破解“流量密码”——数字化时代零售营销的数据合规之道（上篇）

标签：公司与并购-公司合规体系，数字经济，电信、传媒、娱乐与高科技-数据及隐私权保护

前言

近年来，为了持续解锁新的“流量密码”，如何与消费者形成有效互动并发生“化学反应”，已成为众多零售品牌探索的新方向。

数字化时代，随着零售行业对消费者消费趋势和决策分析的不断深入，消费者个人信息保护问题也日益受到关注。对于企业而言，如何在顺应数字化发展拓展营销模式的同时满足法律法规对消费者个人信息保护的要求，是当下值得探讨和重视的话题。

在本次系列文章的上篇中，我们拟分析和提示虚拟社群、AR沉浸体验和网络爬虫三个零售营销场景的相关合规风险和注意事项。

一、社交营销——“虚拟社群”

社交零售是“流量为王”催生的产物。顾名思义，社交零售在传统的营销手段基础上增加了社交属性，商家除了需要用创新的内容与其他竞品形成区别外，还需要通过线上社交生态影响消费者的购买决策，并与消费者建立密切联系，提升消费者的黏性与复购率。

使用社交媒体营销的电商平台通常会在其平台内部搭建社交平台，允许平台用户之间建立好友关系，并在“好友圈”内向好友分享商品。通过持续激发用户出产内容，逐渐形成虚拟社群。社群效应可以激发用户的购买意愿，稳定虚拟社群的人数和活跃度，是社交媒体营销的关键，但同时伴随的高频次的信息交互也对企业平台内的数据合规治理提出了更高的要求。

场景一：订单分享模式

购物分享是社交媒体营销的典型方式之一：即通过现有客户向潜在客户分享产品体验，借助已有客户的推荐和评价为其产品 “背书”。此类营销方式相比于泛化的广告投放，更容易增强潜在客户的购买欲。

购物分享的一种较为传统的模式是消费者在其个人主页主动展示其购买记录、商品评价、收藏店铺等。实践中，若其他消费者可以通过搜索昵称等方式访问到消费者的个人主页，浏览其购买记录，产品评价等个人信息，此时信息的共享通常可以被认定为向不特定人群进行公开披露。

随着社交媒体在营销中角色的加强，部分企业会引导消费者选择开通相关功能，以向部分特定或不特定人群共享其订单信息。在此模式下，企业比较容易忽视给予消费者对其个人信息的足够的选择权。例如，在消费者选择开启相关功能时，默认自动同步消费者最近某时间段的订单信息，或在消费者选择共享订单信息时，将公开其商品评价、参加活动状态等也设为默认勾选项。依据《个人信息保护法》（“《个保法》”）的规定，向第三方共享或者公开披露他人的个人信息，均属于需要取得个人单独同意的事项[1]。默认勾选、强制捆绑收集个人信息是当下监管部门对APP整治的重点内容之一。通过一揽子或捆绑的方式取得消费者同意或默认开启公布部分个人信息的行为，将可能涉及侵害消费者对于其个人信息处理的决定权。

我们观察到，不少零售平台内的社交圈的搭建是基于取得消费者同意访问其通讯录好友或通过搜索用户名加入好友而实现的，消费者可以选择向具有相似的消费习惯和审美倾向的群成员分享商品链接。这些平台的构建模式类似朋友圈，实际上属于一个半封闭式平台，但是部分订单信息的共享模式并不仅限于在平台内对好友进行展示，而可能突破该社交平台的闭环，向所有用户展示消费者的下单情况，如团购模式中，在商品信息页面同步滚动显示已下单买家的昵称或头像。此类信息的公开披露，在未明确取得消费者同意的情况下，还可能属于超范围处理个人信息的情形。电商平台通过滚动展示商品的成交记录，除了将该用户的昵称和头像等个人信息对外公开以外，还同步披露了消费者的交易和消费记录，这些信息很可能构成用户的敏感个人信息[2]。

综上，我们建议零售企业在选择采用通过公开此类信息渲染氛围进行营销时，需考虑就该披露事项取得用户的单独同意，在难以取得个人的单独同意时，应对消费者账户的头像和昵称进行匿名化处理。

