百度的精准广告投放到底侵不侵权？

尚法 勤勉 精专 共赢

所谓“精准广告投放”，是指根据用户的历史网页浏览习惯，在用户下次打开网页时将其浏览过的相关产品广告投放给用户，精准的将广告投放用户网络号的首页、后台或即时视频的显示窗。想必大家对百度的精准广告投放更是司空见惯了——例如你刚在淘宝电脑端搜索一款服饰并浏览相关内容后，当你再次打开百度网页（而不是淘宝网）时，就可以发现网页中已经出现了你上次浏览过的类似服饰广告。

李  垚  律师

广东金桥百信律师事务所

本质上，百度是通过搜集你的个人浏览痕迹（cookie信息），并进行分析，然后将数据开放给广告公司，或者自行租用网页位置提供个性化推荐广告服务，通过代码引导的有效显示、点击以及由百度服务播放而产生的效果数据将被记录下来作为百度网讯公司与合作网站结算的依据。

也就是说，你的浏览信息最终被百度转化为广告利益，最终获得经济回报，那百度的这种精准广告投放到底侵不侵权呢？

01	个人浏览记录是“隐私”还是“个人信息”？

2015年5月南京市中级人民法院审结了“上诉人北京百度网讯科技有限公司与被上诉人朱烨隐私权纠纷一案”【（2014）宁民终字第5028号】，该案中朱某在家上网浏览相关网站过程中发现，利用百度搜索引擎搜索“减肥”“丰胸”“人工流产”等关键词，并浏览相关内容后，在www. 4846. com、 www. paolove. com、 www. 500kan. com等一些网站上就会相应地出现“减肥”“丰胸”“人工流产”的广告。朱某认为北京百度网讯科技公司未经自己的知情和选择，利用网络技术记录和跟踪了其所搜索的关键词，将自己的兴趣爱好、生活学习工作特点等显露在相关网站上，并利用记录的关键词，对自己浏览的网页进行广告投放，侵害了自己的隐私权。

【法院裁判意见】

一审法院认为朱某利用电脑进行网络搜索留下的活动轨迹，展示了个人偏好与兴趣，应当属于个人隐私的范围；二审法院则认为，根据国家工信部《电信和互联网用户个人信息保护规定》对个人信息的界定，虽然个人使用电脑的网络活动轨迹带有隐私的属性，但该轨迹及偏好一旦与网络用户身份相分离，便无从知晓信息归属主体，则不再属于个人信息范畴，因此百度的cookie服务没有定向指示朱烨的身份，亦无从认定侵犯了朱烨的隐私权。

因对比两审法院的观点，我们发现一、二审法院都没有将“个人隐私”与“个人信息”厘清，甚至在混淆的状态上使用了个人信息的概念。“个人隐私”作为人们在生活中的活动轨迹，首先表现为一种“自然信息”，而信息本身要作为处理的对象，则需要被形式化，以某种有形符号确定下来，从而带有很强的指示性，如此“自然信息”方可获得“法律意义”，即消除不确定性后的“个人信息”。虽然“个人信息”不应被当作一种独立的人格权进行保护，在权利体系上依然属于“隐私权”的范畴，但在规范上应当独立保护，毕竟“个人信息”是物化形式的隐私，其已经脱离个人的管领控制之下，成为一种独立的存在形式，实有必要进行独立的规范保护。

本文认为，朱某使用电脑进行网络搜索时，其浏览轨迹与数据已经由个人隐私变为了实体化的“个人信息”，其独立于朱某本身而存在，当然不属于朱某的个人隐私，但该轨迹等信息形成的信息依然属于朱某“自我决定”的范围。在网络发达之今日社会，为使个人自由发展，强调个人对自己信息的自主控制，当具有积极重要的意义，这种信息自主权在很大程度上就表现为对“个人信息”的公开权。因此，该案在规范上应当适用个人信息保护的条款，而不是隐私权的规定，如此，该问题就由“是否侵犯隐私权”演变成为“是否不当搜集个人信息”了。

