场景
苏州工业园区一家做智能家居的创业公司，去年上线了一款App，用户注册时要勾选一份《隐私政策》，里面写着“为优化产品体验，我们可能收集您的设备信息、位置信息，并与合作伙伴共享”。条款藏在注册页最底下，字小、默认勾选，用户点“同意”才能用。今年三月，一位姓周的用户发现，自己从没主动授权过位置权限，手机后台却频繁出现该App读取定位的记录，而且他接到过两次推销电话，对方能准确说出他住哪个小区。周先生找到公司讨说法，公司回复“您注册时已经同意隐私政策了”。周先生不服，向监管部门投诉，双方僵持不下。这类纠纷在苏州并不少见——企业觉得“我写了、你点了”，用户觉得“我根本没看见、也没真同意”。法院碰到这种案子，通常怎么判？
法律规定
核心是《个人信息保护法》。第13条列了处理个人信息的合法性基础，其中“取得个人同意”是最常见的一种；第14条明确，同意应当由个人在充分知情的前提下自愿、明确作出，法律、行政法规规定处理敏感个人信息应取得单独同意或书面同意的，从其规定。第17条要求处理前以显著方式、清晰易懂的语言真实、准确、完整地告知处理者名称、处理目的、方式、种类、保存期限等。第6条强调目的明确、合理，与处理目的直接相关，采取对个人权益影响最小的方式，不得过度收集。
再看几个具体点：第28、29条规定，敏感个人信息（包括行踪轨迹、生物识别、金融账户等）要取得单独同意；第23条要求向第三方提供个人信息时，告知接收方名称、联系方式、处理目的方式种类，并取得单独同意；第24条针对自动化决策，要求透明度和结果公平，推送信息时提供不针对个人特征的选项或便捷拒绝方式。第30条要求处理敏感信息额外告知必要性和对个人权益的影响。第31条专门讲不满十四周岁未成年人，须取得父母或其他监护人同意，并制定专门处理规则。第44、45、46、47条给了个人知情决定、查阅复制、更正补充、删除的权利。第50条要求建立便捷的个人行使权利的申请受理和处理机制。第51条要求采取加密、去标识化等安全措施。第55条列出必须做个人信息保护影响评估的情形，包括处理敏感信息、自动化决策、委托处理、向他人提供、公开等。第66条是法律责任，违法处理个人信息可责令改正、警告、没收违法所得，拒不改正的可罚款，情节严重的罚款更高，直接负责人员也可能被罚。
《数据安全法》第27条要求建立全流程数据安全管理制度，第29条要求发生安全事件立即处置并告知用户和主管部门。《网络安全法》第41条要求收集使用个人信息遵循合法、正当、必要原则，公开收集使用规则，明示目的方式范围，并经被收集者同意。第42条要求不得泄露、篡改、毁损收集的个人信息，未经同意不得向他人提供。《生成式人工智能服务管理暂行办法》第9条要求提供者依法承担网络信息内容生产者责任，涉及个人信息的履行个人信息保护义务；第11条要求对使用者的输入信息和使用记录依法保护，不得非法留存能识别身份的输入信息，不得非法向他人提供。
法院实务怎么判
结合苏州法院公开裁判文书的常见审理思路，法院看“告知同意”一般抓几个关键点，个案会有差异。
第一，看“同意”是不是真的自愿、明确。默认勾选、捆绑授权、不点同意就不让用基础功能，这类做法法院通常不认。周先生这种“注册即同意、条款藏底部”的情形，法院往往会追问：企业有没有用显著方式提示？有没有给用户单独选择的机会？如果位置信息属于敏感个人信息，却没有单独同意，仅靠一份笼统的隐私政策，很难被认定为有效同意。
第二，看告知是否“充分知情”。法院不只看“写没写”，更看“写清楚没有”。处理目的、方式、信息种类、保存期限、共享对象，这些要素缺一块，告知就可能被认定不完整。实务中，企业把“可能共享给合作伙伴”一笔带过、不列明接收方类型和处理目的，法院倾向于认为用户无法形成真实判断。
第三，看收集是否“必要、最小”。周先生没主动授权定位，后台却频繁读取，法院会审查这个功能与App核心服务是否直接相关。如果定位并非实现基础功能所必需，超范围收集就缺乏合法性基础。第6条的“最小必要”是法院常引用的判断尺子。
第四，看企业有没有落实影响评估和安全措施。涉及敏感信息、自动化决策、对外提供，第55条要求做影响评估；第51条要求加密、去标识化。法院在认定企业是否尽到义务时，会看有没有评估记录、权限管理、访问日志这些“留痕”。拿不出，往往对企业不利。
第五，看用户权利有没有通道。第50条要求便捷的申请受理机制。用户要求查阅、删除，企业拖着不办、找不到入口，法院也会把这作为企业合规意识不足的表现。
需要说明，上述是普遍倾向，具体案子还要看证据、行业特点、信息敏感程度，不能一概而论。
边界与例外
同意不是唯一的合法性基础。第13条还列了履行合同所必需、履行法定职责义务、应对突发公共卫生事件、为公共利益实施新闻报道舆论监督、在合理范围内处理已公开信息等情形。比如用户下单收货，平台处理收货地址，属于履行合同必需，不必再单独拿一次同意。
也有“同意”被撤回的空间。第15条规定个人有权撤回同意，撤回不影响此前基于同意已进行的处理。企业不能设障碍阻止撤回。
另外，第13条里“为订立、履行个人作为一方当事人的合同所必需”与“按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需”是两条不同路径，企业别混用。第24条自动化决策的“拒绝选项”也是边界：个性化推荐可以，但要给不针对个人特征的选项或便捷拒绝方式。
普通人能怎么做
第一，注册前别急着点“同意”，先找隐私政策里“收集哪些信息、用来干什么、给谁”这几段，看不明白就截图留存。第二，手机设置里定期看权限调用记录，发现某个App在没使用的时候频繁读定位、读通讯录，先关权限再问客服。第三，向企业行使权利要留痕，通过App内渠道或邮件提出查阅、更正、删除请求，保存提交记录。第四，协商不成可以向监管部门投诉，也可以咨询律师评估是否具备诉讼条件。第五，涉及人脸、行踪、金融账户这类敏感信息，特别留意有没有“单独同意”的弹窗，没有就多问一句。
律师温馨提示
董坤律师在苏州执业，长期处理数据合规与个人信息保护相关事务，参与过企业隐私政策审查、个人信息影响评估、数据出境合规梳理，也代理过用户与企业之间因告知同意引发的纠纷。这类案子往往卡在“同意是否有效”“收集是否必要”这些细节上，证据留痕和条款设计的前期功夫很关键。如果你正面临类似困扰，建议尽早把注册流程、隐私政策文本、权限调用记录这些材料整理出来，找专业律师做一次针对性梳理，比事后争论“我到底同没同意”要从容得多。