數字社會中算法消費者的個人信息保護體系構建*

劉穎

《個人信息保護法》被譽為我國個人信息保護的“基本法”，構建了數字經濟社會中以“自然人”為核心的個人信息保護基本框架。個人信息保護法不區分具象人格和適用場景上的差別，而是適用于所有“個人”以及所有場合中的“個人信息”保護，所有場合包括線下實體和互聯網，也包括有算法主導的互聯網、無算法主導的互聯網場景。數字平臺作為數字經濟中最重要的商業主體，其通過大數據、物聯網（LoT）、智能算法技術的深度融合，逐漸走向了“萬物互聯”的數字化世界，并塑造了全新的平臺經濟商業模式。在此經濟模式中，消費者的個人信息被數字平臺不斷收集，并被算法深度分析，消費者利益被肆意地攫取，導致在數字社會中消費者與數字平臺利益嚴重失衡。在數字經濟中如何保護消費者既享受算法便利，又不被算法算計就顯得極其重要。本文從算法消費者的角度，探索構建算法消費者的個人信息保護體系。

一、數字經濟背景下的算法消費者

（一）數字經濟背景下被算法算計的消費者

如今，算法定義了我們的生活，臉書（Facebook）、推特、知乎、今日頭條、抖音等數字平臺通過機器學習等智能算法來決定向你推薦哪些內容。數字平臺經營者（以下簡稱平臺經營者）通過智能終端、API（應用程序接口）、SDK（軟件工具開發包）、IoT設備、瀏覽器、傳感器等自動收集用戶的個人信息，并運用智能算法對消費者進行用戶“畫像”，以此進行后續的商業行為。數字經濟時代中的平臺經營者與傳統互聯網消費平臺有著顯著不同，他們依托平臺的生態實現自組織、自運營的數字化發展，甚至在平臺生態內形成“算法權力”，同時他們在算法驅動下精準預測或塑造消費者偏好。隨著線上線下界限的不斷模糊，依托智能算法、大數據、物聯網等科學技術的發展，算法已經成為各個領域的技術基礎架構，使得原有的社會關系與權力結構不斷固化與發展。①劉穎、王佳偉：《算法規制的私法進路》，《上海大學學報（社會科學版）》2021年第6期，第12頁。可見，在數字經濟社會中，智能算法是一把雙刃劍，即智能算法為消費者提供更多便利的同時，亦有可能無時無刻地算計消費者。

（二）傳統經濟向數字經濟轉型下的消費者保護

回顧消費者保護的進程可知，近代西方消費者法由消費者運動推動產生，“二戰”之后資本主義國家消費者運動勃興，各國消費者組織應運而生。以美國消費者運動為例，共經歷了反假貨運動、非營利消費者組織的興起和法律激進主義時代。②參見姚佳：《消費者法理念與技術重構》，北京：法律出版社，2019年，第45、47頁。21世紀以來，互聯網與信息科學技術深度融合與發展，當前社會已經從工業經濟邁向數字經濟時代。但是，我國《消費者權益保護法》的困境在于，仍未脫離現實世界的傳統框架，不能滿足互聯網服務消費者權益保護的需求。③孫南翔：《論作為消費者的數據主體及其數據保護機制》，《政治與法律》2018年第7期，第33頁。例如，目前消費者法中的消費者知情權、自主選擇權等消費者權利源于20世紀消費者運動，依舊為傳統保護框架下的保護模式；傳統保護模式缺乏應對平臺經營者利用算法、個人信息和數據等新興技術手段侵害消費者的保護措施。盡管《電子商務法》第18條規定了定制搜索結果條款，④葛江虬：《解釋論視角下＜電子商務法＞定制搜索結果條款的規范目的及限制適用》，《法律科學》2021年第3期，第9頁。但該條規范過于簡單，或許更多是行政監管規范，以至于其在私法上的適用和保護效果仍有待觀察。

（三）算法消費者作為消費者的一種新類型：算法消費者的內涵界定

算法消費者是消費者的新類型。《消費者權益保護法》第2條規定“消費者為生活消費需要購買、使用商品或者接受服務”。算法消費者，也是為生活消費需要購買、使用商品或者接受服務。

算法消費者是通過互聯網等網絡平臺購買、使用商品或者接受服務的消費者，基于平臺經營者利用智能算法介入消費或服務行為，線上消費者隨之蛻變為算法消費者。故而算法消費者是在數字經濟背景下平臺經濟中應運而生的一種消費者類型，是算法與互聯網嵌入融合的產物。算法消費者的本質是“互聯網+算法”，是通過在智能算法接入互聯網等信息網絡中為生活消費購買商品或接受服務的消費者。

