近年来大数据和人工智能技术飞速发展，自动化决策（automated decision-making based on algorithm）通过大数据和人工智算法逻辑获得指向特定目的的输出，带来人力无法企及的批量处理效率，但基于算法和人工智能技术本身的诸多问题，造成了现实风险。基于此，各国法律均致力于自动化决策构建的合法性条件、程序控制和责任机制，同时在行为关系内部以私主体权益立场出发，通过赋予信息主体诸项信息权利，形成对自动化决策的制衡，“自动化决策拒绝权”即为重要的权利制衡工具之一。自动化决策拒绝权即在个人信息处理者通过自动化决策方式作出对个人权益有重大影响的决定时，个人要求其说明、拒绝仅通过自动化决策作出决定，以及要求进行人工参与的二次决策的权利。基于以欧盟《一般数据保护条例》（以下简称 GDPR）第 22 条为中心的自动化决策拒绝权法律架构，欧洲各国相继对自动化决策进行法律规制，总体上贯彻了对全自动化决策的“原则禁止、例外许可”原则。在欧洲“权利中心主义”的严格保护策略中，全自动化决策拒绝权实际上具有更强的“禁令”功能。但是，一方面，由于 GDPR的全自动化决策拒绝权设置了过于宽松的例外条件，缺乏有效的执行和监管机制，使 GDPR 全自动化决策拒绝权难以实现，“权利白条化”情况严重；另一方面，禁令式保护给数据产业和公共机构制造了高昂的合规成本，其反向施加到信息主体身上后，增加了个体负担。目前的状况是，GDPR 全自动化决策拒绝权没有发挥实质上制约自动化决策、保障信息自决权的功能。
面对公共部门和商业领域已大量使用自动化决策的现实，《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》）第 24 条明确确立了自动化决策拒绝权，对全自动化决策建立了较欧盟更为宽松的“非禁止即许可”模式。自动化决策拒绝权在立法层面面临解释论展开，适用上需要理论关照。在反思欧盟模式、深耕中国规范和社会环境的情况下，需要思考的问题即为如何避免“权利白条化”，并为该权利在中国的现实寻找更具可行性的路径。目前的代表性解决方案主要针对相关法条适用门槛过高而豁免门槛过低的问题，主张在应用场景化中探讨该权利的内涵和外延，并检视切实可行的制度框架和行权途径。该方案将自动化决策拒绝权作为一种积极的请求权，通过降低门槛、减少例外、扩大权能的方式保障并推动信息主体积极行权。在自动化决策带来的整体增益不断扩大的情况下，上述路径基本上仅为一种程度意义上的、缓解式的解决方案，最好的效果仅为改善自动化决策拒绝权的环境，但无法在更基础的层面解决问题。
自动化决策拒绝权作为被赋予很高功能性期待的权利，未产生实效的原因不仅在于其行权规范和现实条件过于苛刻，而且在于其作为一种私法上的形成权具有的救济性和制衡性功能没有得到强调。客观认识这一权利的本质属性，将其还原到个人信息权利的网络之中才能理解：不是自动化决策拒绝权给了我们“虚妄的承诺”，而是我们寄予其过高的乃至不现实的期待。在私法层面，自动化决策拒绝权作为形成权的本质属性决定了其权利构造和功能局限。摒弃自动化决策拒绝权为积极请求权的思路，从其救济性、制衡性的形成权属性延展，方能还原该权利在现有个人信息保护规范架构中的应有地位。形成权的功能、结构和实施方式与权利的外部关系均与请求权存在区别，其本质功能在于通过拒绝同意实现一种权利制衡。因此，它只有在内部构造上不要求单一性，在外部关系上与其他相关信息权利共同配合，才能达到规范目的。此外，自动化决策拒绝权具有的个人信息权利的领域属性，又使其处于一种与其他部门法中的拒绝权不同的、高度不确定的、动态发展的场景之中。如果仍然使用请求权逻辑阐释自动化决策决绝权，那么很难理解该权利在功能上的制衡性、结构上的非单一性、实施方式上的被动性和权利外部关系中的协同性，进而对其寄予不切实际的期待而陷入悲观论。因此，理解自动化决策拒绝权的形成权本质能够建立一种现实的、更贴近规范目的的阐释路径，并延展出一种更具可行性的实施方式。
