互联网广告精准化营销中个人信息保护的路径构建

王 智

(浙江理工大学法政学院 杭州 310016)

(iszh.wang@foxmail.com)

1 互联网广告精准化营销与个人信息

1.1 基于个人信息的移动互联网广告精准化营销

互联网广告精准化营销是指通过Cookies收集用户日常的网络个人信息数据，例如浏览网页、网络购物、使用相关app等，并基于对收集的个人信息的深度处理、分析，测算出用户目前以及潜在的消费趋势，从而实现对用户群体和用户需求的精确定位，然后再通过互联网对特定计算机或设备投放广告[1].企业通过精准化营销实现广告的定向投放，从而起到以最小的成本准确定位消费群体的目标，而用户也可以通过允许自己的个人信息被收集从而获得相应的服务，便利自己的生活.互联网广告的精准化营销，对于有关互联网新兴企业而言，具有促进企业发展、提高企业服务水平的好处，对于整个国家互联网新经济的发展，具有较大促进意义.然而此种精准化营销如果不加以相应规制也会带来很多问题.因此如何做到互联网创新经济的发展和用户个人信息保护之间的平衡，突破现有模式构建互联网精准化营销中个人信息保护的新路径，将是本文试图解决的问题.

1.2 互联网广告精准化营销对个人信息带来的挑战

对用户个人信息的非法收集和个人信息被收集之后遭受二次侵害是互联网时代中个人信息面临的重要挑战.随着互联网企业为了精准定位消费群体，促进针对性营销而采取的一系列针对用户个人信息的手段的实施，上述2点挑战变得愈发严峻.

1.2.1对个人信息的违法违规收集

为了实施互联网广告的精准化营销，不可避免地需要收集用户的个人信息，通过对被收集个人信息的累积及分析，可以构造出较为完整的人格图像，极易挖掘出个人不愿为他人知晓的敏感信息，为个人带来困扰、不安，引发寒蝉效应，乃至造成财产损失，对人格的发展造成严重的后果[2].用户极容易在不知情的情况下，被有关互联网企业对用户在互联网上的活动进行全程的跟踪和记录，从而非法获取用户的个人信息.随着有关规定的完善，越来越多的企业采取“告知-同意”的方式得到用户同意，从而试图合理获取用户个人信息，但是此种做法依然存在问题，下文会进行详细阐述.因此，企业为了实施精准化营销而实施的违法违规收集个人信息的问题依然不能很好解决.

1.2.2对个人信息的二次侵害

互联网广告精准化营销给个人信息带来的损害不仅仅集中在为了实施精准化营销而对用户个人信息进行收集的过程中.另一重要问题则是用户个人信息被收集之后面临非法买卖，走向不明，遭受二次侵害的风险.也就是说，即使解决了合法收集用户个人信息的问题，用户的个人信息依然可能面临二次侵害，而用户自身因为缺乏相应的知情权、监督权以及删除权，很难避免自身信息遭受二次侵害.2018年3月18日，美国《纽约时报》和英国《卫报》等媒体同时发文称，Cambridge Analytica公司利用了从Facebook不当收集的5 000万用户的个人数据，来为美国大选参选人提供数据采集、分析和战略传播，简单来说，就是“操纵民意”，而现任美国总统特朗普就是Cambridge Analytica公司此前的客户[3].Facebook事件正表明了对个人信息不正当的二次利用会带来极大的危害.

1.3 互联网时代的个人信息

个人信息通常被定义为与特定的自然人相关，可以单独或者与其他信息结合，识别该特定自然人的所有信息[4].在互联网时代，随着大数据技术的普及，个人信息逐渐呈现出前所未有的价值.国家需要通过获取分析利用个人信息实现大数据的覆盖，从而达到治理国家、完善服务、促进经济社会发展的目的.企业也通过大量收集个人信息，深入了解用户需求，进行统一规划配置，达成产品广告的有效投放等一系列营销目的.可以说互联网时代的个人信息已经成为一种异常珍贵的“财富”.

