“数据竞逐”——隐私保护风暴下的终端和广告

2023年初，苹果App Store应用商店中的个性化广告因侵犯用户隐私，被处以800万欧元的罚款。作为一家以隐私保护著称的国际品牌，苹果在终端和安全业界不断推动着隐私规制和伦理变革的狂澜，即便如此，这家企业仍不时陷入隐私安全的诉讼和质疑。法国隐私监管机构CNIL表示，苹果在法国iPhone用户(iOS 14.6版本)的终端上存储和/或写入用于广告目的的标识符之前，“没有获得他们的同意”。

在这个数据赋权用户的时代，数据驱动联网产品发展已经成为现实，产品技术的创新和持续迭代都有赖于用户数据驱动，但移动互联是一个开放且充分竞争的市场，作为离消费者最近的终端产品，厂商们踩在“数据”和“用户隐私”两股交缠的钢索上，万一出现缺口，必会给自身舆情或者用户信息带来灾难级别的风险。由此，累积了大量用户的终端生态，在数据的原野上奔驰着，同时，也正在隐私规制的新压力下，图新寻变，调整策略，谋求新的用户触点，适应愈发复杂的商业环境。

 

01

奔腾翻涌的隐私保护狂潮

就几种主流的移动终端生态而言，不论是iOS、Android还是智能车联网等，诞生之初的每一个版本在隐私与安全方面的发展历程各不相同，但笔者研究发现：全球终端用户在“隐私觉醒”的社会环境中也对隐私保护提出越来越高的要求，社会的认知水位线正逐步提高，安全已是基础，因此，终端系统生态集成商旗下的产品大都逐渐从最初的“数据保护”逐渐向“隐私保护”过渡，与此同时，终端厂商和国际社会组织的种种举措也在不断挤压着互联网广告生态的生存空间。

// 加速细化的隐私立法进程

不论是2017年欧盟提议的更严格的电子通信隐私监管方案《隐私与电子通信条例》（Regulation on Privacy and Electronic Communications），还是2022 年 3 月 7 日，工业和信息化部发布的《车联网网络安全和数据安全标准体系建设指南》中，都明确地把“终端”和“应用服务安全”纳入了网络安全标准的重要体系的组成部分。为了防止互联网企业的用户隐私信息垄断，全球的隐私监管组织和机构及政治团体对终端设备的限制也越发细化。如果说2009年的欧盟《电子隐私指令》（E-Privacy Directive）还意图保留“用户友好型”的Cookie，那么在后续出台的上万个法律文件中，对终端浏览器Cookie的追踪限制条款则越来越多，可供定向广告展示的缝隙越来越小，并对不同的国家、地区之间的隐私信息流动追踪进行了前所未有的限制。

 

不同地区关于终端的数据法律文件概述

从行业现状来看，标识符或ID是支撑数字广告业务的基础性数据，产业链各方以此来实现互联互通并开展各种广告业务。但就目前的市场情况来说，标识领域仍存在多个问题，包括：1）市面上的标识过于繁多，许多方案没有做到可开关或重置，没有给用户充分的知情和选择权；2）在某些旧版本或新型终端系统上，设备标识如MAC地址和IMEI等不可更改的信息被非法采集和共享；3）即使是主流设备ID或广告ID也容易被冒用或篡改，被用于流量欺诈或灰黑领域等。

同时，国内外的法律法规已经形成了渐趋完善的用户隐私保护闭环和机制，从个人到企业乃至国家隐私，能被泄洪的“闸口”正在越变越小，同时用户也真正被赋予了更多的控制权。

国际间隐私保护法案的制定不仅对终端厂商来说是不得不面对的“变化”，对媒体平台来说，互联网平台在广告投放和数据收集方面具有巨大优势，但也面临着更高的监管压力；在终端直接执行线索收集、曝光的广告主对于用户隐私保护的重视程度在不断提高，同时法规也在不断收紧——这给广告主、媒体平台和终端厂商同时带来了更大的挑战，需要更加注重用户隐私的保护，遵守相关的法规和规定，同时也需要更加创新，寻找更加有效的广告投放方式和手段。

