免于同意之合同所必需規則的原理探究與落地適用*

伍旋航

(廈門大學 法學院，福建 廈門 361005)

0 引言

《個人信息保護法》確立了以“告知—同意”為核心的個人信息處理規則，強調了個人信息處理中對個人信息主體的權利保障。同意并非個人信息處理的唯一合法性基礎?！秱€人信息保護法》第13條第1款第2項規定“為訂立、履行個人作為一方當事人的合同所必需”(以下簡稱“合同所必需規則”)同屬個人信息處理的合法性基礎之一。合同所必需規則借鑒了GDPR第6.1(b)條的規定，但國內對該規則的原理內涵與具體適用仍不明晰。

為更好推動合同所必需規則的落地適用，本文結合GDPR第6.1(b)及相關規定，對合同所必需規則的內涵與實踐適用進行了分析。

1 合同所必需規則的基本內涵

歐盟數據保護委員會曾通過了一項《關于在向個人信息主體提供在線服務時根據GDPR第6.1(b)條處理個人數據的準則》(2.0版)(以下簡稱《準則》)，上述指南對GDPR第6.1(b)條對合同所必需規則的基本內涵和適用標準作了詳細規定，對理解合同所必需規則的原理具有重要意義。

1.1 設立合同所必需規則的考慮

個人信息處理的合法性基礎主要有兩大類：一是同意，二是法定許可(又稱“同意例外”)?；谕獾膫€人信息處理體現了對個人同意授權的嚴格遵循，是在大數據時代賦予個人信息主體的一項自主決定權利。我國《個人信息保護法》允許個人信息處理者基于法定許可處理個人信息主要有三個層面的考慮。第一，個人信息來源于個人，但個人信息并非絕對獨占的。個人信息還承載著除了個人利益之外的社會利益甚至國家利益。因此，特定情形下，個人信息主體需要讓渡其享有的同意授權的權利，以實現不同利益之間的平衡[1]。這一利益平衡理念同樣體現在GDPR，其序言指出“保護個人數據的權利不是一項絕對權利，必須考慮其在社會上的作用并應當根據比例性原則與其他基本權利保持平衡?！钡诙?，網絡時代下，衣食住行等各方面的科技智能化需要以廣泛的個人信息處理為依托。此時，服務提供商作為信息處理者，依托個人信息處理為個人提供便利的智能服務。允許個人信息處理者基于同意之外的特定情形進行個人信息處理，能夠降低信息處理成本，從生活服務提供上看，也是為了保障個人信息主體在社會生活中的基本需求實現和服務提供享受。第三，《個人信息保護法》的目標有兩個，一是保護個人信息權益，二是促進個人信息合理利用。合同所必需規則便是對上述目標的有機協調[2]。

《個人信息保護法》第13條第1款第2項所設立的合同所必需規則，其目的并非單獨給予個人信息處理者信息免于同意的“處理便利”，也有站立于個人信息主體視角的合理考慮。因此，設立合同所必需規則并無架空告知同意規則的惡意。況且“同意例外”只是提供了處理個人信息的“鑰匙”，后續具體的個人信息處理行為依舊需遵守法律規定。綜上，沒有必要“一刀切”式地將合同所必需規則拒之門外不予適用，而是可以考慮對合同所必需規則進一步進行細化，補缺這一規則的不盡完善之處，為其落地適用進行理論鋪陳。

1.2 與個人信息主體訂立合同所必需

自《個人信息保護法》實施以來，以“訂立合同所必需”作為處理個人信息的合法性基礎并免于同意征求的規定，已經受到不少學者的批評[3]。一方面，國內對訂立合同所必需的條文內容與GDPR的原文表述有差異，遺漏“應個人信息主體要求”這一主觀要件，容易導致規則濫用[4]。另一方面，規則內涵不明確，解釋的彈性空間過大導致對免于同意之合同所必需規則適用的認同感不高。

