論網絡定向廣告的法律規制
——以個人信息保護為視角

張 雨

一、 網絡定向廣告的本質是信息的交互與融合

網絡定向廣告(又被稱作網絡行為定向廣告)是指網絡服務提供者利用網絡追蹤技術收集、整合網絡用戶的信息，并按照用戶的特征進行類型化存儲，然后再利用網絡廣告配送技術向特定的網絡用戶發送“個性化”的廣告內容。網絡定向廣告在本質上是一種信息的交互與融合。定向廣告的投放需要以大量的數據存儲為基礎，以便能在最大范圍內搜索并追蹤特定用戶的網絡行為，而通過與預設的行為模型進行匹配，就能精準預測到該網絡用戶的消費偏好。圍繞著信息的收集、加工與利用，網絡定向廣告的投放被劃分為線下信息收集、市場細分、信息匹配與客戶定向四個階段。(1)FTC, Data Brokers， A call for Transparency and Accountability, available at https://www.ftc.gov/reports/data-brokers-call-transparency-accountability-report-federal-trade-commission-may-2014。其涉及的主體包括廣告商、數據經紀商、廣告投放目標網站與消費者。廣告商是廣告服務的需求方，數據經紀商是廣告服務的提供方，廣告投放目標網站是廣告的媒介，消費者則是目標客戶。因前三者均具有提供網絡服務的功能，一般將其統稱為“網絡服務提供者”。

在市場細分階段之前，廣告商基于其線下的營銷活動可以對其消費者的信息進行收集。例如，消費者在廣告商實體店購買商品成為其會員，而向其提供信息。數據經紀商也可以將廣告商線下收集的消費者信息附加至cookies信息之中，以便對消費者的線上活動進行追蹤，此即“數據打通”。在市場細分階段，數據經紀商根據廣告商的要求制作消費者行為樣本信息，以幫助廣告商找到最符合其營銷目標的消費者信息。針對老客戶，數據經紀商將其數據庫中的信息與廣告商所提供的客戶清單信息進行比對，以此來預測老客戶對新產品的興趣度。針對新客戶，數據經紀商可以直接幫助廣告商在其數據庫中找到新目標消費者的信息片段。在信息匹配階段，數據經紀商將上一階段制作而成的消費者行為樣本信息與廣告投放目標網站上的外圍信息進行匹配，以此來預判該目標網站是否有相匹配的目標消費者群體。廣告投放目標網站主要是注冊網站。數據經紀商通過購買注冊網站上的消費者信息片段，并通過與之長期合作以保證該網站預留充足的廣告投放空間。一般來說，數據經紀商常常是該注冊網站的關聯公司或者合作伙伴。在客戶定向階段，數據經紀商利用目標網站的網絡服務器在用戶瀏覽器上植入信息記錄程序(如cookies、web beacon, pixel、web bug等程序)以收集、追蹤、定位消費者信息的過程。一旦用戶訪問該目標網站，用戶的瀏覽器客戶端就被植入信息記錄程序。在信息記錄程序中，數據經紀商通過附加樣本行為信息片段的方式來篩選并識別特定消費者。數據經紀商收集的信息，不僅包括用戶輸入的文本信息，還包括用戶的點擊行為、瀏覽痕跡等信息。一般來說，“定向”主要有兩種形式：一種是訪客找回，其目標對象是曾經訪問過網頁并已對廣告品牌有所了解的用戶，其通常只展示用戶曾經瀏覽過、搜索過或者購買過的產品；另一種是跨渠道營銷，其目標對象是不同渠道的同一受眾消費者，但是以上不同渠道之間通常是合作伙伴關系或者是關聯公司關系。

二、“定向”存在侵害隱私權與信息權的嫌疑

從網絡定向廣告投放的基本流程(見圖1)來看，“定向”是網絡廣告商實現精準營銷的關鍵環節。“定向”至少包括三個方面的內容：一是收集消費者的信息；二是對消費者的特征進行分析與類型化；三是篩選、識別目標消費者并向其投送廣告。前一項內容一般被描述為“追蹤”，而后兩項內容則是對目標消費者的“識別與鎖定”。可見，網絡定向廣告實質上是一系列連續的信息收集、處理與利用行為，而這種信息收集、處理與利用行為具有侵害消費者隱私與信息權益的嫌疑。

