一、“规则—原则”区分下对知情同意的再定位
二、同意行为的法律性质和表示方式
三、价值信念与制度规则之间的法律原则
四、原则碰撞与知情同意的规则边界
结语
知情同意是个人信息保护的重要规范，甚至被视为一项基本原则。然而，从规则与原则在体系定位、法律适用及逻辑结构的差别可知，知情同意不是原则而是规则。规则具有“一般—例外”结构，尽管知情同意存在例外，但无法否认其作为一般规则的功能定位。因此，研究工作应聚焦在事实和规范维度，厘清知情同意的边界。法律事实层面，同意行为是侵权免责事由、个人信息处理合法依据和准法律行为；其表示方式应以明示为原则、默示为例外，且不允许拟制。在法律规范视角下，问题在于如何权衡多元利益来确定知情同意的适用范围。由于现有研究大多采用“价值—规则”的双层理论结构，各种学说因价值基点的分歧而始终莫衷一是。有鉴于此，可使用正当必要、公开透明、信息自主、公域保留以及效率等原则作为重叠共识，形成价值与规则间的中层结构以推动法律议论，并借由原则碰撞来确定知情同意的限定条件和例外情况。
在个人信息保护的语境下，“同意原则”与“同意规则”两种说法时至今日仍在学界并存。有学者认为，知情同意是个人信息保护的一项基础性的法律原则，视其为个人信息保护法的“黄金原则”“基本原则”和“性格之所在”。亦有学者认为，知情同意只是一项具体规则。因此，在理论上澄清知情同意究竟定位于规则还是原则，是划定知情同意边界的一项前置性工作。
法律规则与法律原则的区分
规则和原则的区别，首先体现为两者在法律规范体系中功能和定位的不同。简单来说，规则是实施原则的具体化手段，原则是规则背后的正当化理由。规则和原则都属于法律规范的范畴，对人们的行为具有一定的指引作用。然而，原则具有更显著的“目标规范”特征，即指示某一可欲的目标或大致方向；而规则具有“行为规范”特征，当事人直接依照规则行事即可，“无需考虑规则背后的目的或评价”。在法律体系中，原则尚无法直接作为个案裁判的标准，故需通过对构成要件及法效果的不断区分来建构规则。另外，一项规则之所以具有价值正当性，即缘于其与一个或几个法律原则所指示的大致方向相一致。换句话说，规则难以为自身提供正当化理由，而需借助其背后的形式原则或实质原则加以正当化。正如麦考密克所言：“对一项规则在具体情境中的恰当含义犹豫不决时，原则可以帮助我们作出恰当的解释；而且，在很多具体场合中原则也帮助我们解释为什么该规则应当予以坚持。”可以说，规则背后的原则是对规则加以合理化基础。
其次，规则与原则在法律适用上存在着显著差异。规则是确定性命令，原则是最优化指令。对作为确定性命令的规则而言，其典型适用方式是涵摄——若个案事实符合规则的构成要件，则应接受该规则的法效果，不多也不少地去做到该规则所要求的内容。借用德沃金的说法，法律规则采取“完全有效或者完全无效”的方式加以适用，并不存在程度问题。一规则若有效，则其法律效果必须被接受；若无效，则被排除在外。相比之下，原则的典型适用方式是衡量，这便涉及程度和分量的问题，即要求尽可能地对某价值或目的予以实现。适用方式的差别，亦反映在规则和原则各自的冲突法则上。相互冲突的规则存在非此即彼的关系，而相互冲突的原则却可以共存。换言之，相冲突的规则无法同时适用，否则必然产生逻辑谬误，而相冲突的原则有可能同时适用，只不过影响权重有所不同。由于这些差异，原则比规则在个案裁判中的不确定性更大，因而便有“穷尽法律规则，方得适用法律原则”及“法律原则不得径行适用，除非旨在实现个案正义”等准则来限定原则之适用。
