第一節(jié)：一般規(guī)定

第十三條　符合下列情形之一的，個人信息處理者方可處理個人信息：

（一）取得個人的同意；

（二）為訂立、履行個人作為一方當(dāng)事人的合同所必需，或者按照依法制定的勞動規(guī)章制度和依法簽訂的集體合同實(shí)施人力資源管理所必需；

（三）為履行法定職責(zé)或者法定義務(wù)所必需；

（四）為應(yīng)對突發(fā)公共衛(wèi)生事件，或者緊急情況下為保護(hù)自然人的生命健康和財(cái)產(chǎn)安全所必需；

（五）為公共利益實(shí)施新聞報(bào)道、輿論監(jiān)督等行為，在合理的范圍內(nèi)處理個人信息；

（六）依照本法規(guī)定在合理的范圍內(nèi)處理個人自行公開或者其他已經(jīng)合法公開的個人信息；

（七）法律、行政法規(guī)規(guī)定的其他情形。

依照本法其他有關(guān)規(guī)定，處理個人信息應(yīng)當(dāng)取得個人同意，但是有前款第二項(xiàng)至第七項(xiàng)規(guī)定情形的，不需取得個人同意。

根據(jù)《個人信息保護(hù)法》第五條的規(guī)定“處理個人信息應(yīng)當(dāng)遵循合法、正當(dāng)、必要和誠信原則”，那么何為“合法、正當(dāng)”呢？本條所解決的問題就是“合法、正當(dāng)”的問題。

取得個人同意，在大多數(shù)沒有特殊關(guān)系和特別場景的情況下需要適用的規(guī)則。例如，我們的手機(jī)APP要收集哪些手機(jī)里面的信息，需要經(jīng)過我們的同意。

除了“取得個人同意之外”，在一些特殊關(guān)系或者特定場景下，為了社會的正常運(yùn)轉(zhuǎn)，考慮人們已經(jīng)形成的慣常行為和習(xí)慣，可以不用經(jīng)過個人的同意，也可以處理個人信息。這些情況是：

1、訂立、履行合同的需要。在簽訂合同的時候，我們需要寫清楚雙方當(dāng)事人是誰。為了特定化當(dāng)事人，需要寫入一些當(dāng)事人的信息，例如身份證信息。簽訂合同之后，履行合同的時候，由于履行的需要，雙方或者多方當(dāng)事人得知道其他各方的一些信息，例如聯(lián)系人的姓名、電話、郵箱、地址等等。如果沒有這些個人信息，會造成合同無法履行。

2、在勞動關(guān)系中，由于法律的規(guī)定以及繳納社保、公積金的要求，單位一方往往需要知道員工很多的個人信息，這些信息相比簽訂履行合同所需要的的信息更多、更詳細(xì)。如果員工拒不提供個人信息，會導(dǎo)致單位無法依法履行其職責(zé)以及無法有效管理。

3、為履行法定職責(zé)或者法定義務(wù)所必需，指的是國家有關(guān)機(jī)關(guān)或者司法機(jī)關(guān)、事業(yè)單位，因?yàn)榉擅鞔_規(guī)定了他們的職責(zé)和義務(wù)，為了履行職責(zé)和義務(wù)，需要獲取個人信息的情況。例如，公安機(jī)關(guān)戶籍部門需要收集、整理公民的戶籍信息。

4、為應(yīng)對突發(fā)公共衛(wèi)生事件，或者緊急情況下為保護(hù)自然人的生命健康和財(cái)產(chǎn)安全所必需。這種情況在疫情期間表現(xiàn)的尤為明顯。在法律上，人的生命健康權(quán)是更高位階的權(quán)利。為了維護(hù)人的生命健康權(quán)，需要處理個人信息的，不用經(jīng)過個人同意。不過，這里面也有度的問題。，“應(yīng)當(dāng)限于實(shí)現(xiàn)處理目的的最小范圍，不得過度收集個人信息”，更不得濫用、非法轉(zhuǎn)讓和買賣收集到的個人信息。

5、在新聞報(bào)道中使用個人信息一般屬于合理使用的范圍。之前的《民法典》第九百九十九條也規(guī)定：為公共利益實(shí)施新聞報(bào)道、輿論監(jiān)督等行為的，可以合理使用民事主體的姓名、名稱、肖像、個人信息等；使用不合理侵害民事主體人格權(quán)的，應(yīng)當(dāng)依法承擔(dān)民事責(zé)任。

6、在《民法典》中，個人信息保護(hù)與隱私權(quán)保護(hù)放在了一起進(jìn)行規(guī)定，因?yàn)閭€人信息公開有可能侵犯其隱私權(quán)。但是，對于自行公開或者依法公開的個人信息，自然沒有隱私的問題，只要不侵犯其其他合法權(quán)益，是可以使用的。

