[33]这种放宽的法律保留本质上已是法规范保留，[34]其寓意在原则性禁止的前提下，算法进入公共决策仍旧被赋予了相对广阔的空间。
相比之下，民法典、社会保险法、基本医疗卫生与健康促进法、数据安全法等法律，虽然只有个别条文呼应了积极老龄化理念，却更具可操作性。一些老年人受限于经济条件和学习能力，在信息的获取和技术的应用方面处于不利地位，由此成为数字时代的弱势群体。
这一宪法条款不仅具有政治宣示的意义，也可作为我国宪法上未列举基本权利的安身之所，推导出其他具体人权，因而构成了以法治方式推进积极老龄化的规范依据和价值准绳。多利益攸关方治理原则主张，生产性老龄化事业应由各方自主组织、自主决策、自主实施，国家和法律主要发挥引领行动计划和协助调配资源等激励作用。（一）提升老年人内在能力的法治保障个体的内在能力是个体生理能力与心理能力的综合。例如，养老机构的医疗业务由民政部门主管，同时又涉及卫生部门的业务管理、人社部门的医疗保险管理等。基于这些原因，积极老龄化在逻辑上由健康老龄化、生产性老龄化和智慧老龄化三个维度构成。
此外，有关老年人权益保障的地方立法还普遍存在简单重复上位法的现象，要使积极老龄化战略切实落地，今后必须提高相关地方立法的精细化水平，甚至鼓励地方立法先行先试。通过法治途径保障和提升老年人的内在能力，应以制定良法为出发点，对相关规范体系进行全过程设计。交通运输部于2012年底就下发通知明确要求，自2013年1月1日起，示范省份所用的旅游包车、大客车、危险品运输车辆需要更新车载终端的，都应安装北斗兼容车载终端。
其次，本条虽然规定了个人免受自动化决策约束权，但个人有权拒绝的究竟只是个人信息处理者仅通过自动化决策的方式作出决定还是自动化决策的结果，条文同样语焉不详。无论是作为表象的程序控制还是内嵌入其中的实体赋权，所缺失的都是在源头处对算法进入公共决策予以严格把控。公共决策仍旧可以畅行无阻地适用算法，其可能遭遇的障碍只有信息主体事后的免受自动化决策约束权。[63]在人工智能时代，技术首次超越了受人支配的客体地位，而人的主体性也受到前所未有的挑战。
第二项明显针对算法技术适用于公共决策。即使未直接处于上述行为法依据的辐射领域，只要公权机关基于个人信息处理进行算法决策，也至少应有行政法规的授权依据。
尽管各国对算法技术应用于公共决策的实体边界尚未有相对一致的规范，但传统法律保留原则仍可成为思考这一问题的基本框架。有权拒绝个人信息处理者仅通过自动化决策的方式作出决定直接对标GDPR中的数据主体有权拒绝仅基于自动化决策作出的、对其产生法律效果或类似重大影响的决定。第24条作为自动化决策的核心规范，共有三款，其中可直接适用于公共机构的有两款：其一，个人信息处理者利用个人信息进行自动化决策，应当保证决策的透明度和结果公平、公正。但两者之间其实存在一定的差异。
算法作为更好的决策者会大大提升行政效能，但其内含的去人性化特质也会带来人主体性的丧失。从具体类型来说，此种法律保留又显然属于德国法上的加重法律保留（qualifzierte Gesetzesvorbehalt），即公权机关采取此项措施限制公民权利不仅要有法律授权依据，同时还要求该项法律必须满足一定的前提要件、追求特定的目的或使用特定的方式。有学者也提出，在算法投入公共决策的应用之前，有必要建构合理的应用清单，以明确哪些政府治理领域可以完全交由算法决策，哪些领域可以采取人机交互、合作的方式展开治理，哪些领域则应完全禁止算法决策。（2）所涉数据类型从算法涉及的数据类型来看，敏感个人信息因与个人人格尊严直接关联，因此在法律上受到特别保护。
前者认为机器可习得人类所有的思考和问题解决能力，也因此可胜任所有的人类决策，甚至比人类表现得更完美。[60]例如，加拿大《自动化决策指令》中以风险影响等级而将自动化决策划分为可逆和短暂性影响，可逆和短期性影响，难以逆转且持续性影响以及不可逆转且永久性影响4个等级，并分别确立评估指标体系。
但被传统法治奉为圭臬的正当法律程序原则同样因为算法的适用而被架空。个人数据赋权是通过扩展个人的算法权利体系和类型，使个人在面对算法技术时重新赢回控制权，而不致使其主体性因算法权力的异化被蚕食和吞噬。
