不经同意处理个人信息，在很多人的理解里等于“违法”。其实《个人信息保护法》给了六种不需要取得同意的合法性基础。企业做合规时，如果只盯着“拿同意”，反而会陷入另一个坑——把本该靠“法定基础”处理的事项，硬做成“同意”，结果用户一撤回同意，整个业务就卡住了。
先说结论：七种合法性基础
个人信息保护法第十三条：符合下列情形之一的，个人信息处理者方可处理个人信息：（一）取得个人的同意；（二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；（三）为履行法定职责或者法定义务所必需；（四）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；（五）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；（六）依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；（七）法律、行政法规规定的其他情形。依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意。
- 第一项：同意——最常见的路径，但可以被撤回
- 第二项：合同必需与人力资源管理必需——签合同要收地址、发工资要收银行卡
- 第三项：履行法定职责或法定义务——税务申报、反洗钱、司法协助
- 第四项：突发公共卫生事件或紧急情况——保护生命健康与财产安全
- 第五项：新闻报道、舆论监督——须在“合理范围”内
- 第六项：已合法公开的信息——须在“合理范围”内处理
- 第七项：法律、行政法规规定的其他情形——兜底条款，强调“法律、行政法规”层级
一个核心误区：“不需要同意”就被理解成“什么都不用做”。事实是——第十三条解决的是“合法性基础”，第十七条的告知义务是另一回事。除法律、行政法规规定应当保密或不需要告知的情形外，处理前仍须以显著方式、清晰易懂的语言告知处理者身份、处理目的方式种类与保存期限、个人行使权利的方式等事项。
第一步：第二项——合同与人力资源，边界最窄
这一项是实务中最常用、也最容易被滥用的。
- “合同所必需”：没有这项信息，合同就无法订立或履行。比如送快递必须收地址电话，办银行卡必须收身份证号
- “不是必需”的典型：注册会员时强制收集人脸、职业、收入、婚姻状况，与合同履行无关
- “人力资源管理所必需”的前提：须有依法制定的劳动规章制度或依法签订的集体合同
- 制度要求：规章制度须经民主程序制定并向员工公示，否则难以作为合法性基础
- 典型可适用范围：考勤、工资发放、社保公积金缴纳、岗位胜任能力评估
- 典型越界：收集员工家属的详细信息、监控员工私人手机、非工作时间的行踪
很多企业把“员工信息处理”全部写进《员工同意书》，看起来很规范，其实埋了雷。劳动关系中“同意”的自愿性本身就被质疑——员工不同意可能影响就业。正确做法是：能靠“人力资源管理所必需”的，就走法定基础，并配套合法有效的规章制度；确实超出的，才单独取得同意。
第二步：第三项——法定义务，必须有明确出处
- 需要有具体法律、行政法规依据：如税收征管法、反洗钱法、网络安全法规定的日志留存
- 不能以“部门规章”“地方文件”自行扩张：第十三条第七项明确限于“法律、行政法规”
- 范围限于“必需”：法定义务要求 A，不能顺手把 B 也收了
- 典型场景：银行客户身份识别、支付机构交易记录保存、网络运营者日志留存、用人单位社保申报
- 举证责任：企业要能指出具体条文，而不是笼统说“监管要求”
第三步：第四项——紧急情况，事后仍要补告知
- 突发公共卫生事件：疫情防控中的流调、健康码，属于此类
- 紧急情况下保护生命健康和财产安全：如有人晕倒，调取监控确认身份并联系家属
- “紧急”的判断：现实、紧迫、无其他更小侵害的手段
- 事后处理：紧急状态结束后，超范围收集的信息应当删除或匿名化
- 仍需告知：不能因为“紧急”就完全不告知，事后应补充告知
第四步：第五、六项——“合理范围”是关键词
- 新闻报道与舆论监督：可以处理必要范围内的个人信息，但不得超出报道所需，不得披露与公共利益无关的私密信息
- 已合法公开的信息：公开渠道获取的信息并非“随便用”，仍受处理目的限制
- “合理范围”的判断要素：处理目的、信息敏感程度、对个人权益的影响、是否为个人自行公开
- 典型越界：把公开的企业登记信息批量抓取后用于电话营销；把公开的社交平台照片用于商业广告
- 个人明确拒绝的：个人明确表示拒绝的，不得处理（法律另有规定的除外）
“网上能查到”不等于“可以随便用”。爬取公开信息做营销名单，是近年被处罚最多的场景之一。判断标准是：处理目的是否与信息公开时的目的相容、是否超出了个人的合理预期。
第五步：不需要同意，但仍要做的四件事
个人信息保护法第十七条：个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知下列事项：（一）个人信息处理者的名称或者姓名和联系方式；（二）个人信息的处理目的、处理方式，处理的个人信息种类、保存期限；（三）个人行使本法规定权利的方式和程序；（四）法律、行政法规规定应当告知的其他事项。前款规定事项发生变更的，应当将变更部分告知个人。个人信息处理者通过制定个人信息处理规则的方式告知第一款规定事项的，处理规则应当公开，并且便于查阅和保存。
- 告知：即使不需要同意，仍须履行告知义务
- 最小必要：只处理实现目的所必需的最少信息
- 保存期限：不超过实现目的所必要的时间
- 安全保障：采取加密、去标识化、访问控制等措施
- 影响评估：处理敏感个人信息、自动化决策、委托处理、向他人提供、公开等情形，须做个人信息保护影响评估
个人信息保护法第二十一条：个人信息处理者委托处理个人信息的，应当与受托人约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等，并对受托人的个人信息处理活动进行监督。受托人应当按照约定处理个人信息，不得超出约定的处理目的、处理方式等处理个人信息；委托合同不生效、无效、被撤销或者终止的，受托人应当将个人信息返还个人信息处理者或者予以删除，不得保留。未经个人信息处理者同意，受托人不得转委托他人处理个人信息。
一张对照表：选错依据的后果
- 该用合同必需，却做了“同意”：用户撤回同意，业务直接停摆
- 该用法定基础，却做了“同意”：同意书条款被认定无效，处理行为失去合法性
- 该做“同意”，却硬套合同必需：超范围收集，被认定违反最小必要原则
- 该做“单独同意”，只做了“概括同意”：处理敏感个人信息、向第三方提供、公开信息等情形，须单独同意
- 完全没有合法性基础：直接构成违法处理，面临行政处罚与民事赔偿
- 梳理数据地图：每一类个人信息、每一个处理环节，先明确合法性基础
- 区分敏感信息：生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹，以及不满十四周岁未成年人的信息
- 更新隐私政策：把“依据第十三条第几项”写清楚，不要一律写“经您同意”
- 保留举证材料：制度文件、公示记录、影响评估报告、委托处理协议
- 建立响应机制：个人查阅、复制、更正、删除、撤回同意的请求，要有处理流程和时限
个人信息合规的核心不是“多拿同意”，而是“把每一类信息放到正确的合法性基础上”。基础选对，业务才稳；基础选错，同意书签得再厚也没用。
本站相关文章可以对照阅读：人脸识别合法吗、企业没做数据安全保护，会有什么处罚、网络平台泄露用户数据，要担责吗。
以上内容为一般性法律知识分享，不构成正式法律意见；具体案件请结合证据情况咨询执业律师。