规则出处与规范指向

本条（《中华人民共和国个人信息保护法》第十三条，处理个人信息的合法性基础）：《个人信息保护法》第十三条规定：符合取得个人同意，为订立、履行个人作为一方当事人的合同所必需，为履行法定职责或者法定义务所必需，为应对突发公共卫生事件或者紧急情况下为保护自然人的生命健康和财产安全所必需，依照本法规定在合理范围内处理个人自行公开或者其他已经合法公开的个人信息，以及法律、行政法规规定的其他情形之一，方可处理个人信息。

一、为什么要做依据盘点

第十三条给出的是一份并列的合法性基础清单：同意、合同必需、法定义务、紧急情况、已合法公开的信息，以及其他法定情形。业务在处理信息时，必须能对应到其中一项。很多企业的实际状态是「一直在处理，但从没问过依据是什么」，这正是最容易被查出的破口。

接手产品、并购标的或开展年度合规体检时，把依据盘点放在最前面，能让后面的所有工作都有一个可以对齐的坐标。

二、盘点分三步

第一步，列出全部处理活动：按产品、按流程、按数据表逐一梳理，包括采集、存储、使用、加工、传输、提供、公开、删除各环节。第二步，为每一项处理活动标注当前实际援引的依据，看它究竟是用户同意、合同必需，还是习惯性处理。

第三步，核对依据与场景是否匹配。最典型的脱节是把浏览、注册这类非必需环节的采集，也统统标注为履行法定义务所必需，或者把营销用途塞进合同必需的框里。

三、最容易无依据的三类活动

一是营销触达，把注册时留的联系方式用于短信、电话推广，这通常超出原服务目的。二是数据共享与对外提供，把用户信息交给合作方或集团内其他主体，却未履行相应的告知与同意程序。三是二次利用，用客服或售后过程中获取的信息做风控、画像或其他分析。

四、把结论做成底稿

依据盘点的结论应当形成一张表：处理活动、涉及字段、援引依据、支撑材料、待整改项。有这张表，后续选择合规路径、起草文本与应对外部问询都有据可依，不必每次重新梳理。