一、自动化决策拒绝权的
权能构造及形成权属性
除事实行为外，具有影响法律关系效力的拒绝，即不同意，在私法上一般与两种权利类型相关。第一种是形成权，即以拒绝同意形成、变更或终止法律关系的权利，体现单方意志对法律关系的变动。基于法律效果，作为形成权的拒绝分为两种情况：一是积极的确认法律关系的形成权，如民法除斥期间中的拒绝、导致要约失效的拒绝；二是消极的终止法律关系的形成权，即在无须事前获得同意的持续性行为中，行为人选择拒绝即可终止相关法律关系，如债权人可以拒绝提前履行、部分履行的规定，消费者明确表示拒绝的，经营者不得向其发送商业性信息。第二种是抗辩权，拒绝作为同时履行抗辩权、先履行抗辩权的权能，可以延缓或阻却他人行使权利以达到防御的目的。总体而言，拒绝既是权利主体意思自治、选择和自决权的具体体现，也是某种制衡和对抗，尤其被法律关系中权利与利益的弱势、被动一方应用，作为阻断法律关系的手段，以避免使自己陷入不知情、违背意愿或不利益的权利义务关系中。
就权利而言，只有当拒绝本身成为权利结构中的核心权能和决定性内容时，拒绝方才具有独立的权利品格。《个人信息保护法》第 24 条对自动化决策拒绝权进行了确认，为理解法律上的拒绝权提供了代表性示例。在一定意义上，自动化决策拒绝权作为一种独立权利出现，不仅意味着在信息化时代、平台经济模式下个人亟须一种权利作为重建利益和价值平衡的筹码，而且意味着权利规范形式的深入发展。
（一）获得解释、拒绝与人工干预下的二次决策三项权能及关系
权能是权利主体根据法律的授权所得为的行为，权能的根本是法律上之力。以GDPR为参照，以《个人信息保护法》为主要对象，自动化决策拒绝权的核心权能有三项：第一项为获得说明与解释权，即当信息处理者通过自动化决策方式作出对个人权益有重大影响的决定时，个人有权要求信息处理者予以说明；第二项为拒绝权（狭义上的，指表达不同意、反对），即个人有权不同意、反对信息处理者仅通过自动化决策的方式作出决定，在拒绝权的行使过程中也应包含表达异议权；第三项为获得人工干预下的二次决策权［结合我国《信息安全技术 个人信息安全规范》（GB/T35273—2020），以下简称《个人信息安全规范》的 7.7.C 的规定］。基于我国《个人信息保护法》第 44 条已经规定个人对其个人信息的处理享有知情权、决定权和拒绝处理权，因此应将自动化决策拒绝权中的获得说明与解释权作为第 44条一般知情权下的具体知情权，并应着重强调个人有权知晓其处于自动化决策方式中，以及信息处理者是否仅通过自动化算法作出决策。在此基础上，累加一般性的知情权内容，如信息处理目的、方式等。
在《个人信息保护法》第 44 条一般性拒绝权的规定之下，自动化决策拒绝权作为一种具体的拒绝权，意味着一种适用限缩，只在差别定价、未提供可选择性拒绝方式的个性化商业推送和仅通过全自动化决策的情况下方可行使。自动化决策拒绝权的内容与一般性拒绝权并无本质差异。
（二）自动化决策拒绝权的形成权属性
关于自动化决策拒绝权私法属性，目前主要有三种观点。第一种观点认为，自动化决策拒绝权是一种特殊请求权，“是自动化决策关系中数据主体请求数据控制者为或不为一定行为的权利，数据主体不能对自动化决策的权利标的进行直接支配，而只能请求数据主体予以配合”。第二种观点认为，自动化决策拒绝权是一种形成权，因为《个人信息保护法》第 24 条第 2 款规定的是一种（opt-in 意义上的）选择同意型确认形成权，而第 3款规定的是（opt-out意义上的）作为撤销权的终止形成权。第三种观点基于《个人信息保护法》第 44 条对决定权的规定，认为“决定权基本上指向限制处理或拒绝他人处理个人信息，相当于 GDPR 中的限制处理权和拒绝权……限制处理与拒绝处理无疑是决定权的内容”，由此自动化决策拒绝权是决定权的应有之义。
