論個人信息處理者的算法說明義務

摘 要：告知同意系個人信息保護的基本要求和核心規范。告知中的“明示”要求和充分性要求均蘊含著說明義務。在應用算法的自動化決策場合，個人信息處理者也應承擔相應的“算法說明義務”。算法說明義務在理論上具有正當性，不僅共享著個人信息處理者的說明義務的正當理論，還具有若干額外的補強理由，但同時也面臨一些抵觸性的理由;這些理由相互作用，決定了算法說明義務的限度。算法說明義務的目的在于保障個人知情，該義務指向關于算法技術及其應用方面的有用信息，但無需涵蓋算法的技術細節和復雜的數學解釋。為彌補算法說明義務的不足，可輔之以算法問責制，對算法進行協同治理。

關鍵詞：個人信息處理;算法決策;告知同意;說明義務;算法說明義務

中圖分類號：DF52 文獻標志碼：A

文章編號：1001-2397（2021）04-0089-13

DOI：10.3969/j.issn.1001-2397.2021.04.08

一、問題的提出

告知同意系個人信息保護的基本要求，并作為核心規范被納入《中華人民共和國民法典》（以下簡稱《民法典》）之中。其中，“告知”又處于前置地位，是個人信息保護的首要規范要求。網絡服務商、數據企業等個人信息處理者①必須滿足“公開處理信息的規則”和“明示處理信息的目的、方式和范圍”這兩項前提條件，這是《民法典》第1035條明文施加的告知義務，《中華人民共和國個人信息保護法》（以下簡稱《個人信息保護法》）第7條也對此進行了重申。這兩項條件看似明確，實則由于法律規范的高度抽象性，存在許多有待解釋的問題。比如，立法者有意區分使用“公開”和“明示”，“公開”的內涵相對清晰，“明示”具有什么特殊內涵和規范要求卻值得探討。“明示”的規范要求中是否存在說明義務？說明的程度是否又意味著充分說明？又如，處理信息的方式屬于“明示”的內容，其中是否包括自動化決策的算法？為聚焦討論對象，本文將以應用算法的自動化決策（后文將之簡稱為“算法決策”）為視角，分析和明確個人信息處理者的算法說明義務及其限度。

隨著大數據和人工智能技術的發展，算法決策正在興起。基于個人信息處理，繪制自然人的人格畫像，進行個人性格、行為偏好、身份特質等個人特征分析，將之用于定向廣告、精準營銷、保險評估、貸款管理等不同領域，正在逐漸普遍。數字化的個人信用評分系統也在不斷發展。可以說，一個“空前規模的‘評分社會或者說等級化的‘排序社會”正在形成季衛東：《數據、隱私以及人工智能時代的憲法創新》，載《南大法學》2020年第1期，第3頁。。

在上述背景下，算法決策場合中個人信息處理者的說明義務成為一個非常值得研究的時代命題。個人信息保護問題在廣泛應用算法決策的大數據技術背景下也更為突出，學者也已提出算法解釋權的概念并對之展開了探討解正山：《算法決策規制——以算法“解釋權”為中心》，載《現代法學》2020年第1期，第179-193頁;張欣：《算法解釋權與算法治理路徑研究》，載《中外法學》2019年第6期，第1425-1445頁;張凌寒：《商業自動化決策的算法解釋權研究》，載《法律科學》2018年第3期，第65-74頁，等。。就我國現有法律而言，立法者未采納“個人信息權”一詞，相應地，個人是否享有“算法解釋權”這種“權利”也會產生爭議。然而，如下文將詳細展開，盡管我國個人信息保護規范在整體上未使用權利化表達，卻確立了相應的義務性規則，其中蘊含著“算法說明義務”。為跳出權利和權益之爭，在學術研究上也可切換視角，從義務角度展開研究，使用“算法說明義務”的概念。如果說個人是否享有“算法解釋權”存在爭議，個人信息處理者的算法說明義務在我國法下卻實實在在地存在。本文將首先從規范分析上論證算法說明義務，認為該項義務扎根于個人信息處理者的首要義務和基本義務即告知義務，孕育并脫胎于后者。其次，在規范證成之后，本文將從理論上為算法說明義務作正當性證成。最后，本文將探討和明確算法說明義務的范圍及其限度。

二、算法說明義務的規范推演路徑

（一）從個人信息處理者的告知義務到說明義務

我國個人信息保護方面的立法未采納“個人信息權”的權利化表達，但明確規定了信息處理者的相應義務。個人信息處理者的首要義務是告知義務。并且，比起可以存在“法律、行政法規另有規定的除外”的同意要求《民法典》第1035條第1款第1項。，告知義務不僅是個人信息處理者必須滿足的前提條件，還具有普適性，是通常情況下個人信息處理者必須滿足的義務。

依據《民法典》第1035條第1款第2、3項確立的基本規則，個人信息處理者必須滿足“公開處理信息的規則”和“明示處理信息的目的、方式和范圍”的前提要件。其實，這種告知義務中包含著說明義務。該條款的第2、3項分別以“公開”和“明示”開頭，也體現了立法者對告知義務的程度要求存在區別。處理信息的規則只要公開即可。即使規則中信息混雜、用語晦澀、令人費解，前述公開要求已經得到滿足。然而，對于“處理信息的目的、方式和范圍”這些重要事項，僅僅包含在規則之中予以公開尚且不夠，其告知需要達到“明示”的程度要求。

個人信息處理者的說明義務正是蘊含在法律上的“明示”要求之中。在文義上，“明示”中的“明”的一種主要含義是明白、清楚，而“示”字也含有表明之意新華辭書社：《新華字典》，商務印書館1971年版，第301、393頁。。由此，“明示”的含義應該是明白、清楚地表明某些信息內容，使別人知道。“明白、清楚地表明”蘊含著說明之意。其實，“明”字在日常使用中也有說明之意。使對方明白、清楚，應該通過解釋說明的手段來實現。因此，從文義上可以解釋得出，《民法典》第1035條中的“明示”一詞意味著該條確立了個人信息處理者的說明義務。

