或者主体是专门机关，如德国模式的宪法法院和法国模式的宪法委员会，由独立的专门机构通过专门程序进行审查。

但是，学理上通常认为，司法裁判在性质上是法律推理或法律论证的过程。从规章作为民法渊源的实效来看，其能通过重新定义民法的概念、民事行为和民事责任的构成要件，实现行政法对民法的规范效应。

2018年国务院办公厅《关于全面推行行政规范性文件合法性审核机制的指导意见》亦是以此三项作为审核范围。同样，在个案中下级人民法院可就具体的规章或行政规范性文件，提请上级人民法院提供审查意见。《最高人民法院公报》收录的民事判例，已有相当数量适用了规章。民事裁判对于行政规范性文件制定权限、条文内容、制定程序的审查，可以借鉴行政审判领域成熟且成文的标准。对说理依据和裁判依据的区分，为规章和行政规范性文件介入司法裁判提供了形式依托，既对规章和行政规范性文件的援引提出了限制性要求，也明确了民事裁判中合法有效审查的前提条件，即法官欲将规章或行政规范性文件作为说理依据。

一旦法官认为有必要援引，就必须履行审查义务，判断其是否合法有效。[xxxiv]无论这套法律秩序在形式上如何划分，必须将法律秩序作为价值评价的整体来适用。[8]参见万方：隐私政策中的告知同意原则及其异化，《法律科学》2019年第2期，第63—65页。

正当、必要原则可以有效规范告知同意机制的例外情形。在凌某某诉北京微播视界科技有限公司案中，法院认为，未经信息主体同意而进行超过合理期限的存储，可能不合理扩大了个人信息泄露或被不当利用的风险，不符合必要原则。至于如何判断是否采取了最大有效性的必要措施，实际上需要进行利益权衡，应结合均衡性原则即狭义比例原则进行分析。正当、必要原则要求个人信息处理目的具有正当性，手段具有适当性、必要性和均衡性。

二是不具备私密性的一般信息，获得同意后可正当处理。[23]《民法典》第1036条规定，为了维护公共利益可以合理使用个人信息。

《信息安全技术个人信息安全规范》第5.6条e）项规定：出于维护个人信息主体或其他个人的生命、财产等重大合法权益但又很难得到本人授权同意的。以告知义务为重心的告知同意机制设计无法有效发挥实质作用，导致个人的同意面临被架空的危险，并且无法应对数据处理的多层次性与动态性。结语 个人信息有用，但应用之有道。准确把握合法、正当、必要原则的规范内涵，并加以正确适用，有利于实现个人信息保护与流通利用的平衡。

目的合理要求公私主体在处理个人信息时，应符合公共利益和合法的私人利益。[1]See Judith Rauhofer,Look to Yourselves, That We Lose Not Those Things Which We Have Wrought: What Do Proposed Changes to the Purpose Limitation Principle Mean for Public Bodies' Rights to Access Third-Party Data, International Review of Law, Computers Technology, Vol.28, No.2 (2014), p.145。合法、正当、必要原则分别评价个人信息处理的形式合法性、目的正当性和手段必要性。[41]尽管刷脸好用，有助于实现正当目的，但很多时候会对个人造成过度损害。

信息业者在收集个人信息时应兼顾收集目标的实现和保护信息主体的权益，实现个人、信息业者和国家三方主体的利益平衡。《民法典》确立了不经同意的个人信息合理使用制度，如第1020条规定，不经肖像权人同意，为了个人学习、科学研究、新闻报道、履行公职、展示特定公共环境，可以合理使用肖像。

为了实现个人信息社会价值的最大化，应允许个人信息处理者在符合个人合理预期的条件下，适当变更原初目的。当前，告知同意机制被世界很多国家普遍采用。

个人信息保护的告知同意机制日益流于形式，而且存在适用例外，在个人信息权利化存在困境的现实情境下，合法、正当、必要原则可以实现个人信息保护与合理利用的平衡。{3}程啸：论我国民法典中的个人信息合理使用制度，《中外法学》2020年第4期。数据保护的重要性要求更严格的适用比例原则。（4）为提供安全稳定的产品或服务的目的。当然，即使未来确立了个人信息基础性权利，也并不表明个人信息处理就可以不受正当、必要原则的约束。摘要:  合法、正当、必要原则已成为个人信息处理的基本原则。