二、算法消費者個人信息保護的基本框架與反思

（一）算法消費者個人信息保護體系

自2012年12月28日第十一屆全國人大常委會第三十次會議通過《全國人民代表大會常務委員會關于加強網絡信息保護的決定》開始，我國確立了以“合法、正當、必要原則”+“同意”為核心的個人信息保護制度。在此后《電信和互聯網用戶個人信息保護規定》（2013年）第5條和第9條、《網絡安全法》（2016年）第22條、《民法典》（2020年）第1035條、《個人信息保護法》（2021年）第5條和第13條均堅持“合法、正當、必要原則”+“同意”的兩項核心內容。可見，上述兩項核心內容已經作為我國個人信息保護體系的基本框架。

回歸算法消費者視角，其個人信息保護體系并不與上述體系完全重合。一方面，算法消費者作為消費者的一種新類型，消費者個人信息保護的一般規則必然適用于算法消費者。《民法典》第1035條堅持了個人信息保護中的“合法、正當、必要原則”+“同意”的兩項核心規則，但在細節上有所調整，例如增加“不得過度處理”、“同意規則的例外性規定”等內容。綜上，《民法典·人格權編》中第六章“隱私權與個人信息保護”規定了個人信息保護的系列規則，該章作為個人信息保護的一般性規定適用于所有自然人。因此，《民法典·人格權編》第六章“隱私權與個人信息保護”也是算法消費者個人信息保護的一般規則。《消費者權益保護法》（2013年修正）第29條規定了消費者個人信息保護的規則，該條自然可適用于算法消費者。算法消費者作為電子商務中的重要參與者之一，其個人信息保護也受《電子商務法》（2018年）第23條的調整，但該條僅作了“應當遵守法律、行政法規有關個人信息保護的規定”的指引性規定。2021年頒布的《個人信息保護法》作為個人信息保護的“基本法”，是自然人個人信息保護的特別法。就算法消費者個人信息保護體系而言，從適用關系上來看，《民法典·人格權編》中第六章“隱私權與個人信息保護”是算法消費者個人信息保護的一般性規則，《消費者權益保護法》第29條是算法消費者個人信息保護規則的特殊規范，《個人信息保護法》是作為自然人個人信息保護的特別法。因此《個人信息保護法》應予優先適用，《民法典》《消費者權益保護法》具有適用的備位性。此外，從行政監管角度，政府部門從職責范圍出發制定的相關個人信息保護的部門規章也有適用算法消費者個人信息保護的空間，如國家網信辦頒布的《移動互聯網應用程序信息服務管理規定》（2016年）、國家市場監管總局頒布的《網絡交易監督管理辦法》（2021年）等部門規章對個人信息保護作了更為細致的規定。

（二）同意作為形式控制的缺陷

同意是我國個人信息保護的核心規則之一，算法消費者個人信息的“同意”規則適用《個人信息保護法》第13條的規定。我國自2012年即確立了個人信息保護的“同意”規則，然則，國內外學者對該規則有效性均無一例外地提出質疑。

為什么消費者會陷入一種困境，即一方面關心自身隱私，另一方面卻又同意侵蝕自身隱私的數據行為并使自己暴露于面臨信息損害的風險之中。這是因為個人信息保護中的“同意”存在三種病理形態，即不知情同意（unwitting consent）、被強迫的同意（coerced consent）以及無行為能力的同意（incapacitated consent）。①NeilRichardsandWoodrowHartzog,“ThePathologiesofDigitalConsent”,WashingtonUniversityLawReview,vol.96,no.6,2019,p.1476.首先，不知情同意將“知情”從“知情和自愿”中分離出來。因為在數字環境中，太多消費者對自身同意的數據行為或暴露幾乎一無所知。例如，基于文化程度和認知上的差異，消費者并不知曉經營者提供的各類法律術語或技術規制的煩瑣說明，形式上的告知形同虛設，在點擊“同意”時，消費者考慮的僅是使用上的便捷性，而不認真閱讀所有隱私協議或政策，即使認真研讀，也不可能把所有的隱私政策都看完。隱私政策等所謂披露告知之所以失敗，不僅與復雜煩瑣的披露有關，也與消費者跳過及略讀被披露信息的“無所謂”心理相關。①參見［美］歐姆瑞·本·沙哈爾、［美］卡爾·E.施奈德：《過猶不及：強制披露的失敗》，陳曉芳譯，北京：法律出版社，2015年，第14-77頁。其次，被強迫的同意不是經營者通過行為強迫消費者簽署同意，而是指“自愿”從“知情和自愿”中分離出來，具體是指在數字環境中的消費者對同意的選擇極其有限，更不用說自由地討價還價。一方面，在數字經濟中的平臺容易居于壟斷地位，例如所謂形成“六巨頭”（三巨頭如BAT、新三巨頭如TMD）②BAT（百度、阿里、騰訊）是公認的我國互聯網三巨頭，而隨著互聯網的發展，又有三家企業進入了人們的視野，它們被認為是互聯網新三巨頭TMD（今日頭條、美團、滴滴）。的局面，這在客觀上讓消費者在使用方面的可選擇性不多；甚至每個平臺公司提供的隱私政策都基本一致，造成實際沒有可選擇余地。另一方面，經營者可能采用一次概括授權、默認授權、與其他授權捆綁、停止安裝使用等變相強制的方式，取得算法消費者的同意。此時的“同意”只是一種無可奈何、不得不作出的“同意”，難謂真實意思表示。③張新寶：《個人信息收集：告知同意原則適用的限制》，《比較法研究》2019年第5期，第15頁。最后，無行為能力的同意是將“自愿”從“知情和自愿”中剝離出來。我國《個人信息保護法》第28條和第31條都將未滿14周歲的未成年人作為個人信息保護的特殊對象。可見，在《個人信息保護法》中對于已滿14周歲未滿18周歲未成年人的保護并無特殊規定，即與18歲以上成年人均適用于一般規則。已滿14周歲的未成年人在民法上為限制民事行為能力人，其作出的法律行為除純獲利益行為或由監護人同意、追認外一般無效。《個人信息保護法》中的“同意”作為一種意思表示，④陸青：《個人信息保護中“同意”規則的規范構造》，《武漢大學學報（哲學社會科學版）》2019年第5期，第123頁。與民法中意思表示中“同意”的效力存在著悖論。

