除了征得信息主体的同意外，个人信息也可基于其他合法性基础来被合法处理。其中，对于数字经济的有序发展而言，正当利益(berechtigteInteresse/legitimateinterest)条款尤为重要。其最典型的表述为欧盟在2016年颁布并于2018年生效的《通用数据保护条例》(DS-GVO/GDPR,以下简称欧盟《条例》)第6条第1款第1段(f)项，即“处理是为控制者或者第三人追求的正当利益之目的所必需，除非此种利益被要求保护个人数据之利益或者基本权利与自由压倒，特别在数据主体为儿童的情形”。借此权衡(Abwgung)条款，处理个人信息的合法性基础呈现出趋于开放的结构，为数字经济中纷繁复杂的价值及利益冲突留下了必要的缓和空间。
有鉴于此，本文以“抖音案”为例，先聚焦于《民法典》与《个人信息保护法》关于个人信息处理的合法性基础的直接规定，指明我国确立正当利益条款的必要性；而后，本文分析《民法典》第998条与正当利益条款在功能上的一致性并对其予以内容整合，为构造中国法上的正当利益条款奠定基础；最后，不容忽视的是，以《民法典》第998条作为正当利益条款可能危及法的安定性，因此有必要通过权衡方法填补动态体系所敞开的评价空间，从而作出更为合乎理性的个案裁判。另需指出，本文的核心方法论主张在于，动态体系主要是一种规范结构理论，其个案适用有赖于权衡。
如前所述，“抖音案”清楚地表明了我国确立正当利益条款的必要性。但要对该案予以妥当分析，必须先准确构建完整的请求权规范链条。沿此脉络不难发现，我国《民法典》与《个人信息保护法》对合法性基础的直接规定趋于封闭，难以容纳旨在保护个体性商业利益的情形，而这恰恰是正当利益条款所独有的内容。不仅如此，请求权规范链条也揭示了正当利益条款在裁判说理中的确切位置。
尽管如此，该案的核心在于三类请求权的共通要件，即原告的个人信息权益是否受到侵害，以及被告处理原告个人信息的行为是否违法。这已超出请求权规范的范围，需转向与此紧密联系的辅助规范。
若要排除“抖音案”中被告第一阶段和第三阶段的处理行为之违法性，就应分别考察除同意外，处理行为是否符合其他关于合法性基础的具体规定。除《个人信息保护法》第13条第1款第3项中的“为履行法定职责……所必需”属公法规范外，综合该款其他规定与《民法典》第1036条等，大致可以将可能的合法性基础分为两类。
总而言之，《民法典》第1036条与《个人信息保护法》第13条第1款等关于合法性基础的直接规定趋于封闭，并未给处理者的个体性商业利益留下必要空间。反观欧盟《条例》第6条第1款第1段(f)项中的“控制者或者第三人追求的正当利益”,恰恰能够兼顾处理者的利益与第三人利益，这清楚地表明了我国确立正当利益条款的必要性。
但如前所述，我国完全不必专门在立法上规定正当利益条款。作为关于侵害非物质性人格权责任认定的一般规定，《民法典》第998条也适用于个人信息处理。仔细分析该条规定并对比欧盟《条例》中的正当利益条款便不难发现，二者不仅在功能上具有高度一致性，而且在内容上相互补充。基于此，便能确立我国的正当利益条款。
在规范视角上，《民法典》第998条为个人信息处理行为是否违法提供了判断标准，进而影响民事责任的成立与承担。尽管该条只是从消极意义上排除处理行为的违法性，但其实，违法与合法在概念上相互排斥，具有择一关系：违法即不合法，合法即不违法，差别仅在于观察视角的选取。尽管第1035条第1款仅以“自然人或者其监护人同意”作为处理个人信息的“条件”,而第1036条只是关于“行为人不承担民事责任”的规定，但这并不妨碍将后者第2项和第3项归为第1035条第1款第1项中“法律、行政法规另有规定”的情形，从而被理解为个人信息的合理使用也就是合法性基础的规范依据。此外，《个人信息保护法》第13条第1款第5项之所以能够将《民法典》第999条规定的情形(“为公共利益实施新闻报道、舆论监督等行为”而合理使用非物质性人格权)与第1036条第3项规定的第一种情形(“为维护公共利益”合理使用个人信息)合二为一，也是基于相同的道理。