此外，告知的充分性要求也蘊含著說明義務。告知義務不是一種形式要求，而是一種實質要求，其中包含著充分性要求。如此方能實現告知義務的宗旨，促進用戶的知情同意。我國立法機構部分工作人員編寫的民法典釋義書藉在解讀《民法典》第1035條時，也認為“只有讓信息主體充分知悉和了解個人信息的規則、目的、方式和范圍，了解個人信息被處理的后果和可能影響，才可以保護信息主體的意思判斷是自主、真實和合理的”，并在闡述時將該條中的“明示”一詞替換為“用通俗易懂、簡潔明了的語言說明”黃薇主編：《中華人民共和國民法典人格權編解讀》，中國法制出版社2020年版，第218頁。。其中不僅提出了告知的“充分性”要求，也明確地提出了說明要求。其實，這兩點是相通的，充分告知也意味著信息處理者應當將相關內容說明清楚。

為避免“告而不知”，使知情同意淪為空話，在“告知”的規范要求中應當內含著說明的成分。說明義務的存在，有助于縮小從“告知”到“知情”之間的間距。誠然，告知義務、說明義務的判斷包含著充分性、合理性等不確定概念。何為合理的方式、合理的充分程度在實踐中難免發生分歧。對此，判斷的基準應當是通常理性人標準，在網絡空間即為普通網絡用戶標準呂炳斌：《個人信息保護的“同意”困境及其出路》，載《法商研究》2021年第2期，第95頁。。網絡服務商、數據企業在收集個人信息時，應當將其目的、方式和范圍明確地向用戶告知說明，以通常用戶能夠理解為準。

（二）從個人信息處理者的說明義務到算法說明義務

在基于個人信息處理的算法決策場合，個人信息實際上是通過算法的方式予以處理和分析的，信息處理者也應當有相應的說明義務。本文將之稱為“算法說明義務”，而不是迎合學理上的“算法解釋權”，從而使用“算法解釋義務”一詞。這主要是為了保持本文術語使用的一致性和連貫性。說明的基本含義是“解說明白”，和解釋的涵義幾乎相同。因此，本文所謂算法說明義務亦可謂算法解釋義務，與學者所謂“算法解釋權”相對應。算法說明義務的存在意在保護個人權益。個人需要獲得關于算法決策的解釋說明，意味著決策對個人將會產生或者已經產生實質性影響。對個人有實質性影響的決策一般也是基于個人信息的處理，在信用評分、刑事量刑等典型情形皆是如此。因此，算法說明義務可謂一般意義上的個人信息處理者說明義務在算法決策場合的推演。

至于算法說明義務的定義，此處只能先籠統地將之概括為關于利用個人信息進行自動化決策的算法進行說明的義務，具體內涵尚待下文探討算法說明義務的范圍和限度之后再行明確。

（三）算法說明義務在《個人信息保護法》實施后的雙重規范依據

在《民法典》中，個人信息處理者的說明義務源于其明確規定的告知義務，算法說明義務的淵源也正是告知義務。《個人信息保護法》進一步確立了算法決策相關的說明義務。《個人信息保護法》第24條第1款前半句規定“個人信息處理者利用個人信息進行自動化決策，應當保證決策的透明度和結果公平、公正”，第3款規定“通過自動化決策方式作出對個人權益有重大影響的決定，個人有權要求個人信息處理者予以說明，并有權拒絕個人信息處理者僅通過自動化決策的方式作出決定。”《個人信息保護法》第24條。此條第1款規定的透明度原則其實也蘊含著算法說明義務，第3款確立了一種應要求的說明義務、事后的說明義務。對此條款，本文有兩點評價：第一，該條是否賦予了個人以“算法解釋權”仍然可能存在爭議。該條在體系上位于“個人信息處理規則”一章，而不是位于集中規定個人權利的“個人在個人信息處理活動中的權利”一章。在如此體系安排之下，個人是否享有“算法解釋權”難免產生分歧。但毋庸置疑的是，個人信息處理者需要履行算法說明義務。正是因為權利和權益都對應著義務，并且權利和權益都要通過對方履行義務來實現，研究義務對法律的實施而言更為重要。第二，即使承認該條款規定了所謂“算法解釋權”，這也是一種非常有限的“解釋權”，一方面在時間上僅針對作出決定后的解釋說明，另一方面又有著“重大影響”的條件限制，適用范圍極為有限。而本文提出和論證的“算法說明義務”的范圍將可囊括事前說明和事后說明，且不拘泥于“重大影響”的條件限制，其范圍廣于《個人信息保護法》第24條的規定。因此，在《個人信息保護法》出臺后，更有必要提倡使用“算法說明義務”這一含義較廣的術語，如果提倡使用“算法解釋權”的術語，則可能僅僅指向前述第24條規定的有限版本。

本文認為，在我國《個人信息保護法》出臺并實施后，算法說明義務將有兩處規范依據：其一是《民法典》確立、《個人信息保護法》予以強化的個人信息處理者的告知義務;其二是《個人信息保護法》引入的自動化決策的透明度原則和特定條件下的事后說明義務。這種雙重規范依據與歐盟法律極為類似。歐盟《通用數據保護條例》（GDPR）也沒有專門規定“算法解釋權”。歐洲學者就“算法解釋權”是否存在曾展開激烈爭論See Sandra Wachter， Brent Mittelstadt， Luciano Floridi，Why a Right to Explanation of Automated Decision-Making Does Not Exist in the General Data Protection Regulation， 7（4） International Data Privacy Law 76-99 （2017）; Gianclaudio Malgieri， Giovanni Comande，Why a Right to Legibility of Automated Decision-Making Exists in the General Data Protection Regulation， 7（4） International Data Privacy Law 243-265 （2017）.。歐盟官方咨議機構發布的相關適用指南認可了“算法解釋權”，其主要是依據GDPR中有關個人知情權以及個人針對自動化決策的保障措施的規定進行解釋See Article 29 Data Protection Working Party，Guidelines on Automated individual decision-making and Profiling for the purposes of Regulation 2016/679， WP251rev.01， 6 February 2018， p.27， p.31.，也類似地存在雙重法律依據。

