第一節：一般規定

第十三條　符合下列情形之一的，個人信息處理者方可處理個人信息：

（一）取得個人的同意；

（二）為訂立、履行個人作為一方當事人的合同所必需，或者按照依法制定的勞動規章制度和依法簽訂的集體合同實施人力資源管理所必需；

（三）為履行法定職責或者法定義務所必需；

（四）為應對突發公共衛生事件，或者緊急情況下為保護自然人的生命健康和財產安全所必需；

（五）為公共利益實施新聞報道、輿論監督等行為，在合理的范圍內處理個人信息；

（六）依照本法規定在合理的范圍內處理個人自行公開或者其他已經合法公開的個人信息；

（七）法律、行政法規規定的其他情形。

依照本法其他有關規定，處理個人信息應當取得個人同意，但是有前款第二項至第七項規定情形的，不需取得個人同意。

根據《個人信息保護法》第五條的規定“處理個人信息應當遵循合法、正當、必要和誠信原則”，那么何為“合法、正當”呢？本條所解決的問題就是“合法、正當”的問題。

取得個人同意，在大多數沒有特殊關系和特別場景的情況下需要適用的規則。例如，我們的手機APP要收集哪些手機里面的信息，需要經過我們的同意。

除了“取得個人同意之外”，在一些特殊關系或者特定場景下，為了社會的正常運轉，考慮人們已經形成的慣常行為和習慣，可以不用經過個人的同意，也可以處理個人信息。這些情況是：

1、訂立、履行合同的需要。在簽訂合同的時候，我們需要寫清楚雙方當事人是誰。為了特定化當事人，需要寫入一些當事人的信息，例如身份證信息。簽訂合同之后，履行合同的時候，由于履行的需要，雙方或者多方當事人得知道其他各方的一些信息，例如聯系人的姓名、電話、郵箱、地址等等。如果沒有這些個人信息，會造成合同無法履行。

2、在勞動關系中，由于法律的規定以及繳納社保、公積金的要求，單位一方往往需要知道員工很多的個人信息，這些信息相比簽訂履行合同所需要的的信息更多、更詳細。如果員工拒不提供個人信息，會導致單位無法依法履行其職責以及無法有效管理。

3、為履行法定職責或者法定義務所必需，指的是國家有關機關或者司法機關、事業單位，因為法律明確規定了他們的職責和義務，為了履行職責和義務，需要獲取個人信息的情況。例如，公安機關戶籍部門需要收集、整理公民的戶籍信息。

4、為應對突發公共衛生事件，或者緊急情況下為保護自然人的生命健康和財產安全所必需。這種情況在疫情期間表現的尤為明顯。在法律上，人的生命健康權是更高位階的權利。為了維護人的生命健康權，需要處理個人信息的，不用經過個人同意。不過，這里面也有度的問題。，“應當限于實現處理目的的最小范圍，不得過度收集個人信息”，更不得濫用、非法轉讓和買賣收集到的個人信息。

5、在新聞報道中使用個人信息一般屬于合理使用的范圍。之前的《民法典》第九百九十九條也規定：為公共利益實施新聞報道、輿論監督等行為的，可以合理使用民事主體的姓名、名稱、肖像、個人信息等；使用不合理侵害民事主體人格權的，應當依法承擔民事責任。

6、在《民法典》中，個人信息保護與隱私權保護放在了一起進行規定，因為個人信息公開有可能侵犯其隱私權。但是，對于自行公開或者依法公開的個人信息，自然沒有隱私的問題，只要不侵犯其其他合法權益，是可以使用的。

其中，已經合法公開的個人信息，往往是因為法律的要求而公開的，有其他的社會價值。例如工商注冊信息、判決書、被執行人信息和限制高消費信息等。

有一些APP就是通過集合已經公開的個人或者企業信息，進行進一步的歸類，讓這些信息產生新的價值。

最后，規定了一個兜底條款，為適應社會和法律的發展和變化留了余地，即“法律、行政法規規定的其他情形 ”。

第十四條：基于個人同意處理個人信息的，該同意應當由個人在充分知情的前提下自愿、明確作出。法律、行政法規規定處理個人信息應當取得個人單獨同意或者書面同意的，從其規定。

個人信息的處理目的、處理方式和處理的個人信息種類發生變更的，應當重新取得個人同意。

第十五條：基于個人同意處理個人信息的，個人有權撤回其同意。個人信息處理者應當提供便捷的撤回同意的方式。

個人撤回同意，不影響撤回前基于個人同意已進行的個人信息處理活動的效力。

第十六條：個人信息處理者不得以個人不同意處理其個人信息或者撤回同意為由，拒絕提供產品或者服務；處理個人信息屬于提供產品或者服務所必需的除外。

從第十四條到第十六條是關于“個人同意”更為具體的規定。什么叫“個人同意”？看上去是個簡單的問題，但是實踐中問題不少。例如，在網頁上或者APP上勾選電子協議或者各種方式的“告知書”，是否就算是“個人同意”呢？很長時間以來，不少網站和APP就是這么做的。

可是，有多少人認真的看過電子協會或者告知書呢？服務或者產品的接受者之所以點擊“同意”，是因為不點擊同意就無法使用產品或者服務。電子協議或者告知書越寫越長，卻沒有什么人看。這種情況下，貌似個人同意了處理個人信息，但是這種同意屬于“偽同意”，是一種虛假的同意。

另外，如果錯誤的進行了“同意”，或者反悔了“同意”，能否撤回呢？之前，我們使用的產品或者服務中，基本上很少有這樣的功能，讓我們可以撤回同意。不能撤回的同意，其實也是虛偽的“同意”。

第十四條主要規定：同意的前提是“充分知情”。我國《消費者權益保護法》規定了消費者具有知情權。如果沒有“充分知情”，則沒有真正的“同意”。關于如何告知，下面的第十七條有明確的規定。

第十五條主要規定：個人有權撤回其同意，并且要求“個人信息處理者應當提供便捷的撤回同意的方式”。目前來看，很多產品或者服務目前不符合該條的規定。在《個人信息法》生效之后，提供的產品或者服務有處理個人信息情況的，需要進行功能的完善，增加“撤回同意”的方式。

第十六條主要規定，不同意處理其個人信息或者撤回同意的，能否繼續使用產品或者服務的問題。如前所述，消費者之所以同意處理其個人信息，原因是不同意就不能使用產品或者服務，沒得選擇，“傳統”做法其實是侵犯了消費者（或者用戶）的選擇權。

根據這條規定，如果涉及到處理個人信息的產品或者服務以個人不同意處理其個人信息或者撤回同意為由，拒絕提供產品或者服務的，需要說明理由，即需要說明特定的同意是提供產品或者服務所必須的。如果不是必須的，則違反了法律的規定。

根據這條規定，市場上的一些產品或者服務需要進行修改，在用戶同意部分需要分清哪些是提供產品或者服務所必須的，哪些不是必須的。不是必須的，應該給用戶選擇權。

對于何種信息是必要，應用程序APP類的服務可以參見《常見類型移動互聯網應用程序必要個人信息范圍規定》的規定。