children-profiling-limits

儿童画像限制

概述

在多个监管框架下，对儿童进行画像受到更严格的限制。GDPR 序言第 71 条指出，自动化决策（包括画像）“不应涉及儿童”。英国 AADC 标准 12 要求默认关闭针对儿童用户的画像，只有在控制者能够证明存在令人信服的理由并采取适当保护措施时，才可例外。欧盟《数字服务法》（DSA）第 28(2) 条明确禁止在线平台根据未成年人的个人数据进行画像并据此展示定向广告。COPPA 禁止在未经可验证的家长同意时，为行为广告目的收集儿童的持久标识符。本技能建立了一个全面框架，旨在确保数据处理合法且符合伦理，并避免对儿童进行被禁止的画像。

法律框架

GDPR 序言第 71 条——儿童与自动化决策

“在任何情况下，此类处理都应受到适当保障措施的约束，包括向数据主体提供具体信息，以及赋予其获得人工干预、表达其观点、获得对此类评估后作出的决定的解释以及质疑该决定的权利。此类措施不应涉及儿童。”

EDPB 将“不应涉及儿童”解读为一项强有力的推定，即不应对儿童进行基于画像且会产生法律效力或类似重大影响的自动化决策。尽管“should not”的强制性弱于“shall not”，EDPB 指引和 DPA 执法实践仍将其视为有效禁令，除非适用特殊情形。

GDPR 第 22 条——自动化个人决策

第 22(1) 条：“数据主体有权不受仅基于自动化处理（包括画像）作出的决定约束，且该决定对其产生法律效力或产生类似重大影响。”

对于儿童，序言第 71 条进一步强化了这一禁令。第 22(2) 条中的例外情形（合同必要性、法律规定、明确同意）对儿童的适用范围受到严格限制：

• 合同必要性（第 22(2)(a) 条）：很少适用于儿童；儿童订立的合同通常可被撤销
• 法律规定（第 22(2)(b) 条）：可能适用于年龄验证或儿童安全义务
• 明确同意（第 22(2)(c) 条）：对于低于相关年龄门槛的儿童，必须依据第 8 条获得家长同意；仅有儿童本人的明确同意并不足够

GDPR 第 4(4) 条——画像定义

“画像是指对个人数据进行任何形式的自动化处理，即使用个人数据评估与自然人有关的某些个人方面，尤其是分析或预测该自然人在工作表现、经济状况、健康、个人偏好、兴趣、可靠性、行为、位置或行动方面的情况。”

英国 AADC 标准 12——画像

“默认关闭使用画像的选项（除非你能证明默认开启画像有令人信服的理由，并将儿童的最佳利益纳入考量）。只有在采取适当措施保护儿童免受任何有害影响（包括但不限于向儿童推送不利于其健康或福祉的内容）时，才允许进行画像。”

英国 AADC 标准 13——助推技术

“不得使用助推技术诱导或鼓励儿童提供不必要的个人数据，或削弱或关闭其隐私保护。”

欧盟《数字服务法》——第 28(2) 条

“在线平台提供者不得在其界面上，根据 Regulation (EU) 2016/679 第 4 条第 (4) 点所定义的画像，并使用服务接收者的个人数据展示广告；但前提是其以合理的确定程度知晓服务接收者为未成年人。”

COPPA — 持续性标识符

COPPA 将持续性标识符定义为个人信息，但前提是其用途并非支持内部运营。使用持续性标识符向儿童投放行为广告，需要获得可验证的家长同意。

儿童画像分析的类型及其状态

禁止的画像分析

画像分析类型	描述	法规依据	状态
行为广告	使用浏览历史、交互模式或推断出的兴趣来投放定向广告	DSA Art. 28(2), AADC Std 12, COPPA	禁止面向儿童投放——DSA 不设例外
社交评分	根据互动评估儿童的社会地位、人气或声誉	AADC Std 5, Recital 71	禁止——有损福祉
情绪画像分析	根据行为信号（打字速度、光标移动、面部表情）推断情绪状态，以调整内容或营销	AADC Std 5, Art. 9（如果推断心理健康状况）	禁止——利用儿童在发育阶段的脆弱性
用于商业定向的预测分析	预测未来购买行为、对营销的易感性或价格敏感度	AADC Std 5, Recital 71	禁止——对儿童进行商业剥削
跨服务行为追踪	合并多个服务或网站的数据，以建立全面的行为画像	AADC Std 9, COPPA, DSA Art. 28(2)	禁止——超出对儿童而言的任何合法目的

