「我没点同意，凭什么用我的信息？」「用户不同意就什么都干不了？」——围绕个人信息处理的合法性基础，对立的误解同时存在。个人信息保护法第十三条给出了答案：取得同意只是七种合法路径之一，为订立履行合同所必需、履行法定职责或法定义务、应对突发公共卫生事件、新闻报道舆论监督等情形都可以成为处理依据，而且按第十三条第二款，落入第二至第七项的，不需取得个人同意。本文把七种基础逐项拆开，讲清每一条的边界在哪、例外在哪，帮你在「必须同意」和「无需同意」之间画出准确的线。
先看这三个要点
- 同意不是唯一：七种合法性基础是并列关系，处理者只要对号入座其中一项即可，不必件件收集同意。
- 「必需」有硬边界：合同所必需、人力资源所必需，都要求不处理就干不成这件事；借「必需」之名搭车收集营销信息，不豁免。
- 第二至七项免同意：落入这五项的，不但可以不经同意处理，个人也没有撤回同意的问题——但每一项都有自己的适用范围和限制。
一、条文原文
- 《中华人民共和国个人信息保护法》第十三条
- 符合下列情形之一的，个人信息处理者方可处理个人信息：
- （一）取得个人的同意；
- （二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；
- （三）为履行法定职责或者法定义务所必需；
- （四）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；
- （五）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；
- （六）依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；
- （七）法律、行政法规规定的其他情形。
- 依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意。
二、七种基础逐项过筛
| 情形要件 | 典型场景 | 边界与容易踩的坑 |
|---|---|---|
| （一）取得同意 | 一般 App、会员注册 | 同意须自愿明确，撤回权随时可行使 |
| （二）合同/人力资源所必需 | 网购收货地址、酒店登记入住；单位考勤、工资发放 | 仅限实现该合同或管理所必需的最小范围；借机要身份证复印件存档、推营销短信，越界 |
| （三）法定职责/法定义务 | 银行反洗钱核验、平台配合监管报送 | 义务须有法律法规明文依据，不是企业自己定个规则就算 |
| （四）紧急情况 | 疫情流调、急救时向医院提供血型病史 | 危险消除后不得继续使用；突发公共卫生事件的范围有法定限制 |
| （五）新闻报道舆论监督 | 媒体报道公共事件中的当事人信息 | 以公共利益为目的、在合理范围内；报道私纠纷、曝光个人信息泄愤，不在内 |
| （六）已合法公开的信息 | 处理企业公示信息、公开裁判文书中的信息 | 合理范围＋个人明确拒绝即停；对权益有重大影响的仍需取得同意 |
| （七）其他法定情形 | 法律行政法规另行规定的情形 | 兜底条款，须有上位法依据，规章和红头文件撑不起豁免 |
三、两项最常被滥用的基础怎么用才不出格
合同所必需是商家最爱引的一项。判断口诀是「没有它，这单生意做不做得成」：买机票必须收集姓名证件号——必需；买机票同时要读通讯录——与运输合同毫无关系，不豁免。同一逻辑下，收货必需地址电话，但必需不了生日、婚姻状况；支付必需银行卡号，但必需不了通讯录权限。必需性按单笔业务逐项核对，不能拿一张概括授权把所有字段全兜住。
人力资源管理所必需是用人单位的另一根拐杖。注意条文的完整表述：要按依法制定的劳动规章制度和依法签订的集体合同实施——制度本身要先合法，才能成为处理依据。考勤打卡、工资社保办理、必要的背景核实可以入内；在工位装录音录像全天候采集情绪、翻看员工私人聊天记录、收集与用工管理无关的社交账号，就超出「必需」的范围。员工离职后，为履行管理所必需的基础随之消失，继续留存使用就要另找合法性依据或依法删除。
四、边界与误区
- 误区一：「只要勾了同意就什么都能做」。同意本身也要守目的限定、最小必要等原则；而且对敏感个人信息，光有概括同意不够，还须单独同意。
- 误区二：「引用第（六）项就能随便用公开信息」。自行公开不等于无限授权：个人明确拒绝的必须停止；对个人权益有重大影响的处理，仍要取得同意。
- 误区三：「我是记者/自媒体，都有新闻报道豁免」。第（五）项的前提是为公共利益且在合理范围内；为流量曝光私人纠纷、对无关第三人信息不加处理地披露，照样违法。