從適用范圍上看，從告知義務中推導得出的算法說明義務可適用于算法決策的全過程，即可包括事前的說明義務，也可包括事后的說明義務;而從個人針對自動化決策的保障措施條款中解釋得出的算法說明義務，僅為一種事后的說明義務。兩者的范圍大小有別，前者大于后者，并可包含后者。盡管后者將更為明確，但算法說明義務的法律淵源和法律依據并不限于后者，還可源于更廣泛意義上的告知義務。并且，基于《個人信息保護法》第24條規定的針對自動化決策的事后說明義務存在較高門檻要求，該條包含的算法說明義務的適用范圍非常有限。更為廣泛意義上的算法說明義務還是需要從個人信息處理者的告知義務和說明義務去推導，這可能也是歐洲專家在GDPR專門規定個人針對自動化決策的保障措施條款的前提下，仍然需要從知情權條款去推導算法解釋權的原因所在。概言之，在我國，算法說明義務不應當限于決策生成之后的解釋說明，而應當囊括事前和事后的不同階段，兩者可以分別存在不同的規范依據。

三、算法說明義務的正當性證成

（一）個人信息處理者說明義務的正當性

1.說明義務的正當性論證框架：動態體系論的視角

無論是一般意義上的個人信息處理者說明義務，還是特定意義上的算法說明義務，都不是一項可以具備明確構成要件的義務。此時，在理論上可以求援于動態體系論，通過對若干關鍵要素的動態權衡、綜合考量來論證和確立這種說明義務。動態體系論有別于秉持“全有全無”原則的構成要件論，也不是賦予裁判者無限的自由裁量權，而是一種由不同要素組成的模型王利明：《民法典人格權編中動態系統論的采納與運用》，載《法學家》2020年第4期，第2、7頁。。各該要素具有不同的強度，互相協作，從而提供一種法律上的判斷和論證方法。動態體系論實際上是一種處于嚴格的構成要件論和寬泛的自由裁量論之間的中間道路，可避免過于嚴格和過于自由，尋得一種折中又不失理性的選擇。當然，相比直接適用的構成要件而言，動態體系的運用需要更多的說理論證。在方法論上，動態體系論的應用過程，也正是一種理性的說理論證過程。

德國學者構建的用于論證說明義務的動態體系的要素包括信息需求、信息可能性和職責范圍三個要素，我國有學者將之修正為信息重要性、披露可能性、期待合理性和信賴緊密度四個要素尚連杰：《締約過程中說明義務的動態體系論》，載《法學研究》2016年第3期，第103頁。。從本質上看，三要素說和四要素說具有一致性。因為，所謂信息需求，實為站在信息需求方立場，依信息重要程度判斷該信息需求應否得到法律上的承認，將此要素修正為“信息重要性”可謂更為直觀。信息可能性和披露可能性主要是表述上的差異。所謂職責范圍，也與潛在信息接收方的信賴相關。依四要素說，“義務人的‘職責是確立合理信賴的進一步的出發點和標準”尚連杰：《締約過程中說明義務的動態體系論》，載《法學研究》2016年第3期，第108頁。。我國學者將“職責范圍”要素分解為期待合理性和信賴緊密度主要是針對締約過程中的說明義務，于此而言，締約過程中存在一方的合理期待和雙方的信賴關系，期待合理性和信賴緊密度兩個要素可謂“職責范圍”要素在締約領域的進一步細化。在論證個人信息處理者的說明義務以及進一步的算法說明義務時，此項義務的產生未必基于契約，雙方未必存在信賴，因此，信賴緊密度該項要素不大適合。從而，筆者仍以德國學者提出的三要素說為論證基準。同時，為便于理解，合理汲取我國學者對前兩個要素的修正表述，將需要討論的要素表述為信息需求（信息重要性）、信息可能性（披露可能性）和職責范圍。

2.個人信息處理者說明義務的正當性證成

在個人信息處理場合，被處理的個人信息可能影響人格尊嚴和自由發展，對個人而言具有重要性，在算法決策場合更是如此。自然人需要知道個人信息被處理的方式、目的和范圍，存在信息需求。個人信息處理者也存在披露可能性，且基于法律上的職責要求有義務去維護自然人的人格利益。初步來看，上述三個要素皆應滿足。其實，動態體系論有別于構成要件論，各要素并非皆需滿足，而是一種互相協作的關系，“如其中之一的強度特別高，其亦得代替其他要素。”[德]卡爾·拉倫茨：《法學方法論》，陳愛娥譯，商務印書館 2003年版，第351頁。即使是依據前述四要素說，信息重要性、披露可能性、期待合理性這三個要素在個人信息處理場合均較為強烈。唯信賴緊密度這個要素較弱，但不影響說明義務的存在。因此，依據動態體系論下說明義務的論證框架，無論是三要素說，還是四要素說，個人信息處理者的說明義務都可以得到證成。

當然，上述動態體系論下的要素不僅可以證成說明義務，也相應地限定了說明義務的范圍，尤其是前兩個要素。其一，說明的信息內容應當具有重要性，若是不重要的信息，個人信息處理者只需要滿足一般的告知義務，無需進一步地滿足說明要求。其二，可予說明的信息內容還應當具有披露可能性，在算法場合，尤為如此。隨著人工智能和機器學習的發展，算法的專業性和復雜性在不斷增加，有些具體的技術細節可能不具有披露可能性。這對于后文構建算法說明義務的限度和范圍具有重要意義。

