第十三条　　符合下列情形之一的，个人信息处理者方可处理个人信息：

　　（一）取得个人的同意；

　　（二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；

　　（三）为履行法定职责或者法定义务所必需；

　　（四）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；

　　（五）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；

　　（六）依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；

　　（七）法律、行政法规规定的其他情形。

　　依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意。

　　【条文主旨】

　　本条是关于个人信息处理的合法性基础的规定。

　　【条文理解】

　　一、个人信息处理的合法性基础的法理基础与适用范围

　　（一）个人信息处理的合法性基础的法理基础

　　《个人信息保护法》将告知同意规则作为个人信息处理的合法性基础，并规定了无须个人同意的例外情形。告知同意规则充分体现了尊重和保护民事权益的精神和意思自治原则。作为个人信息处理行为的基本规范，告知同意规则对个人信息处理行为进行了限定，它是判断个人信息处理行为合法与否的基本规则（除非法律另有规定），在个人信息处理规则的构建中发挥了重要的作用。处理者在处理个人信息时，原则上必须遵循告知同意规则，在依法告知并取得信息主体的同意后才能对个人信息进行收集、存储、使用、加工、传输、提供、公开等活动。为了在保护个人信息权益的同时，也能实现个人信息的合理利用，同时维护公共利益、国家利益等，法律上有必要规定不适用告知同意规则的例外情形。

　　（二）个人信息处理的合法性基础的适用范围

　　个人信息处理的合法性基础的适用范围主要涉及以下方面：个人信息处理的主体限定。根据《个人信息保护法》第13条规定，个人信息处理者在法律规定的情形下方可处理个人信息。因此，个人信息处理的合法性基础主要适用于个人信息处理者。同时，本法第73条对于“个人信息处理者”作出了明确的规定，即“个人信息处理者，是指在个人信息处理活动中自主决定处理目的、处理方式的组织、个人”。由上述规定可知，个人信息处理者原则上包括个人及组织，以“自主决定处理目的、处理方式”为判断标准。因此，《个人信息保护法》不仅调整公司企业等普通民事主体出于经营目的处理个人信息的行为，也调整国家机关基于公权力和履行公共管理职能处理个人信息的活动。作为调整平等主体的自然人、法人和非法人组织之间的人身财产关系的《民法典》，无法对国家机关处理个人信息的活动进行全方位的规范，这就要求《个人信息保护法》加以调整。国家机关即便是在履行法定职责处理个人信息时，也应当严格依照法律、行政法规规定的权限和程序进行，受到《个人信息保护法》在内的法律的规范。唯有如此，方能更好地实现个人信息上的多元利益关系的协调。同时，本法第72条规定：“自然人因个人或者家庭事务处理个人信息的，不适用本法。法律对各级人民政府及其有关部门组织实施的统计、档案管理活动中的个人信息处理有规定的，适用其规定。”根据该例外规定，自然人因个人或家庭事务处理个人信息的，不适用《个人信息保护法》，自然也就没有个人信息处理合法性基础规则的适用余地。这是因为，自然人之间因为个人或家庭事务而处理个人信息的行为，属于平等主体之间的个人信息处理行为，往往是为了维持正常的社会交往所必需的，并不涉及侵害个人信息权益的问题，无须给此等情形中的信息处理者施加各种法定义务，更无须个人信息保护机关强制介入。只有涉及利用信息能力的不平等收集、处理个人信息的行为，才是信息时代保护个人信息的法律真正要调整的对象。

　　二、告知同意规则

　　（一）告知同意规则的内涵

　　个人的同意是信息利用的基本依据，若个人属于无民事行为能力或限制行为能力人，在得到其监护人同意的情况下也可以处理权利人的个人信息。告知同意规则，又称“知情同意规则”。是指任何组织或个人在处理个人信息时都应当对信息主体即其个人信息被处理的自然人进行告知，并在取得同意后方可从事相应的个人信息处理活动，否则该等处理行为即属违法，除非法律另有规定。告知同意规则包含了告知规则与同意规则，告知同意规则意味着：第一，个人信息处理者对其处理行为合法与否具有更明确的预期。第二，对于个人信息保护执法机构来说，告知同意规则为查处违法的个人信息处理行为提供了明确的标准。第三，在个人信息权益民事纠纷案件的裁判中，告知同意规则是法院认定处理者应否承担侵权责任的重要标准。

　　（二）告知同意规则的法理基础

　　原则上，任何人都不得侵害他人的民事权益，但民事主体可以对自己的权益进行合法的处分，既包括自行处分，也包括在不违反法律强制性规定和公序良俗原则的前提下同意他人对自己民事权益的处分。告知同意规则则充分体现了尊重和保护民事权益的精神以及意思自治原则。

　　三、告知同意规则的例外情形

　　（一）对告知同意规则例外情形具体规定的认识

　　1.缔约或履约之必需，制定劳动规章制度或签订集体合同实施人力资源管理所必需。

　　2.为履行法定职责或者法定义务所必需。

　　3.应对突发公共卫生事件或紧急情况所必需。

　　4.为公共利益实施新闻报道或舆论监督等行为所必需。

　　5.依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息。

　　6.法律、行政法规规定的其他情形。法律、行政法规规定的其他情形为兜底性条款，没有将个人信息处理的合法性基础限于所明确列举的情形，保留了一定的弹性，可以针对社会状况的变化而进化，从而避免疏漏。

　　（二）告知同意规则例外情形具体规定的法理基础

　　处理者在处理个人信息时原则上必须遵循告知同意规则，在依法告知并取得信息主体的同意后才能对个人信息进行收集、存储、使用、加工、传输、提供、公开等活动。但是社会对个人信息的自由流动具有正当需求，若赋予信息主体绝对完整的权利，可能阻碍个人信息的自由流动。个体利益和其他利益发生冲突时，需要对个体自由加以适当的干预和限制，以求公共利益与个体利益的平衡。在此种情况下，保护了个人信息权益的同时，也实现了个人信息的合理利用，同时维护了社会利益和国家利益，即使未取得信息主体同意收集其个人信息，亦属合法行为。