合同所必需規則并非對GDPR的簡單移植，而是適應我國本土實踐的“改造”?！稖蕜t》指出訂立合同所必需是指對個人信息的處理是應個人信息主體的請求在正式訂立合同前的一種客觀需要?？梢詫⑦@種個人信息處理視為合同訂立的一項必要性措施。例如，線上郵政服務提供場景下，在正式訂立運輸服務合同前，個人信息主體主動提供郵寄目的地的地址信息以核查該地址能否正常郵寄，此時郵政服務提供商對這些地址信息的處理查詢可被視為訂立合同前所必需的個人信息處理。我國個人信息保護立法中訂立合同所必需未明確規定“應個人信息主體要求”，但結合現實的個人信息處理場景，從一般公眾期待和行業慣例來看，“應個人信息主體要求”已意涵在個人信息主體訂立合同目的以及主動提供個人信息以促成合同切實訂立的實際行動之中。因此，判斷是否為“訂立合同所必需”應基于合同訂立前個人信息主體所處的具體情形加以評估[2]?！稖蕜t》還指出“訂立合同所必需”強調個人信息處理的發起方為個人信息主體，不包含主動營銷、由數據控制者發起或應第三方請求進行處理的情形。因此，“訂立合同所必需”中所指向的合同并不包含個人信息保護政策等公開個人信息處理規則的文件。也即，個人信息處理者不能以與個人信息主體訂立隱私政策協議、平臺服務協議等為由進行事前的個人信息處理?！坝喠⒑贤匦琛彼赶虻暮贤枰幎ㄓ袑嵸|性的功能實現或者服務提供內容。

綜上，對“訂立合同所必需”的把握要點可總結為兩個方面：一是堅持綜合研判、具體分析原則，結合個人信息主體訂立合同前所處的情形、實施的行為加以判定；二是“合同”不包括隱私政策協議、平臺服務協議等個人信息處理者為實現事前“免責”而自主提供且無實質合同內容的情形。

1.3 履行與個人信息主體的合同所必需

履行合同所必需處于合同訂立之后的階段?！稖蕜t》指出個人信息處理者如不能證明下述情形，則不能基于“履行合同所必需”處理個人信息：(1)存在合同；(2)依據所在國家的法律規定為有效合同；(3)數據處理行為系履行合同所必要?？梢?，《準則》對“履行合同所必需”的適用主要突出兩點：一是強調個人信息處理者的舉證責任；二是合同是否客觀存在以及合同的法律效力。如圖1所示，《準則》還進一步解釋對必要性的評估與符合目的限制原則之間存在著密切的聯系，并給出了詳細的問題指引。

圖1 評估適用GDPR第6.1(2)條的問題指引

結合《準則》提出的觀點與我國《個人信息保護法》個人信息處理原則，本文認為可以從以下幾個方面審查個人信息處理者的個人信息處理行為是否達至合同履行的“必需”標準。第一，合同內容的直接相關性。即要求所履行的合同的內容與個人信息處理者提供的產品或服務直接相關。合同內容與產品或服務提供直接相關排除單純以個人信息處理行為作為合同內容的情形?！爸苯酉嚓P”表明個人信息處理者免于同意處理的個人信息與其提供的產品或服務之間是直接關系，不包含間接相關的情形[5]。第二，處理目的。即個人信息處理行為是實現合同切實目的之客觀必需。處理目的為合同目的實現之客觀必需，強調個人信息處理環節個人信息的使用目的應與合同訂立之初約定的目的一致，不得相悖而行[6]?？陀^必需可理解為個人信息處理行為是合同履行必不可缺的前置環節。換言之，如無這一個人信息處理行為，合同約定的主要內容將無法繼續履行或者合同目的將無法實現。第三，處理的信息范圍。履行合同所必需還應考慮處理的信息范圍，處理的信息范圍限于合同目的實現所需的必要范圍，處理的信息范圍應保持對個人信息主體的最小影響。

