大数据差异定价的法律规制
——以个人信息保护为视角

梁恒奕（贵州警察学院，贵州 贵阳 550005）

差异定价，常指“企业并非出于供给成本的考虑而针对同一或相似商品、服务的不同消费者收取不同的费用”[1]583。“大数据”一般具有数量大、种类多以及信息收集处理高效的特征。[2]差异定价因消费偏好与认知错误而得以实现，大数据算法又使得差异定价更为精准。[3]218大数据基础之上的差异定价有利于提高企业利润、提升市场经济运行效率，[1]582[3]221但也带来了消费者知情权、个人信息权益被损害等问题。差异定价行为利弊兼具，因此绝对禁止这一行为并不可取，但企业不当的数据采集、使用行为也必须予以规制。换言之，在消费者自我救济能力有限的情况下，国家法律需要做的，是在企业营业自由权与消费者知情权、个人信息权益之间作出一个平衡。

从消费者个人信息保护的角度来思考如何规制差异定价行为，具有逻辑上的合理性，这一研究路径，也是在对比其他法律领域后作出的选择。就反垄断领域而言，企业的差异定价行为如果仅损害消费者权益，却并未对市场的公平竞争秩序造成损害，那么该行为将难以受到反垄断法规制；并且，大多数学者探讨反垄断领域的差异定价时，[4]都以企业具有市场支配地位为前提，对于不具市场支配地位的企业，反垄断法的适用可能存在局限性。消费者权益保护法规制差异定价的着眼点，在于对消费者“知情权”的保护，而在大数据背景之下，对个人信息权益和数据安全的保护，又成为了“知情权”保护的核心要义。滥用个人信息侵害个人信息权益的行为，在侵权法领域，只能通过一般侵权责任加以归责，但因消费者举证能力弱等问题，通过侵权法规制企业的个人信息使用行为便很困难。实际上，大数据差异定价，就是企业通过收集消费者的交易记录、浏览记录、消费记录等个人信息，并通过大数据比对分析，判断消费者对产品的需求程度，在预测消费者保留价格的基础上，针对不同消费者制定不同价格。也正因如此，在个人信息保护领域探讨如何规制差异定价行为，具有明显的合理性。

一、个人信息保护下规制差异定价行为

个人信息保护，传统上以“知情同意”这一“君子协议”为核心，我国的个人信息保护制度亦是如此。①《中华人民共和国个人信息保护法》第14 条第1 款：“基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。法律、行政法规规定处理个人信息应当取得个人单独同意或者书面同意的，从其规定”。“知情同意”意味着企业在收集、使用消费者个人信息前，需将收集信息的范围、方式及信息收集后的使用方法告知消费者，并获得消费者的同意。但如今，对知情同意原则的质疑在于，消费者实际上无法在隐私条款繁多、控制能力有限的情况下实现“知情”，企业也无法在隐私协议中精准划定“知情同意”的范围。那么，规制大数据差异定价行为，是否还应适用知情同意原则？

在规定“知情同意”的同时，《个保法》第13 条列举了六种不需取得个人同意的情形。②主要指《中华人民共和国个人信息保护法》第13 条所列举的：“（二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；（三）为履行法定职责或者法定义务所必需；（四）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；（五）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；（六）依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；（七）法律、行政法规规定的其他情形。”无需取得个人同意的例外情形，实际上限缩了“知情同意”的适用范围。[5]如果说我国《网络安全法》仅将“知情同意”作为信息处理者获取、使用个人信息的唯一合法依据，并将这一依据推向极端化，[6]80那《个保法》无疑在“同意”之外，为数据信息的收集使用提供了其他法律背书。然而，在消费者并未明确作出同意时，企业想要在《个保法》第13 条中寻找信息收集处理的合法性依据，似乎存在困难。第13 条第1 款第2 项至第7 项规定的情形中，制定劳动规章、履行法定义务、应对紧急情况、出于公共利益考虑的新闻报道、处理已公开个人信息，都与大数据差异定价关系不大。而“为合同履行所必要”时不需信息主体同意，在于双方合意达成的协议，是双方意思表示一致的结果，因而无需再度取得信息主体的同意。[6]81在大数据差异定价的语境下，企业与消费者签订隐私协议，并以此作为信息收集处理的合法性依据，实际上只是“知情同意”原则的一种具体形态，本身不是消费者未明确同意时，可作为行为正当性基础的法律依据。此外，兜底条款虽能应对新出现的各种情况，但缺乏足够的指引力。鉴于此，在“知情同意”之外，应当如何判断企业大数据差异定价行为的合法性？