1.3.1个人信息与个人隐私

互联网广告精准化投放过程中的个人信息保护，是否应当与对个人隐私的保护进行区分，笔者认为是有必要的.个人信息权和个人隐私权的区分，在法学界一直是个难以明确的问题.有学者认为，个人隐私权和个人信息权是2种独立的权利.隐私权大体为一种精神性的人格权，即使其可以被利用，但是它的财产价值仍然并非非常明显，隐私大致体现的还是人格利益；而个人信息权在性质上属于一种集人格利益与财产利益于一体的综合性权利[5]，笔者赞同此种观点.2012年《关于加强网络信息保护的决定》，是我国首部关于个人信息保护的立法，也是对个人隐私和个人信息加以区分并分别进行保护：一是个人的隐私，强调对于个人的秘密性；二是能够识别个人身份的信息，强调与特定个人的相关性和可识别性[6].2017年《中华人民共和国网络安全法》也进一步详细规定了个人信息的定义，认为自然人的个人信息是通过结合或者单独认证，可以识别特定人身份的各种信息，进一步突出了个人信息的特征.可以发现，在互联网广告定向投放的时代下，遭受侵害的更多并不是不能够为外人道的具有秘密性的个人隐私，而是长期缺失重视和保护的、与特定主体相关联的个人信息，例如姓名、手机号码、家庭住址、血型等等.显然前者通过隐私权已经能够较好地对其进行保护.但是即使如以上区分，部分个人信息仍然具有个人隐私的特征，此时可以通过权利客体对两者进行区分，也就是说前者更注重的是私密性的信息或者个人的活动，而后者强调对个人的“识别性”，此时的“识别性”需要有记录信息的载体.比如个人的性生活如果没有被记录下来则不属于个人信息而更多是个人隐私，但是如果通过一定方式记录下来并且能够识别出特定的主体，那么此时就应该属于个人信息.当然，当某种行为侵害他人隐私权或个人信息权时，有可能同时侵害这2种权利，受害人可以选择对自身最为有利的方式加以主张.但是从整体来说，个人信息远远超过了隐私的范围.因此互联网时代的新背景下，保护个人信息首先应当区分个人信息和个人隐私.

1.3.2个人信息的类型

笔者认为个人信息应进一步区分为敏感个人信息和一般个人信息.所谓敏感个人信息是指关涉个人核心领域、具有高度私密性、对其公开或利用将会对个人造成重大影响的个人信息[7].多个国家和地区已经通过例举式的立法模式确定了什么是敏感个人信息.如1995年《欧盟数据保护指令》规定的敏感信息包括关涉个人种族起源、政治观点、宗教或者哲学信仰、贸易伙伴以及健康和性生活的个人信息，2002年德国《联邦个人资料保护法》规定种族、政治信仰、宗教或哲学、工会成员资格、健康或性生活5类敏感信息，我国台湾地区2010年《个人资料保护法》明确列举了5种敏感信息，包括医疗、基因、性生活、健康检查及犯罪前科信息[8].我国《征信业管理条例》第14条第1款也有相关规定.很明显，敏感个人信息因其特殊性，除非在立法规定的特殊情况下，不应该被任何行政机关、商业机构以任何理由所获取，也就是说对于敏感个人信息的保护应当适用法律保留原则.除去不可让渡的敏感个人信息，便是可让渡的一般个人信息.

为了更有针对性地对互联网时代个人信息进行保护，一般个人信息还应该进一步进行分类.有学者指出：“谁、何时以及在何种情况对其了解什么，这样一种社会秩序设想在信息社会已然成为幻想”[9]，此种观点是对源自德国的“个人信息自决权”的反思，所谓个人信息自决权，来自于德国著名的“人口普查案”.即对其所有的个人信息都依法享有按自己的意志能动使用的权利，它保护的是个人自己决定人格的发展和自我表现，以其自身可控制的自我表达方式或者通过与社会中他人进行交流的形式传达出去[10].这种个人信息自决权似乎在21世纪互联网时代来临之时，已经成为一个几乎不可能实现的权利.因为在信息高速流动和交换的新时期，要想让个人的每一项信息都完全处于自身的掌控之下，似乎是一项不可能完成的任务.但笔者认为只要是个人信息，信息主体对其就应当有一定的掌控权，但掌控的强度则应该按照对个人信息不同层次的划分而有所区别.这既有利于促进互联网经济和个人信息保护之间的平衡，也有利于保障用户的使用体验和便捷性.上文提到的敏感个人信息因其特殊性，不能被互联网广告主体所获取.因此针对一般个人信息，根据其与个人关联的紧密程度和一旦泄露的风险程度的再次分类就显得极有必要.对直接的、风险性较强的个人信息赋予信息所有人个人信息自决权，也就是包含前期的积极同意方可收集和收集过程中持续对信息走向的监督.所谓的直接的风险性较强的个人信息是指个人信息与信息主体识别程度比较高，一旦泄露很容易直接对信息主体造成侵害的个人信息，例如信息主体的姓名、家庭住址、手机号码，甚至包括支付宝账号等信息，除此之外的个人信息，因为其与信息主体不具有较强的关联性，一旦泄露风险性便相对较小，受保护的程度则可以相对较低.

