第十三条个人信息处理的合法性基础

符合下列情形之一的，个人信息处理者方可处理个人信息：​
（一）取得个人的同意1；​
（二）为订立、履行个人作为一方当事人的合同所必需2，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需3；​

（三）为履行法定职责或者法定义务所必需；

（四）为应对突发公共卫生事件4，或者紧急情况下为保护自然人的生命健康和财产安全所必需5；​

（五）为公共利益实施新闻报道、舆论监督等行为6，在合理的范围内处理个人信息；​

（六）经合法公开的个人信息；7

（七）法律、行政法规规定的其他情形。8

依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意。​

A personal information handler may process personal information of an individual only under any of the following circumstances:​

1.
Where consent is obtained from the individual;​

2.
Where it is necessary for the conclusion or performance of a contract to which the individual is a contracting party, or where it is necessary for carrying out human resources management under an employment policy legally established or a collective contract legally concluded;​

3.
Where it is necessary for performing a statutory responsibility or statutory obligation;​

4.
Where it is necessary for responding to a public health emergency, or for protecting the life, health or property safety of the natural person in the case of an emergency;​

5.
Where the personal information is processed within a reasonable scope to carry out any news reporting, supervision by public opinions or any other activity for public interest purposes;​

6.
Where the personal information, which has already been disclosed by the individual or otherwise legally disclosed, is processed within a reasonable scope and in accordance with this Law; or​

7.
Any other circumstance as provided by law or administrative regulations.​

Personal consent shall be obtained for the processing of personal information as required by the other provisions of this Law, but where any of the preceding Items 2 to 7 is applicable, personal consent is not required.​

条文重点

此处需要注意的是，第十三条的合法性基础是后续个人信息处理规则的起点。​

本条是一般规则，区分了基于“同意”和“非同意”（也有学者称为“基于法定许可”）的两种合法性基础。而之后所有的单独同意特殊规则，都是对于“同意”基础的细化，不会影响到“非同意”情况下对个人信息的处理。​

例如：公开个人信息要求取得单独同意，但是若为了“履行法定职责”，则可以不取得同意就直接公开。​

注意，具备合法性基础不能免除信息处理者对于个人信息的安全保护义务。​

处理者在开始收集个人信息前就应当确定其合法性基础，不能在收集之后随意变更处理的合法性基础。（from 杨合庆（法工委）：《个人信息保护法释义》）​

此外，在无需同意处理个人信息的场景下，处理的强制性程度也有所不同。有些情况下，处理者拥有自主收集信息的权利，而有些情况下处理者只享有要求相对人配合提供信息的权利。（参见程啸、王苑：《论个人信息处理中无需取得个人同意的情形》；戴昕：《数据界权的关系进路》）​

注意：同意规则和告知规则本质上是两种独立的义务，因此适用不同的规则。虽然两者有联系，但不能将“告知”和“同意”进行绑定理解。关于“告知”的豁免参见《个保法》第18条。​

1.“同意”：

关于同意的内涵与要求，参见《个保法》第14条。

2.“合同所必需”：

此处的必需是客观上的必要，即个人信息的处理对于订立和履行合同而言是必要的，符合合同相对人、社会公众的合理期待或者行业惯例。这种必要性基于合同目的来判断。如果不处理个人信息就可以实现合同目的，或者可以通过对个人权益影响更小的个人信息处理方式就可以实现合同目的，那么该处理行为就不符合必要性的要求。（from 杨合庆（法工委）：《个人信息保护法释义》）​

此处可以参考EDPB《关于GDPR中合同必要性指引》(Guidelines 2/2019 on the processing of personal data underArticle 6(1)(b) GDPR in the context of the provision of online services to data subjects)

具体还可见：履行合同所必需

3.人力资源管理场合：

由于劳动者和用人单位之间的地位不平等，个人的同意难以自愿作出，因此个人同意通常不能作为人力资源管理下处理个人信息的充分合法依据。​

立法者认为“人力资源管理所需”的范围过于宽泛，因此在正式稿中将其修改为“按照……实施人力资源管理”。（from程啸：《个人信息保护法理解与适用》）​

4.“公共卫生事件”：

参见本条的附属文档突发公共卫生事件中的个人信息保护

5.“紧急情况”：

如果条件允许，应该在紧急情况消除后及时向个人告知。

本项与《民法典》第1036条第3项“维护该自然人合法权益”相对比，会发现，本项没有对“自然人”作出限制。这意味着无论是保护作为信息主体的自然人还是其他自然人的生命健康与财产安全，都可以无须取得个人同意。保护第三者的法理在于“紧急避险”。（《民法典》第182条）（from程啸：《个人信息保护法理解与适用》）​

第十三条 个人信息处理的合法性基础​

第十三条个人信息处理的合法性基础