一、结论先行：自动化决策的三项法定要求
《个人信息保护法》第二十四条对自动化决策提出三项要求，构成合规判断的基本框架：第一，利用个人信息进行自动化决策，应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇；第二，通过自动化决策方式向个人进行信息推送、商业营销，应当同时提供不针对其个人特征的选项，或者向个人提供便捷的拒绝方式；第三，通过自动化决策方式作出对个人权益有重大影响的决定，个人有权要求说明，并有权拒绝个人信息处理者仅通过自动化决策的方式作出决定。
三项要求的性质不同：第一项是结果性要求，指向"差别待遇"这一实体问题；第二项是选择权要求，指向营销场景中的退出机制；第三项是程序性权利，指向重大决定的可解释性与人工介入。三项要求叠加适用，一项合规不代表整体合规。
二、什么构成"自动化决策"
《个人信息保护法》第七十三条第二项把自动化决策定义为：通过计算机程序自动分析、评估个人的行为习惯、兴趣爱好或者经济、健康、信用状况等，并进行决策的活动。构成要件有二：一是自动化，即由程序而非人工完成分析与判断；二是"决策"，即输出对个人产生影响的结论，而不仅是数据统计。
按此标准，以下场景通常构成自动化决策：基于用户画像的个性化推荐与排序、动态定价与优惠券发放、信用评分与授信额度审批、简历初筛与自动排班、保险核保与理赔初判、内容审核中的自动处置。以下场景通常不构成：纯粹的数据统计报表、不针对特定个人的宏观分析、仅作为辅助参考而最终由人工独立判断的处理。
边界地带是"人机结合"。系统给出建议分、由人工点击确认的，是否属于自动化决策，取决于人工是否具有实质判断空间。若人工仅作形式确认、实际上不可能推翻系统结论，通常被认定为"仅通过自动化决策作出决定"，从而落入第二十四条第三款的规制范围。这一判断标准在监管实践中尚未形成统一口径，实务中存在争议。
三、要求一：不得实行不合理的差别待遇
第二十四条第一款禁止的是"对个人在交易价格等交易条件上实行不合理的差别待遇"，通常被称为"大数据杀熟"。构成该情形需要同时具备三个要素：存在差别待遇（同类商品或服务对不同个人适用不同价格或条件）、差别基于自动化决策（由算法而非明示的会员等级、促销规则形成）、差别不具有合理性。
"合理性"的判断是核心。以下差别通常具有合理性：基于成本差异的差别（不同地区配送成本）、基于明示规则的差别（公开的新客优惠、会员等级折扣）、基于个人明确同意的差别（用户自主选择的套餐）。以下差别难以说明合理性：基于消费能力、设备型号、浏览频次、是否比价等画像标签的隐性加价；对老客户收取更高价格；对特定群体关闭优惠入口。
举证责任分配对企业不利。个人信息侵权适用过错推定，处理者需证明自己没有过错（《个人信息保护法》第六十九条）；在差别待遇争议中，企业往往需要提交定价规则、算法逻辑说明与测试记录，才能证明差别具有合理依据。这也是为什么"定价规则留痕"应当成为合规基础设施，而不是争议发生后的补课。
差别待遇还可能触发其他法律路径：具有市场支配地位的平台无正当理由对条件相同的交易相对人实行差别待遇的，可能构成滥用市场支配地位（《反垄断法》第二十二条）；以虚假的优惠价格误导消费者的，可能构成价格欺诈。三条路径的责任性质不同，可并行主张。
四、要求二：推送与营销中的选择权
第二十四条第二款规定，通过自动化决策方式向个人进行信息推送、商业营销的，应当同时提供不针对其个人特征的选项，或者向个人提供便捷的拒绝方式。这里的关键词是"同时"与"便捷"。
"同时"意味着不能先推送、后补选项，也不能把选项藏在多层菜单中；"便捷"意味着拒绝的操作成本不应显著高于接受的操作成本。实践中被认定为不便捷的典型设计包括：关闭个性化推荐需要联系客服、需要提交书面申请、需要在每次推送后单独点击"不感兴趣"而无法一次性关闭、关闭入口仅在 App 某一版本的深层设置中。
需要注意的是，第二款只规制"信息推送、商业营销"，不覆盖全部自动化决策场景。搜索结果排序、内容推荐是否属于"信息推送"，取决于是否主动向个人投送；仅提供检索排序的，通常按第一款的一般要求处理。
| 场景 | 是否受第二款约束 | 合规动作 |
|---|---|---|
| App 首页个性化推荐信息流 | 是 | 提供"关闭个性化推荐"开关，关闭后仍可正常浏览非个性化内容 |
| 短信、App 推送的营销信息 | 是 | 提供退订方式，退订即时生效，不得设置附加条件 |
| 电商站内搜索结果排序 | 通常按第一款处理 | 说明排序逻辑的主要参数，提供按销量、价格等非个性化排序选项 |
| 基于用户画像的定向广告投放 | 是 | 提供关闭定向广告的入口，关闭后不得继续基于画像投放 |
五、要求三：重大影响的说明义务与拒绝权
第二十四条第三款规定，通过自动化决策方式作出对个人权益有重大影响的决定，个人有权要求个人信息处理者予以说明，并有权拒绝个人信息处理者仅通过自动化决策的方式作出决定。这一款把"算法解释"从伦理讨论变成了法定义务。
