信息主体同意的适用边界

在欠缺其他合法性基础情形下,信息主体同意是否适用,关键在于处理的个人信息是否含直接标识符。直接标识符能单独表征信息主体身份,从而使信息处理风险与信息主体身份精准连结。因此,出于尊重陌生人社会信息主体隐匿身份的自由、尊重信息主体对处理风险的自主决策,信息主体可以通过同意控制含直接标识符的个人信息,即"单独识别个人信息"。但同意不适用于"结合识别个人信息"。首先,结合识别个人信息具有模糊性,个人信息处理者难以就此直接识别信息主体身份进而征求同意。其次,《个人信息保护法》确立了处理结合识别个人信息不需告知规则,逻辑上也要求有相应的不需同意规则。最后,结合识别个人信息不适用同意规则也是实现"促进个人信息合理利用"这一立法目的的可行路径。