一、ISO/IEC 27701:2019 7.2.2 标准原文
原文摘要：标准要求组织为了已识别的处理目的，确定、记录并遵守处理 PII 的相关法律依据。实施指南列举了可能的依据，例如 PII 主体的准许、履行合同、遵守法律义务、保护主体切身利益、公共利益以及控制者的合法利益。标准还强调，应记录每项 PII 处理活动的法律依据，并在涉及特殊类别 PII、儿童等情形时考虑更严格规则。若处理目的发生变化，可能需要更新依据甚至重新获得准许。
二、条款解读说明
7.2.2 是控制者在合法性判断中的核心条款。很多组织会在政策中泛泛写明“我们依法处理个人信息”，但这并不足以支撑具体活动。标准要求的是，将每一项已识别的处理目的与相应法律依据逐一对应，并持续遵守这一依据所附带的条件。这意味着，控制者不能先决定处理，再事后补一个抽象依据，而应在处理开始前完成“目的-依据”配对。
标准列举的依据种类看似熟悉，但实践中的难点在于匹配与边界。比如，同一份 PII 可能同时用于合同履行、法定义务和客户服务改进，但不同用途对应的依据可能并不相同。若组织为了方便，把所有处理一股脑归入“合法利益”或“用户已同意”，看似减少了管理复杂度，实际上却模糊了边界。一旦主体提出异议、监管要求证明或业务扩展，组织往往很难自证各项处理都站得住脚。
| 常见依据 | 适用特点 | 控制者应特别注意 |
|---|---|---|
| 准许 | 主体主动作出表示 | 是否真正自由、明确且可证明 |
| 履行合同 | 与合同履行直接相关 | 不能无限延伸到附带营销等场景 |
| 法律义务 | 法律法规明确要求 | 要能指出具体义务来源 |
| 合法利益 | 需做利益平衡判断 | 不能把所有业务便利都归到该项 |
| 特殊类别PII处理 | 通常面临更高门槛 | 要考虑额外限制和增强控制 |
标准特别提到特殊类别 PII 和特定主体，如健康信息、儿童等，这对控制者非常关键。因为法律依据不仅要看处理活动本身，还要看数据类型和主体类型。某些原本可在普通 PII 场景下成立的依据，在特殊类别或未成年人场景里可能不再充分，或者需要附加条件和更严格的控制。控制者如果忽略这一点，就容易把一般性合法性判断错误套用到高敏感场景。
此外，标准提醒处理目的变更或扩展时，法律依据可能也需要更新，甚至重新获得准许。这说明法律依据不是一次性登记动作，而是随处理边界变化而动态评估的控制。业务扩展、功能追加、数据共享、新分析用途和二次利用，都会触发这项检查。
因此，7.2.2 的本质是让控制者对每一项处理活动都拥有清楚、可记录、可持续解释的合法基础。组织真正要证明的，不是“我们总体上合规”，而是“这项具体处理为什么有权进行，而且边界在哪里”。
从监管和客户问询看，法律依据最容易暴露问题的地方在于“配对不精确”。某个功能下同时包含交易履约、风控校验、统计分析和营销触达等多种用途，但台账里只挂了一个总依据，这种情况在审查时几乎经不起追问。因为不同依据决定了不同的主体权利、不同的保留逻辑和不同的后续处理空间，不能只在表格里勾选一个字段就当作完整治理。
这条控制对跨部门协同也提出了很高要求。法务能解释依据概念，业务知道场景目标，产品掌握功能边界，技术最清楚数据实际上怎样流转。如果依据判断没有建立在真实的数据流和主体触点之上，就很容易出现“法律意见认为可以，系统实现却早已超出该意见覆盖范围”的问题。真正有效的法律依据管理，必须落在可验证的处理事实之上。
三、实施要点
- 按处理活动逐项匹配法律依据，不用统一口径覆盖所有用途。
- 在选择依据时同步评估数据类别、主体类型和适用司法管辖区。
- 对依赖合法利益、特殊类别PII等复杂场景保留更充分的判断理由。