2 互联网广告精准化营销中个人信息保护的域外经验

对于互联网广告精准化营销中的个人信息保护，一是规制精准化营销领域中对用户个人信息的收集行为，二是个人信息被收集之后的走向对信息主体来说缺乏透明度，以及针对被收集的个人信息的二次侵害问题.在这2个方面，美国和欧盟立法先进，应对措施完善，具有一定的借鉴意义.

2.1 立法模式

2.1.1美国的“分散立法”模式

在个人信息保护领域，美国采取的主要是“分散立法”和“行业立法”的模式，首先这种立法模式与美国的多元化立法格局具有很大的关系.立法部门创制成文法，行政部门通过规则和规定及其解释创制行政法，法院通过其裁判来创制判例法或普通法.不同层级立法对个人信息进行保护.美国针对个人信息的分散式立法模式的另一大特点是公共领域和私人领域分别立法.美联邦政府制定的《隐私权法》和《金融隐私权法》都只能限制联邦政府对个人信息的处理.而另外制定的《公平信用报告法》和《公平准确信用交易法》却可以规制政府以外的其他组织对个人信息的收集处理和使用.此外，针对个人信息保护，美国还制定了大量个人信息保护的行业自治规范，通过政府立法和行业规范共同促进对个人信息的保护.比如，美国联邦贸易委员会(FTC)发布了针对精准化营销广告的行业自律原则，明确规定了定向广告数据使用的透明原则、安全原则、有限信息保留、告知-同意等条例.尤其是对个人信息数据的二次使用问题，提出了在对数据进行二次使用时，应当再次向消费者告知并征求明示同意，同时向FTC进行报告.

2.1.2欧盟的“统一立法，区别处理”模式

与美国不同的是，欧洲大多数国家采取的都是国家主导的立法模式，欧盟通过在1995年颁布的《关于个人数据处理及自由流通个人保护指令》(以下简称《指令》)对个人信息权进行了详尽罗列，包含几乎所有类别的个人信息.并且通过《指令》，统一公法领域和私法领域对个人信息的保护，统一由《指令》进行调整，无需通过其他立法进行个人信息的保护.此外欧盟对个人信息保护奉行“统一调整，区别处理”的方式，所谓“统一调整”，就是立法在保护对象上尽可能地包含所有的个人信息，通过一部《指令》进行统一调整;2016年欧盟颁布《一般数据条例》(以下简称《条例》)，《条例》对《指令》进行了修正，但是本质还是通过统一的立法规定个人信息的保护.但“区别处理”又强调根据涉及信息与个人的关联程度、风险程度、保护状态不同，收集方式的不同，立法应为不同种类的信息提供不同强度等级的保护[11].比如欧盟立法规定，针对12岁以下的儿童，不能以定向广告为目的收集他们的信息，这一点体现了欧盟区别调整的处理方式.

2.2 保护手段

美国在互联网广告精准化营销中的个人信息保护中，更看重市场企业自身的自律行为，提出了透明原则、安全原则、有限信息保留以及经典的“告知-同意”模式，还针对信息的二次使用提出了使用者负有应当在二次使用时及时向FTC汇报并向用户征求同意之义务.美国加州2002年颁布的《安全泄露通知法案》中更是规定了数据泄露通知制度，严格规定了数据泄露之后通知的对象、时间和内容.欧盟则通过新颁布的《条例》，在将普通“告知-同意”修正为积极的“告知-同意”之外，还明确提出赋予信息主体以删除权，即进一步完善用户对个人信息的“自决”之权利.并且提出收集的个人信息假名化处理，让个人身份更难被识别.此外，欧盟也建立了信息泄露通知制度，规定信息一旦泄露，有关企业应当及时通知主管部门和信息主体，并且详细规定具体的通知方式和其他细节.《条例》还创新性提出建立有关数据保护官员制度，该官员履行监督企业或组织数据处理合规性的职责，在发生数据处理违规操作时承担法律责任[12].

