大数据时代个人信息保护与互联网广告治理
摘要：大数据时代，互联网广告大规模利用个人信息，带来了侵犯人格权利、财产权利、隐私权利等伦理问题。个人信息保护为广告行业的治理提供了历史机遇，以个人信息的商业开发为出发点，以维护不同主体之间平衡为原则，通过政府指导下的广告行业自治，推动互联网广告治理的转型。
关键词：互联网广告；个人信息；大数据
作者简介：徐卫华，男，副教授，新闻传播学博士。（温州大学人文学院，浙江温州，325000）
随着互联网广告的快速发展，尤其是在魏则西事件之后，互联网广告治理问题成为社会热点。继《中华人民共和国广告法》修订之后，《互联网广告管理暂行办法》于2016年9月1日正式实施，我国互联网广告治理进入了新的历史阶段。但是，整体而言，我国互联网广告治理还停留在传统广告管理框架之下，高度关注广告“台前”，包括广告的“可识别性”以及虚假广告等问题，而忽视了广告“幕后”，特别是互联网广告对于个人信息的利用及其引发的新的伦理问题。
在信息社会，信息逐步取代了物质和能量的核心地位，成为最为重要的社会资源。互联网思维的本质就是“正面的免费服务是为了获得流量和数据，而背面的广告业务则是将这些流量和数据变成金钱”。［1］而广告正是互联网挖掘并兑现个人信息价值的重要形式。在此过程中，个人信息利用使广告对消费者权益可能形成的侵害，不仅与虚假违法广告类似，直接关涉个人的财产权益，而且危及个人的精神权益和人格尊严，甚至可能形成并加剧企业对消费者的剥削，为广告治理提出了新的课题。
基于此，笔者尝试在大数据背景下，展示互联网广告中的个人信息利用，剖析个人信息利用所带来的伦理问题，并探讨互联网广告治理的转型。
一、互联网广告活动中的个人信息利用
个人信息即个人资料或个人数据（personaldata）［2］，指一切可以识别本人的信息。个人信息利用，广义上说，包括个人信息的收集、处理和使用。
在目标（即传播效果）导向的驱动下，广告一直高度关注消费者研究，并竭尽全力地收集、分析和运用消费者的个人信息。在大众传媒时代，受技术条件的限制，个人信息利用程度相对有限。在互联网条件下，尤其是大数据时代，个人信息利用成为了互联网广告运作的“支点”，也构成了互联网广告区别于传统大众媒体广告的突出特征。
1.个人信息收集
个人信息收集是指为建立个人信息档案而取得个人信息的行为。个人信息收集是互联网广告利用个人信息的起点。
以用户是否知情为标准，个人信息收集方式可以分为两类：一是用户知情的收集。以用户注册为例，网站提供服务之前，一般会要求用户进行注册，提交特定的个人信息，诸如姓名（用户名或实名）、性别、年龄、职业、收入、教育程度、联系方式、通讯地址等。二是用户不知情的收集。互联网往往借助于一些程序工具，在用户不知情的情形下，收集用户的个人信息。以Cookies为例，它是网络服务商产生的、储存在用户电脑中的信息片段，包括用户ID、登录密码、浏览的网页、访问时间、停留时间等信息。当用户初次访问时，网站自动地将它存入电脑，并由它自动地在电脑和服务器之间来回传输信息；当用户再次登录时，网站就可以自动响应。［3］
在大数据时代，网络用户每敲击一次键盘，都会自动上传为大数据的一部分。尤其是随着物联网、可穿戴设备的发展和应用，个人生活将全面网络化和数据化，个人信息收集不仅轻而易举，而且将无所不包。
2.个人信息处理
个人信息处理即个人信息加工，涉及对个人信息的储存、编辑、分析、比对等行为，是互联网广告利用个人信息的关键环节。个人信息处理的目的，往往是为了建立消费者的个人信息档案，并汇集成消费者数据库。
在大众传媒时代，企业就尝试建立消费者数据库，并以数据库营销（DatabaseMarketing）为基础，开展广告营销传播。只不过，由于条件的限制，消费者数据库往往并不完整，存在着消费者数量有限、个人信息不全面、个人信息不准确等问题，严重影响了广告的有效性。
