与地方主动求变不同的是，检察机关提起行政公益诉讼和监察委员会专门行使国家监察职能，都是党中央和习近平总书记亲自部署的重大改革举措，体现了中央主动指令地方探索的决心。

[21] 中共中央党史研究室、中央档案馆编：《中国共产党第五次全国代表大会档案文献选编》，中共党史出版社2015年版，第3页。经典理论为中国宪法学在政体层面提供的两个概念都指向权力机关对其他机关的民主制约，《共同纲领》的制定者们也认识到这一点。

[114] 在这意义上，1954年宪法专门设置一章规定基本权利，1982年宪法调整基本权利章的顺序就不应被理解为简单的形式问题。[52]罗隆基认为，苏联宪法体制尚区分了权力机关与管理机关，留有分权的痕迹，而《共同纲领》则是人民代表大会与政府联成一体的一种制度。[25]此种人民观首先是基于政治的判断，既不全然基于经济分析的阶级划分，也不会完全受限于法律的表述。倘以1982年宪法为规范基点讨论宪法中的专政概念，当然会在法治—专政的二元框架下展开，[98]但如果回溯到《共同纲领》制定时期，关键仍是在国体概念下的民主—专政辩证关系。在规范意义上，权力配置领域的民主原则，不应停留在追求形式化的议行合一，而可以被具体化为实质的民主正当要求与民主制约要求。

第三条又将第一条中规定的反对帝国主义、封建主义和官僚主义等任务具体化为包含取消帝国主义国家特权没收官僚资本改变所有制发展经济等在内的若干项国家义务。前者是历史解释方法的运用，目的是阐明现行宪法的规范内涵，促成当下的判断。丁晓东：个人信息的双重属性与行为主义规制，《法学家》2020年第1期。

在中国人脸识别第一案中，原告郭某被告知未经注册人脸识别将无法使用年卡进入动物园，郭某不愿接受被收集人脸信息要求办理退卡退费被拒而提起诉讼。合法原则属于形式合法性范畴。[23]参见商希雪：超越私权属性的个人信息共享——基于《欧盟一般数据保护条例》正当利益条款的分析，《法商研究》2020年第2期，第58页。在很多情形下，个人不得不接受即使是有失偏颇的告知事项。

必要原则包括合理关联性、最小损害性、均衡性、最大有效性等方面的内容。如在《欧盟2006/24号指令》无效案中，欧盟法院认为，电子通信数据已成为调查和起诉犯罪的重要工具，《欧盟2006/24号指令》要求留存所有使用电信服务人的生活习惯、居住地、日常或特殊活动、社会关系等数据，并没有限定特定时空的人群，对于被留存数据人同潜在犯罪间的联系在所不问，因此，虽然该指令旨在打击严重犯罪，但是没有任何条文显示被留存的通信数据需要和潜在的公共安全威胁具有联系，所以该规定无效。

正当原则属于目的正当性评价，要求个人信息处理目的应特定、明确和合理。第6条第4项规定了目的变更应考虑的因素：（1）意图实施的后续处理目的与原初目的间的联系。[6]数据是数字经济的关键生产要素，但当前法治化的数据要素市场并未完全确立，过度收集利用数据的违法甚至犯罪现象还比较常见。[7]由于被告知的服务协议或隐私政策大多冗长晦涩，导致个人缺乏足够的时间阅读，即使耐心阅读也可能读不懂，即使读懂了也基本没有协商余地。

[21]参见张红：大数据时代日本个人信息保护法探究，《财经法学》2020年第3期，第154页。[6]参见［美］伊恩·艾瑞斯：《大数据：思维与决策》，宫相真译，人民邮电出版社2014年版，第63页。《个人信息保护法》第6条要求不得过度收集个人信息，应当限于实现处理目的的最小范围。[48]Tobias Raab，High Administrative Court Confirms Proportionality of Data Protection and Security Measures as Auxiliary Provisions, European Data Protection Law Review, Vol.3, No.4 (2017), p.526. [49]参见刘权：论必要性原则的客观化，《中国法学》2016年第5期，第182页。

四、正当原则和必要原则的统合：比例原则 尽管正当原则和必要原则的界限并不是截然分明的，但二者还是存在很大的区别。[5] 一、正当、必要原则于个人信息保护与利用的价值 正当、必要原则有利于实现个人信息保护与利用的平衡。