综上所述，《民法典》第998条能够为个人信息处理提供合法性基础，完全可以将据此不具有违法性的处理行为归为《个人信息保护法》第13条第1款第7项规定的“法律、行政法规规定的其他情形”。《民法典》第998条要求基于各种考量因素对个人信息处理行为是否违法进行判断，因此，其将合法性与正当性融为一体，与《个人信息保护法》第13条第1款中规定的除同意以外的其他合法性基础所要求的“为……所必需”“在合理范围内”具有高度一致性。
表1欧盟数据保护立法中的正当利益条款对比导出到EXCEL
正当利益条款
控制者及第三人利益
必要性
数据主体利益
权衡
欧盟《指令》第7条(f)项
控制者或者向其公开数据之第三人追求的正当利益
处理是为……之目的所必需
数据主体的利益或者(for)第1条第1款要求保护之基本权利与自由
但这种利益被……压倒的情形除外
欧盟《条例》第6条第1款第1段(f)项
控制者或者第三人追求的正当利益
同上
要求保护个人数据之利益或者(or)基本权利与自由
除非这种利益被……压倒，特别在数据主体为儿童的情形
结合表1对正当利益条款的具体内容分析如下。
总之，正当利益条款旨在调和控制者或者第三人与数据主体之间纷繁复杂的利益冲突，双方的基本权利与自由及其他价值及利益均可被纳入其中。更重要的是，其通过确立必要性要求和最终的权衡，为妥当解决价值及利益的冲突指明了大致方向。
根据《民法典》第998条构造我国法律中的正当利益条款，其主要包括两大部分。
第一部分是各方价值及利益的确定及必要性审查。不论是信息处理者或第三人的正当利益，还是信息主体的利益，其范围均极其宽泛：既包括作为客观价值的基本权利，又包括其他为法秩序认可之价值以及受法律保护的利益。至于究竟牵涉到几方当事人，分别触及其何种基本权利、价值及利益，则取决于个案的具体情况。在确定各方为法秩序认可的价值及利益后，应考察处理行为是否符合必要性要求。若能作出肯定回答，便需进行最终的权衡。
“抖音案”的判决不仅在概念上混淆了利益与目的，而且因此导致必要性审查的错位。判决就被告的存储行为指出，其“并无充分理由说明该行为为实现建立社交功能所必需”,“超过了处理个人信息的必要性原则”。而且，被告在通过匹配知道原告非其用户后“并未及时删除”,“超出不必要限度，不属于合理使用”。这种越过具体的合法性基础而直接适用必要性原则的做法并不妥当。更重要的是，该裁判理由所作必要性审查系就存储行为与处理目的即“建立社交功能”之间的关系而言，但与此不同，正当利益条款的必要性审查却指向处理行为与处理者或者第三人正当利益之间的“目的—手段”关系。有别于价值及利益，判决所称之“建立社交功能”与“满足或促进用户在抖音App中建立社交关系”作为处理目的属于具体规范层次的考量因素。这种审查错位导致处理行为与价值及利益的脱节，由此可见严格区分具体规范与价值及利益两个不同层次的重要性。
为确保个案裁判的合理性，首先应确定彼此冲突的价值及利益，并准确进行必要性审查。“抖音案”的判决认为，被告“对姓名和手机号码的使用，会涉及手机用户、通讯录联系人以及互联网行业发展的不同利益需求的平衡”。但问题恰恰在于，各方当事人所涉利益究竟为何其受法律保护的依据何在被告的处理行为是否符合必要性要求