- 把用途变化、系统扩展和共享安排视为重新审查法律依据的触发条件。
- 7.2.2的核心是让每项 PII 处理都拥有与其目的相匹配且可被证明的法律基础。
四、常用工具与实施方法
| 工具/方法 | 适用目的 | 关键输出 |
|---|---|---|
| 法律依据矩阵 | 将处理活动与依据一一对应 | 依据映射表 |
| 利益平衡分析 | 支撑合法利益类判断 | 平衡评估记录 |
| 特殊类别PII分类规则 | 识别高敏感处理活动 | 分类和附加控制要求 |
| 变更触发审查流程 | 在用途扩展时复核依据 | 更新申请和审批记录 |
实践中，组织应尽量避免把“取得准许”当作最省事的通用答案。因为某些场景下，真正合适的依据并不是准许；而某些依赖准许的处理，如果主体关系不对等或目的不清晰，该准许本身也可能失效。
在实施层面，法律依据矩阵最好与处理活动清单、数据分类、主体类型和传输安排联动，而不是孤立维护。这样当业务准备新增特殊类别 PII、接入儿童用户、扩大共享范围或跨境传输时，系统就能自动提示需要重新检查依据。否则，台账即便初版写得完整，也会因为缺乏变更联动而迅速过期。
五、典型案例
- 把所有分析都归为合法利益：某企业为了简化流程，将多种数据分析、推荐和营销活动统一归入“合法利益”，但没有做清晰平衡判断，最终在用户异议和监管检查中难以自证边界。
- 目的变了，依据没变：另一组织原本基于合同履行收集信息，后续新增画像和广告用途，却未重新评估依据，导致原合法基础被错误延展。
这些案例说明，法律依据若不随处理活动精细管理，很容易在业务扩展中失真。
六、成文信息管理要求
| 建议保留文件 | 关键内容 |
|---|---|
| 法律依据登记册 | 处理活动、目的、依据和适用条件 |
| 特殊类别PII分类文件 | 高敏感类别和附加限制要求 |
| 利益平衡或合法性分析 | 复杂场景下的判断依据 |
| 变更审查记录 | 用途扩展时对法律依据的更新 |
这些记录能帮助组织证明其对每项 PII 处理活动都进行了适当法律依据判断，并且这一判断是可持续更新的。
成文信息上，组织最好不仅保存“最终选择了什么依据”，还保存“为什么没有选择其他依据”。例如为什么此场景不用合法利益、为什么合同履行只覆盖到某一步、为什么特殊类别 PII 需要附加条件。这样的判断痕迹在项目复盘和审计抽样时非常重要，因为它能够说明组织做过真实权衡，而不是在事后为现有做法寻找最方便的标签。
七、常见误区及踩坑提醒
| 误区 | 问题表现 | 正确做法 |
|---|---|---|
| 法律依据可以统一选择一个 | 不同处理活动边界混乱 | 逐项匹配处理目的和数据场景 |
| 只要拿到准许就万事大吉 | 忽视其他依据或无效准许风险 | 先判断最适合的法律基础 |
| 依据登记后长期不变 | 新用途沿用旧依据 | 将用途变化纳入复审触发条件 |
7.2.2 在真实项目中最容易失效的原因，是组织把法律依据当成上线前一次性审批，而不是持续运行条件。新功能复用旧数据、历史信息被拿去做模型训练、原本内部使用的数据开始对外共享，这些变化常常先在业务上发生，随后才暴露出原依据已不再适配。没有“用途变化即复审法律依据”的硬门槛，再完整的台账也会很快失真。
就 7.2 这一组控制的复核经验看，最常见的失守模式就是业务变化先发生，目的、依据、准许和记录随后才被动补记。短期内似乎还能自圆其说，时间一长就会形成大量“历史上到底为什么这样处理”的解释空白。因此，组织若想真正把 7.2 做实，就必须让用途变化、系统扩展、外部参与和合同变化自动触发前提条件复核，而不是依赖项目收尾时再统一补材料。