告知同意之外：个保法第13条六种不需要你同意的情形

告知同意是个人信息处理的一般规则，但并不是唯一的合法路径。个人信息保护法第十三条一口气列出了六种不需要取得你同意的处理情形，很多用户不知道这一点，于是误以为“只要我不同意，谁都不能动我的信息”；也有不少企业把它当成万能挡箭牌，把本该走同意的场景硬塞进“合同必需”。这篇把同意的有效要件和六条例外逐一拆开讲。

⁠​‌​‌​​‌​‌‌‌​‌​‌​‌‌​​‌​‌‌​​‌​​​​‌​‌‌​‌​‌​‌​‌​‌‌​​⁠

一、有效的“同意”长什么样

同意不是点个“我已阅读并同意”就算数：

三个要件缺一不可：充分知情（前提是处理者按第十七条真实、准确、完整地告知处理者身份、目的、方式、种类、保存期限等）、自愿（不得捆绑、不得以拒绝服务变相强迫）、明确（默认打勾、埋在隐私政策里算不上）。撤回权配套存在：

注意后半句：撤回只管将来，撤回前已经做过的处理不因此违法。同时第十六条禁止“不给权就不给服务”，但书允许处理“提供服务所必需”的信息——这条但书正是很多争议的战场。

二、六种不需要同意的情形，逐项看边界

• 合同必需（第二项）：网购就要给姓名、地址、电话，这是履行合同所必需；但商家借机要你的人脸、通讯录，就超出了“必需”。判断尺子是目的相关性。
• 人力资源管理必需（第二项后段）：单位按依法制定的规章制度实施人事管理可以不经逐项同意，但“必需”二字仍然管用，考勤、工资、社保之外的滥用不在保护圈内，细节见公司做背景调查、公开处分通报，侵犯员工隐私和名誉吗。
• 法定职责、法定义务（第三项）：税务机关征税、平台按反洗钱规定核验身份，属于此类。
• 紧急情况（第四项）：急救、防灾场景可以先用后告知，紧急情况消除后应按第十八条及时告知。
• 新闻报道与舆论监督（第五项）：以公共利益为目的、在合理范围内，注意“合理范围”要结合信息敏感程度与公共利益关联度判断。
• 已公开信息（第六项）：可以合理处理你自行公开或已合法公开的信息，但你明确拒绝的除外，边界认定见能要求平台删除我的个人信息吗？说说「被遗忘权」。

三、六条例外的另一面：不是免死金牌

这一层是打不赢的那一半要提前知道：

• 例外情形同样受最小必要原则约束。第十三条只是解决了“要不要同意”，没有豁免第六条的目的限定与影响最小要求，也没有豁免告知义务——除了法定的保密或紧急情形。
• 敏感个人信息不吃这套：处理敏感个人信息原则上要单独同意，属于第十三条第二至七项情形的虽可免于取得同意，但“特定目的+充分必要性+严格保护措施”的门槛不会降低，规则见体检报告、行踪轨迹、人脸信息：敏感个人信息为什么要单独同意。
• 举证在企业：处理者主张属于合同必需、法定义务的，发生争议时要由它证明“必需”与“合理范围”，拿不出对应制度与记录就要承担不利后果。

四、个人怎么操作

五、常见误区

• 误区一：六条例外意味着企业可以先把信息拿到手再补理由。 例外是适用前提而非事后借口，处理者须在处理时即落入对应情形并能举证。
• 误区二：撤回同意后之前的行为也违法。 第十五条第二款明确了撤回的向前效力，撤回前基于有效同意的处理不受影响。
• 误区三：合同必需等于合同里写了就能收集。 “必需”是客观标准，不是格式条款写什么就必需什么。
• 误区四：敏感信息也可以套用六条例外。 敏感信息的处理门槛更高，多数场景仍须单独同意，套用例外很难成立。

六、问答

一句话收束：同意是默认门，六条例外是侧门，侧门也要刷卡——目的、必要、告知、举证一样不能少。六种合法情形里企业最容易踩的两个坑，站内另有专文，见不经同意也能用你的个人信息？六种合法情形与企业最容易踩的两个坑；不同意就不让用怎么处理，见不同意收集信息就不让用，App 这么做合法吗。

以上内容为一般性法律知识分享，不构成正式法律意见；具体案件请结合证据情况咨询执业律师。