十五条一千九百七十一字：七项合法性基础六项不用同意，真正的「单独同意」只有三处

十五条，一千九百七十一个字，条均一百三十一点四。

⁠​‌​‌​​‌​‌‌‌​‌​‌​‌​​​​​‌‌‌​​‌​‌‌​‌‌​​​‌‌​‌​‌​‌‌​​⁠

这是《中华人民共和国个人信息保护法》第二章第一节「一般规定」的全部内容，从第十三条到第二十七条。全法的条均是一百一十四点零三，这一节比全法高出十七点三七，是整部法里写得最细的一节。

这一篇不算敏感信息，也不算跨境和权利，只算这一节：日常处理个人信息时，什么情况下可以处理、怎么取得同意、要告知什么、能保存多久、能不能给别人、能不能拿来算你。

之所以要先读这一节，是因为全法的「同意」有八成二都在这里。同意这件事，整部法只在这一节里讲。总则十二条一次没提，法律责任六条一次没提，附则三条也没提。

一、先摆数：十五条，一千九百七十一字

最长的是第十三条，三百零九字，也是全法第二长的一条，仅次于第六十六条的三百四十二字。最短的是第二十五条，三十二字，是全法第三短的一条，只比第七十四条（十七字）和第四十八条（三十字）长。

十五条里，「应当」出现二十七次，占全法七十四次的百分之三十六；「可以」只出现两次；「不得」七次；「禁止」零次；「有权」三次。

「同意」二十二次、「告知」十次、「单独同意」四次。这三组数字放到全法里看：

三个词的三分之二以上，都压在这十五条里。

二、第十三条：七项基础，只有第一项是「同意」

这一条是全法最有名的一条，因为它回答了一个最常被问的问题：处理个人信息，是不是一定要我同意？

答案是：不是。

七项情形里，第（一）项是「取得个人的同意」，剩下六项：

• （二）订立、履行合同所必需，或者按劳动规章制度和集体合同实施人力资源管理所必需；
• （三）履行法定职责或者法定义务所必需；
• （四）应对突发公共卫生事件，或者紧急情况下保护生命健康和财产安全所必需；
• （五）为公共利益实施新闻报道、舆论监督，在合理范围内处理；
• （六）依照本法在合理范围内处理个人自行公开或者其他已经合法公开的个人信息；
• （七）法律、行政法规规定的其他情形。

第二款把这个结构说得更直白：「依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意。」

七项里六项不用同意。同意的地位，从「原则」变成了「七分之一」。

三、七项逐个看：哪一项最好用

第（一）项 同意。最好理解，也最难举证。你说「他同意了」，得拿得出记录。

第（二）项 合同必需和人力资源管理必需。这是企业用得最多的一项。注意它有两个限定：一是「所必需」，不是「有关」；二是人力那半句限定在「依法制定的劳动规章制度」和「依法签订的集体合同」范围内。公司自己发个通知不算。

第（三）项 法定职责和法定义务。机关用它，企业也用。比如银行按反洗钱规定核验身份，走的就是这一项。

第（四）项 突发公共卫生事件和紧急情况。注意后半句的三个限定：紧急情况、保护的是生命健康和财产安全、且是「所必需」。疫情期间的健康码走这一项，日常的场所码就不一定了。

第（五）项 新闻报道和舆论监督。四个字最关键：「合理的范围内」。没有这五个字，这一项会被用成万能钥匙。

第（六）项 已公开的信息。与第二十七条配套。第二十七条加了一个「个人明确拒绝的除外」，还有一句「对个人权益有重大影响的，应当取得同意」。所以「已经公开」不等于「随便用」。

第（七）项 兜底。只能由法律、行政法规规定，部门规章和地方性法规不行。

四、第十四条：「充分知情」「自愿」「明确」，三个词各管什么

第一款给了同意的三个质量要求：充分知情、自愿、明确。

• 充分知情，对应第十七条的告知清单。没告知，就谈不上知情。
• 自愿，对应第十六条。你不给就不能用服务，那这个「自愿」是打折的。
• 明确，对应形式。默示、预勾选、继续使用视为同意，都不够「明确」。

第一款后半句还有一个引致：法律、行政法规规定要「单独同意」或者「书面同意」的，从其规定。这就是「单独同意」这四个字的来源。本法自己规定了六处，其中四处在本节。

第二款是重新取得同意：处理目的、处理方式、处理的个人信息种类，三者任一变更，都要重新取得同意。注意只有这三项。保存期限变了、接收方变了，这一款不管——接收方变更走第二十三条。

五、把「同意」分成四层，越往下越难替代

这部法里的「同意」不是一个东西，是四层。层层加码，每一层的形式要求都不一样。

四层的区别，实务里最容易被忽略的是第二层。

「单独同意」的「单独」，指的是动作单独，不是内容单独。一次弹窗里把「向第三方提供」和「用于营销」两个选项一起弹出来让人勾，算不算单独？多数解读认为不算——两个目的必须分开问、分开勾。

