一、问题的提出

2021年8月20日，《中华人民共和国个人信息保护法》（以下简称：《个人信息保护法》）审议通过。有研究者认为《个人信息保护法》不是私法特别法而是公法、私法融合特征明显的新型法律。这一整体认识对于深化研究助益甚大，有利于打破学科壁垒，扩展研究的视野和思维。同时，作为公法、私法交融的法律，《个人信息保护法》并不排斥与《中华人民共和国民法典》（以下简称：《民法典》）相衔接的一面。实际上，按照该法的立法说明，衔接《民法典》的相关规定，细化、充实个人信息保护的制度规则，正是制定《个人信息保护法》时贯彻的要点。基于这种“衔接关系”，至少可以认为《个人信息保护法》和《民法典》的特定规范之间会产生体系性的关联，其中最为核心和典型的就是有关个人信息处理同意的规则。这种体系联系意味着，在民事案件涉及个人信息处理同意的问题时，法官或者律师应同时关注《民法典》和《个人信息保护法》中有关同意的规定，而不能孤立、割裂地适用《民法典》或者《个人信息保护法》。

在这个意义上可以认为，民事法领域内，《个人信息保护法》和《民法典》共同构建了个人信息处理同意的基础规范体系，笔者于本文中也正是在这个范畴内进行探讨。深入分析可以发现，在个人信息处理同意的基础规范体系下，同意规则并非是单一的，而是多元的，由此带来了许多需要加以系统性梳理和解释认定的问题。

（一）个人信息处理的多元同意规则及其效力协调问题

《民法典》第1035条第1款第1项将取得同意作为了处理个人信息的“条件”之一，《个人信息保护法》第13条也规定取得个人同意“方可处理个人信息”。《个人信息保护法》第14条对同意的质量做出了要求，明确规定“基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出”（根据该规定，笔者于本文中将前述条文下的同意简称为“明确同意”），似乎是对个人信息处理的同意做出了统一的严格要求。然而，如果体系地分析可以发现，《民法典》与《个人信息保护法》所规定的“同意”并非都必须满足“明确、自愿”的要求。不明确的，经补充解释、推定而得出的同意，以及可推知的同意，也可以作为个人信息处理的合法基础。

《民法典》在第1035条第1款第1项将同意规定为个人信息处理的“条件”后，又紧接着在第1036条规定了个人信息处理行为“不承担民事责任”的几种情况，其中第1项所谓“同意范围内合理实施行为”的构成，就与同意的补充解释有关：通过对明确同意“合理范围”的补充解释，使得那些未明确说明，但却在“合理范围”内的处理行为也具有同意的合法基础。与此相似，《个人信息保护法》第13条第2项“为订立、履行个人作为一方当事人的合同所必需”也涉及补充解释。只是其解释对象不是同意的合理范围，而是“履行合同或者订立合同所必需”的范围：若处理行为对于订立、履行合同来说是必需的，那么即使没有明确同意，也可以被解释为订立合同时被隐含同意，进而获得合法基础。

《民法典》第1036条第2项“已经自行公开的信息”，则似乎采取了通过行为来推定同意的逻辑结构：自行公开行为被法律推定为有同意他人处理的意思。正是基于推定同意的逻辑，该规定才补充认为“自然人明确拒绝或者处理行为对个人权益有重大影响”，即出现明显不同意和很可能不同意的情形时，可以推翻前述规定的适用。《个人信息保护法》第13条第6项则重申了《民法典》第1036条第2项的前述规定。

《民法典》第1036条第3项“为该自然人合法权益，合理实施的其他行为”，则似乎契合了《民法典》第979条无因管理的精神，行为的“合理性”也就得以不违反本人明示或者可推知的意思为前提。其中“可推知的意思”（或称之为“可推知的同意”）作为此时合法性的基础，通常认为需要依据本人曾经的意思表示、本人其他的意思表示、日常的处理办法、平常人的经验而推断性地做出。

前述通过补充解释、推定得出的同意以及可推知的同意，显然与《民法典》第1035条第1项及《个人信息保护法》第14条所规定的明确同意不同，因为他们均非由自然人“明确”做出，属于“暗含同意”的情形。“暗含”的特征，也使得这些同意并不符合“充分知情”和“自愿”的要求：并不是在明确知晓处理行为的情况下对其事先做出了清晰无误的同意。可能正是因为如此，这些“暗含同意”与“明确同意”的法律效果才被《民法典》差异化处理，前者被《民法典》第1036条规定为“不承担民事责任”，后者则被《民法典》第1035条规定为“处理个人信息的条件”。这一安排似乎意味着这些“暗含同意”在性质上与“明确同意”并不相同。不过，这种看法也值得怀疑，因为《个人信息保护法》并未延续《民法典》区别规定的体系，而是将一些“暗含同意”的情形与“明确同意”规定在一个条文中，并将法律效果统一为“方可处理个人信息”。

如果“明确同意”与前述“暗含同意”的法律效果不同，那么具体的差异到底是什么，具体差异的内在逻辑又是什么？如果其法律效果相同，则需要回答不符合“充分知情”和“自愿”要求的“暗含同意”，为何又可以突破这些要求，与“明确同意”产生相同的效果？同时，若效果相同，“暗含同意”的情形又是否与“明确同意”在性质上相当，暗含的同意是否实际上也应当允许适用任意撤回规则？事实上，如何理解这些多元同意规则，特别是如何与民法制度相互衔接或者区分，进而对其认定提供指引，也是一个未被解决而又极为重要的问题。

（二）多元同意规则的认定问题

首先，《个人信息保护法》第14条下“知情、自愿、明确”的明确同意是否属于意思表示，并不清楚。《个人信息保护法》一审稿第14条将同意界定为“意思表示”，但从《个人信息保护法》二审稿开始的历次草案均不再使用“意思表示”的界定用语。此外，在个人信息的处理上，《民法典》与《个人信息保护法》均未使用肖像、姓名等规定中的“许可”“合同”概念，而特别使用了“同意”概念。

从实质要求来看，《个人信息保护法》第14条要求明确同意“应当由个人在充分知情的前提下自愿、明确作出”，该法第16条、第17条也对其实施规定了较严格的条件：一般且广泛的主动告知义务、禁止“经济胁迫”。《个人信息保护法》第31条又规定十四周岁以下（而非十八周岁以下）的儿童需要由其父母做出同意。这似乎都表明，明确同意不属于意思表示，但《个人信息保护法》第5条下不得“误导、欺诈、胁迫”的原则性规定，似乎又与《民法典》关于意思表示的规定相契合。无独有偶，最高人民法院也认为处理个人信息的明确同意属于法律行为，从而使得明确同意的定位又变得模糊。

“同意范围内合理实施的行为”和“为订立、履行个人作为一方当事人的合同所必需”都涉及对同意的补充解释，是在当事人并无明确约定的情况下，假设如果当事人知道该漏洞，会如何合理地进行约定，从而对于不明的事项予以补充。经补充解释而构建的内容也就被推测的同意所涵盖。不过，前者的解释对象是明确同意，后者的解释对象则是“合同”。因为“明确同意”的定位并不清楚，所以对第一种情形，是否可以根据《民法典》第142条的意思表示解释规则来解释“合理范围”不无疑问。同时，补充解释下推测的同意又是否能适用错误撤销的规则？