从国外立法看，以美国《个人隐私权利法案（草案）》（Consumer Privacy Bill of Rights Act of 2015，CPBA，简称《隐私法案》）为代表，很多国家的立法都将目光投向了数据使用阶段，强化数据使用过程中的责任。通过比较研究，立足《个保法》的规定，参考《隐私法案》的具体制度设计，本文将探讨如何完善《个保法》规制大数据差异定价行为的路径。

二、《隐私法案》：场景判断的引入

美国实践中并未将个人信息作为一种独立的法律权利客体加以保护，而是将个人信息纳入隐私权的概念范围，独创性设置信息隐私这一隐私权新分支。在应用大数据与算法技术的场景中，相关主体越发依赖个人信息的收集、处理、利用以及传输，这使得隐私保护与信息处理规制在美国成为一项重要且被广泛讨论的问题。[7]为解决相关主体数据处理行为带来的隐私风险，以及平衡各方主体利益的需要，美国白宫在《隐私与创新绿皮书》《互联网经济中的商业信息隐私与创新：一个动态政策框架》[8]以及《网络环境下个人信息的隐私保护——在全球数字经济背景下保护隐私和促进创新的政策框架》①The White House,“Consumer Data Privacy in a Networked World: A Framework for Protecting Privacy and Promoting Innovation in the Global Digital Economy”,2012-02-23,http://www.white-house.gov/sites/default/files/privacy-final.基础上，于2015 年发布《隐私法案》，探求顺应时代发展的新制度架构。总体来看，在保留“知情同意”的同时，《隐私法案》引入“场景判断”规则，为“同意”之外的数据收集使用行为，提供了合法性判断标准。

（一）透明度与用户控制

《隐私法案》对透明度的规定是对“公平信用实践法则”的贯彻与延续，将权利主体的知情同意作为信息处理的合法性基础。[6]71-72其第101 条明确透明度的“合理性”标准，强化企业的告知义务，指出处理个人信息的企业应当向消费者提供清晰准确、简明易懂的通知，告知其处理数据的目的、类别、销毁时间、消费者权利等内容，保障消费者的知情权。②Administration Discussion Draft: Consumer Privacy Bill of Rights Act of 2015Sec.101.（a）In General.—Each covered entity shall provide individuals in concise and easily understandable language,accurate,clear,timely,and conspicuous notice about the covered entity’s privacy and security practices.Such notice shall be reasonable in light of context.Covered entities shall provide convenient and reasonable access to such notice,and any updates or modifications to such notice,to individuals about whom it processes personal data.

同时，《隐私法案》第102 条指出，企业应当在合理的时间向消费者提供合理的方式，保障其能够实现对个人信息的自我控制，并以列举的方式明确消费者享有包括但不限于知情、撤回授权同意以及请求删除信息等权利，突出强调消费者“隐私偏好”③Administration Discussion Draft: Consumer Privacy Bill of Rights Act of 2015Sec.102.Individual Control（a）In General.—Each covered entity shall provide individuals with reasonable means to control the processing of personal data about them in proportion to the privacy risk to the individual and consistent with context.。因此，消费者可以根据《隐私法案》的规定要求企业删除其消费记录或浏览记录，禁止企业利用该信息对其实施不正当的差异定价行为。