圖1 網絡行為定向廣告投放流程圖(2)圖為作者繪制。

第一，“定向”未經用戶同意而秘密收集消費者信息。cookies是“定向”最常用的技術手段，其潛伏在消費者的瀏覽器存儲之中。只要消費者不刪除cookies，廣告商與數據經紀商就能隨時獲取消費者所有的信息動態。除此以外，廣告商還可以甄別用戶所使用的特定網絡瀏覽器以及裝載在其系統內的字體設定等特征，來畫出用戶的“指紋圖譜”，依靠該指紋圖譜來全面跟蹤、監視消費者。(3)Chris Jay Hoofngle, Ashkan Soltani.etc, Behavioral Advertising: The Offer You Cannot Refuse, Havard Law &Policy Review, Vol.6,2012; Lisa Weintraub Schifferle, Online tracking - more than cookies， https://www.consumer.ftc.gov/articles/0042-online-tracking, visited on Nov.12,2019.針對cookies，消費者可以通過設置其瀏覽器配置，定期刪除等手段防止其網絡行為被追蹤記錄，但數據經紀商與廣告商為了更加精準地掌握消費者信息，又開發出了新的更具隱蔽性的技術手段。例如，Adobe 公司開發的Flash cookies存儲在瀏覽器目錄之外。即使用戶換了網絡服務器，網站也能讀取這些Flash cookies。除了設置cookies隱蔽之外， “定向”監視的隱蔽性還表現在消費者對信息控制者的未知。例如，某些第三方網站在知名網站上設置只有像素大小的“網絡臭蟲”來收集個人信息。網絡用戶在訪問知名網站時，其瀏覽器就有可能會被植入第三方網站的信息記錄程序，而自己卻毫不知情。消費者根本就無法辨別是誰在何時何地收集并利用了其個人信息。

第二，“定向”利用大數據精準識別至特定消費者個人。廣告商與數據經紀商對消費者的“身份鎖定”包含有兩重內涵：一是識別消費者的網絡身份；二是將消費者的網絡身份與現實身份進行匹配。消費者網絡身份的確認是將收集的數據與個人相聯系的過程。一般來說，數據經紀商所收集的信息并不包含有姓名、物理地址或其他直接表明消費者個人身份的識別符號。(4)Dustin D.Berger, Balancing Consumer Privacy With Behavioral Targeting,Santa Clara Computer & High Technology Law Journal, Vol.27,2011.廣告商與數據經紀商只能通過Cookies及其類似信息記錄程序中獨一無二的識別序號來識別消費者。對于廣告商與數據經紀商而言，消費者網絡身份的識別只需要讀取該識別序號即可。例如，在“訪客找回”過程中，數據經紀商利用cookies收集消費者的搜索、瀏覽與購買痕跡信息，通過識別序號提取信息后就能找到該特定的消費者。然而，此時廣告商找到的可能僅僅是消費者的網絡終端設備，即“電子人”(5)Daniel J. Solove, The Digital Person: Technology and Privacy in the Information Age, published by: New York University Press, 2006,pp.13-18.。某些廣告商要更加精準地營銷，需要找到“現實人”。要實現“電子人”與“現實人”身份的匹配，cookies識別序號并不能實現。(6)Daniel J. Solove, A Taxonomy of Privacy, University of Pennsylvania Law, Vol.154,No.3,2006,pp.477-564.“電子人”與“現實人”身份的對接需要借助數據附加與數據聚合等手段。例如，數據附加是廣告商向數據經紀商購買其目標客戶群的額外信息以便進行郵件、電話、E-mail 等信息進行影響。廣告商購買的額外信息主要是一些能夠直接接觸到現實消費者的信息，如手機號碼、家庭住址、電子郵箱等。數據聚合則可以通過匯總并整合消費者在不同網絡平臺或者其他信息渠道上所遺留的信息片段，以此來描繪消費者整體形象，從而找到現實中的消費者本人。

