[41]参见杭州市富阳区人民法院（2019）浙0111民初6971号民事判决书。

目的明确是个人信息处理的基本前提，但仅仅要求目的明确未免要求太低。其四，应在合理期限内存储个人信息。

在适用范围上，合法、正当、必要原则对私主体和国家机关都具有约束力。但公共利益属于典型的不确定性法律概念，内涵与外延十分模糊，容易被滥用。[39] 私主体的个人信息处理行为，同样不能造成过度损害。[16]参见注[1]，梁泽宇文，第18页。如《一般数据保护条例》第6条（d）项规定：为保护数据主体或另一自然人的重大利益所必要的数据处理。

{3}程啸：论我国民法典中的个人信息合理使用制度，《中外法学》2020年第4期。国家计算机病毒应急处理中心在净网2020专项行动中发现，多款民宿、会议类移动应用存在超范围采集个人信息。[8]参见万方：隐私政策中的告知同意原则及其异化，《法律科学》2019年第2期，第63—65页。

周汉华：个人信息保护的法律定位，《法商研究》2020年第3期。[54]个人信息处理的告知同意机制，远远没有立法者们预想的那么有意义。[22]物业管理所需和商业用途两种目的，明显没有合理关联性，所以未经二次同意而擅自改变个人信息处理目的，不具有正当性。[45]所有数据处理，都要求数据控制者在处理需求与个人权利之间取得平衡，以免过度或不必要地处理个人数据。

[10] 中国现行的法律并没有明确设立个人信息基础性权利。对于国家机关的个人信息处理，毫无疑问应受比例原则的约束。

（一）合理关联性：个人信息处理不得超出正当目的 必要原则首先要求个人信息处理手段与目的间应具有合理关联性，不得超出特定、明确、合理的正当目的。例如，《数据安全法》第32条要求，应当在法律、行政法规规定的目的和范围内收集、使用数据。微信好友列表和读书信息属于第三类信息，被告未以合理的透明度告知原告并获取其同意，虽然没有侵犯隐私权但侵犯了原告的个人信息权益。例如私主体为应对突发公共卫生事件、为公共利益实施新闻报道而处理个人信息，不得对个人造成过度损害而出现利益失衡的情形。

[2]See Gillian Black and Leslie Stevens,Enhancing Data Protection and Data Processing in the Public Sector: The Critical Role of Proportionality and the Public Interest, Journal of Law, Technology and Society, Vol.10, No.1 (2013), p.93。杭州市中级人民法院（2020）浙01民终10940号民事判决书。《个人信息保护法》第13条将取得个人的同意，仅仅作为合法处理个人信息的一种情形。正当、必要原则属于实质合法性范畴，是对个人信息处理目的与手段的合理性评价。

[28]北京知识产权法院（2016）京73民终588号民事判决书。[11]参见叶名怡：个人信息的侵权法保护，《法学研究》2018年第4期，第89—92页。

[8]《个人信息保护法》第17条规定，应当以显著方式、清晰易懂的语言真实、准确、完整地履行告知义务，第14条规定同意应当由个人在充分知情的前提下自愿、明确作出，如果处理目的、处理方式、处理的个人信息种类发生变更的，应当重新取得个人同意。在满足核心功能和非核心功能的必要限度内，收集最少类型和数量的个人信息。

目的明确是个人信息处理的基本前提，但仅仅要求目的明确未免要求太低。其四，应在合理期限内存储个人信息。在适用范围上，合法、正当、必要原则对私主体和国家机关都具有约束力。但公共利益属于典型的不确定性法律概念，内涵与外延十分模糊，容易被滥用。[39] 私主体的个人信息处理行为，同样不能造成过度损害。[16]参见注[1]，梁泽宇文，第18页。

如《一般数据保护条例》第6条（d）项规定：为保护数据主体或另一自然人的重大利益所必要的数据处理。{3}程啸：论我国民法典中的个人信息合理使用制度，《中外法学》2020年第4期。

国家计算机病毒应急处理中心在净网2020专项行动中发现，多款民宿、会议类移动应用存在超范围采集个人信息。然而，由于个人信息处理的告知同意机制日益流于形式，当前公平竞争的数据要素市场并未形成，而且还存在告知同意的例外情形，所以在存在利益冲突的情形下，个人信息处理应实现利益均衡。

如欧洲法院认为限制权利的必要情形，就是符合比例原则的情形。[46]判断个人信息处理是否具有均衡性，首先需要对实现特定、明确、合理的正当目的所带来的收益进行评估，然后客观评估个人信息处理造成的损害，最后在此基础上进行损益对比分析。

私主体为了公共利益处理个人信息，同国家机关一样，应符合目的正当性的要求。在很多情形下，不经个人同意也可以直接处理个人信息。[18]See Alessandro Mantelero，The future of consumer data protection in the E. U. Re-thinking the ‘notice and consent paradigm in the new era of predictive analytics, Computer Law Security Review, Vol.30, No.6 (2014), p.652. [19]［英］维克托·迈尔—舍恩伯格、肯尼思·库克耶：《大数据时代：生活、工作与思维的大变革》，盛杨燕、周涛译，浙江人民出版社2013年版，第197页。私主体为了私人利益处理个人信息，由于奉行意思自治与契约自由的理念，一般不探究其行为目的的正当性。

如黄某诉腾讯微信读书案，法院认为，微信读书收集用户的微信好友列表，是为了在关联产品微信读书中开展基于微信好友关系的社交功能，所以收集原告好友列表不违反必要原则。[60]相对成熟的合比例性教义学，可以为正当、必要原则提供更加精细的规范分析方法。

合法、正当、必要原则已成为个人信息处理的基本原则。个人信息处理者为了公共利益而处理个人信息时，同国家机关一样，应追求利益均衡。

欧盟《一般数据条例》的规范对象包括私主体和国家机关。判断个人信息处理者是否采取了必要的安全保障措施，应当在比例原则语境下考量成本。

它既要求处理个人信息时应在有助于目的实现的必要范围内运用最小损害的手段，又要求采取必要措施最大程度保障个人信息安全。中国《关于加强网络信息保护的决定》较早规定了告知同意原则，要求明示收集、使用信息的目的、方式和范围，并经被收集者同意，之后的相关法律作了类似规定。[57]《一般数据保护条例》存在多处要求数据处理具有合比例性的规定。欧盟《一般数据保护条例》第6条规定了处理个人数据的6种合法性条件，同意仅为其中一种情形。

[5] 一、正当、必要原则于个人信息保护与利用的价值 正当、必要原则有利于实现个人信息保护与利用的平衡。运用个人信息实现公共利益的行为必将更加普遍。

通过比例原则可以确立不同场景下个人信息的合理使用规则，以判定个人信息是否合规。《网络安全法》《关于加强网络信息保护的决定》《消费者权益保护法》等要求发生网络安全事件时，应立即采取补救措施阻断传播采取其他必要措施予以制止，否则应承担相应的责任。

《个人信息保护法》确立的个人信息保护影响评估制度具有重要的时代价值，但可能范围过宽。[33]参见郭瑜：《个人数据保护法研究》，北京大学出版社2012年版，第152页。