自动化|唐林垚：“脱离算法自动化决策权”的虚幻承诺( 七 ) 唐林垚中国社会科学院法学研

1.“获解释权”的补强条款：GDPR第35条
首先来看为什么“获解释权”并非“脱离自动化决策权”被动权能。理论上，火力全开的“获解释权” ，确能为“脱离自动化决策”结果的实现，提供较强助力，因为只要数据控制者或处理者不能向数据主体提供合乎情理的行为解释，那么数据搜集和处理将失去正当和合法性——作为程序运行“燃料”的大数据一旦断供，自动化决策将不复存在，数据主体便自然实现“脱离” 。但正如本文第一部分所指出的那样， GDPR第13至15条只规定了数据主体的事前“获解释权” ，数据主体在行使这种权利的时候自动化决策尚未发生，自然也就没有“脱离自动化决策”可言。同时，出于对效用的追求，欧盟立法者具有维持弱式“获解释权”的激励，不会贸然赋予数据主体全过程链的“获解释权” 。
在第13至15条规则圆满性难以为继的情况下，毋宁以GDPR第35条数据控制者和处理者的“数据保护影响评估义务”作为其事中和事后补强：当用户侧写可能对数据主体的权利和自由带来高风险时，数据控制者或处理者必须在“充分考虑数据处理性质、范围、语境和目的的基础上” ，评估自动化决策将对个人数据保护造成的影响。第35条对事中和事后算法可解释性要求的补充体现在三个方面：其一，数据保护影响评估要求对数据处理的可能操作和计划目的进行系统性描述，形成文字的系统性描述以数据控制者所追求的正当利益为主要内容；其二，数据控制者必须对数据的搜集和处理的必要性与相称性进行阐述，即用户侧写应以数据控制者的正当利益为限，未经数据主体同意不得牺牲其权利；其三，当数据主体的正当权利和数据控制者的正当利益存在此消彼长的张力时，数据控制者必须在数据保护影响评估中表明可以采取的应急性风险应对措施，包括但不限于GDPR已经规定的法律保障、安全措施和激励机制。从条文结合可以产生的效果来看，第13至15条主要是要求数据控制者和处理者就事前数据挖掘的信息来源、典型特征和分类办法以及算法程序的运作机理、代码逻辑和预期效果进行事前解释，第35条则是要求其就事中的系统偏差、运行故障和矫正机制予以说明，这实际上只是在最低限度实现了算法可解释性的显化，并且由于事后解释的要求仍然孱弱，数据主体行使“获解释权”最多只能得到一个看似将人工智能载体的硬件、软件和数据处理之间的相互作用如何导致自动化决策之间因果关系阐明的解释。如果心怀善意，数据控制者或处理者给出的是“自以为正确的解释” 。如果别有用心，解释和说理的方式将完全取决于拟实现的经济或政治目标。在这个意义上， GDPR第13至15条与35条的结合，勉强构建了多重弱化但相对全面的“获解释权” 。
2.“被遗忘权”的上位条款：GDPR第21条