GDPR 下的同意何时有效？

有效同意的各项要求概览

同意是数据保护领域的一项核心法律依据。然而，对于企业和控制者而言，何时可以真正以同意作为数据处理的依据、需要满足哪些具体的法律要求，往往并不清楚。

如果缺少同意或同意无效，将面临重大的法律和经济风险。因此，从一开始就以合法合规的方式获取同意至关重要。

同意作为数据处理的可能法律依据

《通用数据保护条例》（GDPR）第 6 条第 1 款 a 项将同意规定为处理个人数据的六种可能法律依据之一。同意体现了信息自决权：原则上，每个人都应能自行决定谁可以出于何种目的使用其数据。

但在实践中，只有当 GDPR 第 6 条规定的其他法律依据均不适用时，同意才是正确的选择。如果处理个人数据是为了履行合同（b 项）、履行法定义务（c 项）或基于正当利益（f 项），则征求同意既无必要，也无意义。

同意通常适用于那些自愿进行、且超出合同履行所必需范围的处理活动。

典型应用示例包括：

有效同意的法律要求

GDPR 第 4 条第 11 项将同意定义为 “针对特定情形、在知情的情况下以明确无误的方式自愿作出的任何意愿表示[..]”。 由此可知，有四个核心条件必须同时满足。

1. 自愿性

同意首先必须基于数据主体真实、自由的决定。也就是说，数据主体必须能够拒绝或撤回同意，而不会因此遭受不利。尤其是，同意不得在压力或强迫下作出。

在这方面，GDPR 第 7 条第 4 款规定的禁止捆绑原则尤为重要。据此，原则上不得将提供服务与履行合同所不必要的同意相挂钩。

此外，误导性措辞、美化性语言、信息过载，以及有意引导用户作出同意的视觉设计（即所谓的“暗黑模式”），也可能影响同意的自愿性。

2. 知情性

此外，有效的同意还要求事先向数据主体全面、清楚地说明拟进行的数据处理。

这些信息必须易于获取、透明，并以清晰的语言表述，尤其要让人知道由谁处理数据、出于哪些具体目的。根据欧洲数据保护委员会关于同意的最新指南，还应向数据主体提供有关所处理数据的类型、撤回权，以及可能的自动化决策和向第三国传输数据的信息。

补充说明可以通过隐私政策提供，但须清楚、明确地指向该声明。

3. 确定性

此外，同意必须针对明确界定的处理目的。笼统或范围过宽的同意是不允许的。

如果涉及多个目的，原则上每个目的都需要单独取得同意。

只有在各目的内容上联系极为紧密、以致单独征求同意没有实际意义时，才例外允许合并征求同意。

4. 明确的确认行为

最后，需要数据主体通过主动行为明确无误地表达意愿（即所谓的“选择加入”，Opt-In）。

GDPR 原则上不限定同意的形式。因此，同意既可以书面作出，也可以电子方式作出，例如勾选复选框或点击按钮、选择技术设置，或通过其他声明或主动行为（例如口头）作出。

沉默、预先勾选的复选框（即所谓的“选择退出”，Opt-Out）或单纯的不作为（例如继续使用某项服务）均不构成同意。同样，如果同意仅包含在一般使用条款中而未单独突出显示，也不足以构成同意。

根据 GDPR 第 7 条第 1 款，控制者必须能够证明已取得有效同意。因此，所选择的形式必须便于可靠地记录。

特殊情况和特殊要求

在某些情形下，对同意的要求更高。

1. 处理敏感数据

处理 GDPR 第 9 条所指的特殊类别数据时，原则上需要取得“明示”同意（详见下文）。

2. 自动化决策

如果自动化决策（GDPR 第 22 条）以同意为依据，同样需要取得“明示”同意。

3. 员工

根据 BDSG 第 26 条第 2 款，除因特殊情况采用其他形式更为适当外，同意原则上应以书面形式作出。

由于存在依附关系，雇佣关系中的同意通常会受到严格审视。在此情形下，只有在例外情况下才可能构成有效同意，尤其是员工通过数据处理获得法律或经济上的利益，或双方追求的利益一致时。

4. 儿童

由于儿童对数据处理的风险和后果的认识往往较低，所以他们在数据保护方面享有特殊保护。

对于与信息社会服务相关的数据处理，GDPR 第8条规定了有关同意的特殊条件：只有当儿童已达到规定的最低年龄，或已取得其监护人的同意时，同意才有效。在德国，该年龄界限为16岁。

对于其他数据处理，GDPR 并未明确规定年龄界限。但从 GDPR 的鉴于条款可以看出，必须以儿童易于理解的清晰语言提供信息。

5. 研究

在科学研究领域，如果在收集数据时尚无法完全确定具体的处理目的，则在满足特定条件的情况下，同意的范围可以适当放宽。但处理的范围必须仍然可以识别。

“明确”同意的要求

“明确”同意要求数据主体作出特别清晰、毫不含糊的意思表示，沉默或默示行为均不足以构成明确同意。此外，同意的措辞必须特别精确，尤其是在具体处理目的和所涉数据的敏感程度方面。

撤回同意

撤回权是同意不可或缺的对应权利。根据 GDPR 第7条第3款，数据主体可随时撤回其同意，无需说明理由，撤回对将来生效。

在数据主体作出同意之前，就必须告知其享有这一权利。此外，撤回同意必须与作出同意同样简便，不得设置不必要的障碍，原则上应可通过同样的方式进行（例如点击、发送电子邮件或使用用户账户中的相应功能）。

撤回之前已进行的处理仍然合法；但自撤回之时起，不得再以同意为依据继续处理数据。

同意的有效期

GDPR 并未规定固定的有效期。因此，只要同意未被撤回、处理目的仍然存在且情况未发生重大变化，同意原则上持续有效。

但是，如果同意长期未被使用，数据主体已无须预期其数据仍会被使用，同意就可能失效。在司法实践中，约一年半至两年未有联系通常被视为临界期限，参见柏林地方法院（2004年7月2日判决 – 15 O 653/03）；汉堡地方法院（2004年2月17日判决 – 312 O 645/02）；慕尼黑地方法院（2010年4月8日判决 – 17 HK O 138/10）。

因此，在使用之前，应始终核实同意是否仍然有效。此外，建议在同意文本中明确说明，同意原则上在撤回之前一直有效，从而使其有效期限清晰透明。

结论

同意是一项法律要求较高、要件明确的法律工具。其效力在很大程度上取决于准确的法律定性、透明的设计和一以贯之的执行。在实践中，应有针对性地使用同意，而不应将其视为标准解决方案。