导语

在数据处理争议中，举证责任的分配往往决定结果：个人先证明处理事实存在，随后合法性基础是否成立的举证责任就落到处理者一侧。这也解释了为什么处理者需要事先把依据材料准备好。

本篇梳理双方各自的举证内容，并说明以合同必需、法定义务为由时分别需要证明什么。

规则出处与规范指向

《中华人民共和国公司法》第十三条（处理个人信息的合法性基础）：《个人信息保护法》第十三条规定：符合取得个人同意，为订立、履行个人作为一方当事人的合同所必需，为履行法定职责或者法定义务所必需，为应对突发公共卫生事件或者紧急情况下为保护自然人的生命健康和财产安全所必需，依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息，以及法律、行政法规规定的其他情形之一，方可处理个人信息。同意之外的各项依据，是处理活动的重要合法性来源。

一、处理者的举证责任

处理者需要证明处理行为符合某一项合法性基础。以合同必需为基础的，要证明该处理与合同履行之间存在直接必要联系，而非合同之外的附加目的。

以法定义务为基础的，要指明具体的法律法规依据与条款，不能以「行业管理需要」这类模糊理由替代。

二、个人的初步举证

个人主张处理违法的，通常先证明处理事实的存在，例如收到营销信息、发现信息被用于未告知的用途。

在处理事实清楚的情况下，合法性基础的举证责任落到处理者一侧，这是这类争议中的关键分配点。

操作清单

处理者应保存处理活动清单与逐项的依据说明材料。

以合同必需为依据的，保存合同文本与必要性说明，证明处理与合同目的直接相关。

以法定义务为依据的，附上具体条款的引用与出处。

个人主张时先固定处理事实，再要求处理者说明其依据，把举证重心推向对方。