个人信息处理的合法性基础：同意之外的六种情形与适用边界

一、结论先行：告知同意只是七项合法性基础之一

企业的合规实践长期存在一个简化认识：处理个人信息必须有"用户同意"，没有同意就不能处理。这一认识的准确表述应当是——处理个人信息应当具备合法性基础，而同意只是《个人信息保护法》第十三条列举的七项基础之一。《个人信息保护法》第十三条第一款规定了七种可以处理个人信息的情形，满足其中任何一种即可，无需同时满足。

《民法典》第一百零三十五条第一款也作了同样的安排：处理个人信息的，应当遵循合法、正当、必要原则，不得过度处理，并符合下列条件之一——征得该自然人或者其监护人同意；合理处理该自然人自行公开的或者其他已经合法公开的信息；为维护公共利益或者该自然人合法权益而合理实施的其他行为；法律、行政法规规定的其他情形。两部法律的立法思路一致：合法性基础是并列关系，不是递进关系。

二、七项合法性基础逐项解析

《个人信息保护法》第十三条第一款规定，符合下列情形之一的，个人信息处理者方可处理个人信息：

三、"订立、履行合同所必需"的边界：何为"必需"

第二项是商业场景中最常被援引的合法性基础，也是最容易被滥用的。判断"必需"，应当回到《个人信息保护法》第六条的两条硬约束：首款要求处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式；第二款要求收集个人信息应当限于实现处理目的的最小范围，不得过度收集。

据此可以分三层判断：

1. 目的关联性：该信息的处理是否是订立或履行合同本身所要求。例如，为寄送商品而收集收货人姓名、地址、电话，属于必需；以营销推广为目的收集与交易无关的消费偏好，则不属于"为履行合同所必需"，需要另行取得同意。
2. 不可替代性：是否可以通过对个人权益影响更小的方式实现同等目的。若可通过匿名化统计、区间化处理达成目的，就不应收集精确信息。
3. 范围最小化：收集字段是否超出实现目的所需。多余的字段即便"顺手拿到"，也构成过度收集。

需要注意，"个人作为一方当事人的合同"限定了适用对象——处理非合同相对方的个人信息，不能援引该项。例如电商平台向站外第三方推送营销信息、向未成交的浏览用户画像，均不宜以"履行合同所必需"作为合法性基础。

四、人力资源管理所必需：劳动规章制度与集体合同

第二项的第二个分支是为实施人力资源管理所必需。它设置了两个限定条件：依据应当是依法制定的劳动规章制度，或者依法签订的集体合同；处理范围限于实施人力资源管理所必需。这意味着：

• 企业不能以"管理需要"为由随意扩大处理范围，必须先有依法制定并公示的规章制度作为依据；
• 考勤、薪酬、社保、绩效考核等与劳动关系直接相关的处理，通常落在此项之内；
• 员工体检结果中的敏感信息、家属信息、行踪轨迹、办公设备中的私人通信内容等，往往超出"人力资源管理所必需"的边界，需要单独同意或其他基础；
• 招聘阶段尚未建立劳动关系，通常难以直接援引该项，实践中多依"为订立合同所必需"或取得同意处理。

五、履行法定职责或法定义务所必需

第三项分为两类主体、两种情形：国家机关为履行法定职责所必需，以及一般信息处理者为履行法定义务所必需。

关键在于"法定"二字的层级。这里的依据应当是法律、行政法规的明确要求，例如反洗钱、税务、劳动用工、安全生产等法律行政法规项下的信息报送与留痕义务。行业规范、地方性文件、平台规则或者企业内部的合规手册，一般不足以单独构成第三项的合法性基础。若企业援引的是一份地方性管理规定，应当进一步核查该规定是否有上位法律、行政法规的授权，否则仍应回归同意或者其他基础。

国家机关处理个人信息时，依《个人信息保护法》第三十五条仍应当履行告知义务，但有第十八条第一款规定的情形，或者告知将妨碍国家机关履行法定职责的除外。

六、突发公共卫生事件、紧急情况与公共利益类处理

第四项包含两种情形：为应对突发公共卫生事件所必需，以及紧急情况下为保护自然人的生命健康和财产安全所必需。两者的共同特征是存在迫切的时间性需求，且以保护重大法益为目的。当事件结束、紧急情况消除后，以此为基础的处理应当停止或者转为其他合法性基础；继续留存、扩大使用的，可能构成新的违法行为。