同意制度作為個人在數字經濟社會中信息保護的一種機制，賦予個人的信息自決權或自我管理控制權。但同意機制無論在理論上還是實踐中⑤有學者對此作了進一步的闡述，認為塑造同意神話存在有自愿困境、結構困境、認知困境、外生性困境和時間困境等六個誤區。See Charlotte A.Tschider,“The Consent Myth:Improving Choice for Patients of the Future”,Washington University Law Review,vol.96,no.6,2019，pp.1519-1532.都存在著“困境”，并且難以執行。⑥參見趙園園：《互聯網征信中個人信息保護制度的審視與反思》，《廣東社會科學》2017年第5期，第214頁。這種困境就是，流于形式的告知義務導致同意的作出缺乏實質性的“知情”和“自愿”，此“虛化”的“告知-同意”模式讓平臺經營者取得了攫取個人信息的“合法性”。最終，同意也就成為一張平臺企業處理個人信息的自由通行證。

（三）算法消費者個人信息保護中過程保護的僵硬性與結果保護的不足

《個人信息保護法》作為個人信息保護的基本法，可分為“過程保護”與“結果保護”兩種模式。⑦參見蔡培如：《個人信息保護原理之辨：過程保護與結果保護》，《行政法學研究》2021年第5期，第91頁。但在個人信息保護場景中并不區分信息的媒介是電子信息抑或其他類型，也不區分信息的收集方式為線上或線下。電子信息、線上收集個人信息與傳統媒介信息、線下收集個人信息的保護力度應有所差別。即使是線上信息的收集又可以是否涉及算法介入的場景區分為有無算法收集、分析的方式。因此，個人信息保護在不同場景中的保護強度和適用上均有所差別。但遺憾的是，《個人信息保護法》在過程保護和結果保護的模式中均未對此進行區分，體現了其一定的僵硬性與缺陷。

個人信息中的過程保護主要是指信息處理過程中，個人參與所享有的各類權利。如知情權、決定權、查詢和復制權、同意與撤回權、可攜帶權以及可刪除權等等。以算法消費者知情權為例，作為消費者的知情權規定于《消費者權益保護法》第8條。據此，消費者享有知悉其購買、使用的商品或者接受的服務的真實情況的權利。《電子商務法》第17條規定了電子商務經營者應當全面、真實、準確、及時地披露商品或者服務信息，作為線上交易的算法消費者自然可以適用該條。從解釋論的角度，《消費者權益保護法》第8條和《電子商務法》第17條規定知情權的范圍僅限于商品或服務的真實情況，均不涉及商品或服務外的情況，如在涉及算法介入的人工智能交易場景中，消費者似乎難以獲得算法等自動化決策介入或個人信息被處理過程的各類信息。對此，算法消費者在個人信息方面的知情權只能尋求《個人信息保護法》的救濟。《個人信息保護法》第44條規定了個人在個人信息處理的知情權、決定權，但該知情權的規定過于原則性，對于知情權的范圍與程度需要進一步解釋。一般而言，個人知情權與個人信息處理者的告知義務為一體兩面。與個人的知情權原則性相比，《個人信息保護法》對于個人信息處理者的告知義務做了比較細致的規定，如第17、22、23、30條分別規定了個人信息處理者在處理個人信息前、轉移個人信息、向其他個人信息處理者提供個人信息以及處理敏感個人信息等情形的告知義務。但上述個人的知情權和個人信息處理者的告知義務適用對象為《個人信息保護法》中的“個人”，并無區分不同主體在不同場景中或不同類型消費者（個體）的知情權，這將導致在法律適用上的僵硬性。

