一、同意定义与法律基础：有效同意的四大要素

📌 核心概念：有效同意的四大要素

根据《个人信息保护法》第14条及GDPR第4(11)条，“同意” 是指数据主体在充分知情的前提下，自由作出的、具体的、明确的意愿表示。四大要素缺一不可，否则同意无效。

① 自由给予（Freely Given）

定义：数据主体在不受任何胁迫、欺诈、不当影响或显著不平衡权力关系的情况下，自主作出的同意。

② 具体（Specific）

定义：同意必须针对特定的处理目的、数据类型、处理方式，不得笼统概括。每个处理目的应单独获取同意。

• 目的具体化：“用于个性化推荐” ✅ vs “用于改善用户体验” ❌
• 数据范围具体化：“收集浏览记录、购买记录” ✅ vs “收集您的信息” ❌
• 处理方式具体化：“将数据加密后传输至第三方分析平台” ✅ vs “可能与合作伙伴共享” ❌

③ 知情（Informed）

定义：数据主体在作出同意前，必须获得清晰、易懂、易于获取的信息，包括控制者身份、处理目的、数据类型、存储期限、权利行使方式等。

④ 明确（Unambiguous / Explicit）

定义：同意必须通过积极的、明确的行为表示，沉默、不作为、默认勾选均不构成有效同意。对于敏感个人信息，需单独、明确同意。

📋 合规审计实战检查清单

1. 自由给予：是否提供“拒绝”选项？拒绝后是否影响基本服务？是否存在权力不对等？
2. 具体：每个处理目的是否单独列出？数据范围是否明确？是否使用“等”“包括但不限于”模糊表述？
3. 知情：隐私政策是否在同意前展示？字体是否≥12px？是否使用通俗语言？关键信息是否被隐藏？
4. 明确：是否使用预勾选框？是否将“继续使用”视为同意？敏感信息是否获得单独明确同意？
5. 记录：是否保存同意记录（时间、版本、用户ID、同意内容）？是否支持用户随时查阅？