最初,信息处理者只能在取得个人同意之后,才能处理个人信息。《个人信息保护法》出台之后,合同所必需规则成为信息处理者处理个人信息的合法性基础之一。从比较法的视角看,欧盟也经历了从“同意”到多个合法性基础的演变,并为合同所必需编写了详细的指引,有较强的借鉴价值。美国等国家则自始至终无需取得个人同意,因此借鉴价值不大。我国与欧盟增加合同所必需作为个人信息处理的合法性基础,既可以降低同意给企业带来的合规成本,也能破解企业利用同意造成的“形式合规”策略,通过“合同”和“必需”两个维度来更好地保障个人信息权益。研究合同所必需规则时,需要先界定三个基本问题,分别是合同所必需规则中涉及的合同及合同主体的范围,合同所必需规制的对象和保护的法益,以及合同所必需规则的法律效果。首先,合同所必需规则虽然名为“合同”,但仅限于在地位强势的信息处理者和弱势的信息主体之间的合同,以保障弱势一方的合法权益,自然人之间的合同或者企业之间的合同则不在此列。具体到涉及的合同,主要可以分为两类,一类是网络服务提供者与个人之间签订的网络服务合同,分析时需要注意与隐私协议进行区分;另一类是涉及到个人信息的合同,例如买卖合同、货运合同等。其次,合同所必需规则规制的是“个人信息处理行为”,具体的法律关系客体则需要根据《个人信息保护法》的客体来判断,即一方面保护个人信息背后的人格和经济利益,另一方面促进个人信息合理利用,维护社会经济秩序。最后,合同所必需的直接法律效果是信息处理者无需取得个人同意,因此合同所必需和同意这一合法性基础是互斥的,但是与法定义务所必需等义务可以共同适用。此外,合同所必需豁免仅仅是取得同意的义务,信息处理者的告知义务、安保义务等仍需履行。基于上述的论述,可知合同所必需规则能促进个人信息合理利用,同时保护不平等关系中个人信息的人格和经济利益。具体到合同所必需规则的适用,可以借鉴欧盟的“三步法”,其一是确认合同是否成立,不成立则只能适用订立所必需,成立后才可能判断履行所必需;其二是判断合同是否生效,如果合同效力存在问题,那么则不能当然适用合同所必需规则;其三是判断处理个人信息的行为对于实现合同目的而言是否必要,只有必要的情况下才可以适用规则,豁免取得个人同意的义务。基于此可以看出,规则的适用可以分为两部分,“合同”部分和“必需”部分,二者缺一不可。“合同”部分可以结合我国现状与合同法,借鉴欧盟的思路,探讨我国合同所必需规则的适用。关于合同的成立,互联网企业在实践中采用了“用户选择服务”的模式,与传统的合同订立有明显不同,应根据用户选择的服务来判断合同成立的内容,而非整个合同中囊括的内容,防止互联网企业过度处理个人信息。就合同的效力而言,如果合同无效或者因信息处理者的过错而被撤销,合同所必需规则当然不能适用,否则会将违法犯罪分子处理个人信息的行为合法化。另外,如果合同因当事人不具备民事能力而处于效力待定状态,那么应参考《电子商务法》的推定规则,为保障交易安全,宜推定合同有效从而适用合同所必需规则。最后,个人信息的处理只可以在合同有效期间进行,合同终止后便不能适用合同所必需规则。网络服务合同的终止与一般的合同有所不同,可根据有无账号分为两类,有账号的以账号注销为合同终止的标志,无账号的则以App卸载为合同终止的标志。规则的“必需”部分体现在对实现合同目的的必要性上。根据我国合同法理论与实践,合同目的的判断可以以客观目的为主,主观目的为辅的思路进行。处理个人信息的必要性主要以两种形式表现,一种是客观必要性,即不进行个人信息处理,客观上无法实现合同目的,分别体现在拟处理个人信息的类型、处理个人信息的方式和期限三个维度上。另一种则是社会必要性,即缺少该等个人信息处理,不会导致目的无法实现,但是会导致社会运行效率大大下降,因而被社会广泛认可,例如历史交易信息之于征信。应当注意的是,必需并不绝对意味着最小化,对于动态个人信息的处理,放弃最小化的限制不仅不会损害个人信息权益,反而可以提升服务质量,进而推动产业发展。除此之外,实践中有四种看似合同所“必需”的情形,实则不应适用该规则,包括间接导致的必需、模糊合同目的导致的必需、捆绑业务形成的必需和拒不提供其他履行方式造成的必需。