吳昊東 彭俊

摘要：個人推論數據因不具有可識別性，處于我國數據保護法律的盲區(qū)。大數據技術的發(fā)展使個人推論數據被廣泛用于算法推薦服務中，其在創(chuàng)造數據紅利的同時也對個人信息安全造成了威脅。構建個人推論數據的保護規(guī)范需明晰其法律性質和權利內容，平衡數據處理者和個人用戶之間的利益關系。我國現(xiàn)有法律規(guī)范為鼓勵數據流通，沒有對個人信息處理環(huán)節(jié)作過多規(guī)制。因此較為合理的保護路徑是賦予弱勢的個人用戶以對抗算法的權利，以此來回應新時代個人對推論數據受到法律保護的合理期待。

關鍵詞：推論數據；數據保護；算法歧視；個人信息保護法

中圖分類號：D922.16??????? 文獻標識碼：A?????????? 文章編號：1672-4437（2024）02-0087-05

一、個人推論數據被忽視的風險

個人推論數據是用戶標簽的法律本質，用戶標簽是個人推論數據的表現(xiàn)形式[1]。數據增量呈幾何倍速增長的當今社會，通過分析用戶標簽來實現(xiàn)個性化推薦是互聯(lián)網平臺的常用手段，在實現(xiàn)精準營銷的同時也節(jié)省了用戶篩選目標信息的時間成本。個人推論數據在創(chuàng)造數據紅利之余，因其匿名性的特征，導致其被置于個人信息保護的視域之外，由此引發(fā)個人信息安全的一系列風險[2]。

（一）標簽設置影響個人用戶權益

《個人信息保護法》明確法律所保護的對象是具有可識別性特征的個人信息，個人推論數據經過匿名化處理后不在調整范圍之內。如此，個人推論數據被棄置在法外空間，不僅數據處理者可以任意支配、利用，數據主體也不會覺得自己權益受到侵犯。事實是，對個人推論數據的不當利用會減損用戶的權益。例如，某健身愛好者因控糖需要經常網購無糖食品，該行為產生的瀏覽記錄、點擊查看記錄、交易記錄等信息經后臺數據處理后被提取出“無糖飲食”的偏好特征，購物平臺依此來實現(xiàn)個性化推薦服務。但若該推論數據被共享或銷售至人身保險公司，在保險公司的算法分組下，“無糖飲食”極可能與“糖尿病患者”相關聯(lián)，進而將他標注為高風險群體，提升其保費。

（二）標簽化易引發(fā)群體歧視現(xiàn)象

標簽化不僅是識別個體的方式，更是群組分類的依據?；ヂ?lián)網個性化服務的算法邏輯即是基于不同的用戶分組進行自動化決策，通過作用于群體的方式來影響個人。個人的存在便消弭于對群體的評價之中，只剩下組別的概念。而所屬群體的差異性是產生歧視和偏見的重要原因，倘若求職軟件的算法設計者對某群體帶有偏見，則算法結果一定不公平。如果認為招聘“適婚適孕”的女員工會增加企業(yè)的用人成本，那么符合該類特征的女性在求職軟件上收到的崗位推薦相比一般人會更少。此外，即使算法本身中立，也可能導致結果歧視。假如樣本數據中，僅有25%的女性有高薪工作，算法便會因此得出女性不渴望高薪工作的結論，這顯然是因為樣本不全而導致的歧視。理論上，只有樣本數據的種類和規(guī)模達到一定數量，所得結果才具有統(tǒng)計學意義。但現(xiàn)實中，并非每個互聯(lián)網公司都能夠建立相當規(guī)模的數據庫。

（三）技術發(fā)展使匿名化處理無效

單個的用戶標簽僅僅只是描述個人的某方面特征，當然不屬于個人信息的范疇。但是，隨著標簽的增多，識別對象的范圍會變得越來越窄。只要標簽類型和數量足夠豐富，通過分析用戶畫像識別出特定自然人便存在可能。大數據技術日益發(fā)展并取得不斷突破的當下，個人信息保護和數據安全面臨前所未有的挑戰(zhàn)。對個人推論數據進行反向識別后，可以溯源到具體個人，使得個人信息的匿名化處理無效[3]。

二、保護個人推論數據的法理證成

法律在個人推論數據保護上的缺位，導致個人信息安全出現(xiàn)風險。為保障互聯(lián)網經濟健康和網絡用戶權益，給予個人推論數據以法律上的保護實有必要。但有兩個問題亟待解決：第一，必須明確個人推論數據的法律性質，厘清其和個人信息的關系；第二，需要分析個人推論數據權益的內容，構建起相應的保護規(guī)范。