值得一提的是，個人信息處理者應就個人信息處理行為符合上述要求進行舉證。一方面契合羅森貝克提出 “誰主張，誰舉證”的一般原理；另一方面，根據GDPR第5.2條的規定，個人信息處理者應就個人信息處理行為已落實目的限制、必要性原則等個人數據處理原則的要求進行舉證證明。至于證明責任程度，本文認為需達至“如不能依據所收集的個人信息開展特定個人信息處理行為，則難以實現個人信息主體依據合同所期待實現的目的”的程度。

2 合同所必需規則的三層條件限定

在審查認定哪些個人信息處理情形符合合同所必需規則時，應堅持具體情形具體分析、具體場景具體區分的原則。結合個人信息處理的目的限制原則、最小必要原則以及《個人信息保護法》第13條第1款第2項的應有內涵，本文認為處理目的、處理范圍以及處理場景三項條件可作為具體標準。

2.1 合同所必需之處理目的

個人信息處理背后處理目的紛繁復雜，但無論如何，適用合同所必需規則進行的個人信息處理，其信息處理目的必須滿足目的限制要求，具備必要性。此外，上述個人信息處理的處理目的對個人信息主體而言是有利的，能夠滿足個人信息主體的基本功能享受和服務提供需求，而不應具有入侵性、權利損害性。需要注意的是，合同所必需規則并不適用于非基本功能之外的個人信息處理目的，更不能用于個人信息處理者改進商業模式所需。例如，為改進用戶服務體驗、升級用戶功能而進行的個人信息處理不能以合同所必需規則為由獲取信息處理的合法性基礎，而必須征求個人信息主體的同意?！秱€人信息安全規范》對告知和明示同意的內容規定也作了功能區分，區分為基本功能下的告知和明示同意以及拓展功能下的告知和明示同意兩種?；緲I務功能個人信息收集說明載明的“如您不選擇或者不同意我們采集、使用這些個人信息，將導致本產品(或者服務)無法正常運行，我們將無法為你提供服務”，體現了基本業務功能實現下基于合同所必需的信息收集情形。

綜上，合同所必需規則對應的個人信息處理目的必然是嚴于《個人信息保護法》第6條所規定的目的明確原則的要求，其個人信息處理目的在符合《個人信息保護法》第6條基礎上，可通過基本功能與拓展功能的區分，信息處理的目的與合同切實目的之間的一致性、關聯性另行考察處理目的的必要性。

2.2 合同所必需之處理范圍

審查是否滿足合同所必需規則的要求，還可以從處理范圍層面展開?！氨匦琛币辉~其實已指出了個人信息處理范圍的必要性要求。應用合同所必需規則進行的個人信息處理范圍應嚴格限于必要個人信息范圍之列。這是必需明確的，如不進行必要范圍的限定，則告知同意規則很容易會形同虛設。必要個人信息范圍的界定，可以依據個人信息收集的最小必要原則加以限定?！秱€人信息安全規范》將個人信息收集范圍的最小必要解釋為“只處理滿足個人信息主體授權同意的目的所需的最少個人信息類型和數量”，并從收集的類型、數量以及頻率三個方面進行了限定與解讀。(1)收集的個人信息的類型應與實現產品或服務的業務功能有直接關聯。直接關聯是指沒有上述個人信息的參與，產品或服務的功能無法實現。(2)自動采集個人信息的頻率應是實現產品或服務的業務功能所必需的最低頻率。(3) 間接獲取個人信息的數量應是實現產品或服務的業務功能所必需的最少數量。此外，為直觀梳理常見場景對應的個人信息處理的必要范圍，本文認為可參考國家網信辦最新發布的《常見類型移動互聯網應用程序必要個人信息范圍規定》。該規定對不同類別下互聯網應用程序的必要個人信息范圍進行了明確，具有一定的參考性。

