导语

以「合同必需」或「法定义务」为名扩大处理范围，是实践中合法性基础被误用的高频方向。双方争议的焦点，往往落在「该项处理是否真的属于必需」这一判断上。

本篇从处理者与主张方两侧梳理举证方向与推进顺序。

规则出处与规范指向

《中华人民共和国公司法》第十三条（处理个人信息的合法性基础）：《个人信息保护法》第十三条规定：符合取得个人同意，为订立、履行个人作为一方当事人的合同所必需，为履行法定职责或者法定义务所必需，为应对突发公共卫生事件或者紧急情况下为保护自然人的生命健康和财产安全所必需，依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息，以及法律、行政法规规定的其他情形之一，方可处理个人信息。同意之外的各项依据，是处理活动的重要合法性来源。

一、企业一侧

第一步，建立处理活动与合法性基础的对应清单，逐项标注依据并保留必要性说明材料。

第二步，对依赖同意的处理，保存告知文本版本与授权日志，确保时点可还原。

第三步，业务调整时同步复核依据，把复核结论归档，避免依据在新业务下悄悄失效。

二、个人与监管一侧

第一步，先固定处理事实，例如收到的营销信息、被用于未告知用途的记录。

第二步，要求处理者说明所依据的合法性基础，并核对与其隐私政策、合同约定是否一致。

第三步，重点核查以「合同必需」或「法定义务」为名的处理是否超出必要范围，这是实践中依据被滥用的高频方向。

操作清单

企业侧：建立依据映射清单并保留必要性说明，做到每一项处理都有据可查。

企业侧：对依赖同意的处理保存告知文本版本与授权日志，确保时点可还原。

主张方：先固定处理事实，再要求处理者说明依据并核对与其政策、合同是否一致。

主张方：重点质疑以合同必需或法定义务为名的处理是否超出必要范围。