《民法典》第111条是一个独立的权利条款，它规定了作为具体人格权的个人信息权，该权利以保护控制个人信息传播利益为目的。控制个人信息传播利益的实质是通过塑造“他人眼中的自己”而构建个体人格，它不同于其他权利所保障的利益。以此为根据可以进一步讨论处理个人信息的合法性条件，即在何种情形中处理他人个人信息是非法的，侵害了个人信息权，在何种情况中处理他人个人信息是合法的，没有侵害个人信息权。
（一）知情同意是合法处理个人信息的充分非必要条件
《民法典》第111条保护的是特定情形中的控制个人信息传播的利益，该种利益的要点在于，信息主体经由自主选择决定个人信息的传播，自己来决定他人对其个人信息的收集、加工、传送以及利用。因此，所有经过信息主体知情同意的信息处理行为，均属于该种利益的实现方式，相关信息处理行为均为合法，并未侵害个人信息权。
关于个人信息处理中信息主体的“知情同意”已有讨论，大都集中在它对于个人信息利益的保护效果上。在讨论中形成的一个基本共识是，在互联网及其相关服务广泛渗透、交织在公共生活和个人生活中的背景下，信息主体自身欠缺“知情同意”的能力，信息主体的“知情同意”往往并非真正的“同意”，经常是因为“无知”“被诱惑”或者在处理者的优势社会经济地位的压力下“不得不”同意，因此以知情同意作为合法处理个人信息的标准并不能有效保护个体控制个人信息传播的利益。这个共识是正确的，但不能因此而否定“知情同意”作为处理个人信息的合法性判准的地位。“知情同意”是《民法典》第111条规定的个人信息权的基本行使方式，是控制个人信息传播的利益得以实现的前提，离开了知情同意也就无所谓个人信息权。“知情同意”在保护效果上的缺憾仅仅意味着，在个人信息传播上有意义的选择离不开相关的外部社会条件的支持，因此需要通过其他法律规制措施来营造“知情同意”得以有效运转的外部社会环境。这些规制措施并不是用来代替“知情同意”，而是用来确保信息主体做出真正的“同意”。还需要注意的是，通过法律规制知情同意的外部社会条件，已经超出了民法的管辖范围，属于公法等其他类型法律的规制范畴。因此，保证信息主体做出真正的“同意”尽管是一个非常重要的实践问题，但与这里讨论的《民法典》第111条的法律效果无关。
知情同意是合法处理个人信息的充分条件，这是由《民法典》第111条所保护的控制个人信息传播利益的性质所决定的，既然控制个人信息传播利益经由信息主体的知情同意而实现，那么《民法典》第111条自然会保护基于知情同意的信息处理行为。不过，很明显的是，个体的控制个人信息传播的利益并非在所有情形中都会被《民法典》第111条所保护。因此，就那些不属于《民法典》第111条保护范围的情形，知情同意便不再是合法处理个人信息的必备要件，此时未经信息主体的同意而处理个人信息也是合法的，并不侵犯个人信息权。
在已有讨论中，人们普遍承认，个人信息具有社会属性，处理他人的个人信息对于个人和社会生活的正当开展具有重要意义，特别是在大数据时代，个人信息的利用已经成为经济发展与公共管理等公共利益的重要组成部分，因此个人信息权有其限度，应当“兼顾个人信息的保护与使用”。这个结论与“知情同意是合法处理个人信息的充分条件”并不矛盾，不可据此否认知情同意在确认处理个人信息的合法性上的基础性地位，它仅仅意味着，知情同意并不是合法处理个人信息的必要条件，在个人信息权的保护范围之外，合法地处理个人信息并不要求信息主体的知情同意。由此，合法处理个人信息的标准呈现为两个层次：第一，在那些个人信息利益得到个人信息权保护的情形中，信息主体的知情同意是区分信息处理行为的合法与非法的标准；第二，在那些个人信息利益未得到个人信息权保护的情形中，处理个人信息行为均为合法。这样一来，处理个人信息的合法性判准便在相当程度上转换为个人信息权的范围的界定。
