根据PIPL第九条、第二十三条,向第三方提供个人信息应向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类,并取得个人“单独同意”。仅凭“授权的合作伙伴”这一笼统表述,并不能视为充分的告知和有效获得单独同意。
PIPL第十四条规定,个人信息处理者在处理个人信息前,应当以清晰易懂的语言真实、准确、完整地向个人告知。对于涉及不同目的或不同类型的个人信息处理,原则上应当分别取得同意。如果必选项中包含了多种不相关的数据处理目的,这种打包同意的方式可能不符合“自愿、明确”的同意原则。
根据PIPL第二十九条,处理敏感个人信息应当取得个人的“单独同意”,并且处理敏感个人信息还应当告知个人处理敏感个人信息的必要性以及对个人权益的影响。这里虽然列出了收集的信息类型,但没有明确说明对敏感信息的处理目的的“必要性”以及可能带来的“影响”。同时,在同意环节也未体现对敏感信息获取“单独同意”的要求。
* 在与赞助方或合作伙伴共享个人信息时,需要特别注意PIPL的规定。PIPL第二十三条要求,个人信息处理者向其他个人信息处理者提供其处理的个人信息的,应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类,并取得个人的“单独同意”。