此外，結果保護的內涵主要是利用立法、行政資源規范個人信息處理行為，將個人信息處理過程中造成的可能損害與風險監管控制在可接受的程度之內。然而，結果保護模式的缺陷在于未能從正面打破個人參與乃至控制信息處理過程的意義。①參見蔡培如：《個人信息保護原理之辨：過程保護與結果保護》，第97頁。筆者認為，無論個人信息保護中的過程保護模式，抑或結果保護模式，整體抽象人格的保護方式具有僵硬性。在數字經濟社會中，個人信息的保護強度與個人信息流通、利用效率之間具有相關性。不區分具象人格和適用場景的一刀切式個人信息保護，會導致個人信息保護與數字經濟發展之間處于失衡狀態。簡而言之，算法消費者是數字經濟中的重要參與主體，如何在算法消費者個人信息保護與信息流通處理、利用效率之間保持利益平衡是算法消費者保護的一項重要議題。

三、算法消費者個人信息保護中過程保護的路徑完善

（一）以算法消費者作為具象人格的個人信息保護新解

1.同意機制的多元化。前文已論及，同意機制已經陷入形式化的窠臼之中。法律經濟學研究認為，強制性規則是保護消費者最有效，也是最冒險的監管方法；最冒險在于將產生提高價格、縮小市場規模或者征收消極的交叉補貼的后果，因此通過使用大數據，根據預期的個人需求為每個用戶量身定制產品進行個性化規則，既能夠提升有效性，又能降低風險性；個性化保護是一個新穎解決方案。②參見［美］歐姆瑞·本·沙哈爾、［以色列］阿瑞爾·博拉：《合同法中強制性規則的個性化》，劉穎、葉哲君譯，《民商法論叢》2020年第2期，第133頁。在互聯網個人信息保護中的普遍免費模式有保護不足的問題，尤其是虛化了個人信息保護的“同意原則”。①參見張新寶：《“普遍免費+個別付費”：個人信息保護的一個新思維》，《比較法研究》2018年第5期，第3頁。因此，個人信息保護需要引入個別付費模式加以矯正和補充，形成與“普遍免費”模式并行的“普遍免費+個別付費”雙重模式。②參見張新寶：《“普遍免費+個別付費”：個人信息保護的一個新思維》，第12頁。同時，在具體場景中，對信息主體的經濟激勵機制可以作為同意的促成機制，有益于個人信息保護和數據合理使用的平衡。③蔡培如、王錫鋅：《論個人信息保護中的人格保護與經濟激勵機制》，《比較法研究》2020年第1期，第106頁。

上述討論為算法消費者在個人信息保護中的“同意”機制的多元化解釋提供了方案。在比較法上，《加州消費者隱私法案》（California Consumer Privacy Act）中即對消費者主體進行區分，賦予企業通過差異化價格或費率向消費者提供個人信息經濟激勵計劃；如第1798.125節（a）、（b）款分別規定了企業為了個人信息收集、出售、刪除等向消費者提供經濟激勵，并在《加州消費者隱私法案條例》（California Consumer Privacy Act Regulation）第999.307節的“經濟激勵告知”中作出細致規定。有學者建議對同意機制的多元化有所回應，如“信息業者、政務部門處理個人信息，應當事先征得信息主體的同意，但法律、行政法規另有規定的除外”④張新寶、葛鑫：《個人信息保護法（專家建議稿）及立法理由書》，北京：中國人民大學出版社，2021年，第35頁。。遺憾的是，《個人信息保護法》針對個人信息進行不區分主體的統一保護。但算法消費者與一般個人也有一定差異性，尤其需要考慮算法消費者與平臺經營者之間在個人信息保護和信息流通、數據使用中的利益平衡。因此，為算法消費者提供“經濟激勵+普遍免費+個別付費”的個性化同意機制方案，可以滿足不同類型算法消費者的同意機制需求，也可回避“同意”機制一刀切模式的形同虛設弊端。

2.算法應用下的個性化披露。從《消費者權益保護法》規定的消費者知情權和經營者告知義務觀察，告知義務的范圍并非漫無邊際的全面披露，而是要實現有效的告知，信息披露的程度無限制地擴大不當然等于消費者獲得有效保護。因為無限制地擴大告知義務范圍不符合經營者和消費者的利益需求，甚至可能導致交易成本的邊際遞增。⑤劉穎：《經營者沉默欺詐認定的矯正與回歸》，《華東政法大學學報》2020年第5期，第191頁。基于此，以數字技術發展的角度考慮，通過算法和數據的應用實現個性化披露是另一個解決方案。從法律制度發展的脈絡來看，立法一直在追求法律規則的個性化，但限制于技術條件，只能通過法律解釋進行規則的類型化分析。個性化法律的關鍵目的是利用大數據、區塊鏈等數字技術進行監管，這有利于作為數據主體的算法消費者，而不被個性化法律剝削或計算。隨著大數據、預測算法（prediction algorithm）和即時通信（instantaneous communication）等有關技術的發展，法律為實現其目標而發現和傳達相關個人背景的成本得以減少，因此，實現量身定制、準確且高度語境化的法律目標變得更加切實可行。⑥Anthony J.Casey,Anthony Niblett,“A Framework for the New Personalization of Law”,The University of Chicago Law Review，vol.86,no.2,2019,p.335.例如，經營者通過用戶畫像分析和個性化算法推薦向算法消費者進行精準推送廣告或商業營銷，此即為量身定制、準確的個性化方式的運用。