三、我國網絡行為定向廣告法律規制現狀與司法實踐

自2013年央視“3·15”晚會曝光了易傳媒等網絡廣告公司利用cookies技術跟蹤用戶之后，網絡用戶們對網站瀏覽器利用cookies收集個人信息開始有所關注。2015年“朱燁訴百度”案則正式揭開了中國的網絡定向廣告隱私侵權第一案。盡管該案件最終判決原告敗訴，但從一審判決與二審判決的審判邏輯來看，我國司法實踐對于個人信息的保護思路已經從單純的隱私信息保護向一般個人信息保護轉變。一審判決將cookies信息假定為“個人隱私信息”進行論證，而二審判決則將其假定為“一般個人信息”，并適用“個人識別性”標準來判斷是否侵犯個人信息權。(7)王融：《反轉的法律天平——我國cookies隱私第一案判決》，《現代電信科技》2015年10月。至此，網絡定向廣告中的個人信息保護問題在我國引起了廣泛討論。

(一)我國網絡定向廣告法律規制的現狀

法律規制是指依據法律或者其他的正式規則，通過行政機構及其授權的第三方主體對規制對象進行監控來獲取規制所需信息，以強制執行的手段來實現行為矯正。我國目前有關網絡定向廣告規制的法律法規主要包括《中華人民共和國廣告法》(以下簡稱廣告法)、《中華人民共和國侵權責任法》(以下簡稱侵權責任法)、《中華人民共和國消費者權益保護法》(以下簡稱消費者權益保護法)等，行業標準則主要包括《中國互聯網定向廣告用戶信息保護行業框架標準》(以下簡稱行業框架標準)與《信息安全技術——個人信息安全規范》(國家標準GB/T35273—2017，以下簡稱個人信息安全規范標準)。前三大法律對互聯網廣告行業及其引發的侵權行為進行規制，形成了基本的法律規制框架。而廣告協會互動網絡分會制定的行業框架標準則是專門針對網絡行為定向廣告中的個人信息保護問題所制定的行業規范，該標準明確了網絡定向廣告的具體內涵，并規定了相關主體在網絡定向廣告投放過程中有關個人信息保護方面需要遵循的自律性規則。但在效力層級上，該標準只是一個行業性標準，尚沒有成為一個具有普遍效力的官方正式規則。除此之外，個人信息安全規范標準則專門針對個人信息保護制定了一系列行業標準。根據以上規范性文件，網絡定向廣告投放過程中所涉及的網絡個人信息主要有三類：個人隱私信息、能夠識別個人身份的信息以及用戶使用網絡服務的時間與位置信息。(8)2012年全國人大常委會頒布的《關于加強網絡信息保護的決定》規定：國家保護能夠識別公民個人身份和涉及公民個人隱私的電子信息。2013年工業和信息化部頒布的《電信和互聯網用戶個人信息保護規定》第四條規定：本規定所稱用戶個人信息，是指電信業務經營者和互聯網信息服務提供者在提供服務的過程中收集的用戶姓名、出生日期、身份證件號碼、住址、電話號碼、賬號和密碼等能夠單獨或者與其他信息結合識別用戶的信息以及用戶使用服務的時間、地點等信息。

(二)對我國網絡定向廣告隱私侵權第一案的分析與檢討

在“朱燁訴百度”一案中，朱燁起訴百度的侵權行為是“利用網絡技術記錄與追蹤搜索關鍵詞，將其興趣愛好、生活學習工作等信息顯露在網上，并向其進行個性化廣告推薦”(9)朱蕓陽：《定向廣告中個人信息的法律保護研究——兼評“cookie隱私第一案”兩審判決》，《社會科學》2016年第1期。。一審判決認為百度的行為侵犯了朱燁的隱私權，因為隱私侵權包括不當收集、利用他人隱私信息，其采納的是一種“個人信息控制”理論。二審判決則認為，關鍵詞信息并沒有向第三方或者公眾展示，不符合隱私侵權的要件，并且關鍵詞信息只能識別到朱燁所使用的瀏覽器，而不能直接識別出朱燁本人。其采納的是一種“免于公開+秘密”隱私理論。兩次判決爭議的焦點有二：一是“定向”信息是否具有個人識別性，二是“定向”信息是否具有隱私性。可見，目前我國司法實踐對于網絡行為定向廣告是否構成侵權的判斷主要有“個人識別性”與“隱私性”兩個標準。

