但这一规定基本未得到严格执行，国务院甚至还制定了仲裁收费收支两条线 〔10 〕规则。

其二，与原初目的没有合理关联的个人信息处理，即使是为了追求其他正当目的，也不具有正当性。[41]参见杭州市富阳区人民法院（2019）浙0111民初6971号民事判决书。

原则上不得存储个人的原始生物信息，如果必须存储则应和其他个人信息分开。程啸：我国《民法典》个人信息保护制度的创新与发展，《财经法学》2020年第4期。在新浪微博诉脉脉案中，法院认为，关于获取的用户信息应坚持最少够用原则，不得收集与其提供的服务无关的个人信息，限于为了应用程序运行及功能实现目的而必要的用户数据。如《一般数据保护条例》第6条（d）项规定：为保护数据主体或另一自然人的重大利益所必要的数据处理。随着数字政府建设的不断推进，政府进行个人信息处理的范围和频度必将不断扩张。

如公共空间的大规模监控，虽然可以保障公共安全、防范社会风险，但应对监控信息的使用和传播进行技术控制，应进行有效的隐匿化处理后再使用。[10] 中国现行的法律并没有明确设立个人信息基础性权利。例如，《数据安全法》第32条要求，应当在法律、行政法规规定的目的和范围内收集、使用数据。

微信好友列表和读书信息属于第三类信息，被告未以合理的透明度告知原告并获取其同意，虽然没有侵犯隐私权但侵犯了原告的个人信息权益。例如私主体为应对突发公共卫生事件、为公共利益实施新闻报道而处理个人信息，不得对个人造成过度损害而出现利益失衡的情形。[2]See Gillian Black and Leslie Stevens,Enhancing Data Protection and Data Processing in the Public Sector: The Critical Role of Proportionality and the Public Interest, Journal of Law, Technology and Society, Vol.10, No.1 (2013), p.93。杭州市中级人民法院（2020）浙01民终10940号民事判决书。

《个人信息保护法》第13条将取得个人的同意，仅仅作为合法处理个人信息的一种情形。正当、必要原则属于实质合法性范畴，是对个人信息处理目的与手段的合理性评价。

[28]北京知识产权法院（2016）京73民终588号民事判决书。[11]参见叶名怡：个人信息的侵权法保护，《法学研究》2018年第4期，第89—92页。[8]《个人信息保护法》第17条规定，应当以显著方式、清晰易懂的语言真实、准确、完整地履行告知义务，第14条规定同意应当由个人在充分知情的前提下自愿、明确作出，如果处理目的、处理方式、处理的个人信息种类发生变更的，应当重新取得个人同意。在满足核心功能和非核心功能的必要限度内，收集最少类型和数量的个人信息。

目的明确是个人信息处理的基本前提，但仅仅要求目的明确未免要求太低。其四，应在合理期限内存储个人信息。在适用范围上，合法、正当、必要原则对私主体和国家机关都具有约束力。但公共利益属于典型的不确定性法律概念，内涵与外延十分模糊，容易被滥用。

[39] 私主体的个人信息处理行为，同样不能造成过度损害。[16]参见注[1]，梁泽宇文，第18页。

如《一般数据保护条例》第6条（d）项规定：为保护数据主体或另一自然人的重大利益所必要的数据处理。{3}程啸：论我国民法典中的个人信息合理使用制度，《中外法学》2020年第4期。

国家计算机病毒应急处理中心在净网2020专项行动中发现，多款民宿、会议类移动应用存在超范围采集个人信息。然而，由于个人信息处理的告知同意机制日益流于形式，当前公平竞争的数据要素市场并未形成，而且还存在告知同意的例外情形，所以在存在利益冲突的情形下，个人信息处理应实现利益均衡。如欧洲法院认为限制权利的必要情形，就是符合比例原则的情形。[46]判断个人信息处理是否具有均衡性，首先需要对实现特定、明确、合理的正当目的所带来的收益进行评估，然后客观评估个人信息处理造成的损害，最后在此基础上进行损益对比分析。私主体为了公共利益处理个人信息，同国家机关一样，应符合目的正当性的要求。在很多情形下，不经个人同意也可以直接处理个人信息。

[18]See Alessandro Mantelero，The future of consumer data protection in the E. U. Re-thinking the ‘notice and consent paradigm in the new era of predictive analytics, Computer Law Security Review, Vol.30, No.6 (2014), p.652. [19]［英］维克托·迈尔—舍恩伯格、肯尼思·库克耶：《大数据时代：生活、工作与思维的大变革》，盛杨燕、周涛译，浙江人民出版社2013年版，第197页。私主体为了私人利益处理个人信息，由于奉行意思自治与契约自由的理念，一般不探究其行为目的的正当性。

如黄某诉腾讯微信读书案，法院认为，微信读书收集用户的微信好友列表，是为了在关联产品微信读书中开展基于微信好友关系的社交功能，所以收集原告好友列表不违反必要原则。[60]相对成熟的合比例性教义学，可以为正当、必要原则提供更加精细的规范分析方法。

合法、正当、必要原则已成为个人信息处理的基本原则。个人信息处理者为了公共利益而处理个人信息时，同国家机关一样，应追求利益均衡。

欧盟《一般数据条例》的规范对象包括私主体和国家机关。判断个人信息处理者是否采取了必要的安全保障措施，应当在比例原则语境下考量成本。它既要求处理个人信息时应在有助于目的实现的必要范围内运用最小损害的手段，又要求采取必要措施最大程度保障个人信息安全。中国《关于加强网络信息保护的决定》较早规定了告知同意原则，要求明示收集、使用信息的目的、方式和范围，并经被收集者同意，之后的相关法律作了类似规定。

[57]《一般数据保护条例》存在多处要求数据处理具有合比例性的规定。欧盟《一般数据保护条例》第6条规定了处理个人数据的6种合法性条件，同意仅为其中一种情形。

[5] 一、正当、必要原则于个人信息保护与利用的价值 正当、必要原则有利于实现个人信息保护与利用的平衡。运用个人信息实现公共利益的行为必将更加普遍。

通过比例原则可以确立不同场景下个人信息的合理使用规则，以判定个人信息是否合规。《网络安全法》《关于加强网络信息保护的决定》《消费者权益保护法》等要求发生网络安全事件时，应立即采取补救措施阻断传播采取其他必要措施予以制止，否则应承担相应的责任。

《个人信息保护法》确立的个人信息保护影响评估制度具有重要的时代价值，但可能范围过宽。[33]参见郭瑜：《个人数据保护法研究》，北京大学出版社2012年版，第152页。（二）有效规范告知同意机制的例外情形 获得个人同意，并非合法处理个人信息的唯一条件。市场失灵是私法自治天生的基因缺陷，公法介入私法自治是现代国家不可避免的制度安排。

多大程度的使用才算合理使用，如何判断履行合同、履行法定职责等所必需，均离不开正当、必要原则的有效指引。[23]《民法典》第1036条规定，为了维护公共利益可以合理使用个人信息。

第26条规定在公共场所安装图像采集、个人身份识别设备，只能用于维护公共安全的目的。在合理的成本范围内，采取切实有效的组织与技术措施，最大程度保障个人信息安全。

（三）个人信息处理的均衡性：利益衡量 必要原则要求个人信息处理应具有均衡性。正当、必要原则可以有效规范告知同意机制的例外情形。