平臺經營者對消費者了解得越多，就意味著向他們提供相關信息的責任越大，因為更細粒度的算法消費者數據畫像意味著更細粒度的披露。⑦Christoph Busch,“Implementing Personalized Law:Personalized Disclosures in Consumer Law and Data Privacy Law”,The University of Chicago Law Review,vol.86,no.2,2019,pp.327-328.個性化披露的優勢在于定制披露項目的顯著性級別和信息披露的復雜程度，從而減少信息過載的風險。因為當前統一披露制度的關鍵問題是信息超載的風險，每條信息的同等權重加劇了這一風險；此時，每位消費者都得到了相同的信息，但并不是所有信息對每個人都同等重要。①Philipp,Hacker,Personalizing EU Private Law:From Disclosures to Nudges and Mandates,European Review of Private Law,vol.25,no.3,2017,p.667.因此，個性化披露的本質是由消費者自身的大數據畫像決定其所能看見的信息披露內容。

基于此，在數字時代中算法的大規模應用下，應賦予算法消費者選擇是否同意平臺經營者利用個性化信息進行用戶畫像的權利，如果算法消費者選擇進入隱私友好模式，那么平臺經營者可按照傳統統一披露的方式履行告知義務。但如果其選擇個性化的用戶畫像，則課以平臺經營者個性化披露的義務，通過個性化算法來約束平臺經營者。

3.《民法典》視角中的算法消費者個人私密信息的保護。我國《民法典》采取了隱私權和個人信息二元化的架構，②參見許可、孫銘溪：《個人私密信息的再厘清》，《中國應用法學》2021年第1期，第3頁。對隱私權和個人信息規定了不同的保護路徑。但《民法典》1034條第3款規定“個人信息中的私密信息，適用有關隱私權的規定；沒有規定的，適用有關個人信息保護的規定”，個人信息中的私密信息保護可以經由該條突破二元化架構。從解釋上觀察，將個人信息中的私密信息保護直接適用隱私權的規定，可見立法者對于私密信息突出保護的用意極其明顯。如前述，算法消費者作為民事主體中的自然人，自然可以適用《民法典》關于個人信息保護的規則。因此，算法消費者的個人私密信息保護亦有隱私權保護的優先適用路徑。

算法消費者的個人私密信息有別于傳統消費者的個人私密信息。在傳統條件下，由于受制于技術條件，經營者無法有效獲取消費者有關消費需求、消費傾向等方面的信息。③黃薇主編：《中華人民共和國民法典人格權編解讀》，北京：中國法制出版社，2020年，第203頁。傳統消費者的個人私密信息，更多是一些可通過物理方式獲知具有身份特征且不愿被人知曉的隱私。但在數字社會中，算法消費者的網絡行蹤痕跡、消費偏好、消費需求等具有隱私性的信息，被平臺經營者利用智能算法技術肆意地隱蔽性收集和分析從而形成用戶畫像。基于個人私密信息既需要滿足可具識別性的客觀特征，也應滿足不愿被他人知曉的主觀特征，其范圍存在一定彈性空間，不能通過立法列舉式的規定進行確定。因為不同行業、領域的消費者和不同類型的消費者，如算法消費者和傳統消費者對于“不愿他人知曉”的主觀感受程度截然不同。總之，個人私密信息應當根據社會正常交往、交易關系等各種動態變化的因素互相作用、影響形成的不同場景和對象予以確定。④參見冉克平：《論〈民法典〉視野下個人隱私信息的保護與利用》，《社會科學輯刊》2021年第5期，第109頁。以算法消費者為例，在不同交易關系和類型中可能影響消費者選擇或決定形成的消費偏好、網絡瀏覽痕跡等可以被認定為私密信息。

再者，算法消費者的個人敏感信息與個人私密信息具有一定重疊部分。《民法典》中個人信息和個人私密信息主要是從私法保護路徑上進行區分，《個人信息保護法》從個人信息處理規則的不同區分為個人信息和個人敏感信息，二者在分類的標準和目的上均不同。有學者在此基礎上將私密信息分為敏感隱私信息和非敏感隱私信息。⑤參見冉克平：《論〈民法典〉視野下個人隱私信息的保護與利用》，第110頁。對于算法消費者而言，其個人私密信息主要是指不想被經營者所知曉，或者一旦被知曉可能對用戶畫像產生影響的個人信息，例如讀書記錄、電影購票記錄和購物訂單記錄等網絡行蹤軌跡等。但算法消費者的個人私密信息范圍具有一定的個性化特征，因此可結合同意多元化機制認定不同算法消費者個人私密信息的場景。

