场景
苏州工业园区一家做智能硬件的公司，产品里带语音助手。去年底，公司想上线一个新功能：把用户语音上传到云端做模型优化。产品经理拟了一段告知文案，发在 App 弹窗里，用户点“同意”才能继续用。
问题出在老用户身上。有位姓周的用户，2022 年注册时只同意了基础服务协议，没勾选过“语音数据用于模型优化”。运营给周先生发了三次站内信，请他补充授权，他一直没点。技术团队说，这类用户大概占存量用户的百分之十几，如果全部停掉语音功能，投诉会很多；如果照旧上传，又怕出事。法务问：对方就是不配合，我们到底能不能继续处理他的语音数据？
这个场景在苏州很典型。苏州制造业、软件业密集，很多企业手里握着大量历史用户数据，告知同意这件事，新用户好办，老用户难办，不配合的用户最难办。
法律规定
先把规则说清楚。《个人信息保护法》第13条列了处理个人信息的合法性基础，取得个人同意只是其中一项，另外还有“为订立、履行合同所必需”“履行法定职责或法定义务所必需”等情形。也就是说，不是所有处理都必须靠同意，但一旦你选择走同意这条路，就得按同意的规矩来。
第14条讲得很直白：同意应当由个人在充分知情的前提下自愿、明确作出。法律、行政法规规定处理敏感个人信息应取得单独同意或书面同意的，从其规定。第29条进一步要求，处理敏感个人信息要取得单独同意。语音数据如果能够识别到特定自然人，可能落入敏感个人信息的范围，这一点企业要自己评估。
第17条是告知义务：处理前要以显著方式、清晰易懂的语言真实、准确、完整地告知处理者名称、处理目的、处理方式、信息种类、保存期限，以及个人行使权利的方式和程序。告知内容有变化的，应当重新告知。
第15条给了个人撤回同意的权利，撤回同意不影响撤回前基于同意已进行的处理活动的效力。第16条则明确，处理者不得以个人不同意处理或撤回同意为由，拒绝提供产品或者服务，除非处理个人信息属于提供产品或者服务所必需。
还有第6条的最小必要原则：处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。收集个人信息，应当限于实现处理目的的最小范围。
法院实务怎么判
苏州法院审理这类纠纷，公开裁判文书里能看出几个普遍倾向，个案会有差异。
第一，看“同意”是不是真的自愿、明确。弹窗默认勾选、把同意捆绑在“继续使用即视为同意”里、告知文案藏在多层链接后面，这些做法在审理中通常不被认可为有效同意。法院会结合告知的显著程度、用户操作的难易、拒绝的后果综合判断。
第二，看处理目的是否超出原告知范围。用户注册时同意的是“提供语音助手服务”，企业后来拿去训练模型，属于新的处理目的，原同意覆盖不到。这时候需要重新告知、重新取得同意，而不是发个通知就算完。
第三，看企业有没有尽到合理努力。对于不配合的老用户，法院通常会看企业是否做了区分处理：对明确拒绝的，是否停止；对未回应的，是否采取了限制处理范围、去标识化等影响更小的方式。一刀切继续处理，风险较大；一刀切停服，也可能踩到第16条。
第四，举证责任在企业一方。企业要能拿出告知记录、同意记录、用户拒绝后的处理记录。拿不出来，往往要承担不利后果。
边界与例外
不是所有“不配合”都意味着必须停。第13条里的其他合法性基础仍然可用。比如，为履行与用户之间的合同所必需的处理，可以不依赖同意；为应对突发公共卫生事件、紧急情况下为保护自然人的生命健康和财产安全所必需的处理，也有空间。
另外，如果企业能做到真正的匿名化，处理后的信息不再属于个人信息，第4条对此有界定，那就不在本篇讨论的同意框架内。但匿名化门槛不低，去标识化不等于匿名化，企业别自己给自己发“免死金牌”。
还有一类是法律、行政法规规定的其他情形。这类要有明确依据，不能靠内部制度自我授权。
普通人能怎么做
如果你是被要求补充授权的用户，几件事可以做：
一是看清楚告知内容再点。重点看处理目的、信息种类、保存期限、会不会提供给第三方。看不懂就问客服，要求书面说明。
二是不想给就明确拒绝。第15条允许撤回同意，第44条到第47条给了查阅、复制、更正、删除等权利。明确拒绝后，企业不能因此拒绝提供与个人信息处理无关的核心服务。
三是留证据。弹窗截图、客服对话、拒绝记录都存好。真出问题时，这些是你主张权利的基础。
四是向监管部门投诉。第50条要求企业建立便捷的个人行使权利的申请受理和处理机制，申请被拒或久拖不决，可以走投诉渠道。
律师温馨提示
董坤律师在苏州执业，长期处理数据合规、个人信息保护相关的非诉与争议事务，接触过不少“告知同意落地难”的案子，包括历史用户补授权、敏感个人信息单独同意设计、用户拒绝后的产品降级方案等。这类问题的关键往往不在法条本身，而在把法律要求翻译成产品流程和留痕机制。企业遇到用户不配合，先别急着做技术决定，把告知记录、合法性基础、替代方案三件事理清楚，再谈下一步怎么走。个案情况不同，具体方案需要结合业务实际单独评估。