无论是《网络安全法》还是《民法典》，都将个人同意作为个人信息处理首要合法性基础。但现实中，面对随处可见的人脸识别应用，个人的同意往往变得流于形式。常见的情况包括：“无感知被收集”，即进入人脸识别区域却毫无所知，个人的人脸信息未经任何告知和同意而直接被收集，这其中也包括即便提示存在人脸识别应用，但往往看到提示时个人的人脸信息已经被收集；“捆绑收集”，即将人脸识别技术的使用和人脸信息的处理规则，与其他个人信息处理规则，一同写在产品或服务的隐私政策中，一次性征得用户同意，个人失去了选择是否同意人脸信息收集的机会；“强迫收集”，即强迫当人脸信息并不是产品或服务所必需时，要求个人接受人脸识别才能使用或继续使用具体的产品或服务，也包括强迫接受人脸识别才能进入某个区域或建筑等。

　　面对这些让个人自主选择同意“失去意义”的行为，《人脸识别技术问题若干规定》旗帜鲜明地提出“单独同意”和特定情况下的“书面同意”——“基于个人同意处理人脸信息的，未征得自然人或者其监护人的单独同意，或者未按照法律、行政法规的规定征得自然人或者其监护人的书面同意”，“人民法院应当认定为构成侵害人格权益的行为”。

　　如何理解“单独同意”？这个概念首次出现于我国《个人信息保护法》的草案一次和二次审议稿之中。我国《个人信息保护法》之所以提出“单独同意”，目的在于对特定个人信息处理行为和特定个人信息类型提供增强式保护，让个人更加充分地参与到个人信息处理的决策之中。2020年版的国家标准《个人信息安全规范》在根据《个人信息保护法》一审稿进行修订的过程中，也吸纳了单独同意的要求。《个人信息安全规范》第5.4（C）的规定，收集个人生物识别信息前，应单独向个人信息主体告知收集、使用个人生物识别信息的目的、方式和范围，以及存储时间等规则，并征得个人信息主体的明示同意。

　　现在对“单独同意”的要求做进一步的分解。

　　具体来说，《个人信息保护法》一审和二审草案规定，“处理个人信息的同意，应当由个人在充分知情的前提下自愿、明确作出。”在此基础上，“单独同意”特别强调了“单独”，即对特定的个人信息处理行为及其规则，个人能够独立于其他个人信息处理行为及规则，作出自主意思表示。换句话说，法律要求获得单独同意的个人信息处理行为（如向他人提供、公开等），不应与其他个人信息处理行为合并在一起获得个人的同意；法律要求获得单独同意方可处理的个人信息类型（如敏感个人信息），不应与针对其他类型的个人信息处理合并在一起获得个人的同意。

　　由于人脸信息属于“生物识别信息”，在我国《个人信息保护法》中属于敏感个人信息的范畴，因此《人脸识别技术问题若干规定》自然对其处理提出了单独同意的要求。

　　从前文分析可知，我国《个人信息保护法》的同意和单独同意，以及《人脸识别技术问题若干规定》里的同意和单独同意，目的是为了保障《个人信息保护法》中“个人对其个人信息的处理享有知情权、决定权，有权限制或者拒绝他人对其个人信息进行处理”的规定。

　　与我国规定类似的，欧盟《通用数据保护条例》也明确数据主体的同意是指“数据主体通过书面声明或经由一个清楚确定的动作，表示同意对其个人数据进行处理。该意愿表达应是自愿的（freely given）、特定的（specific）、知情的（informed）、明确的（unambiguous）”。

　　充分知情、自愿、明确、单独构成了单独同意的四个要件。具体来说，例如通过人脸识别技术解锁手机终端，手机终端厂商可在用户首次开启人脸识别功能时，通过弹窗或跳转专门页面的形式同步告知该功能的信息处理规则（以满足“充分知情”的要求）；该规则应仅包含对人脸识别功能及其信息处理规则的描述而不包括对其他不相关事项的描述（以满足“单独”的要求）；用户通过点击“同意”或“已知悉，并继续使用”等主动性动作清楚地表达自己的意愿（以满足“明确”的要求）；即便用户在阅读信息处理规则后选择不开启该功能，但仍然可以通过设置数字密码、手势密码等方式，或直接继续使用手机终端的其他功能（以满足“自愿”的要求）。当然，手机终端厂商对人脸识别功能信息处理规则的要求，仍然必须遵守必要原则，不应将不是实现功能所必需的信息收集和处理行为“私藏”于其中。

　　一般来说，需要个人主动配合以完成人脸识别的应用，可依循的实现“单独同意”的指引相对清晰。对于无需个人主动配合的人脸识别应用，符合“单独同意”的高强度要求较为困难，但并非不可能。例如人脸识别设备覆盖的区域，应当有明确的、易于识别的边界标识（例如通过虚线标识），并在个人进入覆盖区域前通过声音、文字提示等形式予以告知，并在覆盖区域五米内张贴公开告示、二维码、网址链接，传单柜台等形式，向个人提供人脸识别功能及其信息处理规则的完整描述。在满足充分知情、明确的要求后，应当特别注意不应将人脸识别设备覆盖区域设置成进入、通过某个建筑、场所的必经之处，否则将违反自愿和单独的要求。现实中如果上述要求难以满足，且不属于法律法规规定的可以豁免的情形，则信息处理者应考虑弃用无需主动配合的技术方案，改用需要个人主动配合的模式。

　　因此，在充分知情、自愿、明确、单独等限定的有力支撑下，“单独同意”能够效遏制人脸识别技术的使用乱象。首先，“单独同意”能够破除“无感知被收集”的情况，因为“单独同意”首先就要求个人充分知情。而且因为“单独同意”要求个人是自愿做出同意的决定，且对于基于同意的个人信息处理活动，个人有权撤回此前授予的同意。再次，“单独同意”能够破除“捆绑收集”的情况，因为人脸信息处理的同意应当与其他的个人信息处理行为区分开，并分别征得个人的同意，因此个人就获得了单独对人脸信息处理做出同意与否的决定。最后，“单独同意”能够破除“强迫收集”的情况，即在个人获得单独对人脸信息处理与否做出决定的机会时，当人脸信息不属于提供产品或者服务所必需的，个人自然就能够拒绝而不影响产品或服务使用。同样，对于强迫人脸识别才能进入某区域或建筑的情况，《人脸识别技术问题若干规定》在第十条专门规定，“物业服务企业或者其他建筑物管理人以人脸识别作为业主或者物业使用人出入物业服务区域的唯一验证方式，不同意的业主或者物业使用人请求其提供其他合理验证方式的，人民法院依法予以支持”。