automated-decision-rights

管理自动化决策和画像相关权利

概述

GDPR 第 22 条赋予数据主体一项权利，即不受仅基于自动化处理（包括画像）且对其产生法律效力或类似重大影响的决策约束。本技能涵盖自动化决策的识别、有意义的人为介入的实施、逻辑说明以及异议程序。

法律依据

GDPR 第 22 条——自动化个人决策（包括画像）

1. 第 22(1) 条——数据主体有权不受仅基于自动化处理（包括画像）且对其产生法律效力或类似重大影响的决策约束。

2. 第 22(2) 条——例外情况：如果该决策：

   • (a) 是为订立或履行数据主体与控制者之间的合同所必需的
   • (b) 由欧盟或成员国法律授权，且该法律还规定了适当措施，以保障数据主体的权利、自由和合法利益
   • (c) 基于数据主体的明确同意

3. 第 22(3) 条——在适用例外情况 (a) 或 (c) 时，控制者必须采取适当措施，以保障数据主体的权利、自由和合法利益，至少包括以下权利：

   • 要求控制者进行人工介入
   • 表达其观点
   • 对该决策提出异议

4. 第 22(4) 条——第 22(2) 条规定的决策不得基于第 9(1) 条所指的特殊类别数据，除非适用第 9(2)(a) 或 (g) 条，且已采取适当措施，以保障数据主体的权利、自由和合法利益。

画像的定义（第 4(4) 条）

“画像”是指任何形式的个人数据自动化处理，即使用个人数据评估与自然人相关的某些个人方面，尤其是分析或预测该自然人在工作中的表现、经济状况、健康、个人偏好、兴趣、可靠性、行为、位置或移动情况。

EDPB《自动化决策和画像指南》（WP251 rev.01）

第 29 条工作组（现为 EDPB）于 2018 年 2 月 6 日通过的指南提供了权威解释，并区分以下情形：

• 简单画像：通过自动化处理对个人进行分类（例如，营销细分）——若不产生法律效力或重大影响，则可能不触发第 22 条。
• 基于画像的决策：使用画像结果对个人作出决策——若完全通过自动化方式作出，且产生法律效力或重大影响，则触发第 22 条。
• 包含画像的完全自动化决策：完全适用第 22 条——例如，自动信用评分导致贷款申请被拒。

识别第 22 条所指的决策

评估标准

对于每项自动化处理活动，评估以下方面：

1. 该决策是否完全通过自动化方式作出？ 决策过程中没有有意义的人为介入。根据 WP251 rev.01，人为参与不能只是走过场——审核人员必须拥有权限和能力，并在作出自己的决策前真正考虑自动化处理结果。

2. 该决策是否产生法律效力？ 例如：拒绝贷款申请、终止合同、拒绝社会保障福利、拒绝入境。

3. 该决策是否对数据主体产生类似重大影响？ 例如：自动拒绝在线信用申请、自动招聘筛选导致候选人被排除、差别定价实质性影响购买力、自动保险风险评估导致保费涨幅超过 20%。

Meridian Analytics Ltd — 自动化处理清单

处理活动	完全自动化	法律或重大影响	适用 Art. 22	例外
客户入驻风险评分	是	是 — 决定是否可使用服务	是	Art. 22(2)(a) — 合同所必需
使用模式异常检测	是	否 — 仅触发人工审核	否	不适用
自动发票处理	是	否 — 行政职能	否	不适用
营销细分归类	是	否 — 不会产生法律影响或类似重大影响	否	不适用
欺诈概率评分	是	是 — 可能导致账户暂停	是	Art. 22(2)(a) — 合同所必需

人工干预要求

有意义的人类监督标准

根据 WP251 rev.01 第 21 段，人工干预必须符合以下所有标准：

1. 权限：审核人员拥有组织授权，可以更改或推翻自动化决策。
2. 能力：审核人员具备评估自动化输出所需的技术理解和领域知识，包括了解模型的局限性和错误率。
3. 实质性审查：审核人员会实际分析自动化输出和数据主体的具体情况，而不是例行认可自动化建议。

