场景
苏州工业园区一家做智能门禁的科技公司，去年上线了一款带人脸识别的小程序。产品经理小周为了赶进度，让法务从网上下载了一份《隐私政策》模板，把公司名字一换就挂上去了。用户首次打开小程序时，页面底部有一行灰色小字“继续使用即视为同意”，没有勾选框，也没有单独弹窗。
今年三月，一位业主老陈发现自己刷脸进小区时，物业和这家公司都在收集他的人脸信息，但他从没看到过任何单独说明。老陈找到公司要求删除，客服回复“你用了就是同意了”。老陈不服，向监管部门投诉。公司这才慌了，翻出那份模板一看，里面写的收集范围是“姓名、手机号”，压根没提人脸识别，也没写保存期限和第三方共享情况。小周很委屈：字都写了，怎么就不算同意？
这个场景在苏州并不少见。很多企业以为“写了就算”，但告知同意这件事，写没写是一回事，写得有没有效是另一回事。
法律规定
《个人信息保护法》第13条把“取得个人同意”列为处理个人信息的合法性基础之一，第14条进一步要求同意应当由个人在充分知情的前提下自愿、明确作出。注意这三个词：充分知情、自愿、明确。模板里那种“继续使用即视为同意”，很难说是“明确”。
告知义务集中在第17条：处理个人信息前，要以显著方式、清晰易懂的语言，真实、准确、完整地告知处理者名称、处理目的、处理方式、信息种类、保存期限，以及个人行使权利的方式和程序。如果处理目的、方式、种类发生变化，还要重新告知。
人脸信息属于敏感个人信息。第28条要求只有在具有特定目的和充分必要性，并采取严格保护措施的情形下才能处理；第29条明确，处理敏感个人信息要取得个人的单独同意。第30条还要求额外告知处理敏感个人信息的必要性和对个人权益的影响。换句话说，敏感信息不能混在“一揽子同意”里，得单独拎出来说清楚。
第23条讲向第三方提供信息要告知并取得单独同意，第24条讲自动化决策要提供不针对个人特征的选项或便捷拒绝方式，第31条对不满十四周岁未成年人的信息要求取得监护人同意并制定专门处理规则。第21条则要求委托处理时通过合同约定，并进行监督。
《网络安全法》第41条同样强调收集使用个人信息要明示目的、方式和范围，并经被收集者同意。《数据安全法》第27条要求建立健全全流程数据安全管理制度。这些条文放在一起看，告知同意不是一张纸，而是一套动作。
法院实务怎么判
从苏州法院公开裁判文书的常见审理思路看，法官审查告知同意是否有效，通常不看你有没有写，而是看几个更实在的点。
第一，告知是否“显著”。藏在页面底部、灰色小字、需要点开折叠链接才能看到的，法院通常会结合展示位置、字号、颜色、是否单独弹窗来判断是否达到显著程度。第二，同意是否“明确”。默认勾选、继续使用即视为同意、不点同意就不让用基础功能，这类设计在个案中容易被认定为意思表示不清晰。第三，敏感信息有没有“单独同意”。人脸、指纹、医疗健康这类信息，如果和普通信息打包在一个同意框里，法院往往会追问是否真正做到了单独、具体。第四，告知内容是否“真实完整”。模板里写收集手机号，实际却收集了人脸，这种不一致在纠纷中对企业很不利。
需要说明的是，个案事实差异很大，上述只是普遍倾向，不代表某一个具体案件的结果。苏州不同法院、不同法官在具体尺度上也会有差别，企业不能拿“别人这么写没事”当依据。
边界与例外
同意不是唯一的合法性基础。第13条还列了履行合同所必需、履行法定职责或义务、应对突发公共卫生事件、在合理范围内处理已公开信息等情形。比如小区物业为履行安全管理职责处理必要信息，可能走的是另一条路径，但这不意味着可以随意扩大范围。
另外，第44至47条给了个人知情、决定、查阅、复制、更正、删除等权利，第50条要求建立便捷的个人行使权利申请受理和处理机制。也就是说，告知同意写得好不好，还要看后续能不能真正响应删除、撤回同意这些请求。第55条要求处理敏感个人信息、向第三方提供、自动化决策等情形做个人信息保护影响评估，并留存记录。第66条则规定了违法处理个人信息的法律责任，包括责令改正、警告、没收违法所得、罚款等，情节严重的处罚更重。
生成式人工智能服务如果涉及，还要看《生成式人工智能服务管理暂行办法》第7、9、11、14、15条，涉及语料来源合法、标注、用户信息保护、投诉举报机制等要求。
普通人能怎么做
作为用户，遇到“继续使用即视为同意”的页面，可以先找找有没有单独的敏感信息授权说明，看看收集清单和实际功能是否对得上。不想给的信息，留意有没有拒绝或撤回的入口。发现实际收集范围超出告知内容，可以依据第45、46、47条要求查阅、更正或删除，也可以通过第50条的渠道提出申请。保留截图和沟通记录，必要时向监管部门反映。
作为企业，别把模板当护身符。把告知页面做得让人看得见、看得懂，敏感信息单独弹窗单独勾选，收集清单和实际代码跑出来的字段对一遍，保存期限和第三方共享写清楚。委托处理签好合同，该做影响评估的留好记录。这些动作做扎实，比事后解释有用得多。
律师温馨提示
董坤律师在苏州执业期间，处理过不少涉及个人信息告知同意、数据合规体系搭建和平台规则审查的事务，也参与过企业应对监管问询、修订隐私政策与授权文本的工作。这类问题的难点往往不在法条本身，而在于业务实际跑起来之后，告知文本、产品设计和后台数据能不能对得上。如果你正在为授权文书怎么写、敏感信息怎么单独同意、用户权利请求怎么响应发愁，可以带着产品流程和现有文本找董律师聊聊，把问题拆开看，比套模板稳妥。