02	“个人信息”的范围及保护的法律依据

国家工信部《电信和互联网用户个人信息保护规定》第4条规定：“个人信息是指电信业务经营者和互联网信息服务提供者在提供服务的过程中收集的网络用户姓名、出生日期、身份证件号码、住址、电话号码、账号和密码等能够单独或者与其他信息结合识别用户的信息以及网络用户使用服务的时间、地点等信息”。《最高人民法院关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》（以下简称“《规定》”）第十二条规定：“网络用户或者网络服务提供者利用网络公开自然人基因信息、病历信息、健康检查信息、犯罪记录、家庭住址、私人活动等个人隐私和其他个人信息，造成他人损害，被侵权人请求其承担侵权责任的，人民法院应予支持。但下列情形除外：（一）经自然人书面同意且在约定范围内公开；（二）为促进社会公共利益且在必要范围内；（三）学校、科研机构等基于公共利益为学术研究或者统计的目的，经自然人书面同意，且公开的方式不足以识别特定自然人；（四）自然人自行在网络上公开的信息或者其他已合法公开的个人信息；（五）以合法渠道获取的个人信息；（六）法律或者行政法规另有规定。” 

因此，个人浏览网页的历史记录数据当然也属于个人信息的范畴，而《规定》第十二条的规定可以认为是个人信息保护的“具体依据”：

（1）《规定》第12条的出台，不仅首次明确了个人信息的保护模式，而且还构建了统一的侵权行为规范模式，使得个人信息保护在实体法上，由对个性的个人信息料的个别保护转变为对共性个人信息的一般保护，具有开拓性的意义。

（2）规范的概括性。由于网络侵害个人信息的行为庞杂，而且随着社会的发展也在不断变化，因此第12条在原则上采用了概括性的规定，其确定的一般行为模式是：网络用户或者网络服务提供利用者（主体）+利用网络公开（行为）+个人隐私和其他个人信息（对象）+造成他人损害（后果）+承担侵权责任（责任后果）。这样，该条就成为统摄各个侵犯个人信息的“元条款”。

（3）规定对象的广泛性。第12条拓展了个人信息的保护范围，列举了一些新的内容，除了侵权法原有的病历与健康检查信息以外，新增了自然基因信息、犯罪记录、家庭住址、私人活动等信息。可以看出，所列举的个人信息的范围实际上是相当广泛的，像“私人活动”本身就是一个内涵丰富的概念，将其作为个人信息的一种予以保护，是立法的一大进步。另外第12条还采取了抽象概括式的方法，其用语结构是“XX等个人隐私与其他个人信息”，规定了个人信息保护的一般对象。因此，在对象的规定上，第12条实现了个人信息保护条款的一般化，一方面既可以明确个人信息保护的类型范围，界定个人信息与隐私之间的关系，另一方面又为个人信息类型的增加发展预留了空间。

（4）实现了个人信息与个人隐私的界分。第12条在描述个人信息的一般对象上，采用了“个人隐私”与“其他个人信息”相并列的做法，这样就把“个人隐私”与“其他个人信息”区分开来。如此，一方面将个人信息与个人隐私区分开来，将个人信息从隐私权的概念下抽离出来的同时，又把其作为“个人隐私与其他个人信息”的统辖概念，由此开启了个人信息与隐私的界分；另一方那个面，使得个人信息在类型上得以明确，即既包括“个人隐私”的重要信息，还包括除个人隐私以外的其他个人信息。

（5）第12条的出现，将个人信息上升为一种独立的保护利益，使得私法裁判不必再用隐私权的保护模式来为个人信息的权利人提供保护，同时将个人信息权益保护的范围予以明确，并以此为基础了构建个人信息保护的一般规范。

（6）《侵权责任法》第36条又无法单独实现个人信息保护上的法律效果，《规定》第12条则很好填补了这个缺漏，使得个人信息侵权在规范上的法律效果得以具体实现。

03	网络服务者搜集使用“个人信息”应遵守的规则

对于个人信息的搜集与利用必须“告知”当事人，并取得当事人同意，这就是“告知后同意”原则。

1、如何认定“告知”