Meridian Analytics Ltd 的实施方式

针对每项 Art. 22 决策：

1. 指定审核人员：为每种决策类型安排受过培训的员工（至少 2 人），并明确授予其推翻自动化结果的权限。
2. 审核界面：提供一个仪表板，显示：
   • 自动化决策和置信度评分
   • 关键输入因素及其对决策的影响
   • 模型对类似案例的历史准确率
   • 数据主体的资料摘要
   • 类似决策的推翻记录
3. 审核服务级别协议：所有 Art. 22 决策都必须在自动化输出后 48 小时内审核。
4. 推翻决策的记录：每次推翻决策都必须记录审核人员姓名、日期、理由和替代结果。
5. 季度审计：审核推翻率、审核人员参与度指标和结果分布，以验证是否进行了有意义的人工参与。

逻辑说明要求

必须说明的内容（Art. 15(1)(h)）

数据主体行使其与自动化决策相关的访问权时，控制者必须提供：

1. 自动化决策的存在情况：确认正在进行自动化决策，包括画像分析。
2. 关于相关逻辑的有意义信息：不包括源代码或算法权重，而是提供非技术人员能够理解的功能性描述：
   • 使用了哪些数据输入
   • 如何对这些输入加权或组合
   • 哪些阈值或规则决定结果
   • 总体准确率和错误率
3. 重要性及预期后果：说明该决策在实际层面对数据主体意味着什么。

逻辑示例说明 — 客户风险评分

“Meridian Analytics Ltd 使用自动化风险评分系统评估新客户申请。该系统会评估以下因素：

• 公司注册数据：公司的成立年限、注册司法管辖区和备案历史（约占总分的 30%）。
• 财务指标：公开来源提供的报告收入、信用参考机构数据和付款记录（约占 40%）。
• 行业风险分类：申请人所处的行业，并根据监管风险指数进行映射（约占 20%）。
• 行为信号：申请流程本身的模式，例如所提供信息的一致性（约占 10%）。

系统会生成 0 到 100 分的风险评分。低于 35 分的申请会自动标记，交由人工分析师进行强化尽职调查审核。低于 15 分的申请会自动拒绝，并由高级合规分析师在 48 小时内审核。

根据每季度对照实际客户结果进行的验证，该系统的总体准确率为 91.3%。假阳性率（错误地将低风险客户标记为高风险）为 6.2%，假阴性率（未能标记真正的高风险客户）为 2.5%。

如果您的申请被拒绝或标记，您有权要求人工审核、陈述自己的观点并对决定提出异议。”

异议处理机制

第 1 步：受理异议

1. 使用编号 ADM-YYYY-NNNN 进行登记。
2. 记录：受到异议的自动化决策、数据主体提出异议的理由，以及所提供的任何补充信息。

第 2 步：指定人工审核员

1. 指定一名未参与原自动化决策的审核员。
2. 审核员必须具备相应的权限、能力和独立性。
3. 向审核员提供：
   • 原自动化决策及其依据
   • 数据主体提出的异议及支持信息
   • 相关数据输入和模型输出
   • 类似异议的历史先例

第 3 步：审核并作出决定

1. 审核员必须根据决定的实际情况，真正重新考虑该决定。
2. 审核员可以：
   • 维持原自动化决策（并记录理由）
   • 修改决定（部分或全部朝有利于数据主体的方向调整）
   • 撤销整个决定
3. 记录审核结果及完整理由。

第 4 步：告知结果

1. 在收到异议后的 30 个自然日内通知数据主体。
2. 通知必须包括：
   • 审核结果
   • 决定的理由
   • 如果维持原决定：数据主体向监管机构提出投诉（第 77 条）并寻求司法救济（第 79 条）的权利
   • 如果修改或撤销决定：实际后续步骤

第 5 步：系统性审核

1. 为模型监控之目的记录异议处理结果。
2. 如果某一季度内任何类型决策的异议率超过 10%，则启动模型审核。
3. 如果撤销率超过 15%，则上报数据保护官，评估模型是否需要重新训练或停用。