《征求意见稿》新增了第5章“个人信息处理的合法性基础与合规要求”，此即在原版基础上的重大突破之一。第5章5.1-5.9梳理了个人信息处理的合法性基础，相对系统性地细化了合规要求，涵盖同意、订立、履行合同所必需、法定职责或法定义务所必需、紧急情况、公共利益、已公开信息等八类基础，与《个保法》第十三条中个人信息处理的前提保持一致。
2021年的《个保法》中并未直接提及个人信息处理的“合法性基础”一词，该表达可见于2025年的《个人信息保护合规审计管理办法》，其附件《个人信息保护合规审计指引》第二条明确有“二、对个人信息处理活动的合法性基础进行合规审计的，应当重点审查下列事项：（一）基于个人同意处理个人信息的，是否取得个人同意，该同意是否由个人在充分知情的前提下自愿、明确作出；（二）基于个人同意处理个人信息的，个人信息的处理目的、处理方式、处理的个人信息种类发生变更的，是否重新取得个人同意；（三）基于个人同意处理个人信息的，是否依照法律、行政法规取得个人单独同意或者书面同意；（四）处理个人信息未取得个人同意的，是否属于法律、行政法规规定不需要取得个人同意的情形”。
结合前述法律法规的思路，可将处理个人信息的合法性基础分为“基于个人同意处理”和“依据法律、行政法规规定处理不需取得个人同意”两大类。
（一）基本要求
《征求意见稿》5.1提出了个人信息处理的合法性基础与合规的基本要求。相较于《个保法》，这部分内容更细化，对处理者在评估、分析论证、存证方面的工作，都提出了相对比较高的要求。
5.1要求处理者在处理活动开始前识别并记录合法性基础，要求形成“可核验、可追溯、可审计的证据链”，而且合法性基础已经确定，不得以规避义务为目的随意变更。该等内容将可能被作为判断个人信息处理者对合法性基础的选择、合法性基础变化是否合规、在争议中是否承担责任的依据之一，那么处理者就需要适当地存证，否则在合规审计时难以得出合规的评价结论，而在争议发生时，也难以按照《个保法》第六十九条证明自身无过错，进而主张免责。
同时，5.1的d）项以“宜”而非强制的方式建议了记录个人信息处理活动合法性基础的内容，列举项目包括适用基础、适用性说明、审批流程和记录、时间戳与证据材料。
需要注意，在后续具体各项基础分析时，存证要求并非全部不以“宜”的建议形式出现，后续需持续关注最终版本对此问题的处理方式。按照《征求意见稿》内容，处理者应当注意各项目要求的存证和记录：
（二）基于个人同意处理
《征求意见稿》5.2对应《个保法》第十三条第一款第（一）项“取得个人的同意”。5.2各分项的大部分内容基本与法律法规和国家标准的既有要求一致，比如敏感个人信息的单独同意，未满14周岁未成年人其父母或其他监护人的单独同意、依法律法规的书面同意、同意的撤回等等，但同时也存在以下值得关注的要求：
1. 5.2.e）项对于同意的实施，明确出默认同意、被动同意、以继续使用为条件强迫同意等均不应视为有效同意，同意的实施参照《GB/T 42574-2023 信息安全技术 个人信息处理中告知和同意的实施指南》（简称《告知同意指南》）的9.1~9.4。需要注意，《告知同意指南》对于前述列举的同意方式，并非直接一概认定不是有效同意，而是根据具体情况分析。举例而言，《告知同意指南》的9.1.2和附录N体现，因客观条件限制、个人自身习惯、保护各方合法利益等原因，个人无法通过明示同意的方式表达同意时，若满足特定条件，个人信息处理者是可以基于对个人行为的分析，去推定出个人表示同意，如个人未明确表示拒绝个人信息处理，或个人选择继续使用特定业务功能的。特定条件包括：取得明示同意存在显著困难，经个人信息保护影响评估确认个人信息的处理不会对个人权益造成不利影响，采取了适当的方式向个人告知个人信息处理规则，以及被推定为个人同意的情形不影响个人行使撤回同意的权利。
2. 5.2.g）项要求留存同意的证据，记录方式要求参照《告知同意指南》的9.7，而《告知同意指南》的9.7对于个人信息处理者可选择留存的证据类别进行的提示包括：1）评估后，设计并实施告知和同意方案的记录；2）与个人关联的同意记录；3）涉及不同时期发布的个人信息处理规则，包括处理者自己的，也包括因提供、出境而告知的来自其他主体的处理规则；4）因提供、共同处理、接入外部产品服务导致多处理者参与，相应的身份、协议、处理规则、尽职调查记录等；5）涉及出境的，留存境外接收方所处国家或地区、联系方式、与境外接收方签订的合同（如有）、与个人信息跨境提供相关的认证记录（如有）等。
（三）依据法律、行政法规规定处理不需取得个人同意
《征求意见稿》5.3至5.9对应《个保法》第十三条第一款第（二）至第（七）项，即依据法律、行政法规规定处理不需取得个人同意的情形，第（二）项被拆分至5.3和5.4。在《个保法》的基础上，《征求意见稿》对各分项进行了细化，为后续论证工作补充了有力依据，在一定程度上有助于解决既有法律规定在一些事务场景中的适用不确定性，笔者就各分项的重点进行整理提示。