最后，规则和原则的差异可在法律条文上进行识别。通常来说，规则一般在分则中加以规定，而原则往往出现在总则部分。以民法典第1219条款的医疗知情同意规则为例，该条款位于侵权责任编中，是“医疗损害责任”分章里的一项具体规则，显然与诚信、公序良俗等法律原则处于不同的规范层次。在法条的逻辑结构上规则与原则亦有差别。规则的典型适用方式是涵摄，所以构成要件和法律后果比较明确，逻辑结构清晰。一般来说，规则条文可通过“一般—例外”结构加以表述，以划定规则之适用范围。实际上，“例外补充得越多，规则就越准确。”所以，在制定法中尝试穷尽规则的例外情形，是可行且有益的。相比之下，法律原则作为最佳化指令，文义开放性更强，以便根据个案进行具体分析。因此，原则的构成要件和法律后果往往更加模糊。此外，尽管原则也存在例外，但一般只是对原则的边界作出模糊指引，因而难以通过法条表述使原则更准确、完备。故此，成文法中极少直接出现原则的例外规定。
知情同意是法律规则
个人信息保护中的知情同意规范，显然属于法律规则而非法律原则。首先，知情同意在法条表述上并未出现于法律的总则部分。例如，知情同意位于个人信息保护法（以下简称个保法）第二章“个人信息处理规则”，与总则中的必要、正当、公开、透明等法律原则具有明显差别。因此，知情同意不宜被视为个人信息保护的统领性、总括性原则。更重要的是，知情同意具有清晰、明确的构成要件和法律后果，呈现出典型的“一般—例外”的逻辑结构。民法典第1036条第2项、第3项规定了知情同意的例外，包括处理已公开信息及维护公共利益等情形。此外，个保法第13条第2款规定，处理个人信息应当取得个人同意，但有前款第2项至第7项规定情形的，不需取得个人同意。该条款几乎是对“一般—例外”结构的教科书式表述。基于前述分析可知，知情同意在个保法中的定位是一项法律规则，旨在提供清晰、明确的行为指引和评价标准。在法律适用中，该规则应采取全有或全无的方式，并不存在分量和程度的问题。故此，知情同意是典型的法律规则，不是法律原则。
既然知情同意属于法律规则，而有规则处必有例外，故举出例外并不意味着推翻规则。从这个意义上说，对知情同意的许多批判，都在强调设立例外情形的必要性和可欲性，但这并不意味着摒弃知情同意规则。“一般—例外”结构本就是规则的重要特征，在规则中嵌入例外也是化解规则冲突、划定规则边界的重要技术。毕竟，几乎不存在没有任何例外情形的法律规则。实际上，正是由于允许例外存在，一般规则才“不会像在单调逻辑那样被证伪，而是仅仅在其适用范围中被限制”。例外之存在，并不妨碍知情同意作为一般规则发挥行为指引和合法性评价的功能。实际上，随着对例外的不断具体化，反而使知情同意变得更加精确、合理。一般和例外相结合以构成整体性规范，产生出完整的法律效果。因此，存在例外情形不会否定知情同意规则的价值，反而使该规则的边界更加清晰。
知情同意作为一般规则的合理性
从立法技巧来说，将知情同意作为一般规则的做法是合理的。以同意为一般，无需同意为例外，则未经同意的个人信息处理活动在原则上是违法的。若反过来，以同意为例外，则信息处理活动原则上都合法，仅在特殊情况下需取得同意，此一做法在立法上存在挂一漏万的风险。不妨设想，仅当处理生物特征、医疗健康等方面的敏感信息时要取得同意，其他情况下一概无需同意。若如此，一旦在敏感信息的界定上有所遗漏，则事后进行修法补救的成本极大。此外，个人信息的敏感程度并非静态不变，而是随着数据量的积累呈现动态性。单条信息或许无关紧要，但大量信息聚合后则可能产生质变。故此，试图将知情同意限定在具体、有限的场景中，这恐怕无法适应信息技术的瞬息万变。相比之下，以知情同意为一般规则，并列举豁免同意的例外情况，是更为稳妥、审慎的做法。有鉴于此，各国立法实践普遍将知情同意定位于一般规则，而非例外。