進一步而言，動態體系論的要素并非憑空運作，而是構建在基本價值的基礎之上，不同要素之間權重的確定也取決于規則蘊含的基本價值[奧] 海爾穆特·庫齊奧：《動態系統論導論》，張玉東譯，載《甘肅政法學院學報》2013年第4期，第43頁。。個人信息保護的基本價值取向于尊重人格尊嚴及自由發展。這具有比較法和法哲學上的足夠底蘊。在康德的哲學思想中，人具有獨立價值，應作為目的，而不能成為其他人實現其利益的手段。這種倫理學上的人格主義是德國《民法典》的精神基礎[德]卡爾·拉倫茨：《德國民法通論（上冊）》，王曉曄等譯，法律出版社2013年版，第34頁。。我國《民法典》更為強調人格權的保護，專設人格權編，更是體現了倫理學上的人格主義思想。說明義務是告知義務的升級版和強化版，這一升級強化的價值基礎正是為了更好地維護人格尊嚴及自由發展。說明義務的存在有利于維護自然人的決定自由劉勇：《締約信息提供義務論》，江蘇人民出版社2019年版，第18-21頁。，可更好地保護個人信息。除此之外，告知義務還旨在解決信息提供者和處理者之間的信息不對稱問題。為了實現這兩個目的，告知義務絕不能流于形式，有賴于告知者對重點事項的解釋說明，否則個人信息保護的價值取向和規范意旨就會落空。

說明義務不僅在規范和價值層面可以得到證成，也反映著實踐需求。在大數據時代，有別于數據財產權益的保護，個人信息的保護并不存在自發和內在的技術驅動機制陳璞：《論網絡法權構建中的主體性原則》，載《中國法學》2018年第3期，第87頁。。反而，技術發展具有內在的動力去過度使用個人信息。個人信息處理者的說明義務是針對個人信息保護的技術驅動機制缺乏的一種彌補措施。說明義務的存在，有助于避免個人信息的盲目和過度使用。在這方面，法律干預、義務設定是對技術發展中可能出現的失衡狀態的一種糾正措施。

（二）算法說明義務的補強理由

算法說明義務的理論證成，除了共享前述個人信息處理者說明義務的正當理論之外，還具有額外的補強理由，具體如下：

第一，算法決策具有權力內涵，算法說明義務旨在保障算法的可責性和透明度，是落實權力問責機制的需要。在大數據時代，算法是數據技術中的“基礎語言”，有著舉足輕重的作用。算法決策也有效率上的優勢，可提高人類社會的運轉效率，促進社會福利。算法決策也可排除人為的情感干擾，更為理性，更具邏輯性。基于這些優勢，算法決策有著廣泛的應用空間，將日益普遍。在實際應用中，算法決策不僅僅是一種技術工具，它還產生了權力內涵，可對個人產生實質性的影響。即使運用算法的是私主體，騰訊、阿里、百度等網絡平臺已經日益嵌入人們生活，其商業屬性和公共屬性已經難解難分丁曉東：《論算法的法律規制》，載《中國社會科學》2020年第12期，第151頁。。這些平臺已成為公共生活空間，其算法將對不特定多數人的生活產生影響。依萊斯格的網絡法理論，互聯網和網絡空間在本質上受到代碼的規制，人們在代碼的規制下生活[美]勞倫斯·萊斯格： 《代碼 2. 0： 網絡空間中的法律》（修訂版），李旭、沈偉偉譯，清華大學出版社2018年版，第91-92頁。。在大數據時代，算法具有了同樣的規制內涵，產生了規制人們生活之力。有學者更是直接認為，算法權力是“一種準國家權力的權力”陳景輝：《算法的法律性質：言論、商業秘密還是正當程序？》，載《比較法研究》2020年第2期，第129頁。。從而，對算法的規制也應按照規制公權力的思路展開。在當代社會，權力的行使普遍奉行透明和信息公開原則。由此角度，算法說明義務的存在，并不僅僅是對技術性事項的解釋說明，也是對權力行使的邏輯及理由的必要說明。如無算法說明義務，算法決策中就會布滿黑箱，決策權力將不受限制。此外，算法說明義務不僅體現著維護權力問責機制的實質正義，也體現著維護當事人問責和救濟權利的程序正義。在算法得以解釋和說明的基礎上，當事人才能提出反駁或要求重新審查。算法的解釋說明是這些相應程序的基礎，可從實質和程序兩方面保障和落實權力問責機制。

第二，算法說明義務的存在是解決算法信任危機的需要。傳統上，決策的方式包括個人決策、集體決策等。集體決策是一種緩解個人決策壓力的制度，也是一種逃避決策者個人責任的制度。與以犧牲效率為代價的集體決策相比，算法決策不僅可以提高效率，還可以轉嫁決策風險、規避錯誤決策責任。通過集體決策在當代社會的盛行可以預見，算法決策在未來科技社會也將得到普遍實施。然而，算法決策和其他類型的決策一樣，都會面臨信任危機。集體決策的基本邏輯是精英決策，一般是由某團體內部的精英分子和權威人士組成小型決策機構。受決策影響者對決策結果的信服建立在對決策者的信賴基礎之上。而算法決策由機器執行，人類對之的信任危機將更為突出。在訴諸權威之外，解決信任危機的主要方法是解釋說明。由此，對算法的解釋說明也是算法信任危機的解決方案中不可或缺的重要組成部分。