其次，“合理处理该自然人自行公开的信息”若是以推定同意为潜在逻辑架构，那么“合理处理”的内涵也就要符合推定同意的要求。该符合之认定，显然涉及推定同意的构成和具体解释问题。就此而言，有的观点认为自行公开个人信息属于抛弃个人信息权益的默示意思表示，还有观点认为自行公开属于默示的受害人同意。到底如何界定，显然有辨析的必要。

至于“为该自然人合法权益，合理实施的其他行为”，可推知的同意显然不属于意思表示。然而，此处“合理”的认定和理解实际既可以参照无因管理的构成依照可推知的意思来判定，也可能是参照紧急情况下自愿救助的构成，特别是《个人信息保护法》第13条第4项就将其改造为“紧急情况下为保护自然人的生命健康和财产安全所必需”。到底参照何种规定来理解此处的“合理”，并且如何与个人信息保护的特别要求相结合融通，也有论证协调的必要。

最后，《个人信息保护法》第29条还专门规定了针对敏感个人信息的“单独同意”，此种同意是否属于意思表示，其与明确同意如何区分，也不清楚，从而导致有效性的认定规则难以树立。正是法律文本对这些多元同意规则的定位不清，使得上述问题无法得到解决，而这些问题又导致司法实践中对同意效力认定标准的理解、解释问题变得尤为突出，近期北京互联网法院审理的微信读书案即为典型。

（三）司法实践中同意认定标准的解释理解问题

微信读书案被认为体现了《民法典》和《个人信息保护法》的核心精神，但就其所适用的同意认定标准，实际上仍然存在诸多解释理解上的混沌。该案的主要争议点在于，虽然用户协议允许腾讯科技（深圳）有限公司（以下简称：腾讯）收集、使用个人用户的读书信息和其微信好友信息，但其事后利用微信好友信息，在微信读书程序中自动关注微信好友，并默认向所有微信好友推送个人读书信息的行为，是否获得了有效的同意？

针对这一问题，北京互联网法院提出了意在衡量“知情同意质量”的“透明度”概念：“一般理性用户在具体场景下，对信息处理主体处理特定信息的目的、方式和范围知晓的清晰程度，以及作出意愿表示的自主、具体、明确程度”，并将“合理的”透明度作为获得有效同意的前提。然而，合理透明度标准这样一个动态的模糊标准，显然既与法律行为的有效性认定规则不同，也与《民法典》和《个人信息保护法》的多元同意规则有明显差别，甚至使人不清楚此种合理透明度标准是作为多元同意规则下某一同意规则的认定标准，还是说它就是一个统合各多元同意规则的内在标准。

综上，当“告知同意”规则在个人信息保护中高歌猛进时，其本身却始终萦绕着一层由多元同意规则带来的教义学迷雾。要扫清这种迷雾，首先需要对“同意”做一个教义学体系上的理论梳理，然后从立法论和解释论的立场，比照同意的体系，从内在价值的妥当协调出发，对个人信息处理的多元同意做一个体系上的定位，最后利用这一定位，为个人信息处理中多元同意的认定提供指引。

二、同意阻却不法：同意的阶层体系

私法中的“同意”千差万别，但仍然能够统一在“同意阻却不法”（Volenti non fit iniuria）的古老法谚之中：均可以在特定行为不法评价和责任认定上产生作用。根据“同意阻却不法”的效力强弱程度以及同意形态的差异，民法学者提出了体系化的“同意”理论，即同意的阶层理论。该理论认为，从阻却不法的作用机制来看，首先存在两个不同阶层上的同意类别。第一个阶层上的同意是作为责任的消极构成要件来发挥作用，它们所具有的共同特点在于，基于自决的同意意思可以绝对地排除行为的不法评价，而不用再协调和考虑其他因素。存在该类同意时常常不会认为存在“侵害行为”。第二个阶层上主观的同意意思并不是阻却不法的消极构成要件，而是需与客观情势相互权衡协调来阻却不法或者限制责任。此时，主观的同意意思也并非意思表示，而是某种认定上的事实因素，用于构建无因管理下可推知的同意、自甘冒险的同意、容忍表见（或权利失效）下的合理信赖等。

（一）第一阶层：作为消极构成要件的同意

处在第一阶层的同意，同意人的意思是行为不法性的决定性因素，一旦存在同意，一般即可确定地阻却行为不法，导致认为不存在法律上的“侵害行为”。作为消极构成要件的同意，法院在认定过程中必须主动审查。

这一阶层下阻却不法效力最强的“同意”是“转让处分”（traslative Rechtsübertragung），即将权利转让给他人，例如将物的所有权完全转让给他人。此时，处分行为不仅概括性地免除了受让人对原物权人权利的尊重义务，受让人占有、使用、收益等行为不再被评价为侵害行为，而且为受让人的积极支配行为提供了权利基础。

效力次之的是“设定负担的处分”（konstitutive Rechtsübertragung），即在自己的权利上为他人设定权利。典型的就是设定用益物权。这个时候处分行为不仅免除了定限物权人特定的不作为义务，排除了相应作为行为的不法，而且通过设定定限物权，使权利人在特定范围内的支配行为具有了权利基础。放弃权利（Verzicht）作为处分行为，虽只具有消灭权利的效果，并不能创设权利，但伴随着权利消灭而免除的义务，例如放弃所有权导致对所有权尊重义务的消失，也阻却了相应行为的不法。

效力再次之的则是“债务契约型许可”（schuldvertragliche Gestattung），即对自己向特定人行使权利加以限制，典型的就是租赁契约。经许可而实施的特定行为，不存在不法。《民法典》第710条的规定即体现了该思想。然而，“债务契约型许可”阻却不法的效力无法向第三人主张，若出租人对租赁物的权利有瑕疵，此时承租人不得以租赁契约来对抗真正权利人。契约型的许可存在双层结构，契约是基础关系，产生许可的义务，履行该项义务的许可行为则是作为准处分行为的“不可撤回的单方同意”（unwiderrufliche Einwilligung），其授予了相对人一种实施特定行为，而不被评价为侵害行为的权限，是阻却不法的真正原因。

第一阶层同意类型中，效力最弱的是“可撤回的单方同意”（widerrufliche Einwilligung），如为方便他人通过而同意其踏入自己的领地。有时也可将该类同意理解为不法性阻却事由而非消极构成要件，例如女生让男友拥抱接吻、举臂让护士抽血。此时因为该同意并未基于契约义务而实施，所以原则上可以任意撤回。一般认为这类同意与不可撤回的单方同意性质一致，是准法律行为，可明示或者默示做出。然而，若默示做出，则不能仅基于对受害风险有预期却仍然实施行为来认定。同时，该同意也不得违背强制性规定和公序良俗。

