【学术成果】董彪：《规范自动化决策遏制“大数据杀熟”：以个人信息保护法第二十四条为视角》

 文章来源：载于《民主与法制时报》

 作者简介：董彪，博士，菠菜广告投放平台副院长、副教授、硕士研究生导师。2006-2008年于中国政法大学博士后流动站从事研究工作。江西财经大学民商法研究所兼职研究员。北京市法学会环境资源法学研究会理事。主要研究领域：商法、保险法、传媒法、土地制度。

    论文内容：

    大数据时代，数据、算法等科技元素与人们社会生活深度融合。数据驱动商业模式创新为消费者带来福利的同时也产生了诸多新问题，由此引发了法律制度设计场景变化，比如“大数据杀熟”的出现。2021年11月1日实施的《中华人民共和国个人信息保护法》及时回应社会关切，明文禁止“大数据杀熟”，其第二十四条规定：“个人信息处理者利用个人信息进行自动化决策，应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇。通过自动化决策方式向个人进行信息推送、商业营销，应当同时提供不针对其个人特征的选项，或者向个人提供便捷的拒绝方式。通过自动化决策方式作出对个人权益有重大影响的决定，个人有权要求个人信息处理者予以说明，并有权拒绝个人信息处理者仅通过自动化决策的方式作出决定。”这成为保护个人信息权益和消费者权益的利器。

　　法律规范体系化视角下的“大数据杀熟”

　　“大数据杀熟”是指个人信息处理者或经营者对用户个人信息进行收集、分析和处理，根据用户消费习惯、行为偏好、经济状况等向其提供个性化、差异化的商品或服务，损害用户合法权益，谋取商业利润的行为。它不仅侵害用户的个人信息权益和消费者的公平交易权、选择权，而且破坏市场竞争秩序。《中华人民共和国消费者权益保护法》《中华人民共和国电子商务法》《中华人民共和国个人信息保护法》《国务院反垄断委员会关于平台经济领域的反垄断指南》都关注到了“大数据杀熟”，并设定了相应的规则，形成了伞状规制的法律规范体系。

　　消费者权益保护法为规制“大数据杀熟”设定基本框架。它构建了消费者权益保护的基本框架和权利体系，并以保护消费者权益为基本理念。它为包括个人信息保护法在内的其他法律规制“大数据杀熟”行为提供了权利基础和价值理念支撑，设定了规制“大数据杀熟”的基本框架。比如与“大数据杀熟”直接相关的有消费者权益保护法第四条关于公平原则的规定、第八条关于知情权的规定和第十条关于公平交易权的规定。

　　电子商务法暗含对“大数据杀熟”的法律规制。电子商务法第十八条第一款规定：“电子商务经营者根据消费者的兴趣爱好、消费习惯等特征向其提供商品或者服务的搜索结果的，应当同时向该消费者提供不针对其个人特征的选项，尊重和平等保护消费者合法权益。”鉴于价格是交易的核心要素之一，法律适用中将价格解释为“搜索结果”和“选项”的内容，通过该条款规制“大数据杀熟”具有合理性。它的适用范围限于电子商务活动，关注的重心是电子商务经营者的信息供给行为，旨在通过保护消费者的知情权和公平交易权规范大数据营销行为。这实质上起到了规制“大数据杀熟”的效果。一方面，该条款为避免“信息茧房”效应，要求电子商务经营者在提供个性化推荐搜索结果的同时提供不针对个人特征的选项，通过保护消费者的知情权防范“大数据杀熟”。另一方面，该条款要求电子商务经营者平等保护消费者合法权益，通过保护公平交易权防范“大数据杀熟”。

　　个人信息保护法第二十四条是在分解和重构电子商务法第十八条的基础上拓展形成的。它将法律规制的领域从电子商务法第十八条规定的电子商务领域拓展至自动化决策领域，将规制对象从大数据营销拓展至个人信息处理，对“大数据杀熟”从暗含的隐性规制模式转变为明确的显性规制模式。

　　《国务院反垄断委员会关于平台经济领域的反垄断指南》形成了以市场结构为中心的“大数据杀熟”规制机制。该反垄断指南对数字平台滥用市场支配地位开展价格歧视进行了系统规定。其中，“大数据杀熟”属于滥用市场支配地位行为中的差别待遇，性质上为剥削性滥用。该指南第十七条规定了构成差别待遇需要考虑的因素、条件相同的概念以及实施差别待遇行为的正当理由。它关注的焦点是竞争市场的结构和支配力，适用的主体仅限于具有垄断地位的经营者。它为解决个人信息保护法第二十四条适用过程中可能遇到的问题，如判断合理的差别待遇提供了参考。

　　个人信息保护法关于“大数据杀熟”的法律规制以个人信息权益保护为中心。个人信息是用户与经营者进行交易的筹码。经营者掌握并分析用户的个人信息改变了双方的博弈格局，使得本应属于消费者的利益转移至经营者。个人信息是“大数据杀熟”的基础要素，通过个人信息保护规制“大数据杀熟”属于源头治理。个人信息保护法第二十四条从个人信息权益保护的角度规制“大数据杀熟”。

　　价值分析视角下的“大数据杀熟”

　　营业自由。市场经济中的价格由供给和需求决定，经营者自主定价是市场经济的常态。大数据分析技术的应用打破了消费者同质化的假设，差异化定价是用户类型细化的结果。经济合作与发展组织发布的《数字时代的个性化定价》认为，个性化定价能够促进竞争，增加消费者福利。商品或服务提供者有权自主定价，其采用差异化定价的策略是营业自由的应有之义，不因经营者可以获利而具有原罪。法律对此需要保持谦抑和包容的态度，否则会扭曲市场机制。对于收集和使用大数据的行为不能简单禁止或打击，否则会动摇数据行业发展的根基。