1.對“個人識別性”標準的分析與檢討

網絡信息是否構成個人信息，其標準在于“是否具有身份識別性”或者說“信息能否指向特定個人”。一般來說，信息與個人之間的關系有三種形式：一是個人是信息的來源體，二是信息是對個人的描繪，三是信息是對個人的工具性映射(10)Jerry Kang, Information Privacy in Cyberspace Transaction, Stanford Law Review, Vol.50,No.4,1998.。在第一種情形下，個人是信息的創造者與生成者。例如，個人在注冊網站上登記的信息，個人利用網絡與他人對話的信息等。在第二種情形下，信息是對個人特征的描述。盡管個人并不是該信息的創造者，但是從信息內容上可以識別出對該特定個人的描述。在內容上，信息既可以是對個人生物性特征的描述(如身高、血型、體重、DNA等)，也可以是對個人社會性特征的描述(如婚姻狀況、性取向、宗教信仰等)。在形式上，信息既可以是詳細而整體的描述，也可以是抽象而分散的描述。例如，信息既可以具體到某人在某時訪問了某一個網頁并瀏覽了某一個產品，也可以只包含有某一獨有的特征要素。在第三種情形下，信息在內容與形式上均與個人沒有直接的關系，但是卻由于特定的指代與映射關系而成為個人身份的象征。例如，銀行賬號、手機號碼、社保賬號、登錄密碼等。第三種類型的信息往往是為了保障用戶在網上使用特定服務的安全而設置的代碼信息。以上三種形式的個人信息并不是相互排斥的，而總是相互重疊與融合。因而，除了直接識別之外，個人信息還可以通過多種信息片段的組合、比對等間接方式得以識別。

在網絡定向廣告的投放流程中，“定向”階段所收集、處理與利用的信息既包括實時的消費者信息，又包括上一階段處理之后的消費者樣本行為信息。前一類型的信息是直接來源于消費者的信息，而后一類型的信息則是一種對消費者某一特征進行描述的信息。例如，廣告商需要向“愛好皮草”的消費者投放定向廣告。張三曾在某搜索引擎中輸入“紫貂皮大衣”這一關鍵詞。“愛好皮草”這一信息就屬于一種類型化信息，而張三的“紫貂皮大衣”就是來源于消費者的信息。信息記錄程序要完成的任務就是要找到符合“愛好皮草”這一特征的消費者，其工作原理就是看該消費者是否在網絡上搜索、瀏覽、購買過皮草。只要消費者瀏覽器中的信息記錄程序識別到該消費者符合以上特征，該程序就會及時向廣告商發出通知，張三就會在其瀏覽的網頁中看到廣告商的皮草廣告。可見，“紫貂皮大衣”這一關鍵詞是泄漏張三網上行蹤的關鍵。盡管張三輸入的“紫貂皮大衣”關鍵詞只能反映出張三的部分特征，但是這并不妨礙廣告商據此來識別網上的“張三”。此即“定向”的第一種形式“訪客找回”。在“朱燁訴百度”一案中，百度所采用的正是“訪客找回”定向技術。然而，我國司法實踐卻并不認同“張三”的這一網絡身份，需要證明的是“張三”的網上身份具有與其現實身份等同的可能性。從網絡定向廣告的投放來看，“張三”的現實身份具有識別的可能性。廣告投放目標網站常常是一些訪問量比較大的注冊網站，網站在注冊過程中會掌握用戶的基本信息，其中手機號碼與聯系方式信息是經常被收集的信息。有些網站甚至直接使用用戶的手機號碼作為登錄的賬號。隨著實名制手機號碼的推廣，廣告商只要掌握了用戶的手機號碼，就完全可以直接聯系到現實中的消費者。與此同時，數據經紀商與網站一般都是關聯公司或者合作伙伴，在內部實現了用戶信息的共享與融合。在多個渠道信息融合的過程中，數據經紀商完全可以將其收集到的個人信息進行交互從而完整勾畫出消費者的特征。例如，如果廣告商想要進一步了解“張三”的信息，并通過其他渠道向“張三”投放廣告，其還可以采用“跨渠道營銷”的定向方式。數據經紀商可以根據廣告商的要求，在其庫存數據庫或者其他公開渠道中找到“張三”，并不斷地附加“張三”的信息，如張三的住址信息、手機號碼、E-mail等。隨著信息的不斷附加與完善，“張三”的身份信息逐漸明晰。這也就意味著廣告商不僅能找到網上的“張三”，也完全有可能找到現實中的“張三”。因此，在網絡廣告“定向”過程中，消費者的信息完全具有“個人身份識別”的可能性。