由于缺乏可行的替代方案，知情同意亦应继续作为一般规则发挥作用。知情同意在实定法中已被确立为法律规则，考虑到法律的权威性、稳定性和连续性，后续立法实践基本上不可能放弃知情同意规则而另起炉灶。更重要的是，知情同意规则的替代方案并不令人满意。其一，取消知情同意规则，个人信息处理在原则上无需征求个人同意。该方案对知情同意持彻底否认态度，认为同意不应是个人信息处理的正当性基础。由于该主张过于激进且缺乏立法实践层面的支撑，因而已鲜有人问津。其二，对知情同意不作一般规定，而是根据具体场景采取个案式规制。个案规制进路认为，知情同意规则系固化思维之产物，所以，应当摆脱知情同意的束缚，于个案之中具体情况具体分析以确定个人信息处理的合法性标准。个案式规制对自上而下的集中立法持怀疑态度，推崇自下而上的治理，强调在个案中综合考量各种因素以作裁断。
个案式规制存在两个主要缺陷，因而无法取代知情同意规则。首先，个案规制在法系层面可能遭遇水土不服。我国法系以成文法为主干和中枢，尽管近年来对司法案例日益重视，但距离自下而上的规则制定的设想仍有很大差距。若忽略我国法系之特征，以个案规制取代一般法律规则，或恐有南橘北枳的结果。其次，个案式规制缺乏形式确定性，因而可能不利于信息产业的发展。面对大规模、自动化的个人信息处理活动，各国都格外重视通过颁布制定法为信息从业者提供标准、清晰的行为规范，判例法国家亦概莫能外。诚然，对个案的整理和研究是对法律规则的有益补充，但面对批量自动化的个人信息处理，假若必于个案逐一审查以决定个人同意是否必要，则难以实行、易滋争议，既增加诉累又不利于交易安全。因此，应以知情同意作为判断信息处理合法性之一般规则，以形成易于理解、便于预测的“合法/非法”评价。
同意行为的法律性质
1.同意行为是免责事由、合法性依据
需补充说明，对法律事实进行分类的视角并不止一个。从要件事实角度来讲，同意行为属于合法依据和免责事由应无异议。但这并不意味着，同意行为必然不能属于许可、委托等法律行为概念。信息主体的同意行为是一种表示行为，亦具备外部表示、表示意识等基本要素，与意思表示在构成要件上存在交叉。因此，有必要进一步仔细探讨同意是否构成意思表示。
2.同意行为是准法律行为
故此，信息主体的同意行为是一种准法律行为，不构成意思表示。
同意行为的表示方式
同意规则的规范性要求可概括为知情、自愿和明确三方面。个保法第14条第1款规定，同意应是在充分知情的情况下自愿、明确作出的。作为个人信息处理的合法性依据，同意行为具有类似“形式推论装置”或者“证据”的特点——如果存在个人同意，则可推定信息处理活动具有合法性，否则该活动即违法。尽管存在例外情况，但信息主体的同意行为仍是一项证明信息处理合法性的标准化、低成本的手段。借助于同意行为，可以降低信息主体和信息处理者之间的交易成本，从而“直接进入到与个人信息权益行使最为核心的地带”。
1.同意应以明示为原则
2.法律不宜对同意进行拟制
总结来说，同意的作出，应以明示为原则、默示为例外，且不宜对同意进行拟制。同意行为的表示方式应当清晰、明确、易于检验。如此，方能为信息从业者、公众及监管部门提供精确的行为指引和评价标准。若将同意行为的判断标准模糊化、弹性化，则在实施过程中势必造成不必要的复杂性，削弱知情同意规则的确定性。
在澄清了知情同意在法律事实层面的边界后，接下来的工作是从规范评价的角度划定知情同意的规则边界——通过对个人信息所承载的多元利益进行权衡，以确定知情同意的限定条件和例外。在论述过程中，现有研究往往直接援引统合性的价值学说作为论证理由，从各自的阿基米德价值基点出发来撬动知情同意。这种“价值信念—制度规则”的双层理论结构，导致各派学说因基础信念层面的分歧，而难以形成议论和对话的共识性基础，呈现出壁垒森严、自我指涉的封闭性。在价值基点与具体规则之间，法律原则可以发挥“重叠共识和最大公约数”的作用，推动不同学说间的沟通，以便不同理论体系形成共识。
