Question:
有公司除知情同意书外,会建立一份单独的个人信息收集处理同意书。依照的是个保法第23条要求取得“个人的单独同意”,此处的单独是指人的单独还是文件的单独,是否有必要,如果只用一份ICF是否真的是问题。
Answer:
《中华人民共和国个人信息保护法》第23条规定了个人信息处理者向其他个人信息处理者提供个人信息的同意获取要求。根据《个人信息保护法》第14、23、25、26、27、29和39条的规定,要求“单独同意”的法定情形有以下六种:
1.个人信息处理者向其他个人信息处理者提供其处理的个人信息;
2.个人信息处理者公开其处理的个人信息;
3.将公共场所收集的个人图像/身份特征信息用于非维护公共安全之目的;
4.个人信息处理者处理已公开的个人信息,对个人权益有重大影响的;
5.处理敏感个人信息;
6.向境外提供个人信息。
此处的“单独同意”指,针对以上6种特定个人信息处理场景的同意获取需区分于其他场景/目的个人信息处理活动的同意获取(如通用的隐私保护政策),需通过增强告知、增强同意的方式,更多实施信息可参考2023年05月23日发布的GB/T 42574-2023《信息安全技术 个人信息处理中告知和同意的实施指南》。综上,若 ICF 已充分包含涉及临床试验的特定个人信息处理活动的告知内容,并且充分告知后获取了参与者明确、具体的同意记录(如设置分项选择打勾等)也可被接受,并不在于独立的文件形式。