// 行业角逐加速：从功能到场景

在有了法规保护的前提下，终端行业的发展离不开行业对“风险”的识别和评估，而风险的本质是个人数据在采集、使用、保存、传输、共享等活动中的泄露或滥用。同时，这些风险在用户使用终端的全生命周期内的不同触点中的体现方式和强弱都有所不同。除了移动手机终端，不少车载终端在这个问题上也有独特的解决方式。比如沃尔沃汽车在其车载娱乐系统在2020年起便提供了一个“隐私模式”功能，车主可以在隐私模式下禁用所有的定位跟踪和数据共享，以防止信息开放给系统上的不同软件。此外，沃尔沃汽车还会定期更新其车载娱乐系统，以确保其系统的安全性。

除了沃尔沃，许多新兴造车企业和智能网联供应商也在尝试开发特定场景下的隐私保护功能和模式。例如，在车辆所有权转移场景下，二手车交易中车主的个人信息可能没有完全清除，或者仍然可以通过云端访问，这可能会导致车主个人信息泄露给下一个车主。这些个人信息包括身份信息、服务或业务订购、个人行踪轨迹、交易记录和好友列表等用户服务信息。为了解决这一问题，该体系的具体实现方式是，在一键解绑车辆后，车内存储的个人身份信息和用户服务信息（包括亲友账号）将立即删除，车辆恢复出厂设置。此外，该功能还提供车主云端删除个人信息的选项，车主可以自行选择是否删除。

因此不难看出，为了更好地防止用户隐私被第三方媒介平台或是广告主获取，基于终端生命周期中的各类触点及隐私风险类型，不仅需要系统底层的功能架设以确保用户有更多的选择空间，更要逐步过渡到识别具体的隐私风险场景，进而基于场景找到隐私保护的准确落点。

汽车的终端系统如此，移动手机端也呈现出不断深掘广告隐私保护场景的新趋势。欧盟实施《通用数据保护条例》 (GDPR)以来，不同领域的广告组织和企业都出台应对策略，以获取用户有效同意和保护用户隐私,保障互联网广告有效运行。Apple于2021年推出了App Tracking Transparency框架，这个框架要求应用程序在跟踪用户之前必须获得用户的明确许可。该框架让用户更容易掌握自己的隐私数据，并能够决定哪些应用程序可以跟踪他们的数据；而安卓方面，2022年，Google曾宣称将在Android设备上隐藏移动广告标识符，阻止广告商将用户的行为跟踪到个人身份。这个标识符是广告商追踪用户行为的重要标识符之一，而隐藏它将为用户提供更多的隐私保护。这些新规体现的不止是 iOS 与 Android 的平台竞争，也是众多终端厂商与互联网厂商生态竞争的缩影，也是opt-in 与 opt-out 的路线竞争。

 

安卓与苹果的隐私保护举措大事件

不论是什么平台，这些场景功能具体的举措的落地已经让行业真实地感受到其中的冲击，连互联网巨头Facebook都无力必须面对的趋势，不得不忍受巨额损失，重建广告系统以求隐私和效果双全的解决方案。

// 众隐私保护举措“剑指”广告效果

终端隐私限制是为了保护用户隐私和数据安全而推出的，但这也给广告行业带来了一定的影响。具体来说，终端隐私限制对广告的投放效果产生了明显的影响，表现在以下几个方面：

一、广告定向能力下降：终端隐私限制对广告平台的数据收集和分析能力产生了限制，从而导致广告定向能力下降。根据Adjust公司于2021年发布的报告《Mobile App Trends Report Q1 2021》称，2021年，苹果公司更新了iOS操作系统，限制应用程序使用IDFA跟踪用户的广告行为，这对于广告商而言是一大挑战，Apple限制了IDFA的获取和使用，使得广告平台无法准确追踪用户行为并进行精准定向。移动营销分析公司 Singular的一份报告中的数据显示，2021年第一季度，iOS设备上的广告效果（即点击率、转化率和回报率）均下降了约30％。

二、广告转化率下降：由于广告定向能力下降，广告投放的精准度下降，广告转化率也随之下降。例如，Facebook在2018年由于数据泄露事件而收紧了API接口的使用权限，导致广告商无法准确分析广告投放效果，从而使广告转化率有明显下降的趋势。

