GDPR对用户画像的合规要求分析（DPO社群成员观点）
大数据时代，用户画像的应用日益广泛，尤其在信息、广告的个性化推荐场景中，基本逻辑之一就是使用用户画像。我国《信息安全技术 个人信息安全规范》在今年发布的修订征求意见稿中也对用户画像的使用作出了一些限制，如用户画像对个人信息主体的特征描述中不得包含淫秽、色情、赌博、迷信、恐怖、暴力的内容；不得表达对民族、种族、宗教、残疾、疾病歧视的内容，同时明确了在业务运营和对外业务合作中使用用户画像的一些禁止性行为。
欧盟GDPR对用户画像进行了专门规制。29条数据保护工作组发布的《自动化个人决策和用户画像的指导原则》[i]中，一方面肯定了画像使用和自动化决策带来的效率提升和成本节约的便利。同时也关注到其可能对个人权利和自由产生重要的风险，包括：1、画像的形成和处理是不透明的，个人信息主体并不知情其正在被画像。2、画像可能延续现有的刻板印象，造成社会隔离，新闻、信息等个性化推荐导致信息茧房，将个人限制在喜好的狭窄范围中，从而破坏个体的选择自由。3、在某些情况下，画像可能导致不准确的预测，或者可能导致个体被拒绝提供服务，遭受不正当的歧视。
据此，GDPR对数据控制者的用户画像处理行为施加了多项义务，并赋予数据主体多项数据权利，来降低、消除上述风险和影响。本文拟对29条工作组有关用户画像指导原则的内容做分析，以作为对画像处理实践的借鉴。
因画像与自动化决策有密切的关联，所以本文将先分析两者的关联和区别，然后在此基础上，重点分析在画像的形成、使用、共享过程中，控制者所负的义务和数据主体享有的各项权利。
一、画像和自动化决策的关系
根据GDPR 4(4)条画像的定义，画像是通过自动化方式使用个人信息进行分析或预测个人特征的过程。基于已知的特征，如年龄、性别、身高等对个人进行的分类并不必然构成画像，关键在于分类的目的是否是为了对个人进行预测或分析。
关于自动决策与画像的关系，工作组认为：两者范围不同，自动决策可能部分与画像重叠或基于画像分析产生。自动决策可以基于或不基于画像而进行；画像可以在不进行自动决策的情况下进行。以下示例可以较好的说明画像和自动化决策的区别和关系。
示例1：纯粹根据测速摄像头的证据征收超速罚款是一种自动决策过程，而不涉及到画像。
示例2：如果罚款金额是综合了其他因素的评估结果，例如通过在一段时间内对个人的驾驶习惯进行监控以判断其是否多次超速、最近是否有其他交通违规行为等，即成为一个基于画像的决策。
示例3：不完全自动化的决策也可能包括画像的使用。例如，在发放抵押贷款之前，银行可能会考虑借款人的信用评分，但又不完全依赖于自动化决策，而是施加其他额外的有意义的干预。
二、控制者进行用户画像时应履行的义务
对用户进行画像通常涉及三个阶段：（1）数据收集；（2）自动分析以识别相关性；（3）将识别出的相关性应用于个体以分析、预测该个体当前或未来的行为特征。所以，用户画像作为一种数据处理活动而需要满足GDPR的合规要求，具体包括：
作为一种数据处理活动，按照12.1条的要求，控制者必须向数据主体提供关于其个人数据用于画像的简洁、透明、易懂和易于获取的信息。
因画像会使用最初基于其他目的而收集的个人信息，所以进行画像时，需要评估生成画像的处理程序是否与最初收集数据时的目的相兼容。在《自动化个人决策和用户画像的指导原则》中，工作组通过以下例子进行说明：一些移动应用程序提供定位服务，允许用户找到附近的餐馆。同时，收集的定位数据也被用来建立关于数据主体的画像，并用于营销目的——确定他们的食物偏好，或总体生活方式。数据主体可以预知其数据将被用于寻找餐厅，但不会预期到应用程序在发现他们回家晚时会被推送披萨广告。这种对位置数据的进一步使用可能与最初收集位置数据的目的不兼容，因此可能需要有关个人的再次同意。工作组建议在评估兼容性时参考以下因素：（1）收集数据的目的与画像目的之间的关系；（2）收集数据的场景以及数据主体对其进一步画像使用的合理预期；（3）数据的性质；（4）画像对数据主体的影响；（5）控制者为确保公平处理和防止对数据主体的任何不当影响而采取的保障措施。
数据最小化要求。考虑到画像创造的商业机会可能鼓励企业收集比实际需要更多的个人数据。GDPR要求控制者必须确保和证明自身对数据的处理（包括画像）符合数据最小化原则，以及用途限制和存储限制原则的要求。
控制者应考虑画像处理过程所有阶段的准确性，并遵守准确性原则的要求。如果画像形成过程中使用的数据不准确，则任何画像和基于此的决策都将有缺陷。即使原始数据被准确记录，用于形成画像的数据集也可能无法完全代表该数据主体，从而导致画像可能包含隐藏的偏差。此时，控制者需要引入强有力的措施，以持续验证和确保重复使用或间接获得的数据是准确和最新的。基于此，控制者需要向数据主体提供有关正在进行画像的个人数据的清晰说明，以便数据主体能够纠正任何不准确之处并提高数据质量。
