一句话回答：不是所有个人信息处理都要用户同意。个人信息保护法第13条列了七种合法情形，符合其中任何一种，处理个人信息就有合法基础；其中第二项到第七项不需要取得个人同意。但不需要同意不等于什么都不用做，告知义务、必要范围、安全保障一样跑不掉。

一、法律依据：个保法第13条七种情形

符合下列情形之一的，个人信息处理者方可处理个人信息：（一）取得个人的同意；（二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；（三）为履行法定职责或者法定义务所必需；（四）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；（五）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；（六）依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；（七）法律、行政法规规定的其他情形。

第13条第二款进一步明确：依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意。

二、企业用得最多的是第二项

实务里高频用到的是第（二）项。说白了，给客户发货要用收货地址、给员工发工资要用银行卡号，这类不处理就办不成事的用法可以不走同意，但范围必须严格卡在所必需上。顺手多收一个生日、多抓一份通讯录，就超出去了。第三项也很常见，比如配合税务、市场监管部门依法查询，属于履行法定义务所必需。

三、实务中要注意什么

第一，别拿不需要同意当挡箭牌。第二项到第七项免的是同意，不免告知。个保法第17条要求在事前以显著方式、清晰易懂的语言，真实准确完整地告知处理者的名称和联系方式、处理目的、处理方式、信息种类、保存期限以及个人行使权利的方式。第二，敏感个人信息走不了捷径。生物识别、金融账户、行踪轨迹、不满十四周岁未成年人的信息属于敏感个人信息，要取得单独同意并做个人信息保护影响评估，这一层不能靠第13条省掉。第三，记住罚则底线：违反本法处理个人信息或者未履行保护义务，拒不改正的处一百万元以下罚款，直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款；情节严重的，处五千万元以下或者上一年度营业额百分之五以下罚款，还可能被责令暂停业务、停业整顿甚至吊销执照。

四、案例分析（示意情景）

示意情景：某健身连锁机构在会员办卡时，除了姓名和手机号，还要求填写身高体重、既往病史和紧急联系人，并把这些信息同步给合作保险公司做营销。办卡属于履行合同所必需，收集姓名手机号可以走第13条第（二）项；但既往病史属于敏感程度更高的个人信息，与履行合同无关，转给保险公司做营销更超出了原始处理目的，这部分既没有合法情形、也没有取得单独同意，属于违法处理。类似情形中企业被责令改正并罚款的案例并不少见。（本段为示意情景，非真实案件。）

五、常见问题（FAQ）

问：有了第13条的合法情形，还需要告诉用户吗？

答：需要。第13条免的是同意，不免告知义务，处理前仍应按第17条以显著方式告知处理目的、方式、信息种类、保存期限等事项。

问：企业履行合同必须收集的信息可以不给用户选择吗？

答：属于订立、履行合同所必需的信息可以不依赖同意，但范围必须严格限定在所必需，超出部分仍要取得同意。

问：处理人力资源管理中必需的员工信息要员工同意吗？

答：按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需的处理，属于第13条第（二）项情形，不需另取得同意，但规章制度的合法性本身是前提。

问：已经合法公开的个人信息可以随便用吗？

答：第（六）项要求在合理的范围内处理。超出合理范围、用于与公开目的明显不符的用途，仍可能构成违法处理。

问：违反第13条处理个人信息会怎么罚？

答：责令改正、警告、没收违法所得；拒不改正的处一百万元以下罚款，直接责任人处一万元至十万元罚款；情节严重的处五千万元以下或者上一年度营业额百分之五以下罚款，直接责任人处十万元至一百万元罚款并可能被禁业。

问：敏感个人信息能不能适用第13条第（二）项？

答：处理敏感个人信息要取得单独同意并履行告知义务，且需事前做个人信息保护影响评估。合同必需可以作为处理的必要性依据，但单独同意这道程序不能省略。

相关阅读

王冠律师｜北京浩略律师事务所联合创始人｜咨询电话：17813108512