2.3 合同所必需之處理場景

審查是否滿足合同所必需規則的要求，還需考慮個人信息處理所處的具體場景。當前，個人信息處理與開發利用呈現出多環節、多主體以及多場景的應用特征[7]。而且自“場景理論”被提出以來，國內不少學者提出可通過引入“場景理論”實現對個人信息的動態保護[8]。更甚者提出以“場景與風險導向”代替知情同意規則[9]?？梢?，場景于個人信息保護之重要性，合同所必需規則在不同個人信息處理場景下的適用也應是動態的，通過場景的細化一定程度上能夠填補當前合同所必需規則標準不明確的“漏洞”。

3 我國不同場景下合同所必需規則的適用展開

《個人信息處理中告知和同意的實施指南》附錄部分列舉了部分場景下合同所必需規則的適用情形。在此基礎上，本文對合同所必需規則在具體場景的適用條件進行了詳細梳理。

3.1 智慧生活場景下的合同所必需規則

智慧生活場景涉及設備激活、綁定與后續服務提供，該場景下合同所必需規則的適用如表1所示。這其中，僅有設備激活環節可適用訂立合同所必需規則免于同意。并且可以看到，啟動對智慧設備的激活是個人作為個人信息主體的一種主動行為，在個人信息主體以按鍵、開機等方式發出激活請求后，智慧設備背后的廠商應個人信息主體請求收集注冊的用戶名、設備名等必要信息是符合訂立合同所必需規則的。

表1 智慧生活場景下合同所必需規則的適用情形

3.2 公共場所場景下的合同所必需規則

高鐵站、汽車站以及公交車等是常見的與居民生活密切關聯的公共場所。表2列舉了該場景下合同所必需規則的適用情形。為提供基礎的票務服務和行程管理，持卡人刷卡時，應當認為公共場所管理平臺收集刷卡人的身份識別號、刷卡時間、乘車地點和下車地點等必要信息符合合同所必需規則。而且比較特殊的是，刷卡時所記錄的信息具有雙重的功能指向，既是訂立合同所必需，也是行程過程中履行行程管理義務所必需。本文認為，此時刷卡人的“刷卡”行為可視為一種“準同意行為”，是刷卡人作為個人信息主體發出的合同訂立要求。如此，既符合《個人信息保護法》第13條第1款第2項“為訂立個人作為一方當事人的合同所必需”的要求，也與GDPR 第6.1(b)條“訂立合同前應個人信息主體的請求而進行的必要數據處理”相契合，可進一步印證國內合同所必需規則落地實施的可行性。

表2 公共場所背景下合同所必需規則的適用情形

3.3 互聯網金融服務場景下的合同所必需規則

網絡借貸以及網絡支付是常見的互聯網金融服務場景。表3列舉了合同所必需規則適用于上述場景的具體情形。上述場景下的產品與服務功能提供可區分為基本業務功能與擴展業務功能兩大類?；诤贤匦枰巹t對個人信息處理的必要性要求，僅在基本業務功能提供部分存在可以適用合同所必需規則豁免同意征求。首先，在網絡借貸中，信貸服務提供是其基本的業務功能，互聯網金融理財屬于擴展業務功能。一方面，用戶在平臺或APP選擇“立即申請”等具有信貸申請這一意思表示的按鍵時，網絡借貸平臺可基于訂立合同所必需收集注冊用戶手機號碼、借款人姓名、證件種類和號碼、證件有效期限、銀行卡號碼。另一方面，收悉信貸申請后，信貸審批是實現信貸申請的必要環節，為履行對用戶信貸申請的審批義務，收集注冊用戶手機號碼、借款人姓名、證件種類和號碼、證件有效期限、銀行卡號碼、個人征信信息應認為系履行合同所必需，可免于同意征求。其次，移動支付時代，微信、支付寶等網絡支付已滲透至個人生活的方方面面。一方面，用戶欲使用微信、支付寶等網絡支付工具，必須進行實名等支付驗證，此時應用戶的網絡支付開通要求，平臺可免于同意收集注冊用戶手機號碼、注冊用戶姓名、證件種類和號碼、證件有效期限、銀行卡號碼等必要信息。另一方面，用戶使用網絡支付時，為促成網絡支付交易的完成，平臺同樣可基于履行合同所必需規則收集注冊用戶手機號碼、注冊用戶姓名、證件種類和號碼、證件有效期限、銀行卡號碼等必要信息。