值得注意的是，裁判理由将被告的个体性商业利益提升为“互联网行业发展”的利益，并强调“合理使用个人信息”能促进“数字经济的发展”且“增加整个社会的福祉”。这明显忽略了价值及利益冲突首先发生在个体之间，而被告处理原告个人信息的首要利益在于其自身的商业利益。其实，营业自由本身已包含促进经济发展的考虑，因为如前所述，其规范依据之一即为《宪法》第6条第2款确立的“多种所有制经济共同发展的基本经济制度”。而经济发展自然能增进社会福祉，这也是营业自由的当然之义。因此，在价值及利益确定阶段，应聚焦于被告享有的营业自由，而非“互联网行业发展”。至于营业自由的丰富意涵，则是最终权衡所需考虑的内容。
既如此，就必须直面各种价值及利益冲突。“抖音案”所涉价值及利益之一方为原告即“通讯录联系人”的信息自决与通信自由及秘密，另一方是被告的营业自由与第三人的信息自决与通信自由及秘密。于此，只有通过细致权衡才能得出最终结论。
其次，应具体分析信息处理行为本身，尤其是其对各方当事人利益的影响。正如裁判理由所言，被告的处理行为“可以细化为读取、存储、匹配及推荐”四种。不同处理行为的对象不完全相同，其分别旨在实现有别于整体的“建立社交关系”之不同具体目的。而且，允许或者禁止不同处理行为，对各方当事人利益的影响存在显著差异。该案裁判理由将“读取、匹配和推荐”作为整体，仅对“存储”单独处理，这有欠妥当，具体分析也不乏可议之处。为此，有必要重新梳理被告的处理行为并予以考察。
读取系针对第三人即“手机用户”的通讯录信息，其中包含原告的姓名、手机号码与社交关系等，而初次匹配还同时处理被告后台已存储的其他用户信息。单纯的读取和初次匹配不会对原告造成太大影响，因为其开始并不是抖音App的用户，该处理行为并不直接触及其私人领域，被告也不能借此为其建立社交关系，以实现商业利益。不同于此，被告只有读取第三人的通讯录信息并予以初次匹配，才能通过后续的推荐等处理行为将第三人的社交关系迁移至抖音App,因此，禁止读取和匹配将使被告难以实现其商业利益。对于第三人而言，被告读取和存储其通讯录信息为其自主决定的结果，禁止读取和存储无异于根本取消其在抖音App上建立社交关系的可能性。因此，读取和匹配的行为对原告的影响很小，但禁止该行为对被告及第三人的影响却很大。
推荐是指被告向原告推荐其“可能认识的人”,前提在于将原告注册抖音App时提供的手机号码与第三人手机通讯录中的原告姓名、手机号码与社交关系等进行二次匹配。该处理行为对原告存在很大影响，因为推荐及二次匹配已介入其私人领域，而且被告借此为其建立社交关系，在很大程度上直接用于追求商业利益。尽管如此，被告要实现其商业利益，完全能基于其他已同意其匹配和推荐的用户之间的社交关系，缺少原告参与不会产生太大影响。对于第三人而言，其在抖音App上与诸多好友建立社交关系，缺少原告一人也不至于产生实质影响。因此，禁止推荐及二次匹配对被告和第三人的影响很小，但允许该处理行为对原告的影响却很大。
存储行为分两个阶段。第一阶段的存储介于读取和初次匹配之间，既是读取的延续又是初次匹配的前提；第二阶段的存储发生在初次匹配之后，服务于推荐及二次匹配等行为。因此，两阶段的存储行为均不具有独立意义，分别附属于前两组处理行为，其考察结论应与前两者大致相同。
所涉主体
原告/信息主体(-)
被告/处理者(+)
第三人(+)
价值及利益
信息自决、通信自由及秘密
营业自由
抽象权重(基本权利个数)
2
1
具体权重
个人信息的重要性
高
处理行为
读取与初次匹配
利益影响
小
大
安全与保密性(-)
/
合理预期(-)
推荐及二次匹配
高～中
低
存储(第一阶段)
同“读取与初次匹配”
存储(第二阶段)
同“推荐及二次匹配”
由此前构造的请求权规范链条可知，对原告请求被告停止侵害、删除信息、赔礼道歉并赔偿损失的主张大体应予支持。尽管“抖音案”的判决对判断被告处理行为之合法与否的规范依据的选取和裁判说理存在不少瑕疵，但其对责任承担的具体分析以及最终裁判理由均无不妥。更重要的是，这已清楚表明，如何以权衡方法为核心将《民法典》第998条及正当利益条款合乎理性地落实到个案裁判，以充分顾及法的安定性。