我國《個人信息保護法》對自動化決策的管理框架

　　《個人信息保護法》中對自動化決策做出了界定：“自動化決策，是指通過計算機程序自動分析、評估個人的行為習慣、興趣愛好或者經濟、健康、信用狀況等，并進行決策的活動”。緊接著在第24條規定：

　　第二十四條 個人信息處理者利用個人信息進行自動化決策，應當保證決策的透明度和結果公平、公正，不得對個人在交易價格等交易條件上實行不合理的差別待遇。

　　通過自動化決策方式向個人進行信息推送、商業營銷，應當同時提供不針對其個人特征的選項，或者向個人提供便捷的拒絕方式。、

　　通過自動化決策方式作出對個人權益有重大影響的決定，個人有權要求個人信息處理者予以說明，并有權拒絕個人信息處理者僅通過自動化決策的方式作出決定。

　　《個人信息保護法》第55和56條規定，“利用個人信息進行自動化決策”前，應當進行“個人信息保護影響評估”：

　　第五十五條 有下列情形之一的，個人信息處理者應當事前進行個人信息保護影響評估，并對處理情況進行記錄：

　　（一）處理敏感個人信息；

　　（二）利用個人信息進行自動化決策

　　（三）委托處理個人信息、向其他個人信息處理者提供個人信息、公開個人信息；

　　（四）向境外提供個人信息；

　　（五）其他對個人權益有重大影響的個人信息處理活動。

　　第五十六條 個人信息保護影響評估應當包括下列內容：

　　（一）個人信息的處理目的、處理方式等是否合法、正當、必要；

　　（二）對個人權益的影響及安全風險；

　　（三）所采取的保護措施是否合法、有效并與風險程度相適應。

　　個人信息保護影響評估報告和處理情況記錄應當至少保存三年。

　　在《互聯網信息服務算法推薦管理規定（征求意見稿）》中，“應用算法推薦技術，是指應用生成合成類、個性化推送類、排序精選類、檢索過濾類、調度決策類等算法技術向用戶提供信息內容”。

　　很自然產生的問題是，“自動化決策”和“應用算法推薦技術”是一回事嗎？或者說“利用個人信息進行自動化決策”（或者說“通過自動化決策方式向個人進行信息推送”）等同于“應用算法推薦技術”嗎？同時，“個人信息處理者”（《個人信息保護法》的規范對象）和“算法推薦服務提供者”（《互聯網信息服務算法推薦管理規定（征求意見稿）》的規范對象）是一回事嗎？

　　首先，“自動化決策”在《個人信息保護法》中是一個活動，《互聯網信息服務算法推薦管理規定（征求意見稿）》與其可對比的概念應該也是一個活動，即“應用算法推薦”。顯然，“自動化決策”的內涵要比“應用算法推薦”要廣泛，例如自動化定價屬于前者，而不被后者所涵蓋。從這個分析來看，“應用算法推薦”與“自動化決策”是個交叉的概念。

　　但“通過自動化決策方式向個人進行信息推送”似乎與“應用算法推薦”相比，也存在一定的差別。自動化決策強調基于對個人特征（如“行為習慣、興趣愛好或者經濟、健康、信用狀況”）的分析結果，對個人進行決策。但應用算法推薦并不強調這一點，而僅僅是客觀描述了一個過程——“應用生成合成類、個性化推送類、排序精選類、檢索過濾類、調度決策類等算法技術向用戶提供信息內容”。這些算法技術本身的形成過程可以不基于個人的特征，例如調度決策類、排序精選類等，完全可以按照事先預設的規則進行，無需根據個人的特征。因此，“應用算法推薦”的范圍應比“通過自動化決策方式向個人進行信息推送”要寬泛。因此，“通過自動化決策方式向個人進行信息推送”是“應用算法推薦”的子集。

　　為什么要如此細摳概念區別，因為要確定多大程度上《個人信息保護法》中對自動化決策的安全保護義務，要適用在“應用算法推薦”中。

　　我國《個人信息安全規范》（35273）對個性化展示的管理框架

　　在35273中，對個性化展示做出了定義：

　　3.16 個性化展示 personalized display

　　基于特定個人信息主體的網絡瀏覽歷史、興趣愛好、消費記錄和習慣等個人信息，向該個人信息主體展示信息內容、提供商品或服務的搜索結果等活動。

　　這個定義落腳點在于“展示”。當時選擇這個詞而非“推送”的目的是盡可能地將各種情況納入，因為推送這個詞，業界有相對固定的認識，并不足與涵蓋發郵件、形成排序結果等情況，但無論如何信息內容最終都需要向用戶展示。《互聯網信息服務算法推薦管理規定（征求意見稿）》并沒有對“推薦”做出界定。從“應用算法推薦技術”的定義中看到，該規定使用的是“向用戶提供信息內容”的概念。所以在公號君看來，只要是基于個人信息的“應用算法推薦技術”，應該和“個性化展示”是一致的。但反過來，“個性化展示”也只是“應用算法推薦”的一個子集而已。