知情同意背后的价值信念之争
诸学说之间的差异，本质上源于在利益平衡时所秉持的价值论上的分歧。将不同学说置于一种道德哲学的光谱之下，有助于澄清学说间的差别。光谱的一端是强调社会利益最大化的功利主义，另一端则强调人格尊严和个人自主权的绝对优先性。一定程度上，不难将光谱两极对应到边沁的“最大多数人的最大幸福”以及康德的“人是目的，不是手段”之上。基于不同的价值信念对个人信息保护展开立论，则对知情同意构建出不同的规则边界。这种从价值直接到规则的论证方式，将部分论证责任转移到道德哲学的层面，因而论证链条的长度被大大缩短。例如，有的学者基于法律父爱主义的主张，认为应当用法律的意志替代个人的意志，弥补信息主体之理性不足，这一论证方式对父爱主义的支持者显然颇具说服力，但也可能引起其他价值观念的强烈排斥。问题的症结在于，价值信念或价值排序上的差异，无法证明哪一学说更为优越。因此，以特定价值信念作为理论前提来展开演绎式论证，极易陷入“各是其所是，各非其所非”的境地——不同学说在自身体系内或可自圆其说，但相互间却难以形成沟通和议论。
作为中层结构的法律原则
在价值与规则之间，有必要引入一个中间层次，从而形成三阶层的理论架构。如此，有关法律规则的讨论不必再直接援引价值信念，而是借助更稳定的中间层次来开展讨论，构建对话和议论的公共空间。不同学说之间仍可能存在着相互冲突的价值基础，但可拥抱某些共享的、公共的“重叠共识”来缓解处理基础信念的隔阂，推动学说之间的商谈和议论。这种搁置价值观分歧来寻找共识的做法，对法律论证有着重要意义。例如，桑斯坦提出“未完全理论化协议”的概念，一定程度上就是将重叠共识引入法律推理中，“尽管彼此对根本性问题存在分歧或者不确定性，但对具体行为或者后果却达成了一致意见”。基于对理性多元论的尊重，法官在裁判说理中一般会回避有关基础信念方面的讨论。因此，引入作为共识的中间层次，能减少法律议论中的沟通成本。
个人信息保护的法律原则
1.正当必要原则
2.公开透明原则
3.信息自主原则
信息自主原则，是个体自主价值在数字社会的一种时代表达。实际上，知情同意的正当性源于信息自主原则，两者的关系恰如手段之于目的。有人误将知情同意视为一项原则，可能是由于把知情同意和信息自主原则画上了等号。不过，信息自主原则显然比知情同意规则更加抽象和宽泛，其实现手段还包括携带权、删除权、更正权等。信息自主的正当性基础，可以在私法和公法两方面得到支撑。从私法角度而言，信息自主体现了平等主体之间意思自治的思想；从公法角度来说，信息自主原则体现了对公民人格尊严的尊重和保护。在基础权利层面，信息自主属于私人生活自主决定权的范畴，旨在保护个体对其私人生活事务的自主决定，保障个人在私人领域自主发展其人格的可能性。“在私人生活领域，只要不影响公共利益，就应当尊重个人对其私人生活的判断和决定，这也是保障个人私人生活安宁和个人幸福生活的重要内容。”因此，保障信息主体对其个人信息的自主决定权，实质上是为了促进个体人格尊严的健康发展，避免个人私生活被任意打扰。
4.公域保留原则
公域保留（或公共领域保留）原则意味着，不可对公共领域中的个人信息恣意删除或私有化。公域保留与信息自主原则之间存在着明显的张力和冲突。个人信息具有可识别性，因而与私人生活的安宁性有着密切关系。毋庸置疑，倘若个人信息仅在私人领域内发生影响，则法律缺乏充分理由对信息自主权加以干涉。然而，个人信息同时处于私领域和公领域的交汇处，对公领域的形成和发展发挥着重要影响。个人信息的标识功能使其成为私人领域与公共领域的桥梁。个体在社会中开展活动、参与社交和展示自我的过程中，必然会披露、公开自己的身份，同时收集和处理他人的信息，并将信息进行加工后重新输入公共领域，从而形成信息积聚和传播的正反馈。可以说，个人信息是形成公共领域的基本素材。如果公共领域中的个人信息这一“原材料”被刨去，则产业创新、政府治理甚至社会发展都可能受到影响。一定意义上，公领域中的个人信息本就是公共领域的组成部分，理应为公众所获取和使用。所以，公域保留原则的意义在于，避免信息主体任意阻断个人信息在公领域的流通，以捍卫个人信息的社会性和公共性。