为落实用户控制，《隐私法案》要求企业应当为用户控制权的实现提供便利，该便利条件包括向消费者提供其收集、使用或者公开个人信息的规模、范围以及敏感度，并在适当时间和地点以适当方式为消费者提供清楚简明的选择机制。[9]其中，选择机制作为一项特殊制度，对消费者个人信息的控制具有重要影响。根据《隐私法案》第103 条规定：“个人信息处理行为产生不合理的隐私风险时，企业应当为消费者提供控制或选择机制，目的在于建立一种信息处理事前征询制度，以消费者的理性选择来决定企业能否后续利用信息，防止不透明的信息画像行为给消费者带来的不合理差别定价等隐私风险。”④Administration Discussion Draft: Consumer Privacy Bill of Rights Act of 2015Sec.103（b）（1）Heightened Transparency and Individual Control.—Covered entities shall provide individuals with notice regarding personal data practices that are not reasonable in light of context at times and in a manner reasonably designed to enable individuals to decide whether to reduce their exposure to the associated privacy risk,as well as a mechanism for control that is reasonably designed to permit individuals to exercise choice to reduce such privacy risk.The factors relevant to determining whether such notice and mechanism for control are reasonably designed shall include,but are not limited to.

（二）场景判断

目的限定原则是各国信息保护立法的基本原则，要求个人信息的收集需具备特定合理的目的，且后续利用及传播不得违背此目的。但在大数据时代，个人信息的利用场景纷繁复杂，往往超出相关主体的预期目的以及立法所能洞见的范围。因此，采取以结果为导向的动态界定思路成为美国信息隐私保护立法的重要趋势。以结果为导向的动态界定思路，实质上是情境脉络完整性理论的实践转化，即考察“个人信息在相关情境中是否合理流动”，[10]判别信息处理利用的最终结果是否符合消费者的“合理期待”，排斥单纯依靠先前收集处理信息时持有的原始目的作为判定行为合法性依据。《隐私法案》在规则设计时遵循这一思路，以动态综合的具体场景判断取代目的限定分析，考察相关主体后续处理与利用信息行为是否超出原有授权目的的语境，在企业信息收集处理规制的合理程度，与行为所处环境之间建立了紧密联系。

《隐私法案》首先在定义条款明确界定场景的主要因素，包括消费者与企业之间关系的紧密程度、符合商业习惯或符合消费者预期的个人数据处理、企业控制的消费者个人数据的披露和模糊程度等。[11]其次，《隐私法案》指出相关主体“只能通过相应场景中合理的手段收集、留存及利用个人信息”，以“在相应场景中合理”的标准作为个人信息处理行为的合法性授权，界定了合理使用的动态边界。①Administration Discussion Draft: Consumer Privacy Bill of Rights Act of 2015Sec.104.（a）:In General.—Each covered entity may only collect,retain,and use personal data in a manner that is reasonable in light of context.A covered entity shall consider ways to minimize privacy risk when determining its personal data collection,retention,and use practices.同时《隐私法案》还规定，当企业信息处理行为于特定场景中不合理，但能够为消费者提供增强控制机制以及降低风险的选择机制，只要消费者不反对，可构成合理使用。②Administration Discussion Draft: Consumer Privacy Bill of Rights Act of 2015Sec.102.（d）Exceptions.—A covered entity shall not be subject to the requirements of subsection（a）,subsection（c）,or a requirement to provide heightened individual control under section 103（b）（1）of this Act,to the extent that the collection,creation,processing,retention,use,or disclosure of personal data is for purposes set forth in the enumerated exceptions.Sec.103.（a）In General.—If a covered entity processes personal data in a manner that is reasonable in light of context,this section does not apply.Personal data processing that fulfills an individual’s request shall be presumed to be reasonable in light of contextSec.103.（b）Privacy Risk Management.—If a covered entity processes personal data in a manner that is not reasonable in light of context,the covered entity shall conduct a privacy risk analysis including,but not limited to,reviews of data sources,systems,information flows,partnering entities,and data and analysis uses to examine the potential for privacy risk.Covered entities shall take reasonable steps to mitigate any identified privacy risks,which shall include,but are not limited to,providing heightened transparency and individual control.Sec.104.（c）Nothing in this section shall be construed to prohibit a covered entity from collecting,creating,processing,retaining,using,or disclosing personal data for—（1）Purposes set forth in the enumerated exceptions；（2）Processing personal data if the covered entity provides heightened transparency and individual control in a manner that satisfies the requirements of section 103（b）of this Act；or（3）Performing an analysis under the supervision of a Privacy Review Board pursuant to section 103（c）of this Act.《隐私法案》的规定意味着，当企业的信息处理行为在相应场景中合理或不合理时都能够提供增强用户控制个人信息的措施，可无需经消费者的同意或满足其他条件，自动获得合法性授权。