最后，個人私密信息保護與個人信息非私密保護在法律效果上有明顯差別。個人私密信息可基于《民法典》第1034條第3款的指引性規定，適用《民法典》第1033條及《民法典·侵權責任編》中關于侵害隱私權的請求權基礎，并獲得侵權責任的救濟。必須指出的是，《民法典》第1033條處理他人的私密信息的例外要件是“除法律另有規定或者權利人明確同意”，此處的“權利人明確同意”與《個人信息保護法》第14條的“在充分知情的前提下自愿、明確作出同意”具有不同法律意義。前者是基于隱私權適用的授權，后者為個人信息保護法中的“告知+同意”機制的形式要件履行。

（二）算法消費者自動化決策拒絕權：從形式到實質控制

從平臺自主利用算法進行商業化運作以來，消費者都是被動地或被默認地不自主地成為算法消費者，以至于算法消費者被算法悄無聲息地“算計”和“剝削”。賦予算法消費者參與自動化決策的控制權意義在于，讓消費者充分自主地評估算法介入場景的風險，并決定是否參與該場景的各類行為之中，本質上為自主選擇權。

《個人信息保護法》第24條規定了個人的自動化決策的拒絕權，該規定是針對算法消費者的特殊規定，并賦予算法消費者參與自動化決策的拒絕權，也是第一次在法律中確認了以算法為核心的自動化決策可由個人決定是否參與的權利，具有重要歷史意義。但該條賦予算法消費者參與自動化決策拒絕權也有不足之處，其根本問題在于該拒絕權僅有形式意義上的控制權，并且在適用范圍上局限于“信息推送”和“商業營銷”。對此，比較法上有關自動化決策拒絕權在適用條件、方式和適用范圍上規定得更加明確具體。例如，歐盟《通用數據保護條例》第四節專門規定了拒絕權與自動化的個人自決，其中《通用數據保護條例》第21條規定了拒絕權的適用條件與方式；第22條規定了自動化的個人自決適用范圍不限于識別分析，主要保護數據主體不受基于自動化處理得出決定的制約，避免對數據主體產生影響。我國《個人信息保護法》第24條規定的拒絕權在適用上具有一定的局限性，留給了法律解釋的空間。我國互聯網服務監管機構注意到了以算法為核心的自動化決策規制的不足，《互聯網信息服務算法推薦管理規定》中的第17條賦予了用戶關閉算法推薦服務的選擇權。相比《個人信息保護法》第24條，該規定擴大了用戶的算法推薦服務關閉權的適用范圍，突破了“信息推送”和“商業營銷”的范圍，而是適用于所有算法推薦服務的場景。但該規定僅為部門規章，主要是用于監管機構規范互聯網信息服務算法推薦活動，并非從法律、法規層面賦予算法消費者（用戶）私法意義上的自主拒絕權（關閉權）。

從實證法分析，我國《消費者權益保護法》第9條第1款規定了消費者自主選擇權，即消費者享有自主選擇商品或者服務的權利；在該條第2款中進一步規定了自主選擇權的范圍。在傳統商業消費模式中，為了降低信息不對稱損害消費者權益的影響，消費者自主選擇權的范圍基本上包括經營者的選擇、商品品種或者服務方式的選擇以及自主訂立合同等。然而，在現代互聯網消費模式中，尤其是以算法和大數據共同嵌入的交易行為之中，經營者和算法消費者交易的除商品或服務本身的信息不對稱外，還造成新型的技術信息不對稱。基于此，筆者認為可對《消費者權益保護法》第9條第1款的消費者自主選擇權進行擴大解釋，將算法消費者算法（自動化決策）的自主選擇權納入作為消費者自主選擇權范圍之內。由此，構建算法消費者私法意義上的自動化決策的自主選擇權，賦予消費者從自動化決策的形式拒絕到實質控制的權利。

（三）算法個人信息處理者的信息信義義務

在數字時代的消費場景中，算法消費者點擊“同意”后即開啟了信息被處理的大門。數字算法場景中信息處理具有復雜性、隱蔽性和技術性等特征，即使算法消費者在信息處理過程中可享有知情權、查閱權、刪除權和可攜帶權等過程保護的權利。但不可改變的窘境是，個人信息或數據一旦經“同意”機制獲得自由的通行證之后，算法消費者幾乎完全失去了個人信息的控制力。此時，與其通過利益平衡賦予或規定各項權利、機制加劇雙方的矛盾狀態，還不如通過“信任”的粘合劑來黏合經營者與算法消費者之間的關系。

