按照《决定》规定，使用者须本着“合法、正当和必要”的基本原则对公民个人电子信息进行搜集和利用。

（一）合法原则

所谓“合法”，强调的并不单纯指本《决定》的规定，还应包括：（1）《侵权责任法》《合同法》等民事法律规定；（2）《互联网电子公告管理规定》《互联网文化管理暂行规定》等部门规章；（3）《互联网信息服务管理办法》《信息网络传播权保护条例》等行政法规；（4）刑事法律规定。必须强调的是，“合法”既包括法律法规等强行法规定，又应涵盖“网民协议”等契约规定。对于一些门户网站利用“格式条款”和“霸王条款”，以“约定”的形式规避侵害他人隐私的情况，不应属于“合法”范畴。按照《合同法》的规定，与法律法规相抵触的“约定”为无效条款，所以，在《决定》生效后，一些门户网站的“网民协议”需要进行修改，以适应“合法性”要求。

（二）正当性原则

“正当”性原则是针对信息使用目的来说的。结合民事法律相关原则，正当性应该包括以下几方面内容：

第一，为网民利益。现代网络技术发展趋势是个性化服务，对网民个人信息的搜集和利用是达到个性化服务的前提条件，因此“依意愿”当然是“正当性”最主要的表现性之一。

第二，为公共利益。非常可惜的是，《决定》没有将公共利益明文规定在隐私利用豁免条款里。从比较法角度看，我国台湾地区“个人信息保护法”第19条将“公共利益”作为个人信息利用的豁免条款，这就解决了部分网络“人肉搜索”的合法性问题。从立法过程和立法目的来看，台湾地区将公共利益入法的主要目的在于平衡新闻自由与保护个人隐私之间的关系。在立法过程中，曾一度出现台湾媒体集中反对该法过于保护个人信息，而忽略了新闻自由权利，正是这个原因差点使得该法无法通过。对此问题，台湾地区“立法机构”将“新闻价值”和“公众人物”中的核心“公共利益”理念抽象出来，加到豁免事由之中以达到平衡。一方面，媒体在报道之时可以更加自由，另一方面，也明确了公共利益强调的是“对事”，而非“对人”，即便是一个“名人”的隐私，诸如他的电话号码、家庭住址之类，如果没有涉及公共利益，那也是该法保护范畴。

第三，依职权。司法机关依照法定程序，对于涉案确有必要搜集的信息，相关信息报有人有义务进行协助工作。

第四，为了学术研究。按照台湾“个人信息保护法”19条规定：“学术研究机构基于公共利益为统计或学术研究而有必要，且资料经过提供者处理后或搜集者依其揭露方式无从识别特定之当事人”，这种情况下对个人信息的搜集和利用是可以被视作为“正当”，可以被法律所豁免的。(www.daowen.com)

（三）必要性原则

必要是指个人信息的收集和使用必须满足正当性要求，包括合法和符合社会善良风俗。使用和收集均限于最初确立之目的，与该目的保持一致，并应采取公平合理的收集和使用方式。其中必要原则一般也可以理解为限制原则，包含两方面的内容：限制收集和限制使用。

限制收集是指个人信息的收集应该有法律上的依据或者当事人的同意，对信息控制者的收集方式要加以限制。其中对信息控制者收集方式的限制主要是指收集个人信息，必须告知收集该个人信息的性质、用途和收集者身份等事项，禁止用不合法、不公正的手段收集。OECD的限制收集原则中就指出个人数据的收集应该采用合法和公正的方法，适当的情况下应当通过数据主体的明确同意或默许。欧盟1995年指令的第6条、第7条也作了类似规定。

限制利用是指个人信息在利用时，也应该严格限定在收集目的范围之内。限制利用在OECD指导纲领中是一项独立的保护原则，欧盟1995年指令第6条中规定，对个人数据的进一步处理不得背离其特定目的，台湾地区“个人资料保护法”第5条规定，个人数据之搜集、处理或利用不得逾越特定目的之必要范围。

此外，依据必要原则，除了在收集和使用阶段，信息控制者需要遵循一定的限制之外，在完成收集信息所确定的目的后，信息控制者也应当及时删除相关信息。在网络环境下，个人信息存储在信息控制者的数据库中，时间越长其泄露、损毁的危险就越大。欧盟1995年指令第6条规定保存个人信息不应长于信息收集或进一步处理的目的所必要的时间。对于保存超过目的所需时间的，且被用于历史、统计或科研的个人信息，应该提供适当的保障。

关于个人信息的保存时限也是个人信息保护法面临的新问题，法国近期针对网络环境下个人信息的保存时限做了详细的规定。法国在《互联网个人信息保护指南》中建议个人信息保存的期限应根据其用途确定。与网站访问相关的网站访问者数据，包括日期、时间、互联网地址、协议、所访问网页等最终可以检测网络攻击或确定网站访问量的数据，其保存期限应当与数据处理目的相协调。2008年4月，欧洲27国一致通过决议：建议搜索引擎保存用户信息期限最长不得超过6个月。

我国2013年2月1日起施行的《信息安全技术公共及商用服务信息系统个人信息保护指南》中也明确提出了最少够用原则：要求只处理与处理目的有关的最少信息，达到处理目的后，在最短时间内删除个人信息。