第二层还有一种特殊情形：书面同意。这部法自己没有规定哪种情形必须书面，只说「法律、行政法规规定应当取得书面同意的，从其规定」。所以书面要求的来源在别的法里，比如《征信业管理条例》。

第四层「重新同意」的触发点只有三个：目的变更、方式变更、种类变更。保存期限延长算不算方式变更？条文没写。稳妥的理解是算，因为保存期限本身就是第十七条要求告知的四项内容之一。

六、第十五条：撤回同意，只给了「便捷的方式」四个字

两款八十一字。

第一款两句：个人有权撤回同意；处理者应当提供便捷的撤回方式。

第二款一句：撤回不影响撤回前已经进行的处理活动的效力。

这三句话合起来，构成一个很重要的结构：撤回是向后的，不是向前的。

实务里最常争的是「便捷」两个字。打电话要转五次、要发邮件、要邮寄书面申请、要在 App 里翻五层菜单——这些算不算便捷？法条没有给标准。可以参考的是《App 违法违规收集使用个人信息行为认定方法》里的一条：不得为撤回同意设置不合理条件。判断的落脚点通常是「能不能达到和给同意时同样的容易程度」。

七、第十六条：不给信息，不能就不给服务

六十五字，一句主体加一个例外。

主体：不得以「个人不同意」或者「撤回同意」为由，拒绝提供产品或服务。

例外：处理个人信息属于提供产品或服务所必需的除外。

「所必需」三个字是这一条的命门。什么是必需？一个手电筒 App 要通讯录，不是必需；一个导航 App 要位置，是必需；一个社交 App 要手机号，一般认为必需，要人脸就不是。

实务里判断「必需」有一个常用方法：不给这项信息，核心功能还能不能用。核心功能还能用，就不是必需。

八、第十七条：告知清单四项，缺一项就是违法

这一条二百二十四字，本节第二长，把告知义务拆成了三款。

第一款要求「以显著方式、清晰易懂的语言真实、准确、完整地」告知四项：

1. 处理者的名称或者姓名和联系方式；
2. 处理目的、处理方式，处理的个人信息种类、保存期限；
3. 个人行使本法规定权利的方式和程序；
4. 法律、行政法规规定应当告知的其他事项。

四项里最容易漏的是第三项——「我怎么行使权利」。很多隐私政策写了收集什么、干什么用，就是不写「我要查、要删、要撤回，找谁、怎么找」。

第二款：事项变更的，变更部分要告知。

第三款：通过制定处理规则的方式告知的，规则应当公开，并且便于查阅和保存。「便于查阅和保存」这六个字，把「发个 PDF 让你自己找」这种做法排除了一半。

九、第十八条：两种「可以不告知」，边界在哪

第十八条列了两种可以不告知的情形：

• 法律、行政法规规定应当保密，或者不需要告知的；
• 紧急情况下为保护生命健康和财产安全，无法及时告知的。

第二种有个尾巴：紧急情况消除后应当及时告知。也就是说这不是永久豁免，是延期告知。

注意这一条用的是「可以」不是「应当」——全法「可以」十八次，这一条是其中之一。「可以不告知」和「不必告知」是有区别的：前者是裁量，后者是免除。

十、第十九条：「最短时间」四个字，全法没有一个具体年限

四十一个字，全法最短的几条之一。

一句话：除法律、行政法规另有规定外，保存期限应当为实现处理目的所必要的最短时间。

「最短时间」是一个相对标准，不是绝对年限。这部法通篇没有一个「保存不得超过三年」「不得超过五年」这样的硬数字。对比《网络安全法》第二十一条要求网络日志留存不少于六个月，那是一个下限；本条给的是一个上限，而且是相对的上限。