① 《民法总则》第111条：自然人的个人信息受法律保护.任何组织和个人需要获取他人个人信息的，应当依法取得并确保信息安全，不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息.

2.3 借鉴和启示

美国和欧盟对个人的信息保护都是扎根于本国的国情而采取的立法模式.从立法模式上，根据我国国情，采取统一的立法较为可取，因此可以参考欧盟的统一立法模式，明确我国个人信息权和有关权利内容并制定统一的保护规则，建立统一的标准.其次，为了更好地适应互联网新经济的发展，真正将对个人信息的保护落到实处，还应当学习欧盟的区别处理模式，对不同的情况进行分别的处理，具体的措施和建议，下文会详细进行阐述.最后针对我国立法不够完善的现状，也可以考虑结合美国的行业协会自治规范等经验，借助民间力量，将统一立法和行业制定协会自治规范相结合，促进对个人信息的保护.从保护手段上来看，欧盟和美国已经逐步突破现有的“告知-同意模式”，由仅仅对个人信息的收集进行规制转向对个人信息被收集使用的全程进行监控和管制，从而能够更有效地从整体上应对互联网广告精准化营销中个人信息的保护.

3 我国互联网广告精准化营销中个人信息保护的现状和问题

3.1 我国互联网广告精准化营销中个人信息保护的法律法规

近年来随着互联网时代的来临和大数据经济的发展，我国对于个人信息的保护也日益重视.全国人大2012年通过《关于加强网络信息保护的决定》.国务院2013年发布的经过修订的《征信管理条例》也对征信行业的个人信息采集进行了详细规定.2014年《消费者保护权益法》出台，加强了对消费者的个人信息保护.2014年还专门出台针对互联网广告精准化营销的《中国互联网定向广告用户信息保护行业框架标准》(以下简称(框架))对个人信息进行保护.《框架》出台，一方面推动了各单位加强自身合规和商誉建设，另一方面实现互联网用户对自身信息的控制权[13].另外，《民法总则》第111条也加入了关于个人信息保护的相关规定①.对于《民法总则》第111条中个人信息相关规定，有学者认为，第111条中的个人信息虽然没有明确定为个人信息权，但是从法律所保护的课题和比较法的基础上来看，第111条可以视作明确规定了个人信息权[14].这些法律法规的出台，对于我国互联网时代下，用户个人信息的保护具有非常大的意义，也切实改善了个人信息被侵害的严重局面.体现了政府对于互联网时代个人信息保护的密切关注.比如《框架》中就严格规定了有关广告主和相关企业在用户被告知和同意后才可对用户个人信息进行处理的义务，还包括收集信息时应当符合最小限度原则等一系列针对互联网广告精准化营销过程中用户个人信息保护的广告主和相关企业应当承担的义务和采取的措施，这也是我国第1份直接针对互联网广告精准化营销所提出的框架协定.

3.2 现有个人信息保护模式的实践

最新出台的《中国互联网定向广告用户信息保护行业框架标准》指出，服务提供方应向用户提供关于：1)是否同意为互联网广告目的收集和使用用户信息的选择机制；2)是否同意与非关联方共享该等信息的选择机制.这就是当今世界各国在针对企业收集用户个人信息时普遍采取的保护模式——“告知-同意”模式，此种模式的优点在于可以提前告知用户并且在征得用户的同意之后方可对用户的个人信息进行收集.此外《框架》中还提出用户应具有对个人信息走向的知情权，确保用户获得此项知情权的实施主体是第三方企业和服务方，规制对象是第三方企业在买卖使用个人信息时的不当行为.另外还有收集信息的最小限度原则，所谓最小限度原则是指，有关企业在收集用户个人信息时，应当以满足自身提供服务目的的最小限度为标准.另外，除了以上模式，还存在“DNT(do not trake)”模式，但这种模式更像是一种君子协定.如果你启用请勿跟踪，在访问某个网站时，浏览器向网站服务器发送的HTTP头文件将包含请勿跟踪的信息，但网站可以置之不理，继续收集信息.

3.3 现有法律法规和保护模式实践中的问题

和欧美相关个人信息保护的法律法规相比，我国立法对于个人信息保护存在的问题有如下几点:

1) 没有明确个人信息权的地位.虽然《民法总则》第111条可以视作规定了个人信息权，但是仅仅是从学理分析上进行如此解释，缺乏进一步体系化、正规化地明确个人信息权的独立地位.并且个人信息权因为缺乏独立的地位至今与个人隐私没有明确界分，这种立法现状已经严重不适应实际的情况，因为在互联网时代，缺乏保护的往往并不是较为隐秘的个人隐私，而更多的是能够识别身份的个人信息.事实上前者已经通过隐私权的设立得到较为全面的保护.

