算法下的广告推送与个人信息保护

苏牧青 袁航

互联网算法推送广告日益普遍，其针对性一方面大大提高了商品营销的效率，提高了消费者选择商品的便利性，但另一方面在对消费者信息的收集和处理上却存在着侵犯消费者个人信息的问题，个人信息权益的保护与商业化利用之间的矛盾是互联网算法推送广告发展中必须要解决的矛盾。本文试着从法律层面对这一矛盾进行分析并探究其解决路径。

矛盾缘起：互联网算法推送广告与个人信息的交互

（一）互联网算法推送广告的运作机制

广告作为市场营销的重要手段之一，其与潜在客户的匹配度越高，广告的效用也就越大。对用户信息进行收集和预测是互联网算法推送广告得以实现的核心，而这又依赖于用户画像和用户行为定向技术的发展。互联网公司对平台发布的网页、图片、视频等数据贴上相应的标签，再通过用户行为定性技术给使用某一设备的用户在浏览上述内容时贴上相应的标签，进而形成用户画像。具体来讲，就是互联网公司在用户的设备中安装“小型文本文件”（cookie），用户浏览过的网页、图片、视频等踪迹会被记录在cookie中，由于网页、图片、视频等已被打上了标签，互联网公司再对cookie中储存的用户踪迹信息进行收集，分析后给用户打上对应的标签，最后形成对用户的数字模型，也就是用户画像。互联网算法推送广告利用算法将需要推送的广告与用户画像进行匹配，进而将广告推送至匹配的用户设备上。

（二）互联网算法推送广告中个人信息的特征

《个人信息保护法》第四条规定，个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。由此可见“识别性”和“关联性”是个人信息区别于其他信息的重要特征，那么根据互联网算法推送广告的运作原理可以看出在互联网算法推送广告中个人信息具有以下特征：

1.直接用户画像所收集、处理的信息是个人信息

以是否直接使用某一特定人的信息为依据，可以把用户画像划分为直接用户画像和间接用户画像，前者是指直接使用特定自然人的个人信息所形成的用户特征信息，后者是指通过来源于个人信息以外的数据（多为设备数据）所形成的用户特征模型。通过直接用户画像进行的广告推送，是直接使用个人信息的行为。

2.间接用户画像所收集、处理的部分信息具备成为个人信息的可能性

由于间接用户画像并不收集特定个人的信息，所以基于间接用户画像的广告推送不侵犯个人信息。但随着数据挖掘和数据分析技术的应用，固定的标签组合在某些场景中所确定的推送群体，很可能因为目标用户数量过小而导致对某个特定人的识别，这时基于设备的信息具备个人信息属性的可能性，为避免商业利益驱使下对个人信息的滥用和泄露，对该部分信息进行收集、使用和处理中也应遵守相关法律对个人信息保护的要求。

矛盾现状：互联网算法推送广告中个人信息法律保护的问题

（一）法律法规缺位

随着互联网经济的发展，个人信息在经济社会中的地位越来越重要，我国对个人信息保护的法律制度日益完善，《民法典》第六章对隐私权和个人信息做出了明确规定，厘清了隐私權和个人信息的关系，《个人信息保护法》的出台进一步明确了个人信息的保护范围，为个人信息的保护提供了法律基础。但我国目前对互联网算法推送广告中个人信息的保护缺乏专门的法律规定。我国《广告法》第四十四条虽然加强了对互联网广告的规制，规定了应针对互联网页面以弹窗等形式发布的广告提供退出机制，但其并未明确将各类网站、搜索引擎、社交媒体等日益多样化的互联网商业广告发布主体纳入广告法的调整范围。《电子商务法》第十八条为规范电子商务经营者进行互联网算法推送广告提供了法律依据，要求电子商务经营者向消费者推送搜索结果时提供关闭针对个人特征的选项，确立了定向搜索的退出机制。但《电子商务法》第十八条一方面并未明确“搜索结果”能否涵射所有的广告类型；另一方面其仅是对客户能明确感知到的接收端的规范，而对客户无法明确感知的信息收集、处理、利用并未规定，《广告法》第四十四条也存在这一问题。