信息信義義務是傳統信義義務向數字社會的延伸。信義義務的范圍具有一定的開放性，并且隨著社會經濟的變化而不斷發展。新型忠實關系之程序持續進行中，依服務條款內容、托付財產或權利之本質、交易成立之目的及誘因、被委任之個人或機構對委托人控制影響力之有無以及對受任人違背及濫用信任行為之誘惑等內容而定。①［美］Tamar Frankel：《忠實法》，林鼎鈞、翁祖立譯，臺北：臺灣新學林出版股份有限公司，2016年，第62頁。忠實關系不僅是人與人之間信賴之基礎，也是社會制度憑以建立之信賴基礎。②［美］Tamar Frankel：《忠實法》，第91頁。信任對于可持續的數字未來至關重要，促進信任的隱私規則可以創造個人和社會價值。③Neil Richards and Woodrow Hartzog,“Taking Trust Seriously in Privacy Law”,Stanford Technology Law Review,vol.19,2016,p.472.因此，在數字時代，以算法和大數據主導的網絡服務提供商與用戶（算法消費者）之間的關系具有類似性，信息信義義務可以作為一種新形態的信義義務。丹尼爾·沙勒夫（Daniel Solove）認為，在數字時代里數據企業收集了大量個人信息，數據企業和個人之間存在信義關系，需要通過信義法指導并制定完善的政策對此進行規制。④Daniel J.Solve,The Digital Person:Technology and Privacy in the Information Age,New York:New York University Press，2004，pp.102-105.巴爾金教授（Balkin）認為許多網絡服務商以及收集、分析、使用、買賣和分配個人信息的云計算公司應視作顧客和用戶的信息受托人。⑤Jack M.Balkin,“Information Fiduciaries and the First Amendment”,UC Davis Law Review,vol.49,no.4,2016,p.1185.信息信義義務受托人不能誘使終端用戶（算法消費者）信任他們以獲取個人信息，然后以背叛這種信任的方式使用這種信息，這不利于終端用戶（算法消費者）的利益。⑥［美］杰克·巴爾金：《算法社會的三大法則》，劉穎、陳瑤瑤譯，《法治現代化研究》2021年第2期，第193頁。

關于信息信義義務的內涵和范圍，有學者將信息隱私法中的信義義務內容列為謹慎義務（Discretion）、誠實守信義務（Honesty）、保護義務（Protection），并引入忠實義務（Loyalty）作為隱私的基本價值。⑦Neil Richards and Woodrow Hartzog,“Taking Trust Seriously in Privacy Law”,pp.458-465.也有學者從數據隱私與用戶期待關系中提出信息信義義務的范圍，即信息信義義務的標準可以確保在充分保護個人的同時，以數據為中心的業務模型可以繼續運行。可見，信息信義義務與傳統信義義務的內涵與特征基本一致，只是在每項內容中融入了信息和隱私保護的元素。在數字時代，值得信任意味著謹慎對待我們的數據、誠實對待數據實踐的風險、保護我們的個人信息，最重要的是忠誠于我們這些數據主體。⑧Neil Richards and Woodrow Hartzog,“Taking Trust Seriously in Privacy Law”,p.501.信息信義義務在我國實證法上也有所回應，例如《個人信息保護法》第5條后句、《中華人民共和國數據安全法》第8條、《網絡安全法》第9條以及《互聯網信息服務算法推薦管理規定》第4條對信息信義義務作了大致的規定。綜上，通過解釋上述條文課以經營者信息信義義務，可以讓算法消費者獲得從個人信息收集、信息處理和信息應用的全過程的保護，以此彌補同意機制的缺陷。

四、算法消費者個人信息的公益訴訟保護

（一）基于個人信息保護公益訴訟的算法消費者個人信息保護

1.提起公益訴訟的主體。《個人信息保護法》第70條規定的公益訴訟提起主體范圍為“人民檢察院、法律規定的消費者組織和由國家網信部門確定的組織”。首先，市級人民檢察院是個人信息公益訴訟保護的提起主體之一。根據《最高人民法院、最高人民檢察院關于檢察公益訴訟案件適用法律若干問題的解釋》（以下簡稱為《公益訴訟司法解釋》）第5條規定，檢察機關的民事公益訴訟提起主體為市（分、州）人民檢察院。其次，法律規定的消費者組織也是個人信息公益訴訟的提起主體，此處是《個人信息保護法（三審稿）》在《個人信息保護法（二審稿）》的基礎上增加的內容。法律有廣義上的法律和狹義上的法律之區分，此處需要進一步解釋。一方面，根據立法資料解釋，在草案三次審議稿第七十條中增加“法律規定的消費者組織”是為了與消費者權益保護法有關規定相銜接，似乎對“法律”應作狹義上解釋，即僅包括全國人大或全國人大常委會制定的法律。另一方面，作為地方性法規的《深圳經濟特區數據條例》也對數據公益訴訟作出相應的規定，例如在其第98條中將數據公益訴訟的提起主體限定為“法律、法規規定的組織可以依法提起民事公益訴訟”，此處的法律與法規作并列處理，也僅指狹義上的法律。故而，《個人信息保護法》所涉“法律規定的消費者組織”應解釋為狹義上法律規定的消費者組織。根據現有法律規定的消費者組織，主要是指《消費者權益保護法》第47條規定的“中國消費者協會以及省級消費者協會”。最后，國家網信部門確定的組織也是個人信息保護的提起主體。網信部門是國家互聯網信息管理的主體部門，《個人信息保護法》第70條將個人信息公益訴訟提起主體規定為“國家網信部門確定的組織”，一定程度上給予了網信部門自由度。此處的“國家網信部門”應作限定解釋，僅指中華人民共和國國家互聯網信息辦公室，并不包括省級以下網信部門。