场景理念的置入对企业利用数据进行差异定价的规制具有重要意义。作为一种商业策略，差异定价只要符合正常价格波动曲线，就是企业追求利润的一种合理定价方式。[12]因此，对于企业利用大数据技术实施差异定价行为是否造成隐私风险，构成对消费者合法权益的减损，需要进入特定场景予以具体判断。只要企业定价的最终结果符合公平标准，便不构成个人信息的滥用。而对于企业采取大数据杀熟式的极端差异定价行为，因不符合场景理念下消费者的隐私合理期待以及非歧视要求，构成对消费者信息隐私权的侵害，受到《隐私法案》的严格禁止。

可见，《隐私法案》设置了较为弹性的信息处理行为的合法性、合理性论证框架，只要相关主体能够证明信息处理行为在相应场景中具有合理性，就构成信息的合理使用，大幅扩展了信息处理的合法事由。《隐私法案》场景理念的置入，以及将以结果为导向的合理期待作为信息利用行为合理性论证的重要依据，摆脱以前端静态的消费者同意作为主要合法事由的僵化架构，弥补传统法律架构中“全有或全无”二元对立评判方式的弊端。在这种立法思路下，企业可以将僵化的合规转化为灵活的风险管理，无需处处防备，将合规精力重点放在经营活动中可能出现的不合理个人信息处理行为上，极大提升信息保护的有效性和实效性，降低企业合规负担，实现个人信息权益保护和信息商业价值开发的妥协与平衡。

场景理念的置入作为《隐私法案》的重要创新点，在发挥作用的同时，也存在局限性。一是《隐私法案》尽管详细列举了场景构成要素，但可能考虑到场景往往由诸多隐秘关联且多元复杂的要素有机构成，其合理性判断存在艰巨性。因此《隐私法案》采取有意的立法模糊，将合理性判断交于司法官员或行政官员进行自由裁量，未作出细致规定和施加方向性引导。这就导致法律在适用过程中可能存在极大的不确定性，并过分依赖于后续的立法或准立法行动，影响《隐私法案》本身的效力发挥。二是场景的判断也受制于隐私合理期待。《美国侵权法重述（第二版）》就隐私合理期待指出，判定他人是否能够提起隐私侵权之诉，在于被诉行为是否使社会一般理性人感到反感。[13]然而，法律对隐私保护的范围会随着社会对隐私合理期待的变化而变化，具有不确定性。原因在于，隐私期待理论实质上建立在一个与隐私相关的观念市场上，尤其在大数据时代，市场中存在的信息不对称、评估困难、集体行动弱等问题无形中降低社会隐私期待水平，这为那些试图在隐私权消退中谋取私利的企业提供可乘之机。