（二）个人信息权的保护范围的界定原则与方法
基于权利的利益论，权利意味着特定个人利益构成了他人义务的证立理由，界定权利的范围的关键就在于，识别出在何种情况下相关个人利益能够证立他人的义务。
1.权利范围的界定原则
个体的某种利益能否证立他人的义务，这是一个行为的道德正当性问题，即让他人为满足个体的某种利益而负担义务的正当化原则是什么。法律权利的范围的判断无法回避此种道德正当性的考量，“判断人们有什么权利，不可能是一个纯粹概念的或道德无涉的事务。无须诧异的是，权利是社会的规范性架构的组成部分，它不是有着物理尺寸、重量和形态的东西，不是我们通过感官能直接观察到的‘原始事实’（brute fact）。”由于课与义务总会损害义务人的利益，潜在（would-be）权利人的利益只有比义务人被损害的利益更为重要，即具有“相对重要性”的时候，才能够证立义务人负担义务。“此种‘成本－收益’证立过程构成了确认所有权利的基础。”而此种基于利益的“相对重要性”的正当化原则，是一种“合比例”的正当化原则。
冲突情境中，利益的“相对重要性”是双方利益的具体重要性的比较结果。利益的具体重要性主要由两个因素决定：利益自身的重要性和利益受干涉（侵害/保障）的程度。在利益冲突个案中，某利益自身的重要性越大、受干涉的程度越大，便越重要。从个人生活整体着眼，判断利益自身的重要性的标准有两个：其一，该利益构成了人的理想目标（理想利益）；其二，该利益构成了实现理想目标不可或缺的必要条件（基础利益）。为了判断行动对利益的干涉程度，需要将被主张的行动与其他可能适用于此语境的行动相比较。行动之间的比较点主要有五个：力度、速度、效率、几率与持续性。相关行动对利益的干涉越有力、越快、越高效率、越大几率、越长持续时间，其干涉程度便越强。
2.界定个人信息权的范围的方法
为了保障主体对其个人信息的控制，需要禁止他人擅自处理其个人信息。这对他人的自由及相关的个人与公共生活规划造成了损害，该种利益在内在重要性上与控制个人信息传播的利益相似。故而，控制个人信息传播的利益能否在冲突中获胜，关键因素是相关“处理个人信息”行为对二者的干涉程度。个人信息的处理行为多种多样，其基本的区分点有四个：处理的主体、处理的对象、处理的方式、处理的目的。依照处理的主体可将处理行为分为公共管理机关的处理行为与私主体（个人或企业）的处理行为；依照处理的对象可将处理行为分为对个人的一般信息的处理与对个人敏感信息的处理；依照处理的方式可将处理行为分为传统的非自动化处理与现代的自动化处理；依照处理的目的不同可将处理行为分为为了公共利益的处理与为了个人利益的处理。每一种分类内部还可以做进一步的分类，不同分类之间通过交叉会衍生出新的分类。想要确定个人信息权的边界，就需要全面地考察这些不同类型的处理行为对信息主体的利益和处理者的利益的干涉程度，在此基础上确定何种情况下信息主体的利益胜过了处理者的利益。处理行为划分得越细致，利益的相对重要性的比较情境越具体，个人信息权的边界就越清楚。
2018年5月生效的欧盟《一般数据保护条例》在相当程度上运用了上述界定个人信息权的范围的方法，它在第6条中规定了处理个人信息行为的合法性条件，总体而论这些条件有两个特点。其一，处理个人信息的合法性建立在处理行为的类型化区分的基础上，例如，处理行为得到信息主体的“同意”，处理行为是为了履行合同，处理行为是为了履行法定义务，处理行为是为了满足信息主体或他人的核心利益，处理行为是为了实现公共利益或完成公共任务，处理行为是为了实现处理者或者第三方的正当利益。其二，除了得到信息主体的同意这种情形，其他处理个人信息的行为欲想获得合法性，都需要是“必要的”“必需的”或“成比例的”。以其中的“处理是为了实现公共利益或完成公共任务”为例，处理行为并不是仅仅因为其所欲实现的公共利益而获得合法性，所追求的公共利益必须与被限制的信息主体的利益“成比例”，即具有相对重要性，相关处理行为才是合法的。
