用户画像:如何平衡商业化利用和个人信息保护?

来源:岁月联盟 编辑:猪蛋儿 时间:2022-08-03

在大数据时代,定制化的商业信息推送日益普遍,作为消费者,人们在日常生活中时常能“感受”到它的存在。用户画像作为精准营销和个性化内容推荐的基础,需要获取和分析大量的个人信息,因此在实践中越来越受到监管部门的关注。如何在个人信息保护和商业利益之间寻求平衡?对于这一问题,本文拟从用户画像的各个阶段和环节出发,简要分析有关精准营销和个性化内容推荐的相关法律问题。

01 用户画像的定义及分类

从技术角度而言,用户画像是通过将用户标签化,刻画一个用户的需求模型[1]。在法律层面,用户画像被定义为通过收集、聚合、分析个人信息,对特定自然人的个人特征,如职业、经济、健康、教育、个人喜好、信仰、行为等方面做出分析或预测,形成其个人特征模型的过程[2]。

基于对用户需求描述方式不同,用户画像可以分为两类,即直接用户画像和间接用户画像:

  • 直接用户画像

    是指直接使用特定自然人的个人信息,形成该自然人的特征模型。直接用户画像的特征在于构建个人标签,形成用户信息全貌[3]。直接用户画像收集的信息更具有真实性和准确性,并需要数据处理者对相关数据实时更新和追踪以确保其有效性。直接用户画像的颗粒度粗细兼有,维度也更加丰富和立体。

  • 间接用户画像

    是指使用来源于特定自然人以外的个人信息,如其所在群体的数据,形成该自然人的特征模型[4]。间接用户画像通常用于勾勒群体画像,更侧重于关注具体应用场景下客户群的共性,并形成角色描述,如“00后”、“成年男性”、“白领”、“自由职业”者等。

直接和间接用户画像之间最主要的区别在于形成画像的模型不同。直接用户画像指向特定个人,为真实的用户数据集合,而间接用户画像是基于具有相同特征的固定人群形成的画像,具有抽象性和虚拟性。

间接用户画像信息颗粒度较大,与具体自然人的关联性并不紧密。而直接用户画像则不同,在进行直接用户画像的初期,其收集的相关信息就与特定个人直接相关联,如果后期的分析和处理过程没有剥离对特定个人的识别性和关联性,由此形成的直接用户画像通常具有个人信息属性,需要赋予与个人信息同等标准的保护。

02 精准营销与用户画像的应用

用户画像在早期主要应用于软件产品的设计和开发。随着大数据技术的发展,用户画像与商业逐渐相互结合,频繁出现在网络营销活动之中,并成为分析现有或潜在客户和向目标群体进行精准营销和个性化内容推荐的重要依据。

以汽车行业为例,对用户画像的常见需求是为不同的汽车品牌、车型和款式找到最合适的消费者群体。其用户画像主要通过追踪用户的行为轨迹(user journey),包括但不限于用户对线上和线下等平台渠道的访问,从而统计和形成用户对品牌、车型和价位的个性化需求和特定偏好的全貌。

企业通常通过线上、线下触点的分布,获取来自不同平台的信息流,以达到数据聚合的目的。在数据分析阶段,企业可以通过分析客户的基本个人信息,形成用户基本属性的画像。而通过对网页、App、小程序或用户社群等渠道中更具个性化的行为数据的分析,企业可以深度了解消费者偏好,并通过缩短此类数据的闭环周期,形成更加精准化的用户画像。该等用户画像不仅可以用于精准化营销和定制化内容推送,还可以反哺相关的产品设计和开发,或优化市场布局和运营。

与汽车行业略有不同的是,用户画像在金融行业的应用更侧重于对特定个人的资产信息、消费数据、信用数据等方面的分析。特别是对个人进行信用评级时,往往需要通过对特定客户进行直接用户画像才能实现。虽然在金融产品的开发以及市场分析方面,金融企业也可能通过分析客户的金融产品偏好和消费偏好,对具有共同群体特征和喜好的消费者进行群体画像,但总体而言,金融行业对直接用户画像的依赖可能更高。

03 用户画像与个人信息保护

用户画像最基本的要素为个人信息。企业需要通过收集与“人”相关的基本属性信息或行为数据等,描述“人”与其他要素如“物”和“环境”之间的关系[5],并最终形成特征模型。因此,直接和间接用户画像,都离不开对个人信息进行收集和处理。

一般而言,用户画像可以细分为三个阶段:

  • 收集聚合:对个人信息以及相关市场数据进行“收集”和“聚合”;