（三）联邦贸易委员会

美国《联邦贸易委员会法》（Federal Trade Commission Act）第5 条规定，联邦贸易委员会（Federal Trade Commission，FTC，下称委员会）“有权采取措施，预防和制止企业实施不公平的市场竞争行为”。①Federal Trade Commission Act Sec.5.Unfair methods of competition unlawful；prevention by Commission（a）Declaration of unlawfulness；power to prohibit unfair practices；inapplicability to foreign trade（1）Unfair methods of competition in or affecting commerce,and unfair or deceptive acts or practices in or affecting commerce,are hereby declared unlawful.（2）The Commission is hereby empowered and directed to prevent persons,partnerships,or corporations...from using unfair methods of competition in or affecting commerce and unfair or deceptive acts or practices in or affecting commerce..而《法案》第201 条规定，“违反本法第2 部分内容的行为将被视为《联邦贸易委员会法》第5 条所表述的欺诈和不公平行为”。②Administration Discussion Draft: Consumer Privacy Bill of Rights Act of 2015Sec.201.（b）Unfair or Deceptive Acts or Practices.—A violation of Title I of this Act shall be treated as an unfair or deceptive act or practice in violation of section 5 of the Federal Trade Commission Act（15 U.S.C.§45）.同时，《隐私法案》第401 条明确指出，“本法的任何规定不得被解释为对委员会所享有的规制与信息处理有关的不公平行为权力的限制”。③Administration Discussion Draft: Consumer Privacy Bill of Rights Act of 2015Sec.401.（b）Nothing in this Act shall be construed to limit the Commission’s authority to prevent unfair acts or practices relating to personal data processing.这意味着，《隐私法案》授予联邦贸易委员会在国家层面对企业违反信息隐私规则和侵犯消费者信息隐私行为的行政管理权限。

因此，根据《隐私法案》和《联邦贸易委员会法》的规定，只要委员会在企业利用个人信息实施差异定价场景中，有理由相信企业行为属于不正当或欺骗性行为，且该行为侵害公众利益，便可向企业提出指控并举行听证会。被指控的企业应当在规定时间内以书面形式向委员会提供证据，证明其行为获得消费者同意，符合场景理念构成合理使用，或不构成欺诈与不公平行为。若举证不能，委员会有权对利用消费者个人信息实施差异定价的企业作出行政处罚决定。

三、借鉴参考：大数据差异定价规制路径的优化

由于各国学说理论和立法实践的差异，语境转换存在难题。美国法下的个人信息法律规范，同我国相比，差异并非简单表现在具体制度上。不经过细致的工作，很难武断地说以美国法为代表的将个人信息纳入隐私权范围的模式，在某方面与我国的规范有实质差异。

从整个规则体系看，我国《个保法》与美国《隐私法案》，在内在逻辑上具有一致性：其一，二者都强调“知情同意”的重要性。我国《个保法》规定信息处理者应使信息主体“充分”知情并“明确”同意，而后才能开始信息收集处理行为；《隐私法案》则通过“透明度”“用户控制”的规定，保障信息主体的知情权，本质上仍是对知情同意原则的适用。其二，都不再将“知情同意”作为信息收集处理的唯一合法标准。我国《个保法》已经对不需要 “同意”的信息收集处理行为作出了规定；《隐私法案》将“在相应场景中合理”的标准作为个人信息处理行为的合法性授权，并通过模糊性立法的方式，将司法现实中的合法性判断，交给法官或行政执法官去完成。立足我国个人信息保护的立法现状，有区别、有条件地借鉴美国立法，将有助于对利用大数据进行差异定价的个人信息收集处理行为，形成新的规制路径。

（一）知情同意原则仍应适用

虽然《个保法》已经规定了“充分知情，明确同意”，《隐私法案》也规定了“透明度”“用户控制”的要求，但“知情同意原则”本身，早已受到学术界、实务界的广泛质疑。的确，生活节奏的加快，使得消费者根本无心阅读冗长的隐私条款，商业社会的快速变化，也会让陈旧的隐私条款跟不上企业的发展需要。因此已有不少学者主张放弃“知情同意”的核心地位，将对企业信息收集处理行为的规制重心，由事前转移到事中，即数据的使用阶段。例如，有学者就主张知情同意原则属于“前信息时代”框架，与大数据时代的个人信息系统生态格格不入，应采用信息使用中的动态风险控制模式，来规制企业的信息收集处理行为。[14]但是，对“知情同意”的内涵加以挖掘，会发现知情同意原则的适用，特别是对于大数据差异定价的规制来说，仍具有独特价值。