互联网技术尤其是大数据，彻底改变了上述状况。大数据不仅可以收集海量的个人信息，而且具有极强的信息处理能力：其一，记录消费者的全部网络生活。消费者在享受互联网服务的同时，也留下了全部的数字生活“痕迹”。其二，不再依赖数据的精确性。通过不同数据的比对，大数据具有自我纠错能力。其三，预测消费者的未来行为。通过建模和计算，大数据可以预测消费者的未来行为模式，显著地提高广告的精准性和有效性。
3.个人信息使用
个人信息使用是指对于个人信息的开发、使用和价值变现。实时竞价广告就是互联网广告利用个人信息最为突出的成果。实时竞价（RealTime Bidding，简称为RTB）是一种利用第三方技术在数以百万计的网站或移动端，针对每一个用户的展示行为而进行评估以及出价的竞价技术。它是互联网广告程序化购买（ProgrammaticBuying）的代表性模式。
在实时竞价的框架下，广告主将自己的营销需求放到供应方平台（Sell-SidePlatform，简称为SSP）上，互联网媒体将自己的流量资源放到需求方平台（Demand-SidePlatform，简称为DSP）上，经过数据管理平台（DataManagement Platform，简称为DMP）对营销需求和流量资源进行匹配分析之后，交易平台（AdExchange）以实时竞价方式完成交易过程。
从流程来说，当用户访问一个网站时，供应方平台即向广告交易平台发送用户访问讯号，随后广告位的具体信息会经过需求方平台的分析匹配后，发送给数据管理平台。数据管理平台将对此进行竞价，价高者获得该广告展现机会，并被目标用户看到——从开始竞价到完成投放，这一系列过程仅需100毫秒，而且全部依托计算机自动完成。［4］
通过实时竞价系统，互联网将用户的每一次访问数据，瞬间转换成精确的广告投放和展示。因此，有学者提出“互联网广告的灵魂就在于数据和计算”［1］(1)。但在笔者看来，计算只是互联网广告借助的工具，而数据才是互联网广告的本质，是其实现精准化传播的“支点”。
二、大数据时代个人信息伦理问题
随着互联网广告对于个人信息利用的深入，尤其是在大数据背景下，个人信息伦理问题日益凸显，并集中表现为三种类型的侵害：
1.人格权利侵害
本质上说，个人信息所体现的是公民的人格权益，而个人信息利用直接关系到个人信息主体的人格尊严。［2］(11)而“个人信息权”正是个人对与自身信息的控制权，即自主控制信息适当传播的权利。［5］但是在现实生活中，个人正在或者已经失去对于自身信息的控制。
首先，无从知晓的信息收集。如前所述，互联网借助于程序工具，暗中实施个人信息的收集。除了Cookies之外，这些工具包括systemadministrator（可详细记录访问信息）、New VisitorCounting（记录造访者的再次造访次数）、PushTechnology或AgentTechnology（追踪与归类网络使用者特定网络兴趣或所需网络信息内容）、OilChange Program（记录网络使用者所使用的硬盘的详细内容）、ClickStream Data（记录网络使用者浏览过的网站名称）等等。［6］不断开发出来的信息收集软件监视着信息主体的一举一动。
其次，个人信息加工带来的权利侵害。互联网广告在精准传播过程中，常常采取添加“用户标签”的方式，来标识特定个人或群体特征。如国内某时尚箱包电商开发出了包括静态属性、行为属性和购买属性在内的3类共256个标签，标记每一个用户。通过这些标签，品牌商可以准确地捕捉到目标顾客，以合理的营销费用让顾客付出更大的价值。［7］但是，这些“用户标签”势必给个人带来差别化待遇，在某种程度上形成了价格歧视或其他形式的社会不公，［8］对消费者权益和人格权利造成损害。
再次，个人信息利用带来的困扰。目前，互联网广告对于个人信息利用遵循两种制度，一是选入（opt-in），即消费者明示许可后，才能向消费者发送广告；二是选出（opt-out），即消费者明示拒绝后，不能再向消费者发送广告。在我国，除电子邮件广告[2]、弹窗广告[3]外，其他类型广告则大都采取选出模式。但是，不请自来的广告（如手机短信广告），虽然可能具有一定的价值，但要求由消费者操作才能选出（如发送退订短信），必然耗费消费者的时间和精力。当然，还有一些广告（如智能手机的应用推送）采取强制推送方式，消费者甚至无法拒绝，则更是对消费者自主权利的直接侵犯。
