美国个信保护立法 | 州层面三部法案系列研究之二：定向广告的定义

编者按：

围绕着美国方面的个人信息保护立法，本公号发表了以下文章：

2月18日，《消费者数据保护法》(Virginia Consumer Data Protection Act，CDPA)已在美国弗吉尼亚州议会参议院和众议院通过，可能成为美国州层面颁布的第二部全面的消费者隐私法案。目前，该法案的最终通过，还需要州长的签字。也就是说，在3月1日本届州议会会议结束之前，还需要完成参议院的三读和众议院的两读。如果CDPA在本届州议会会议期间到达弗吉尼亚州州长手中，他将有七天时间批准、修改或否决该法案。如果他不采取任何行动，根据弗吉尼亚州宪法，该法案将在七天结束时成为法律。按照CDPA文本，该法案在2023年1月1日生效。这一天也恰好是加州隐私权利法案（CPRA）的执行日期，该法案对加州消费者隐私法案（CCPA）进行了实质性修订。公号君将在接下来的系列文章中，分专题系统地比较CDPA、CPRA，以及美国华盛顿州正在审议过程中的《华盛顿州隐私法案》（the Washington privacy act），以为我国《个人信息保护法》立法提供些许参考。第一个专题关注“个人敏感信息”的定义。第二个专题关注“定向广告”的定义

弗吉尼亚州的CDPA

该法案中对“定向广告”的定义如下：

"Targeted advertising" means displaying advertisements to a consumer where the advertisement is selected based on personal data obtained from that consumer's activities over time and across nonaffiliated websites or online applications to predict such consumer's preferences or interests.

"Targeted advertising" does not include:
1. Advertisements based on activities within a controller's own websites or online applications;
2. Advertisements based on the context of a consumer's current search query, visit to a website, or online application;
3. Advertisements directed to a consumer in response to the consumer's request for information or feedback; or
4. Processing personal data processed solely for measuring or reporting advertising performance, reach, or frequency.

"定向广告 "是指，基于从特定消费者一段时间内在非关联网站或在线应用的活动中所获得的个人数据，预测该消费者的偏好或兴趣，并以此选择广告的展示。

"定向广告 "不包括：
1. 基于消费者在控制者自身网站或在线应用程序内活动的广告。
2. 基于消费者当前搜索查询、访问网站或在线应用的上下文的广告。
3. 针对消费者要求提供信息或反馈而向其发送的广告；或
4. 仅为衡量或报告广告业绩、覆盖范围或频率而处理的个人数据。

华盛顿州的WPA

该法案中对“定向广告”的定义如下：

"Targeted advertising" means displaying advertisements to a consumer where the advertisement is selected based on personal data obtained from a consumer's activities over time and across nonaffiliated websites or online applications to predict the consumer's preferences or interests. It does not include advertising: (a) Based on activities within a controller's own websites or online applications; (b) based on the context of a consumer's current search query or visit to a website or online application; or (c) to a consumer in response to the consumer's request for information or feedback.

"定向广告 "是指基于从特定消费者一段时间内在非关联网站或在线应用的活动中所获得的个人数据，预测该消费者的偏好或兴趣，并以此选择广告的展示。它不包括广告：(a)基于消费者在控制者自身网站或在线应用内的活动；(b)基于消费者当前搜索查询或访问的网站或在线应用的上下文；或(c)应消费者要求提供信息或反馈而向消费者发出的广告。

加州的CPRA

加州的CPRA没有“定向广告”这个直接对应的概念，但是定义了"跨场景行为广告"（“Cross-context behavioral advertising”）

“Cross-context behavioral advertising” means the targeting of advertising to a consumer based on the consumer’s personal information obtained from the consumer’s activity across businesses, distinctly-branded websites, applications, or services, other than the business, distinctly-branded website, application, or service with which the consumer intentionally interacts.

"跨场景行为广告"是指基于从消费者在跨企业、跨独立品牌网站、应用程序或服务的活动中获得的个人信息，而非基于消费者有意与之互动的企业、独立品牌网站、应用程序或服务的活动，向消费者定向展示广告，

 简要分析

三个州法都对定向广告做了专门的界定。从定义来看，实质内容大同小异，主要是基于该名消费者的个人信息，预测该消费者的偏好和兴趣，选择特定广告向该名消费者推送。基本上这是定向广告的内核。

这基本上也符合我国无论是《电商法》《个人信息保护法（草案）》对定向广告的认识，但是与我国的具体规定存在显著差异。以下举例说明：

1、美国的三个州法同时都将定向广告限定在跨站追踪、跨场景追踪的情形。即必须是根据跨站、跨场景追踪消费者获得了个人信息，然后根据这些个人信息对消费者做广告推送，才算得上美国州法层面的定向广告。

而我国法律中的定向推送，范围要比美国州法的界定要宽，除了跨站、跨场景之外，还包括了美国州法排除掉的——基于消费者在访问或使用控制者的网站、应用、服务过程中所产生的的个人信息，而开展的广告推送，也就是不跨站追踪的情形下的广告推送。

换句话说，美国州法针对的是跨站追踪情形。但我国法律则是一概都规范。

2、我国法律无论是《电商法》《个人信息保护法（草案）》特别强调“个人特征”这个概念，即规范的是根据个人特征的推送。但美国州法在规范定向广告时，始终用的是“个人数据”这个概念。

显然，个人特征不同于个人数据；而且个人特征，按照一般理解，范围会小于个人数据。当然，弗州和华州的文案，都加入了“预测该消费者的偏好或兴趣”这样的界定，似乎和我国的个人特征靠拢。但加州的文本没有这个界定。这些细微的差别会如何体现在法律实施过程中，以一个例子来说明。

一个特定消费者所处的精确定位信息，显然是个人数据，但按照中文理解很难认为是个人特征。那基于精确定位信息的广告推送，是否是个定向推送？这时候就会产生模糊和不明确。（本篇完）

数据保护官（DPO）社群主要成员是个人信息保护和数据安全一线工作者。他们主要来自于国内头部的互联网公司、安全公司、律所、会计师事务所、高校、研究机构等。在从事本职工作的同时，DPO社群成员还放眼全球思考数据安全和隐私保护的最新动态、进展、趋势。2018年5月，DPO社群举行了第一次线下沙龙。沙龙每月一期，集中讨论不同的议题。目前DPO社群已超过300人。关于DPO社群和沙龙更多的情况如下：

域外数据安全和个人信息保护领域的权威文件，DPO社群的全文翻译：

DPO线下沙龙的实录见：

美国电信行业涉及外国参与的安全审查系列文

中国的网络安全审查系列文章：

自动驾驶系列文章：

欧盟“技术主权”进展跟踪系列文章：

数据安全法系列文章：

个人数据与域外国家安全审查系列文章

围绕着TIKTOK和WECHAT的总统令，本公号发表了以下文章：

中国个人信息保护立法系列文章

第29条工作组/EDPB关于GDPR的指导意见的翻译：

关于美国出口管制制度，本公号发表过系列文章：

供应链安全文章：

人脸识别系列文章：

数据跨境流动政策、法律、实践的系列文章：

传染病疫情防控与个人信息保护系列文章

人脸识别系列文章：