（一）个人信息处理涉及公与私多重法益

个人信息处理中所涉利益类型，因信息属性、处理主体、手段、场域等不同而不同。个人信息属性复杂致使所涉法益不同，一方面其兼具社会性、公共性、个体性，另一方面基于不同的处理场域、时机、手段等，同一信息也会呈现出不同属性，涉及不同利益。另外，个人信息利益相关者诉求以及个人信息处理方式的不同也会致使所涉法益不同。故对于信息权益的限制或利用，表达着处理者在不同社会环境中对于信息权益的多样需求，应结合个案具体处理情形分别进行考量。

（二）告知同意原则侧重过程与私益保护

告知同意原则是实现信息合理利用的方法和程序，更具保障个人信息合理利用的程序价值，侧重正当程序价值实现。但同意后的行为除接受具体法律规定的约束外，更要满足合理、公平等原则。告知同意原则是意思自治在信息处理中的具体体现，强调信息利益相关者的私益保障，但其无法考虑到处理行为可能对公共利益所产生的影响。故这种信息主体的行为自由或财产性权益的获得方式，应当受到宪法、民事权利的限制和其他信息收集原则的限制。

（三）比例原则兼具公私法益的多重保护

对于信息处理中所牵涉的公私法益，可利用比例原则的规范品格与技术操作优势进行协调与平衡。首先，比例原则要求信息处理牵涉多种利益权衡时，选择一种最符合目的且损害另一种权利的手段也较小的方式。通过这一权衡性解释方式，有利于促进信息保护法律体系的统一性，进而发挥信息处理制度体系最大效益。

其次，比例原则利用其“控权”功能，可为信息主体私益保护不足时提供补充。通过“倾斜式”保护的手段，在不背离私法自治基本秩序的前提下，矫正处理者与信息主体之间的实质不平等，保障弱势方权利。最后，比例原则各子原则之间环环相扣、层层递进的规范结构，能为信息处理中公私法益的相互介入，提供类型化的操作程序和审查标准。

（一）个人信息处理中目的正当性要求

目的正当是个人信息处理的逻辑起点，正当性审查基准构建应当以合法处理和人性尊严保障为基础。合法处理是目的正当性的基本要求。处理行为的实施应该基于合法处理目的，具备合法处理依据，采取合法处理方式。目的合法性是目的正当性的应有之义；或基于法律规定或基于个体授权的合法处理依据是目的正当性审查的前提条件；合法处理方式是目的正当性审查的必然要求。人性尊严保障是个人在社会秩序中作为个体存立的基础，所有的信息处理行为，只要涉及个人信息权益限制，都应该在保障人格尊严的基础之上进行。尤其在授权处理的情形中，即使信息主体不顾人格尊严，要求授权处理者 对其个人信息进行处理，仍应否定评价。

（二）个人信息“法定处理”中公益目的的积极审查

不同的信息处理类型，目的正当性审查基准不同，必须有效甄别出真实处理目的，并在此基础上对其公益目的进行积极审查。就“法定处理”而言，法定处理是法律赋予某种个人信息处理行为，是法律基于公共利益对于信息人格权益的限制，其处理目的主要是用来满足公益目的。通过将处理中立法期待目的、告知目的、实际目的与具体处理行为相对比，来判定其真实目的。从目的甄别的方式来看，可通过反向验证方式，探究个案真实处理目的。为确保信息处理的权力依据，防止处理者借口公共利益过度限制个人信息权益，审查中应积极验证所甄别出的真实处理目的是否符合法律、行政法规的明确规定。具体操作中，审查者应以积极的态度主动追求、验证、查找真实的处理目的是否具备法律、法规明确授权，并以此来确定处理目的的正当性。

（三）个人信息“授权处理”中私益目的的消极审查

授权处理，是允许信息主体通过授权方式对其信息人格要素进行利用，从而实现信息利用的多元目的。授权个人信息处理中，目的正当性审查基准的构建，必须有效甄别出藏匿在层层告知目的之后的真实处理目的，并在此基础上对其进行私益目的的消极审查。通过对个案真实处理目的的甄别，可防止弱势方因信息不对称、认知能力有限而产生的对信息授权使用范围的误判。实践中可以采取正向推定、反向推定、去伪存真的多元方式。通过消极审查基准，确保处理目的只要没有追求法律所不允许的目的即可通过审查，这既有利于鼓励信息的合理利用，亦符合商事主体自由从事营利活动，非经法律规定不得限制的要求。