[8]《个人信息保护法》第17条规定，应当以显著方式、清晰易懂的语言真实、准确、完整地履行告知义务，第14条规定同意应当由个人在充分知情的前提下自愿、明确作出，如果处理目的、处理方式、处理的个人信息种类发生变更的，应当重新取得个人同意。[19]因而有观点认为，目的限定原则属于通过抽样或单项分析实现个人信息价值的前大数据时代。

[27]参见注[2]，谢琳文，第79页。[35]在2019年的头腾大战案中，法院认为，抖音通过微信、QQ开放平台合法获取的用户头像、昵称等信息，只能用于授权登录之目的即帮助抖音实现用户鉴权、身份识别，及授权用户使用微信、QQ头像、昵称等信息实现抖音登录，但抖音在隐私设置中把我推荐给好友选项默示为开启状态，显然已超出授权登录的使用目的和使用范围，属于对开放数据的超范围使用，并且没有获得用户的二次授权，不具有正当性。（一）正当、必要原则评价个人信息处理的目的和手段 正当原则要求个人信息处理目的特定、明确、合理，体现了比例原则的首要子原则——目的正当性原则。[49]一些国家和地区的法院将成文法中的必要性条款解释为比例原则。[28]北京知识产权法院（2016）京73民终588号民事判决书。只要同个人达成了平等自愿的充分合意，个人信息处理者就可以按约定对个人信息进行处理。

[41]参见杭州市富阳区人民法院（2019）浙0111民初6971号民事判决书。[9]参见王利明：论个人信息权在人格权法中的地位，《苏州大学学报（哲学社会科学版）》2012年第6期。

《网络安全法》第10条、《电子商务法》第30条要求，采取技术措施和其他必要措施，保障网络安全、稳定运行。《个人信息保护法》确立的个人信息保护影响评估制度具有重要的时代价值，但可能范围过宽。

[51] 在个人信息处理领域，必要原则要求个人信息处理者在有助于目的实现的最小范围内，选择对个人权益损害最小的处理方式，并采取必要措施保障个人信息安全，实际上体现了传统三阶比例原则。[39] 私主体的个人信息处理行为，同样不能造成过度损害。

2021年8月20日颁布的《个人信息保护法》规定，处理个人信息应当遵循合法、正当、必要和诚信原则采取对个人权益影响最小的方式不得过度收集个人信息，并17处使用不确定性法律概念必要必需。对个人信息分类，必然涉及分级。并且全文10处使用必要，7处使用必需，2处使用最小。私主体的个人信息处理同样应受比例原则的约束。

[34]个人信息处理者在个人同意的基础上，可以开放个人信息给第三方使用，但第三方应在授权目的范围内合理使用，并且应获得个人的二次同意。（二）有效规范告知同意机制的例外情形 获得个人同意，并非合法处理个人信息的唯一条件。

收集个人信息应以满足使用目的为必要，即一旦缺少将导致无法正常提供服务或产品。其三，第三方应在授权目的范围内合理使用个人信息。

[24] 2.为了私人利益 在特定情形下，为了私人利益，未经个人同意也可进行个人信息处理。此后，《电信和互联网用户个人信息保护规定》《消费者权益保护法》《网络安全法》等作了同样的规定。

（2）为保护个人或其他自然人的重大利益。对于个人信息保护主要存在两种进路：一是主张赋予权利，二是主张规范个人信息处理行为。必要的个人信息究竟包括哪些，对于一些典型的数字经济业态，可以事先作出指引规定。如《一般数据保护条例》第6条（d）项规定：为保护数据主体或另一自然人的重大利益所必要的数据处理。

[7]参见吕炳斌：论网络用户对‘数据的权利——兼论网络法中的产业政策和利益衡量，《法律科学》2018年第6期，第57—58页。个人信息处理者为私主体时，同样可以为了公共利益进行个人信息处理。

[31]参见北京互联网法院（2019）京0491民初16142号民事判决书。必要原则是传统三阶比例原则的体现。

[18]很多数据在收集的时候并无意用作其他用途，而最终却产生了很多创新性的用途。（三）有利于破解个人信息权利化的困境 在大数据时代，对于数据的价值已基本没有分歧，但对于究竟如何更好地保护个人信息，却产生了很大的分歧。