理解自动化决策拒绝权的权利属性，应建立在其核心权能的内容及其相互关系基础上。在私法上，支配权权能指权利主体可为，请求权权能指权利主体得要求他人当为，形成权权能指通过单方意思表示改变法律关系。从权能的表现形态可以反向推导出权利的类型与属性。在自动化决策拒绝权的三项权能中，知晓与获得解释权和人工干预的二次决策权需要借助信息处理者的作为方可实现，这两项权能在表面上符合请求权的基本规格。“在民事权利体系中请求权作为权利的一种，通常被定义为权利人可以要求他人为一定行为或不为一定行为的权利。”请求权强调义务主体的特定性，其存在意味着相对方具有对应性义务，其实现需要借助相对方履行特定义务。但在自动化决策拒绝权中，知晓与获得解释权主要是一种前提性设定，是狭义拒绝权的行使前提。知晓与获得解释权为个人行使狭义拒绝权服务，以个人行使狭义拒绝权为目的和指向。人工干预的二次决策权是狭义拒绝权行使的后果和延展，在没有拒绝的情况下，不会出现要求人工二次决策这一请求。拒绝作为形成权，产生了人工干预的二次决策请求权，符合关于形成权与请求权关系的理解，即“形成权的作用在于确定当事人之间的法律关系，其本身并无直接的利益可言，权利人要实现自己的利益，首先需要行使形成权益确定法律关系，在已确定的法律关系之上产生请求权，然后再行使这一请求权来实现权利人的利益”。因此，自动化决策拒绝权的核心权能、中心权能是狭义拒绝权，其行使是个人独立意思表示的结果，产生规范效果，直接影响行为的法律效力，同时具有抗辩功能。
就《个人信息保护法》第 24 条而言，自动化决策拒绝权的一般性表述应为第 3 款，第 1 款涉及的差别定价和第 2款涉及的个性化推送均应理解为对特定自动化决策享有拒绝权的特殊强调。因此，理解自动化决策拒绝权的结构应以《个人信息保护法》第 24条第 3款为核心，以第 1、2款为特别条款。就《个人信息保护法》第 24条第 3款的全自动化决策拒绝权而言，结合整个法律文本的体系化理解和举重以明轻的逻辑，对包括全自动化决策在内的自动化决策总体上采取了“非禁止即许可”的基本思路。沿着这一思路，自动化决策拒绝权是一种终止自动化决策的形成权，以否定个人信息处理者处理个人信息行为的合法性。在此基础上，知晓受到自动化决策、如何被决策的权能仅作为狭义拒绝权权能行使的前提，人工干预的二次决策为权利救济方式。
此外，支持将自动化决策拒绝权理解为形成权的理由还在于，该权利的三项权能之间不是选择性、同质性的权能，而是存在适用上的逻辑顺序，即“知晓与获得解释——狭义的拒绝（反对、表达异议）——要求人工参与的二次决策”。这一逻辑顺序显示了各项权能的时序性关联，其节点在于狭义拒绝权权能的行使，这一权能起着“拱顶石”式的核心作用，连接起整个权能的链条。而且，如果将自动化决策拒绝权理解为请求权，而“请求权的行使不形成新的权利义务关系，但可以推动其他实体性权益或权利的实现”，那么自动化决策拒绝权本身就不是一项独立的实体性权利，而是一种权利救济。但在立法中，自动化决策拒绝权的行使不仅直接阻断信息处理者全自动化决策的法律效力，而且产生了对应性义务，即告知、解释和人工干预的二次决策义务，显然构成了一种独立的实体性权利。