第三，算法說明義務還具有制度激勵功能，可促進更為透明、更為可靠的算法的研發和誕生。若無此義務，算法就會朝著黑暗的方向前行，“算法黑箱”不僅可能會因此合法化，而且還會得到持續的制度支撐和發展動力。恰當的法律規范和義務配置有助于促進技術的良性發展。若要使“科技向善”，不僅需要科技產業界將之作為一種理念和口號，也需要作為行為規范的法律規則尤其是義務規則的指引。

總之，算法說明義務具有十足的正當性理由，足以證成。然而，在另一方面，它也面臨著一些障礙。算法說明義務正是在正反兩方面的理由碰撞之中生存，這些理由的相互碰撞也決定了該項義務的范圍和限度。

四、算法說明義務的范圍和限度

（一）算法說明義務面臨的障礙

1.算法說明的技術障礙和成本問題

算法說明義務存在的直接目的是使受算法決策影響者理解算法。然而，受眾理解算法，存在不少障礙，這一方面受制于算法本身的專業性和復雜性，另一方面也受制于受眾在技術方面的理解能力。AlphaGo戰勝柯潔即是人工智能算法無法解釋的典型例證。如果程序員可以理解AlphaGo的算法，程序員也將成為杰出的棋手，甚至可以預測和破解其算法，從而戰勝它。計算機算法往往由復雜的代碼構成，絕非“1+1=2”那么簡單。誠如學者所言，在外行眼里，“代碼即亂碼，算法像魔法。”沈偉偉：《算法透明原則的迷思——算法規制理論的批判》，載《環球法律評論》2019年第6期，第29頁。應用于商業決策和社會決策的算法更是如此，其往往是大型的算法設計，其中包含的參數和變量極多，且可能經歷了數任程序員的修改與更新，其中還可能存在一些不能輕易修改、程序員自己都未必理解的“祖傳代碼”，算法的解釋說明在技術上的確存在種種障礙蘇宇：《算法規制的譜系》，載《中國法學》2020年第3期，第168頁。。在機器深度學習的背景下，人工智能的神經網絡層數和決策參數在不斷增加和變化，算法也在不斷的更新發展之中，算法的動態化、智能化更是加劇了算法解釋說明的難度。可以說，對于人工智能算法而言，任何解釋說明都難以達到充分性的要求。

由上可知，在算法說明義務的程度和范圍的構造中，需要充分考慮算法設計者或應用者的解釋成本問題，并將之與公眾的潛在收益進行大致的衡量。從技術上而言，算法的解釋說明的確存在“易讀性”、可解釋性或可說明性的問題。基于技術障礙和說明成本的考量，一個初步的結論是算法設計者或應用者只需要解釋說明到邏輯思路層面，而不是解釋說明具體的運算方法，更不必提供復雜的數學解釋。

2.商業秘密的限制問題

作為一種技術方案，知識產權保護對算法的研發具有重要的激勵作用。然而，算法在現行知識產權法律框架下很難獲得專利權、著作權的保護，從而需要尋求商業秘密保護。第一，在專利權保護方面，智力活動的規則和方法不屬于專利保護的的客體，這是公認原理。我國《專利法》第25條也是如此規定，而算法正是一種智力活動的規則和方法，其本身并不能獲得專利。但是，包含算法的技術方案是一種技術領域的發明，應當可以獲得專利。在大數據和人工智能發展背景下，國家知識產權局于2019年12月31日專門修改了《專利審查指南》，明確了抽象的算法本身不能獲得專利，但包含算法的技術方案在滿足新穎性、創造性、實用性等可專利性條件下可以獲得專利《國家知識產權局關于修改〈專利審查指南〉的決定》，國家知識產權局公告第343號，2019年12月31日。。據此，算法可以通過納入整體技術方案的形式間接地獲利專利保護，但將算法作為整體技術方案的一部分的保護方式有一定的局限性，他人的侵權也限于對整體技術方案或等同方案的侵權。他人對其中算法的使用完全可以提出抗辯，認為其使用的是不受法律保護的部分。此外，從商業競爭的角度而言，公開算法、申請專利也非良策。因此，即使是通過專利制度來間接保護算法也具有很大的缺陷。第二，在著作權（版權）保護方面，算法可以分解為一系列的數字化的代碼和命令，猶如其他語法字符串，這些代碼和命令可以獲得版權保護。但著作權法僅僅保護算法的表達層面，即代碼和命令的符號組合，而不是算法本身。綜上，專利保護和版權保護在算法保護上都存在不足，并非算法保護的首選之策。從而，商業秘密成了算法及其源代碼的默認保護方式See Sonia K. Katyal，Private Accountability in the Age of Artificial Intelligence， 66 UCLA Law Review 54， 125 （2019）.。美國一起典型判例即認為用于裁判量刑的算法屬于商業秘密，無需披露State v. Loomis， 881 N.W.2d 749 （Wis. 2016）.。在我國，已有案例涉及算法系統的商業秘密保護和算法披露之間的沖突問題。在某案中，阿里媽媽公司基于算法系統，認定原告在推廣中涉嫌違規，給予處罰，但以算法保密為由拒絕披露具體的處罰依據。法院從格式合同的規制著眼，認為單方免責的規定顯失公平參見“陳魚與杭州阿里媽媽軟件服務有限公司網絡服務合同案”，杭州鐵路運輸法院（2017）浙8601民初3306號民事判決書。。其實，從算法的商業秘密保護角度看，阿里媽媽公司拒絕披露具體的處罰依據，也有一定的道理。畢竟，其中算法可能的確享有商業秘密保護。除了技術層面的算法之外，算法運用的數據也可能構成商業秘密。基于商業秘密的特性，算法及其數據的商業秘密保護將對算法披露和說明構成實質性的限制。

