数据主体自由给予、具体、知情且明确表示的意愿。可随时撤回，撤回不影响之前处理合法性。
处理是履行数据主体作为一方的合同所必需，或应主体要求采取签约前措施。
处理为遵守控制者所承担的法律义务所必需。法律依据需明确（欧盟或成员国法）。
处理为保护数据主体或另一自然人的重大利益所必需。通常用于紧急医疗或人道主义。
处理为执行公共利益领域的任务或行使控制者被授予的官方权力所必需。
控制者或第三方正当利益，除非主体利益/基本权利优先。需做利益平衡测试(LIA)。
| 法律基础 | 核心要件 | 典型场景举例 | 注意事项 |
|---|---|---|---|
| 1. 同意 | 自由、具体、知情、明确 | 营销邮件、Cookie | 可撤回，需证明同意 |
| 2. 合同履行 | 履行合同或签约前措施 | 电商、银行、SaaS | 不能过度处理 |
| 3. 法律义务 | 欧盟/成员国法定义务 | 税务、反洗钱 | 需指明具体法律 |
| 4. 重大利益 | 保护生命/重大利益 | 急救、人道主义 | 通常为临时处理 |
| 5. 公共利益 | 官方权力/公共利益任务 | 统计、公共卫生 | 需法律授权 |
| 6. 正当利益 | 利益平衡测试(LIA) | 直接营销、安全 | 必须记录LIA |
// 正当利益评估 (Legitimate Interest Assessment) 精简示例
{
"目的": "直接营销-向现有客户发送类似产品推荐",
"正当利益": "提升客户体验与复购率",
"必要性": "仅使用客户已购品类相关数据，最小化",
"平衡测试": {
"主体合理期望": "客户可预期收到同类推荐",
"影响评估": "低风险，提供一键退订",
"保障措施": "立即退订链接、数据保留30个月"
},
"结论": "✅ 可通过LIA，适用正当利益基础"
}