上述三類個人信息保護公益訴訟提起主體是否具有順位，《個人信息保護法》第70條僅做了列舉性規定，未做進一步規定。在學者建議稿中，張新寶教授認為人民檢察院提起個人信息公益訴訟具有補充地位。①參見張新寶、葛鑫：《個人信息保護法（專家建議稿）及立法理由書》，第232頁。另外，從《民事訴訟法》第55條的變遷來看，《民事訴訟法》第55條于2017年修正時增加了第2款。可見，檢察院在公益訴訟中具有一定的謙抑性。對于消費者組織和國家網信部門的順位上，需要在解釋上進一步研究。基于前述全國人大憲法與法律委員會的修改意見報告，消費者個人信息公益訴訟應作為個人信息公益訴訟的一種類型。所以在算法消費者的個人信息公益訴訟問題上，應先由消費者組織提起，再由國家網信部門確定的組織作為訴訟提起主體。如果是除消費者外的個人信息保護公益訴訟，此時消費者組織并非訴訟提起主體，自然由國家網信部門確定的組織作為公益訴訟提起主體。

2.個人信息公益訴訟制度的其他要件。個人信息公益訴訟的適用范圍，首先應為個人信息處理者違反個人信息保護法規定處理個人信息。在算法消費者個人信息保護場景，應為個人信息處理者（包括互聯網平臺經營者、平臺內經營者）違反個人信息保護法規定處理算法消費者的個人信息時，可適用個人信息公益訴訟的保護。就文義解釋上而言，似乎所有違反個人信息保護法規定處理算法消費者個人信息的，都可被提起公益訴訟。但是，基于公益訴訟是私益訴訟的補充，個人信息公益訴訟仍應從私法上的請求權基礎向個人信息不法行為人主張承擔相應的民事責任，因此需要《個人信息保護法》結合其他民事規范進行適用。

（二）基于消費者公益訴訟的算法消費者保護

《消費者權益保護法》第47條規定了消費者公益訴訟，但該條僅籠統地規定對“侵害眾多消費者合法權益的行為”可提起訴訟。《最高人民法院關于審理消費民事公益訴訟案件適用法律若干問題的解釋》（以下簡稱為《消費民事公益訴訟司法解釋》）對于消費民事公益訴訟制度作出比較詳細的規定，《公益訴訟司法解釋》第1條回應了消費民事公益訴訟的適用范圍限定于“經營者侵害眾多不特定消費者合法權益……”，并在第2條對于適用《消費者權益保護法》第47條的范圍做了列舉，該條第5項規定“其他侵害眾多不特定消費者合法權益或者具有危及消費者人身、財產安全危險等損害社會公共利益的行為”也可納入消費民事公益訴訟的適用范圍。前文的研究已經論及，從解釋上可將《消費者權益保護法》中的知情權和自主選擇權的主體擴大到算法消費者，即其在數據、算法主導的消費場景中對于算法等自動化決策、算法運行等情況的知情權和自主選擇權。據此，經營者基于算法或數據等技術性手段侵害消費者的行為可解釋為“其他侵害眾多不特定消費者合法權益損害社會公共利益的行為”的一種類型。因此，算法消費者可以通過消費民事公益訴訟獲得救濟。

消費民事公益訴訟中的提起主體除了消費者協會組織外，還包括檢察院。因為《消費民事公益訴訟司法解釋》第1條第2款規定了法律規定或全國人大及其常委會授權的機關和社會組織提起的消費民事公益訴訟也適用該司法解釋，《民事訴訟法》（2017年）第55條第2款明確規定了人民檢察院有權提起消費公益訴訟。據此，人民檢察院也可作為算法消費者民事公益訴訟的提起主體。

結論

在數字經濟社會，傳統消費者與經營者的模式向算法消費者和平臺經營者模式轉變，消費者保護框架亦從傳統消費者到算法消費者過渡。現行《民法典》《消費者權益保護法》《電子商務法》《個人信息保護法》所構造的消費者個人信息保護體系，均以傳統消費者保護場景作為參照物，不能很好地應對數字經濟社會復雜的智能算法技術恣意侵害算法消費者的情況。算法消費者的保護問題，將是數字經濟社會中的重要課題之一。算法消費者不僅是民事主體中的自然人，也是消費者的一種新類型，還是電子商務的重要參與者。因此，算法消費者個人信息保護體系的構建，需要在《民法典》《個人信息保護法》《消費者權益保護法》《電子商務法》等法律的基礎上進行法律銜接與適用空間的解釋或立法構造。