美国联邦隐私保护立法草案研究（一）：“行为个性化”
编者按：
目前，我国的个人信息保护立法工作正在进行之中。相对于欧盟《通用数据保护条例》（GDPR），国内对美国联邦目前的隐私保护立法尝试，以及已出现的多个版本隐私保护法律文本草案，研究很不充分【部分草案的翻译，见：美国联邦隐私立法重要文件编译第一辑（DPO沙龙出品），以及第五期数据保护官沙龙纪实：美国联邦隐私立法重要文件讨论】。本系列文章试图进一步填补这一空白。
遵循本公号一贯的风格，本系列文章将避免理论化的介绍，分专题对各个法律文本中的概念和制度设计开展分析研究，核心目的在于为我国各个层级的立法和监管提供借鉴。
开篇文章将专注于“个性化产品或服务”。在2019年的《数据安全管理办法》（征求意见稿）中，“定向推送”相关条款触发了国内的密集讨论。业界对监管部门提出的规制路径提出了很多意见和建议。详细情况见本公号曾经发布的文章：
在《数据安全管理办法》没有最终发布时，2020年3月1日生效的《网络信息内容生态治理规定》率先对“个性化算法推荐技术推送信息”做出了规定。
新版的国家标准《个人信息安全规范》【见：新版《个人信息安全规范》（35273-2020）正式发布】对“个性化展示”提出了如下安全要求：
非常有意思的是，有部分美国联邦层面的隐私保护立法草案（例如‘‘Online Privacy Act of 2019’’, H. R. 4978），也对个性化产品或服务提出了要求。
定 义
‘‘Online Privacy Act of 2019’’专门对“行为个性化”（‘‘behavioral personalization’’）做出了界定：
行为个性化：是指利用算法、模型或其他方式，处理特定个人过往被收集的个人信息，或者处理与该特定个人相似的一个或多个个人的个人信息的集合，用于：
改变、影响、引导或预测该特定个人的行为；
定制或个性化某产品或服务；或
过滤、整理、限制、推广、展示或以其他方式区分个人能够访问的特定内容或特定类型的内容。
如果是利用历史个人信息，仅仅用于避免展示或提供该特定个人已经访问过的内容，则不落入“行为个性化”的范围之中。
(A) IN GENERAL.—The term ‘‘behavioral personalization’’ means the processing of an individual’s personal information, using an algorithm, model, or other means built using that individual’s personal information collected over a period of time, or an aggregate of the personal information of one or more similarly situated individuals and designed to—
(i) alter, influence, guide, or predict an individual’s behavior;
(ii) tailor or personalize a product or service; or
(iii) filter, sort, limit, promote, display or otherwise differentiate between specific content or categories of content that would otherwise be accessible to the individual.
(B) EXCLUSIONS.—The term ‘‘behavioral personalization’’ does not include the use of historical personal information to merely prevent the display of or provide additional information about previously accessed content.
不得不说，‘‘Online Privacy Act of 2019’’的界定和监管范围，远超过我国国内目前对个性化的定义范围。
最显著的是，行为个性化不必然仅仅指“利用A主体的个人信息，来对A提供产品或服务或内容”，还包括利用与A同样类似的B主体（以及其他类似主体）聚合后的个人信息，向A提供产品或服务或内容。类似的，《个人信息安全规范》 提出了“直接用户画像” 和“间接用户画像”的概念。
在此抛一个问题：我国《电商法》第十八条：“电子商务经营者根据消费者的兴趣爱好、消费习惯等特征向其提供商品或者服务的搜索结果的，应当同时向该消费者提供不针对其个人特征的选项，尊重和平等保护消费者合法权益”，是该理解成只规范““利用A主体的个人信息，来对A提供产品或服务”，还是也包括“利用与A同样类似的B等主体的个人信息，向A提供产品或服务”？
这个问题，在公号君来看至关重要。
实体规则
‘‘Online Privacy Act of 2019’’非常具有创造性地在第106节，提出了“个人自治的权利”（right to individual autonomy）。这一节是对“行为个性化”的实体规则。
首先，第106节a小节规定，如果没有个人的明示同意（affirmative express consent），该法管辖的实体不得收集、处理、持有、披露个人的个人信息，用于：
其次，第106节b小节规定，该法管辖的实体必须事先取得个人的明示同意，方可向该个人提供产品或服务的行为个性化的版本。如果个人没有给与明示同意，则该法管辖的实体必须提供一个非行为个性化版本的产品或服务。
再次，第106节c小节规定了提供产品或服务的例外情形。
再次，第106节d小节还规定了提供“行为化处理”的例外情形。
第106节e小节将以下情形排除在“可用性”的范围之中。
最后，第106节f小节规定，小型企业无需符合上述第106节的所有要求。
(a) IN GENERAL.—A covered entity shall not collect, process, maintain, or disclose an individual’s personal information to:
(1) create, improve upon, or maintain;
(2) process with; or
(3) otherwise link an individual with an algorithm, model, or other means designed for behavioral personalization, without the affirmative express consent of that individual.