《规定》第12条并没有正面对“告知”义务进行规定，而只笼统规定了公开他人信息造成他人损害的应当承担侵权责任，并且只是在责任免除情形下规定了一项：“经自然人书面同意且在约定范围内公开”，并没有说明个人信息搜集者应当如何进行告知及告知那些内容。本文认为，对于信息搜集者的“告知义务”的规定，可以参考《合同法》关于格式条款告知义务的规定，凡个人信息收集者一方应当采取“合理的方式”提请当事人注意，这种合理的方式必须能够实现让当事人注意的目的，并且应当按照当事人的要求进行详细的说明。而关于“告知义务”的具体内容，参照其他国家立法的范例，其主要的内容应当集中表现为：一是信息搜集者的身份；二是搜集当事人信息所属类型；三是搜集信息后的目的及用途；四是该个人信息是否会向第三者披露，如果提供给第三者应当表明第三者的身份及其用途；五是保证当事人就自己个人信息查询、更正、限制的权利。

因此，本文赞同“朱某诉百度案”一审法官对“告知”的理解，百度在网页中的《使用百度前必读》标识，虽有说明和提醒的内容，但实在难以识别并加以注意，无法起到规范的说明和提醒作用，这些都难以让人确信百度尽到了“告知”义务。而二审法官忽视了“告知”的重要性，不利于对个人权利的有效保护。

2、如何认定“同意”

在民法上，“同意”也是被广泛使用的词语，仅《民法通则》就有11处，比如其第12条与第13条规定的法定代理人的同意、第57条行为人非依法律规定或取得对方同意不得擅自变更或解除民事法律行为。《信息安全技术公共及商用服务信息系统个人信息保护指南》（GB／Z28828-2012）5.2.3条规定:“处理个人信息前要征得个人信息主体的同意，包括默许同意或明示同意。收集个人一般信息时，可认为个人信息主体默许同意，如果个人信息主体明确反对，要停止收集或删除个人信息；收集个人敏感信息时，要得到个人信息主体的明示同意。”虽然我国民事法律在多处都使用了“同意”，但并未明确“同意”之内涵。

《欧盟信息保护指令》第2（h）条规定：当事人的同意系任何出自于自由意志、目的特定及基于告知后所表示之期望，藉以指出其同意个人信息被处理。通过该规定我们可以发现，同意至少有以下几个构成方面：第一，同意必须出于当事人的自由意志，即真实意思表示；第二，同意必须明确表达出当事人的真意；第三同意必须特定化，以准确传达给信息搜集者；第四，同意必须是信息搜集者告知后的同意。即应是受到信息搜集者提请告知后所为。以上兹以为可以作为同意之构成要件，另依据《规定》第12条的规定，该同意的形式应当以“书面”为之。

综上所述，本文认为，百度的精准广告投放所收集的用户数据不属于个人隐私，而属于独立的“个人信息”，百度对“个人信息”的搜集、利用也应当遵守“告知后同意”的原则，尊重用户对“源于自身”的数据信息的使用和决定权。

◆本文系作者观点，不代表广东金桥百信律师事务所立场

我的团队

金桥百信新媒体法律服务团队

广东金桥百信律师事务所新媒体法律服务团队，由执业超过10年的合伙人许可律师、张冰律师，专职律师李垚律师、梁洁怡律师以及律师助理、行政秘书等10人组成，团队核心律师大多毕业于中南财经政法大学、西南政法大学等国内知名法学院校，部分成员具有法学研究生学历，均具备深厚的法学理论功底。

本团队每年代理的各类型的知识产权案件超过千件，多年来为广东星外星文化传播、太平洋影音公司、广州白云电器设备股份有限公司、广东奥飞动漫文化股份有限公司、环球音乐、索尼音乐、英皇音乐等多家企业提供知识产权法律服务，具有扎实的专业能力、丰富的实践经验和社会资源。

推荐阅读

新崛起

一站式法律服务平台

法律热线：020-83329088

广东金桥百信律师事务所

总所地址：广州市珠江新城珠江东路16号高德置地冬广场G座24楼

广东金桥百信（顺德）律师事务所

地址：佛山市顺德区龙江镇亚洲国际家具材料交易中心中央1区1座18楼

广东金桥百信（肇庆）律师事务所

地址：肇庆市端州区新元北路5号城投汇金中心701

广东金桥百信（黄埔）律师事务所

地址：广州市黄埔区大沙东319号保利中誉广场主楼311号

广东金桥百信（云浮）律师事务所

地址：云浮市云城区翠石路2号云翠大厦3楼