受限制的画像分析（采取保障措施后允许）

画像分析类型	描述	合法处理的条件
基于内容的推荐	根据儿童互动过的内容特征推荐内容（而非根据儿童的个人画像）	默认：关闭。获得家长同意后可启用。必须采取内容多样性保障措施。
教育自适应学习	根据学习进度调整教育内容的难度	为实现教育目的所必需时允许。不得扩展到非教育功能。需要 DPO 审查。
安全与审核画像分析	检测通信中的诱骗、霸凌或虐待模式	基于合法利益（保护儿童）允许。必须适度且接受 DPIA。不得用于商业目的。
适龄内容过滤	使用年龄数据过滤不适宜内容	为保护儿童所必需时允许。不得用于投放广告。

允许的处理（不属于画像分析）

处理类型	描述	不属于画像分析的原因
情境广告	根据当前页面内容而非用户画像投放广告	选择广告时未使用个人数据；仅基于内容情境
汇总分析	分析匿名化的汇总用户模式，以改进服务	不评估个人的具体情况；数据未关联到个体用户
A/B 测试	随机将用户分配到不同功能版本，以测试服务改进效果	随机分配，不基于个人特征

推荐算法保障措施

对于为儿童实施内容推荐算法的服务（在允许的情况下），必须采取以下保障措施：

注入内容多样性

• 推荐算法必须达到最低多样性比例（例如，至少 30% 的推荐内容必须来自儿童此前未互动过的类别）
• 这可以防止过滤气泡和内容兔子洞，这些现象可能特别有害于儿童的发展
• 必须记录多样性注入措施，并定期审查

时间限制机制

• 个性化推荐信息流必须设置自然的停止点（例如，“你已经浏览了 20 分钟——该休息一下了！”）
• 根据英国 AADC 指引，儿童的自动播放功能默认必须关闭（YouTube 在与 ICO 接洽后已实施这一做法）
• 必须用带有明确终点的分页内容取代无限滚动

内容安全过滤器

• 所有推荐内容在呈现给儿童之前都必须经过内容安全过滤器
• 过滤标准必须按年龄分级：对年幼儿童采用更严格的标准，对青少年采用适度的标准
• 对自动过滤置信度较低的边缘案例进行人工审核

心理健康熔断机制

• 如果推荐算法检测到与有害内容循环相关的参与模式（例如，反复参与有关自残、饮食失调或极端体像的内容），算法必须：
  1. 停止推荐类似内容
  2. 插入福祉资源或求助热线信息
  3. 通过家长控制面板提醒家长（不披露可能侵犯儿童信任的具体内容详情）

禁止使用诱导技巧

禁止对儿童使用的诱导技巧

技巧	描述	禁止原因
羞辱式确认	拒绝数据收集时提示“你确定要错过吗？”	利用社交焦虑和错失恐惧
以奖励换取数据	以游戏内货币、徽章或奖励换取个人数据或降低隐私设置	贿赂儿童放弃隐私；利用其寻求奖励的行为
不对称选择	将降低隐私保护的选项设置得比保护隐私的选项更大、更醒目或更突出	操纵选择架构，利用儿童有限的决策能力
隐藏退出选项	将拒绝数据收集的选项藏在子菜单中，或要求多次点击	利用儿童有限的导航技能和注意力持续时间
社会认同	用“95% 的用户允许接收通知！”施压，促使用户接受	利用从众偏见，这种偏见在儿童中更强
紧迫感／稀缺性	“现在启用位置共享，否则你的连续记录就会中断！”	利用冲动和损失厌恶
默认共享	预先选中共享或公开选项，要求儿童主动选择退出	利用现状偏见和惯性

必需的设计模式

模式	描述	实施方式
选项权重相同	接受和拒绝选项在大小、颜色和位置上必须同样醒目	两个按钮大小相同、视觉权重相同，不设置颜色层级
中性措辞	选项标签不得偏向其中任何一项	“开启”／“保持关闭”——而不是“是，开启个性化！”／“不，我想要无聊的体验”
隐私优先默认设置	默认状态必须是最能保护隐私的选项	对所有数据密集型功能，默认将开关设为关闭
操作步骤对等	加强隐私保护所需的点击次数必须等于或少于降低隐私保护所需的次数	如果启用某项功能只需点按 1 次，停用也必须只需点按 1 次或更少
杜绝暗黑模式	界面不得使用视觉伎俩、误导手法或令人困惑的措辞来影响儿童的选择	定期邀请目标年龄段的儿童参与用户体验审核

