导语

缺乏合法性基础的处理属于违法处理，可能面临从责令改正到高额罚款的处罚梯度，还可能承担民事赔偿。把这些后果量化出来，才能为内部的合规投入争取到合理资源。

本篇说明法律后果的层级与合规成本的核算口径，并提示业务暂停带来的收入中断风险。

规则出处与规范指向

《中华人民共和国公司法》第十三条（处理个人信息的合法性基础）：《个人信息保护法》第十三条规定：符合取得个人同意，为订立、履行个人作为一方当事人的合同所必需，为履行法定职责或者法定义务所必需，为应对突发公共卫生事件或者紧急情况下为保护自然人的生命健康和财产安全所必需，依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息，以及法律、行政法规规定的其他情形之一，方可处理个人信息。同意之外的各项依据，是处理活动的重要合法性来源。

一、法律后果的层级

缺乏合法性基础的处理属于违法处理个人信息，可能面临责令改正、警告、没收违法所得与罚款；情节严重的可处五千万元以下或者上一年度营业额百分之五以下罚款，并可责令暂停业务、停业整顿乃至吊销许可。

除行政责任外，还可能承担民事赔偿责任。个人因信息权益受到侵害遭受损失的，可以要求处理者赔偿。

二、合规成本的核算口径

建立处理活动清单、逐项映射合法性基础的工作量集中在初期，属于一次性投入；后续维护随业务调整增量发生。

与之相对的潜在成本包括罚款、业务暂停损失与商誉影响。测算时应当把业务暂停带来的收入中断一并计入，而非只看罚款数额。

操作清单

按「情节一般」与「情节严重」两个档次分别列出可能后果，形成责任对照表。

把业务暂停导致的收入中断一并计入风险敞口，不要只看罚款金额。

把建立处理活动清单的初期投入与后续维护的增量成本分开测算。

向管理层说明民事赔偿与行政责任可以并行，责任形式并不单一。