2) 对个人信息的保护较为粗糙，没有根据敏感程度进一步进行评估和分类，这往往会导致实际适用法律的效率低下，流于形式.个人信息中实际包括敏感的个人信息和一般的个人信息.如果对程度不同的个人信息不将其进行分类并区别进行调整，就很有可能出现如下情况：对一般的间接性的个人信息采取过于严苛的保护措施，导致有关企业信息保护的成本过高，带来沉重负担，阻碍数据流通和创新应用，从而造成个人信息被收集所带来的福祉和个人信息保护之间的不协调.信息主体也会因为仅仅是一般个人信息的保护，需要时刻处于被告知和“同意”的情形，从而失去互联网时代的“安宁”权利.而如果对于敏感的个人信息采用一般的保护措施，就会出现敏感个人信息被非法收集使用和处理的情形，从而造成信息主体严重的损失.

3) 对个人信息权应当包含哪些具体的权利内容并未进行具体规定，仅仅通过零散的法律法规包括行业规定，表明用户应当享有对个人信息的决定权、更正权、知情权等.但是因为缺乏体系化，在具体保护过程中，难以做到统一标准、有效保护.尤其是面对互联网广告的精准化营销的情形，除了对个人信息收集行为进行规制，为了达到精准投放的目的，大量第三方企业会参与用户个人信息的买卖，在此情形下，如果不能明确用户对个人信息走向的知情权、决定权，将使此种情况下的个人信息保护变得难以进行.

4) 从保护模式的实践来看，传统“告知-同意”模式如果不加以更新和在使用前对个人信息的风险程度进行评估，区分具体情况适用，会随之产生一系列的弊端.首先，对于一般个人信息中的间接性的风险程度较低的个人信息，采取积极的“告知-同意”模式缺乏必要性.因为此种间接的风险程度较低的个人信息对特定个体的识别程度较低，对用户造成侵害的风险较小，保护的紧急程度也相对较低.全部对其采用积极的“告知-同意”模式也会给用户和企业带来较大负担.但是不可否认的是对于一般个人信息中的直接性的风险程度较高的个人信息，因为其与特定个体之间的关系更为紧密，识别程度更高，采用积极的“告知-同意”的保护模式是可取的.但是现有的“告知-同意”模式很显然并不足以切实保护用户的个人信息权.首先此处的“同意”难以自由作出.因为为了使用网络服务提供商的服务，信息主体除了同意外并没有其他的可选项，如果不以服务商所需要的个人信息进行交换，就无法享受他们提供的相应服务和产品[15].所以还需对现有的“告知-同意”的保护模式加以改革，使其能够赋予用户基本的磋商权和自由选择权，使用户对于自己的个人信息能够拥有真正意义上的“主导权”，而非不真实的“同意”.而“DNT”模式则更是一个志愿遵守的系统，而绝大多数网站都不遵守DNT，使得这种模式实际上没有任何作用[16].这种模式的核心理念，比较接近近些年有些学者提出所谓“信赖理念”，也就是希望赋予有关企业以所谓“忠实义务”和“勤勉义务”，以期建立起信息主体和企业主体之间的“信赖关系”[17].此种理念和模式因其缺乏强制性，在具有逐利性的市场经济中显得意义不大.

5) 在个人信息被收集之后不断流转的过程中，很多情形下用户对其信息的被收集和流转情况并不知情，难以对第三方主体的有关行为进行监控和知情.也就是说仅仅采用“告知-同意”模式，只是用户和信息收集方签订了协议，对于二者之外的第三方，往往缺少相关规制，即用户缺乏对个人信息走向的监督权和知情权.《中华人民共和国网络安全法》规定了数据泄露通知制度，但是对于数据泄露通知义务的通知对象、通知时间、通知内容等具体的制度要件规定并不明确，不能很好地保护用户对个人信息被收集之后的监督权和知情权.虽然《中国互联网定向广告用户信息保护行业框架标准》较为详细地提出第三方和服务提供方应当促进实现用户对个人信息的控制，但是很多地方表述较为模糊，并且因为《框架》其本质还是一种行业的自治协定，不具有任何的强制效力，容易变成“象征性”规定.《框架》规定用户拥有的此项权利是通过第三方企业和信息直接收集方给予的，也就是说更多寄希望于企业能够及时发现补救用户个人信息的泄露问题，其进一步提出的所谓企业自查、员工举报等举措也基本都寄托于企业的行业自律.根据经济规律，作为商主体的企业具有逐利性，在利益面前，大多数企业会在自身利益和用户信息安全面前权衡比较守法守规能够给自己带来的利益，因此可能会造成所谓“选择性”守约的局面.因此如果不加以严格立法规制和其他手段而仅仅寄托于企业自律，可以说用户并不能期望通过《框架》而得到真正的“信息自决”之权利.

