合法性基础是什么
合法性基础是处理个人信息的前提。除取得个人同意外，个保法第十三条还列出若干可不依赖同意的情形：订立、履行个人作为一方当事人的合同所必需；按依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；履行法定职责或法定义务；应对突发公共卫生事件或紧急情况下保护自然人生命健康与财产安全；在合理范围内处理已公开的个人信息；以及法律行政法规规定的其他情形。
基本信息
| 法规依据 | 中华人民共和国个人信息保护法第十三条 |
|---|---|
| 主干情形 | 取得同意 + 其他法定情形 |
| 常见误用 | 把「合同所必需」当兜底理由 |
| 举证要求 | 能说明字段与业务功能的对应关系 |
| 与告知关系 | 不依赖同意仍需履行告知义务（法定例外除外） |
| 与出境衔接 | 出境另有专门路径，不靠合法性基础解决 |
典型使用场景
- 注册登录功能的字段必要性论证
- 员工考勤与人力资源管理的处理依据确认
- 监管报送与法定职责场景的判断
- 突发公共卫生事件中的临时处理安排
- 已公开信息二次利用的范围评估
场景与基础对应
场景与基础对应
# 注册登录 → 订立履行合同所必需（仅限服务运行必需字段）
# 员工考勤 → 人力资源管理所必需（依依法制定的制度）
# 监管报送 → 履行法定职责或法定义务（不得超范围）
# 公共卫生事件 → 保护生命健康（限于必要范围）
# 新闻报道舆论监督 → 公共利益（合理范围内）情形与边界
| 场景 | 适用基础 | 边界 |
|---|---|---|
| 注册登录 | 合同所必需 | 仅限服务运行必需字段 |
| 员工考勤 | 人力资源管理所必需 | 依依法制定的规章制度与集体合同 |
| 监管报送 | 法定职责或义务 | 按法定权限与程序，不得超范围 |
| 已公开信息 | 合理范围内处理 | 受目的限定约束，需评估权益影响 |
以合同必需为由处理时，要能逐字段说明与业务功能的对应关系；这份字段与功能对照说明是合规自查与应对问询的核心材料。
同意之外的依据并不等于可以随意处理：不依赖同意仍需履行告知义务，且处理范围受目的限定约束。