2.對“隱私性”標準的分析與檢討

從“朱燁訴百度”一案的兩次判決來看，我國司法實踐對于判斷信息“隱私性”的標準存在比較明顯的分歧。一審判決適用的是“個人信息控制”隱私理論，二審判決適用的是“免于公開+秘密”隱私理論。出現這種分歧的原因主要有二：一是隱私概念本身的不確定性；二是我國現行法律沒有清晰地界定隱私概念的范疇。在形式上，隱私不僅包括私人領域免受侵入、自主選擇不受干預的消極形式，還包括個人信息控制這一積極形式。(11)Jerry Kang, Jerry Kang, Information Privacy in Cyberspace Transaction, Stanford Law Review, Vol.50,No.4,1998.在內容上，隱私則包含有至少六重內涵：獨處權、有限自我接近、秘密、個人信息控制、人格、親密。(12)Daniel J. Solove, Conceptualizing Privacy, Canifornia Law Review, Vol.90,No.4,2002.隱私概念的不確定性導致其法律適用結果具有不可預見性。盡管我國法律暫時缺乏對隱私的明確界定，但司法實踐一般多采用狹義隱私概念。隱私信息一般被狹義地界定為“不宜向第三方公開的秘密信息”。此界定在形式上側重于消極保護，在內容上有過于狹隘的嫌疑。不論是一審判決的“個人信息控制”隱私理論，還是二審判決的“免于公開+秘密”隱私理論，均存在不足。

第一，“免于公開”標準過于狹隘。首先，公開對象被限定為“第三人”，但“第三人”卻并不確定。信息本身就是與他人交往、交易過程中產生的，在本質上就具有一定的公開性。網絡的開放與共享特性使得絕對保密的信息根本就不存在，因為網絡平臺讓信息的傳輸總是有跡可循。網絡定向廣告通過設置cookies、間諜軟件等隱蔽的手段潛伏在消費者的計算機及其他網絡終端設備之中，隨時監視消費者的網上行為，這本身就打破了“公開”的界限。其次，個人在網絡上的行為活動建立在一種潛在的信任關系之上：個人相信網絡服務提供者不會將其個人信息向第三方公開。然而，在網絡行為定向廣告中，網絡服務提供者(如注冊網站)通過與消費者簽訂隱私政策的方式獲取個人同意而利用其信息，但是卻并沒有真正履行“不向第三方公開用戶信息”的義務，而是將其收集到的個人信息提供給數據經紀商與廣告商。原因在于這些網站與數據經紀商、廣告商之間通常存在著關聯關系或者合作關系。而網絡用戶卻根本就不知道廣告商、數據經紀商與網站之間的這種關系，更不知道網站會與其分享哪些信息。即使用戶懷疑其信息被不正當地公開與使用了，也很難辨別出是哪個信息利用者的過錯。因而，個人也很難找到他們應當起訴的被告，從而喪失了有效的私法救濟權。

第二，“秘密”標準界定過窄。首先，秘密具有相對性。例如，甲在網上與乙進行對話，告知乙其得了性病。在甲與乙之間，“甲得性病”這一信息不屬于秘密，因為甲基于自愿而告知乙。但某廣告商丙利用間諜軟件竊取了甲與乙的會話信息，并向其投放定向廣告。在甲與丙之間，甲的信息就屬于秘密。其次，秘密的信息并非全是隱私，而隱私也不一定全是秘密。“秘密”或者“保密”只是隱私的一個特征，并不能涵括所有的隱私內涵。網絡定向廣告向消費者推送具有隱私屬性的信息可能并不一定是秘密。最后，個人將其信息上傳至網絡，目的可能并不是要完全阻隔他人獲取其信息，而是為了與他所期待的特定人群進行信息分享。但如果嚴格適用“免于公開”標準，個人信息只要存在被他人知悉或者公開的可能性，不論他人是否已經真實接收到該信息，均會使該信息不再具備“隱私利益”。

