履行法定职责或义务的必要性

1.因履行法定职责所必需处理个人信息。国家机关为维护国家安全、惩治犯罪、管理经济社会事务，以及提供公共服务，在很多情况下都可能需要处理个人信息。现行一些法律、行政法规对国家机关履行法定职责处理个人信息作了规定，税收征收管理法第六条对纳税人、扣缴义务人和其他有关单位按照国家有关规定如实向税务机关提供与纳税和代扣代缴、代收代缴税款有关的信息作了规定。出境入境管理法第七条规定，经国务院批准，公安部、外交部根据出境入境管理的需要，可以对留存出境入境人员的指纹等人体生物识别信息作出规定。根据居民身份证法第二条、第三条的规定，居住在中华人民共和国境内的年满十六周岁的中国公民，应当申请领取居民身份证，居民身份证登记的项目包括：姓名、性别、民族、出生日期、常住户口所在地住址、公民身份号码、本人相片、指纹信息、证件的有效期和签发机关。根据《全国人口普查条例》第四条、第十二条的规定，人口普查对象应当真实、准确、完整、及时地提供人口普查所需的资料，包括姓名、性别、年龄、民族、国籍、受教育程度、行业、职业、迁移流动、社会保障、婚姻、生育、死亡、住房情况等。但是国家机关履行法定职责具有特殊性，为维护国家安全和社会公共利益、保护人民群众和有关组织合法权益，在一些情形下涉及限制公民的权利和自由，是强制性的并由国家强制力予以保障，在这些情形下为履行法定职责处理个人信息不能也难以以获得个人同意为前提。据此，本条将因履行法定职责所必需作为处理个人信息的合法情形。需要强调的是，判断国家机关处理个人信息是否属于履行法定职责所必需，应当依据法律、行政法规的规定，或者根据国家机关及其履行的职责性质等因素予以判断。同时，国家机关基于此项合法性基础处理个人信息，应当依照法律、行政法规规定的权限和程序进行，不得超出履行法定职责所必需的范围和限度。

2.为履行法定义务所必需处理个人信息。国家机关履行的法定职责，通常也体现为对公民、法人、非法人组织的法定义务，包括保护公民人身财产安全、提供公共服务等。同时，法律、行政法规还赋予了公民、法人、非法人组织配合、协助国家机关维护国家安全、惩治违法犯罪的义务，如反洗钱法第三条规定，金融机构和特定非金融机构，应当依法采取预防、监控措施，建立健全客户身份识别制度、客户身份资料和交易记录保存制度、大额交易和可疑交易报告制度，履行反洗钱义务。反恐怖主义法第二十条规定，铁路、公路、水上、航空的货运和邮政、快递等物流运营单位应当实行安全查验制度，对客户身份进行查验，依照规定对运输、寄递物品进行安全检查或者开封验视。物流运营单位，应当实行运输、寄递客户身份、物品信息登记制度。网络安全法第二十一条规定，网络运营者应当按照网络安全等级保护制度的要求，采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施，采取监测、记录网络运行状态、网络安全事件的技术措施，确保网络安全；第二十四条还对实名制作出了规定，要求网络运营者为用户办理网络接入、域名注册服务，办理固定电话、移动电话等入网手续，或者为用户提供信息发布、即时通讯等服务，在与用户签订协议或者确认提供服务时，应当要求用户提供真实身份信息。电子商务法第二十七条规定，电子商务平台经营者应当要求申请进入平台销售商品或者提供服务的经营者提交其身份、地址、联系方式、行政许可等真实信息，进行核验、登记，建立登记档案，并定期核验更新；第三十一条要求电子商务平台经营者记录、保存平台上发布的商品和服务信息、交易信息。《征信业管理条例》第二十九条规定，从事信贷业务的机构应当按照规定向金融信用信息基础数据库提供信贷信息。根据法律、行政法规的明确规定，或者法定义务的性质等因素，处理个人信息属于履行法定义务，直接相关且是必要、合理时，则不需要取得个人同意。