表3 互聯網金融服務場景下合同所必需規則的適用情形

綜上，上述適用合同所必需規則的情形僅限于實名驗證、互聯網金融服務支持等基本業務功能，對信用卡還款、金融理財等擴展業務功能則很少適用。

3.4 網上購物場景下的合同所必需規則

網絡購物場景下，可基于訂立合同所必需、履行合同所必需免于同意，具體適用情形如表4所示。本文將區分國內、跨境網絡購物兩大情形進行分析。首先是國內范圍的網絡購物?；谟喠⒑贤匦枋占膫€人信息限于用戶名、商品信息、配送地址以及支付渠道，并且上述信息收集主要為提交并確認用戶訂單所需。在訂立網絡購物合同過程中，如淘寶用戶界面點擊下單并顯示下單成功后，淘寶作為個人信息處理者即可收集上述信息。此時，淘寶用戶點擊下單的行為已然向淘寶發出了訂立網絡購物合同的請求，為促成淘寶用戶的訂單交易，收集的必要個人信息可免于同意。此外，合同訂立后，淘寶還負有保障商品交付以及售后服務提供的義務。因此，應當認為訂單信息、支付信息、姓名、電話號碼、地址屬于平臺運營商履行合同所必需的個人信息。其次是跨境購物。電商等網絡購物平臺作為“中間方”，提供交易服務時，基于用戶下單，同樣需要向相應的店鋪經營者提供信息。此時，因為店鋪經營者在國外，不可避免會涉及個人信息出境的問題。按照《個人信息保護法》第39條的規定，個人信息出境需要取得個人的單獨同意。但因個人信息出境是用戶成功訂立跨境網絡購物的必要前提，可適用訂立合同所必需規則免于同意征求。之后，為保障跨境所購商品的正常發貨、運輸、簽收，并提供售后服務，購物平臺同樣可基于履行合同所必需規則收集訂單信息、支付信息、姓名、電話號碼、地址等必要信息。同時上述個人信息出境亦是必要環節，可基于履行合同所必需規則免于單獨同意的征求。

表4 網上購物場景下合同所需規則的適用情形

如圖2所示，該場景下存在購物平臺、用戶以及店鋪經營者三方關系。三方主體之間兩兩成立不同的合同關系：購物平臺與用戶、店鋪經營者之間均分別成立網絡服務合同關系，用戶與店鋪經營者則直接成立買賣合同關系。為訂立、履行合同所必需，要求個人作為一方當事人與個人信息處理者之間共同構成合同雙方。也即，上文提及的網絡購物平臺為訂立、履行合同所必需處理必要個人信息，該合同指向的是網絡購物平臺與用戶之間的網絡服務合同，而非用戶與店鋪經營者之間的買賣合同。

圖2 網絡購物場景下合同所必需規則的適用

3.5 快遞物流場景下的合同所必需規則

快遞物流場景下合同所必需規則的適用情形如表5所示。該場景下，用戶下單寄送快遞，快遞平臺需收取快遞訂單信息并將面單打印粘貼在需寄送的快遞上。此時，用戶下單與填寫快遞面單是運輸配送合同訂立的關鍵，基于此收集寄件人的地址、電話、姓名應認為屬于訂立合同所必需的范疇。此外，履行合同過程中，出于配送服務提供需要，根據訂單信息自動收集收件人地址、電話及姓名應認為屬于履行合同所必需的范疇。