（一）個人推論數據的法律性質

傳統(tǒng)法律語境下將個人推論數據置于個人信息和非個人信息的二元框架中討論，只能得出非此即彼的答案。而根據學者保羅·施瓦茨與丹尼爾·索洛夫所提出的概念，可將個人信息再分為兩類：識別其用戶的信息和可能追溯到其用戶的信息。不同的類別將決定信息獲得不同級別的隱私保護。可追溯信息的概念為個人信息與非個人信息的相互轉化提供了一個過渡的中間地帶。個人推論數據符合可追溯信息的特征，且有法律保護的必要，應為其制定一些獨立的保護規(guī)范。

（二）個人推論數據承載的權益

為個人推論數據制定保護規(guī)范的前提是，需弄清楚其權益內容有哪些?！痘ヂ?lián)網信息服務算法推薦管理規(guī)定》第10條明確了算法推薦服務提供者的用戶標簽管理責任，禁止在用戶標簽中出現(xiàn)違法及不良信息關鍵詞。由此條分析，個人推論數據至少承載著三方面的權益：一是在個體性權益上，用戶標簽的內容會對個人權益造成一定影響，個人應有權阻止自己的推論數據被不當使用；二是在群體性權益上，帶有歧視、偏見的用戶標簽有違公序良俗，侵害社會公共利益，受歧視的群體可對這種標簽化行為提出糾正意見；三是在公司數據權益上，用戶標簽的形成有賴于企業(yè)持有的一整套算法技術和信息資源，包含了公司的勞動成果，公司可對其主張經濟利益[4]。顯然，個人推論數據承載著多元法益，當信息處理者濫用標簽技術給個人用戶或群體造成損害時，同一數據承載的法益便產生了沖突?；ヂ?lián)網企業(yè)作為個人推論數據的控制者，對其享有權利自不待言，需要討論的是，其他主體對個人推論數據主張權利的法理依據是什么。

（三）用戶享有數據權益的法理依據

1.個人信息“可識別”標準之爭議

前文已提過，個人信息的范圍其實是隨時代發(fā)展而不斷變化的。因此，有學者認為對“識別”的既有解釋路徑只關注到了個人信息文本上的實質化含義，而忽視了識別對象的不同會使“可識別標準”發(fā)生動態(tài)變化。應當拓寬對“識別”的解釋，以使法律規(guī)范能夠契合時代發(fā)展的需要[5]。還有學者認為，可將“識別”的內涵擴充為“識別+關聯(lián)”，即使是不具備識別性的個人數據信息，由于對其利用產生的影響仍能及于數據主體，故而也屬于個人信息的范疇[6]。筆者認為，對“可識別性”的標準尚不能解讀為“關聯(lián)性”。從《個人信息保護法》的規(guī)范意旨出發(fā)，將個人信息的保護范圍限于“可識別”的標準確有必要，因為數據流通是實現(xiàn)數據社會化利用和實現(xiàn)數據資源價值的必然路徑。以“關聯(lián)性”替代“可識別性”，將會導致個人信息保護的范圍異常寬泛且沒有邊界，不僅妨礙數據的正常使用和流通，也會使得本應用于保護個人信息的資源被浪費。

2.個人推論數據受保護的合理期待

傳統(tǒng)隱私觀念中，法律保護旨在令個人的私密空間、活動、信息不受他人的非法侵擾。而在網絡空間，大量數據隱私的利用是必要且主動的，這決定了數據隱私的主要特征為匿名化和加密性，去可識別化后，大量數據隱私置于公共平臺，除非遭受技術上的解密，否則不會有泄露的風險?？墒?，大數據技術的運用繞過了識別個人這一環(huán)節(jié)，數據隱私在具體的應用場景中被收集和分析，風險也由此誕生。因此，用戶標簽背后的數據主體對所涉推論數據理應抱有一種合理期待，即不會因為標簽的暴露而使自己逐漸“顯名”，進而遭受損害。當損害發(fā)生時，用戶便可以此主張行使救濟的權利。

三、現(xiàn)有規(guī)定在推論數據保護上的不足

我國《個人信息保護法》主要規(guī)范數據處理中的收集和最終決策環(huán)節(jié)，而較少關注數據的處理過程，這種立法模式基本兼顧了數據保護和流通的需要。但隨著標簽化行為的廣泛濫用，對數據處理有限的規(guī)制手段便顯得捉襟見肘[7]。

