导语

「一切都必须靠同意」「签了合同就有了全部授权」「公开信息可以随意使用」，这三句话把合法性基础的适用边界说得过于宽泛，实务中经常引发问题。

本篇逐条辨析这三种误解，并说明各自正确的适用边界。

规则出处与规范指向

《中华人民共和国公司法》第十三条（处理个人信息的合法性基础）：《个人信息保护法》第十三条规定：符合取得个人同意，为订立、履行个人作为一方当事人的合同所必需，为履行法定职责或者法定义务所必需，为应对突发公共卫生事件或者紧急情况下为保护自然人的生命健康和财产安全所必需，依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息，以及法律、行政法规规定的其他情形之一，方可处理个人信息。同意之外的各项依据，是处理活动的重要合法性来源。

一、误判一：一切都必须靠同意

同意只是基础之一。履行合同所必需、履行法定义务所必需等情形无需同意，错误地一律索取同意反而可能构成不必要的索取。

二、误判二：签了合同就等于获得全部处理授权

合同必需有范围限制，仅覆盖实现合同目的所必需的处理。合同之外的营销推广不属于合同必需，需要另行取得同意。

三、误判三：公开信息可以随意使用

公开信息的处理限于合理范围，超出合理范围或违背个人明确意愿的使用，同样可能构成违法处理。

操作清单

不要一律索取同意，履行合同所必需、履行法定义务所必需等情形无需同意，误取反而构成不必要的索取。

不要把合同授权扩大到合同目的之外，营销推广通常不属于合同必需。

不要以为公开信息可以无限使用，处理仍应限于合理范围。

不要用模糊表述代替具体依据，争议发生时说不清依据会显著不利。