　　《個人信息安全規范》中關于用戶畫像的規定和《互聯網信息服務算法推薦管理規定（征求意見稿）》中的部分規定存在契合：

　　《個人信息安全規范》

　　7.4 用戶畫像的使用限制

　　對個人信息控制者的要求包括：

　　a） 用戶畫像中對個人信息主體的特征描述，不應：

　　1） 包含淫穢、色情、賭博、迷信、恐怖、暴力的內容；

　　2） 表達對民族、種族、宗教、殘疾、疾病歧視的內容。

　　b） 在業務運營或對外業務合作中使用用戶畫像的，不應：

　　1） 侵害公民、法人和其他組織的合法權益；

　　2） 危害國家安全、榮譽和利益，煽動顛覆國家政權、推翻社會主義制度，煽動分裂國家、破壞國家統一，宣揚恐怖主義、極端主義，宣揚民族仇恨、民族歧視，傳播暴力、淫穢色情信息，編造、傳播虛假信息擾亂經濟秩序和社會秩序。

　　c） 除為實現個人信息主體授權同意的使用目的所必需外，使用個人信息時應消除明確身份指向性，避免精確定位到特定個人。例如，為準確評價個人信用狀況，可使用直接用戶畫像，而用于推送商業廣告目的時，則宜使用間接用戶畫像。

　　《互聯網信息服務算法推薦管理規定（征求意見稿）》

　　第十條 算法推薦服務提供者應當加強用戶模型和用戶標簽管理，完善記入用戶模型的興趣點規則，不得將違法和不良信息關鍵詞記入用戶興趣點或者作為用戶標簽并據以推送信息內容，不得設置歧視性或者偏見性用戶標簽。

　　此外，《個人信息安全規范》關于“個性化展示”的要求，與《互聯網信息服務算法推薦管理規定（征求意見稿）》中的部分規定存在契合：

　　《個人信息安全規范》

　　7.5 個性化展示的使用

　　對個人信息控制者的要求包括：

　　a） 在向個人信息主體提供業務功能的過程中使用個性化展示的，應顯著區分個性化展示的內容和非個性化展示的內容；

　　注：顯著區分的方式包括但不限于：標明“定推”等字樣，或通過不同的欄目、版塊、頁面分別展示等。

　　b） 在向個人信息主體提供電子商務服務的過程中，根據消費者的興趣愛好、消費習慣等特征向其提供商品或者服務搜索結果的個性化展示的，應當同時向該消費者提供不針對其個人特征的選項；

　　注：基于個人信息主體所選擇的特定地理位置進行展示、搜索結果排序，且不因個人信息主體身份不同展示不一樣的內容 和搜索結果排序，則屬于不針對其個人特征的選項。

　　c） 在向個人信息主體推送新聞信息服務的過程中使用個性化展示的，應：

　　1） 為個人信息主體提供簡單直觀的退出或關閉個性化展示模式的選項；

　　2） 當個人信息主體選擇退出或關閉個性化展示模式時，向個人信息主體提供刪除或匿名化定向推送活動所基于的個人信息的選項。

　　d） 在向個人信息主體提供業務功能的過程中使用個性化展示的，宜建立個人信息主體對個性化展示所依賴的個人信息（如標簽、畫像維度等）的自主控制機制，保障個人信息主體調控個性化展示相關性程度的能力。

　　《互聯網信息服務算法推薦管理規定（征求意見稿）》

　　第十一條 算法推薦服務提供者應當加強算法推薦服務版面頁面生態管理，建立完善人工干預和用戶自主選擇機制，在首頁首屏、熱搜、精選、榜單類、彈窗等重點環節積極呈現符合主流價值導向的信息內容。

　　第十五條 算法推薦服務提供者應當向用戶提供不針對其個人特征的選項，或者向用戶提供便捷的關閉算法推薦服務的選項。用戶選擇關閉算法推薦服務的，算法推薦服務提供者應當立即停止提供相關服務。

　　算法推薦服務提供者應當向用戶提供選擇、修改或者刪除用于算法推薦服務的用戶標簽的功能。

　　用戶認為算法推薦服務提供者應用算法對其權益造成重大影響的，有權要求算法推薦服務提供者予以說明并采取相應改進或者補救措施。

　　簡短分析

　　以上所有的分析，主要目的在于表明《互聯網信息服務算法推薦管理規定（征求意見稿）》不是個單純的《個人信息保護》項下的立法，而是一個針對算法技術本身在信息內容提供領域的規定，其本身具有超越《個人信息保護》規制范圍的內容。因此，公號君認為，《互聯網信息服務算法推薦管理規定（征求意見稿）》是我國人工智能立法的一個重要發端。（完）