一是，“同意”可以产生“信任经济”，有助于企业与消费者的良性互动。[6]75在作出是否同意的意思表示之前，消费者需要对企业控制自己信息的风险，企业利用信息进行差异价格推送的方式进行充分考虑，这种“参与感”会建立起消费者与企业之间的互动联系，在“磋商”中形成信赖。例如，临近节日，很多商品的价格都会较平时有一定程度的提高，商家提前将价格上涨的情况告知消费者，消费者也会乐于接受，不会对这种时间性的差异定价行为产生不满。而对于企业而言，尽心尽力制定隐私政策，并将其公布于众，就要求企业能够在算法设计、策略制定的过程中，考虑其差异定价方式的合理性。开诚布公的方式，也更容易获得消费者信赖，消费者放心将个人信息交给企业，企业也能够更充分地利用消费者的偏好、支付意愿等信息，为消费者推送价格，降低消费者的搜寻成本。

二是，“同意”并非一次性作出，数据处理的过程中，本身也可依消费者的“同意”，来决定企业是否可以继续其数据收集处理行为。若采取体系化的解释，现行有效的《信息安全技术公共及商用服务信息系统个人信息保护指南》中，将同意分为明示同意和默许同意，①《信息安全技术公共及商用服务信息系统个人信息保护指南》第5.2.3 条指出：“处理个人信息前要征得个人信息主体的同意，包括默许同意或明示同意。收集个人一般信息时，可认为个人信息主体默许同意，如果个人信息主体明确反对，要停止收集或删除个人信息；收集个人敏感信息时，要得到个人信息主体的明示同意。”非敏感的个人信息，可在默许同意的前提下获取。虽然其仅为国家质量监督检验检疫总局（已撤销）、国家标准化管理委员会制定的技术文件，但对一般企业而言，已经具有足够的指导性。那么，消费者亦可在同意之后，对企业的信息收集处理行为明确反对，并要求企业删除、禁止访问有关信息，实现对个人信息的全程性控制。

因此，若适用知情同意原则，一方面应判断企业在收集处理信息前，是否充分履行了告知义务，即是否告知消费者将收集其个人信息，并用于之后的产品推荐、价格筹划等差异定价行为。另一方面，要判断消费者是否已自愿明确作出同意。如若企业收集处理的是行踪轨迹、消费金额、家庭住址等关系自然人人格尊严、财产安全的个人敏感信息，对于这类信息，还必须经消费者明确、单独同意，企业才可收集、处理；至于偏好的颜色、款式等一般个人信息，只要消费者未明确反对，企业即可处理。满足知情同意原则的差异定价，因消费者知悉差异定价的行为，并对企业掌握和运用其个人信息作出同意，而具备合法性基础。

（二）对“场景判断”参考借鉴

我国《个保法》列举了无需同意的情形，弱化了知情同意原则的核心地位。美国《隐私法案》的“场景判断”，则是将信息收集、处理的合法性标准动态化，打破以“同意”为前提判断是否合法的二元规则，这毫无疑问为相关主体的数据采集行为拓展了合法性基础。但是，中美立法在“无需同意”的合法性判断上，采取了不同的立法思路。《个保法》第13 条第1 款对“无需同意”即可处理个人信息的情形，作出了列举式规定，但难以涵盖现实商业社会的全部情形，特别是无法为“无需同意”的大数据差异定价提供合理性判断的依据，且第7 款的兜底规定，也无法给“同意”之外的合法性判断提供一般指引。《隐私法案》为非经同意的信息收集处理，提供了“场景判断”的合法性判断标准，即“场景中合理”。但是，如前所述，《隐私法案》未对“合理性”的判断作出细致性、引导性的规定，那如何判断在特定情境下，企业收集、使用消费者的个人信息行为具备“合理性”，也就缺少客观的、方向性的方法。因此，虽然《隐私法案》可以提供合法性判断的思路，但在借鉴“场景判断”思路的同时，还应当结合我国立法情况，细化“场景判断”的具体标准。