详细地考察处理个人信息行为的所有情境，远远超出了一篇文章的承载能力，下面仅从信息处理方式的基本分类着眼，来例示此方法的应用。
处理个人信息行为在方式上可分为两大类：一种是与计算机、互联网、数据库无关的处理行为，简称信息处理的传统模式。另一种是基于计算机、互联网、数据库的处理行为，简称信息处理的现代模式。在传统的社会交往模式中，每个人都经常未经许可处理他人的个人信息，例如，记住他人的体貌特征，将他人的电话号码转告第三人，闲谈中讲述他人的趣闻轶事。如果禁止此类行为将妨碍个人生活与社会交往的正常开展，对每个人的自由等利益都会造成严重损害。就此类处理行为对控制个人信息传播利益的干涉程度而言，第一，传统社会交往是指向性的，个人信息的传播基本上依托人际关系网进行，人际关系网的有限性决定了个人信息的传播范围有限。第二，在传统社会交往模式下，信息主要通过图像、文字和人脑记忆而储存，图像、文字的存储效率较低，人的记忆在容量和持续时间上都有限。第三，在传统社会交往中，信息传递主要依靠声音、图像、文字等模拟手段，传输成本较高，信息被传播的速度和几率因此较低。第四，在传统信息处理模式下，处理者的信息处理能力受限于人脑，对信息进行分析、加工、利用的程度不高。综合考虑这些因素，允许此类处理行为对主体控制个人信息传播利益的侵害程度一般是较低的。因此，在大多数基于传统模式的信息处理情形中，控制个人信息传播的利益不具有相对重要性，不能证立他人不得处理个人信息的义务。
随着信息社会的到来，计算机、互联网、数据库的广泛应用形成了一种新的信息处理模式。在这种模式下，信息的传播依托互联网进行，互联网的无限延展性造成信息的无限传播；信息存储通过电脑进行，不仅（通过相应软件）方便了信息的存储，计算机硬盘容量的无限拓展性、记忆的永久性使得个人信息在电脑数据空间中恒久固化；通过计算机实现的信息数字化降低了信息传输成本，大幅度提高了信息传播的速度和几率；电脑及相关软件极大提高了处理者的处理能力。综合这些因素，信息处理的现代模式如果未经限制，它对个体控制个人信息传播利益的侵害可以达到极为严重的程度，甚至可能使个体完全失去对个人信息的控制。就禁止这种处理模式来讲，由于计算机、互联网已经植入个人生活与公共生活，完全禁止未经许可通过它们进行的个人信息处理行为，对处理者的自由及社会交往也是严重的损害。不过，至少就部分现代信息处理手段而言，禁止无限制地运用它们处理个人信息，不会对处理者造成严重损害，而允许无限制地运用它们则可能对信息主体的控制个人信息传播利益造成严重损害。在这些可被禁止擅自使用的手段中，最典型的是计算机数据库的无限使用。在未经限制的条件下，该处理方式在侵害速度、效率、几率、力度、持续性上都是很高的，将会对主体控制个人信息传播利益造成严重侵害。就处理者的利益而言，计算机数据库主要用于公共管理与商业领域，限制运用该方式擅自处理个人信息不会对处理者的利益造成严重损害。不受限制地运用计算机数据库之类的手段擅自处理个人信息，构成了控制个人信息传播利益的胜出语境，在此类情境中，控制个人信息传播利益证立了他人负有不得擅自处理个人信息的义务。德国宪法法院在1983年的人口普查案判决中，特别强调了个人信息权得以产生的现代化信息处理背景。“在现代化资料处理的条件下，人格的自由发展以保护个人资料免于不受限制的调查、储存、利用及传递的个人保护为前提。此种保护因此被包含在《基本法》第2条第1款联结第1条第1款之中，于此范围内，这个基本权担保了个人一项原则上由自己去决定关于其个人资料的公开与利用的权利。”