其实相比转化率下降这个“硬性结果”，笔者认为，真正会导致程序化广告、精准定向广告转化率下降的关键点在于“归因服务”，用通俗的话来说，就是“本次转化是由于哪个媒体的哪个位置哪次的 show/click 引起的”（字节前端ByteFE《「后隐私」时代，个性化广告如何保护隐私？》提到的原文）。转化归因对于广告系统是非常重要的，因为它和广告计费、广告定向息息相关。传统的归因模型需要拿到来自A主体和B主体的数据，根据 User ID 进行匹配。但是如果按照用户隐私保护政策：让 User ID 难以获取并且禁止跨主体的数据共享或匹配进行处理的话，来自 B 主体的上报链路就必须断开，这对于广告的转化归因来说，也可以说是“灭顶之灾”。

 

传统的广告归因模型

此外，一般在归因服务完成后，媒体平台可以依据 User ID 对于该广告的兴趣特征进入到广告竞价模型中，进行实时的反馈优化，优化模型预估 eCPM 的准确性，进而做广告重定向、给相似用户推送相似的广告等。这些工作，在用户隐私保护政策下已经难以复刻。因此，从结果看，广告转化的问题不仅会切割广告信息的投放路径、乃至信息回收路径，都会受到较大的牵连，对平台方来说亦是重大的冲击。

三、广告创意创作成本增加：由于广告定向能力下降，广告创意的创作成本也会增加。例如在国内，为了应对小米“虚拟标识符”（VAID,小米公司推出了MIUI 12版本更新的功能，这是一种类似于IDFA的匿名标识符，用于广告跟踪和投放）、华为“AAID”(华为在其EMUI 10版本中推出的用于广告跟踪和投放的功能，这些限制旨在保护用户的隐私) 等终端厂商的匿名标识符的限制，不少广告商也开发了新的创意形式，并投放了更多的“模糊人群”等，以提高广告的曝光率和转化率。如果用户开始使用一些隐私保护的软件或者关闭了广告追踪，那么广告主就很难在特定的用户群体中投放广告。这对广告主来说是一个困局，因为他们需要通过广告来获取更多的流量和用户，这也为品牌和企业带来额外的创作成本和人力资源成本。

 

02

终端生态的探索和突进

对终端企业来说，在政府法规、广告利益、消费者诉求的多面夹击下定然不好过，因此，基于双方的技术立场和对广告主以及自身的商业利益深掘，这些终端企业推动着以下几个方向的变革和反弹，力图通过合理的手段整合一定量的“价值数据”，以隐私保护和广告投放方面都在不断探索和改进，旨在更好地平衡各方关系。

// 重估跨终端广告投放生态的价值

当今广告市场的趋势是向数字化、自动化、精准化的方向发展，为了继续保持平台或是广告主的数据识别业务能力，减轻隐私规制带来的影响，不少终端企业衍生出了在这个环境前提下的应对手段，跨终端投放技术正是实现这一目标的重要手段。

对于国外的平台和终端业务代理商来说，他们更注重从平台和工具能到达的场域内识别消费者，并进行营销动作。近几年，谷歌为广告主的跨终端投放服务主要是基于谷歌广告（Google Ads）和谷歌双击（Google DoubleClick）平台。这两个平台可以通过跨设备投放的技术，将广告投放到多个设备上。具体而言，谷歌通过用户的Google账号、设备ID、Cookie等信息，将用户在一个设备上的行为与其他设备上的行为关联起来，实现跨设备广告投放。另外，谷歌提供了跨终端广告测量服务，可以帮助广告主更好地衡量广告的效果和ROI，通过跨设备投放，广告主可以更好地识别目标受众，实现精准投放，从而提高广告的转化率和效果。谷歌提供的跨终端投放服务的优势在于其庞大的用户群体和广告库存，以及强大的数据分析和处理能力。

另一个值得一提的例子是谷歌的"Store Visits"广告功能，该功能利用跨设备标识技术来帮助广告主跟踪他们的广告对线下销售的影响。谷歌可以通过用户设备的定位数据确定用户是否到了广告主的商店，并将这些数据与广告投放数据进行比对，从而帮助广告主计算他们的广告活动对线下销售的影响。

