自监管时代落幕，企业担忧数据隐私进入未知风险水域

随着美国各州数据隐私立法加速推进，营销人员正忙于应对即将生效的加州消费者隐私法案（CCPA）。该法案将于明年生效，对不合规企业可能处以巨额罚款。尽管主要行业协会批评该法案立法仓促、措辞模糊，但它的通过已引发新泽西、华盛顿等州效仿，预示着数字广告领域的法律环境将变得更加复杂。

美国广告主协会（ANA）政府关系执行副总裁Dan Jaffe表示：“这是当下的核心议题，无疑是我们政府事务的首要优先事项。事情发展非常迅速，而且不仅限于加州。”CCPA及其他州级法案的出台，标志着互联网行业长期以来的自监管时代正走向混乱的终结。作为回应，包括ANA在内的主要广告行业组织，以及苹果公司CEO蒂姆·库克等知名高管，都在呼吁制定一部统一的联邦隐私法，其模式可能更接近欧盟的《通用数据保护条例》（GDPR）。

批评者指出，各州法案若各自为政，将带来前所未有的合规难题：营销人员必须完全掌控数据，并建立内部或外部的合规团队，以确保数据收集和应用符合各州不同的标准。4A's（美国广告代理协会）政府关系高级副总裁Alison Pepper表示：“即使各州法案只有细微差别——但实际上许多法案的差异并不小——当我在如此紧密的市场中运营时，每多一套不同的规则，违规的风险就会成倍增加。”此外，这些州级法案虽多针对Facebook等大型数字广告平台的争议，但最终可能波及缺乏时间、资源或预算的中小企业，重演GDPR实施初期的问题。

目前，CCPA是塑造营销人员影响力的关键战场。Jaffe警告：“根据CCPA，即使无法证明造成损害，单次违规也可能让企业面临数亿甚至更高的罚款。对许多公司而言，一旦出错，很可能就此倒闭。”

聚焦加州

CCPA之所以成为营销人员最紧迫的关切，不仅因为其生效日期临近，更在于其立法过程。该法案最初是加州的一项投票倡议，在州参议院和众议院几乎无人反对的情况下，仅用五天便通过，且行业几乎没有参与讨论。这与美国类似法案或GDPR形成鲜明对比——后者给了营销人员数年的准备时间，并允许其提供意见，最终于2018年5月实施。因此，许多营销人员认为CCPA中的部分措辞过于模糊，可能无意中损害消费者利益。

包括4A's、ANA、IAB、AAF和NAI在内的广告行业组织，近期联名致信加州总检察长，要求明确“个人信息”的范围，以及法律中的非歧视条款将如何影响忠诚度计划等服务。目前，CCPA规定企业不得对选择不共享数据的消费者进行价格或服务歧视，但正是数据共享支撑着许多忠诚度计划的运作。Pepper问道：“作为零售商，如果这是单向交换，顾客不提供任何价值回报，那么提供折扣的激励何在？如果只有责任没有回报，为什么要这么做？”此外，4A's、IAB和数字广告联盟等组织还呼吁澄清，将假名化数据视为个人信息是否合理——目前CCPA正是如此处理。

ANA的Jaffe表示：“我们并非反对法案的目标——即赋予消费者更多数据控制权——而是随着深入研究，我们产生了更多疑问。我们甚至无法建议会员如何合规。”ANA拥有超过1100家会员企业，包括宝洁、百事和Visa等顶级广告主。

时间紧迫

ANA已在圣地亚哥和萨克拉门托两次作证，提出简化CCPA措辞的建议。WPP旗下GroupM的高级合伙人兼隐私总监Ashok Chandra认为，大量公开听证会表明总检察长愿意倾听行业意见。但即便营销人员渴望CCPA更加明确，其正式实施仅剩数月，他们必须立即行动，包括与内部或外部法律团队合作，制定退出披露机制，并准备应对消费者的数据请求。Chandra在电话采访中说：“我们必须基于已通过的法律行事。其他州法案的好处在于，更长的立法过程对所有人都有利，因为我们所处的行业非常复杂。”

法律专家警告，那些自认为已为GDPR做好准备的企业也不应松懈。Jaffe指出：“GDPR是选择加入制，CCPA是选择退出制，它们收集的数据不同。即使你花费了数百万甚至数亿美元来符合GDPR，也绝不意味着你符合CCPA。”

编织复杂网络

GDPR虽有更长的准备时间，但仍暴露出覆盖面广、解释空间大的挑战。在欧洲，各国数据保护机构可自行裁决违规行为。法国CNIL近期对谷歌处以5000万欧元罚款，理由是违反GDPR关于透明度和广告数据处理合法依据的规定。这是GDPR实施以来最大的一笔罚款，4A's的Pepper认为这对其他企业是个警示：“谷歌并未轻视GDPR——他们非常重视。看看谷歌的资源……如果谷歌都无法做到完全合规，中小型企业又该如何应对？”

此外，针对IAB Tech Lab的OpenRTB等广告框架的GDPR投诉也时有发生，尽管IAB强烈否认违规。另一个风险是，营销人员可能误以为GDPR、CCPA等法律仅适用于数字领域，但实际上它们可能广泛触及隐私问题。例如，奥地利近期的一笔GDPR罚款涉及监控摄像头拍摄公共人行道，这种现实世界的影响也可能在CCPA下出现。Jaffe说：“CCPA不仅限于互联网和移动设备，还涵盖线上和线下的数据收集。例如，在零售商的收银台前，你如何提供符合CCPA要求的披露？”

重新思考数据

在应对日益复杂的法律环境的同时，营销人员也必须认识到消费者对问责制的更高要求。ExpressVPN近期报告显示，82%的受访美国人认为国会在2019年应加强对科技公司数据收集和应用的监管；89%的受访者认为应有权决定谁可以分享其个人数据。这些焦虑的根源包括Facebook在剑桥分析事件中的失误，GroupM的Chandra表示，这类丑闻“绝对”影响了当前的监管环境。他说：“让立法者知道我们并非松懈很重要。剑桥分析事件并非行业常态，而是极端案例，不幸的是，它被广泛曝光。”

尽管面临重重障碍，致力于修复数字生态信任的营销人员仍可将新法规视为教育和深化合作的契机。Chandra建议，这些讨论有助于向消费者和政府展示广告行业在自律方面的努力，例如TAG等反广告欺诈倡议已证明有效。联合利华即将离任的首席营销与传播官Keith Weed在1月消费电子展上表示：“我认为没有人拥有全部解决方案，但集体而言，我们肯定有。在欧洲，我确实认为GDPR是积极的一步。未来，行业与政府主动合作才是正道。”

在这个充满不确定性的时期，有一点似乎明确：营销人员必须重新思考数据及其对业务的支持方式，否则可能危及整个业务。4A's的Pepper总结道：“最实际的做法是审视你正在收集的数据：你需要它吗？它有价值吗？过去那种先收集一切再决定用途的日子已经结束了。”