规则出处与规范指向

本条（《中华人民共和国个人信息保护法》第十三条，处理个人信息的合法性基础）：《个人信息保护法》第十三条规定：符合取得个人同意，为订立、履行个人作为一方当事人的合同所必需，为履行法定职责或者法定义务所必需，为应对突发公共卫生事件或者紧急情况下为保护自然人的生命健康和财产安全所必需，依照本法规定在合理范围内处理个人自行公开或者其他已经合法公开的个人信息，以及法律、行政法规规定的其他情形之一，方可处理个人信息。

一、依据不会一劳永逸

业务调整、产品改版、合作方更换，都可能让原来成立的依据变得不再成立。例如原本只是为了履行合同而收集的信息，后来被用于推荐算法，此时合同必需的依据已经无法覆盖新增用途。

二、四个盯防点

第一，用途变更。任何超出原告知范围的使用，都应当先评估依据是否仍然成立，不成立的应重新取得同意。第二，合作方变更。更换供应商或增加下游，需要重新评估是否构成新的对外提供。

第三，字段变更。新增字段要回到依据层面重新论证。第四，法条更新。当支撑某项处理的法律规定调整时，援引法定义务的部分应当同步复核。

三、变更的处理流程

发现用途或范围变化后，建议按四步处理：确认变化内容、评估原依据能否覆盖、不能覆盖的更新告知并取得相应确认、完成后留痕。整个过程应当有责任人，避免变更在无人察觉中悄悄发生。

四、留痕的具体形式

变更评估结论、更新后的文本版本与发布记录、用户确认动作的记录，三者应当能够互相印证。仅仅保留一份最新的文本，无法说明变更发生的时间与处理方式。