场景二：用户的数据交互

社交零售的另一特点在于不同用户之间频繁的互动。用户交互是社交生态的基础，对于零售企业而言，用户之间的数据交互和回转丰富了消费者的使用体验，同时也提高了消费者使用其购物平台的黏性，但引入用户交互模式也对平台的内容生态治理提出了更高的要求。

目前新型的零售平台通过添加好友圈、红人关注等社交媒体中的功能模块，打破了传统营销中消费者对商品进行评价或回复他人评价等单一的互动体系，融入了信息内容平台和社交平台的内容。消费者除了在个人主页发布内容，还可以关注好友，发送私信，并在添加好友后进行聊天，互相传递照片、视频等信息。新型的零售企业不仅作为电商平台，还需要承担作为网络信息内容服务平台的责任，履行相应的监督与管理职责。

根据《网络信息内容生态治理规定》，企业作为平台方应当制定并公开管理规则和平台公约，完善用户协议，明确用户相关权利义务，并依法依约履行相应管理职责[3]。此外，依据《民法典》的相关规定，若平台内用户实施侵权行为的，企业作为网络服务提供者还应当响应用户提出的删除、屏蔽、断开链接等要求，根据构成侵权的初步证据和服务类型采取必要措施[4]。《电子商务法》也明确要求电子商务平台经营者应当遵循公开、公平、公正的原则，制定平台服务协议和交易规则，明确消费者权益保护、个人信息保护等方面的权利和义务[5]。基于社交媒体的属性，平台中的消费者在不具备较强的隐私安全意识的情形下使用聊天功能时，极易因为发布的内容不当而泄露自己或他人的个人信息，甚至是敏感个人信息，从而引起平台纠纷或客诉。

因此，对于用户交互中可能存在的泄露他人个人信息的风险，企业应向用户提示安全注意事项和予以警示，如在对话框内以弹窗形式提示用户注意保护个人信息安全，避免向他人公开可能危害个人人身、财产安全和名誉的信息。另外，企业作为平台方除了告知消费者在公开他人个人信息时应当取得他人同意，还应提示消费者保护自己的个人信息，在发布公开评价、私信等内容时，谨慎选择公开的内容。

此外，针对平台内部分消费者发布的侵害他人合法权益的违法信息的行为，企业还应当予以防范、抵制和及时采取处置措施，并在显著位置设置便捷的投诉举报渠道，公布投诉举报方式，及时受理投诉举报并反馈处理结果，以保障个人权益受侵犯的权利主体的投诉举报权利[6]。

二、AR技术营销——“沉浸体验”

AR增强现实技术的出现打破了传统平面的视觉感染力，三维空间展示的魅力在一些风靡一时的AR游戏中得到了充分的展现。而AR技术在零售行业的应用也不断深入，其生动的形象、宏大梦幻的场景为广告营销提供了无限空间。通过WebAR或是将AR功能直接嵌入小程序、APP端，要求消费者进行互动的营销模式日趋流行。

无论是单独的线上AR体验，或是结合了线下产品展览、现场游戏、试驾活动的AR应用，为了让消费者更好的感受产品外观、材质和使用效果，企业需要突破传统营销活动中采集和处理的一般个人信息范畴，进一步涉及敏感程度较高的个人信息，如捕捉参与人的脸部轮廓、身高、体重、声纹、精准位置信息等。

场景一：人脸识别与追踪技术

沉浸式营销的场景多种多样，而AR人脸识别技术的使用较为广泛，如某联名推广活动中，客户可以通过AR人脸识别与追踪技术，在小程序内体验定制“面纱”；某电商平台为客户提供了游戏平台，客户可以通过佩戴AR眼镜，进入游戏界面，通过虚拟人物的跑酷，获得奖励。

在北美，近日某品牌因其网站上的“虚拟试戴”功能中收集消费者的生物识别数据而被卷入诉讼纠纷。根据原告提交的诉求，该公司在邀请消费者进行佩戴相关产品时，扫描了完整的面部轮廓，并使用了消费者上传的照片数据，用于匹配和调试产品的数据。原告主张在没有事先书面的隐私政策告知数据留存时间和规则的情形下，他们的个人信息被收集和储存，而背后的技术平台也牵涉其中。