由于隐私保护越来越受到关注，跨终端投放服务也面临着更加严格的法规和监管。为了遵守法规和保护用户隐私，谷歌和Facebook都加强了用户数据的保护和隐私控制。例如，Facebook推出了“广告偏好设置”（Ad Preferences），让用户可以更轻松地控制自己在Facebook上看到的广告。用户可以在设置中查看自己的广告偏好，包括哪些广告商通过“跨屏跨终端”的方式在向自己展示广告，以及为什么会看到这些广告。

总的来说，跨设备标识技术为广告主和营销人员提供了更全面、更准确的用户画像，在一定程度上规避了隐私广告保护规制带来的风险，从而可以更好地从终端和平台的角度理解用户的行为和兴趣，并为用户提供更个性化的广告体验。

在国内，跨终端投放广告的服务也被广泛应用。但不同点是，相比国外的互联网巨头和平台，国内的终端厂商更习惯让品牌主“跨端曝光”，把跨屏的线索回归到媒介本身的价值上。其实，早在隐私规制还不是如此严格之时，许多营销活动中就已有不少跨端玩法，但在2017年，《网络广告审查规定》提出了针对跨屏广告的几个审查要点，包括广告主的资质审核、广告内容审核、投放途径审核、广告效果审核等。因此，对平台和品牌最终能掌握的终端线索来看，人群总体较为庞大且模糊。

但即便如此，也有不少企业基于此做出了尝试，比如，小度智能音箱联合了百度旗下的DSP广告平台和百度搜索广告，推出了小度广告平台——支持跨终端投放和效果统计，可以让广告主更加精准地定位目标用户。对于这个平台，其中一个较有意思的应用案例是：2020年4月，小度智能大屏与生活服务平台美团合作，推出了一项名为“外卖广告”的跨终端广告投放服务，该服务支持多终端统一的广告效果分析。广告主可以通过该服务在小度智能大屏和美团外卖App上投放广告，实现品牌宣传和用户互动，有效提升了广告主的品牌传播效果。同时，用户也可以在观看电视的同时获取到外卖优惠信息，提升了用户体验和互动性。

除了新兴的终端厂商在不断探索跨端营销的新蓝海，传统的终端企业也致力于调整跨端业务的方向，来寻求更多的增长，其中较具代表性的如创维智能电视的Smart Advertising Platform（智能广告平台），这个平台是一款基于大数据和智能算法的广告投放平台，它能够实现较为全面的广告投放服务，包括广告设计、定制、监测和分析等。

2022年1月，创维智能电视与国内家电连锁企业国美电器合作，通过Smart Advertising Platform为国美电器的广告进行定向投放。平台依托大数据和智能算法，能够根据用户的观看历史、喜好等个性化信息，将广告精准地投放到目标用户面前。

对想做跨屏业务的企业来说，数据的打通和用户线索的匹配是重要的能力依归，Smart Advertising Platform利用了大数据技术，通过分析用户的观看行为、购买习惯、兴趣爱好等数据，为广告主提供了一定程度上更精准、更有针对性的广告投放服务。

综合来看，国内外的平台在跨端的营销上比以往的动作更多，终端和品牌主依然在为“识别用户”和“影响用户”不懈努力，表明跨端广告在国际互联网市场仍有较大的发展潜力。另一个方面，跨设备标识技术提供了更全面、更准确的用户画像，规避了隐私广告保护规制带来的风险，为广告主和营销人员提供了更个性化的广告体验。

// 重塑“广告标识”数据

除了推动隐私和广告法规的再制定，终端企业也推出了一些举措来确保隐私壁垒留有活动空间，这些终端企业也认为应该能够有一些方式在最大限度减少侵犯用户隐私时，仍然可以做到广告归因或是其他商业活动，其中，被采用最多的方式就是重新处理“广告标识”的分发逻辑。