（一）个人信息处理手段的风险评估

风险评估是必要性审查基准构建的“自变量”，是影响目的—手段妥当性这一“因变量”的主要因素，两者共同决定处理手段的采取应该达到何种必要程度。信息处理风险的评估计算，可通过处理后果的风险大小来计算。个人信息性质，处理依据、目的等都决定其处理后果的风险大小，对处理后果所涉风险大小进行排序，大致有四种风险由高到低的处理情形：授权处理的敏感信息、法定处理的敏感信息、授权处理的一般信息及法定处理的一般信息。在这些类型化处理情形基础之上，结合个案具体情形进行综合考量，形成科学的目的—手段适合性审查。

（二）个人信息处理中目的—手段的适合性

授权处理的敏感信息中，目的与手段之间应形成最严格的关联程度，要求处理者的手段应是为实现告知目的而量身定做，手段的实施必须是能够绝对、有效达成处理目的。法定处理的敏感信息、授权处理的一般信息中，目的与手段之间应该形成实质关联。在具体审查过程中，对于前述两类处理行为可以在实质相关的关联程度上，进一步结合具体情况区分合理关联度。法定处理的一般信息中，目的与手段之间应该形成最为宽松的关联程度，对处理行为达成处理目的给予较高的尊重，仅在无任何理由可以支持处理手段时，才可认定其无合理关联性。

（三）个人信息处理中的目的—手段的必要性

风险评估（X轴）与目的—手段关联度（Y轴）两组变数共同构成个人信息目的—手段必要性审查基准，如下图所示。

在个人信息处理不同风险大小条件下，目的—手段关联性基准不同，具体的操作手段与举证责任亦有所区别，具体如下表所示。

（一）个人信息处理中的利益铺陈与解构

依据动态规范体系理论，针对个人信息保护相关的九部立法，可寻找潜藏于个人信息制度背后的利益。个人信息保护制度以《民法》《刑法》两部基本法为原则法，确 立了个人信息利益、社会交往利益为着重保护的核心利益，又因人、因事、因信息类型，对一些特殊利益进行了不同的特殊保护。从个人利益角度来看，呈现出以个人信息保护（包括敏感信息利益、一般信息利益）为中心，向下分为消费者、未成年人、患者等特殊群体信息利益保护。从公共利益角度来看，呈现出以社会交往公共利益保护为中心，向下分为消极的社会公共利益与积极的社会公共利益。

（二）个人一般信息处理与敏感信息处理中的价值协调

均衡性原则是借助损益权衡，发挥调和作用，进行实质审查。基于个人一般信息处理与敏感信息处理所限制的同一信息人格利益的位阶分层，个人一般信息处理中损益均衡呈现宽松基准，个人敏感信息处理中损益均衡呈现严格基准。为使衡量结果更为客观、准确，针对影响审查结果中“损”与“益”的具体因素，对其分别赋值利益系数区间，再依据个案具体事实的重要程度，选取区间中的不同利益系数。最后，利用成本与收益理论进行计算，实现宽松或严格的均衡性审查。具体计算方式如下图所示。

通过在个人信息处理中构建类型化的比例原则审查基准体系，对具体的信息处理行为进行检验，划定合比例限制个人信息权益的界限，增加处理原则的适用理性。在目的正当性审查基准构建中，确定信息处理的积极或消极审查基准；在必要性审查基准构建中，划分信息权益限制的“相对最小”“接近最小”“绝对最小”三重审查基准；在均衡性审查基准构建中，区分宽松、严格不同层次的合比例性审查基准。影响审查基准选择的变项可能还很多，不同审查环节匹配的审查基准理论，只为提高审查者解释论理的可预见性。

（本文文字编辑唐子航。本文未经原文作者审核。本文为中国民商法律网“原创标识”作品。凡未在“中国民商法律网”微信公众号正式发布的文章，一律不得转载。）

文献链接：《个人信息处理中比例原则审查基准体系的建构》