第一阶层同意主要是法律行为或者准法律行为，且基本上都要求同意者有作如此处置的权力（power）。转让处分与设定负担的处分都要求同意者有相应的处分权。“债务契约型许可”及可撤回的单方同意，也要求同意的事项并不违背强制性规定和公序良俗。在人格权的领域，相关的处置权力往往是欠缺的，例如生命权不得处分、器官不得出卖、不能出租身体为人代孕、十四岁以下幼女无法同意性交等。在这些情况下，个人也就无法做出第一阶层下的同意，但其同意仍可能被当作第二阶层的同意来发挥作用。

（二）第二阶层：作为不法性阻却事由、责任限制考量因素的同意

与第一阶层同意相比，第二阶层同意阻却不法的效力更弱，同意者的意思并不是不法性认定的决定性因素，也不构成意思表示，其仅是作为一种事实因素与客观情势相互协调权衡来阻却不法或者限制责任。

首先，在无因管理制度上，不违反他人“明示或者可推知的意思”即可以阻却不法，构成适法的无因管理。该可推知的意思，需要结合当事人曾经的表示、其他的表示等来认定，但也可以直接根据社会常人的经验、常情常理予以判断。该可推知的同意也可以违反被管理人明示的意思，从而使救治自杀者、将因迷信而不愿被医治者送医等行为构成适法的无因管理。可见，该可推知的同意并不等同于本人明确的意思表示，在可推知的构成及解释上，除了本人曾经的意思、主观的意愿外，还需要考虑客观上情况的紧急程度、通常的做法、常人的观念等。因此，在无因管理的可推知同意领域，主观上同意的意思仅是阻却不法事由构建的一个考察因素，该因素还必须与客观因素协调权衡，进而认定是否存在可推知的同意，从而阻却不法。

其次，按照《民法典》第1176条的规定，原则上自甘冒险的同意可以阻却不法。自甘冒险同意的构成也并不要求有明确的意思表示，与可撤回的同意不同，自甘冒险的同意甚至可以仅基于对风险有所认识而仍然实施相关行为来认定。即使构成自甘冒险的同意，也并非一定能阻却不法，对于因故意或重大过失而实施的行为不能基于自甘冒险而免责。另外，《民法典》第1176条本身也把免责的自甘冒险限制在了“有一定风险的文体活动”范围内。在此范围之外，虽然不可免责，一般也肯定自甘冒险的同意仍然可以根据《民法典》第157条、第1173条关于“与有过失”的规定作为减轻对方责任的考量因素来看待和处理。“与有过失”制度适用上的权衡特征，以及自甘冒险的同意构成上过分宽松的推定色彩，最终都导致自甘冒险的同意无论是作为不法性阻却事由还是作为责任限制因素，主观意思都不是决定性的，自甘冒险最终的法律效果乃是主观意思和其他客观因素相权衡的结果。

再次，理论上还认为若受保护者的积极行为或者容忍行为在客观上可以推断出其有放弃或者不行使救济权利的意思，并使侵害人产生合理信赖，那么就可以基于表见代理或者权利失效的原理，对侵害人的责任加以限制，使得受保护者无法主张救济权利，构成权利行使的有效抗辩，但就未来侵害行为的责任请求一般不受影响。基于积极行为或者容忍而成立合理信赖，并不完全以主观的同意意思为基础，即使完全没有同意的意思表示，基于以往的意思、客观的情势也可以构成合理信赖。该项考察无论是基于表见代理规定，还是基于权利失效原理，均需要在个案中衡量诸多主客观因素。同意的意思也就并非发动前述效力的绝对事由，而仅仅作为一个衡量因素发挥作用。

最后，需要与第二阶层同意相区分的是直接指向责任安排的意思表示。这类意思表示与第二阶层的一些同意相同，其并不能阻却行为之不法性，仅具有限制或者免除责任的效力，典型的如免责条款、赔偿型违约金的约定。这类约定做成于责任产生后，是对民事责任请求权的放弃或者承认；产生在责任形成之前，则构成对未来民事责任请求权的预先放弃或者预先承认。这类意思表示的做出和有效，首先得满足法律行为的要求。除此之外，法律往往还对事前的责任安排约定有特别的限制。例如，《民法典》第506条大大限制了免责条款的效力范围；《民法典》第496条、第497条则就格式条款下限制责任条款的具体内容，设置了公平合理的要求；依《民法典》第585条第2款的规定，违约金约定也需要根据个案实际情况由法院予以调整。因此，指向责任安排的意思表示，其效力也并非完全由主观意思决定，而需与个案中的客观因素权衡裁定。

综上，所谓同意的阶层体系，本质上是根据主观意思在最终法律效果产生上的影响，以及相应法律效果在不法性阻却上强度的差异来加以排列分类的结果。第一阶层同意的效力可以绝对地阻却不法，而这一阶层的同意基本属于意思表示，一个有效的意思表示就足以触发阻却不法的效力。第二阶层同意不是意思表示，而是某种主观方面的事实因素，其需要与客观情势相互协作共同发挥作用，以此来阻却不法或者限制责任。当第二阶层同意仅有限制责任的作用时，对不法的侵害行为就仍可以主张正当防卫、紧急避险或者基于公共监管予以处罚。

支撑同意阶层体系的内在价值体系，是由多种基础原理相互协调作用构成的动态系统。这就决定了同意的阶层体系，并不是由几种同意类型构成的静态排列，而实际上是一个“动态光谱”。前述阶层下所表述的各种同意，仅仅是其下比较典型的几种类型。

（三）同意阶层体系的内在价值体系：动态系统的视角

同意阻却不法的阶层分布和形态差异，根本上来说是考虑到不同情况下，内在价值体系中基本价值原理满足程度的差异和相互作用，在同意阻却特定行为不法性或者责任认定上，形成的几种典型的效力类型。其中的基础原理主要有意思自治原理、保护原理、信赖原理以及行为人过责原理。

1.基础原理分析

意思自治原理要求法律关系的形成、变动、消灭等应当由自己的意志所决定，特定行为是否能够被评价为不法，是否应当产生责任也应当全赖个人意思。因此，该原理会推动同意向阻却不法的效力方向发展。然而，与此同时，意思自治原理也要求相关的意思应当是高质量的，一旦意思不明确，存在质量瑕疵，就不应当根据这个不明确的意思来确定法律关系和不法性的有无，从而又向否定“同意”效力的方向发展。《民法典》第143条第2项有关法律行为“意思表示真实”的有效要件规定，因错误、欺诈、胁迫而撤销的制度，都体现了意思自治原理。

意思自治并非绝对，法律实际仍然保留了家父主义的，对主体权益、公共秩序、伦理加以特别保护的理念。对于一些特别重大的权益而言，保护原理会限制意思自治的空间，认为将这些事项完全交由意思自治会产生风险或者有悖伦理，从而向否定同意效力的方向发展。同时，权益受侵害时，即便完全欠缺同意意思，保护原理也可能要求实施特定的保护行为，使得法律评价向肯定保护行为合法性、不承担责任的方向发展。权益越重大、公共伦理色彩越重，这种否定同意效力，肯定保护行为合法性的强度就越大。《民法典》第143条第3项有关法律行为“不得违反法律、行政法规的强制性规定，不违背公序良俗”，以及《民法典》第111条“自然人的个人信息受法律保护”，均体现了该保护思想。