表5 快遞物流場景下合同所必需規則的適用情形

當前物流運輸發達，快遞服務已成為上文提及的網絡購物場景下的必要環節。此時，網絡購物下的快遞服務提供涉及用戶、店鋪經營者、快遞服務提供者以及網絡購物平臺四方關系，個人信息在四方主體之間的流通處理是否存在以及如果存在具體如何確定合同所必需規則的適用空間？具體適用情形如表6所示。首先，為訂立、履行合同所必需，要求合同雙方當事人必需一方是個人，一方為個人信息處理者。因此只能在以下合同關系下討論合同所必需的相關問題：(1)用戶與店鋪經營者(買賣合同關系)；(2)用戶與網絡購物平臺(網絡服務合同關系)；(3)用戶與快遞平臺(運輸合同關系)。第一，用戶與店鋪經營者構成買賣合同關系，如所購商品必需通過物流運輸交付，應當認為店鋪經營者收集收件人(即用戶)地址、電話及姓名屬于訂立、履行買賣合同所必需的范疇。第二，用戶與網絡購物平臺之間構成網絡服務合同關系，網絡購物平臺主要是促成用戶與店鋪經營者之間的網絡交易。網絡購物平臺不直接履行商品交付義務，但具有保障商品交付和售后服務提供的義務。此時，可基于履行合同所必需收集處理用戶姓名、電話號碼與地址信息(詳見表4)。第三，用戶與快遞平臺構成運輸合同關系，因此為訂立、履行雙方的運輸服務合同，快遞平臺可基于合同所必需規則收集處理收件人(即用戶)地址、電話及姓名這些必要信息。

表6 快遞作為網絡購物必要組成時，合同所必需規則的適用列舉

4 合同所必需規則適用的法律效果

上文主要就免于同意之合同所必需規則的原理內涵、具體適用情形展開，但這僅僅是合同所必需規則“什么情形下可以用”的階段，合同所必需規則的落地實施還需要注重對規則適用后的法律效果把握。

4.1 合同所必需規則不排除其他合法性基礎的適用

《個人信息保護法》對處理個人信息的情形進行了列舉，從法律條文“符合下列情形之一……”的表述來看，同意以及《個人信息保護法》第13條第1款第2～7項規定的其他合法性基礎之間是一種并列關系。因此，合同所必需規則并不能排除其他合法性基礎的適用。如符合其他合法性基礎如“履行法定職責所必需”等情形的也能適用，如此也能避免合同所必需規則被“一攬子”適用風險，提高適用的科學嚴謹性與精確度。不過，相較《個人信息保護法》第13條第1款第4、5項規定的合法利益、公共利益豁免以及合理范圍內的公開個人信息處理，合同所必需規則的適用標準更為清晰。

4.2 合同所必需的同意豁免限于“單獨同意”與一般同意

“同意”可具體區分很多種類型，除了一般同意以外，《個人信息保護法》第14條還規定了“單獨同意”以及“重新取得同意”的情形，同時還會存在“撤回同意”的情形。結合《個人信息保護法釋義》及條文內容來看，應當認為合同所必需規則可豁免“單獨同意”征求，但對于“重新取得同意”這一情形可能不能轉化適用?！秱€人信息保護法釋義》指出“根據本條第2款的規定，本法中所有要求應當取得個人同意及單獨同意、書面同意的規定，都是對基于同意這一合法性基礎處理個人信息作出的要求，如果處理者是基于本條第1款同意以外的其他合法性基礎處理個人信息，則不需要適用取得同意的要求”[10]?？梢?，“單獨同意”可以為合同所必需規則這一其他合法性基礎所豁免。況且“單獨同意”適用的情形是法律、行政法規規定的，合同所必需規則也同屬法定許可。因而，在適用合同所必需規則的情形下，豁免“單獨同意”有一定的合理性。

