导语

选择合法性基础不是一次性的选择题，而是需要随业务调整不断复核的动态工作。建立一份处理活动清单，把每项活动的依据标清楚，是这项工作最实用的起点。

本篇说明建立依据映射台账的方法，以及依据变更时应当走的复核流程。

规则出处与规范指向

《中华人民共和国公司法》第十三条（处理个人信息的合法性基础）：《个人信息保护法》第十三条规定：符合取得个人同意，为订立、履行个人作为一方当事人的合同所必需，为履行法定职责或者法定义务所必需，为应对突发公共卫生事件或者紧急情况下为保护自然人的生命健康和财产安全所必需，依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息，以及法律、行政法规规定的其他情形之一，方可处理个人信息。同意之外的各项依据，是处理活动的重要合法性来源。

一、建立基础映射台账

对每一项处理活动明确标注所依据的合法性基础，形成处理活动清单。这份清单既是内部管理的抓手，也是应对监管核查的底稿。

同一处理活动可能同时涉及多项基础，应当分开登记，避免出现「一揽子概括」导致依据无法识别。

二、基础变更时的处理流程

当业务调整导致原依据不再适用时，应当走一次合规复核：确认新依据、更新告知文本、必要时重新取得同意，并留存复核记录。

对以合同必需为基础的自动化处理，应当保留合同文本与必要性说明，以便日后说明处理与合同之间的关联。

操作清单

建立处理活动清单，逐项标注所依据的合法性基础。

同一活动涉及多项基础的分开登记，避免概括表述。

业务调整导致原依据不再适用时，启动合规复核：确认新依据、更新告知文本、必要时重新取得同意。

把复核结论归档，形成可追溯的依据变更记录。