2019年5月，苹果公司推出了一项名为隐私保护广告点击归因（Privacy Preserving Ad Click Attribution）的新功能，在保护用户隐私的同时也允许商家追踪广告点击与转化情况了。首先，苹果公司非常清楚商家对获得广告投放和商业结果之间的关联有着强烈的需求，比如，某名用户是否在点击某发布商网页上的广告后，跳到广告主的网页购买了产品。但是苹果公司出于尊重用户隐私，并不支持商家通过第三方广告归因工具追踪自己的用户。因此在这之前，不少商家因为苹果发布的“智能反追踪”功能难以通过cookie将广告点击与购买产品等转化行为联系起来。

为了平衡上述两种考虑，苹果推出了自己的广告归因工具，记录用户点击广告到广告主网页产生转化，以此来得知广告成效的同时，避免了营销人员追踪到具体的个人。也就是说，营销人员只能知道用户在Safari浏览器上发生了哪些行为、是否有转化，但并不能知道这个人究竟是谁。

相较于苹果大刀阔斧的转变，安卓端的调整则相对于基础。2021年开春，谷歌就公布了关于浏览器端“隐私沙盒”技术的新升级。最重要的变化就是Topics API，用来实现基于兴趣的广告投放，也是过去FLoC解决方案的升级。大概逻辑就是Topics工具能够基于用户一周的终端搜索历史记录识别出最具代表性的一些话题，比如运动、旅行交通等。这些兴趣话题最多只能保存3周，过期话题会被自动删除。同样，话题的识别和选择等一系列过程都是在本地设备上完成，外部服务器（包括谷歌服务器）都无法干涉。当用户访问一个网站时，Topics会在过去3周所识别出来的兴趣话题中选出3个话题分享给网站和广告商。同时，Topics也给予了用户足够的控制权和透明度，用户能够自由选择移除不希望被别人知道的兴趣话题。

// 重识单向拷贝的云端

相较于iOS和Android，许多车企更多地以产品运营维度为出发点来确定“车主标识”的识别数据。例如，之前提到的“双端”数据库，该功能在于车端和云端都存储有个人数据和车辆数据，因此两端的数据删除存在多种选项。同时，对于个人信息的界限，用户与车企的数据存在一定差异。而其背后的考量因素包括车企和供应商对法律法规的解读（尤其针对当前模糊地带）、对用户运营的重视、对技术迭代的要求等。

 

车企隐私保护情况

例如，某本土车联网供应商为某自主品牌车型采取“车端和云端一并删除个人信息，仅保留车辆信息”的方式。其数据库将个人信息与车辆信息分开区隔，车主仅能控制个人信息，包括个人身份信息、软件使用偏好、车机使用记录等。而部分豪华品牌主机厂则采取“车端个人信息删除，云端数据视情况而定”的策略，即车机内保存的账户个人信息可以删除，但云端保存的个人信息则不会主动删除，除非个人要求；同时，云端数据会定期根据不同数据类型进行清理。而为了训练自动驾驶和系统的广告投放，其感知融合等算法优化相关信息则不会删除。

这种模式，在笔者看来，既能确保标识数据的流动具有单向性，不易泄露，又能暂时以合规的方式获取用户的信息数据，提高企业的广告运营活力和用户的体验。

因此，不论是苹果的归因工具或是安卓的Topics API还是车载终端，它们的核心都是用户不需被进行唯一标识，终端应该作为中间人去保护用户隐私，而模糊化地处理“广告标识”和保持相对安全的信息流动方向的方式，本质上是一种对无法精准定向人群这个问题的妥协，但又是一种不牺牲商业利益的选择。

 

左边为用户能够看到的第三方cookies获取的信息，以链接的方式呈现右边为在Topics工具中，兴趣的管理更加一目了然

 

03

隐私广告的闸口博弈与让渡

对在不同终端上线的平台型产品来说，终端可谓是用户隐私的“最后一道闸门”，从角色扮演的维度展开，终端厂商们更像是互联网平台和广告主的“拦路虎”，当越来越多的App企图通过绕过终端用户的标识符获取更多隐私信息，终端侧的举措不但是为了提高用户对品牌的信任，更是给自身排除受检控的风险。但对于不同的终端厂商来说，拦截过程中的“松弛感”和“紧迫感”并存。