其中，已經(jīng)合法公開的個人信息，往往是因?yàn)榉傻囊蠖_的，有其他的社會價值。例如工商注冊信息、判決書、被執(zhí)行人信息和限制高消費(fèi)信息等。

有一些APP就是通過集合已經(jīng)公開的個人或者企業(yè)信息，進(jìn)行進(jìn)一步的歸類，讓這些信息產(chǎn)生新的價值。

最后，規(guī)定了一個兜底條款，為適應(yīng)社會和法律的發(fā)展和變化留了余地，即“法律、行政法規(guī)規(guī)定的其他情形 ”。

第十四條：基于個人同意處理個人信息的，該同意應(yīng)當(dāng)由個人在充分知情的前提下自愿、明確作出。法律、行政法規(guī)規(guī)定處理個人信息應(yīng)當(dāng)取得個人單獨(dú)同意或者書面同意的，從其規(guī)定。

個人信息的處理目的、處理方式和處理的個人信息種類發(fā)生變更的，應(yīng)當(dāng)重新取得個人同意。

第十五條：基于個人同意處理個人信息的，個人有權(quán)撤回其同意。個人信息處理者應(yīng)當(dāng)提供便捷的撤回同意的方式。

個人撤回同意，不影響撤回前基于個人同意已進(jìn)行的個人信息處理活動的效力。

第十六條：個人信息處理者不得以個人不同意處理其個人信息或者撤回同意為由，拒絕提供產(chǎn)品或者服務(wù)；處理個人信息屬于提供產(chǎn)品或者服務(wù)所必需的除外。

從第十四條到第十六條是關(guān)于“個人同意”更為具體的規(guī)定。什么叫“個人同意”？看上去是個簡單的問題，但是實(shí)踐中問題不少。例如，在網(wǎng)頁上或者APP上勾選電子協(xié)議或者各種方式的“告知書”，是否就算是“個人同意”呢？很長時間以來，不少網(wǎng)站和APP就是這么做的。

可是，有多少人認(rèn)真的看過電子協(xié)會或者告知書呢？服務(wù)或者產(chǎn)品的接受者之所以點(diǎn)擊“同意”，是因?yàn)椴稽c(diǎn)擊同意就無法使用產(chǎn)品或者服務(wù)。電子協(xié)議或者告知書越寫越長，卻沒有什么人看。這種情況下，貌似個人同意了處理個人信息，但是這種同意屬于“偽同意”，是一種虛假的同意。

另外，如果錯誤的進(jìn)行了“同意”，或者反悔了“同意”，能否撤回呢？之前，我們使用的產(chǎn)品或者服務(wù)中，基本上很少有這樣的功能，讓我們可以撤回同意。不能撤回的同意，其實(shí)也是虛偽的“同意”。

第十四條主要規(guī)定：同意的前提是“充分知情”。我國《消費(fèi)者權(quán)益保護(hù)法》規(guī)定了消費(fèi)者具有知情權(quán)。如果沒有“充分知情”，則沒有真正的“同意”。關(guān)于如何告知，下面的第十七條有明確的規(guī)定。

第十五條主要規(guī)定：個人有權(quán)撤回其同意，并且要求“個人信息處理者應(yīng)當(dāng)提供便捷的撤回同意的方式”。目前來看，很多產(chǎn)品或者服務(wù)目前不符合該條的規(guī)定。在《個人信息法》生效之后，提供的產(chǎn)品或者服務(wù)有處理個人信息情況的，需要進(jìn)行功能的完善，增加“撤回同意”的方式。

第十六條主要規(guī)定，不同意處理其個人信息或者撤回同意的，能否繼續(xù)使用產(chǎn)品或者服務(wù)的問題。如前所述，消費(fèi)者之所以同意處理其個人信息，原因是不同意就不能使用產(chǎn)品或者服務(wù)，沒得選擇，“傳統(tǒng)”做法其實(shí)是侵犯了消費(fèi)者（或者用戶）的選擇權(quán)。

根據(jù)這條規(guī)定，如果涉及到處理個人信息的產(chǎn)品或者服務(wù)以個人不同意處理其個人信息或者撤回同意為由，拒絕提供產(chǎn)品或者服務(wù)的，需要說明理由，即需要說明特定的同意是提供產(chǎn)品或者服務(wù)所必須的。如果不是必須的，則違反了法律的規(guī)定。

根據(jù)這條規(guī)定，市場上的一些產(chǎn)品或者服務(wù)需要進(jìn)行修改，在用戶同意部分需要分清哪些是提供產(chǎn)品或者服務(wù)所必須的，哪些不是必須的。不是必須的，應(yīng)該給用戶選擇權(quán)。

對于何種信息是必要，應(yīng)用程序APP類的服務(wù)可以參見《常見類型移動互聯(lián)網(wǎng)應(yīng)用程序必要個人信息范圍規(guī)定》的規(guī)定。