第三，“個人信息控制”標準也存在缺陷。首先，個人信息具有復雜性。其既是一種個人的自我表達，又是一系列事實的構成，還是關于個人自身行為的歷史記錄。且個人信息常常處于與他人的關系之中，因而個人要對其信息施加控制總會受到處于該關系中的其他當事方影響。如果將個人信息與傳統交易中的商品等同視之，就會產生權利歸屬的爭議(13)Julie E. Cohen, Examined Lives: Informational Privacy and the Subject as Object, Stanford Law Review, Vol.52,No.5,2000.。例如，在網絡定向廣告投放過程中，數據經紀商、廣告商以及廣告投放網站處于信息控制者的地位，其實質上占有了“個人信息”。但是個人信息在內容、形式等多個方面卻與信息主體密切聯系。其次，個人信息控制標準并沒有明確定義“控制”。對“控制”的理解經常與“占有”、“所有”等方式相聯系。但是個人信息不僅包含財產性利益，還包含人格尊嚴性利益。網絡定向廣告對個人信息的利用只能是對財產性利益的占有，而不是對人格尊嚴利益的占有。最后，個人對其信息的控制受到情境等外界因素的制約，并非適用于所有的情形。“控制”潛在地蘊含有一種權力等級內涵，即誰占有某物就能基于該物而對他人之行為施加影響。(14)C. Edwin Baker, Property and Its Relation to Constitutionally Protected Liberty, University of Pennsylvania Law Review,Vol.134,No.4,1986.例如，在網絡信息傳遞過程中，信息控制者與信息主體之間的權利是不對稱的，個人能否對其信息做出有意義的選擇尚存可疑。在網絡定向廣告中，網站常常通過與網絡用戶簽訂“隱私政策”的方式來獲得消費者的同意。但是大部分消費者的這種“同意”并非建立在詳細知悉定向風險的基礎之上，而是因為消費者只能被動地點擊“同意”按鈕，否則其就被排除在網站之外。

四、我國網絡行為定向廣告法律規制在個人信息保護方面的不足

從宏觀上來說，目前我國網絡行為定向廣告之所以難以受到法律規制，一方面是由于規制標準與監督機制的欠缺與不完善，另一方面則是由于受到互聯網產業部門利益博弈的牽制，行為矯正目標難以實現。(15)任何規制方式均包含有三大要素：一是規制機制所涉及的目的、標準及規范，二是監督或反饋活動信息的機制，三是行為調整與矯正機制。Andrew Murray and Colin Scott, Controlling the New Media: Hybrid Responses to New Forms of Power, The Modern Law Review, Vol.65, No.4,2002,pp.491-516.具體而言，其存在如下不足：

第一，規制標準不明確。正如前文所述，我國司法實踐對于網絡行為定向廣告侵權標準的判斷存在局限性。造成這種局限性的原因主要在于：一是網絡廣告“定向”手段使得“隱私信息”與“個人信息”的界限模糊不清。網絡定向廣告利用“定向”技術對個人信息進行添加、聚合，從而使很多在現實情形中不構成隱私的信息片段轉化為隱私信息。但消費者卻不能適用隱私權規范獲得救濟。二是網絡廣告“定向”侵權客體不清晰。正如上文所分析的那樣，我國現行法律對于“隱私權”與“個人信息權”的規定也不甚明確。當事人在起訴時很難明確區分“隱私權”與“個人信息權”這兩個界限模糊的權利，司法實踐在適用標準上也很難達到一致。司法實踐對“隱私權”的狹義界定使得很多網絡信息被排除在“隱私信息”的范疇之外。而“個人信息權”的個人識別性標準也過于狹隘，網絡用戶的“電子人”身份必須與“現實人”身份相對接才能認定其信息具有個人識別性。以上種種原因導致網絡用戶因網絡定向廣告侵權所受之損害難以獲得救濟。