  • 识别分析:通过不同的数据算法进行差异化识别,“分析”出群体或个人的特征,并形成直接或者间接的用户画像;

  • 具体应用:将用户画像与实际应用相结合,用于精准营销,个性化内容推荐。

对于前述每一阶段,企业需要关注的合规问题各有不同:

1. 个人信息的“收集”和“聚合”阶段

(1)保障权益:用户的知情权和选择权

对个人信息和相关数据的收集是进行用户画像的第一步。从个人信息的收集、聚合到用户画像的形成,企业均需要充分保障用户的基本信息权利。例如,依据《个人信息保护法》,企业在收集和处理个人信息用于用户画像时,个人信息主体应被充分告知相关处理活动的情况,并有权限制或拒绝企业对其个人信息进行处理[6]。同时,个人有权要求企业对其个人信息处理规则进行解释说明[7]。

去年,引发社会高度关注的“胡某诉某线上酒店预订平台案”中,除了使用用户画像进行“大数据杀熟”的问题外,法院还认定了一个关键性的违法事实,即通过“捆绑服务和强制停止使用等不正当手段,变相强迫、强制用户同意处理其个人信息行为”[8]。被告公司通过强行获取用户授权而采集个人信息进行用户画像,侵害了用户对其个人信息的法定权利。

(2)告知同意规则

告知同意是《个人信息保护法》下处理个人信息最为常见的合法性基础。实践中,企业通常会在其隐私政策中向用户告知个人信息的收集会被用于用户画像和个性化展示,并征得用户的同意。除满足一般合法性基础外,在特殊领域还应遵循其相应的信息收集规则及禁止规则。例如,在统计方面,统计机构对统计工作中知悉的个人信息负有保密义务[9];在医疗方面,收集人口健康信息时需要遵循“一数一源,最少够用”原则[10],采集人类遗传资源须获得主管部门的行政许可[11]。

一般情形下,企业在收集相关个人信息阶段,需要重点关注以下方面:

  • 是否通过显著的方式向用户进行告知,并取得了个人同意;

  • 是否涉及收集用户的敏感个人信息、使用自动化决策、向第三方提供个人信息等,并取得了单独同意;

  • 在取得个人同意时,是否充分尊重个人意愿,给予用户不同意但继续使用相关基本功能的选项,以避免被认定为“过度索取权限”或“强制用户使用定向推送功能”。例如,避免在隐私政策或服务协议中默认自动收集用户的个人信息,或设置“不同意则退出”等强制选项;

  • 向个人告知内容是否真实和全面,包括个人信息处理者名称和联系方式,处理目的、处理方式、个人信息种类、保存期限,行权方式,以及便捷关闭授权的路径和选项等。例如,收集用户在使用某一功能或服务时的相关信息用于其他的功能或服务中,需注意告知的个人信息处理目的是否全面。当进行个性化推送需要获取用户的手机号码、微信号、手机硬件识别码(IMEI)、浏览器cookie信息等个人信息时,应一并进行告知;及

  • 直接使用已有的用户数据库或用户主动上传的内容进行用户画像和分析,需确保该部分数据在取得时已对用户履行了告知义务,且数据处理范围和目的不超过个人同意的范畴。

(3)默认不开启原则

鉴于我国对个人信息保护的力度不断加强,通过用户画像来实现精准的广告投放与追踪需要更加透明化的实施方案。《个人信息保护法》明确了取得个人信息的真实性、准确性、完整性告知规则,企业在收集个人信息进行用户画像时,应充分重视告知同意的质量,清晰地向用户告知精准营销或个性化内容推荐等处理活动的目的和方式,并取得个人同意。

我们建议企业在收集客户数据进行用户画像分析时,尽量避免对个人身份的识别,并在初始设置上给予用户更多的选择。例如,用户可以通过点击不同类别的标题,选择和改变默认设置。在用户关闭相关设置后,开发者或企业应当立即将用户的个人信息进行删除或进行匿名化处理、并停止使用相关信息。基于默认收集和投放个性化广告政策的企业需从技术设置层面进行部署调整,以实现个人信息处理的合规要求。

(4)最小必要原则

《网络安全法》要求网络运营者不得收集与提供服务无关的个人信息[12]。《个人信息保护法》也提出了处理个人信息两个最小原则,即对个人信息主体影响最小和处理目的的“最小范围”。而在处理目的“最小范围”内收集个人信息的规定是禁止“过度收集”,也是防止过度商业化利用的关键。

