一句话定义：个人信息处理，指对个人信息进行的收集、存储、使用、加工、传输、提供、公开、删除等全部环节；它是个人信息保护法所有义务与责任的触发点——一旦构成处理，合法性基础、告知义务、同意规则便一并启动。

构成要件

一、行为范围涵盖八个环节。 民法典第一千零三十五条第二款列举收集、存储、使用、加工、传输、提供、公开等，个保法第四条第二款另增删除。处理不等于「使用」：存着不动、转给关联公司、公开展示、到期未删除，都构成独立的处理行为。

二、基本原则：合法、正当、必要、诚信。 民法典第一千零三十五条第一款要求遵循合法、正当、必要原则，不得过度处理；个保法第五条增加诚信原则，明确不得通过误导、欺诈、胁迫等方式处理个人信息。捆绑授权、默认勾选、以拒绝服务相要挟，都属违反诚信的取得方式。

三、目的限制与最小范围。 个保法第六条第一款要求目的明确、合理，采取对个人权益影响最小的方式；第二款要求收集限于最小范围。手电筒应用读取通讯录、导航软件索取相册权限，问题就出在「与目的不直接相关」。

四、公开透明与事前告知。 个保法第七条确立公开、透明原则，第十七条把它具体化：处理前以显著方式、清晰易懂的语言，真实、准确、完整地告知处理者名称与联系方式、处理目的与方式、信息种类与保存期限、个人行使权利的方式和程序以及其他法定事项。

五、合法性基础是第一道门槛。 个保法第十三条第一款列出七项：取得个人同意；为订立履行合同或依法实施人力资源管理所必需；为履行法定职责或者法定义务所必需；为应对突发公共卫生事件或紧急情况下保护生命健康和财产安全所必需；为公共利益实施新闻报道、舆论监督等在合理范围内处理；在合理范围内处理已合法公开的个人信息；法律、行政法规规定的其他情形。

六、同意的质量有独立标准。 个保法第十四条第一款要求同意在充分知情的前提下自愿、明确作出，法律规定应取得单独同意或者书面同意的从其规定；第二款规定处理目的、方式或信息种类变更的，应当重新取得同意。旧同意覆盖不了新增的目的。

七、民法典从人格权编另设四项条件。 第一千零三十五条第一款要求征得该自然人或者其监护人同意（法律、行政法规另有规定的除外）、公开处理信息的规则、明示处理的目的方式和范围、不违反法律行政法规的规定和双方约定。四项须同时满足。

八、同意可撤回，但只向后生效。 个保法第十五条第一款要求处理者提供便捷的撤回方式；第二款明确撤回同意不影响撤回前已进行的处理活动的效力。撤回不等于删除，二者要分别行使。

九、免责情形另有清单。 民法典第一千零三十六条规定三项不承担民事责任的情形：在同意范围内合理实施；合理处理自行公开或者已合法公开的信息（明确拒绝或侵害重大利益的除外）；为维护公共利益或者该自然人合法权益合理实施的其他行为。

法条依据

法条依据
  • 《中华人民共和国民法典》第一千零三十五条处理个人信息的，应当遵循合法、正当、必要原则，不得过度处理，并符合下列条件：
  • （一）征得该自然人或者其监护人同意，但是法律、行政法规另有规定的除外；
  • （二）公开处理信息的规则；
  • （三）明示处理信息的目的、方式和范围；
  • （四）不违反法律、行政法规的规定和双方的约定。
  • 个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开等。
  • 《中华人民共和国个人信息保护法》第四条个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。
  • 个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等。
  • 《中华人民共和国个人信息保护法》第五条处理个人信息应当遵循合法、正当、必要和诚信原则，不得通过误导、欺诈、胁迫等方式处理个人信息。
  • 《中华人民共和国个人信息保护法》第六条处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。
  • 收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息。
  • 《中华人民共和国个人信息保护法》第十三条符合下列情形之一的，个人信息处理者方可处理个人信息：
  • （一）取得个人的同意；
  • （二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；
  • （三）为履行法定职责或者法定义务所必需；
  • （四）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；
  • （五）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；
  • （六）依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；
  • （七）法律、行政法规规定的其他情形。
  • 依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意。
  • 《中华人民共和国个人信息保护法》第十四条基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。法律、行政法规规定处理个人信息应当取得个人单独同意或者书面同意的，从其规定。
  • 个人信息的处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得个人同意。
  • 《中华人民共和国个人信息保护法》第十五条基于个人同意处理个人信息的，个人有权撤回其同意。个人信息处理者应当提供便捷的撤回同意的方式。
  • 个人撤回同意，不影响撤回前基于个人同意已进行的个人信息处理活动的效力。
  • 《中华人民共和国个人信息保护法》第十七条个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知下列事项：
  • （一）个人信息处理者的名称或者姓名和联系方式；
  • （二）个人信息的处理目的、处理方式，处理的个人信息种类、保存期限；
  • （三）个人行使本法规定权利的方式和程序；
  • （四）法律、行政法规规定应当告知的其他事项。
  • 前款规定事项发生变更的，应当将变更部分告知个人。
  • 个人信息处理者通过制定个人信息处理规则的方式告知第一款规定事项的，处理规则应当公开，并且便于查阅和保存。