　　营业自由的限制。市场主体有权自主定价，以竞争相对自由和充分，用户的知情权和选择权有所保障为前提。倘若缺乏这些前提条件，经营者进行差异化定价便缺乏正当性。网络效应使得数字平台关注用户数量的增减情况，采用低价优惠或补贴的方式增加某一侧用户数量的现象屡见不鲜。为吸引新用户而设定低价的方式使得平台呈现“喜新”的特征，这与传统实体经济青睐老用户截然不同。但是，新老用户之间交叉补贴不能作为“大数据杀熟”的正当理由。运营者需要考虑成本，但是不能利用优势地位进行“大数据杀熟”，将补贴成本转移给老用户。

　　个人信息处理者可以根据用户以往消费记录、网络行为轨迹等个人信息分析用户的消费意愿、消费偏好和消费能力，在一定的消费空间锁定消费群体。对于部分消费意愿高但对价格等交易条件不敏感的用户，个人信息处理者会采用私自提高价格区间等方式获取高额利润。用户或消费者对数据分析的结果毫不知情，在浑然不知的情况下被“杀熟”。

　　规范分析视角下的“大数据杀熟”

　　个人信息保护法第二十四条适用的场景是自动化决策。根据个人信息保护法第七十三条的规定，自动化决策是指通过计算机程序自动分析、评估个人的行为习惯、兴趣爱好或者经济、健康、信用状况等，并进行决策的行为。自动化决策无需人工参与，是建立在大数据、人工智能等新兴科技基础上的算法决策。

　　自动化决策以用户画像为基础。个人信息处理者通过对用户碎片化的个人信息进行分析和处理，刻画用户的兴趣爱好、行为偏好、经济状况、消费记录、运动轨迹等，进而形成虚拟空间的画像。基于画像，机器评估用户支付意愿的区间和对价格的敏感性，在同一时间向不同用户展示不同的交易价格或交易条件。在技术加持下，个人信息处理者甚至比用户自身更了解其消费意向，能够做到“一人一价”和动态调整。

　　个人信息保护法第二十四条将个人信息处理者作为义务主体。该条第一款规定的义务主体是个人信息处理者。根据个人信息保护法第四条第二款的规定，个人信息处理是指收集、存储、使用、加工、传输、提供、公开、删除个人信息等行为，个人信息处理者是从事上述行为的主体。

　　电子商务法第十八条第一款和《国务院反垄断委员会关于平台经济领域的反垄断指南》第十七条对“大数据杀熟”的规制采用经营者责任路径，将算法的设计者或开发者排除在义务或责任主体之外。但是，机器学习尤其是深度学习技术的开发和应用，使得经营者也难以知悉算法决策的过程，经营者全能的假设不再成立，完全由其承担责任有失公允。个人信息保护法扩张了“大数据杀熟”义务主体的范围，算法开发者被纳入义务主体的范畴，采用算法技术责任与经营者责任双轨并行模式，符合风险与责任分配的现实。

　　个人信息保护法第二十四条从正反两个维度规范个人信息处理者的行为。该条第一款从正反两个维度规范个人信息处理者的行为。在正向维度，个人信息处理者应当保证决策的透明度和结果公平、公正；在反向维度，个人信息处理者不得对个人在交易价格等交易条件上实行不合理的差别待遇。

　　一方面，算法是定价策略的技术表达和实现工具。算法偏见或歧视是人的意愿在虚拟空间的投射，表面上公平、客观的算法实则隐藏着倾斜性的主观价值判断。技术中立性不能作为算法设计者和使用者逃避法律义务或责任的理由，对算法背后人的规制是算法规制的核心。个人信息处理者不能以技术中立为借口，将责任转嫁给算法或机器。对个人信息处理者施加保证决策的透明度和结果公平、公正的义务，可以缓解用户举证难的维权困境。另一方面，禁止个人信息处理者在交易条件上实行差别待遇的前提是该差别待遇不合理。如何判断差别待遇不合理？这是个人信息保护法适用中无法回避的问题。从行为的角度而言，判断差别待遇是否合理应当考察信息主体对差别待遇是否知情并同意。个人信息保护法第十三条确立了个人信息处理的告知——同意规则，利用个人信息作出有损于信息主体利益的行为不属于个人信息保护法第十三条规定的例外情形。从结果的角度而言，判断差别待遇是否合理应当考察差别待遇是分配新增消费者剩余还是压榨消费者利益。能够产生可分配剩余价值的差别待遇，属于合理行为。利用用户对平台的依赖或信赖减损其利益的，属于不合理行为。

　　违反个人信息保护法第二十四条第一款和第二款引发的法律责任。它为个人信息处理者设定了法定义务，且使用了“应当”和“不得”字样，该条文属于强制性义务规范。个人信息处理者需要按照条文规定履行法定义务，否则需要承担不利法律后果。上述条文并未明确相关法律责任，属于不完全法律规范。这就需要结合个人信息保护法第六十六条、第六十七条和第六十九条的规定，对法律责任予以明确。个人信息处理者违反个人信息保护法第二十四条第一款和第二款的规定实施“大数据杀熟”行为的，需要根据具体情况承担行政责任、民事责任或刑事责任。其中，个人信息处理者承担损害赔偿的民事责任以过错推定为原则，以侵权责任为主要形态。

　　平台经济并非法外之地，同样需要对各类市场主体平等对待，保护消费者的合法权益。数据和算法本身是价值中立的，但利用数据和算法对用户进行画像进而设定不合理的差别待遇，就将计算变成了算计，应予否定性评价。对“大数据杀熟”现象进行法律规制需要从感性认知转向理性认知，从粗放式思维转向精细化思维，从抽象价值判断转向实证研究和利益衡量，回应技术变革引发的新问题。