦个人信息处理的关键条款失去效力，处理行为就失去了"取得个人同意"这一合法性基础，需要回到个人信息保护法第十三条寻找其他依据。若无法找到，处理行为即构成违法处理，可能面临责令改正、警告、没收违法所得、罚款（第六十六条），以及用户的民事赔偿请求（第六十九条）。

六、电子场景的特殊规则：勾选与弹窗不足以证明

通则解释第十条第三款第二句是针对电子合同的专门规则：对于通过互联网等信息网络订立的电子合同，提供格式条款的一方仅以采取了设置勾选、弹窗等方式为由主张其已经履行提示义务或者说明义务的，人民法院不予支持，但是其举证符合前两款规定的除外。

这句话的含义是：勾选与弹窗只是形式，法院要看的是通过勾选与弹窗，用户是否实际上能够注意到并理解该条款。可以支撑举证的材料包括：弹窗截图中关键条款的文本内容与突出标识、用户停留时长记录、二次确认页面、关键条款的单独同意记录（个人信息保护法第二十三条、第二十九条要求"单独同意"的情形）、用户主动展开阅读的操作日志。

与之呼应的是个人信息保护法第十四条：基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出；法律、行政法规规定应当取得单独同意或者书面同意的，从其规定；处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得个人同意。第十六条则限制"捆绑同意"：不得以个人不同意处理其个人信息或者撤回同意为由拒绝提供产品或者服务，处理个人信息属于提供产品或者服务所必需的除外。

把这三条放在一起，可以得出一个操作结论："不同意就退出"的设计，只在对该处理属于提供产品或者服务所必需时才站得住；对于非必需的处理（个性化推荐、营销推送、与关联方共享），必须提供不同意的选项且不影响基本服务。这也是监管通报中"强制、频繁、过度索取权限""因用户不同意收集非必要个人信息而拒绝提供业务功能"等问题的规范来源。

七、常见问题

问：隐私政策里写了"最终解释权归本公司所有"，有效吗？

通常无效。该表述属于排除对方主要权利、加重对方责任的情形，落入民法典第四百九十七条第二项、第三项。即使写在隐私政策中并经用户点击同意，也不产生约束力。格式条款发生争议时，应当按通常理解予以解释；有两种以上解释的，应当作出不利于提供格式条款一方的解释（第四百九十八条）。

问：用户点了"同意"，还能主张条款不成为合同内容吗？

可以。点击同意不等于处理者已履行提示说明义务。用户仍可主张处理者未以合理方式提示关键条款，依第四百九十六条第二款主张该条款不成为合同内容。此时举证责任在处理者一方，须证明其提示方式足以引起注意。

问：隐私政策更新后，需要重新取得同意吗？

处理目的、处理方式、处理的个人信息种类发生变更的，应当重新取得个人同意（个人信息保护法第十四条第二款）。仅作文字性修改、联系方式变更等不影响处理实质的，应当告知变更部分（第十七条第二款），是否需要重新取得同意取决于变更是否触及处理实质。

问：只提供"同意"按钮、没有"不同意"选项，合规吗？

取决于处理是否属于提供产品或者服务所必需。属于必需的，可以不提供不同意选项；不属于必需的，不得以用户不同意或者撤回同意为由拒绝提供产品或者服务（个人信息保护法第十六条）。实践中应当把必需与非必需的处理分开取得同意，而不是打包在一个按钮里。

问：隐私政策里约定的管辖条款有效吗？

需单独审查。经营者使用格式条款与消费者订立管辖协议，未采取合理方式提请消费者注意的，消费者可以主张管辖协议无效。判断标准与第四百九十六条一致：是否有明显标识、是否在订立时呈现、是否足以引起注意。

问：个人信息处理规则必须单独成文吗？

法律未强制要求单独成文，但要求"公开，并且便于查阅和保存"（第十七条第三款）。把处理规则分散在用户协议、帮助中心、弹窗说明中，容易出现表述冲突与举证困难。从合规与诉讼两个角度看，集中成文、版本可追溯是成本最低的方案。

八、实务要点

对企业：把隐私政策当作一份需要接受司法审查的合同来写，而不是一份合规作业。三件事最值得投入——关键条款的显著标识（加粗、摘要、单独章节）；必需与非必需处理的分离同意；版本管理与变更留痕。三项做到，第四百九十六条的路径基本被堵住；剩下的风险集中在内容合理性，需要逐条筛查是否存在概括授权、免除安全保障义务、排除撤回同意权等表述。

对个人：主张权利时先定位条款性质。若争点是"没看见、没被告知"，走第四百九十六条第二款，主张条款不成为合同内容；若争点是"条款本身不公平"，走第四百九十七条，主张无效。两条路径的举证重点不同：前者指向提示方式，后者指向内容本身。同时可以依个人信息保护法第四十四条至第四十八条行使知情、查阅、复制、更正、删除等权利，处理者拒绝的，依第五十条第二款可以提起诉讼。

法条与依据核验：《中华人民共和国民法典》第一百五十六条（部分无效）、第四百九十六条（格式条款定义、提示义务与说明义务、未履行的后果）、第四百九十七条（格式条款无效的三种情形）、第四百九十八条（格式条款的解释规则与不利解释）；《最高人民法院关于适用〈中华人民共和国民法典〉合同编通则若干问题的解释》（法释〔2023〕13号，2023年12月5日起施行）第九条（示范文本、约定非格式条款、未实际重复使用三项抗辩的限制）、第十条（提示义务与说明义务的具体标准、举证责任、电子合同仅设勾选弹窗不足以证明）；《中华人民共和国个人信息保护法》第十三条（处理的合法性基础）、第十四条（同意的自愿明确要求、单独同意与重新取得同意）、第十五条（撤回同意）、第十六条（不得因不同意或者撤回同意拒绝提供产品或者服务）、第十七条（告知的五项内容、显著方式与清晰易懂语言、处理规则应公开且便于查阅保存）、第二十三条（向他人提供须单独同意）、第二十九条（敏感个人信息须单独同意）、第四十四条至第四十八条（知情、决定、查阅复制、更正、删除、解释说明）、第五十条（拒绝须说明理由、可提起诉讼）、第六十六条（法律责任）、第六十九条（损害赔偿与过错推定）。特别说明：隐私政策是否构成格式条款、提示义务是否履行、条款内容是否"不合理"，均属个案事实认定问题，本文所列检查点系对规范与审判实践的归纳，不构成对具体条款效力的结论；"不合理"与"不利"的区分标准各地裁判不尽统一，已在正文标注"实务中存在争议"。本文所称"隐私政策"与《个人信息保护法》第十七条第三款的"个人信息处理规则"同义。请以全国人民代表大会、最高人民法院官方公布文本为准。