5.效率原则
综上所述，以上法律原则可发挥重叠共识的功能，使不同学说暂时搁置价值信念上的分歧，形成商谈和论辩的开放领域。需特别说明，上述部分原则并非源自个保法总则条文，而更多是“源于法学上的认识”，旨在对法秩序的意义脉络和主导思想进行把握。毕竟，“分析界定法律概念，将浩如烟海的法律规则化约为一系列井然有序的原则”，本身就是法学研究的重要任务，也是推动法律改革和创新的重要内容。当然，个人信息保护的原则并非盖棺定论的封闭集合。随着立法的转变、裁判经验的积累及法学理论的演进，原则亦将呈现出开放性和流动性。新原则会被吸纳进来，旧原则可能被抛弃。
处理原则间的冲突时，本文采用一种简单的层次性优先级法则。首先，正当必要原则居于优先级的最高层，对知情同意的边界进行限缩。其次，第二层是信息自主和公域保留原则，两者优先级相同，无法直接压倒对方，而需在具体场景中进行权衡。最后，效率原则的优先级最低，当出现多种难分伯仲的多个选项时，效率可作为打破僵局的最后砝码。需承认，这一碰撞法则仍有不小的改善余地，例如借鉴比例原则、权重公式等框架进行更精细的衡量。尽管如此，这一简单的碰撞法则可以有效地展示，如何将知情同意的边界划定问题转化成法律原则的权衡取舍。
正当必要原则的限制作用
信息自主与公域保留的冲突
在各项原则中，公域保留与信息自主有着最直接的冲突，两者的碰撞对划定知情同意的边界有重要影响。某种程度上，个保法的基础目标就是对私域与公域之间的界限进行重构。与正当必要不同，公域保留原则和信息自主原则处于同一位阶，相互间不存在严格的优先次序。因此，公域保留原则对知情同意的限缩作用体现出类型化、情景化的特征。例如，根据个保法第13条第1款，在处理已公开信息或为实施新闻报道而处理信息时，无需取得个人同意。这两项例外规定有利于个人信息在公领域内的合理流通，其正当性即源于公域保留原则。个人信息一经公开后，便脱离了信息主体的直接控制，进入了公领域的范围。若允许个人任意拒绝他人对已公开信息的处理，无疑是把公领域的一部分划归私人控制，将引起公领域空间的急剧缩减。类似地，在新闻报道以及舆论监督的场景中，亦不可赋予个人任意设定排他性壁垒的权利，否则将阻碍个人信息向公共空间的合理流通。
另外，处理公域保留与信息自主的冲突时，可借助正当必要原则作为第三方标准，避免任何一方的过度扩张。随着数字技术嵌入社会生活的方方面面，公域与私域之间物理隔离已不复存在。若任由公领域的范围无限扩张，则个人对私领域的自主权恐将丧失殆尽。实际上，个保法第13、27条等多处使用“必需”“合理的范围”等限定语，旨在把处理已公开信息、新闻报道或舆论监督等例外情况限定在必要、合理的范围。这些约束一定程度上体现了正当必要原则对公域保留原则的约束和限制。换言之，即便处理完全公开的个人信息，若超过必要合理的限度亦不能免责。在公共空间中实际上一直充斥着大量的个人信息，只不过单一个体的信息为噪声所淹没，因而并不引人注目。若有人恶意对特定信息主体的公开信息进行整理、融合、剪辑，并在特定的场合下予以公开，则可能使信息主体置身“探照灯”炙烤下，遭受极大的舆论压力甚至网络暴力。基于公域保留原则，信息处理者在处理公开领域中的个人信息时，无需在事前取得同意。然而，若超出必要正当的限度，则行为人应在事后承担相应法律责任。