第二，規制權力不集中。根據廣告業協會行業框架標準的規定，中國廣告協會互動網絡分會是我國目前對網絡行為定向廣告的主要行業監管機構，其他單位依據框架標準設立的執行委員會接受其監督。但該框架標準只是一種行業標準，缺乏正式規則的強制性與權威性。而根據《廣告法》第四十九條的規定，市場監督管理部門應當建立健全廣告監測制度。盡管市場監督管理部門具有足夠的強制性與權威性，但廣告業并不是其唯一的監管對象。而網絡行為定向廣告所侵害的權益主要是消費者的隱私權益與信息權益，且侵害行為具有隱蔽性與舉證責任困難的特點。市場監督管理部門不僅要耗費巨大的時間與精力來對其進行識別與判斷，還要面臨數量巨大的投訴意見處理任務。這勢必會導致救濟的不及時與規制的不到位。與此同時，我國當前也暫未成立專門的個人信息利用管理機構，對信息控制者的信息處理行為進行監督與審查。這就在一定程度上導致了規制機構在規制權力方面的分散，從而使得某些疑難復雜的網絡行為、定向廣告侵權行為游離于法律規制的邊界之外。

第三，規制手段單一滯后。單一滯后會使得規制機制難以應對新技術發展帶來的難題。盡管我國目前已經制定了相關的個人信息利用標準，如2017年頒布的個人信息安全規范標準，但是以上標準在某些方面仍然難以適應新技術發展帶來的難題。該標準要求網絡廣告商們在利用個人信息時獲得信息主體的同意，并允許用戶選擇是否同意。但廣告商與數據經紀商們開發出更隱蔽、更難以甄別的程序，讓用戶的選擇權失效。例如，消費者可以通過刪除其瀏覽器中存儲的cookies，來規避某些網上追蹤與信息聚合。而某些網站，如美國的葫蘆網(hulu.com)可以利用cookies恢復技術與緩存實體標記 (cache Etags)使消費者疲于刪除與屏蔽cookies。(16)Chris Jay Hoofngle, Ashkan Soltani.etc, Behavioral Advertising: The Offer You Cannot Refuse, Havard Law &Policy Review, Vol.6,2012.因為這些追蹤載體對消費者的屏蔽與刪除具有對抗性。消費者即使刪除cookies，也能自行恢復跟蹤，而消費者卻毫不知情。與以上現實不適應的是，我國目前的網絡廣告規制手段仍然比較傳統且單一，且常常具有滯后性。傳統的命令—控制型規則強調對抗并通過威懾的方式來實現法律遵從，勢必會迫使網絡服務提供者采取更為靈活與隱蔽的方式來制造“信息缺口”，使得權利被侵害的網絡用戶之權利更難獲得救濟。當然，廣告商與數據經紀商也可以利用新技術優勢故意擴大這一“信息缺口”從而使其免受法律規制。除此以外，廣告商與數據經紀商的網絡跟蹤技術更新過快，單純依靠消費者而缺乏專業機構的介入很難及時洞察其最新發展動態。規制機構需要借助專業的信息技術及時追蹤網絡行為定向廣告投放者的新技術發展，并對該新技術發展所帶來的規制問題進行評估與分析。但有時即使有專業機構的介入，也很難趕上廣告商們的技術開發速度。

五、對網絡定向廣告中的個人信息保護的建議

由以上分析可知，網絡定向廣告法律規制困境之根本在于廣告商、數據經紀商與消費者的權利不對稱。網絡定向廣告法律規制只能在維護互聯網產業部門利益與網絡用戶個人權益平衡的基礎之上進行。作為網絡服務提供者一方，廣告商與數據經紀商占據了網絡平臺這一重要的市場資源。要完全顛覆網絡服務提供者的強勢地位在現實上尚不可能。當前我國的網絡廣告“定向”侵權法律規制不應只從消費者一端強調“用戶自行決定”的權利，而應當增強對廣告商與數據經紀商信息收集、處理與利用行為的規制。具體而言，應從以下幾個方面進行規制：