(b) CONSENT.—A covered entity must obtain express affirmative consent from an individual before it may provide a behaviorally personalized version of a product or service. Where consent is denied, a covered entity must provide the product or service without behavioral personalization.
(c) EXCEPTIONS TO PROVIDING PRODUCT OR SERVICE.—
(1) Where the offering of a substantially similar product or service without behavioral personalization is infeasible, a covered entity shall provide, to the greatest extent feasible, a core aspect or part of the product or service that can be offered without behavioral personalization.
(2) Where no core aspect or part of the product or service can function in a substantially similar function without behavioral personalization, a covered entity may deny providing an individual use of such product or service if such individual does not consent to behavioral personalization as required in subsection (a).
(d) EXCEPTION TO BEHAVIORAL PROCESSING.—Notwithstanding subsections (a) and (b), a covered entity may create or process using behavioral personalization algorithms, models, or other mechanisms for the purpose of increasing the usability of the product or service provided by a covered entity that—
(1) are built using aggregated personal information that is representative of all the personal information the covered entity maintains; and
(2) have an output that is both uniform across the individuals that use the product or service and independent of a specific individual’s inherent or behavioral characteristics.
(e) USABILITY.—The term ‘‘usability’’ as used in subsection (d) does not include optimizations or other alterations to the product or service that are made with the primary purpose of increasing the amount of time an individual engages with or uses the product or service, unless such increase benefits the individual
(f) SMALL BUSINESSES EXCLUDED.—This section does not apply to a small business.
简 评
这部‘‘Online Privacy Act of 2019’’，是由来自美国加州选区的美国众议院议员Anna G. Eshoo和Zoe Lofgren共同引入，延续“加州消费者隐私保护法”（CCPA）的路径，该法案旗帜鲜明地增加个人的控制权力。第106节提出的“个人自治的权利”就是非常鲜明的一个例证，且比CCPA跟进一步。
与国内目前的各种规定或草案相比，第106节规范的范围更加宽泛：
第一，第106节远远超过针对内容或信息推送的规制，还包括商品的推荐，甚至于产品或服务功能的定制化。
第二，第106节不仅规范面向用户的展示（即产品或服务最终面向用户的具体内容或界面的展示），还包括整个业务流程的上游和中游，例如“行为个性化”的定义包括“预测”特定个人的行为。
第三，第106节不仅规范“利用A主体的个人信息，来对A提供产品或服务”，还规范“利用与A同样类似的B等主体的个人信息，向A提供产品或服务”。
此外，第106节提出的个人的控制性要求更加严苛：
第三，对于主要目的是延长用户使用时间的改进和更改，只要是利用了个人信息，哪怕在最终展示内容或界面时做到了“千人一面”，也需要个人事先的明示同意。
当然，秉承了美国法一直以来的传统，第106节给出了例外情形。最显著的是小企业无需满足上述要求。
对于这样严苛的立法案文，显然我们需要辩证地看。但这样的案文出现在美国，而且是两位来自加州（硅谷所在地）的众议员提出的，也许在一定程度上揭示出对于个性化的产品或服务新的监管思潮的涌动。（完）
数据保护官（DPO）社群主要成员是个人信息保护和数据安全一线工作者。他们主要来自于国内头部的互联网公司、安全公司、律所、会计师事务所、高校、研究机构等。在从事本职工作的同时，DPO社群成员还放眼全球思考数据安全和隐私保护的最新动态、进展、趋势。2018年5月，DPO社群举行了第一次线下沙龙。沙龙每月一期，集中讨论不同的议题。目前DPO社群已近300人。关于DPO社群和沙龙更多的情况如下：
DPO社群成果
线下沙龙实录见：
评估GDPR效果和影响:
线上沙龙见：
DPO社群成员观点