GDPR画像和自动化决策 有哪些推荐采用的良好实践？

第29条工作小组在有关自动决策和个人画像的指南中，针对GDPR设计画像和自动化决策的每一具体条款项下的义务向数据控制者进行了“良好实践（good practice）”的推荐，对国内的数据控制者具有一定的启发作用。

1、知情权

相关条款：GDPR第5条（1）（a），第12条，第13条，第14条

良好实践推荐

1.1 分层通知

在这种分层通知设计里，数据主体被一步一步逐级告知他们的数据处理情况。

具体形式是在一个短小的通知里先提供隐私政策的关键信息，然后再通过链接将每个部分扩展到它的完整版本，并且在数据收集时及时通知。

1.2 采用可视化和交互式技术辅助算法透明化

1.3 通过标准化图标（详见GDPR第12条（7）规定）向个人通报画像和自动化决策情况，例如：

✓ 该组织与其他组织共享他们的个人数据；

✓ 共享他们个人数据的其他组织机构的详细情况；

✓这个（些）组织机构是否正在使用他们的个人数据进行画像；

✓ 画像是否被用来进行有关他们的决策。

在大多数情况下，需要数据控制者提供其中涉及的逻辑的有意义的信息，例如：

✓ 在自动化决策过程中使用的信息，包括在画像过程中使用的数据的种类；

✓ 这些信息的来源；

✓ 在进行自动化决策时使用的画像是如何创建的？包括在分析的时候使用的统计方法；

✓ 如何使用它来作出一个有关数据主体的决定？

2、进一步处理

相关条款：GDPR第5条（1）（b）

良好实践推荐

如果处理超出了有关个人的合理预期，或对他们产生了不合理的不利影响，那么数据控制者的使用和披露将被视为与获取信息的原始目的不相容。

3、作为处理基础的同意

相关条款：GDPR第6条（1）（a）

良好实践推荐

如果数据控制者依赖同意作为他们数据处理的基础，他们应该：

✓ 提供足够清晰和全面的有关画像的信息，以确保数据主体明白他们同意了什么；

✓ 考虑引入一种更精细的同意流程，在这个流程中他们需要向数据主体提供一种简单和清晰的方式来同意不同的处理目的。

✓ 在进行新的处理之前，应该主动获取数据主体的同意；

✓ 告知数据主体他们可以撤回同意。

4、访问权

相关条款：GDPR第15条

良好实践推荐

哪些数据类型已经或将要被用于画像或自动决策的信息，以及为什么他们会被认为有关联的，这些信息会日益更具有相关性，比起仅仅提供一个复杂的有关算法或机器学习是如何发挥作用的计算解释而言。尽管有关算法或机器学习是如何发挥作用也是需要提供的，如果它是让专家进一步验证自动决策是如何工作的是必要的。

数据控制者可能需要考虑实施一种机制来帮助数据主体来检查他们的画像，包括在创建画像中使用了哪些信息和来源的细节。

5、更正权

相关条款：GDPR第16条

良好实践推荐

数据控制者根据GDPR第15条向数据主体提供了可以访问他们画像的权利，这个权利也允许他们有机会更新或者更正数据或画像中的不准确的内容。这才满足他们在第5（1）（d）条的义务。

数据控制者应该首先考虑引入在线首选管理工具，比如隐私指示板。这可以给数据主体提供一个选择，可以在不同的服务中管理他们的信息所发生的事情，允许他们更改设置，更新个人详细资料，查看或者编辑他们的画像来纠正任何不准确内容。

6、反对权

相关条款：GDPR第21条（1）和（2）

良好实践推荐

在第21条（1）和（2）中提出发对意见的权利必须明确的提请数据主体注意，并且与其他资料区分提供（根据第21条（4））

数据控制者需要确保这个信息被显著地展现在他们的网站上或者任何相关文件上，并且不会隐藏在其他条款和条件中。

7、适当保障措施

相关条款：GDPR第22条以及前言71

良好实践推荐

以下清单，虽然不是详尽的，但也向数据控制者提供了一些在进行画像时需要考虑的良好实践建议：

✓ 定期对其系统进行质量保证检查，以保证个人受到公平对待，不受歧视，不管是否特殊种类的个人数据还是其他；

✓ 算法审计——检查所使用的和通过机器学习开发的算法，以证明他们确实按照原定目的来实施，并没有产生歧视、错误和不公正结果；

✓ 特定措施来进行数据最简化，加入一个清晰的保留时期，来保存画像以及在创建或适用画像的过程中其他任何个人数据；

✓ 在画像中使用匿名化或假名化技术；

✓ 提供允许数据主体表达他观点和质疑决定的途径；

✓ 在特定的情况下，提供人工干预的机制。例如，当自动化决定递交给数据主体的时候，提供一个链接可以进行反对流程，并提供一个进行审查的时间表，以及可以回答任何查询的指定联系人；

数据控制者还可以探索如下选择：

✓ 处理操作的认证机制；

✓ 涉及机器学习的审计程序的行为准则；

✓ 伦理审查委员会评估画像的特定应用对社会的潜在危害和利益。