大數據精準營銷的數據保護問題

大數據精準營銷是大數據應用的典型場景之一，也是互聯網推廣行業升級轉型的重要體現。然而，大數據精準營銷在發展過程中，也面臨著法律與合規的問題，其中最為突出的是數據獲取與數據使用。本文旨在結合案例，對此做出簡要分析。

一、大數據精準營銷的含義與流程

所謂精準營銷，是指在大數據分析的基礎上，構建群體性的用戶畫像，并通過將用戶畫像中的識別標簽與互聯網用戶的身份識別信息關聯，精準找到用戶，并將商品或服務信息推送給用戶的過程。

從上述定義不難看出，精準營銷通常會包含三個環節，其一是構建群體用戶畫像，或者根據用戶畫像簡化出幾個具有顯著特征的用戶識別標簽；二是通過畫像與特定的身份識別信息進行關聯，從而精準找到用戶；三是將信息推送給目標用戶。

二、大數據精準營銷各環節合規風險

第一個環節，構建群體用戶畫像的過程主要是涉及個人信息的收集規則。群體用戶畫像并不涉及具體個人的身份識別信息，只要按照相關法律、法規、規范嚴格執行，群體畫像的形成過程本身不會有明顯的法律爭議。

第二個環節，則涉及到群體用戶畫像的輸出或標簽的輸出，并且在這一環節是群體用戶畫像轉化為個體用戶畫像的過程。用戶畫像從不具有個人身份特征，轉化為具有個人識別功能。也就是說，在這一環節，用戶信息具有了識別特定用戶的功能，這是用戶畫像產生經濟價值的基礎。群體畫像雖然具有根據特定人群進行產品開發和構建營銷策略的功能，但問題是，僅僅依靠群體畫像并不能直接找到用戶。如果采用群體畫像與傳統廣告結合的方式，其推廣成本無疑是非常高昂的。因此，通過將群體畫像與個人識別信息結合，從而將用戶畫像具體化，是用戶畫像在精準營銷過程中的關鍵環節。這一環節中，如果只是完成群體用戶畫像與個人識別信息結合而不涉及信息轉移，則一般不會產生額外的合規問題。但如果涉及到個人識別信息的轉移，則需要根據網絡安全法所確定的授權同意原則進行判斷。

第三個環節是營銷信息推送環節，就是將產品或服務信息推送給用戶的過程。推送信息，必然需要使用用戶的手機號碼、微信號、手機硬件識別碼（IMEI）、瀏覽器cookie信息等。對于手機號碼、微信號等信息，一直以來被認為屬于個人信息，并無爭議。而對于手機硬件識別碼（IMEI）、瀏覽器cookie信息等，則存在較大爭議。特別是百度cookie一案，南京中級法院的判決，認定上網瀏覽記錄僅與硬件關聯，而不具有個人信息的特征，使得cookie信息在一段時間內不被視為個人信息。當然，這一問題當前已經得到解決。對此，本文在下一部分將專門說明。

三、重新審視百度cookie案

1、案情與法院判決

事實與訴由：原告朱某在家中和單位上網瀏覽相關網站過程中，發現利用百度搜索引擎搜索相關關鍵詞后，會在百度廣告聯盟的特定網站上出現與關鍵詞相關的廣告。朱燁認為，百度公司未經其知情和選擇，利用網絡cookie技術記錄和跟蹤朱燁所搜索的關鍵詞，將其興趣愛好、個人需求等顯露在相關網站上，并利用記錄的關鍵詞，對其瀏覽的網頁進行廣告投放，侵害了其隱私權，使其感到恐懼，精神高度緊張，影響了正常的工作和生活。2013年5月6日，朱某向南京市鼓樓區人民法院起訴百度公司，請求判令立即停止侵害，賠償精神損害撫慰金10000元，承擔公證費1000元。

南京市鼓樓區人民法院一審判決認為，個人隱私應包含個人的私人活動和私有領域。朱某利用特定詞匯在百度進行網絡搜索的行為，將在互聯網空間留下私人活動的軌跡，而這一活動軌跡展示了其個人上網的偏好，反映個人的興趣、需求等私人信息，在一定程度上標識個人基本情況和個人私有生活情況，屬于個人隱私的范圍。因而，一身判決百度公司構成侵犯個人隱私。二審則認為：收集網上瀏覽信息，該信息的匿名化特征，不符合個人信息的“可識別性”要求，而對于信息推送問題，二審法院認為，推送信息的終端是瀏覽器，而不是具體個人。

本案還有一個焦點，即百度公司在隱私政策中的告知是否充分。一審法院認為，雖然百度在網頁中有《使用百度前必讀》，但位置處于網頁最下端，且字體名下較小，不足以起到明示告知和選擇同意的效力。二審法院則認為，因為百度公司在《使用百度前必讀》已經明示了使用cookie技術的方式、使用cookie技術的后果，且提供了禁用cookie的渠道，因此，視為百度已經明示告知，從而不構成侵權。

2、《網絡安全法》視角的重新審視

由于該案件發生在《網絡安全法》及2017《關于侵犯公民個人信息案件的解釋》、《信息安全技術－個人信息安全規范》等法律、規范性文件頒布和生效之前，南京鼓樓區法院與南京中級法院的判決各有論據。

如果以新的規則審視該案件，以下兩點是需要特別關注的：

其一、cookie信息是否屬于個人信息？

最高人民法院2017年頒布的《關于侵犯公民個人信息案件的解釋》 第一條，明確將“以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別特定自然人身份或者反映特定自然人活動情況的各種信息，包括姓名、身份證件號碼、通信通訊聯系方式、住址、賬號密碼、財產狀況、行蹤軌跡等”納入個人信息范疇。按照廣義的理解，行蹤軌跡也可以包括網絡瀏覽記錄。而在《信息安全技術－個人信息安全規范》中，除了沿用這一概念外，還采取列舉方式對個人信息進行了表述，其中，個人上網記錄（網絡日志儲存的用戶操作記錄，包括網站瀏覽記錄、軟件使用記錄、點擊記錄等），個人常用設備信息（包括硬件序列號、設備MAC地址、軟件列表、唯一設備識別碼（如IMEI/android ID/IDFA/OPENUDID/GUID、SIM卡IMSI信息等），均被納入個人信息范圍。按照這一原則，百度cookie案件所確定的個人信息判定原則已經被改變。

其二、cookie信息的獲取方式和使用方式告知是否充分？

《網絡安全法》等法律法規、規范對于信息收集和使用，均確立了明示同意原則。即網絡運營者收集、使用個人信息，應當公開收集、使用規則，明示收集、使用信息的目的、方式和范圍，并經被收集者同意。根據《信息安全技術－個人信息安全規范》的界定，收集個人信息前，應向個人信息主體明確告知所提供產品或服務的不同業務功能分別收集的個人信息類型，以及收集、使用規則，并獲得個人信息主體的授權同意。

明示同意，意味著網頁的告知內容及禁用某項應用的內容應相對醒目和便于用戶識讀。對此，由于已經無法獲得當時百度網頁的告知內容，故無法做出明確的判斷。但法官基于自由心證的判斷，在保護網絡用戶與維持網絡經營者經濟利益面前，應采取衡平的準則，偏向弱勢一方的利益保護。

網絡精準營銷是互聯網時代的大數據應用典型案例，也是個人信息保護領域需要關注的問題。百度cookie案的審理，以及在新法規形勢下的再審視，對于衡平個人隱私與企業商業利益不無裨益。