信赖原理要求对合理信赖加以保护，以维护诚信原则或者交易安全。在同意有效性的认定上，如果相对方对“同意者”的表述、行为产生合理信赖，会推动同意向有效的方向发展，《民法典》第172条关于表见代理之规定、第311条关于善意取得之规定、第504条关于表见代表之规定、补充解释下通过交易习惯来填补漏洞的方法，都体现了此种信赖保护的思想。在行为责任的认定上，为了保护当事人的信赖，信赖原理也会使得对特定行为责任的认定向符合信赖方期待的方向发展，《民法典》第171条下的无权代理人之责任，以及《民法典》第523条关于本人为履行辅助人违约行为承担责任的规定，都体现了基于信赖保护原理而扩展责任的思想。

行为人过责原理关注同意者和相对人的“过责”判断，即某些情况的发生，从同意者和相对人自己的情况来看，是否有可归责的事由，例如是否有过错、是否在其风险管控的范围内发生、风险的产生是否导致其获得了利益等。在同意有效性的认定上，如果某些意思瑕疵、信赖外观的产生可以归责于一方，那么同意的效力认定就应当朝对他们来说不利的方向发展。例如，比较法上常常对因重大过失而产生的错误设置撤销上的限制。在行为责任的认定上，一方的“过责”越明显或者越严重，相应行为是否承担责任的认定就越向对其不利的方向发展。《民法典》第157条关于法律行为无效、被撤销或者确定不发生效力后，过错方的赔偿责任，各方均有过错各自承担相应责任的规定，以及《民法典》第1165条关于侵权责任过错归责原则的规定，都体现了行为人过责原理的思想。在信赖保护原理适用的条款中，常常也需要考虑信赖外观产生的过责问题，例如表见代理的构成上要求本人对代理权外观的产生具有可归责性。此时信赖原理与行为人过责原理的应用常被合在一起称为“权利表见责任”。

同意的阶层理论，正是意思自治原理、保护原理、信赖原理、行为人过责原理在行为不法性及责任认定问题上的动态协调体现。

2.基础原理与同意的效力阶层体系

对于第一阶层的同意来说，经过与保护原理相协调，法律确定了一个意思自治原理主导的领域，在这个领域内意思自治可以绝对地阻却特定行为的不法评价，导致相关行为根本不会被评价为“侵害行为”。在财产权领域，保护原理一般均承认权利人可以自决地“转让处分”，此时就可以实施“转让处分”的同意。然而，在人格权领域，保护原理往往不承认权利人可以“转让处分”，例如《民法典》第1007条关于禁止买卖人身的规定。不过法律有可能允许就特定事项实施许可。这个时候就可以实施“设定负担的处分”同意或者“债务契约型许可”的同意，例如《民法典》第1013条、第1023条关于“姓名、肖像”的许可规定。有时，保护原理可能要求不能对权益予以交易，而只能基于一定公益目的，实施对意思质量有严格要求，且常常可以反悔的自决，例如《民法典》第1008条、第1009条关于参加临床试验、医学科研活动的规定，这时就只能实施“可以单方撤回的同意”。

在这些保护原理承认的领域内，意思自治原理受到尊重，有效的同意应当可以绝对地排除特定行为的不法评价，作为消极构成要件发挥作用，对法院的自由裁量加以限制。不过，意思自治原理也对同意质量有所要求，这些要求有时无法得到充分满足，可能存在意思自治的瑕疵，这时是否就一定不产生同意的效力，阻却不法，则需要协调保护原理与行为人过责原理。法律行为撤销等具体的效力规则往往就是该种协调的结果。在第二阶层同意的领域，由于保护原理的限制或者无法做成满足意思自治要求的意思表示，此时若要排除特定行为的不法，就需要其他原理的补充，以阻却不法评价，或者排除、限制责任的承担。

自甘冒险阻却不法的效力，突出体现了行为人过责原理在责任认定上的影响。受害人对受害风险有明确预期却仍然参与相关活动，该项事实基于意思自治的质量要求，还不足以认定构成默示的单方同意，但基于此已经足以认为被害人对其受害之发生存在过错。该项过错根据《民法典》第1173条的规定可以减轻侵权人的责任。“与有过失”的权衡显然也得考虑到行为人过责原理与信赖保护的要求。因此《民法典》第1176条特别地基于“鼓励文体活动”的目的，明确了此范围内《民法典》第1173条的特别适用效果：自甘冒险可以直接消除过失侵害的责任，但无法消除故意侵害的责任。同时，正是因为将自甘冒险的基础放置在行为人过责原理上，相关“过责”的认定就不以行为能力为必要，只要具有责任能力即已足够。

在第二阶层的同意领域内，保护原理的影响更大，即使欠缺同意的意思表示，也可以基于保护的需要而推动行为向不具有不法性的方向发展。无因管理阻却不法即为典型。按照《民法典》第979条的规定，无因管理应当是“为避免他人利益受损失”而实施，即该行为应当契合保护原理的需求。也正是从保护原理出发，“适法无因管理”下“可推知意思”的认定，并不需要符合意思表示的规则，甚至也不需要完全符合当事人的主观意思，而需结合曾经的意思表示、价值观念、客观情势的危急、保护的急切程度等来综合权衡判断。正当防卫、紧急避险作为不法性阻却事由，也体现了保护原理推动法律评价向否定不法性方向发展的上述特征。

容忍和权利失效制度则更多体现了信赖原理在行为不法性认定上的影响。受害人的行为和容忍是否足以导致认定存在责任请求权行使的抗辩，并不是从受害人意思表示的角度，而是从侵害人的角度，判断相关行为是否使得侵害人能产生在法律上值得保护的合理信赖，受害人对该种信赖的产生是否有可归责性。所以，受害人作为或者不作为的行为，并不要求具有放弃救济权利的真实意思表示，甚至也不要求其对该行为的潜在风险有所认识却仍然实施，只要行为或者容忍是在其控制的领域内或者知晓实情后作出，成立所谓“与因”关系，并使得他人合理相信其不会主张权利即已足够。然而，合理信赖的认定，显然需要协调保护原理、意思自治原理。在人身损害以及当事人有其他明确意思表示的场合，都可能导致“合理信赖”的认定更为严格。

综上，可以认为同意的阶层构造乃是遵循了这样的一个定式：保护原理越承认意思自治、同意的做出越符合意思自治的要求、相对人对同意的信赖越值得保护、保护原理越要求实施特定行为、特定行为人的“过责”相比较而言越轻，基于相关同意就越可能阻却特定行为的不法性评价。同时，某一原理在推动阻却不法的方向上满足程度越低，想要阻却相关行为的不法性，就越需要其他原理在推动阻却不法的方向上满足程度提高。