对安卓终端厂商来说，提高广告主获得到信息的噪声是近年来的突破重点，简单来说就是使得广告主或者媒介平台能获得一定量的数据，但使信息的传递或接收受到影响，导致信息的准确性、清晰度降低。当然，这也是最容易实现的一种方式，因此众厂商依旧相对保守地推出一些新的功能。小米2021年就推出了照明弹、拦截网、隐匿面具、剪切板隐私保护、沙盒机制、模糊定位等诸多隐私保护功能，其中备受瞩目的“模糊定位”功能也迎来下放。功能页面显示，模糊定位功能是通过差分隐私技术对用户的位置信息进行模糊处理，应用仅能获得用户的大致位置，获得的信息噪声很大，但大多数广告主还是可以对用户投放模糊定位的广告和信息

就小米来说，其产品发售以来的隐私保护措施虽然与苹果的 iOS 跟踪器拦截效果相似，但它的策略并不一样，这是由其商业模式决定的，包括其搭载的系统——决定了它会面对更多的广告主或是信息需求方。而iOS 14.5 中引入的隐私措施名为 ATT（App Tracking Transparency），强迫应用程序需要明确征得用户的允许，才能跨其他公司的应用程序和网站跟踪活动，对话框提示用户“允许”或“要求应用程序不跟踪”。值得注意的是，苹果不久后推出了自己的广告定位系统。苹果实施如此全面的变化措施，也在科技业引起了轰动。

当然也可以预见的是，过于广泛的广告拦截实际上会导致更糟糕的隐私泄露结果，因为广告商可能会采用更隐蔽的跟踪形式，比如浏览器指纹等方式攥取用户信息，因此，与互联网平台的信息博弈本质上是对经济效益的取舍。

 

04

结语

放眼如今的互联网隐私生态，终端厂商已在某种程度上成为了底层基础设施和在某种意义上承担了生态的监督职能，并部分肩负起构建数据权属联盟平台的职责，为用户、App开发者（为用户提供服务的企业方）、数据技术提供商等角色提供便捷有效的数据权属授权管理和透视服务。

短期看，终端厂商在面对隐私广告困局时，也面临着隐私保护和商业利益之间亟待解决的平衡问题，然而，这个困局也为终端厂商带来了机遇和趋势。一方面，终端厂商需要满足用户对隐私保护的要求，遵守隐私法规，提供更好的隐私保护机制；另一方面，随着对终端用户标识和隐私保护技术的发展和普及，终端厂商还可以利用这些技术为广告主提供更好的组合投放服务，在合理的区间内重新评估不同的数据价值和流动方式。

总之，终端厂商在隐私广告领域面临着困局和机遇。但要想在市场竞争中脱颖而出，需要通过不断提升隐私保护技术和长线运营数据的能力，把从对用户线性的标签行动组合升级到数据、场景、内容、商品等维度的价值匹配上，同时积极探索与广告主、数据平台等合作，以创新的模式和策略获得更多的市场份额和用户信任，这将是不同的终端企业业务侧不得不进行的动态适调。

其实，如要理解目前环境下的终端在整个数据生态里的角色，不妨将其比作“插头和插座”的关系。正如终端一样，插座拥有实质性的端口，可以用来匹配不同的电器接口和电源，在这个比喻中，“电器的插口”就是具备差异性的不同用户，“电流”，就像是毫秒间就能触达用户的纷繁复杂的内容、场景和商品等信息，把各具特色的电器和信息量巨大的电源匹配在一起，便是插座的要务，但同样地，自从电器接入插座的一刻，它们便结合为一体——电流没有按照既定的限量、方向运动便容易短路，影响整条链路的工作。保护插头，便是保护插座自己。

同样地，在数据竞逐的隐私之海，所有的信息都是泄入混沌汪洋中的一叶，用户不可能只是静态的族群或者行为标签组合，陈旧的用户信息线索和停驻时长等指标将越来越难以承担对单一用户的“代表性”和纷繁复杂抉择旅程的评定。隐私信息在终端、平台间的迁移、组合、拆分、衍生，伴随着各种层级的场景、服务器、端口互融互通，用户的心智与行为之间的乱序与重构，都在不断调整着平台、终端、广告主的角色。

终端厂商如何在产品升维的渐进浪潮中继续把住用户信息的“闸门”，是一门必修课，更是一种“哲学”。