2.财产权利侵害
个人信息权，虽然本质上是一种人格权利，但同时也关涉人的财产权益，包含了精神利益和物质利益两个方面的内容。［9］尤其是在网络环境下，个人信息财产价值更为突出。因此，无限度的个人信息利用在侵犯人格权利的同时，也可能侵害消费者的财产权利。
其一，非法的个人信息买卖威胁公民财产安全。虽然我国《刑法》明确禁止“未经公民本人同意，向他人出售或者非法提供其个人信息”，但是个人信息非法买卖现象仍屡禁不止。据报道，今年2月8日西安市公安局查获的一起特大侵犯公民个人信息案，涉案数据达40G，共上亿条信息，涉及众多车主、金卡会员以及业主所住小区的门牌号、姓名、电话、身份证号、工作单位等信息。十多名犯罪嫌疑人相互串通、购买、交易对方手中个人信息用于牟利。［10］而广告和销售已经成为了个人信息买卖的重要推手。［11］
其二，个人信息商业化开发的收益被企业独占。在信息社会，个人信息利用能够带来数量可观的财产收益。不论是个人的职业信息、健康信息、信用信息，还是个人的网络浏览信息，都可以进行商业化开发，尤其是直接运用于互联网广告之上，产生巨大的经济效益。阿里巴巴创始人马云多次表示，阿里是通过卖东西收集数据，数据是阿里最值钱的财富。［12］但是，奇怪的是，作为个人信息的主体，消费者却无法直接从这些财富中获益。
其三，个人信息的转移和共享加剧企业对消费者的盘剥。除了直接使用和开发之外，大量企业还会将个人信息转移给附属公司，或者与业务伙伴甚至任意代理人、承包商或第三方共享数据。[4]另外，近年来兴起的开放性平台（如新浪微博），通过多种接口向第三方开放用户的个人信息，包括注册信息、拓展信息、行为信息以及社会关系信息。［13］超出合理范围的转移和共享个人信息，加剧了企业对消费者的盘剥。
3.隐私权利侵害
虽然个人信息并不能由隐私概念所覆盖，但个人信息与隐私之间相互关联，尤其是在大数据背景下两者的界限不断模糊，导致个人隐私面临前所未有的危机。
其一，部分个人信息直接关涉隐私。诚然，互联网广告所借用的行为定向技术，与传统的消费者研究类似，即通过观察、记录人的日常生活、购买行为、产品使用习惯，研究并预测消费者的未来消费行为。但是，互联网对用户的实时“监控”让公众感到担忧，因为互联网可以“翻看”的，不仅有浏览记录、消费记录、购物篮等，还可能有用户存放在硬盘或云端里的个人资料。也正因此，公众习惯性地采用隐私视角来审视甚至质疑个人信息利用。
其二，非敏感信息的重新“敏感化”。传统意义上，个人信息被划分为敏感信息和非敏感信息，后者被认为不具有直接识别的功能。但是，“国际上越来越多的专家学者都认识到，个人信息的定义高度依赖于所处的场景。个人信息尤其是间接识别信息的边界是动态的。”［7］在大数据时代，非敏感信息如IP地址、设备序列号、mac地址、独特标识符、广告辨识码等，可以经由其绑定的信息，识别出个人信息主体。
其三，脱敏及匿名化信息的“再识别”。传统意义上，敏感信息被认为具有直接识别功能，因而一般被要求进行脱敏及匿名化处理。但是，大数据时代，经过脱敏及匿名化处理的信息，一旦与外部信息进行关联和比对之后，就可以轻易实现“再识别”。随着信息数量的增长及信息技术的飞速进步，任何的信息片段，与足够的外部信息关联比对后，均有重新识别或关联到个人的可能性。［7］
这意味着，互联网广告所利用的一切个人信息，包括网页浏览信息、消费信息、社交信息等都可以成为敏感信息，使个人隐私面临前所未有的风险。
三、政府指导下的互联网广告行业自治
从上个世纪70年代以来，各国陆续启动了个人信息保护，并形成了以欧盟和美国为代表的两种保护模式，前者是市场化保护为主，后者则以国家立法保护为主。当然，个人信息保护是一项极其复杂的系统工程，尤其是在飞速发展的信息技术面前，任何已有的方案都难免存在不足。在此，笔者侧重于从政府和广告行业两大主体的关系调整角度，[5]提出政府指导下的互联网广告行业自治，为我国个人信息保护提供一种可能性的框架，同时以此为契机推动我国互联网广告治理的转型。