四、为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需

1.为应对突发公共卫生事件所必需。突发公共卫生事件，是指突然发生，造成或者可能造成社会公众健康严重损害的重大传染病疫情、群体性不明原因疾病、重大食物和职业中毒以及其他严重影响公众健康的事件。以重大传染病疫情为例，收集报告疫情信息，有助于疾控机构及时对确诊或疑似病例开展流行病学调查，掌握传播链条，有针对性地采取隔离控制等措施。因此，根据疫情防控工作的需要和特点，为保护公共利益和个人生命健康安全，法律赋予有关方面特别是疾控机构收集、汇总、使用个人信息的权力，以实现对患者和密切接触者的快速识别，对疫情的精准分析和掌控，为科学决策、科学防控提供支撑。传染病防治法、突发事件应对法等法律、行政法规就发生传染病疫情时，各级政府及相关主管部门、疾控机构、医疗机构处理包括个人信息在内的疫情相关信息作出了规定，明确了相关信息的收集、报告和公布等事项。传染病防治法第十二条规定，在中华人民共和国领域内的一切单位和个人，必须接受疾病预防控制机构、医疗机构有关传染病的调查、检验、采集样本、隔离治疗等预防、控制措施，如实提供有关情况。《突发公共卫生事件应急条例》第四十条规定，传染病暴发、流行时，街道、乡镇以及居民委员会、村民委员会应当组织力量，团结协作，群防群治，协助卫生行政主管部门和其他有关部门、医疗卫生机构做好疫情信息的收集和报告、人员的分散、隔离、公共卫生措施的落实工作。原国家卫生和计划生育委员会制定的《传染病信息报告管理规范（2015年版）》，通过所附的传染病报告卡模板明确了报告的信息种类，涉及患者姓名、有效证件号、性别、出生日期、工作单位或学校、联系电话、居住地、职业、病种和发病日期等个人信息。据此，个人信息保护法将应对突发公共卫生事件所必需作为处理个人信息的合法性基础。需要强调的是，为应对突发公共卫生事件处理个人信息，不需取得个人同意，但也应当履行必要的告知义务，保障个人的知情权，并且处理个人信息不得超过必要的限度，采取对个人权益影响最小的方式，充分尊重并保护个人隐私等权利。

2.紧急情况下，为保护自然人的生命健康和财产安全所必需。紧急情况是指迫在眉睫、急迫的状态。在紧急情况下为保护个人的生命或者财产安全，通常客观上很难事先取得同意，或者取得个人同意可能会延误对其生命健康和财产安全的保护，在这种情形下可以不经个人同意处理其个人信息。例如，发生自然灾害、事故灾难等突发事件后，需要收集、使用相关个人信息搜寻失联人员、救助伤员；医院收治急病患者，为确认患者身份获取其个人信息，以便联系其家人；发生电信网络诈骗时，电信运营商对受害人的个人信息进行处理以阻止诈骗发生等。在紧急情况下为保护自然人的生命健康和财产安全所必需处理个人信息无须取得个人同意，并且通常无法及时告知个人，但如果条件允许，应在紧急情况消除后及时向个人告知。(www.xing528.com)

五、为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息

新闻报道具有传递信息、提供知识等功能，舆论监督是新闻媒体、社会公众参与社会公众事务，对国家机关和国家工作人员及社会问题进行公开监督的一种方式，为公共利益实施新闻报道、舆论监督，很可能涉及特定的自然人，需要使用、公开自然人的个人信息。

若使用、公开相关个人信息需取得同意，新闻报道、舆论监督就可能无法正常进行。民法典第九百九十九条规定，为公共利益实施新闻报道、舆论监督等行为的，可以合理使用民事主体的姓名、名称、肖像、个人信息等；使用不合理侵害民事主体人格权的，应当依法承担民事责任。个人信息保护法与民法典有关规定相衔接，将为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息作为合法性基础。国外一些法律也对因新闻报道等公共利益目的处理个人信息取得个人同意作出了豁免的规定：如欧盟《通用数据保护条例》第八十五条第二款规定，对于为新闻、学术、艺术或者文学表达进行的处理，如果有必要协调保护个人信息处理的权利与言论和信息自由的权利，成员国可以作出例外规定或限制规定；英国《数据保护法》附件二第五部分对因新闻、学术、艺术和文学目的处理个人信息豁免适用《通用数据保护条例》作出了规定，即为公共利益实施新闻报道可以豁免适用合法性基础、个人权利、向第三国传输等的规定；日本《个人信息保护法》规定，广播机关、报社、通讯社以及其他报道机关（包括从事报道业务的个人）为其报道活动目的，不适用个人信息处理者义务一章。