4. 数据共享的合法性基础

在数据共享与第三方合作中，合法性基础是决定“能不能共享、以什么理由共享、共享到什么程度”的根本依据。很多团队把“取得同意”当成唯一路径，结果在员工数据、供应链数据、风控数据等场景中陷入僵局；也有团队误以为“合作合同签了就能共享”，忽略了合同必要性的严格边界。本节围绕《个人信息保护法》第十三条确立的多元合法性事由，讲清各自的适用条件、证据要求与实务选择顺序。

一、合法性事由不是“可选项”，而是“准入条件”

个人信息处理者向第三方提供个人信息，本质上属于一次独立的处理行为，必须为该次共享单独找到合法性基础。常见误区是：收集时取得了同意，共享时就可以直接复用。实际上，若原始告知中未包含“向第三方提供”的目的、接收方类型和方式，原同意并不覆盖共享行为。因此，实务中应先判断共享场景属于哪一类事由，再决定是否需要补充告知或重新取得同意。

《个人信息保护法》第十三条列举了七类事由，与数据共享最相关的是：取得个人同意、为订立或履行个人作为一方当事人的合同所必需、为履行法定职责或法定义务所必需、为应对突发公共卫生事件或紧急情况下为保护自然人的生命健康和财产安全所必需、为公共利益实施新闻报道或舆论监督等在合理范围内处理、以及法律行政法规规定的其他情形。选择哪一类，取决于共享的目的、双方关系、数据敏感度和可替代性。

二、同意：最灵活，也最容易被误用

同意是适用面最广的事由，但要求也最细。有效的同意必须建立在充分告知基础上，个人应能自由作出、不受胁迫，并且有权随时撤回。用于共享场景时，告知内容至少要包含：接收方名称或类型、共享目的、数据字段范围、共享方式、保存期限，以及个人行使权利的方式。若涉及敏感个人信息，如生物识别、医疗健康、金融账户、行踪轨迹，或向境外提供，则需取得单独同意，不能混在隐私政策的一揽子勾选中。

实务中建议把同意做成“可拆分的颗粒”。例如某健康管理App与保险公司合作推送健康险，若把“健康数据共享给保险公司”与“接收营销短信”捆绑在一个勾选框，撤回营销同意时就会连带影响共享合法性。更稳妥的做法是按目的分项列示，每项独立勾选、独立留痕，并记录同意时间、版本号、IP或设备标识，以便在争议时证明“当时告知了什么、个人同意了什么”。

三、合同必要：边界比想象中窄

“为订立、履行个人作为一方当事人的合同所必需”常被误读为“只要业务合作需要就可以”。这里的“必需”应理解为：不共享就无法完成合同核心目的，且没有对个人权益影响更小的替代方案。典型场景是电商订单履约——不把收件人姓名、电话、地址给物流，包裹无法送达，这属于合同必要。但如果平台想把用户浏览记录共享给广告合作方做精准投放，即便写在用户协议里，也很难主张“合同必要”，因为投放并非用户所签合同的核心给付内容。

判断时可问三个问题：第一，个人是否是该合同的一方当事人？第二，共享是否是履行该合同的客观必需，而非商业便利？第三，是否存在去标识化、最小字段、聚合统计等替代方式？三个问题中任一为否，就应退回同意路径。此外，合同必要性不豁免告知义务，仍需以显著方式让个人知悉接收方与目的。

四、法定义务与公共利益：条件严格、范围特定

法定义务事由要求共享行为有明确的法律、行政法规依据，且限于履行该义务所必需的范围。例如金融机构依反洗钱法向中国反洗钱监测分析中心报送大额交易和可疑交易报告，属于典型法定义务；但若把同一批客户信息顺带提供给关联营销公司，就超出了义务范围。实务中应把“法律依据条文、义务主体、报送字段、频次、接收方”形成书面映射，避免义务被扩大解释。

公共利益、突发公共卫生事件、紧急情况下保护生命健康和财产安全等事由，同样强调“目的特定、范围合理、期限必要”。例如疫情期间向疾控部门提供特定区域人员流动数据，应限定在防控所需字段和时段，事件结束后及时停止共享或删除。新闻报道、舆论监督类公共利益处理，也应在合理范围内进行，不能以“公众知情”为名无限扩张。

五、实务选择与留痕建议

面对一个具体共享需求，建议按以下顺序推进：先确认是否存在法定义务或法定职责依据；再评估是否构成合同必要；然后看是否落入公共利益或紧急情况；以上都不成立时，回到同意路径。无论选择哪条路径，都应形成一份“合法性基础判定记录”，至少包含：共享场景描述、拟适用事由、法律依据、数据字段与敏感度、接收方、传输方式、保存期限、个人权利响应机制、判定人与日期。