与相邻概念的区别

对比项一般同意单独同意无需同意的其他合法性基础
适用对象一般个人信息的常规处理敏感个人信息、对外提供、公开等法定场景合同必需、法定职责、紧急情况、新闻报道、已合法公开信息等
法律依据个保法第十三条第一项、第十四条个保法第十四条、第二十九条、第二十三条个保法第十三条第二项至第七项
取得方式在充分知情下自愿、明确作出就特定事项单独作出，不能混在一揽子授权里不需取得同意，但仍须履行告知义务
可否被隐私政策替代可以，但须显著、清晰易懂、真实准确完整不可以，须独立弹窗或独立勾选不存在同意问题，处理仍须限于合理范围
撤回后果可撤回，向后生效可撤回，撤回后不得继续该特定处理不存在撤回，情形消失后应停止处理
举证责任处理者须证明已取得有效同意处理者须证明就特定事项单独取得同意处理者须证明落入法定情形且范围合理

最容易混的是「一般同意」与「单独同意」。一般同意可以在一揽子隐私政策中取得，只要满足充分知情、自愿、明确；单独同意要求就特定事项单独作出意思表示，把敏感个人信息的处理夹在长篇隐私政策里让用户一次性勾选，不构成单独同意。这是企业最高频的合规漏洞，也是个人维权最容易找到的突破口。

次容易混的是「同意」与「其他合法性基础」的关系。第十三条第二款说得很清楚：法律规定应当取得同意的，只要有第二项至第七项情形之一的，就不需要取得同意。二者并列而非补充——能用合同必需、法定职责支撑的，不必再取同意；但取得同意也不能跳过告知义务与最小范围要求。

实操指引

  • 第一步，把处理活动画成流程图。 从采集入口到最终删除，逐环节标注采什么字段、存多久、谁在用、给谁、是否公开、何时删除。
  • 第三步，按第十七条写告知。 处理者名称与联系方式、目的与方式、信息种类与保存期限、行使权利的方式和程序四项都要有；事项变更的要再告知变更部分；以处理规则方式告知的，规则应公开并便于查阅和保存。隐私政策的真实边界见隐私政策该写什么：个保法第十七条告知义务的真实边界。
  • 第四步，审查同意的有效性。 是否存在默认勾选、捆绑授权、不授权就不能用；目的是否变更而未重新取得同意；敏感个人信息是否走了单独同意。任何一项为否，同意即不成立。
  • 第五步，建立撤回与删除的响应机制。 提供便捷的撤回同意方式，撤回后停止相应处理；同时按保存期限届满、目的实现、停止服务等情形主动删除。这一块与权利人的各项请求直接对接，见个人信息权益。
  • 第六步，做影响评估并留存记录。 处理敏感个人信息、自动化决策、对外提供或公开、向境外提供以及其他对个人权益有重大影响的活动，应当事前进行个人信息保护影响评估并记录处理情况。留痕本身就是日后自证合规的证据。

常见问题

问：不点「同意」就不让用 App，这样取得的同意有效吗？ 答：通常无效。同意须自愿作出，以拒绝提供服务相要挟、把基本功能与数据收集捆绑，属于违反诚信原则的取得方式。若该功能确属履行合同所必需，可直接援引第十三条第二项。

问：三年前勾选过一次，后来新增了处理目的，还需要重新取得同意吗？ 答：需要。第十四条第二款明确规定，处理目的、处理方式或者处理的个人信息种类发生变更的，应当重新取得同意。旧同意只覆盖当时告知的范围。

问：把用户信息提供给合作方，需要单独同意吗？ 答：需要。向其他个人信息处理者提供个人信息的，应当告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得单独同意；接收方应在上述范围内处理，变更目的或方式的应重新取得同意。

问：处理已公开的信息，是不是就不用管了？ 答：不是。第十三条第六项限定在「合理的范围内」，民法典第一千零三十六条第二项还附有但书：权利人明确拒绝或者处理该信息侵害其重大利益的除外。把分散的公开信息汇聚成完整画像，往往已超出合理范围。

注意避坑

以上内容为一般性法律知识介绍，不构成对具体案件的法律意见；处理是否合法，须先确定合法性基础，再审查告知是否完整、同意是否有效（敏感信息与对外提供还须单独同意）、是否超出最小必要范围，任一环节缺失即构成违法处理。请咨询执业律师，以律师出具的正式意见为准。法条核对日期：2026-10-26。