（一）管理責任和告知義務未盡完善

1.管理責任不具體

《互聯(lián)網信息服務算法推薦管理規(guī)定》第10條規(guī)定了算法推薦服務者的用戶標簽管理責任，但除了強調不得將違法或不良信息關鍵詞作為用戶標簽外，并沒有提出其他的具體要求。用戶標簽的管理仍需依靠數據處理公司的技術方案在具體業(yè)務層面予以控制，規(guī)定僅僅只是在禁止標簽內容不合法上發(fā)揮了作用。實際上，真正導致歧視性決策的因素是標簽內容不合理、設置不透明、使用不合規(guī)。在算法推薦服務的應用場景中，不法標簽的使用不一定能給服務商帶來經濟利益，其更多考慮的是挖掘用戶的消費偏好等，以用于精準營銷。標簽化過程中對客戶特征非中立性的描述是令其遭受不公平待遇的主要原因，由于標簽不透明化，數據處理者可以將已形成的標簽用于其他場景，一旦標簽被跨場景使用，則引發(fā)歧視的風險極速增大。此外，現(xiàn)有規(guī)定也未能注意到，單個的標簽內容設置實際上不會對用戶權利造成重大影響，是多個標簽的組合利用使用戶信息的假名化趨于無效。

2.告知內容待補足

《互聯(lián)網信息服務算法推薦管理規(guī)定》第16條規(guī)定，算法推薦服務者應向用戶公示算法推薦服務的基本原理、目的意圖和主要運行機制，并告知其提供的算法推薦服務情況、不針對個人特征的選項及用戶關閉算法推薦服務的權利等。該條款是針對算法推薦服務者的義務性規(guī)范，同樣也可視為關于用戶算法解釋請求權的表達。要求服務商對算法進行解釋的目的在于使數據處理過程透明化，糾正自動化決策過程中的信息不平衡，以避免可能造成的算法歧視，但這一權利在實現(xiàn)的過程中卻遭遇重重障礙。算法解釋標準的模糊性使服務商在對算法披露的程度上有很大的操作空間，由于算法技術和商業(yè)秘密相關，服務商一般不會愿意對外公示自己的技術細節(jié)，而且向用戶解釋純粹的技術知識并不會對數據保護產生積極作用。

（二）自動化決策反對權處于虛置狀態(tài)

《互聯(lián)網信息服務算法推薦管理規(guī)定》17條第一款構建了主動性的數據隱私保護模式，在規(guī)范層面上確立了用戶的自動化決策反對權。但由于欠缺完善的用戶標簽管理和告知制度，使得自動化決策反對權也不能完滿的行使。實踐中，商家以自動化決策向個人進行信息推送，即使其公示了算法的基本運行機制，具體的決策過程仍不為用戶所知，決策所依據的“用戶畫像”僅存在于算法的后臺，這導致用戶缺乏判斷商業(yè)推送或營銷構成歧視的基本資料。即使自動化決策對個人權益造成重大影響，用戶也可能并不知情，自動化決策反對權便處于虛置狀態(tài)。另外，商業(yè)推送或營銷顯著影響到個人權益的情況下，利用自動化決策反對權也僅是對歧視性算法的事后規(guī)制。此時若用戶的權益已處于受損狀態(tài)，那么行使自動化決策反對權也無法起到權利救濟的作用，用戶真正需要的可能是自動化決策的透明度和個人推論數據的獲得權。

四、個人推論數據的保護路徑

無論是用戶標簽的設置還是利用，都只是實現(xiàn)個性化推薦的一種技術方案，技術本身的不成熟需要時間來不斷進行優(yōu)化和發(fā)展，法律并不能作為技術的標準，為其預設一個應然的軌道，只能在技術發(fā)展的過程中調整其影響的權利義務關系，保障利益分配公平。因此，數據保護規(guī)范應當在鼓勵、支持自動化決策算法技術的基礎上，賦予弱勢的個人用戶以對抗算法的權利，使算法技術免于淪為惡意使用的工具。