这也意味着包括生命权、人身自由在内的自由权应受到更高程度的保护，立法者在将攸关这些基本权利的公共决策交由算法时也会受到更严格的约束，而在不能确保上述权利获得充分保障时，完全的算法决策更应被明确禁止。由此，如果我们将法律保留中的法律支配进一步引申为人民支配，那么在现行法尚未对公权机关可否适用算法作出某项决策予以规定前，事先吸纳公众参与并作出具有实质影响力的算法评估，同样是有助于划定决策边界的预防性手段，也是法律保留的程序性保障。而且，与私人机构适用算法决策不同，公共机构将决策权诉诸算法，很多时候不仅无需经过个人同意，个人也几无拒绝的可能。而禁令的理解则会使信息处理者的自动化决策行为自始就不被允许，除非其满足GDPR中规定的豁免情形。[62]宋华健：《反思与重塑：个人信息算法自动化决策的规制逻辑》，载《西北民族大学学报（哲学社会科学版）》2021年第6期，第104页。第二是具体特定的裁量，即公务人员在具体个案中参照上述基准作出最终的裁量决定。
但相比已在公共领域畅行无阻的算法，上述构想很大程度上还仅停留于观念层面。这一点又与《个人信息保护法》一贯的规范模式有关。
如果我们将算法适用于私人机构和公共机构作区别对待，认为对公共机构应为禁令模式，唯有符合法律规定的豁免情形时才会被允许，那么GDPR的上述规定——公共机构要完全诉诸算法进行决策就必须要有法律授权依据，且其目的是出于公共利益、风险防控或者确保控制者提供服务的安全性和可靠性等，适用前提是其已制定了恰当措施保证数据主体的权利、自由与正当利益——就完全可被理解为算法决策的法律保留。徒留空壳的还有事后救济和追责权利。
（3）限制豁免应当保留数据主体进行人工干预以及提出质疑的权利。但法律适用和决定作出不能完全交由算法。
4.加重的法律保留作为适用类型根据GDPR的经验，公共机构要完全诉诸算法进行决策除要有法律授权依据外，法律授权目的还只能是为了公共利益、风险防控或者确保控制者提供服务的安全性和可靠性等考虑。在法律之外，同样允许行政法规进行授权，可说是对法律保留中的法律作了扩张处理。GDPR中虽然没有专门的算法评估，但从其第35条第1款要求必须强制性进行数据影响评估的事项来看，也都涉及公共决策对算法的适用：第一，基于包括画像在内的自动化处理而对自然人的个人特征进行的系统且广泛的评估，以及在此评估基础上作出的对自然人产生法律效果或类似显著影响的决定。[43]Luis Greco：《没有法官责任的法官权力：为什么不许有机器人法官》，钟宏彬译，载《月旦法学杂志》2021年8月第315期，第189页。
来源：《比较法研究》2023年第2期。这一点被誉为法律保留的法治国面向：因为权利的先国家性，行政要对权利予以干预就需有立法授权，就需征得个人同意。
以此为视角再观察GDPR对自动化决策的全周期联动行权机制也会发现，其设置了事前算法的风险识别预警机制，例如，告知自动化决策和识别分析的存在及后续后果（序言第60条）、向数据主体提供详细联系方式表示任何拒绝的决定都可被重新考虑（第22条第3款）、数据主体对以直接市场营销为目的的自动化处理具有无条件拒绝权。[53]而在假释和量刑中采用风险预测算法，不仅与无罪推定精神颇有扦格，同样会否定无罪推定原则中的程序性保障。
这些都是典型的侵害保留的表达。[58]算法评估作为事先的预防手段，又分别包含技术、风险分析和公众参与、外部稽查两个面向。
尽管上诉法院最终仍旧维持了原判，但主审法官却在判决中提示，风险评分不能用于确定罪犯是否被监禁或确定刑罚的轻重，算法决策工具在司法审判领域只能起到辅助裁判的作用，绝不能是法官的替代。[29]除GDPR外，此类关系模式的典型还有德国《联邦行政程序法》中有关全自动化行政（der vollautomatisiert erlassene Verwaltungsakt）的规定。其实，无论禁令说还是权利说，都是将算法适用于私人机构和公共机构作一体性考虑。由此来看，《个人信息保护法》虽对算法决策有了一定的规范基础，但这些规范不仅质效单薄，其中还隐含着未对公共决策适用算法设置实质界限的重大缺漏。
GDPR沿袭并完善了DPD的规范模式：（1）数据主体有权拒绝仅基于自动化决策作出的、对其产生法律效果或类似重大影响的决定。此外，如果允许公共机构适用算法予以决策，就应同时科以其采取妥善措施确保数据主体的权利与正当利益的义务。
[52]既然实现决策执行的算法要比决策辅助或者仅服务于纯粹决策执行的算法对个人权利的影响更大，也理应受到更严格的约束，法规范的规范强度自然也要更强。但这种人为建构的相关性认知模式，只是一种认知方法而并非唯一的认知方法。
因此，现阶段的算法决策仍旧被局限于纯粹形式意义上的计算选择（Rechenopreation），如果法律概念需要语义确定或解释，或者规范赋予了行政以补充、评级和决定裁量的空间，就应由人类自己决策。欧盟第29条工作组在其发布的数据保护影响评估（DPLA）中指明，上述评估旨在描述数据处理的过程，评估其必要性和合比例性，并通过评估对数据处理行为可能产生的风险加以管理。