在即將于11月1日生效的《個人信息保護法》第13條中，除了“同意”以外，還首次明確了多種個人信息處理的合法性基礎：

　　為訂立、履行個人作為一方當事人的合同所必需

　　按照依法制定的勞動規章制度和依法簽訂的集體合同實施人力資源管理所必需

　　為履行法定職責或者法定義務所必需

　　為應對突發公共衛生事件

　　緊急情況下為保護自然人的生命健康和財產安全所必需

　　為公共利益實施新聞報道、輿論監督等行為，在合理的范圍內處理個人信息

　　依照本法規定在合理的范圍內處理個人自行公開或者其他已經合法公開的個人信息

　　法律、行政法規規定的其他情形

　　另外值得留意的是，在《個人信息保護法》中還提出了“單獨同意”（seprate consent）的概念，而在GDPR等外國的法律法規中并沒有這一概念。根據《個人信息保護法》，“單獨同意”適用于五個場景：

　　個人信息處理者向其他個人信息處理者提供其處理的個人信息

　　公開個人信息

　　公共場所安裝圖像采集、個人身份識別設備，用于維護公共安全以外目的收集個人圖像、身份識別信息

　　處理敏感個人信息

　　向境外提供個人信息

　　因為是一個嶄新的概念，所以“單獨同意”在實踐中如何落地、能否豁免存在相當的不確定性。

　　單獨同意比普通的同意更難獲得，需要單獨的意思表示，因此很多場景下獲取單獨同意非常困難。進而問題來了：如果不基于“同意”處理個人信息，那么在特定的五個場景下，是否還需要獲取單獨同意？

　　假設個人信息處理是為了應對突發公共衛生事件，如因為防控疫情的需要收集姓名、身份證號、行程等信息，但行蹤軌跡是敏感個人信息，《個人信息保護法》第29條要求處理敏感個人信息需要單獨同意。

　　有很多觀點認為如果不基于同意處理個人信息，那么也無需獲取單獨同意。比如程嘯教授認為：

　　處理敏感的個人信息應當取得個人的單獨同意，當然是指那些基于個人同意處理敏感的個人信息的情形，至于依據法律、行政法規的規定無需個人同意即可處理個人信息的情形，則不適用。……

　　程嘯：《個人信息保護法理解與適用》，中國法制出版社2021年版，頁273

　　也有律師持同樣的觀點：

　　當且僅當處理數據的合法性事由是基于同意的時候，有五個場景是需要獲得“單獨同意”的。

　　孟潔律師團隊，公眾號：M姐 數據合規評論

　　Step 6 | 一天一步帶你落地《個人信息保護法》

　　但我認為這種觀點在實踐中是有風險的。對比《個人信息保護法（草案二次審議稿）》與《個人信息保護法》：

　　《個人信息保護法（草案二次審議稿）》

　　《個人信息保護法》

　　基于個人同意處理敏感個人信息的，個人信息處理者應當取得個人的單獨同意。……（第30條）

　　處理敏感個人信息應當取得個人的單獨同意；……（第29條）

　　在正式通過的《個人信息保護法》中專門刪除了“基于個人同意處理敏感個人信息”作為獲取單獨同意的前提條件。

　　此外，也需要重點討論“同意”與“單獨同意”的關系。如果我們僅認為“單獨同意”是“同意”的子集，那么根據《個人信息保護法》第13條第2款很容易得出非基于“同意”處理個人信息，就不再需要“同意”了，當然也不需要單獨同意。

　　但問題在于，“單獨同意”并不單純是“同意”的子集，而是一種更高標準的“同意”。需要在更加立體的視角來觀察：

　　當《個人信息保護法》因為具備其他合法性基礎而豁免“同意”之時，并不意味著“單獨同意”也被一并豁免掉。也就是說，“單獨同意”的并不能夠因為基于“同意”以外的法律基礎就豁免掉。無論何種個人信息處理的法律基礎，“單獨同意”在相關場景下可能都是必需的。

　　另外，在合規實踐的角度，保守一些給意見總是不會犯錯（雖然可能有礙業務的開展）。尤其是在法律條文沒有對豁免“單獨同意”點頭的時候，不宜對法律進行太過寬泛的解釋。

　　作為一名數據法律業務的律師，我當然希望機構能有更為便捷的合規路徑，但這樣的捷徑未必能夠達到法律監管的要求，更會讓冒險實踐者承擔更高的風險。大量實踐已經表明，《個人信息保護法》不是一部可以輕易達到合規及格線的法律，需要對業務進行全面的梳理和反思，甚至需要對業務模式進行重大調整。

　　而本文僅是拋磚引玉，以上個人觀點也不一定經得起推敲，權當是記錄一些思考。