第一，強化網絡定向廣告投放者對網絡用戶的透明義務與通知義務。透明是消費者做出理性選擇的必要條件。對于是否接納網絡廣告定向，網絡用戶做出理性選擇的前提在于對定向有足夠多的了解。網絡服務提供者應當定期公開其收集、利用個人信息的情況，讓消費者對其網絡信息利用的動態有更為直觀的了解。這種信息利用情況的透明與公開必須成為一種常態，并受到中立的管理機構監督。該機構應當定期審核網絡服務提供者對個人信息的收集與利用是否遵守基本的法律與原則，是否采取了合理的信息安全措施，是否與其公布的隱私政策內容相符。由于網絡廣告“定向”的隱蔽性，普通網絡用戶很難將其與一般廣告進行區分。針對網絡定向廣告“訪客找回”手段，網絡廣告商們應當在廣告頁面上設置特殊的標志以明確告知消費者“該廣告內容具有定向功能”。這種“增強版的通知”給予了消費者更為直觀的體驗。消費者可以根據自身需求，選擇是否同意定向追蹤。針對網絡定向廣告“跨渠道營銷”手段，網絡服務者對消費者的通知義務應當體現在向消費者公布其關聯公司與合作伙伴名單，并向消費者說明他們之間可能分享的消費者的信息類型以及使用該信息的方式。消費者在其權益被侵害時，初始網站應當與其關聯公司與合作伙伴承擔連帶責任，以避免消費者獲取司法救濟路徑受阻。

第二，規范化網絡行為定向廣告行業相關標準。為了應對廣告商們層出不窮的新技術運用，規制機構不應當被其所困，而應從制定相關的個人信息保護標準著手。一方面，針對網絡服務提供者使用cookies及其類似信息記錄程序的行為，法律規制的重點應是網絡行為定向廣告軟件設施技術標準的規范化。利用網絡架構設計來預防網絡行為定向廣告侵權具有根本性的作用，強制性要求互聯網公司在開發產品與服務的設計階段就必須將“有利于個人信息保護”的理念融入其服務的每一個階段與步驟，讓程序設計人員在程序編寫之時就必須考慮個人信息保護因素，并將其作為一個行業必須遵守的強制性標準。與此同時，除了對軟件設施層面的技術標準進行規范化之外，任何網絡服務技術的標準均離不開對硬件基礎設施技術標準的遵從。網絡定向廣告的投放也需要基本的硬件設施的支持，規制機構可以通過對其上游供應商在產品技術標準上設置限制(如將數據存儲量限定在特定范圍之內等)來縮小網絡定向廣告的投放范圍，從而達到間接規制網絡定向廣告投放者的目的。

第三，簡化現有的“用戶同意”選擇機制。當前網絡服務提供者提供給用戶的選擇模式主要有兩種：一種是以用戶為中心的選擇性機制，另一種是以瀏覽器默認設置為基礎的選擇性機制。(17)Omer Tene and Jules Polonetsky, To Track or ‘Do Not Track’: Advancing Transparency and Individual Control in Online Behavioral Advertising, Minnesota Journal of Law, Science & Technology, Vol.13, No.1, 2012.以用戶為中心的選擇機制是一種直接面對消費者的對話框模式。消費者在注冊或登錄某一網站時，該對話框會彈出要求消費者對該網站的隱私政策選擇“同意”或“拒絕”。2017年《個人信息安全規范標準》附錄C提供了隱私政策內容的范本。大部分網站或者APP均會在選擇同意的對話框底部以鏈接方式顯示其隱私政策，有些網站或APP會強制要求用戶點擊隱私政策按鈕并規定最低閱讀時間，最后才允許用戶點擊同意進入網站或APP服務界面。但即使如此，還是很少有用戶會專門花時間去閱讀冗長的法律條款內容。可以說，正是冗長而又費解的隱私政策阻礙了消費者了解網絡服務提供者隱私政策的積極性，使其喪失了對網絡服務的知情權，影響了其最終的決策。而以瀏覽器默認設置為基礎的選擇機制則更為隱蔽。如果消費者不能及時修改該設置，則有可能在毫不知情的情形下“同意”了所有的信息記錄程序的使用。因此，網絡服務提供者需要提供給用戶一個更為簡單與直接的撤回其“同意”的機會。為了簡化消費者的選擇機制，網絡服務提供者應當使用簡單、清晰、易懂的語言讓消費者有機會能更加直觀地了解網站的信息利用政策，以便其對是否接受“定向”做出理性的決策。