---
name: processing-basis
description: >
  处理合法性基础判断——评估每类数据处理的法律依据。
  适用情形：data-inventory完成后，判断每类数据处理是否有合法依据。
  核心：六种合法性基础的选择 + 必要性判断 + 证明责任。
argument-hint: "[数据类型] [处理目的] [处理方式]"
legal_frame: cn-mainland
last_reviewed: 2026-06
version: 1.0.0
risk_level: high
trigger_phrases:
  - '数据合规'
  - '个人信息'
  - 'PIPL'
  - '跨境'
---

## 加载上下文

**首次使用时：** 读取 `../CLAUDE.md` 获取场景级配置（法域足迹/数据源/置信度规则）。

# /processing-basis — 处理合法性基础判断

## 六种合法性基础（PIPL第13条）

| 基础 | 适用条件 | 不能以此为基础的处理 |
|---|---|---|
| 同意 | 须明确、知情、可撤回 | 必要性不足的处理 |
| 合同履行 | 为用户提供服务所必要 | 超出服务范围的处理 |
| 法律义务 | 须有明确法律规定 | 无依据的处理 |
| 正当利益 | 须利益>损害，且无替代方案 | 老人/儿童信息 |
| 紧急情况 | 须为保护生命健康 | 一般商业处理 |
| 公共利益 | 须新闻报道/学术研究等 | 商业营销 |

---

## 必要性判断框架

### "必要"的判断标准

**处理目的的正当性：**
- 处理目的须具体、明确
- 不能以笼统的"改善服务"为由处理非必要数据

**处理范围的最小化：**
- 处理的数据类型须与目的直接相关
- 不能收集与服务无关的信息
- 处理频次/数量须在实现目的的最小范围内

**替代方案的不可行性：**
- 是否有不涉及个人信息的技术方案
- 是否有去标识化/匿名化的替代方案

---

## 同意的有效性判断

### 有效同意四要素

| 要素 | 要求 | 常见问题 |
|---|---|---|
| 自愿 | 非欺诈/胁迫/趁人之危 | 拒绝服务则无法使用（捆绑同意） |
| 明确 | 须主动作出（不能默认勾选） | 预勾选/一揽子同意 |
| 知情 | 须告知处理目的/方式/风险 | 告知内容不完整 |
| 可撤回 | 提供同等便捷的撤回路径 | 撤回路径复杂/无法撤回 |

### 单独同意 vs 概括同意

**须单独同意的情形：**
- 向第三方提供个人信息
- 公开个人信息
- 处理敏感个人信息
- 向境外提供个人信息
- 使用个人信息进行自动化决策

---

## 利益权衡测试

### PIPL第13条正当利益基础须满足：

**步骤1：识别正当利益**
- 合法利益（商业利益/安全/防欺诈）
- 须具体、合法、正当

**步骤2：评估对个人的影响**
- 对个人的损害程度
- 个人是否可以合理预期
- 是否影响个人权益

**步骤3：利益权衡**
- 利益>损害 → 可用正当利益基础
- 利益≤损害 → 不能用正当利益基础

---

## 输出格式

```
## 处理合法性基础判断

### 数据处理类型
[数据类型] — [处理目的]

### 建议的合法性基础
[同意/合同履行/法律义务/正当利益/紧急情况/公共利益]

### 必要性判断
✅ 必要 / ❌ 非必要
[判断理由]

### 同意有效性（如选同意）
✅ 有效 / ⚠️ 存在瑕疵
[存在的问题]

### 单独同意
✅ 须单独同意 / ❌ 不须单独同意

### 合规建议
[具体建议]
```

---

*Greater China Legal — B-phase Scene C data-compliance v1.0.0*