在此场景下，VR技术涉及的一个关键问题是收集具有高度个人化特性的生物信息的边界。在实践中，无论是虚拟穿戴或游戏VR体验，除了面部轮廓外，还可能涉及眼动追踪、手指追踪或其他追踪功能，甚至涉及虹膜或视网膜扫描、指纹、手印和声纹等信息的采集。此外，部分追踪模式下采集的数据中可能涉及消费者的运动模式，如步态信息等，由于此类数据难以通过技术手段进行匿名化，因此在处理目的实现后的彻底删除具有重要意义。若违法使用相关数据用于识别或追踪个人，则会对消费者安全形成较大的威胁和隐患。

综上，企业在使用VR技术进行产品营销且采集消费者生物信息时，对具体信息类型的识别以及根据法律法规的要求取得消费者的单独同意尤为重要。同时，对此类信息的存储也是企业需要关注的重点，基于最小必要原则，当实现必要的处理目的后，即客户穿戴完毕且停止使用相关功能时，建议企业对相关数据及时进行匿名化处理（如技术上可行）或删除，这也可以在一定程度上预防数据泄露造成的严重影响。

场景二：网络虚拟身份与个人信息

除了直接采集消费者数据外，企业还需留意在虚拟环境下消费者作为参与者提供的聊天或倾向性选择类的信息。如某品牌方提供的AR应用游戏，客户可以与虚拟的人物进行全面对话，并选择购买偏好等具有倾向性的答案。虽然此类信息的产生均在网络虚拟环境下进行，但是在消费者进行体验时，零售企业往往会预先让消费者扫码，以关联至其个人信息主体账号的方式登录相关小程序或线上APP等，因此在已识别具体个人的情况下，与其有关的信息均可能构成其个人信息。

企业在营销活动中通过构建网络虚拟场景并与消费者的社交媒体账户建立联系，如预先获取粉丝关注，加好友，或活动投票等方式下与消费者进行的互动，需要结合实际情况对获取的相关消费者数据进行判断。企业在主动获取消费者的偏好类的信息时，需要对其类别进行甄别，若涉及个人兴趣爱好，教育经历等关联个人信息的获取时，同样需要考虑是否应事先取得同意。

随着AR技术未来的升级迭代，若通过深度合成技术使用消费者数据制作图像、音视频、或虚拟场景，涉及提供人脸、人声等生物识别信息编辑功能的，依据《互联网信息服务深度合成管理规定》，属于需要取得单独同意的事项[7]；若通过接入算法或人工智能技术，如在虚拟场景服务中通过算法技术实现与消费者的智能对话，则还需要遵守《算法推荐管理规定》和生成式人工智能服务监管相关规定[8]。在使用算法技术时，企业应以显著方式告知消费者其提供算法推荐服务的情况，并以适当方式公示算法推荐服务的基本原理、目的意图和主要运行机制；向消费者提供不针对其个人特征的选项，或者向其提供便捷的关闭选项；向消费者提供选择或者删除用于算法推荐服务的针对其个人特征的用户标签的功能等[9]。如若涉及基于算法、模型、规则生成文本、图片、声音、视频、代码等人工智能的内容时，企业还应注意不得非法留存能够推断出用户身份的输入信息，不得根据用户输入信息和使用情况进行画像，不得向他人提供用户输入信息，且不得根据用户的种族、国别、性别等进行带有歧视性的内容生成等[10]。

场景三：无标记AR技术的应用

现有营销市场上，较为常见的是使用基于标记的AR技术，即利用设备的摄像头识别条形码等可视标记，从而提供与屏幕上所显示对象相关的信息。在使用此类技术时，一般是通过消费者主动的空间移动和扫描进行体验，此场景需要获取的消费者个人信息相对有限。

而随着深度沉浸式体验受到消费者的青睐，无标记AR技术得到广泛应用，该技术依赖于消费者提供其位置数据（GPS）和行为数据以进行位置、速度等信息的识别，以便让设备展现出与镜头中的环境相匹配的事物[11]。该项技术通常需要与消费者移动端的地图应用联动，并读取其相应的地理位置。部分营销活动为了提高销售率，还在AR体验程序中启动了地理位置定向，直接引导消费者找到线下门店。一般情形下，零售企业需要通过第三方服务供应商（如地图服务商）获取消费者的个人信息。零售企业需对其自身以及第三方服务供应商的数据处理角色进行甄别。《个保法》构建了以“向第三方个人信息处理者提供”、“委托处理”和“共同处理”为核心的个人信息处理规则，企业需要根据场景差异准确判断向第三方共享消费者数据的行为，并遵循相应的法律法规的要求。