第五项针对为公共利益实施新闻报道、舆论监督等行为，限定在"合理的范围内"处理个人信息。这项基础对主体与目的有双重限制：通常适用于新闻媒体等为公共利益实施新闻报道、舆论监督的主体；商业主体以"舆论监督"名义处理个人信息，很难成立。

第六项针对个人自行公开或者其他已经合法公开的个人信息，但受第二十七条约束：个人信息处理者可以在合理的范围内处理，个人明确拒绝的除外；处理已公开的个人信息，对个人权益有重大影响的，应当依照《个人信息保护法》规定取得个人同意。"已经合法公开"要求公开行为本身合法，通过非法途径获取的信息不因"已在网上"而可处理。

七、不基于同意的处理，还要不要告知？

这是实务中最常被忽略的一环。告知义务与合法性基础是两套独立的义务：即便处理所依据的是同意之外的合法性基础，仍应当履行《个人信息保护法》第十七条规定的告知义务，包括处理者名称与联系方式、处理目的与方式、处理的个人信息种类与保存期限、个人行使权利的方式和程序等。

《个人信息保护法》第十八条第一款规定了告知义务的例外，仅限两种情形：

1. 有法律、行政法规规定应当保密或者不需要告知的；
2. 紧急情况下为保护自然人的生命健康和财产安全无法及时向个人告知的。

同条第二款还规定，个人信息处理者采取上述情形未告知个人的，应当在告知的障碍消除后及时告知。因此，"紧急情况"只是暂缓告知，不是免除告知。

八、常见问题与依据核验

问：员工考勤、门禁人脸识别，能不能用"人力资源管理所必需"？

考勤本身通常属于人力资源管理所必需，但人脸信息属于敏感个人信息，处理需要单独同意并履行更严格的合规义务（《个人信息保护法》第二十八条、第二十九条）。企业应当评估是否可以采用指纹、工卡等对个人权益影响更小的替代方式。

问：营销短信能不能以"履行合同所必需"作为基础？

通常不能。向合同相对方发送与其交易无关的营销信息，与合同履行无直接关联，不属于"所必需"，应当另行取得同意，并提供便捷的拒绝（退订）方式。

问：个人已公开的信息，能不能随便用？

不能。依《个人信息保护法》第二十七条，只能在合理范围内处理，个人明确拒绝的除外；对个人权益有重大影响的，应当取得同意。同时，"合法公开"是前提，通过非法手段取得的公开信息不能处理。

问：不基于同意处理，是不是就不用告知了？

需要告知。告知义务独立存在，只有《个人信息保护法》第十八条第一款规定的两种情形可以免除，且在有障碍的情况下还应当在障碍消除后及时告知。

问：援引了法定义务，但依据是一份地方文件，可行吗？

存在风险。第三项要求的是履行法定职责或者法定义务，其依据层级原则上应当是法律、行政法规。地方文件、行业规范通常不足以单独构成合法性基础，援引时应当核查上位法依据，具体口径在执法实践中并不完全统一，实务中存在争议。

法条与依据核验：《中华人民共和国个人信息保护法》（2021年8月20日通过，2021年11月1日起施行）第五条（合法、正当、必要、诚信）、第六条（目的明确合理与最小必要）、第七条（公开透明）、第十三条（处理个人信息的七项合法性基础）、第十四条（同意的方式与重新取得同意）、第十五条（撤回同意）、第十六条（不得以不同意为由拒绝提供产品或服务）、第十七条（告知事项）、第十八条（告知义务的例外与障碍消除后的及时告知）、第二十七条（处理已公开个人信息的规则）、第二十八条与第二十九条（敏感个人信息与单独同意）、第三十五条（国家机关的告知义务）、第六十六条（法律责任）、第六十九条（损害赔偿的过错推定）；《中华人民共和国民法典》第一百零三十五条（处理个人信息的原则与条件）、第一百零三十六条（处理个人信息不承担民事责任的三种情形）。特别说明：上述条文序号均按2021年11月1日起施行的《个人信息保护法》现行文本以及《民法典》现行文本标注。本文第三节关于"所必需"的判断标准、第五节关于"法定"依据的层级要求，属于执法与司法实践中的通常把握，具体尺度在个案中并不完全统一，已在正文标注"实务中存在争议"；本文不引用任何具体案例或案号，企业开展合规评估时应结合自身业务场景与监管口径判断，并请以全国人大、国家网信部门官方公布文本为准。