导语

合法性基础有一个容易被忽略的时间属性：它必须在处理开始前就已经具备。先处理再补依据，事后无论补得多完整，时间顺序上的瑕疵都难以消除。

本篇说明依据成立、依据变更与同意撤回这三个时间节点上的要求。

规则出处与规范指向

《中华人民共和国公司法》第十三条（处理个人信息的合法性基础）：《个人信息保护法》第十三条规定：符合取得个人同意，为订立、履行个人作为一方当事人的合同所必需，为履行法定职责或者法定义务所必需，为应对突发公共卫生事件或者紧急情况下为保护自然人的生命健康和财产安全所必需，依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息，以及法律、行政法规规定的其他情形之一，方可处理个人信息。同意之外的各项依据，是处理活动的重要合法性来源。

一、依据成立的时间要求

合法性基础应当在处理开始前即已具备。先处理再补同意、先使用再补签合同条款，在时间顺序上不成立。

同意被撤回后，以同意为基础的处理应当立即停止；若仍要继续处理，必须转向其他合法性基础并重新告知。

二、公开信息的时效限制

依据「个人自行公开或其他已合法公开的信息」处理时，应当限于合理范围。个人明确拒绝或者公开场景已经改变时，继续处理可能超出合理范围。

公开渠道的信息并非永久可自由使用，变更处理目的或扩大使用范围时，仍需重新评估是否仍在合理范围之内。

操作清单

确保处理开始前依据已经具备，不采用先处理再补手续的做法。

同意被撤回后立即停止以同意为基础的处理；需继续的，转向其他基础并重新告知。

目的或方式变更时重新评估依据，把复核结论与时间一并归档。

依据公已开信息处理的，定期复核处理范围是否仍在合理限度内。