跳转至

隐私法规 (Privacy Regulations)

一句话概述

全球隐私法规正在重塑在线广告行业，GDPR、CCPA、中国《个保法》等法规对数据采集、使用、存储提出严格要求，广告从业者必须理解合规红线。

全球隐私法规全景

欧盟 美国 中国 其他
GDPR CCPA 个保法 LGPD (巴西)
ePrivacy CPRA 数据安全法 PIPA (韩国)
COPPA 网络安全法 PDPA (新加坡)
各州法规 APPI (日本)

GDPR (欧盟通用数据保护条例)

基本信息

  • 生效时间: 2018 年 5 月 25 日
  • 适用范围: 处理欧盟居民个人数据的所有组织 (不限于欧盟企业)
  • 罚款: 最高 2000 万欧元或全球年营收的 4%

核心原则

原则 说明
合法性 数据处理必须有合法基础 (同意/合同/合法利益等)
目的限制 数据只能用于收集时声明的目的
数据最小化 只收集必要的数据
准确性 保持数据准确和最新
存储限制 不再需要时应删除数据
完整性和保密性 确保数据安全

对广告行业的影响

1. 同意机制 (Consent):
   - 使用 Cookie 追踪用户需要明确同意
   - 同意必须是自由、具体、知情、明确的
   - 用户可以随时撤回同意
   → Cookie 同意弹窗 (CMP) 成为标配

2. 数据主体权利:
   - 访问权: 用户可以查看自己的数据
   - 删除权 (被遗忘权): 用户可以要求删除数据
   - 可携带权: 用户可以导出自己的数据
   - 反对权: 用户可以反对数据用于广告定向

3. 数据处理协议 (DPA):
   - 广告平台与广告主之间需要签署 DPA
   - 明确数据处理的角色和责任

4. 跨境数据传输:
   - 向欧盟外传输数据需要额外保障
   - 标准合同条款 (SCC) / 充分性认定

CCPA/CPRA (加州消费者隐私法)

基本信息

  • CCPA 生效: 2020 年 1 月 1 日
  • CPRA 生效: 2023 年 1 月 1 日 (CCPA 的增强版)
  • 适用范围: 处理加州居民数据的企业 (满足一定规模)

核心要求

消费者权利:
  - 知情权: 知道收集了哪些数据
  - 删除权: 要求删除个人数据
  - 退出权: 退出个人数据的"出售"
  - 不歧视权: 行使权利不受歧视

对广告的影响:
  - "Do Not Sell My Personal Information" 链接
  - 用户可以退出基于个人数据的广告定向
  - 需要披露数据共享的第三方

中国隐私法规 (重点)

三大法规

法规 生效时间 核心内容
网络安全法 2017.6 网络运营者安全义务、数据本地化
数据安全法 2021.9 数据分类分级、数据安全审查
个人信息保护法 2021.11 个人信息处理规则、权利保障

个人信息保护法 (个保法) 核心要点

1. 合法基础 (处理个人信息的前提):
   - 取得个人同意 (最常用)
   - 履行合同所必需
   - 法定职责所必需
   - 公共利益所必需
   - 合理范围内处理已公开信息

2. 敏感个人信息:
   - 定义: 泄露或非法使用可能导致人格尊严受侵害
   - 包括: 生物识别、宗教信仰、特定身份、医疗健康、
          金融账户、行踪轨迹、14岁以下未成年人信息
   - 要求: 单独同意 + 必要性说明

3. 个人信息跨境:
   - 需要通过安全评估 / 认证 / 标准合同
   - 关键信息基础设施运营者: 必须境内存储

4. 自动化决策 (与广告直接相关):
   - 利用个人信息进行自动化决策应保证透明度
   - 通过自动化决策进行信息推送/商业营销:
     应提供不针对个人特征的选项 (关闭个性化推荐)
   - 不得对个人在交易价格等方面实行不合理差别待遇

5. 罚则:
   - 最高: 5000万元或上一年度营业额的 5%
   - 直接责任人: 最高 100 万元 + 禁业

对广告行业的具体影响

数据采集:
  ✗ 不能未经同意收集设备标识 (IMEI/MAC)
  ✓ 需要明确告知数据用途并获取同意
  ✓ Android 10+ 限制获取 IMEI，使用 OAID 替代

广告定向:
  ✗ 不能使用敏感信息 (健康/金融) 进行广告定向
  ✓ 必须提供关闭个性化广告的选项
  ✓ 定向逻辑需要可解释

数据共享:
  ✗ 不能未经同意向第三方共享个人信息
  ✓ 广告 SDK 数据共享需要在隐私政策中披露
  ✓ 需要与第三方签署数据处理协议

用户权利:
  ✓ 提供数据查询、删除、导出功能
  ✓ 提供撤回同意的便捷方式
  ✓ 提供投诉渠道

平台隐私政策

Apple ATT (App Tracking Transparency)

iOS 14.5+ (2021年4月):
  - App 追踪用户前必须弹窗请求授权
  - 用户可以选择"要求App不跟踪"
  - IDFA 获取率从 ~70% 暴跌至 ~20%

影响:
  - iOS 端广告定向能力大幅下降
  - 归因准确性下降
  - iOS 端广告收入下降 15-30%
  - 推动 SKAdNetwork 归因方案

应对:
  - 加强第一方数据建设
  - 使用 SKAdNetwork 归因
  - 服务端归因 (S2S)
  - 聚合数据分析替代个体追踪

Google Privacy Sandbox

Chrome 第三方 Cookie 淘汰计划:
  - 2024年开始逐步淘汰
  - 替代方案: Privacy Sandbox

核心 API:
  - Topics API: 基于浏览历史推断兴趣主题 (替代 Cookie 定向)
  - Attribution Reporting API: 隐私保护的归因方案
  - Protected Audience API (FLEDGE): 设备端竞价 (替代重定向)

Android Privacy Sandbox:
  - 限制 GAID 的使用
  - 类似 iOS ATT 的授权机制

合规实践建议

广告系统合规清单

□ 隐私政策: 清晰说明数据收集和使用方式
□ 用户同意: 获取明确的数据使用同意
□ 个性化开关: 提供关闭个性化广告的选项
□ 数据最小化: 只收集必要的数据
□ 数据安全: 加密存储和传输个人数据
□ 数据删除: 支持用户数据删除请求
□ SDK 合规: 第三方 SDK 的数据使用合规
□ 跨境传输: 数据跨境传输的合规保障
□ 未成年人: 不向 14 岁以下用户投放定向广告
□ 敏感数据: 不使用敏感信息进行广告定向

与大数据开发的关联

  • 数据脱敏: 个人信息的加密、脱敏处理
  • 数据删除: 支持用户数据删除请求的技术实现
  • 数据权限: 数据访问权限的精细化管控
  • 数据审计: 数据使用的审计日志
  • 合规检测: 自动化的合规规则检测
  • 数据本地化: 确保数据存储在合规的地域

面试高频问题

  1. GDPR 对广告行业的主要影响有哪些？
  2. 中国个保法对广告定向的要求？
  3. iOS ATT 对广告行业的影响？行业如何应对？
  4. 第三方 Cookie 淘汰后，广告行业如何应对？
  5. 广告系统如何做到数据合规？

推荐阅读