个人信息保护合规第03页：处理规则体系深度解读

01 · 合法性基础体系：七种路径的判定

第13条列举七项合法性基础，构成处理活动的「合法性入口」。合规判断的第一步永远是：本场景适用哪一项基础？错误的基礎选择会导致后续告知、同意、评估全部错位。核心原则：同意是兜底基础而非默认选项——当处理确属订立履行合同、履行法定职责所必需时，强行套「同意」反而制造「不同意即无法履约」的合法性困境。

02 · 告知与同意机制的深度构造

2.1 告知：第17条四要素与有效性标准

告知义务要求处理者「以显著方式、清晰易懂的语言真实、准确、完整地」告知四项内容：①个人信息处理者的名称或者姓名和联系方式；②个人信息的处理目的、处理方式，处理的个人信息种类、保存期限；③个人行使本法规定权利的方式和程序；④法律、行政法规规定应当告知的其他事项。告知事项发生变更的，应当将变更部分告知个人。

• 显著方式：首次运行弹窗、功能触发时的场景化提示、设置页常驻入口均可，但不得仅以「注册即视为知晓」概括推定。
• 清晰易懂：GB/T 35273-2020建议分层展示：弹窗摘要关键事项+完整政策文本链接；避免法律术语堆砌与超链接层层嵌套。
• 实施指引：GB/T 42574-2023《信息安全技术 个人信息处理中告知和同意的实施指南》（2023年5月23日发布、12月1日实施）系统规定了告知方式（一般告知/增强告知/即时提示）、单独同意与书面同意的实施步骤、拒绝同意与撤回的处理及同意证据留存要求，是告知同意落地的直接操作依据。
• 版本化：告知文本与同意弹窗须存档版本快照（文本哈希+生效时间+适用渠道），作为「当时告知了什么」的唯一证据（第7页给技术实现）。

2.2 同意：三要件、重新同意与撤回

• 三要件（第14条）：充分知情（以第17条告知为前提）、自愿（无胁迫无利诱失衡）、明确（积极行为作出，默认勾选不构成）。
• 重新同意（第14条第2款）：处理目的、处理方式或处理的个人信息种类发生变更的，应当重新取得个人同意。「隐私政策更新公告+继续使用视为同意」的默示机制不符合本款要求。
• 撤回（第15条）：应当提供便捷的撤回方式；撤回不影响撤回前基于同意已开展的处理活动效力；不得因撤回拒绝提供产品或服务（第16条反面解释）。撤回入口应与同意入口同等可达。

2.3 单独同意的法定场景清单

03 · 最小必要与目的限定：三最原则的操作化

最小必要原则由三个条文叠加构成：目的直接相关+影响最小（第5条）、最小范围+不得过度收集（第6条）、最短时间保存（第19条）。三者分别约束「为什么处理」「处理多少」「留多久」，缺一即不完整。

3.1 App场景的最小必要标尺

《常见类型移动互联网应用程序必要个人信息范围规定》（四部门2021年5月1日施行）给出了39类常见App的「必要个人信息」清单，是「最小范围」判定的行业标尺：只有当App基本功能服务所必需时，方可拒绝向未提供的用户提供服务。例如：

3.2 最小必要的技术验证

• 字段级审查：对每类信息采集建立「字段—功能—替代方案」对照表，无法说明功能必要性的字段应删除（如注册即收集职业、收入）。
• 频率与精度审查：最小必要不限于「收什么」，还包括「收多勤、多准」——持续后台定位可用「使用时定位+地理围栏粗粒度」替代精确定位常驻采集。
• 权限联动审查：Android/iOS权限申请须与功能场景一一对应，「申请即扫描」的预授权、同意前初始化SDK均属过度收集（第5页检测方法）。
• 到期删除验证：第19条「最短时间」要求删除机制可验证——包括备份介质的到期清除策略与日志证明，「保存期限届满」是第47条删除权的法定触发情形之一。

04 · 敏感个人信息的特别规则

第28条以「泄露或非法使用的危害强度」界定敏感个人信息：一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。第29—32条构成四重特别保护：

• 特定目的与充分必要性（第28条）：只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下方可处理——「想收集」不构成必要性，须证明「非此不可」且已比较替代方案。
• 单独同意（第29条）：应取得个人的单独同意；法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。
• 特别告知（第30条）：除第17条一般告知外，还应告知处理敏感个人信息的必要性以及对个人权益的影响。
• 未成年人双重保护（第31条）：处理不满十四周岁未成年人个人信息应取得其父母或者其他监护人的同意，并制定专门的个人信息处理规则（另见第6页）。

05 · 自动化决策与算法合规

第24条确立自动化决策的三项规则：①透明度与结果公平公正（通过自动化决策方式作出对个人权益有重大影响的决定，个人有权要求处理者予以说明并有权拒绝仅通过自动化决策的方式作出决定）；②信息推送与商业营销的双轨义务——应同时提供不针对其个人特征的选项，或者向个人提供便捷的拒绝方式；③禁止不合理差别待遇（不得在交易价格等交易条件上对个人实行不合理的差别待遇，「大数据杀熟」的直接法源）。

5.1 配套规章的叠加义务

5.2 自动化决策合规清单

• 影响分级：对「对个人权益有重大影响的决定」（信贷审批、保险核保、雇佣决策、信用评估）建立人工复核与申诉通道，不得纯自动化闭环。
• 标签管理：向用户提供便捷的标签查看、修改与删除能力（算法推荐规定第16条）；用户关闭个性化推荐后不得降低基础服务质量。
• 差别定价审计：对定价模型开展公平性测试，留存「差别条件有合理依据」（成本、供需、优惠规则）的论证材料。
• 可解释性文档：对用户说明决策的主要考量因素（不必公开模型细节，但须达到「个人可理解」程度），配合第48条解释说明义务。

06 · 委托处理、共同处理、提供、转让与公开的区分

个人信息在组织间的流动是合规事故最高发地带。五种法律关系的义务结构截然不同，混淆即违规：

07 · 个人权利响应体系

注：个保法对查阅、删除等请求未设统一硬性时限（以「及时」表述），表中时限为结合GB/T 35273-2020实务指引与监管通报整改实践给出的企业内控建议；账号注销另有15个工作日的行业要求（工信部2023年《关于进一步提升移动互联网应用服务能力的通知》）。

08 · 本节参考来源（第3页）