导语

很多企业的隐私政策里都有一句万能表述：「我们会依据法律法规规定或您的同意处理您的个人信息。」这句话在纸面上看似周全，但一旦发生争议，企业却常常说不清某一项处理究竟依据的是哪一条。

本篇说明处理个人信息可供选择的各项合法性基础，以及为什么选择哪一项会直接决定后续的义务结构。

规则出处与规范指向

《中华人民共和国公司法》第十三条（处理个人信息的合法性基础）：《个人信息保护法》第十三条规定：符合取得个人同意，为订立、履行个人作为一方当事人的合同所必需，为履行法定职责或者法定义务所必需，为应对突发公共卫生事件或者紧急情况下为保护自然人的生命健康和财产安全所必需，依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息，以及法律、行政法规规定的其他情形之一，方可处理个人信息。同意之外的各项依据，是处理活动的重要合法性来源。

一、七项合法性基础

第一项是同意，包括一般同意与单独同意等不同形态。同意之外还有订立履行合同所必需、履行法定职责或法定义务所必需、应对突发公共卫生事件或紧急情况下保护生命健康与财产安全所必需等情形。

此外还包括在合理范围内处理个人自行公开或其他已合法公开的信息，以及法律、行政法规规定的其他情形。各项基础之间是并列关系，同意并非启动处理的单一入口。

二、各基础不可混用

选择哪一项基础，决定了后续的义务结构：以同意为基础的要承担撤回与重新告知义务，以法定职责为基础的则不需要取得同意，但处理范围受职责边界约束。

实务中常见的问题是笼统写在隐私政策里「我们依据法律法规或您的同意处理」，实际发生争议时却说不清具体依据哪一项。

操作清单

为每一项处理活动标注具体的合法性基础，形成处理活动与依据的对应清单。

以合同必需为依据的，写清该处理与合同履行之间的必要联系，不做宽泛解释。

以法定义务为依据的，指明具体的法律法规条款，不用模糊理由替代。

同一处理活动涉及多项基础的，分开登记，避免出现概括打包导致依据无法识别。