（一）完善用戶標簽的告知義務

標簽化行為本身具有泄露隱私、涉嫌歧視的風險，因此在數據處理者為用戶設置標簽時，即使是出于優(yōu)化服務的目的，也應當履行標簽化的告知義務，但無需得到用戶的同意。這是因為用戶事前對個人信息的使用同意理應包含對數據處理的默許，而數據處理的結果，即形成的標簽是否合理需要告知用戶，以防止出現(xiàn)對用戶的不實評價。數據處理者或許有這樣的擔心，要求履行標簽化告知義務將會使得每一次推薦服務都變得異常繁瑣，用戶和服務商都疲于審閱此類的信息。但告知義務并非只能以通知的形式呈現(xiàn)，也沒必要在每次推薦或決策中都履行告知程序。像“神策數據”等移動應用程序能夠通過可視化界面交互方式展現(xiàn)用戶群體及個體畫像，服務商只需為用戶提供查詢本人畫像的渠道，便能使用戶清楚地了解到個人信息被利用的情況。出現(xiàn)標簽不符時，用戶可以選擇刪除或提供新的信息以修改，且服務商也不必向用戶公開算法處理的具體過程，避免商業(yè)秘密因公開算法機制而泄露。

（二）增加個人用戶的限制處理權

基于數據處理者標簽化告知義務的履行，當用戶感知標簽出現(xiàn)錯誤或隱私可能泄露，繼續(xù)由服務商使用數據將對自己造成不利影響時，用戶應當擁有請求數據處理者中止或停止利用數據的權利[8]。從我國的數據保護立法來看，數據限制處理權一直沒有被當作獨立權利來對待，甚至有學者認為該權利的內容完全能夠被數據刪除權所涵蓋[9]。誠然，數據限制處理權在功能上確實和刪除、更正請求權等有相似之處，但不可等同視之。限制處理權旨在及時排除數據處理者對用戶個人信息的控制，以阻止針對個人的算法繼續(xù)運行，從而避免自身權益受損。這種權利的實現(xiàn)過程具有簡便性、即時性，結果具有可恢復性，如同強制措施一樣，是為防止損失發(fā)生或進一步擴大所采取的暫時性控制措施。無論是刪除權抑或更正請求權，其權利的實現(xiàn)都意味著數據被改變或擦除，而實際操作中，用戶可能只是想限制處理那些敏感性的信息，而不想對其進行修改。在虛擬的網絡空間里，有必要賦予用戶以數據限制處理權，配合標簽告知義務，預防因信息技術快速發(fā)展而隨之發(fā)生的不可預見的危險。具體而言，當數據主體收到不利標簽的通知時，無需舉證該標簽對自己造成重大影響，即可限制數據處理者的自動化分析和決策行為，使數據主體能夠更加積極地應對算法歧視、隱私泄露等風險。

（三）建立全面的算法影響評估制度

隨著大數據技術的發(fā)展，個人數據即使不涉及敏感信息，數據挖掘過程中對數據對象的分類、集群化和關聯(lián)依然可能導致用戶被歸入負面評價的群組，這顯然會對用戶的權益造成不利影響[10]。因此不僅需要在事前進行數據保護影響評估，在事中也應關注數據處理中的風險，及時排除算法自動化處理給個人帶來的妨害[11]。

1.注意數據處理中敏感性標簽的設置

敏感性標簽包括性別、民族、宗教信仰、黨派等能夠識別出個人歸屬團體或組織的信息。為用戶設置針對其個人特征的敏感性標簽本身不會侵犯其個人權益，且對敏感信息的正常使用會促進算法結果的公平，區(qū)別對待并不代表歧視，例如，求職軟件可以為殘疾人提供更多適宜的崗位信息。這就要求數據處理者在評估敏感信息的使用目的時，審核底層算法的運行邏輯，必要時介入人工審查，保證決策結果公正[12]。此外，監(jiān)管機構在對算法推薦服務企業(yè)進行合規(guī)審計時，也需要注意數據處理過程中涉及的敏感性參數，只有行業(yè)自治和政府監(jiān)管相結合，才能防止算法有意或無意的偏見。

2.注意標簽數量和復雜程度的設置

造成歧視性結果的另一種可能情況是對評價對象的片面審視，用以運算的用戶標簽數量越少，所得出的結果越不準確。用戶標簽實際已被納入社會信用體系，在金融保險等領域成為評估個人信用或資產的重要參數，如支付寶的芝麻信用和微信的支付分，在小額貸款、動產租借等場景下，直接決定著自動化決策的結果。而在申請大額信用貸款時，金融機構總是盡可能多地收集并核實客戶的資產及信用記錄，其原因就在于，重要決策所參考的信息數量和類型必須足夠豐富且真實，否則信息的不實和缺失將會導致決策失誤。因此，數據處理者一方面要確定收集目標信息的合理范圍，提高數據樣本完備性；另一方面還要優(yōu)化算法，盡可能多的為用戶標簽的生成設置多個原始數據分析對象，并對標簽的復雜程度予以提升，這樣可以避免單向思維造成的刻板印象。

