《个人信息保护法》第十三条规定了七项处理个人信息的合法性基础。其中，“取得个人的同意”在实践中最为常见，而无论适用何种合法性基础处理个人信息，个人信息处理者皆应根据《个人信息保护法》第十七条等相关规定向个人信息主体告知个人信息处理的相关事宜。如何向个人信息主体进行规范告知及获取有效同意是很多个人信息处理者需面对的问题。在此背景下，《信息安全技术个人信息处理中告知和同意的实施指南》（GB/T 42574-2023）（下称“《实践指南》”）应运而生，给出了处理个人信息时，向个人告知处理规则、取得个人同意的实施方法和步骤。
一、需告知并取得同意的适用情形
向个人信息主体告知，是基于正当合法的理由处理个人信息的前提，为规范个人信息处理活动，保护个人的合法权益，相关主体需知晓自己信息的去处。个人信息处理者合理有效地使个人了解其个人信息将被如何收集和处理，使信息处理过程透明化。而同意与告知则不尽相同，需取得同意意味着可能出现个人信息主体不同意的情形，说明个人信息处理者的此项操作可能影响到个人信息主体的合法权益，这些处理操作应当引起我们的注意。
《实践指南》在“5 告知的适用情形”中从收集、提供、公开、处理活动等发生变更等方面详细介绍了应当向个人信息主体告知的场景。同时在“6 同意的适用情形”中明确了个人信息处理者应获取个人信息主体同意的场景。在如下场景中，除非个人信息处理者可明确适用其他合法性基础，一般皆应在告知个人信息主体并获取其同意后方可处理个人信息：
| 场景 | 细化场景 |
| 收集个人信息 | （1）通过个人填写、勾选、上传等方式收集个人信息； （2）通过软件程序或硬件设备等自动采集个人信息； （3）与个人交互并记录个人的行为； （4）从第三方间接获取个人信息； （5）从非完全公开渠道获取个人信息，非完全公开通常是指个人披露信息，但信息无法被任意人员通过互联网直接访问的状态，如设置了账户登录、关注、安装客户端、开通代理等条件； （6）从与个人相关的他人账号收集个人信息； （7）使用大数据、人工智能等技术分析、关联或生成个人信息； （8）其他收集行为。 |
| 提供、公开个人信息 | （1）向其他个人信息处理者提供个人信息； （2）向境外提供个人信息； （3）在一定范围内或向不特定范围公开个人信息； （4）因合并、分立、解散、被宣告破产等原因转移个人信息等。 |
| 处理活动等发生变更 | （1）个人信息的处理目的、处理方式发生变更； （2）处理的个人信息种类发生变更； （3）因合并、分立、解散、被宣告破产等原因转移个人信息，接收方变更原先的处理目的、处理方式的； （4）向其他个人信息处理者提供其处理的个人信息，接收方变更原先的处理目的、处理方式的； （5）公开的范围发生变更，如从一定范围内公开变为向不特定范围公开等。 |
| 其他情形 | （1）两个及以上的个人信息处理者共同决定个人信息的处理目的和处理方式的； （2）在产品或服务中接入需处理个人信息的其他个人信息处理者的产品或服务的； （3）处理的个人信息涉及该个人以外的其他人的； （4）处理已公开的个人信息，对个人权益有重大影响的。 |
二、仅需告知而无需取得同意的适用情形
《实践指南》指出，在一些场景中个人信息处理者仅需告知相关主体，无需取得个人同意，这些情形在实质上并不会对个人的权益造成太大影响，且未改变个人信息处理的方式方法等，所以在以下场景中个人信息处理者仅需要告知相关主体：
| 场景 | 细化场景 |
| 处理活动等发生变更 | （1）个人信息的保存期限延长； （2）个人信息处理者的名称或者姓名和联系方式发生变更； （3）个人行使其权利的方式和程序发生变更。 |
| 其他情形 | （1）停止运营某类业务功能，或停止运营产品或服务时。 （2）个人行使权利，可能对其权益产生影响的。 注：通常包括个人拒绝同意、撤回同意、更正补充、删除、注销账号等情形。 （3）发生或者可能发生个人信息泄露、篡改、丢失等安全事件时。 |
| 适用其他合法性基础 | （1）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需； （2）为履行法定职责或者法定义务所必需； （3）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需； （4）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息； （5）在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息； （6）法律法规规定的其他情形。 |
个人信息保护并不以保护个人权益为唯一目的，还需要实现个人信息的合理利用，同时也要维护公共利益、国家利益等，因此，除了个人信息主体的同意外，《个人信息保护法》还提供了其他多种合法性基础。《实践指南》第6.2条所列举的各类无需取得同意的个人信息处理场景与《个人信息保护法》第十三条第二至第七款的规定一一对应，对个人信息处理者有着重要的指导作用。
值得注意是，免于取得同意与同意是例外与原则的关系，应当对免于取得同意的情形进行严格的适用，避免架空“告知同意”原则。具体而言，第一项免于取得同意的情形是订立、履行合同所必需，例如订立合同为个人提供产品和服务，基于必要原则处理个人信息。但不能认为只要处于合同订立阶段，就能免于取得同意，这样个人信息安全将不能得到保障，只有当未经同意的个人信息处理成为订立和履行合同的必要条件时，才能适用免于取得同意的情形。
第二个免于取得个人同意的场景是履行法定职责或者法定义务所必需，例如履行法律法规规定的网络实名认证要求，处理有效身份证件、移动电话号码等可以验证个人真实身份的必要的个人信息。本项要求，只有在取得同意可能会妨碍个人信息处理者履行法定职责或义务时，才能够免于取得，而并非是只要履行法定职责或义务，就能绕开个人信息主体，处理个人信息。
第三是为应对突发公共卫生事件或者紧急情况所必需，例如发生自然灾害等事故中，处理个人的身份信息、位置信息等。本项的个人信息处理者需要在权衡利弊后，认为生命权财产权大于个人的知情同意权，才能够处理个人信息。而对于“紧急情况”，目前还没有具体确切的界定。
第四为公共利益实施新闻报道、舆论监督等行为在合理的范围内处理个人信息。
第五是在合理的范围内处理已公开的个人信息，其中在“合理范围”内处理是指个人未明确拒绝处理、处理未显著违背个人公开目的且未对个人权益造成重大影响，“已公开的个人信息”是指个人自行公开或者其他合法公开的个人信息，若是非法原因公开的个人信息，则不适用本项。
此外，随着个人信息处理实践的不断推进，法律法规可能会随着科技和社会的变化增加其他个人信息处理的合法性基础。