就《个人信息保护法》第 44 条的语词逻辑而言，将自动化决策拒绝权确定为决定权的观点可以理解为，决定权的内容包括有权限制或者拒绝他人对其个人信息进行处理，即将决定权理解为一般性拒绝权的上位概念可以成立。决定权与信息自决权密切相关，体现了较强的人格权属性，并关系人格尊严的维系。但决定权的内涵也将自动化决策拒绝权指向了一种形成权的逻辑，即通过个人的意思表达阻断信息处理行为的合法性，对信息处理行为的规范效果产生直接影响。虽然决定权的提出具有建立信息权利体系自主性的意味，但是仍不宜用决定权界定自动化决策拒绝权。其原因在于，决定权的存在主要倾向于理念层面的定位，概念相对模糊，在《个人信息保护法》第 44条中基本起到了一种概括作用，其本身的结构、功能和属性往往需要借助具体的权利形式和外部法律概念加以理解。
形成权作为成熟的民事权利类型，在作用和行使方式上强调主体意思表示的主导性，权利的内容不是对客体的直接支配，而是权利人能够单方设定、变更或者消灭法律关系的力量，它使相对人丧失原有法律地位，能够对法律关系的效力产生直接影响。在具备适用条件的前提下，自动化决策拒绝权与消极形成权，如撤销权类似，当个人主体行使拒绝权时，信息处理者再进行全自动化决策就失去了合法性基础。在这种情况下，非经个人同意不得进行决策，未停止的全自动化决策也不能对个人产生法律效果。从形成权中延展出的救济性权能，如从合同解除权中延展出的恢复原状、赔偿损失等救济性权能是形成权效力的体现，从自动化决策拒绝权行使中延展出人工参与的二次决策权能即救济属性。其他形成权行使过程中的重要问题，如除斥期间和撤回条件等，均为自动化决策拒绝权有待明确的问题。由于现行法律中未对自动化决策拒绝权的行使设定除斥期间，因此一般认为在全自动化决策的整个环节中个人均可行使该权利，且可撤销。作为形成权，自动化决策拒绝权也不可单独让与他人。
要而论之，自动化决策拒绝权以狭义拒绝（一种终止性形成权权能）为核心，以知晓与获得解释为前提，以获得人工干预的二次决策为救济，建立了一个具有适用逻辑时序性的复合型权能结构。
二、自动化决策拒绝权
的外部关系
“形成权仅具有中间性、手段性的权能，而非终局性、目的性权利。形成权的这一特征决定了它只能依附于某一基本权利的法律关系之上，而不能单独存在。换言之，形成权不能与基本权利的法律关系相分离而单独发挥作用，离开基础法律关系，形成权的存在也就失去了意义。”自动化决策拒绝权作为形成权，其基础在于它针对的自动化决策建立的信息处理法律关系。全自动化决策排除个人对其自身重要利益事项的决策具有的参与权、抗辩权等基础性权利，带有程序性瑕疵，可能存在错误和歧视。作为对这些可能存在的非正义之矫正机制，自动化决策拒绝权捍卫个人在信息处理中的自决和尊严。因此，拒绝本身不是目的，捍卫信息处理法律关系中权利人的自决和尊严才是目的。
从内部来看，自动化决策拒绝权的权能展示了一种复合型的结构，从权利的外部关系来看，这一权利与其他居于不同层次、分属不同类型和具有不同功能的个人信息权利形成了一个复杂的网络。自动化决策拒绝权并不处于《个人信息保护法》第 4章“个人在个人信息处理活动中的权利”部分，而是在第 2 章“个人信息处理规则”之中。与第 4 章从信息主体角度确权的视角不同，第 2 章的核心要旨在于规制信息处理者的处理行为，即主要为信息处理者的处理行为设置原则、法律红线并配以义务，而这些义务衍生出的权利就是制衡信息处理者技术与信息优势的筹码。这一逻辑体现在《个人信息保护法》第 27 条对于处理公开个人信息的规定中，即通过赋予个人拒绝权实现一种对信息处理者的制衡。在该法第 2 章 24 条中规定的自动化决策拒绝权也体现了这一部分规则的要义，即作为一种制衡性权利发挥其功能。
（一）权利层级关系视角