與“單獨同意”不同，“重新取得同意”不能因合同所必需規則而豁免?！爸匦氯〉猛狻敝械摹爸匦隆币辉~已揭示前期的個人信息處理系基于同意進行的。個人信息處理的合法性基礎一旦確定不宜相互轉化，在收集個人信息之后隨意變更個人信息處理的合法性基礎是不妥當的[10]。況且基于同意的個人信息處理要求更嚴，貿然以合同所必需規則豁免“重新取得同意”存在漏洞，容易導致合同所必需規則的濫用?！秱€人信息保護法》第16條規定“個人信息處理者不得以個人不同意處理其個人信息或者撤回同意為由，拒絕提供產品或者服務；處理個人信息屬于提供產品或者服務所必需的除外?！边@一條文規定本意在于限制個人信息處理者以提供產品或者服務為由強制個人信息主體進行同意授權或者締約合同。該條規定與合同所必需規則既有聯系又有區別。聯系之處在于，當確為“必需”時，個人信息處理者可基于合同所必需規則免于同意處理上述必要個人信息，也可依據第16條的規定拒絕提供產品或者服務[5]。區別之處在于，顯然合同所必需規則無法適用于“撤回同意”的情形。

4.3 合同所必需規則僅豁免同意征求義務

“告知-同意”僅是個人信息處理者應履行的過程性義務之一。因此，合同所必需規則僅僅豁免了個人信息處理者在收集個人信息前端環節的同意征求義務，個人信息處理過程中的其他應履行義務仍需履行。例如個人信息泄露時的及時通知義務、個人信息跨境提供的安全影響評估義務等。對于這一點，歐盟GDPR在《準則》中也有明確提及，合同所必需規則不豁免GDPR的其他要求。準確把握適用合同所必需規則后所豁免的義務范圍，能夠有效避免合同所必需規則的不恰當濫用，提升該項規則適用的規范性與落實執行的持久度。

4.4 合同所必需規則多為個人信息被處理者收益

對于個人信息主體而言，同意授權意味著個人享有選擇與決定的權利。因而，“同意”一直被認為是實施個人信息保護的基石。通過前文的分析可知，合同所必需規則的適用目的并非賦予個人信息處理者“便利”，而更多的還是出于個人信息主體角度的考慮。在當前的數字經濟時代，互聯網與社會經濟交互日益加深，個人生活難以完全脫離互聯網。生活在互聯網時代，個人信息處理紛繁復雜，且呈現出場景多樣化的趨勢。如果僅以“同意授權”作為個人信息處理的合法性基礎，可以想象個人恐怕會籠罩在無盡的“同意授權”之中。合同所必需規則的創設其實扮演的是“減負”的作用，是基于個人信息主體權益維護、便捷互聯網生活保障而衍生的合法性基礎，多數情況下是有利于個人信息被處理者的。禁止個人信息處理者以改進商業模式或者拓展業務功能為由適用合同所必需規則也印證了合同所必需規則于個人信息主體有益的事實。但這并不意味著合同所必需規則只能適用被處理者獲益的情形。數字經濟時代下的利益獲取，在個人信息主體與個人信息處理者之間是有不同界定的。個人信息主體的獲益更加具體，而且是即時性的，而個人信息處理者的獲益更多是潛在的、長期性的。

5 結束語

個人信息主體與個人信息處理者是個人信息處理中的兩方主體。事實上普遍認為個人信息處理者處于優勢地位，但法律意義上，兩者都是平等的民事主體。兩方民事主體之間因個人信息處理行為形成相應的權利義務關系。合同所必需規則恰好彰顯了雙方這樣一種平等的民事關系，還體現了個人信息保護法與合同法之間的互動關系。并且，合同所必需規則已在《個人信息保護法》中有明文規定。因此，無論是從尊重私法自治還是執行落實法律規定的角度來看，合同所必需規則的實施均有其合理基礎與合法依據。當然，正如學者指出的，合同所必需規則還存在條件限定過于寬泛、適用情形不盡明確的問題。對于上述問題，可以通過逐一明確規則適用標準、準確把握規則適用效果等途徑解決，以推進合同所必需規則的落地實施。