对比第七十三条的另一种做法：第五十六条要求「个人信息保护影响评估报告和处理情况记录应当至少保存三年」。那是唯一的硬数字，而且是下限。

所以实务里判断保存期限合不合规，顺序是：先看有没有专门法规定年限（比如征信、医疗、会计档案），没有再看「实现目的所必需」。

十一、第二十条：共同处理，约定不能对抗个人

第二十条两款，一百二十三字。

第一款：两个以上处理者共同决定处理目的和处理方式的，应当约定各自的权利义务。

第二款：这个约定不影响个人向其中任何一个处理者要求行使权利；共同处理造成损害的，承担连带责任。

这一条的设计意图很清楚：内部怎么分账是你们的事，对外每一个人都要负全责。个人可以挑最有赔偿能力的那个告。

十二、第二十一条：委托处理，受托人不能转委托

二百零四字，三款，是本节讲委托处理的完整规则。

第一款是委托方的义务：约定处理目的、期限、处理方式、信息种类、保护措施、双方权利义务，并且对受托人的处理活动进行监督。

第二款是受托方的义务：按约定处理，不得超出约定；委托合同不生效、无效、被撤销或者终止的，返还或者删除，不得保留。

第三款是一句硬话：未经委托方同意，受托人不得转委托他人处理。

这三款合起来，把外包链条收住了。实务里最常见的问题是「层层外包」——你委托 A，A 交给 B，B 交给 C。第三款把这条路堵了：转委托必须经你同意。

十三、第二十二条：公司被收购，你的信息跟着走

第二十二条一百一十四字，管的是合并、分立、解散、被宣告破产这四种情形。

规则是三步：

1. 应当向个人告知接收方的名称或者姓名和联系方式；
2. 接收方应当继续履行处理者的义务；
3. 接收方变更原先的处理目的、处理方式的，应当重新取得同意。

注意第一步只是「告知」，不是「取得同意」。公司并购本身不需要你同意，但接收方要改用途，就得重新问你。

这一条在实务里的价值不小：很多人发现自己的信息「换了主人」，其实从法律上看是允许的，只是必须告知。

十四、用工场景：公司能不能拿员工信息做考勤和人脸打卡

这一节里跟上班关系最紧的是第二十条、第二十一条，还有第十六条。

第一件事：公司收集员工信息，靠哪一项基础？第十三条第（二）项后半句——按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需。三个限定缺一不可：规章要依法制定、集体合同要依法签订、而且必须是「所必需」。

第二件事：能不能装人脸打卡？人脸属于敏感个人信息，第二十八条明确把生物识别列了进去。处理敏感信息要单独同意（第二十九条），还要有特定目的和充分必要性（第二十八条第二款）。考勤的目的正当，但「充分必要性」这一关不好过——指纹、工卡、手机定位都能达到同样目的，人脸不是唯一手段。这是实务里用人单位最容易输的一环。

第三件事：能不能在工位装摄像头？第二十六条管的是「公共场所」。工位算不算公共场所，有争议。多数观点认为：办公区域对全体员工开放，具有公共场所属性，但要满足「为维护公共安全所必需」和「显著提示」两个条件。装在更衣室、卫生间，一律不行。

第四件事：员工离职以后，信息怎么办？按第十九条，保存期限是实现目的所必要的最短时间；按第四十七条，处理目的已实现或者不再必要的，应当主动删除。离职员工的身份证复印件、银行卡号，继续留着没有对应的处理目的，就落在应当删除的范围里。

十五、第二十三条：把信息给别人，要单独同意

第二十三条一百五十三字，一句话很长，但结构清楚。

向其他处理者提供个人信息，要做两件事：

1. 告知接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息种类；
2. 取得个人的单独同意。

接收方要在上述范围内处理；变更目的、方式的，重新取得同意。

「单独同意」和「同意」的区别，就在这里。一般同意可以混在隐私政策里一并勾选；单独同意必须是单独的一次动作——单独弹窗、单独勾选、单独确认，不能和别的条款打包。

全法「单独同意」出现六次，本节占四次：第十四条（引致）、第二十三条（提供）、第二十五条（公开）、第二十六条（公共场所图像采集）。另外两处在敏感信息和出境。

十六、第二十四条：自动化决策，三条权利一条禁令

一百九十五字，三款，是这部法里唯一直接管「算法」的条文。

第一款两条要求：保证决策的透明度和结果公平公正；不得对个人在交易价格等交易条件上实行不合理的差别待遇。

第二款：通过自动化决策推送、营销的，应当同时提供不针对个人特征的选项，或者提供便捷的拒绝方式。

第三款是最硬的一条：通过自动化决策作出对个人权益有重大影响的决定，个人有权要求说明，并有权拒绝仅通过自动化决策的方式作出决定。

三款对应三个场景：

• 第一款管「定价」——同一趟航班，老用户比新用户贵，就是这一款；
• 第二款管「推送」——信息流、推荐位；
• 第三款管「决定」——自动拒贷、自动拒保、自动筛简历。

第三款的「拒绝权」最值钱。它意味着：当算法要对你作出重大决定时，你可以要求有人来看。

「自动化决策」的定义在第七十三条：通过计算机程序自动分析、评估个人的行为习惯、兴趣爱好或者经济、健康、信用状况等，并进行决策的活动。注意它要求「并进行决策」，只分析不决策的，不算。

十七、第二十五条到第二十七条：公开、摄像头、已公开信息

三十一个字（正文三十二字），全法第三短。

一句话：不得公开，取得单独同意的除外。

没有「合理范围」，没有「为公共利益」，就是一个干净的禁止加一个干净的例外。这是本节语气最硬的地方，也是全法对「公开」这件事唯一的规定。

一百零四字，管公共场所的图像采集和身份识别设备。三个限定：

1. 为维护公共安全所必需——不是「为了管理方便」；
2. 遵守国家有关规定，设置显著的提示标识；
3. 所收集的图像、身份识别信息只能用于维护公共安全，不得用于其他目的，取得单独同意的除外。