根据上述定式，前述的同意阶层划分和具体的同意类型界定，不过是体现了基础原理动态协调之下，几种典型的同意形态及其评价结果。这绝不意味着阻却不法的同意形态和效力只有这几种类型，还不如说，这几个类型为同意体系的定位和效力认定提供了参照的基点。在对同意的阶层体系深入分析后，接下来就可以以之为基础，来对个人信息处理的多元同意规则加以分析，就其体系定位和具体理解进行探讨。

三、个人信息处理下多元同意规则的定位与理解

（一）明确同意

《民法典》第1035条第1款第1项、《个人信息保护法》第14条下的明确同意，显然并不属于第一阶层中的“转让处分”或者“设定负担的处分”。首先，《民法典》第992条“人格权不得放弃、转让或者继承”的规定，使得具有人格权特征的个人信息权益，无法被抽象处分。其次，《民法典》并未规定抽象的个人信息权，而仅仅强调“自然人的个人信息受法律保护”。目前，一般也认为这体现了自然人对其个人信息所具有的并非绝对权，而更接近于一种处置权力受限的利益。再次，明确同意是否可以构成第一阶层中的“债务契约型许可”则不无疑问。虽然《民法典》在个人信息保护的规定上，有意排除了“许可”“合同”概念的适用，且《个人信息保护法》第15条还规定明确同意可以任意撤回，但这两种现象并不能完全否定明确同意可以成为“债务契约型的许可”。

首先，《民法典》在个人信息保护上不适用“许可”“合同”等概念，有可能只是否定了一概通过“债务契约型许可”来做出明确同意的观点。其仅是基于保护原理的需要，不允许通过债务契约的安排来对部分个人信息予以交易和商品化、订立许可合同。例如，对于敏感个人信息以及私密信息这种人格伦理色彩浓厚的个人信息类别，不能订立交易性的许可合同。然而，对于一般性的仅具有财产性质的个人信息来说，似乎仍然不否定通过“债务契约型许可”来做出明确同意。其次，任意撤回权并不能成为否定“债务契约型许可”的理由，事实上债务契约本身就可能约定（或者法律原本就已规定）与任意撤回权相当的解除权。再次，如前所述，“债务契约型许可”存在双层结构，其阻却不法的真正原因不是许可合同，而是建立在该合同之上的一个单方同意行为，该同意行为与可撤回的单方同意行为在性质上是一致的。《民法典》和《个人信息保护法》中的明确同意，仅仅指向了该种阻却不法的单方同意行为，至于该行为是否是基于合同关系而实施，实际上并未言明。

综上，可以认为，明确同意既可能是基于许可合同而实施的单方同意，也可能是单纯的可以任意撤回的单方同意，其均是第一阶层中作为消极构成要件的同意类型。对于敏感个人信息、私密信息不能实施“债务契约型的许可”，但对于人格伦理特征比较弱的一般个人信息，仍然可以基于许可合同而实施明确同意。作为阻却不法真正原因的“明确同意”，也就是单方同意，具有准处分行为的特征，与授予代理权的行为类似，均是基于单方同意而使另一方获得了实施特定行为的权限，从而导致这些行为不被评价为不法行为。可见，明确同意实际上符合了法律行为的核心特征：基于法效意思而产生法律效果。正因为如此，理论上认为此种单方同意本质上就是法律行为，而非准法律行为。不过，这种法律行为显然与《民法典》中的法律行为规则所指向的“典型法律行为”有很大的差异，笔者于本文开端处列出的明确同意与意思表示实质性要求上的差别即是体现。

这些特别的要求都显示出明确同意并非属于直接适用“典型法律行为规则”的意思表示，但由于明确同意与这些规则所指向的“典型法律行为”都属于法律行为，具有核心相似性，在一些问题上仍有适用典型法律行为规则的空间。例如，根据《个人信息保护法》第5条的合法、正当原则，此种可撤回的单方同意也不能违反法律的强制性规定和公序良俗。在同意处理淫秽个人信息时，就应当类推适用《民法典》第153条的规定认定同意无效。同时，因为与意思表示相比，明确同意对同意的质量提出了更高的要求，有必要对《民法典》第143条以下的意思表示瑕疵规则加以修正，降低重大误解、欺诈、胁迫、显失公平的构成标准后适用，例如，在重大误解撤销的构成上，即使个人对错误认识的产生有重大过失，也承认其撤销权。

《个人信息保护法》第14条后句的“单独同意”基于对敏感信息更高的保护要求，就同意的质量，提出了比明确同意更高的要求，似乎有意排除了在意思不明情况下通过推定或者补充解释来认定单独同意。然而，对于明确同意来说，在明确同意并不清晰时，是否可以通过对其予以推定或者补充解释来构建个人信息处理行为的合法基础呢？可否类推适用《民法典》第142条的解释规则来补充扩展明确同意的范围，从而构建个人信息处理行为的同意基础？

（二）同意的范围内合理实施的行为

《民法典》第142条下有相对人时的解释规则、第140条第2款下沉默视为意思表示的规则、第484条第2款下意思实现的规则，可以说显示了信赖原理、行为人过责原理等在意思表示解释上，对正当化相关解释风险所起到的积极作用。然而，问题是，《民法典》第1035条第1款第1项及《个人信息保护法》第14条下的明确同意，并不被当作意思表示来看待，其中的原因就在于法律对该种同意的质量要求显然高于意思表示。这种情况下似乎就更不能接受解释脱离原意的风险，也就不能径直类推适用意思表示的系列解释规则，但这种情况更不能被接受——如果联系《个人信息保护法》第14条下“单独同意”来看，显然还没有达到不能进行任何解释的地步。《民法典》第1036条第1项下的同意规则，实际上就可以理解为明确同意的特别解释规范。

从《民法典》第1036条第1项的具体内容来看，“同意的范围内合理实施的行为”并未就如何认定“合理范围”提供任何指引，但这样一个特别规定，至少可以起到排除类推适用意思表示解释规则的作用。也就是说，在明确同意的效力范围不清晰时，应当依据该条规定下“合理范围”的概念来加以补充解释，而不能按照《民法典》第142条的规定，径直通过“体系解释”“目的解释”“习惯或者诚信原则解释”来填补漏洞。根本性的原因就在于，《民法典》第142条下的补充解释方法有的过分宽泛（目的解释），有的则过分注重客观主义的信赖保护（习惯），对个人真实意思的背离风险较大，不符合明确同意相对于意思表示而言更为严格的质量要求立场。