对“场景判断”或者信息使用过程中的特定场景下的合理性判断，有学者提出了必要性原则、目的限定原则以及比例原则的“平衡测试”方法，具有参考意义。必要性，要求企业最小程度利用信息，以及用影响最低的方式处理信息；目的限定，要求信息的后续使用方法与前期的信息收集方法相称；比例原则，要求企业的信息收集处理行为即便是对消费者产生负面影响，也要将影响控制在符合比例的范围内。[15]从具体的适用方法可以发现，对企业信息处理过程中的合理性判断，不管称其为“场景判断”，还是“平衡测试”，关键都是要看企业在特定情境下处理消费者个人信息，是否满足一定的要求；若该要求已经由法律加以规定，则就变成判断企业是否履行法定义务的依据。

此次《个保法》以专章规定了“个人信息处理者的义务”，这对企业处理消费者个人信息提出了具体要求，大体上与《民法典》第111条的规定相一致。[16]从信息收集阶段的合法收集义务、信息处理阶段的积极作为义务以及消极不作为义务，信息处理者的义务贯穿个人信息处理的全过程。就数据处理阶段而言，其中的积极作为义务主要指“确保信息安全”，即对于依法取得的消费者个人信息，企业负有确保其安全的积极作为义务。在积极作为义务中，《个保法》第55 条对风险较大的个人信息处理活动进行事前评估的规定，①《中华人民共和国个人信息保护法》第55 条：“有下列情形之一的，个人信息处理者应当事前进行个人信息保护影响评估，并对处理情况进行记录：（一）处理敏感个人信息；（二）利用个人信息进行自动化决策；（三）委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息；（四）向境外提供个人信息；（五）其他对个人权益有重大影响的个人信息处理活动。与欧盟的《通用数据保护条例》第35 条可谓异曲同工。此外，《个保法》第56 条列举的评估内容，②《中华人民共和国个人信息保护法》第56 条：“个人信息保护影响评估应当包括下列内容：（一）个人信息的处理目的、处理方式等是否合法、正当、必要；（二）对个人权益的影响及安全风险；（三）所采取的保护措施是否合法、有效并与风险程度相适应。个人信息保护影响评估报告和处理情况记录应当至少保存三年。”实际上与“平衡测试”中的必要性原则、目的限定原则以及比例原则大体对应，也是企业在收集处理消费者个人信息过程中，对合理性判断的细化要求。换句话说，《个保法》第56 条本质上就是我国《个保法》中“场景判断”的核心条款；再结合《个保法》中规定的处理个人信息的“合法正当、必要、诚信”“目的明确、最小范围、最小影响”“公开透明”等原则，“采取并实施相关信息保障措施防止个人信息泄露或被窃取、篡改、删除”“对于个人信息泄露采取积极的补救措施”“禁止一切损害个人信息权利的行为”等义务，就构成了“场景判断”的“标准体系”。

在这种思路下，由于利用大数据进行差异定价必然依赖自动化决策，若企业在收集一般个人信息时没有取得消费者同意（个人敏感信息仍需明确同意），但是企业已经在信息处理前进行了影响评估，也履行了安全保障等积极、消极义务，符合相关程序要求，则应当认为企业具备信息收集处理的合法性基础，不能因企业未获得同意授权，而认为企业行为构成不法。此外，考虑到大数据差异定价的特性，从决策结果上来说，若信息处理导致“大数据杀熟”等不合理差异定价行为，则仍然会丧失已经建立的合法性基础。当然，依文义解释和体系解释，并不能得出前述结论，因为《个保法》中并未明文规定信息处理过程中的“场景判断”规则。法律条文之间的联系，也不足以表明履行法定义务可以作为“无需同意”的例外情形。因此，若要采取此种思路，可能还需要立法上的特别说明。