适用场景
面向通过移动应用程序（App）向海外用户提供产品或服务的中国出海企业，尤其是在产品设计、开发、上线及后续运营阶段，需要处理用户个人信息的团队。
核心要点
1. 同意的定义与类别
合规获取用户同意是处理个人信息的基础。同意主要分为“明示同意”和“授权同意”。明示同意要求用户通过主动勾选、点击等肯定性动作明确授权，是首选方式。授权同意则指在特定条件下，用户未明确拒绝即视为同意，其适用有严格限制，应谨慎使用。
2. 告知同意的核心原则
告知与同意过程需遵循一系列基本原则。告知应公开透明、清晰易懂、真实准确且与收集行为同步。同意则必须基于用户的自主选择，授权范围与告知内容一致，且对不同服务类型应分类独立获取同意，不得捆绑强迫用户一次性授权。
3. 必须获取同意的关键场景
企业在多种场景下必须重新获取用户的明示同意。主要包括：首次收集使用个人信息时、变更原有个人信息使用目的时、向第三方对外提供个人信息时，以及涉及个人信息出境、处理规则发生实质性变更、账号注销等可能影响用户权益的其他情形。
4. 获取同意的例外情形
并非所有个人信息处理都需要同意。法律规定了免于告知同意的例外情况，例如为履行法定义务、维护国家安全和公共安全、应对突发公共卫生事件、为订立或履行合同所必需、以及从合法公开渠道获取且已公开的信息等。企业需准确识别这些例外，避免过度收集同意。
实务建议
- 在产品设计阶段，优先采用‘主动勾选’、‘点击确认’等明示同意模式，确保用户意图清晰。
- 制定清晰、分层的隐私政策，在收集每一项个人信息前进行即时、同步的弹窗或界面告知。
- 建立用户同意管理机制，记录同意的时间、版本和范围，以便在变更使用目的时能精准地再次征得同意。
- 对‘授权同意’的适用保持高度警惕，仅在经过个人信息安全影响评估确认风险较低，且符合特定受限条件（如界面或网络条件受限）时才可考虑。
- 定期核查个人信息处理活动，对照法律规定的例外情形清单，确保在无需同意的场景下未向用户额外索取授权。
风险提示
- 避免使用默认勾选、一揽子授权、或不同意则无法使用核心功能等‘捆绑式’同意方式，这不符合‘自主选择’原则。
- 切勿将‘隐私政策’本身视为已获取用户同意的合同，同意必须在具体业务场景中单独、明确地获取。
- 注意区分不同业务功能，为用户提供 granular（精细化）的同意选项，例如允许用户单独同意位置服务但不同意通讯录访问。
- 当业务扩展、并购或数据出境导致处理目的变更时，必须重新获取同意，不能沿用旧的授权。
- 对于儿童、敏感个人信息（如生物识别、健康信息）等特殊群体和数据类型，法律有更严格的同意要求，需制定专门规则。