- 不适用：落入第（二）至（七）项的处理不是不用保护——告知、安全措施、泄露通知等义务照样履行，免掉的只是「取得同意」这一项；混淆这两层，是合规方案最常见的塌方点。
五、延伸问答
问：商家说「行业都这么收」，能当合法性依据吗？ 不能。行业惯例既不是第十三条列出的任何一种情形，也不能替代逐项对号。合法性基础的判断是法定七项逐一检验，别的企业怎么做的，在个案审查里几乎没有分量。
问：劳动合同里写了授权条款，就够了？ 劳动合同可以承载人力资源管理所必需的约定，但「必需」的字段才落得进第十三条第二项；劳动合同里一揽子授权通讯录、定位、私人社交的条款，超出必需的部分依然无效，不因白纸黑字而合法。
问：转载媒体报道算不算新闻报道豁免？ 第（五）项保护的是为公共利益实施新闻报道、舆论监督的行为本身，且要在合理范围内。转发者明知信息系违法获取仍扩散、或转载时添加对方隐私细节的，豁免很难主张；平台与转发者的注意义务另行判断。
问：网红自己晒了信息，别人随便用？ 自行公开的信息只给了第（六）项的「合理范围」处理空间，个人明确拒绝的必须停止；拼接、二次利用到对当事人有重大影响的程度，仍要重新取得同意。「他自己发过」从来不是无限授权。
问：企业内部风控算「法定义务」吗？ 只有法律、行政法规明确赋予的义务（反洗钱核验、实名制等）才构成第（三）项的法定义务；企业自设的风控需求，要么落到合同必需，要么回到取得同意的轨道，不能把内部制度包装成「法定义务」。
问：紧急情况处理后要不要补手续？ 第（四）项解决的是紧急状态下的合法性，危险消除后，继续处理必须有新的依据；为急救采集的病历信息，事后留存、共享都要重新过一遍目的与必要性检验。
问：合规台账里「处理依据」要写到多细？ 细到「字段→目的→依据款项」三级：每类信息对应什么目的、引第十三条哪一项、必要性论证在哪。检查与诉讼都从这张表切入；只有一句「已取得用户同意」的台账，应对不了逐项核对。
问：七种基础可以叠加使用吗？ 可以。同一处理活动可能同时满足多项（既有合同必需、又有法定义务），叠加引用更稳；但要注意各项自带的限制——叠加不豁免单独同意、最小必要这些独立条件。
问：撤回同意后，企业能不能改用其他基础继续处理？ 不能倒挂。撤回同意后想换基础，必须是该活动本来就符合其他情形（如法定义务），而不是为了让处理继续而事后找一件外衣；以规避撤回效果为目的的「换轨」，实质还是违规处理。
问：个人怎么知道企业引的是哪项基础？ 结合第十七条的告知看：处理目的写什么，就该对应什么基础；告知说「用于订单履约」，实际拿去做信贷评估的，基础与目的对不上，本身就是违规信号，可要求说明并投诉。
问：跨境集团内部传输走哪项基础？ 出境另有第三十八条通道要求，与第十三条的基础是两套闸门：先有合法性基础（往往是合同必需），再走出境通道、单独同意与配套义务。两套都过，传输才合规，缺一不可。
问：公益活动、问卷调查能免同意吗？ 不能一概而论。公益属性不自动落入第（四）（五）项——要看是否属于突发公共卫生事件应对或公共利益新闻报道舆论监督；商业机构办的「公益问卷」搭车收集营销信息，按同意轨道处理。
问：基础选错但处理本身无害，算违法吗？ 算。合法性基础是处理活动的准入门槛，基础错位即处理缺乏依据，与后果轻重无关；监管评价看的是「凭什么是你处理」，答不上来的处理，无害也要整改。
问：个人可以要求企业出示其处理依据吗？ 可以通过第五十条的机制提出；企业至少要能说明处理目的与依据类型，答不出或前后矛盾的，用户可据此投诉。依据的透明化，本来就是合法性与告知义务的应有之义。
六、实操建议：给处理活动找依据的三步法
- 逐项找基础：把每类处理活动列出来，对七种基础逐一对号，写进内部合规台账；对不上号的，先停处理；
- 核必需性：引「必需」的，反向自问删掉这个字段、这项活动还成不成立，成立就砍；
- 区分「免同意」与「免义务」：即便免了同意，告知（有法定除外情形）、安全保障、泄露通知、响应个人权利请求等义务一项不少，豁免只是入口窄了一道门。
站内《不经同意也能用你的个人信息？六种合法情形与企业最容易踩的两个坑》《过度收集、一次概括授权、默认勾选：个人信息这几条线不能踩》《已公开的个人信息能随便用吗：再利用的合理范围怎么认定》对具体场景有专文，可对照使用。
一句话总结：同意只是七扇门里的一扇——引「必需」要过反向砍字段这一关，引「公开」「报道」要过公共利益与合理范围这一关；免的是同意，免不了保护义务。
以上内容为一般性法律知识介绍，不构成正式法律意见。具体案件请结合业务场景与处理依据，咨询执业律师后主张。