BrightPath Learning Inc. — 用户画像分析合规实施

用户画像分析状态矩阵

功能	用户画像分析类型	状态	理由
学习内容难度调整	教育自适应学习	已启用（默认）	教育服务交付所必需；根据评估分数调整数学和阅读难度
游戏推荐	基于内容	默认关闭	根据学科领域推荐游戏，而非依据儿童的行为画像；家长可以启用
进度报告	汇总评分	已启用（需征得同意）	为家长仪表板总结学习成果；不进行行为画像分析
广告	无	不存在	BrightPath 不向儿童投放广告
社交功能	无	不存在	没有社交评分、受欢迎度指标或同伴比较功能
通信审核	安全画像分析	已启用	自动检测预先批准的消息模板中是否含有不当内容；已完成 DPIA

算法影响评估

BrightPath 每年都会对其学习内容推荐系统进行算法影响评估：

1. 目的测试：算法是否服务于儿童的教育利益？是——将内容调整到适当的难度级别
2. 必要性测试：是否可以在不进行用户画像分析的情况下实现教育目的？否——自适应学习需要评估当前技能水平
3. 比例原则测试：用户画像分析是否仅限于必要范围？是——仅使用学习评估分数；不使用行为数据，除年龄外不使用人口统计数据
4. 伤害评估：算法是否可能造成有害影响？已评估——难度提升过快可能导致儿童受挫；通过循序渐进和正向强化设计来降低风险
5. 偏见审计：算法是否会因受保护特征而产生不同结果？已测试——每年针对年龄、性别和语言群体进行偏见审计；未发现具有统计显著性的差异
6. 人工监督：人是否可以覆盖算法？是——家长可以手动设置内容难度级别；教师（在学校部署中）可以覆盖算法设置

执法先例

• TikTok（爱尔兰数据保护委员会，2023）：3.45 亿欧元罚款，其中认定 TikTok 的“For You”算法推荐流会对儿童进行用户画像分析以投放内容，且缺乏足够的保障措施来防止有害内容被放大，违反 GDPR 第 5(1)(a)、5(1)(c) 和 25 条。
• Instagram（Meta，爱尔兰数据保护委员会，2022）：罚款 4.05 亿欧元，原因是未能限制对儿童数据进行用户画像分析及公开展示，包括为 13 至 17 岁儿童使用的企业账户默认设置为公开个人资料。
• YouTube（FTC，2019）：达成 1.7 亿美元和解，原因是在面向儿童的频道上使用持久标识符（Cookie）跟踪儿童的观看行为，并投放基于行为定向的广告。
• TikTok（法国 CNIL，2022）：罚款 500 万欧元，原因是让用户（包括儿童）难以拒绝跟踪 Cookie，构成削弱隐私保护的助推技术。
• Fortnite/Epic Games（FTC，2022）：罚款 2.75 亿美元，原因是设计选择使儿童面临有害互动，且暗黑模式促使儿童进行应用内购买。

常见合规失败

1. 默认开启用户画像分析：在未要求用户明确选择加入的情况下，根据行为画像启用推荐算法、个性化功能或内容策展
2. 向已知儿童投放行为广告：尽管《数字服务法案》（DSA）第 28 条第 2 款禁止此类做法，仍根据个人数据画像投放定向广告
3. 未进行算法影响评估：部署会影响儿童的算法，却未评估其对儿童权利、福祉和发展的影响
4. 在同意流程中使用诱导技巧：使用暗黑模式、羞辱式确认或不对称选项设计，以获取用户对画像分析功能的同意
5. 跨服务跟踪：使用持久标识符跨网站或服务跟踪儿童，以进行用户画像分析
6. 缺少内容多样性保障措施：允许推荐算法形成信息茧房或内容兔子洞，却未引入多样化内容或设置时间限制

集成要点

• 儿童数据最小化：数据最小化直接限制可用于用户画像分析的数据；收集的数据越少，用于构建画像的材料也越少
• 英国 AADC 实施：AADC 第 5、7、12 和 13 项标准共同规范用户画像分析、默认设置、诱导技巧和不利用途
• 儿童隐私声明：隐私声明必须明确说明会进行哪些用户画像分析、会产生什么影响，以及儿童或家长如何提出异议
• GDPR 家长同意：对于低于第 8 条规定年龄门槛的儿童，任何用户画像分析都必须获得家长同意
• 年龄门控服务：年龄门控结果决定适用于用户账户的用户画像分析限制