程啸：我国《民法典》个人信息保护制度的创新与发展，《财经法学》2020年第4期。[22]物业管理所需和商业用途两种目的，明显没有合理关联性，所以未经二次同意而擅自改变个人信息处理目的，不具有正当性。

其第2条适用范围只是排除了部分公共机构的数据处理行为，如排除了有权机关为预防、调查、侦查、起诉刑事犯罪，或为执行刑罚的目的（包括预防与抵御公共安全风险）所进行的个人数据处理。然而，由于个人信息处理的告知同意机制日益流于形式，当前公平竞争的数据要素市场并未形成，而且还存在告知同意的例外情形，所以在存在利益冲突的情形下，个人信息处理应实现利益均衡。

在新浪微博诉脉脉案中，法院认为，脉脉通过OpenAPI开发合作方式获取新浪微博用户的职业信息、教育信息，尽管OpenAPI是实现数据资源共享的新途径，但为了保护用户隐私同时维护企业的核心竞争优势，第三方通过OpenAPI获取用户信息时应坚持用户授权+平台授权+用户授权的三重授权原则。合法原则属于形式合法性范畴，主要是指个人信息处理应符合法律的明确规定，如符合告知同意程序、符合存储期限要求。

其次，对于必要情形的个人信息处理，应进行个人信息风险评估。欧盟《一般数据保护条例》较为详细地规定了同意要件，要求使用易理解、明确平实的文字，并要求设定撤回同意机制，另外还对儿童数据的处理设定了严格的同意条件。[30]对于侵犯个人信息的司法救济，存在诉讼动力不足、胜诉率低等问题，需要必要原则予以事前规范。对于个人信息处理者同个人基于完全真实的意思表示，就个人信息处理目的、处理范围、处理方式、风险负担、收益分配等事项，达成平等互惠的充分合意，应予以高度尊重。

谢琳：大数据时代个人信息使用的合法利益豁免，《政法论坛》2019年第1期，第74页以下。个人信息处理应在实现目的的必要范围内、对使用方式进行限制等，实际上是对个人信息处理手段的要求，应受必要原则的调整。

《一般数据保护条例》第5条沿袭1995年的《个人数据保护指令》，规定了目的限制原则。多大程度的使用才算合理使用，如何判断履行合同、履行法定职责等所必需，均离不开正当、必要原则的有效指引。

但公共利益属于典型的不确定性法律概念，内涵与外延十分模糊，容易被滥用。对于生物识别、医疗健康、金融帐户、行踪轨迹等敏感个人信息，《个人信息保护法》第28条要求只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下才可处理。

在公法领域，必要原则有狭义和广义之分。{4}丁晓东：《个人信息保护：原理与实践》，法律出版社2021年版。[22]参见深圳市南山区人民法院（2016）粤0305民初3138号民事判决书。[16]为了公共利益为了提升用户体验度为了改善产品质量为了保障交易安全等过于宽泛、抽象的目的表述，往往会导致个人信息的收集范围过大、使用场景过多，从而使个人信息处理的正当原则被虚置架空。

目的正当是更高层次的要求，只有符合法定或约定的个人信息处理特定目的，才可能是正当的。应当从整体上理解具有内在统一关系的合法、正当、必要原则，不宜无限扩大任何一者的内涵，否则任何一个子原则就可能涵盖其他子原则的内容。

为了进行更好的管理，个人信息处理者对其员工或客户的相关数据可以进行必要的处理。《一般数据保护条例》序言第4项规定：个人数据保护权不是绝对权，必须根据比例原则，考虑其在社会中的功用，与其他基本权利保持平衡。

尽管大多数国家和地区已普遍确立了个人信息处理的告知同意机制，但却无法从根本上实质保护个人信息。《电信和互联网用户个人信息保护规定》《网络安全法》等对于个人信息的收集范围作了总体性要求。

滕泰 李明昊：新经济如何改变生活方式并创造新需求

友邦保险去年净利同比增五成

海西州大病医疗保险政策有哪些

江小涓：“十四五”时期数字经济发展趋势与治理重点

张维迎：黄土地上望星空：窑洞文化撞击企业家精神

大连市新农合大病保险人均理赔金额达六千元

滕泰：不再依靠特殊政策，雄安新区必须走出一条新经济之路

保险系公募默念稳健“投资经”

华夏保险官微获“最佳微信服务号”称号

张晓晶：政府市场社会三方共治与更好发挥政府作用