以商業秘密保護之由，拒絕算法的披露和說明，無疑會產生一定的負面效應。商業秘密保護缺乏明確的邊界，也不像權利化的著作權、專利權那樣存在法定的限制和例外，從而缺乏明確的權利保護的平衡機制，需要在個案中進行利益衡量，這就導致了算法商業秘密保護的復雜性。更為重要的是，商業秘密缺乏也不可能具有公示制度，故而號稱受到商業秘密保護的算法到底能否構成商業秘密，旁人無從得知。正如學者指出，如果不先公開和檢查源代碼，他人就不可能知道一種算法是否可以作為商業秘密See Charles Short，Guilt by Machine： The Problem of Source Code Discovery in Florida DUI Prosecutions，61 Florida Law Review 177， 190 （2009）.。因此，即使決策程序使用的軟件代碼和算法來自公有領域，算法所有人或使用人仍可能聲稱其屬于商業秘密，以此名義，不予披露，拒絕解釋。算法的商業秘密保護實際上是認可“算法黑箱”，并在一定程度上將之合理化，與權力行使的透明原則相悖。

如何解決算法的解釋說明和商業秘密保護之間的沖突，是一個較為棘手的問題。第一種思路是個人信息保護優先于商業秘密保護。歐洲有學者認為，與保護商業秘密相比，GDPR更傾向于強化對個人數據權利的保護，因此，建立在個人數據權利基礎上的算法解釋權相較于商業秘密具有優先地位See Gianclaudio Malgieri， Giovanni Comande，Why a Right to Legibility of Automated Decision-Making Exists in the General Data Protection Regulation， 7（4） International Data Privacy Law 243， 262-264 （2017）.。在中國法的語境之下，個人信息和商業秘密屬于等階的權益，盡管不少學者主張對這兩項客體予以權利化的保護，但立法上并沒有明確地采取權利化的表述。因此，權利化的個人數據利益高于非權利化的商業秘密利益，這在歐盟法的語境下可能成立，但在中國法的語境下并不當然成立。另一種思路仍然是尋求比商業秘密位階更高的利益。在這方面，公共利益的概念無疑可以出場。我國有學者即認為，公共利益的存在可以在特定情形下否定算法的商業秘密保護陳景輝：《算法的法律性質：言論、商業秘密還是正當程序？》，載《比較法研究》2020年第2期，第127頁。。的確，公共利益可以構成對民事權益的限制，但其適用空間也極為有限。只有當算法披露涉及公共利益時，才能動用這個理由。顯然，并不是所有的算法決策都涉及公共利益;反而，大多數基于個人信息處理的算法決策可能只涉及個人利益，而不是公共利益。

綜上所述，我們很難找出一個普適性的理由，來使算法說明義務凌駕于算法的商業秘密保護之上，后者的確將構成對前者的限制。據此，可以說明的主要是系統功能以及算法的一般邏輯和主要參數，而不包括詳細的參數和權重，后者往往落入商業秘密的保護范疇。需強調的是，商業秘密保護對算法解釋說明可以起到限制作用，但不是絕對的拒絕。在兩項沖突的利益面前，探討某項旨在保護其中一種利益的措施之程度是否合理時，可借鑒比例原則的思想。比例原則的本質在于“禁止過度”，在民事領域也有著廣泛的應用空間鄭曉劍：《比例原則在民法上的適用及展開》，載《中國法學》2016年第2期，第143-165頁。。基于比例原則的思想，為了保護個人權益，要求算法的解釋說明，可符合適當性的要求;只要將對算法商業秘密保護的影響控制在最小范圍之內，也可符合必要性的要求。但狹義比例原則也要求以最緩和的手段來實現算法說明的目的。由此，算法說明義務需要以最為緩和的方法進行，減少和避免對商業秘密的侵害。

3.決策系統的人為干擾和濫用問題

面對技術日漸深入人類生活各個領域，有人會對技術進行博弈，這是可以預見的。這種博弈可能導致對算法決策系統的干擾和濫用。在現實中，針對主流的信用評分系統，黑市中的“刷分”產業鏈已然形成謝宛霏、徐楚霖：《芝麻信用刷分背后暗藏套現產業鏈》，載《中國青年報》2017年8月4日第06版。。

在防止算法的博弈和作弊方面，算法保密具有獨特的內在價值。匿名和保密可促進公平，這似乎是不證自明的公理。學術期刊普遍推行的同行專家匿名評審即是一個典型的例證。同理，將算法保密，可避免算法博弈、數據作弊等人為干擾，有利于所有人都在公平的狀態下獲得分析和評價。這對正在形成的算法社會的秩序構建具有不可忽視的社會價值。正因為如此，某些決策的過程和依據必須保持晦澀不明，以免他人博弈See Joshua A. Kroll， Joanna Huey， Solon Barocas et al.，Accountable Algorithms， 165 University of Pennsylvania Law Review 633， 639 （2017）.。若信用評分系統的算法完全公開和透明，刷分和博弈現象將更加猖獗。

4.產業競爭和技術發展需要算法保持復雜和晦澀

就產業競爭而言，算法越是復雜和晦澀，就越是難以被反向工程所破解，其競爭優勢也會越明顯。從競爭的角度看，算法開發者具有內在動力去保持算法的復雜性和晦澀性，這會致使算法難以得到充分的解釋。

就技術發展而言，算法只有超越人類智慧，才能給人類帶來更多益處。如果要求算法決策的方法必須為人類所理解，這不僅可能與事實不符，也可能會阻礙算法技術的創新發展。由此角度而言，算法是不能被人類所充分說明的。若法律對算法開發者或使用者施加充分公開和完全透明的說明義務，可能會阻礙科技的創新發展，不利于社會的進步。

總之，從算法披露和說明的可能性和成本問題、保護商業秘密的需要、防止決策系統受到人為干擾和濫用的需要以及產業競爭與技術發展的需要等不同角度，都可以發現算法說明義務面臨著各種阻力。這種抵制性理由與算法說明義務的正當性理由相互作用，只能導向有限的算法說明義務。