“合理范围”的补充解释必须符合《民法典》第1035条下的必要原则。对于该原则，《个人信息保护法》第6条进一步做出了目的合理、处理与目的直接相关、处理方式对个人权益影响最小、信息收集限于目的实现上最小范围的规定。这些规定实际上明确了“合理范围”的界定不仅要从信赖保护的客观视角来考虑，而且必须符合最小必要原则下相关性、最小化、合比例性三方面的要求，凸显了保护原理在明确同意补充解释上，正当化背离真实意思风险的作用：由于仅在最小必要的范围内承认补充解释，那么这种解释即使背离本人意思，对本人造成的负面影响也是可控的。另外，如果不允许实施这些最小必要行为，不仅不利于处理者信赖的保护，而且可能不利于保护和实现本人明确同意背后所追求的利益。在最小必要的具体理解上，一般强调处理行为要被限制在实现“基本功能服务”通常“必要的信息范围”内，例如，《常见类型移动互联网应用程序必要个人信息范围》就规定购物类应用的基本功能服务是购买商品，因此必要信息只包括：注册用户移动电话号码；收货人姓名、地址、联系方式；支付时间、支付金额、支付渠道等支付信息。

不过学者已经指出，将最小必要原则适用于所有个人信息处理行为并不合适，对于非损害型的个人信息处理行为，例如帮助个人寻求交易机会，可以豁免最小必要原则的适用，而应当根据诚信原则来补充解释“合理范围”，符合忠实义务即可，这样，以提升用户体验或者更精准提供媒介服务为目的，扩大个人信息的收集范围和采取其他处理方式就可以被一定程度地允许，但仍不能违反诚信原则，不能给本人造成显著和巨大的伤害。

综上，《民法典》第1036条第1项作为明确同意的补充解释规则，排除了意思表示解释规则的直接类推适用，而应当结合最小必要原则来理解。这是基于保护原理来增强明确同意下补充解释的正当性。不过，考虑到并非所有处理行为的出发点都是损害本人，有的行为亦可能是出于积极追求本人利益的目的，此时保护原理在补充解释上的体现就不应当是最小必要原则，而应当是基于诚信原则的忠实义务。这样来看，对明确同意的补充解释其根本性的立足点就并不是意思自治，而是信赖原理和保护原理，对于补充解释出来的推测同意，也就不能与明确同意同等对待。

可能也正因为如此，根据《民法典》第1036条的规定，作为明确同意补充解释规则而扩展出的同意，其效力仅是使个人信息处理行为“不承担民事责任”，这一效果在我国民法体系中一般是对“不法性阻却事由”的描述。也就是说，明确同意本身是作为消极构成要件，需要法院积极主动审查，而由明确同意解释扩展出的同意，则是“不法性阻却事由”，需要由当事人积极主张、证明。同时，正因为补充解释的基准并不是当事人的意思表示，所以传统上也认为意思自治在补充解释上并不具有决定性的地位，即使存在错误也不应当承认撤销权的存在。

（三）为订立、履行个人作为一方当事人的合同所必需

从上述立场出发，还可以建立起《民法典》第1036条第1项与《个人信息保护法》第13条第1款第2项之间的关系。两者的共同点是都涉及对同意的补充解释，但两者解释的同意类型明显不同：《民法典》第1036条第1项解释的是明确同意，《个人信息保护法》第13条第1款第2项解释的则是“合同”。明确同意需要符合《民法典》和《个人信息保护法》的规定，有严格的质量要求，但“合同”并不适用这些规则，其对意思质量的要求起初就低于明确同意。这也就使得，通过对“合同”的解释来曲线式地取得个人信息处理之合法基础，可能导致“明确同意”的诸多规定被规避。

因此，对“合同解释”而扩展出的同意，必须加以更为严格的限制，其在保护原理推动阻却不法上的满足程度要更高。这样也就能够理解，为什么《个人信息保护法》第13条第1款第2项使用了“必需”而非“合理范围”的限制性概念。在具体认定上“必需”的认定不只是应当满足最小必要原则，基于上述考量和“必需”的文义，相关处理还应当对合同目的的达成来说必不可少，是根本性的前提条件，无法通过其他方式予以替代或补救，为了实现和保护本人的合同利益不得不予以处理。另外，虽然最小必要原则在“合理范围”的补充解释上有排除适用的空间，但对于合同“必需”这一情形来说，考虑到缺少明确同意作为基本支撑，不能排除最小必要原则的适用，不能仅仅基于提升用户体验的目的而扩大“必需”的范围。当然，如果合同签订时，就已经又取得了个人信息处理的明确同意，那么自然应当按照明确同意的“合理范围”规则来补充解释。

最后，《个人信息保护法》第13条第1款第2项作为合同解释扩展出的个人信息处理同意，其法律效果与明确同意一样，被规定为了“方可处理个人信息”，似乎是将之也作为了消极构成要件。然而，问题是，对明确同意解释而扩展的同意，都只是不法性阻却事由，经合同解释而扩展的同意为何阻却效力还更强？值得注意的是，最高人民法院《关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》（法释［2021］15号）第5条将合同解释扩展出的同意规定为“不承担民事责任”的情形。在解释上可以认为，《个人信息保护法》第13条“方可处理个人信息”的情形既包括了属于消极构成要件的情形，也包括了构成不法性阻却事由的情形，并非都属于消极构成要件。《个人信息保护法》第13条第1款第2项的法律效果就属于不法性阻却事由。同上，通过订立、履行合同所必需而补充解释出的推测同意也无法适用错误撤销的规则。

（四）合理处理自行公开的个人信息

《民法典》第1036条第2项与《个人信息保护法》第13条第1款第6项都表明对“自行公开的个人信息”，可以在“合理的范围内”予以处理。从同意的阶层理论来看，有疑问的是所谓自行公开，其阻却不法的效力基础，是属于哪种类型的同意。

笔者于本文开端处即指出，有观点认为自行公开属于抛弃个人信息权益的意思表示，该观点显然与《民法典》第992条关于人格权不得放弃、转让或者继承，禁止抽象处分的规定相冲突。并且，《民法典》第1036条仅将合理处理自行公开的信息作为“不承担民事责任”的情形之一，也就是作为不法性的阻却事由，而未作为转让处分的消极构成要件来看待。有疑问的是，自行公开时推定出的同意，到底是属于可撤回的单方同意，还是属于不可撤回的自甘冒险的同意？

有观点认为自行公开情况下所推定出的同意是属于默示的受害人同意，此种受害人同意也就是同意阶层下可任意撤回的单方同意。笔者认为，如前所述，单方同意虽然可以默示地做出，即通过推定来产生，但一般认为默示的推定不能简单以能够意识到相关风险却仍然实施行为为根据，而仍然要求行为背后存在针对特定事项的同意意思，且这种存在要具有高度盖然性。如果认为自行公开构成默示单方同意，由于《民法典》第1036条将之作为一般性的违法性阻却事由，实际上就会导致自行公开背后的意思被推定为是对任何人的任何处理行为都予以了同意，只有在明示拒绝和对本人权益有重大影响的例外情形才不存在。

一概不问公开行为背后是否有对特定处理行为加以同意的意思，径直就推定认为存在效力如此巨大的抽象单方同意，不仅过分偏离了意思自治原理，而且严重违背了保护原理。另外，若按上述推定单方同意的“默示”逻辑，此时自行公开产生违法性阻却效力的关键基础仍然是意思自治，那么在此种推定与本人公开时的内心意思明显不一致时，就仍需承认错误撤销的适用，但从关于自行公开的法律条文来看，其似乎没有容许错误撤销的意思。