1. 订立、履行合同所必需
法条原文为“为订立、履行个人作为一方当事人的合同所必需”。首先，《征求意见稿》对于“为订立、履行……合同”补充了限定，即限定于服务和合同的核心目的，或者应个人请求、履行适用法律等客观原因导致的必需。如营销、客户分析、用户画像等，可能已被各处理者充分关注，且在一定程度上可被确认与合同相关，但若其并非服务核心目的、非实现合同义务所需，也不应被纳入订立、履行合同所必需的范围。其次，处理者需要评估处理活动与合同核心义务之间的关联与可替代性，如果关联不足，或可替代，那么从最小必要原则角度分析，不符合该原则的方案即不应被纳入此处的订立、履行合同所必需的范围。
2. 劳动合同所必需
法条原文为“按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需”。《征求意见稿》对依据进行了扩展，在劳动规章制度、集体合同基础上增加了劳动合同，同时也坚持该等内容需以合法产生为前提，即劳动规章制度需依法制定，符合法律法规规定和公司内部制定流程，劳动合同和集体合同应当依法签订。对“实施人力资源管理”的目的，《征求意见稿》列举了劳动用工、人力资源管理、劳动纪律管理、薪酬福利、绩效考核、劳动争议处理等目的，并列举排除了商业营销、员工画像、与劳动管理无直接关系的行为监测等处理目的。
3. 为履行法定职责或者法定义务所必需
《征求意见稿》a）项明确“仅当存在明确的法律、行政法规或具有法律效力的规范性文件要求并指向具体处理义务时方可适用”，一方面强调依据本身和依据对具体处理义务的指向，另一方面对“法定职责或者法定义务”中的“法定”也进行了澄清，即包括“法律、行政法规或具有法律效力的规范性文件”，并非严格限定在“法律、行政法规”的位阶。
4. 公共卫生事件或紧急情况下为保护生命健康、财产安全所必需
法条原文为“为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需”。根据《征求意见稿》的表达，笔者理解此处是对法条情形进行了拆分解释，a）项将“紧急情况”解释为突发、紧迫场景，同时增加了限定，对财产安全则澄清为保障重大财产安全；b）项明确依法由公共卫生主管机关开展疾病监测、报告、干预所需处理，可在未获授权情况下进行，此处仍需注意，《个保法》第十三条解决同意豁免的问题，并未一并豁免告知，即使未获授权，不代表公共卫生主管机关可以直接不进行告知，除非依据法律规定确属于无需告知的情形。
另外，《个保法》第十三条对于“生命健康和财产安全”并未限定为个人信息主体本人，如果是紧急情况下为保护其他自然人的生命健康和财产安全所必需，也符合该项的范围。
5. 为公共利益实施新闻报道、舆论监督等行为
《征求意见稿》a）项将“新闻报道、舆论监督”限定在公共利益的表达，同时也在一定程度上进行扩展，为“其他公共利益表达”预留了一定空间。而b）项则对“公共利益”进行限制，强调不得以此为名实施与报道目的无关、过度或侮辱性的处理，并特别关注了未成年人、受害者等弱势群体。
c）至d）项对个人信息保护影响评估和内容保障提出了要求，提示了评估应当考量的因素，保障公共利益与个人利益的平衡。内容方面则要求建立审核机制，保留审查记录，保障信息的及时更正、更新。
6. 在合理范围内处理个人自行公开或其他合法公开的个人信息
法条原文为“依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息”。《征求意见稿》a）项要求处理者应确认个人信息来源的公开具有合法依据，并非已公开内容即一概可以处理，如果已公开内容没有公开的合法依据，处理者不能扩大这种损害。
b）和c）两项则分别从处理目的和手段角度提出要求，处理者的处理不能脱离公开个人信息的原始目的，并且以列举方式对用户画像、商业营销作出消极评价。即使是公开信息，处理应限于实现处理目的所必需，不宜绕过技术限制实施抓取或聚合。
若为批量抓取或聚合使用，应关注f）项，在批量抓取或聚合使用前应开展个人信息保护影响评估，采取合理措施。该种情形可据此归入《个保法》第五十五条个人信息安全影响评估情形列举的兜底范围，即“有下列情形之一的，个人信息处理者应当事前进行个人信息保护影响评估，并对处理情况进行记录：……（五）其他对个人权益有重大影响的个人信息处理活动”。
相较于此处的“不宜”，公开的敏感个人信息收集也存在“不应”的要求，对应《GB/T 45574-2025 数据安全技术 敏感个人信息处理安全要求》5.2.c）项提出的对敏感个人信息的自动化收集要求，即“不应通过技术手段自动收集互联网网站页面和移动互联网应用程序传输、存储和显示的敏感个人信息”。
此外，处理者还需关注到e）项要求建立处理已公开个人信息清单，明确信息来源、获取时间、公开依据、限制条件、处理目的与范围、必要性评估与去标识化措施等清单要素。