1.立场
首先，个人信息保护并不是禁绝一切个人信息利用。恰恰相反，个人信息保护是为了顺应信息社会的时代潮流，推动个人信息的商品化运用，减少数据流通的阻碍，充分开发数据价值，释放数据红利，推动经济发展。
其次，个人信息保护的侧重点，不同的国家略有不同。欧洲作为个人信息保护的发源地，更加注重公民的个人权利；而美国则侧重于经济发展，尤其是信息产业的发展。［14］鉴于个人信息所蕴藏的重要经济价值，我国更应该借鉴美国经验。这对于转型发展中的我国经济而言，具有极其重要的意义。
再次，个人信息保护不等于国家立法保护。虽然，个人信息保护并不排斥国家立法，但在信息经济兴起之初，如果过早过快制定法律法规，强制性规范个人信息利用，可能抑制信息经济的发展，在国际竞争中失去比较优势。
2.原则
本质上说，个人信息伦理问题，根源于个人信息利用过程中，不同主体或不同权利之间的矛盾与冲突。因此，个人信息保护的基本原则就是在一定程度上维护不同主体或不同权利之间的平衡。也就是说，个人信息保护微观上应该维护个人信息保护（信息主体）和个人信息需求（信息利用主体）之间的平衡，宏观上应该维护个人权利保护（公民）和促进经济发展（国家）的平衡。［15］
这意味着，一方面应该授予信息主体更多的控制权，以制度的形式保障个人信息利用中个人权利的实现，使个人可以持续地介入其个人信息的处理；另一方面，应该尽量减轻企业负担，降低个人信息利用的成本，提高个人信息利用的效率，充分释放个人信息的价值，推动经济发展。
3.机制
在个人信息保护方面，与欧盟所采取的统一立法机制不同，美国采取的是行业自治机制。笔者认为，不妨综合借鉴两种机制，在前述立场和原则的基础上，建构政府指导下的互联网广告行业自治［16］。
一方面，推行互联网广告自治，即以广告行业组织为平台，通过制定和实施自我约束的规范，来实现个人信息保护。具体来说，可以从三个方面展开：其一，技术保护。鉴于原有的选入（opt-in）和选出（opt-out）模式均有利于信息利用者，因此一些新的技术手段被开发出来，如美国互联网协会推出的[6]，其突出特点就是赋予用户更多的控制权。其二，行业指引及规范。互联网广告行业组织或者行业联盟，要按照其制定并发布的互联网广告个人信息保护的自律规范，要求其成员采纳、张贴和执行这些规范。2014年中国广告协会网络互动分会发布的《中国互联网定向广告用户信息保护行业框架标准》已经在行业指引和规范方面迈出了第一步。其三，第三方认证，即独立的认证组织制定个人信息保护规则，并授权那些同意遵守这些规则的网站，张贴其特定的认证标志，以便于网络用户识别。如TRUSTe、ePrivacy等，都是有代表性的网络隐私认证机构。
另一方面，在行业自治的同时，政府作用不可或缺。尤其是在我国，政府肩负着更多使命，只不过迫切需要进行角色调整和职能转换。其一，政府指导。广告行业自治并不是要排除政府管理，只是希望政府从事无巨细的广告监管中抽离出来，有目的地引导、帮助广告行业组织，培育个人信息伦理规范。其二，创新立法。广告行业自治并不是要排除立法保护，而是希望个人信息保护立法必须进行创新：一方面应该突破传统广告管理立法的行政法（政府监管）思路，而采取基于民法（民事权利）的保护思路，将个人信息权回归于个人利益的范畴；［17］另一方面考虑到国家立法的滞缓，互联网广告立法不妨借鉴美国创设的[7]，在政府指导互联网广告行业制订个人信息保护规则的基础上，有条件地启动立法审议程序，适时地将行业规范转变为国家法规。
综上所述，对于广告行业来说，个人信息保护具有特殊的意义：广告作为互联网变现数据和流量的主渠道，理应在个人信息保护方面有更多的担当。同时，个人信息保护为广告行业治理提供了难得的历史机遇，广告行业理应积极地发挥行业组织的作用，与政府开展合作和互动，构建起政府指导下的互联网广告行业自治，推动我国互联网广告治理的转型。
参考文献:
［1］刘鹏，王超.计算广告：互联网商业变现的市场与技术［M］.北京:人民邮电出版社,2015：2.