所以，自行公开推定的同意不能认为是可任意撤回的单方同意。该推定的同意实际更类似于自甘冒险的同意，其之所以可以阻却不法不是因为自然人的意思自治，而是因为本人应预期到，自行公开的个人信息会有被他人任意处理的风险，却仍然选择公开，本人对事后实际处理行为的发生具有“过责”。除此之外，公开行为常会导致他人对该类信息可以进行处理产生信赖，从信赖保护的立场来看，也应当推动处理自行公开的信息向阻却不法的方向发展。然而，在明确拒绝或者对个人权益有重大影响时，由于严重违背意思自治和保护原理，又否定其具有阻却不法的效果。

这样，可以认为自行公开阻却不法的规则，是以行为人过责原理、信赖原理为核心基础，协调意思自治和保护原理要求而形成的。照此理解，自行公开也就没有错误撤销的余地。然而，问题是，自甘冒险一般也只能起到减轻责任的效果，即使在信赖原理加以补充的情况下，按照《民法典》第1176条的规定，其也只能免责，且效力只能及于一般过失行为。《民法典》和《个人信息保护法》却将自行公开一概规定为违法性阻却事由，不问处理者的过责程度，从价值衡量上来看确实存在评价妥当性的问题。从比较法上来看，欧盟《一般数据保护条例》（GDPR）并未将“自行公开”作为处理个人信息的合法基础，其仅仅是在第9条第2款第（e）项中，将“明显公开的”个人数据作为敏感个人信息禁止处理的例外之一。

综上，《民法典》第1036条第2项与《个人信息保护法》第13条第1款第6项将“自行公开”径直作为一般性的不法性阻却事由确实有所不妥，应当对其加以限缩解释，将例外排除事由解释为处理者应当主动证明的事项。具体而言，在《民法典》第1036条第2项以及《个人信息保护法》第27条下“合理处理”的认定上，应当让处理者主动证明有合理理由相信其处理行为对个人权益没有重大不利影响，且不违反本人可推知的意思。处理者应当负担一般的注意义务，事实上的相信应当是无过失的。并且，在“合理处理”的解释上，还应当排除敏感个人信息，同时要符合《民法典》和《个人信息保护法》规定的最小必要原则。

（五）为维护该自然人合法权益，合理实施的其他行为

《民法典》第1036条第3项将“为维护该自然人合法权益，合理实施的其他行为”也概括性地规定为不法性阻却事由。从同意的阶层体系来看，该规定接近于无因管理。不过，与无因管理不同，其并没有明确将符合“本人明示或者可推知的意思”作为触发不法性阻却效力的前提。《个人信息保护法》则没有沿用该规定的内容，其第13条第1款第4项做出了更为严格的要求，即“紧急情况下为保护自然人的生命健康和财产安全所必需”。该规定不是类似于无因管理，而是与《民法典》第184条下的紧急救助行为这类特殊的紧急避险更类似。

解释上可以认为《民法典》第1036条第3项的规定并非仅包括无因管理，“其他行为”作为概括兜底描述，既包含了维护该自然人合法权益的无因管理行为，也包括了维护该自然人合法权益的紧急救助行为。然而，问题是，既然《民法典》对无因管理和紧急救助都已设置了规则，《个人信息保护法》为何还要特别规定？从《个人信息保护法》第13条第4项的规定来看，其显然对紧急救助额外增加了“生命健康、财产安全”的特别范围限制。以此观之，可以认为《民法典》第1036条第3项的规定乃是为了排除无因管理、紧急救助一般规定的适用，要求对它们加以改造，以符合严格的个人信息保护立场，避免他人轻易处理个人信息。

整体而言，在个人信息保护已经确立了较高意思质量要求的情况下，无因管理与紧急救助的行为实际上是“严重”违背了个人信息保护下的意思自治要求，此时要阻却处理行为的不法，那么这些处理行为在保护原理的满足程度上相应地就应当更高，也就应当对适法无因管理、紧急救助的构成提出更严格的要求。

《民法典》第1036条第3项下“合理”的要求，按照体系解释，应当同该条第1项、第2项的“合理”采取相同标准，即应当符合《民法典》和《个人信息保护法》的最小必要原则，相关处理应当与合理目的直接相关且符合最小化、合比例性的要求。合理目的在涉及个人信息的无因管理情形下，就应当限制理解为“为避免他人利益受损失”，而不能包括创造积极利益的情况。处理行为与该目的直接相关，且符合最小化、合比例性的要求，则可以认为是对无因管理下不违反本人可推知意思的一个特殊底线要求，即无论本人是否有如此限制的可推知的意思，都必须采取直接相关、最小化、合比例性的方式来实施无因管理行为。

按照该种“合理”内涵的解释，也就能够理解为何《个人信息保护法》第13条第1款第4项没有沿用《民法典》第1036条第3项的内容，而是特别地对紧急救助情形加以规定——因为《个人信息保护法》对于这种完全不考虑自然人意思，不以可推知的同意为前提的情况，提出了比“合理”更高的要求，不是要求“必要”，而是要“必需”，且处理的目的须是为了救助“生命健康、财产安全”。

基于同意的阶层体系，以及建立在该体系上的对个人信息处理多元同意规则的深入理解，就可以适用这一套多元同意规则，来对微信读书案做体系性的分析，并为之后相关案件的处理提供参考。

四、微信读书案的处理

按照同意的阶层体系来理解前述多元的同意规则，还意味着在具体的案件分析过程中，应当将这些规则联系起来适用：就第一阶层同意来说，若无法做成某一同意类型时，基于无效法律行为转换的思想，应当进一步判断相关同意是否可以满足其他同意类型的构成要求，如果满足且又不违背当事人的意思，就应当按照这些同意类型来发生阻却不法的效力。如果第一阶层同意都无法构成，从请求抗辩的思维来看，则需要进一步判断是否存在第二阶层同意。就微信读书案的处理来说，先应判断腾讯向原告微信好友公开具体读书信息（法院认定不构成敏感个人信息）的行为是否获得了明确同意。

（一）是否存在明确同意

按照《个人信息保护法》第14条的要求，明确同意的做出应当是在充分知情前提下自愿、明确做出。该法第17条要求以“显著方式、清晰易懂语言真实、准确、完整地”向个人告知相关事项。

在微信读书案中，原告与腾讯之间签订了《微信读书软件许可及服务协议》，其第5.5条明确：“你理解并同意，本服务默认生成软件使用信息（包括但不限于你的书架、你正在阅读的读物、你推荐读物及你的读书想法等信息）并向与你有微信好友关系的其他用户开放浏览可见，你及其他用户将有权浏览对方因使用本服务所生成的软件使用信息。”