（二）算法說明義務的說明范圍及其限度

算法說明義務的說明范圍及其限度其實是一個問題，可歸結為：信息處理者需要就哪些事項進行說明？回答這一問題時，自然也會明確信息處理者不需要就哪些事項進行說明。

在比較法上，算法說明義務的范圍和限度也是個棘手的問題，在個人數據保護領域較為領先的歐盟也缺乏明確的答案。歐洲學者近年來展開的“算法解釋權”之爭，其中不僅涉及該項權利是否存在，也涉及該項權利的范圍和限度問題。如前提及，歐盟官方咨議機構發布的相關適用指南認可了“算法解釋權”，但對于自然人如何行使這些權利，該指南卻語焉不詳。在比較法經驗不足的情況下，我們還是需要根據算法說明義務的基本原理去明確和限定其范圍。

首先需要分析和明確的問題是，算法說明的對象是限于一般意義上的系統功能，還是可以包括對特定決定的算法決策過程所作的解釋說明？與之相關，可進一步澄清和明確算法說明義務是事前的說明義務抑或是事后的說明義務。事前解釋側重于解釋系統功能，而無法就一個特定決定的理由依據進行說明。事后解釋的內容則可囊括系統功能和特定決定的理由依據See Sandra Wachter， Brent Mittelstadt， Luciano Floridi，Why a Right to Explanation of Automated Decision-Making Does Not Exist in the General Data Protection Regulation， 7（4） International Data Privacy Law 76， 78 （2017）.。比如，就采用算法決策的信用評分系統而言，個人信息處理者在事前能解釋和說明的是系統的一般邏輯、使用的數據類型、算法決策的目的以及預期用途;事后解釋則可進一步說明一個特定的評分是如何形成的，這就需要結合信息主體的個體情況對其數據和權重進行說明。可見，事后解釋是一種更傾向于個體主義的解釋，也將會透露出更多的有助于理解算法決策的信息，具有一定優勢，應予肯定。從個人信息保護立場出發，透明度原則應當貫穿于個人信息的使用、分析等不同階段，以使個人獲得算法決策的準確性、有效性和不歧視的保障Tal Z. Zarsky，Transparent Predictions，2013 University of Illinois Law Review 1503，1548 （2013）.。

我國《個人信息保護法》第24條關于個人針對自動化決策的保障措施條款中規定的算法說明義務針對的是已經作出決定的自動化決策，是一種事后說明。盡管事后說明對于保護個人信息權益而言非常重要，但同樣不能忽視事前說明的重要性。我國法律對“個人信息的處理”進行了極為廣義的界定，不限于狹義上的加工處理，還包括收集、提供、公開等，并且法律沒有進行窮盡列舉。相應地，個人信息處理的告知義務和說明義務也可貫穿于個人信息“處理”的全過程。因此，我國法下的個人信息處理者的說明義務不限于事后說明，也包括加工處理、使用中的說明，還可以是事前對系統功能等事項的說明。相應地，算法說明義務既包括事后說明，也包括事前說明，既涉及面向特定對象、就特定決策進行的解釋說明，也涉及就一般意義上的系統功能等事項的說明。只有這種覆蓋個人信息處理全階段的說明義務，才能充分保障個人在算法決策中的權益。

其次，從技術角度而言，算法的解釋說明到底應該解釋到什么程度？復雜的數學解釋往往超出了普通人的理解能力，既不必要，也不可行。歐盟的態度也是如此，信息處理者只需提供關于算法邏輯的有用信息。至于何為有用信息，這一判斷具有事實依賴性，法律上難以形成明確的標準。歐盟指南在附件中也只是提供了一份“良好做法建議”，建議個人信息處理者以明白易懂的方式向自然人提供諸如以下信息：在生成用戶畫像和分析決策過程中已經或將要使用的數據類別;這些數據類型具有相關性的原因;自動化決策中使用的用戶畫像是如何生成的，包括自動化決策中使用的統計信息;為何此畫像與自動化決策相關以及如何將其用于針對某個自然人的決策Article 29 Data Protection Working Party，Guidelines on Automated individual decision-making and Profiling for the purposes of Regulation 2016/679， WP251rev.01， 6 February 2018， p.31.。筆者認為，在算法解釋說明的技術層面，重點不應該放在算法的具體技術細節，而應該是整體方案、技術本質、基本邏輯、主要參數、大致權重和潛在風險等關鍵信息。但是，只是籠統地披露整體方案和技術本質尚無濟于事，不能滿足算法說明義務的程度要求。比如，我國最為著名的信用評分系統——芝麻信用——公開披露的算法是“運用云計算及機器學習等技術，通過邏輯回歸、決策樹、隨機森林等模型算法，對各維度數據進行綜合處理和評估”參見芝麻信用網站關于“芝麻分”的介紹，https：//www.zmxy.com.cn/#/detail/1-2，2021年7月20日訪問。，這就顯得不足。什么是邏輯回歸、決策樹和隨機森林？這些術語根本不便普通人理解和知情，“綜合處理和評估”更是模糊且籠統的表述。個人信息處理者的披露說明應不限于此，算法技術的基本邏輯和主要參數應可披露，技術的潛在風險也可加以說明，這并不會對信息處理者帶來過多的成本，也不會影響其對算法的商業秘密保護。畢竟，商業秘密保護的是秘密點，這些模型算法的基本邏輯和主要參數很難落入商業秘密保護范疇。只是披露基本邏輯和主要參數，而不披露具體的參數和權重，也很難被用戶用于博弈，造成濫用，也不會影響產業競爭和技術發展。其實，個人通過廣泛檢索，還是可以弄清邏輯回歸、決策樹和隨機森林等模型算法的基本邏輯的，但會面臨較高的查找和學習成本。既然信息處理者可以以較低成本披露這些算法的基本邏輯，就應當基于告知義務的基本宗旨，予以披露，以便促進個人知情。此外，技術層面的算法披露的一個障礙是一般的自然人未必能夠理解，這就要求在風險和敏感度較高的決策領域，使用人類可以解釋和理解的技術方案和決策方法，從而規避不可控制的風險。