4 互联网广告精准化营销中个人信息保护的路径构建

4.1 个人信息权相关立法建议

针对我国个人信息权相关立法路径，提出如下建议：

1) 立法严格对个人信息权进行界定和分类.

明确个人信息权与隐私权的区别，突出个人信息权的可识别身份的特性，将其明确规定为一项独立的民事权利.并且详细规定个人信息权的概念、客体以及相关权利内容，做到互联网时代个人信息保护的有法可依.并且在此基础上，对个人信息权中的个人信息进行进一步划分，按照敏感程度的不同将其划分为敏感性个人信息和一般个人信息.此种划分有利于保护的精细化和准确化.划分标准应当是参照国际通行做法，结合我国国情，将宗教信仰、犯罪数据、健康数据等个人信息划入敏感个人信息当中，并且这种敏感个人信息的界定不应是静止的，应根据社会实际情况的变动而时刻予以立法上的更新.一般来说,从现行很多国家的立法来看,对个人敏感信息一般是禁止征集与处理的[18].因此我们在立法上区分开敏感性个人信息和一般个人信息之后，相关机构对敏感性个人信息的收集和使用应当适用法律保留原则，除非法律特殊规定，一律不得收集处理和使用.一般个人信息则因为其自身的敏感性较低，则可以依照法律规定合法地收集处理和使用.

2) 设立“风险评估”机制，对一般个人信息进行保护层级划分，在此基础上有选择地适用“告知-同意”模式.

除去上文提到的敏感性个人信息，对于精准化营销过程中被收集处理和使用的一般个人信息的保护不应是一揽子不加甄别和区分的保护.一般个人信息中还应当根据风险程度进行区分，有的一般个人信息与信息主体关联性较强，较为直接，一旦泄露风险程度较高，有的个人信息的识别性不高，则风险程度较低.互联网新经济形势下，互联网广告的精准化营销对于促进经济的创新和发展具有极大的意义，因此如果对其采取过于严苛的规制手段，会导致企业门槛过高，正当收集处理和使用信息的成本过高，从而不宜于新经济的创新和发展.因此立法中应当规定企业收集信息时引入“风险评估”机制，对不同风险程度的个人信息采取不同的保护手段.在建立风险评估机制的基础上，针对风险程度较高、直接关联性较强的个人信息，企业收集使用和处理时严格适用“告知-同意”模式，即严格告知用户相关个人信息可能被收集处理和使用的情形，只有用户同意才可进行收集处理使用行为.但针对风险评估后与信息主体关联程度较低、风险程度较小的个人信息无需采用“告知-同意”模式，只要用户没有表示拒绝即可不经同意加以使用.这一点在日本最新的有关立法规定中已经得以呈现.日本《个人信息保护法》修正案中规定，删除名字等使特定个人无法被锁定的信息即使没有本人的同意也可提供给第三方[19].

3) 修正“告知-同意”模式，增加“个性化”协议规定.

增加“个性化”协议规定.现有的“告知-同意”模式是建立在互联网精准化营销的企业和个人信息主体之间的用户协议基础之上.面对此种用户协议往往用户自身并没有磋商和选择的余地，如果信息主体想要得到企业的服务，必须选择接受此种协议，从某种程度上来说，此时的“同意”是信息主体一种不得已而为之的“同意”，因此如何改进这种保护模式，笔者认为应当通过协议的“个性化”赋予用户一定的磋商权.所谓“个性化”协议，可以采取设立“关键词”的协议模式，具体来说是立法规定企业应当承担允许用户自主决定哪些个人信息不能被收集的义务，在协议中设立“关键词”空栏，用户在空栏中可以填入一定的“关键词”，在后续有关企业对用户使用服务时产生的个人信息进行收集处理和使用时，应通过技术手段，主动避免对包含此种关键词的个人信息进行有关操作.通过此种模式，既可让用户在保证自身磋商权利的同时又能享受到企业提供的服务，企业也可以达到合法合规收集用户个人信息的目的.