此外，零售企业还需要考虑到实际营销过程中数据传输的复杂性，如品牌联名合作、线上线下一体化的渠道融合，企业与各方在不同场景下建立的数据处理法律关系都可能存在差异，因此依据具体业务场景对相关个人信息处理活动进行区分至关重要。零售企业在与各技术支持方合作时，就数据处理而言，通常可能构成委托处理关系。零售企业作为委托方需要通过数据传输协议对委托的各个方面，如处理目的、处理方式、安全保护措施、信息删除和归还等进行明确约定，同时还需要对受托人的处理活动进行适时的监督，防止受托人对消费者的个人信息权益造成损害。

三、网络爬虫技术——“数据掘金”

爬虫技术的价值很大程度上源于数据价值。网络爬虫的本质是一种“自动化浏览网络程序”，是通过模拟人（网络用户）的行为，自动、高效地浏览互联网并抓取所需数据的计算机程序[12]。因网络爬虫能够实现对文本、图片、音视频等海量信息的快速抓取，越来越多的企业将其作为收集公开数据的主要技术手段。网络爬虫的应用领域繁多，在零售行业进行各类营销活动过程中已有深度应用。

通过网络爬虫，零售企业可以采集消费者的账户UID、评论、对某营销内容的浏览时间、转评赞次数等数据。其中，由于聚焦网络爬虫可以爬取预先设定好的主题页面，抓取的数据针对性和垂直性更高，因而常常被用来快速定位具有某类型用户行为的目标用户群体，如使用特定网站、在搜索引擎输入特定关键词、下载并使用特定App、符合某类用户标签的人群等。此外，网络爬虫还可以抓取大量的图片和音视频信息，其中包含了用户声音、面容等。通过辅助工具分析上述数据，还可以实现对消费者情绪进行监测，控制品牌舆情的目的。

实践中，围绕消费者展开的数据爬取，往往因可以关联识别至消费者个人而涉及大量的个人信息。网络爬虫的对象除了个人信息外，还会涉及内容数据、商业数据等其他数据，如产品相关信息，包括价格、品牌、产品销量等。通常情况下，零售企业可能将爬取的此类型数据用于竞品分析或产品研发，在营销后期，企业还可以利用爬取的内容数据结合消费者数据，对营销效果进行量化分析。

1. 爬取个人信息的合法性界定

数据爬取为企业的营销活动提供大量便利，同时也增加了企业的合规风险。对个人信息的采集和处理是网络爬虫治理的重点。《个保法》第十条规定，任何组织、个人不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息；不得从事危害国家安全、公共利益的个人信息处理活动。依据《刑法》第二百五十三条的规定，违反国家有关规定，向他人出售或者提供公民个人信息，将以侵犯公民个人信息罪入刑。

依据《信息安全技术 个人信息安全规范》（GB/T 35273-2020），可识别性和关联性是判定个人信息的关键路径；《个保法》将个人信息定义为以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，继而肯定了“识别”和“关联”相结合的识别模式。随着自媒体以及各类社交平台的快速发展，网页上承载了大量数据，其中个人主动发布的数据已成为主流，此类数据在一定程度上可以关联至特定自然人，因此大多可以被纳入个人信息的范畴。

网络爬虫技术本身并非洪水猛兽，法律层面上也未禁止对爬虫技术的应用，但是基于网络爬虫可以快速获取覆盖面广、数量和规模大的个人信息的特点，不合理的使用该技术可能会对社会和个人造成严重影响，严重者可能触犯刑事责任，因而对企业合规提出了更高的要求。

原则上，开展个人信息的采集和相关处理活动，企业需要以取得消费者个人明示同意为前提，但是依据《个保法》第十三条规定的取得同意的例外情形，企业可以在合理范围内处理个人自行公开或者其他已经合法公开的个人信息。企业在通过网络爬虫获取公开的个人信息时，应考虑其获取数据的行为手段是否具有合法性。