确保画像处理具有合法性基础：如果控制者将同意作为用户画像的基础，需要证明数据主体准确理解其同意的内容并向数据主体提供足够的相关信息，告知数据主体关于画像处理的预期用途和后果，以确保数据主体的同意确实是在充分知情基础上作出的选择。如果控制者以履行合同、法定义务必要或保护重大利益必须等其他事由作为画像处理的合法性基础，则工作组倾向于对必要性做狭义解释，并给出了错误示例。例如：当用户从在线零售商处购买商品时，为了履行合同，零售商必须处理用户的信用卡信息用于支付目的和用户的地址以交付货物。合同的完成并不依赖于根据用户对网站的访问建立用户兴趣和生活方式选择的画像。仅此一项事实并不意味着履行合同是必要的。
特殊类别数据的要求：如果在画像形成的过程中推断出了个人敏感的喜好和特征，如个人的健康、政治信仰、宗教信仰或性取向，控制者应确保：（1）该目的与原始的处理目的需兼容；（2）享有处理特殊类别数据的合法依据；（3）告知数据主体有关画像处理的信息。
针对画像形成和处理的不透明性，以及画像可能导致不准确的预测、个体遭受不正当的歧视等，GDPR赋予了数据主体多项权利，包括：1、被通知的权利：控制者应确保清楚而简单地向数据主体解释画像形成的过程；2、访问的权利：数据主体有权获取用于画像的任何个人数据的详细信息的权利，包括用于构建画像的数据类别。在访问权的角度，GDPR规定了例外，即访问权不应对他人的权利或自由产生不利影响，包括商业秘密或知识产权，尤其是保护软件的版权。3、更正权、删除权：更正和删除的权利同时适用于“输入个人数据”（用于创建画像的个人数据）和“输出数据”（画像本身或针对此人进行的打分）。4、反对权。除非数据控制者能够证明，相比数据主体的利益、权利和自由，具有压倒性的正当理由需要进行画像处理，否则数据主体享有画像的反对权。此外，数据主体有权随时反对为了直接营销目的而对个人进行画像。
四、对外共享用户画像时双方应履行的合规义务
在共享场景下，共享画像的一方和接受画像的一方都应充分向数据主体履行告知义务并保障数据主体享有的各项权利。在《自动化个人决策和用户画像的指导原则》中，工作组举例说明如下：如果A公司向B公司共享用户画像，B公司用于通过用户画像进行精准营销。A公司应当就其向B公司共享画像告知数据主体。B公司应告知数据主体（第14（1）（c）条）使用画像的目的，以及自身从何处获得的画像（14（2）（f））。B公司还必须告知数据主体享有反对权（第21（2）条）。A公司与B公司应允许数据主体有权访问画像所使用的信息（第15条），有权更正任何错误信息（第16条），并在某些情况下删除画像或用于创建该画像的个人数据（第17条）。如果B公司将该画像作为完全自动化决策的一部分，该自动化决策对数据主体具有法律或类似重大影响，则B公司还需要满足GDPR第22条有关完全自动化决策的合规要求。
五、小结
GDPR下对于画像的形成、使用、共享环节中控制者的合规义务和数据主体权利的保障都进行了详细的规定。尤其是在画像共享方面，GDPR并不禁止用户画像的共享，只要共享方和接收方都能按照合规的要求向用户清晰详细的告知并保障用户各项权利的实现即可。
大数据技术的发展和基于画像进行的个性化推荐在商业领域的利用，极大便利了消费市场的细分，节约了社会成本。对于画像使用过程中可能对个人权利和自由产生的风险，控制者通过增加画像形成、处理过程的透明度并向用户充分告知，同时在此基础上保障用户拒绝、更正、删除的权利，是平衡市场需求、技术发展和数据主体权益保障的可行方式。（作者为百度高级法律顾问）
[i]本文分析及示例均来自GDPR条文文本以及《Guidelines on Automated individual decision-making and Profiling for the purposes ofRegulation 2016/679, WP251rev.01》https://edpb.europa.eu/our-work-tools/general-guidance/gdpr-guidelines-recommendations-best-practices_en
数据保护官（DPO）社群主要成员是个人信息保护和数据安全一线工作者。他们主要来自于国内头部的互联网公司、安全公司、律所、会计师事务所、高校、研究机构等。在从事本职工作的同时，DPO社群成员还放眼全球思考数据安全和隐私保护的最新动态、进展、趋势。2018年5月，DPO社群举行了第一次线下沙龙。沙龙每月一期，集中讨论不同的议题。目前DPO社群已经超过200人。关于DPO社群和沙龙更多的情况如下：
DPO社群成果
线下沙龙实录见：
线上沙龙见：
时评见：
DPO社群成员观点