4) 建立“用者有其责”机制并赋予用户对信息走向的监督权和删除权.

互联网广告精准化营销，实施精准化营销的企业往往不是直接收集个人信息的企业，而是通过个人信息的买卖和后续处理，对有关用户进行广告的精准化投放.关于第三方企业，上文提到，因为缺乏对第三方企业的规制，用户往往对于个人信息被收集后的走向缺乏后续的监督权和知情权.因此首先应该立法建立“用者有其责”机制，针对用户个人信息被收集后所有的行为进行监测和风险评估，一旦发现个人信息遭到非法泄露或者其他侵害，导致用户特定个体被非法识别，造成相关利益的损失.此时不管是直接有关企业还是第三方企业，都应该承担被追究相应的责任.当然“用者有其责”机制在适用过程中也应当对“用者”限定一定的范围.因为个人信息范围过于宽泛，如果过于保护，反而会制约互联网社会经济的繁荣发展.如何限定“用者”主体是否从中得益以及保护措施的成本是几个可衡量的因素[20].其次在针对第三方企业的监管上，直接有关企业一般应该承担事前通报用户，事中主动对第三方企业对用户个人信息作出的侵害行为进行监管并且及时地预警的义务.但仅仅依靠有关企业的监管是不够的，因为企业自身的性质决定了其具有逐利性，无法完全从用户个人信息的保护角度出发对第三方企业进行彻底的监管.因此赋予用户对个人信息被收集后进一步的监督权和删除权就显得极为重要.使用户有机会详细掌握其信息的利用状况与流程，参与了解掌握自身个人信息被收集后的全部走向，进一步赋予用户以删除权，也就是一旦发现自己的信息遭到非法泄露或者不利处理，自身权利陷入一种被侵害或者存在被侵害的可能性时，用户应当有权要求有关企业对相关个人信息进行删除，也就是及时收回被收集的个人信息.这一点是建立在赋予用户对信息走向的全程监督权基础之上的.也就是说通过结合“告知-同意”模式再加上赋予用户监督和删除权，可以真正让用户在互联网广告精准化营销过程中实现“信息自决”之权利.需要强调的是，此种“信息自决权”并不仅仅针对第三方企业，面对直接有关企业的相应行为用户依然可以发挥“信息自决”的权利.

4.2 企业主体在个人信息保护路径构建中发挥作用

1) 相关企业主体应当充分发挥行业自治精神，建立有关互联网广告精准化营销企业的用户个人信息保护联盟.

类似行业联盟在美国已经付诸实现.美国很多从事网上业务的行业联盟都有自己的隐私指引准则.其中以“在线隐私联盟”最为著名，它由超过80家的国际公司和协会组成，致力于为商业行为创造互信的良好环境和推动对个人网络隐私权的保护[13].可在行业联盟成立之后，制定统一规章守则，统一联盟标志，为每一个参与此行业联盟的企业网站上附上标志，能够让用户更加放心与加入个人信息保护行业联盟的企业签订信息收集相关协议.通过定期举办相关行业会议，提高企业主体在精准化营销过程中对个人信息保护的理论和技术水平，也能进一步促进互联网企业创新发展.当然，此种行业联盟应该实施定期更新机制，随时剔除并公布不遵守联盟准则的企业，从而能够让行业联盟保持生命力，维续良好的运作.

2) 引入第三方监管.

笔者设想，随着互联网经济高速发展，大数据时代已经来临，每个人的个人信息都陷入可能被非法泄露、利用，以致遭受不法侵害的泥潭.因此，不只是针对互联网广告精准化营销中个人信息的保护，而是面对整个大数据时代个人信息的保护，应该成立行之有效的监管机构.效仿消费者权益保护协会，属于法定的非政府组织，依据国家法律，对大数据时代的个人信息进行社会监督，保护信息主体的合法权益，同时引导信息主体的合理维权，也能促进互联网经济的合法合理创新发展.参与个人信息保护的立法咨询，向信息主体提供监督和咨询服务，参加有关行政部门、企业主体对信息主体个人信息被收集使用处理的监督和调查.充分发挥第三方监管的力量，促进互联网大数据时代下个人信息的保护.