综上，我国现行法律法规关于互联网领域的信息保护制度散见于各部法律规范中，虽可涉及互联网算法推送广告领域，但针对性不强，且未能对个人信息保护的全流程进行覆盖。

（二）行业自律规则与个人信息保护的现实需要不匹配

2014年3月中国广告协会互动网络分会颁布并实施的《框架标准》，是我国第一部专门针对互联网算法推送广告用户信息使用的行业标准，在《民法典》《个人信息保护法》等法律未对个人信息进行规定的情况下，为规范互联网算法推送广告行业的用户信息保护发挥了重要的指引作用。由于当时我国并没有关于个人信息法律层面的定义，《框架标准》更多从隐私保护的角度出发规范互联网广告行业的相关行为。但随着国家对个人信息保护的日益重视，《民法典》《个人信息保护法》等法律的相继出台，对个人信息从范围到使用规则作出较为完备的规定，而《框架标准》作为互联网算法推送广告领域的专门自律规范的历史局限日益凸显。

（三）行政执法监管机构不明

《个人信息保护法》第七章第六十六条规定了违法处理个人信息或者不履行个人信息保护义务的行政责任，规定了行政执法的主体和行政处罚的类型。根据该法第六十条的规定，履行个人信息保护职责的部门包括国家网信部门、国务院有关部门和县级以上地方人民政府有关部门，其中除国家网信部门作为统筹协调机构可以直接依据该条被认定为履行个人信息保护职责的部门外，其他履职主体还需按照其他法律、行政法规或国家有关规定确定。具体到本文讨论互联网算法推送广告，作为广告的一种，《广告法》虽然将互联网广告纳入了市场监督管理部门监管的范围，但其侧重对广告内容、投放主体和过程是否合法进行监管，而非对个人信息处理的监管。

矛盾化解：互联网算法推送广告中个人信息的保护路径

（一）完善互联网算法推送广告中个人信息保护的法律法规体系

《广告法》和《电子商务法》规定了互联网领域广告的退出机制，《个人信息保护法》的出台一定程度上弥补了前两部法律关于个人信息保护不全面的弊病。但作为行业领域的专门法，《广告法》和《电子商务法》应与时俱进，及时跟进《个人信息保护法》的进程，拓宽对互联网广告个人信息处理的全链条规制。另一方面，互联网算法推送广告作为目前重要的广告营销模式，应在《广告法》和《电子商务法》中对该模式进行规定，以明确互联网算法推送广告过程中个人信息处理的适用依据。

（二）优化互联网算法推送广告领域的行业自律机制

作为个人信息保护制度的有益补充，互联网算法推送广告行业的良性发展离不开行业自律机制的完善。一方面，中国广告协会应依据《民法典》《个人信息保护法》等法律，对《框架标准》及时做出调整和更新，推动相关概念的统一性，避免语义上的不同造成适用上的困境。如《框架标准》对单位在数据处理时规定了“去身份化”的义务，而《个人信息保护法》则使用了“去标识化”“匿名化”的概念，含义更加细化。另一方面，建立个人信息合规体系以及相配套的认证制度，增强自律机制的约束力。《框架标准》执行与监督部分增加个人信息合规体系及认证制度的设置，推动互联网广告行业建立个人信息合规体系，并由第三方每年度对互联网广告行业相关公司进行评估，评估通过的获得认证，并建立适当的奖惩制度。

（三）明确互联网算法推送广告中个人信息保护的监管机构

在《个人信息保护法》确立的由国家网信部门统筹协调个人信息保护工作，有关部门依职责范围管理的总体分工框架下，需修改《广告法》，一方面增加市场监督管理部门作为监管广告领域个人信息的职责，为市场监督管理部门监管互联网算法推送广告中个人信息处理行为提供法律依据；另一方面明确与网信部门的权力边界，减少重复性执法或执法不力产生的矛盾和冲突。