［2］张才琴，齐爱明，李仪.大数据时代个人信息开发利用法律制度研究［M］.北京:法律出版社,2015：6.
［3］鞠晔，凌学东.大数据背景下网络消费者个人信息侵权问题及法律救济［J］.河北法学,2016(11):52-60.
［4］Allen.RTB实时竞价广告是什么?［EB/OL］.https://www.douban.com/note/349485321/,2014-05-07.
［5］王利明.个人信息如何保护［J］.当代贵州,2015(26):63.
［6］齐爱民.信息社会中个人信息的滥用与人格权侵害［J］.重庆邮电大学学报(社会科学版),2007(4):38-43.
［7］范为.大数据时代个人信息定义的再审视［J］.信息安全与通讯保密,2016(8):70-80.
［8］亿邦动力网.揭秘麦包包256个标签:用户“活”多久靠它［EB/OL］.http://www.ebrun.com/20141216/118338.shtml,2014-12-16.
［9］王利明.人格权法研究［M］.北京:中国人民大学出版社,2015：277.
［10］韩宏，李轲暄.西安警方侦破特大侵犯公民个人信息案上亿条次公民个人信息被售卖［EB/OL］.http://wenhui.news365.com.cn/html/2017-02/09/content_523708.html,2017-02-09.
［11］杜晓.个人信息买卖“平台化”带来警示［EB/OL］.http://www.legaldaily.com.cn/commentary/content/2016-12/19/content_6922336.htm?node=34252,2016-12-28.
［12］钛媒体.马云：阿里巴巴不是零售公司，是数据公司［EB/OL］.http://money.163.com/16/0615/15/BPK5FH1500253B0H.html,2016-06-15.
［13］齐爱民.对开放平台背景下个人信息保护的立法经验与借鉴——以我国台湾地区为例［J］.社会科学家，2013（6）：20-24.
［14］齐爱民.个人信息保护法研究［J］.河北法学,2008(4):15-33.
［15］齐爱民.个人信息开发利用与人格权保护之衡平——论我国个人信息保护法的宗旨［J］.社会科学家,2007(2):7-10.
［16］徐卫华.中国广告管理体制研究——基于国家与社会关系框架［M］.长沙:岳麓书社,2009：209-233.
［17］王利明.论个人信息权在人格权法中的地位［J］.苏州大学学报(哲学社会科学版),2012(6):68-75.
基金项目：本文系2011年中国博士后科学基金项目资助“国家与社会的合作与互动：广告行业自治研究”（20110491251），2010年湖南省哲学社会科学基金项目资助“广告行业自治研究”（2010YBB237），2010年湖南省高等学校科学研究项目“和谐社会视阈下的广告行业自治研究”（10C0921）的研究成果。
[2]参见：《互联网电子邮件服务管理办法》（信息产业部2006年2月20日颁布，于2006年3月30日实施）第13条、第14条。
[3]参见：《互联网广告管理暂行办法》（国家工商行政管理总局2016年7月4日颁布，2016年9月1日实施）第8条。
[4]参见：中国联通.法律声明［EB/OL］.http://www.chinaunicom.com.cn/law/index.html,2017-02-12.
[5]除了政府（监管者）和广告行业（信息利用者）之外，网络用户作为个人信息的主体，理所当然也应该成为个人信息保护的主体。事实上，信息主体信息素养的提升，是个人信息保护的另一种途径；同时，信息主体对于个人信息保护的制度性参与，本身就是个人信息权的实现方式。鉴于篇幅所限，本文暂不涉及信息主体，而将另作专文讨论。
[6]P3PP3P，全称为Platformfor Privacy Preference，即个人隐私选择平台软件。该软件允许用户预设个人隐私偏好，当网站收集或者贩卖个人数据时，软件就会禁止该站点或提醒用户，由用户选择是否进入该站点。参见：徐敬宏.美国网络隐私权的行业自律保护及其对我国的启示［J］.情报理论与实践,2008(6):955-957,907.
[7]“安全港”（SafeHarbor）模式“安全港”模式要求行业组织根据自己的具体情况，拟定一个适当合理的个人信息保护规则，该规则经过法定机关审查通过后，具有与法律一样的效力。参见：齐爱民.论个人信息保护基本策略的政府选择［J］.苏州大学学报(哲学社会科学版),2007(4):32-36.