这一条是物业刷脸、商场摄像头、写字楼门禁这些场景的直接依据。核心在第三句：只能用来看安全，不能拿去做别的。商场用人脸统计客流、分析顾客性别年龄，严格说超出了「维护公共安全」。

第二十七条九十五字，管已公开的个人信息：可以在合理范围内处理，个人明确拒绝的除外；对个人权益有重大影响的，应当取得同意。

「个人明确拒绝的除外」这七个字，是第二十七条的灵魂。它给了个人一个「退出」的开关，不需要理由。

十八、和民法典人格权编比：隐私权和个人信息不是一回事

很多人把这两个概念混着用，其实请求权基础不同。

民法典人格权编把两者分开写：第一千零三十二条是隐私权，第一千零三十四条到第一千零三十九条是个人信息保护。区别的核心在「私密」两个字。

• 隐私强调的是不愿为他人知晓。判断标准是内容私密，不问是否可识别。
• 个人信息强调的是可识别。判断标准是能不能对应到具体的人，不问内容私密与否。

两者的差别在实务里很实际：

第一，已经公开的信息，还能主张隐私权吗？一般不成立，因为不再私密。但仍可能是个人信息，仍受本法保护。

第二，姓名、电话、身份证号，是隐私还是个人信息？如果只是身份识别信息、不涉及私密内容，通常按个人信息处理；如果与私密活动结合，比如就诊记录、开房记录，则同时构成隐私。

第三，赔偿路径不同。走隐私权，按民法典第一千一百八十三条可以主张精神损害赔偿；走个人信息，按本法第六十九条主张损害赔偿。两条路可以并用，但不能重复获赔。

这条界线之所以重要，是因为举证难度不同。隐私权要证明私密性和被侵害的事实，个人信息只要证明处理行为和损害，过错由对方举证。

十九、算例：一个 App 要通讯录，能不能不给

场景：装一个记账 App，第一次打开就要读取通讯录，不同意就退不出去。

第一步，看第十三条。这个 App 能不能找到「不用同意」的那一项？记账不是履行合同所必需的信息——记账的核心功能是记收支，通讯录与它无关。第（二）项不成立。七项里没有一项能用。

第二步，看第十六条。不给通讯录就不让用，这一条禁止，除非「属于提供产品或者服务所必需」。通讯录不是记账所必需，所以这个「不同意就退出」的做法违法。

第三步，看第六条。「收集个人信息，应当限于实现处理目的的最小范围，不得过度收集」。通讯录明显超出最小范围。

第四步，看第十七条。它有没有告诉你「收集通讯录干什么用、保存多久、你怎么行使权利」？如果隐私政策里只是一句「为了提供更好的服务」，告知不合格。

第五步，怎么办。按第六十五条向履行个人信息保护职责的部门投诉，是最直接的路；按第五十条，你也可以直接要求它解释、要求它停止。

这个场景里最有用的一句话是：核心功能不需要的信息，你可以不给，它不能因此拒绝服务。

二十、这一篇的三个软处

第一个软处：第十六条的「所必需」没有标准。什么是必需，全靠个案判断。App 厂商普遍把「必需」往宽了解释，而执法资源有限，很多小 App 的实际做法并没有被纠正。

第二个软处：第十五条的「便捷」没有标准。撤回同意设几道门槛算不合理，法条没说。结果是「给同意一键，撤回要打电话」成了常态。

第三个软处：第二十四条第三款的「重大影响」没有定义。什么算重大影响？拒贷算，拒保算，那推荐岗位算不算？筛简历算不算？实务里这条用得很少，原因就在这个模糊。

二十一、接着看

这一篇是族内的子篇。全书总账、总则、法律责任和附则，见母篇：

• 母篇：七十四条八千四百三十八字：总则条均六十五点三三全书最低，四笔罚款全写在一篇里（全书总账、总则、法律责任、附则）

相关页面

• 个人信息
• 个人信息的处理
• 人脸识别
• 个人信息保护法
• 个人信息
• 法条深读
• 法条逐条深读
• 网络与数据
• 网络个人信息常见问题
• 算法杀熟与个人信息常见问题
• 个人信息泄露怎么办
• 数据处理协议
• 12315 投诉流程
• 个人信息侵权要哪些证据
• 侵犯公民个人信息罪

---

本文依据《中华人民共和国个人信息保护法》现行文本逐条统计，条文汉字为条号后正文的全部字符数（含标点），不含条号与章、节标题。文中数字均经回库核对；个案结论因事实差异可能不同，本文不构成正式法律意见，具体事务请咨询执业律师。