3.審核標簽設置的方法

算法歧視是算法內部演算和數據分析所導致的對特定群體或個人的不公正對待[13]。造成這種不合理區(qū)別對待的原因有兩種：一種是基于生活經驗的標簽設置，如女性對美妝產品的需求量比男生更大；另一種是基于數據模型的標簽設置，如肥胖人群更易患上糖尿病。前種標簽設置方法帶有數據處理者的先驗預設，當其預設與事實之間存有偏差時，其標簽設置自然具有歧視性。對此種設置方法必須苛以嚴格的報備義務，數據處理者需對標簽設置所需數據范圍、邏輯預設、使用目的、必要性等向監(jiān)管機構作出詳細說明。后一種標簽設置方法更具合理性，數學運算的偏差可以通過技術調整來解決，但是如果用以運算的數據本身出錯，則結果一定不會準確。故使用此種標簽設置方法的數據處理者需保證分析對象的客觀真實以及全面性，在數據開始處理前就進行算法影響評估。

五、結語

個人推論數據權作為一種新興權利，已經受到國家立法的關注，2022年實施的《互聯(lián)網信息服務算法推薦管理規(guī)定》為用戶數據權益保護提供了具體可操作的法律規(guī)范。但由于在理論上尚沒有搭建起完整的推論數據權利框架，也未在數據權譜系中融入推論數據的內容，因此法律規(guī)范無法顧及到推論數據權益保護的各個方面。盡管如此，立法上的動向也表明了國家保護個人推論數據權益的態(tài)度，出臺更為細致的推論數據保護法規(guī)，將是實現(xiàn)數據治理的重要一環(huán)。

參考文獻：

[1]劉海鷗，李凱，何旭濤，等.面向信息繭房的用戶畫像多樣化標簽推薦[J].圖書館，2022（03）：83-89.

[2]徐文.個人推論數據是如何被藏匿的？[J].社會科學，2020（10）：107-118.

[3]金泓序，何畏.大數據時代個人信息保護的挑戰(zhàn)與對策研究[J].情報科學，2022，40（06）：132-140.

[4]趙精武.用戶標簽的法律性質與治理邏輯[J].現(xiàn)代法學，2022，44（06）：102-115.

[5]曹博.個人信息可識別性解釋路徑的反思與重構[J].行政法學研究，2022（04）：133-144.

[6]丁曉東.用戶畫像、個性化推薦與個人信息保護[J].環(huán)球法律評論，2019，41（05）：82-96.

[7]牛彬彬.個人數據權效力體系研究[J].江西財經大學學報，2020（05）：134-147.

[8]崔聰聰.論我國數據限制處理權的創(chuàng)設及其制度設計[J].南京社會科學，2019（09）：91-96.

[9]余筱蘭.民法典編纂視角下信息刪除權建構[J].政治與法律，2018（04）：26-37.

[10]崔淑潔，張弘.數據挖掘對個人信息的侵害與保護路徑[J].西安交通大學學報（社會科學版），2020，40（06）： 137-144.

[11]張恩典.反算法歧視：理論反思與制度建構[J].華中科技大學學報（社會科學版），2020，34（05）：60-71.

[12]唐林垚.人工智能時代的算法規(guī)制：責任分層與義務合規(guī)[J].現(xiàn)代法學，2020，42（01）：194-209.

[13]石穎.算法歧視的發(fā)生邏輯與法律規(guī)制[J].理論探索，2022（03）：122-128.

Research on the Protection Path of Personal Inferential Data in

the Era of Big Data

WU Haodong， PENG Jun

（Law School， Guilin University of Electronic Science and Technology， Guilin Guangxi， 541004， China）

Abstract： Personal inferential data is in the blind spot of China's data protection laws because it is not identifiable. The development of big data technology has led to the widespread use of personal inference data in algorithmic recommendation services. While creating a data dividend， it also poses a threat to personal information security. To build the protection norms of personal inference data， it is necessary to clarify its legal nature and right content， and balance the interests between data processors and individual users. China's existing legal norms to encourage the flow of data， did not do too much regulation in the personal information processing link. Emphasis on personal inference data protection should not be choked， otherwise it will limit the development of technology. Therefore a more reasonable path of protection is to give vulnerable individual users the right to fight against the algorithm. In this way， it responds to the reasonable expectation of individuals to have their inferential data legally protected in the new era.

Key words： inferential data; data protection; algorithm discrimination; Personal Information Protection Law