最后是算法說明的范圍限于算法本身，還是包括算法的應用？其實，技術本身是無害的，對個人權益造成侵害的往往是算法應用，而不是算法本身。因此，算法說明的重點之一應當是算法的具體應用方式。比如，算法決策的結果是用于信用評分、工作評估、定向廣告還是其他用途？在應用過程中，是否存在人工干預？如果存在，人工干預的程度如何？決策結果是否可以受到重新審查？其條件和程序如何？當然，從算法應用著手進行解釋，仍然難以回避對算法技術方案的解釋，兩者應當相輔相成。同樣以國內最為著名的芝麻信用評分為例，其在算法應用方面僅僅說明了“較高的芝麻分可以幫助用戶獲得更高效、更優質的服務”參見芝麻信用網站關于“芝麻分”的介紹，https：//www.zmxy.com.cn/#/detail/1-2，2021年7月20日訪問。，這也顯得不夠。這些評分到底作何用途，會對個人產生什么影響，應當予以較為清晰的說明。

（三）算法說明義務“有限版”的有益補充

個人信息保護原則上奉行私法自治。當私法自治存在不足時，則需動用公私法協同規制的方案。在算法決策場合，這也是由算法本身的特征決定的。算法風險高度分散、形態多樣，充滿著很多不確定性，需要構建從不同的風險鏈條節點介入、由不同主體參與的規制譜系蘇宇：《算法規制的譜系》，載《中國法學》2020年第3期，第177-184頁。。

算法說明可以打開“算法黑箱”，最大程度地促使關于算法的基本邏輯、主要參數、大致權重、具體用途及潛在風險等關鍵信息和有用信息的披露，以最大程度地保障個人知情。為此目的，這些信息應當以通常理性人可以理解的方式進行說明。另一方面，具體的技術細節和復雜的數學解釋往往超出了普通大眾的理解能力，通常也超出了保障個人知情同意的需要。有關具體參數和權重的技術細節還可能構成商業秘密保護的秘密點，因此，一些“算法黑箱”可能無法被徹底打破。前文也已論及，要求算法的徹底公開和完全披露也不盡合理。故而，出于商業秘密保護等限制因素，算法說明義務難免存在不足。如果算法決策可能存在的歧視和偏見恰好是由算法中的秘密點造成的，出于保護商業秘密的考慮而放棄對算法的監督，并不合理。此時，以第三方審計和監督的方式進行的算法問責制成為一個替補的合理選擇，這既可以避免算法中的秘密點的公開，也可以促使算法受到專業人士的監督和控制，化解算法中的秘密點的潛在風險和危機。當然，算法問責制也存在外部監督成本較高、有效性也未必得到保障等問題。也正是因為如此，本文提倡的首要算法治理措施是算法說明義務。一般而言，算法的基本邏輯、主要參數、大致權重、具體用途及潛在風險等關鍵信息的披露可以確保個人的知情同意，也可以基本保障算法的透明度原則。當算法說明義務無法充分實現算法治理的目標、無法確定受決策的個人是否得到公平合理的對待時，才需要第三方審計和監督的介入。

在比較法上，歐盟傾向于以個人數據權利為基礎開展算法治理，美國則傾向于通過算法審計和問責機制促進算法治理張欣：《算法解釋權與算法治理路徑研究》，載《中外法學》2019年第6期，第1425頁。。兩種模式各具優劣。中國可以汲取不同模式的優勢，打造出算法治理的升級版和優化版。在方法論上，算法解釋權或算法說明義務主要采取個體主義方法論，而算法問責制主要采取整體主義方法論。在算法說明義務之外，輔之以算法問責制，實際上是選擇個體主義和整體主義兼具的算法治理之道。包括算法治理在內的社會治理均要從整體和個體兩方面入手，方能不偏不倚，實現綜合治理、協同治理。

五、結論

在應用算法的個人信息自動化決策場合，個人信息處理者（同時也是算法決策者）需要承擔相應的說明義務，本文將之稱為算法說明義務。這在規范上和理論上均可得到解釋和證成，但同時也面臨著障礙。因此，算法說明義務有一定限度。算法說明義務的目的在于提供算法的有用信息，主要包括技術和應用兩大方面。在技術上，可以說明的是系統功能、技術本質、整體方案、基本邏輯、主要參數及大致權重、使用的數據類別和范圍、數據的相關性、自動化決策的用戶畫像如何生成等有用信息。可不予說明的是算法的技術細節、具體運算方式、詳細的參數和權重;動態化、智能化的人工智能神經網絡層數和決策參數更是無需說明，在事實上也無法說明。在算法應用上，應當說明的是算法的用途和目的、算法決策可能存在的不足和風險、是否存在人工干預、對決策結果進行重新審查的條件和程序等信息。算法說明義務既包括事前說明，也包括面向特定對象、就特定決策進行的事后說明。該義務主要圍繞算法這種個人信息的處理方式而展開，同時涉及個人信息處理的目的和范圍，與一般意義上的信息處理者的說明義務在本質上具有一致性，可謂一脈相承。

本文從義務角度研究個人信息保護規范不僅具有學術上的轉向作用，也具有重要的實踐意義。我國學界對個人信息是權利還是權益存在理論爭議。其實，無論是權利，還是權益，都存在對應的義務，違反義務才會產生法律責任。明確義務的內涵和范圍，對法律的實施至關重要。因此，在理論上繼續探討個人信息權利（權益）的性質和地位之余，加強個人信息的保護義務研究，可深化對個人信息保護規范的理解，促進法律規則的實施。

本文責任編輯：林士平