以上内容，虽然告知了微信读书软件会默认生成读书信息，并向与使用者有微信好友关系的其他用户开放浏览可见，但其并没有明确告知，该种读书信息的分享，是通过在微信读书程序上自动添加微信好友关注，并默认向这些关注好友公开个人读书信息的方式来达成。该项特别的个人信息处理方式，并未向原告提前真实、准确、完整地告知。因此，该个人信息处理行为并未能获得明确同意。

接下来则需要考虑，是否可以基于对已经做出的明确同意或者合同的解释，认为前述特别的个人信息处理行为属于“同意的范围内合理实施的行为”或者“为履行个人作为一方当事人的合同所必需”。

（二）是否构成“同意范围内合理实施的行为”或者“为履行个人作为一方当事人的合同所必需”

根据前述《微信读书软件许可及服务协议》第5.5条的约定，只能认为原告明确同意微信读书软件默认生成读书信息，并以一定的方式向与原告有微信好友关系的其他用户开放浏览可见。默认自动添加微信好友关注是否符合该明确同意所指向的“合理范围”，如前所述一般应当结合《民法典》和《个人信息保护法》下的最小必要原则来加以判断：默认自动添加好友关注的行为是否正当、必要，即是否与合理的目的（向有微信好友关系的用户公开读书信息）直接相关、是否采取了对个人权益影响最小的方式、所造成的负面影响与获得的正面效果而言是否合比例。

就此来说，自动添加微信好友关注的行为，对于合理目的的实现来说，确实直接相关，但已经超出了“必要”范围，因为这种自动关注好友再默认公开读书信息的方法，显然违反了对个人信息权益造成的负面影响应当合比例的要求，在公开分享读书信息时已经侵扰了个人的社交自由和人格形象构建自由。这些自由关涉重大，对这些自由的负面伤害与该行为所达成的分享读书信息的增益而言明显比例失衡，不能认为该行为属于“同意范围内合理实施的行为”。另外，即使认为此时可以豁免最小必要原则的适用，而通过诚信原则下的忠实义务来加以检验，绕开个人径直为其添加好友的做法也对社交自由和人格构建自由造成了显著而巨大的伤害，亦属不当。因为“必需”要求高于“合理”要求，所以基于《微信读书软件许可及服务协议》第5.5条的约定，也不能认为前述特别的个人信息处理方式构成“为履行个人作为一方当事人的合同所必需”。

接下来需要考察双方之间是否存在有效的免责或者限制责任的约定。这种约定也是法律行为，但并非消极构成要件，具有限制或者免除责任的效力。就此而言，《微信读书软件许可及服务协议》第5.5条“前述软件使用信息不属于……不能公开的个人信息”，在解释上可以认为是对“公开相关个人信息”的潜在责任予以了事先免除，并且，由于不涉及人身损害，不会因《民法典》第506条的规定而无效。然而，即便如此，该规定作为格式条款，在解释上既可以认为是免除了所有因公开个人信息而产生的责任，也可以认为仅免除了因使个人信息处于公开状态而产生的责任。有两种解释时，按照《民法典》第498条的规定，应采取不利于格式条款起草方（腾讯）的解释，换言之，应认为该约定仅是免除了因使个人信息处于公开状态而产生的责任，而没有免除不当方式公开个人信息而产生的责任。

作为法律行为的同意既然都不构成，则可以继续分析判断，是否可以构成第二阶层同意，作为不法性阻却事由或者责任限制的认定因素来发挥作用。

（三）是否存在其他与同意有关的阻却不法或者限制责任的事由

根据笔者于本文中的阐释，《民法典》第1036条第3项的规定包括了无因管理的特别规则，其构成首先需要是“为避免他人利益受损失”而实施个人信息处理行为。腾讯为用户自动关注微信好友，从而向微信好友公开用户个人读书信息的行为，并非为“避免用户利益受损失”。在该基本前提不存在的情况下，自然难以认为相关行为与“避免他人利益受损失”的合理目的之间存在直接的关联，也谈不上在目的实现上符合最小必要原则，构成“合理实施”的行为。

虽然《微信读书软件许可及服务协议》第5.5条末句约定“前述软件使用信息不属于……不能公开的个人信息”，但该约定并不等同于自行公开前述读书信息的实际行为，因为约定时还不存在读书信息。所以，该案中的读书信息显然不构成“自行公开”的个人信息。然而，这并不以意味着该案中没有自甘冒险或者容忍、权利失效制度适用的空间。自行公开的情形仅仅是前述规则适用的一种典型情况，除此之外当然可能存在适用这些规则的其他情形。自甘冒险主要可以通过《民法典》第1173条的适用或者《民法典》第1176条的类推适用来实现。容忍或者权利失效制度的适用则可以类推适用《民法典》第172条表见代理的规则来实现。

《微信读书软件许可及服务协议》第5.5条的前述约定，很难被评价为“自甘冒险”的同意，因为做出该约定时，一般人均难以预计到腾讯会采取自动关注微信好友的不当方式来分享其读书信息，对这样的潜在风险并不具有预期。同时，也不应当让属于弱势一方的用户对这类潜在风险承担注意义务。所以，微信读书案中原告对相关损害的发生也就不能认为存在过错，不能基于《民法典》第1173条的规定，减轻腾讯的责任。

从容忍、权利失效的角度来看，“前述软件使用信息不属于……不能公开的个人信息”仅仅表明了原告对公开的结果可以予以接受，但并不能合理信赖其已经接受了通过任何方式来公开其读书信息。侵害行为发生后，原告也不存在其他容忍侵害行为或者其他表明允许该侵害行为发生的表示。腾讯对原告容忍或者不主张侵权责任不构成《民法典》第172条下的“有理由相信”。因此，腾讯也就无法基于此点来抗辩原告请求承担侵权责任的主张。

五、结论

《个人信息保护法》规定自然人对其个人信息享有“决定权”，但任何决定并不都是自由的，其仍受制于民法慈母或严父般的保护意志。同意，甚至是没有明确表示出来的同意，也都会让个人戴上一把名为“同意阻却不法”的古老法锁。这把法锁融合了意思自治的锁芯、保护原理的边框、“过责”伦理的材料、信赖原理的设计，形成了一个连环相扣的阶层锁链。在这个锁链里，“自以为是主人的人”，不得不接受法律对他人行为的合法评价或者向他人主张责任的限制。《民法典》和《个人信息保护法》体现了同意阻却不法的阶层体系，形成了多元的同意规则。明确同意是可撤回的单方同意，属于非典型的法律行为，且《民法典》并未完全否定通过“债务契约型许可”来实施该类同意。“同意合理范围内实施的行为”是明确同意的特别补充解释规则。“为订立、履行合同所必需”等是对通过“合同”解释来扩展个人信息处理同意的特别限制。《民法典》第1036条第2项与《个人信息保护法》第13条第6项下“合理处理自行公开的信息”作为一般的不法性阻却事由，存在价值衡量上的不妥，应当通过解释来限制其构成和适用。“为维护该自然人合法权益，合理实施的其他行为”则包含了个人信息处理下特别的无因管理规则。

作者：萧鑫，中国社会科学院法学研究所助理研究员、博士后。

来源：《政治与法律》2022年第4期。