在权利层级关系视角上，自动化决策拒绝权的权能体现为《个人信息保护法》第 44 条一般性决定权、知情权、拒绝权的具体化，可以理解为知情权和拒绝权在自动化决策领域中的具体应用和展开。自动化决策拒绝权除应满足一般知情权和一般拒绝权的权利要求外，应着力满足自动化决策场景中的特定需要，尤其是强调反对与拒绝的形成权效果，以达到阻断自动化决策的目的。向上追溯即为《个人信息保护法》设定的信息处理原则。结合《个人信息保护法》第 7 条、第 24 条第 1 款重申了个人信息处理者利用个人信息进行自动化决策的原则为透明度和结果公平公正。“算法透明追求的其实是算法的简要说明，包括算法的假设和限制、算法逻辑、算法的种类、算法的功能、算法的设计、算法风险的重大变化等方面。”结果的公平公正实际上指向一种结果主义的评估标准，在技术上可以通过开发量化指标和规范评估过程来实现。这些原则针对自动化决策使用者的相关行为提出了原则性要求，并作为衡量其行为合法性的弹性和兜底。再向上，可以追溯到民法人格权、宪法上的尊严权乃至人权。作为形成权的全自动化决策拒绝权之单方意志性一旦遭遇阻却，可以以兜底性原则和上位权利为依据寻求进一步救济。其原因在于，这些原则和上位权利均指向对信息主体意思自决的强保护。仅就《个人信息保护法》而言，自动化决策拒绝权内嵌下述层级关系之中：透明度和结果公平公正原则——一般性信息权利（决定权——一般拒绝权）——特殊性信息权利（自动化决策拒绝权）。这一权利层级关系也将自动化决策拒绝权导向形成权的权利属性。
（二）权利网络关系视角
在横向权利网络关系中，单项个人信息权利功能的发挥往往需要在个人信息权利网络体系中通过彼此支持加以实现，“当这种情况——支持实施一项权利而无须支持同时实施另一项权利——在逻辑上或实践上前后矛盾时，后一项权利就强有力地支撑前一项权利”，“相互之间支撑较弱的权利是相互依赖的。相互之间强有力地支撑的权利是不可分割的”。《个人信息保护法》第 4 章与自动化决策拒绝权具有强支撑关系的个人信息权利包含在第 44条中，如果作为上位权利的一般知情权与决定权，以及第 48条对于个人信息处理规则的要求解释和说明权付之阙如，那么自动化决策拒绝权将无法实现。因其权能中的知晓并获得解释权着重强调的是使权利人获知其处于自动化决策之中及如何被决策，实施自动化决策拒绝权需要同时将一般性知情同意权的整体内容累加于其上方能达到效果。因此，应结合《个人信息保护法》第 17、44条，个人信息处理者在自动化决策中的告知义务上应首先明确告知权利人处于自动化决策之中、是否是全自动化决策及决策的基本方式，同时也应按照第 17条规定告知其他信息，如信息处理者、处理的个人信息的种类及保存期限等。
与自动化决策拒绝权具有相对弱支撑关系的个人信息权利包括《个人信息保护法》第 45 条中的查阅权、复制权和可携带权，第 46 条中的更正权和补充权、第 47 条中的删除权（被遗忘权）。查阅权、复制权和可携带权是人工干预的二次决策过程中个人可主张的程序性、参与性权利，而更正权、补充权、删除权、被遗忘权此类指向信息内容具体处理的权利是自动化决策拒绝权行权的结果。在以人工干预方式重新进行信息处理和自动化决策的基础上，更正权、补充权、删除权和被遗忘权还要求对信息进行实质性安全和隐私保护处理，以达到准确完整和必要的效果。由《个人信息保护法》其他章节和相关条文中引申出的权利，如由政府信息处理告知义务、信息处理行为的评估义务等产生的对应性权利，也与自动化决策拒绝权相关。例如，《个人信息保护法》第 55 条设定进行事前风险评估的义务，并对风险评估的具体内容进行了规定；再如，《个人信息安全规范》7.7.C 规定个人信息控制者应就自动化决策进行安全影响评估、采取有效保护个人信息的措施、定期开展个人信息安全影响评估，个人可以要求信息控制者就程序性问题加以解释和说明，“说明”的内容也包括自动化决策的程序和监督机制。
