未获得被保险人授权，保险公司调取被保险人医疗信息，是否构成违法？

未获得被保险人授权，保险公司调取被保险人医疗信息，
是否构成违法？
（案例）
2018年，张女士通过互联网购买了某保险公司的一份重疾险，2022年1月，张女士被确诊为甲状腺癌，张女士据此向该保险公司申请重疾理赔，在申请理赔的过程中该保险公司要求张女士签署一份授权书，授权保险公司调取其个人医疗信息，张女士拒绝授权。后，保险公司依然通过张女士的医保卡信息，调取到张女士在投保前患有甲状腺结节，但是在投保时却未如实告知，故保险公司以未如实告知为由拒赔了张女士的理赔申请并解除保险合同。
张女士对此表示非常不满，认为保险公司的行为侵犯其个人隐私，属于违法行为。那么，在没有取得个人授权的情况下，保险公司调取个人医疗信息，是否构成违法？
（律师分析）
在实践中，对于重疾险、医疗险，保险公司接到客户理赔申请后，通常会派调查员或者第三方机构向被保险人所在地区的医院、诊所、体检机构、社保机构等调取被保险人的病史信息，主要是为了防止未如实告知、带病投保的情况，大体目的乃是获得拒赔、少赔的线索。
这种信息收集的合法性从何而来呢？通常，是在投保单或者理赔申请书中，包含了同意
保险公司调取个人信息的授权条款。
例如投保人或者被保险人在投保单中有这样的签字，授权保险公司向有关医疗、体检机构调取被保险人的门诊以及治疗信息等等。
但是，2021年11月1日，《中华人民共和国个人信息保护法》生效实施。要求对于使用个人信息需以个人充分知情为前提，进而自愿、明确地作出同意的意思表示。
更为重要的是，《个人信息保护法》的第二十八条，将“医疗健康”信息列为敏感个人信息范围。同时，在第二十九条规定，“处理敏感个人信息应当取得个人的单独同意”。
也就是说，《个人信息保护法》出台后，保险公司调取客户的医疗信息、既往病史属于敏感个人信息，必须取得个人“单独同意”。
但是什么样的同意才符合“单独同意”？目前，《个人信息保护法》对于“单独同意”的外在表现形式还没有明确。
不过，按语义理解，“单独”应与“共同”相对，因此“单独同意”应当起码存在两个层面的理解。
首先必须是被保险人本人的同意，而不能是投保人代为同意。现在很多投保单上，特