"重大影响"没有法定列举，通常结合后果的严重性与不可逆性判断：拒绝授信、拒绝录用、拒绝承保、大幅调整费率、限制账号功能、影响征信记录等，一般属于重大影响；推荐排序、优惠券面额调整等，通常不属于。判断时应以"对个人权益的影响程度"为标准，而非以企业内部的业务分类为标准。
"说明"的程度不是公开源代码，而是就决定所依据的个人信息种类、决策逻辑的主要因素、对个人产生的影响作出可理解的解释。监管与司法实践普遍接受"适度解释"标准：能够使个人理解决策的基本依据即可，不要求披露商业秘密或算法全部参数。
"拒绝权"的落实需要人工介入机制。个人拒绝仅通过自动化决策作出决定的，处理者应当提供人工复核通道，由具备相应权限的人员重新评估。仅在页面上设置"申诉"按钮、实际仍由同一系统自动回复的，不构成有效的人工介入。
六、配套义务：告知、影响评估与审计
自动化决策不是孤立义务，它与三项配套义务绑定。
- 告知。处理个人信息应当以显著方式、清晰易懂的语言真实、准确、完整地告知处理目的、方式、种类、保存期限等（《个人信息保护法》第十七条）；利用自动化决策的，还应当告知决策的基本逻辑与对个人的影响。
- 事前影响评估。利用个人信息进行自动化决策属于应当事前进行个人信息保护影响评估的法定情形（第五十五条第一项），评估应包含处理目的、处理方式是否合法正当必要，对个人权益的影响及安全风险，保护措施是否合法有效并与风险程度相适应；评估报告与处理情况记录至少保存三年。
- 审计与留存。定期合规审计中，自动化决策的规则文档、测试记录、拒绝与人工复核记录属于必查材料；算法推荐服务提供者还需按相关规定履行算法备案与安全评估义务，具体备案口径以《互联网信息服务算法推荐管理规定》及属地网信部门要求为准。
违法后果分三层：行政层面，违反第二十四条的，责令改正、给予警告、没收违法所得，拒不改正的处一百万元以下罚款，情节严重的处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、吊销相关业务许可或者营业执照（第六十六条）；民事层面，造成损害的按第六十九条承担过错推定责任；刑事层面，情节严重的可能触及侵犯公民个人信息罪。
七、常见问题
问：会员等级折扣算不算"不合理的差别待遇"？
一般不算。会员等级规则公开、取得条件明确，属于基于明示规则的差别，具有合理性。但如果系统依据消费能力、设备型号等未公开标签在会员内部再加价，则落入第二十四条第一款的禁止范围。
问：关闭个性化推荐后，还能继续推送营销信息吗？
可以推送非个性化内容，但不得继续基于个人特征定向。关闭开关必须真实生效，关闭后仍按画像投放的，属于虚假关闭，构成违反第二款。
问：信贷审批全部由系统自动拒绝，需要给理由吗？
需要。拒绝授信通常属于对个人权益有重大影响的决定，个人有权要求说明，并有权拒绝仅通过自动化决策作出决定，处理者应当提供人工复核通道。
问："说明"是不是要求公开算法源代码？
不是。说明义务的标准是使个人了解决策所依据的个人信息种类、主要判断因素与影响，属于适度解释，不要求披露源代码或者全部参数；但以"商业秘密"为由完全拒绝说明的，难以满足第二十四条第三款。
问：人工点击确认一下，能不能避免被认定为"仅通过自动化决策"？
取决于人工是否有实质判断空间。人工仅作形式确认、客观上不可能推翻系统结论的，仍可能被认定为仅通过自动化决策作出决定。企业应保留人工复核的实质记录，包括复核意见、推翻率与复核人员权限设置。
问：自动化决策需要单独取得同意吗？
第二十四条本身未把自动化决策列为"单独同意"情形，其合法性基础仍依第十三条判断；但通过自动化决策向个人推送商业营销，属于营销类处理，还须遵守《广告法》《消费者权益保护法》关于商业信息发送与拒绝权的规定。是否为"单独同意"情形，应以处理活动的具体性质判断，实务中存在争议。
法条与依据核验：《中华人民共和国个人信息保护法》第十三条（处理的合法性基础）、第十七条（告知义务）、第二十四条（自动化决策的透明度与结果公平、推送营销的选择权、重大影响的说明与拒绝权）、第五十五条（应当事前进行个人信息保护影响评估的情形，第一项为利用个人信息进行自动化决策）、第五十六条（影响评估的内容与记录保存三年）、第六十六条（法律责任）、第六十九条（过错推定与损害赔偿）、第七十三条第二项（自动化决策的定义）；《中华人民共和国反垄断法》第二十二条（滥用市场支配地位，包括无正当理由对条件相同的交易相对人实行差别待遇）；《中华人民共和国消费者权益保护法》第八条（知情权）、第二十条（真实信息义务）；《中华人民共和国广告法》第四十三条（未经同意不得发送广告、应当提供拒绝方式）；《互联网信息服务算法推荐管理规定》（国家互联网信息办公室等四部门令）。需核对的事项：《互联网信息服务算法推荐管理规定》的具体条文序号，本文未逐一标注，备案口径以属地网信部门现行要求为准；"人机结合是否构成仅通过自动化决策""重大影响的范围"尚无统一监管口径，实务中存在争议，已在正文标注。特别说明：本文未引用任何具体裁判文书或案号。所引条文序号按现行有效版本标注，请以全国人民代表大会、国家互联网信息办公室官方公布文本为准。
