规则出处与规范指向

本条（《中华人民共和国个人信息保护法》第十三条，处理个人信息的合法性基础）：《个人信息保护法》第十三条规定：符合取得个人同意，为订立、履行个人作为一方当事人的合同所必需，为履行法定职责或者法定义务所必需，为应对突发公共卫生事件或者紧急情况下为保护自然人的生命健康和财产安全所必需，依照本法规定在合理范围内处理个人自行公开或者其他已经合法公开的个人信息，以及法律、行政法规规定的其他情形之一，方可处理个人信息。

一、依据要前置选择

新业务立项时，团队通常先想清楚技术方案与商业模式，合规依据留到最后补。等到产品已经跑起来才发现基础不成立，改动成本会成倍增加。把依据选择放进方案设计阶段，是成本最低的做法。

二、五种依据的适用场景

第一，同意：适用范围最广，但也最需要精细设计，涉及变更重取与撤回机制。第二，合同所必需：适用于完成个人作为一方当事人的合同所需的处理，例如配送地址、支付信息，不适用于与合同履行无关的营销与画像。

第三，法定义务：适用于实名核验、交易记录留存、反洗钱等法律明确要求的事项，援引时应当能指出具体的规定与留存期限。第四，紧急情况：适用于保护生命健康与财产安全的情形，事后应当补记处理过程与范围。第五，已合法公开的信息：适用于在合理范围内处理个人自行公开或其他已合法公开的信息，但不得超出原公开目的与个人合理预期。

三、选择时的两条准则

一是就近原则，能用与场景最贴合的窄依据就不要用概括的宽依据，因为窄依据的证明负担更轻。二是可验证原则，所选依据必须能用书面材料支撑，例如合同条款、法定条文或用户确认记录，无法验证的依据等于没有依据。

四、多依据并存的安排

同一款产品往往同时存在多种依据，例如基础服务靠合同必需、营销靠同意、实名核验靠法定义务。方案设计时应当按模块分别标注，避免用一句统一表述覆盖全部场景。