在“胡某诉某线上酒店预订平台案”中,被告通过概括授权的方式收集个人信息,包括用户的账户信息、设备信息和位置信息等,由于此类信息的收集并非向客户提供酒店等预订业务之必需,法院认定此“收集超出了最小范围”。江苏省消费者权益保护委员会发布的《新能源汽车行业不公平格式条款调查报告》[13]也对部分车企收集用户个人信息形成用户画像,向用户展示、推送商品或服务等信息的行为提出了质疑,认为涉嫌个人信息使用的过度商业化。

关于获取个人信息的“最小必要”原则,《信息安全技术 个人信息安全规范》(GB/T35273-2020)(以下简称“《个人信息安全规范》”)提出了以下具体要求:一是收集的个人信息类型应与实现产品或服务的功能直接关联,即没有该信息的参与,则产品或服务的功能无法实现;二是自动采集个人信息的频率应是实现产品或服务的功能所必须的最低频率;三是间接获取个人信息的数量应是实现产品或服务的功能所必须的最少数量[14]。上述要求分别从“强制”、“频繁”和“过度索取权限”三个角度对“最小必要”原则进行了阐述。

近年来国家对App平台收集和处理用户个人信息的行为进行了严格监管,从工信部通报要求整改的问题上看,涉嫌“超范围收集个人信息”和“App强制、频繁、过度索取权限”所占的比例非常大。由于不同业务对应的目的和需求也不同,如何认定“最小”和“必要”一直是困扰企业的痛点。随着相关立法的不断完善,特别是App应用方面,企业实践中的不可操作性和模糊性等问题正在逐渐被改善。根据《App违法违规收集使用个人信息行为认定方法》,仅以改善服务质量、提升用户体验、定向推送信息等为由,强制要求用户同意收集个人信息,可被认定为“违反必要原则,收集与其提供的服务无关的个人信息[15]。

《信息安全技术 移动互联网应用程序(App)收集个人信息基本要求》(GB/T41391-2022)围绕“最小必要原则”提出了App收集个人信息应满足的基本要求,以及常见服务类型App必要个人信息的使用要求,如地图导航类,网络约车类,网络购物类等。《信息安全技术 移动互联网应用程序(App)收集使用个人信息最小必要评估规范》进一步明确了关于个人信息收集和使用的具体评估要求、评估方法和流程,其中,值得关注的是除了一般告知同意,权限要求之外,与用户画像密切相关的内容,如App定向推送功能使用了第三方的个人信息来源时,应以个人信息处理规则等形式向用户明示业务功能使用第三方的个人信息进行定向推送,并向用户明示第三方的个人信息来源;在间接获取个人信息后进行加工处理形成新的个人信息并用于其他目的需要告知,并再次征得用户的同意[16]。

用户画像是基于用户数据而形成的模型。我们建议企业在进行用户画像的前期借鉴GDPR中的“设计和默认数据保护”概念(data protection by design and default)[17],明确和预先梳理进行用户画像分析之必要提取和处理的信息,避免在实践中造成大量个人信息汇集,增加数据合规风险。如企业自身意识到可能涉嫌超范围收集,应立即对相关的个人信息进行匿名化处理,并对相应的业务项目和程序设置及时进行整改。

(5)对未成年人的画像和算法推荐

我国对使用未成年人的个人信息进行了严格的限制。根据《个人信息保护法》,企业处理不满十四周岁未成年人个人信息时,应取得未成年人的父母或者其他监护人的同意,并制定专门的个人信息处理规则[18]。不满十四周岁未成年人的个人信息,均属于敏感个人信息的范畴,需要取得单独同意。

同时,《互联网信息服务算法推荐管理规定》对使用未成年的个人信息提出了更加具体的要求,避免未成年人陷入“信息茧房”带来负面影响。依据该规定,企业应当依法履行未成年人网络保护义务,通过开发适合未成年人使用的模式、提供适合未成年人特点的服务等方式,便利未成年人获取有益身心健康的信息。企业不得向未成年人推送可能引发未成年人模仿不安全行为和违反社会公德行为、诱导未成年人不良嗜好等可能影响未成年人身心健康的信息,不得利用算法推荐服务诱导未成年人沉迷网络[19]。

因此,企业应谨慎收集未成年人相关信息并进行用户画像,未取得监护人的同意,企业不得对未成年人进行用户画像,且不得向未满十四周岁的未成年人推荐个性化产品或者服务。此外,企业还需要制定专门的个人信息处理机制,并对制度内容进行严格的审查,避免涉及任何可能对未成年人造成不良影响的内容。

2. “识别分析”个人信息