一方面，企业需要关注其爬取的个人信息是否已合法公开。依据《个人信息安全规范》第三条第十一款对“公开披露”的定义，为向社会或不特定的人群发布信息，属于个人自愿合法公开其个人信息的行为。但是，该条款中所指的“向不特定人群”，需要进行限缩解释，如在微信中向朋友圈内好友发布的信息，由于朋友圈好友仍处于半封闭的状态，与不特定人群的概念并不完全一致，因而不能当然被认定为是已合法公开的个人信息。在某涉数据反不正当竞争典型案例中，法院对互联网环境下数据获取（处理）方式进行了分类，认为对公开开放且不需要授权的数据进行的处理，不存在未经授权或超出授权的问题，属于完全公开的数据；在对非公开数据的判断上，需要参考公众对接触数据的受限程度，若设置了授权或访问授权，如密码验证等，则可能存在非公开的问题，处理相关数据需要获取授权[13]。需要注意的是，依据某数据资产不正当竞争案，超出授权或约定的处理权限获取数据的行为也可能被认定为爬取非公开数据[14]。

另一方面，企业还需要关注其对爬取的个人信息的处理行为，预先判定其处理行为是否在“合理范围”之内。《个保法》并未对“合理范围”的边界进行清晰的界定，企业对进一步判断其个人信息处理活动是否在法定的合理范围内，需要结合是否将爬虫技术用于非法目的或使用非法手段，如是否存在将爬取的个人信息用于非法交易，侵害他人人格或财产权益，或通过窃取等其他非法方法获取公民个人信息。

由此可见，即使消费者主动向社会或不特定的人群公开披露其个人信息，企业通过爬虫技术获取其公开的个人信息，也并非当然合法，处理目的和手段等因素均需加以考虑。企业若通过使用钓鱼链接诱骗或使用黑客技术等非法手段，侵入第三方的数据库或平台获取数据，或通过网络爬虫干扰到他人网络正常功能时，不仅不符合《个保法》规定的在合理范围内处理个人信息，还可能因侵入计算机信息系统，造成计算机信息系统不能正常运行等行为，而被认定违反《治安管理处罚法》[15]。此外，涉及向他人出售或者提供公民个人信息，情节严重[16]的将可能构成刑事犯罪[17]。

通过数据爬取行为不仅会触发上述个人信息保护方面的合规风险，依据数据爬取对象的不同，如对内容数据，商业数据，重要数据等不同数据类型的抓取，还可能触发其他的违法情形，例如网络上存在大量的自媒体内容，包括文字、图片、音视频，包括用户评论等。发布者作为数据处理者，在发布上述内容之前在处理原始数据方面投入了大量劳动和资金，由此可能形成数据产品，当被爬取的信息构成作品时，可能导致侵犯他人著作权[18]；若被爬取的信息构成商业秘密，或未经许可爬取他人网站数据，还可能构成违反《反不正当竞争法》[19]。

2. 使用网络爬虫的合规建议

企业在使用网络爬虫技术获取相关数据之前，建议其对拟爬取的网页和可能涉及的数据类型和数量进行预先评估，并对爬取对象进行适当的限制，谨慎爬取涉及大量的敏感个人信息或可能涉及商业秘密等内容的网页[20]。在爬取数据过程中，严格遵守第三方网站设置的robots协议或其他站点要求，防止“未经授权”访问而获取相关数据，并注意对爬取频次进行有效控制，过高频率访问可能对第三方的系统的正常运行造成不良影响。在爬取数据后的应用阶段，企业还需要对其中涉及的信息类型进行适当识别，不得对相关数据进行非法提供、出售、披露或用于其他非法目的，对未经授权而获取的个人信息、作品或商业秘密等应及时予以删除。

结语

在数据成为生产力的时代，引入社交媒体或AR技术为消费者提供差异化服务、沉浸式体验，通过使用网络爬虫技术采集公开信息，追求多元的“流量密码”，正在被越来越多的零售企业所采用。企业在拥抱新型的消费需求，探索各种营销模式的同时，遵从相关法律规范进行数据处理活动，重视消费者的个人信息保护，将成为企业合规建设中必不可少的一环。

感谢实习生米华林对本文作出的贡献。

扫码订阅“金杜律师事务所”，了解更多业务资讯