3. GDPR合法处理基础：六条路径，你选哪条？
说实话，GDPR的合法处理基础，是我在项目中遇到最多坑的地方。很多客户一上来就说：「我们要做同意！」——嗯，我理解，同意是最直观的。但你知道吗？同意其实是最难做好的那一条。
GDPR第6条给出了六条合法处理路径。说白了，你处理个人数据，必须占一条。一条都不占？那你的业务就是违法的。我习惯把这六条分成两类：「主动型」和「被动型」。主动型是你需要用户点头的，被动型是法律或合同逼你做的。
3.1 同意（Consent）——最常用，也最容易翻车
同意是什么？用户明确说「行，你处理我的数据吧」。听起来简单，对吧？但GDPR对同意的要求，比你想的严格得多。
有效同意的四个要件：
- 自由给予：不能强迫。比如「不同意就不让你用App」——这不行。
- 具体明确：你得说清楚处理什么数据、干什么用。笼统的「我同意处理我的数据」无效。
- 知情：用户得知道自己在同意什么。隐私政策写得像天书？那同意无效。
- 可撤回：用户随时可以撤回同意，而且撤回和给予一样容易。
我在项目中遇到过一家电商公司，他们收集用户浏览记录做个性化推荐。他们用的方法是：注册时弹窗「同意隐私政策」，用户勾选才能继续。我一看就摇头——这不行。为什么？因为同意不是「一揽子」的。你得把「个性化推荐」单独拿出来，让用户主动勾选，而不是藏在隐私政策里。
我的习惯做法：
用分层同意。第一层：必要的处理（比如账号注册）不需要同意，用「合同必要性」。第二层：非必要的处理（比如营销、分析）单独弹窗，让用户主动勾选。这样既合规，用户体验也好。
3.2 合同必要性（Contractual Necessity）——做业务必备
这条很简单：处理数据是为了履行合同，或者应你的要求准备签合同。比如你网购，电商必须处理你的地址才能发货。这不需要你额外同意。
但注意——不能滥用。我见过一些公司把「发送营销邮件」也归到合同必要性里，理由是「我们合同里写了」。这不行。营销不是合同履行的必要部分，你得用同意。
避坑指南：
我曾经帮一家SaaS公司做合规审计。他们把用户上传的所有数据都归到「合同必要性」里，理由是「我们要提供云存储服务」。但仔细一看，他们还在用这些数据训练AI模型。这就不属于合同必要性了。后来我建议他们：存储用合同必要性，训练AI单独获取同意。
3.3 法律义务（Legal Obligation）——没得选
法律要求你处理数据，你就得处理。比如税务部门要求你保留员工工资记录7年。这不需要用户同意，你也不能拒绝。
嗯，这里要注意：法律义务必须是欧盟或成员国法律明确规定的。你不能自己编一个「公司内部规定」来当挡箭牌。
3.4 重大利益（Vital Interests）——救命用的
处理数据是为了保护某人的生命。比如医院在紧急情况下处理你的医疗数据来抢救你。这不需要你同意。
说实话，这条在实际业务中用得很少。我做了这么多年合规，只在医疗急救场景中见过。如果你不是做医疗或紧急救援的，大概率用不上。
3.5 公共利益（Public Interest）——政府或公共机构的专属
处理数据是为了执行公共任务，比如公共卫生监测、科学研究。这通常适用于政府机构或受委托的第三方。
你想想看，如果你是商业公司，想用这条？基本没戏。除非你受政府委托做某项公共研究。
3.6 正当利益（Legitimate Interests）——最灵活，也最危险
这是我最喜欢的一条，也是争议最大的一条。正当利益允许你处理数据，只要你的利益大于用户的隐私风险。比如防止欺诈、网络安全、直接营销（在某些条件下）。
但注意——你必须做利益平衡测试（LIA）。我习惯用这个三步法：
- 识别正当利益：你的目的是什么？防止欺诈？提升服务？
- 评估影响：处理数据对用户隐私有什么风险？
- 平衡：你的利益是否大于用户的风险？如果用户「合理预期」你会这么处理，那通常没问题。
举个例子：
一家电商平台用IP地址检测欺诈订单。用户合理预期平台会做防欺诈，而且IP地址对隐私影响不大。这可以用正当利益。但如果平台用IP地址做精准广告投放？用户不会预期到，而且隐私风险更高。这就不行，得用同意。
我的建议：
正当利益虽然灵活，但风险也高。我一般只在「低风险、用户可预期」的场景下用。比如网络安全、防止欺诈、客户服务。对于营销、分析、画像，我建议还是走同意路线，更安全。
3.7 六条路径对比表
| 合法基础 | 适用场景 | 是否需要同意 | 风险等级 |
|---|---|---|---|
| 同意 | 营销、分析、非必要处理 | 是 | 中（但合规要求高） |
| 合同必要性 | 履行合同、提供服务 | 否 | 低 |
| 法律义务 | 税务、法律保留要求 | 否 | 低 |
| 重大利益 | 紧急医疗、生命救援 | 否 | 低（但场景特殊） |
| 公共利益 | 政府任务、科学研究 | 否 | 低（仅限公共机构） |
| 正当利益 | 防欺诈、网络安全、客户服务 | 否（但需做LIA） | 高（需谨慎评估） |
3.8 实战建议：怎么选？
我个人的习惯是：先问自己三个问题。
- 这个处理是必须的吗？ 如果是合同或法律要求的，走合同必要性或法律义务。
- 用户会预期吗？ 如果用户合理预期你会这么处理，而且风险低，考虑正当利益。
- 其他都不行？ 那就用同意。但记住，同意不是万能药。你必须有清晰的记录，证明用户是自愿、知情、明确地同意的。
最后提醒：
我曾经见过一家公司，六条路径全用上了，但每条都用错了。他们用「合同必要性」处理营销数据，用「正当利益」处理敏感数据，用「同意」但没给撤回按钮。结果被罚款200万欧元。所以，选对路径只是第一步，执行到位才是关键。
嗯，这一章就到这里。下一章我们聊聊数据主体权利——用户能对你做什么，你又该怎么应对。