（三）以欧盟《一般数据保护条例》中的权利体系分析作为比较对象
上述自动化决策拒绝权与其他个人信息权利的关系，可以借助 GDPR相对完善的体系加以阐释。GDPR 第 22条涉及的全自动化决策拒绝权，与诸多 GDPR 其他条款中的数据权利具有直接关联，如 GDPR 第 13、14 条中的知情权（right to be informed）、第 15 条中的访问权（rightto access）和第 16 条中的更正权（right to rectification）。知情权要求数据通知人和自动化决策系统的使用者必须保证数据所有人能够清楚、便捷地了解到个人处于算法自动化决策或画像之下，并使其了解该决策和画像是如何进行的。GDPR第 15条规定，数据主体应具有从数据控制者那里获得明确信息，其个人数据是否被应用与程序处理，以及访问其个人数据和信息的权利。上述知情权和访问权应达到对数据主体有意义的程度，即能够被数据主体理解。第 29条工作组认为，这一要求意味着数据控制者有义务使数据所有者可能了解其输入并被应用于数字画像的个人数据、信息及其片段的细节。
GDPR第 22条还涉及 GDPR第 16、17条中的被遗忘权（right to erasure,right to be forgotten），即数据主体有权利主张对被应用数据（包括输入数据和输出结论数据）中的错误数据和不准确、不完整的数据进行删除、补充和修正。这一权利关系到全自动化决策拒绝权应用的途径与方式，尤其当数据主体无法完全拒绝或者不愿意完全拒绝算法决策、无法完全摆脱算法决策时，可以通过人工参与的修正、补充和删除数据方式实现获得公正平等对待的权利。正是在这个全方位数据权利网络中，全自动化决策拒绝权才能具有更高程度的融贯性。
在数字人权语境中，欧洲的自动化决策拒绝权与人权建立了规范联系。法国宪法委员会认为，数据控制者和开发者负有义务向处于被决策地位的数据主体解释算法过程至可理解的程度，并将此义务适用于与数据主体有关的机器学习过程。同时，法国宪法委员会认为商业秘密等知识产权保护应受制于更高的宪法和人权保护原则，以保障个人数据主体的数据可及性与可理解性原则。法国宪法委员会裁定，如果基于知识产权保护无法使算法的内部功能被阐释和了解，应禁止使用全自动算法来决策个人事务。2020年荷兰海牙地区法院在“NCJ Metal.and FNV v The State of the Netherlands案”的裁决中认为，荷兰政府为打击税收和社会保障领域的欺诈行为而建立的自动化风险指示系统（SyRI）及其使用的立法均不符合《欧洲人权公约》（ECHR）第 8（2）条规定的要求。可见，当涉及自动化决策的规制时，要关注有关基本权利及有关反歧视的规定。当自动化决策使用存在对基本人权的侵害风险时，自动化决策拒绝权本身就是一种人权的保障机制。
通过对欧盟规范的分析可知，自动化决策拒绝权要想在个人信息权利网络之中发挥作用，需要借助其他权利的支撑，同时支撑和强化其他权利，并为其他权利提供救济途径。因此，在分析此项权利实施路径的过程中，不能仅聚焦此项权利本身，而应注意到，通过强化知情权、算法解释权、删除权等可以达到强化自动化决策拒绝权的效果。当上述权利无法为自动化决策拒绝权提供有效支撑的时候，仅凭自动化决策拒绝权一己之力无法达到制衡算法权力的目的。因此，处于权利网络之中的自动化决策拒绝权同其他信息权利一起息息相关。应当说，取得个人信息权利保护的规范效果是一项整体工程，不能仅凭强化单个权利来推动。
