什么是 跨情境行为广告？
也称为：CCBA、跨情境行为广告、跨站行为广告、行为广告
在 California Consumer Privacy Act（CCPA）下，跨情境行为广告有其专门的定义，它所针对的是这样一类广告定向：所使用的个人信息，来自消费者在其有意互动的企业或服务之外的其他企业、具有独立品牌的网站、应用程序或服务上的活动。
这一概念之所以重要，是因为 CCPA 赋予消费者选择退出为跨情境行为广告目的共享其个人信息的权利。因此，适用 CCPA 的企业必须确保其广告与追踪技术切实尊重适用的退出选择与退出信号。
跨情境行为广告是什么意思？
跨情境行为广告是指：关于消费者在某一情境中活动的信息，被用于在另一情境中向该消费者定向投放广告。
例如：
访问
消费者访问网站 A。
记录
某项追踪技术记录下关于该消费者活动的信息。
共享
这些信息被提供给某家广告或技术公司。
转移
该消费者随后访问网站 B。
定向
广告依据与该消费者在这些不同情境中的活动相关联的信息进行定向投放。
关键要素在于跨情境地使用信息来进行广告定向。
因此，它的范围比仅仅依据完全发生在单个网站内部的活动展示个性化广告要更广。
跨情境行为广告有什么例子？
设想一位消费者访问了一家在线家具零售商的网站，并浏览了几款沙发。
某项第三方广告技术记录下了关于该活动的信息。
之后，这位消费者访问了另一个网站，并看到了同一家家具零售商或相关产品的广告。
如果该广告是使用消费者在不同企业、网站、应用程序或服务上的活动中所获得的个人信息进行定向投放的，那么这一活动可能落入 CCPA 对跨情境行为广告的定义范围。
某项具体广告做法在法律上的确切定性，取决于具体事实和适用法律。
跨情境行为广告在 CCPA 下为何重要？
跨情境行为广告在 CCPA 下尤为重要，因为加利福尼亚州消费者有权选择退出为跨情境行为广告目的共享其个人信息。
对企业而言，这意味着隐私合规不能止步于发布一份隐私政策。
如果消费者选择退出，组织就需要确保相应的偏好被传达给参与广告与数据共享的各项技术，并得到它们的尊重。
这些技术可以包括：
- 广告像素
- 再营销脚本
- 第三方 Cookie
- 广告 SDK
- 社交媒体像素
- 转化与受众标签
- 客户数据集成
- 广告技术平台
- 跨站标识符
对跨情境行为广告而言，“共享”是什么意思？
在 CCPA 下，共享具有特定的法定含义，这一含义与跨情境行为广告尤为相关。
该概念涵盖为跨情境行为广告目的向第三方传达消费者的个人信息。
正因如此，即便企业并不认为自身的广告活动构成传统意义上的个人信息“出售”，它仍可能负有 CCPA 义务。
CCPA 分别赋予消费者选择退出个人信息出售的权利，以及选择退出为跨情境行为广告目的共享个人信息的权利。
跨情境行为广告等同于出售个人信息吗？
不等同。
在 CCPA 下，出售与共享是两个不同的概念。
即便相关活动被定性为为跨情境行为广告目的进行的共享而非出售，企业仍可能负有遵从消费者退出选择的义务。
这一区别对数字广告尤为重要，因为个人信息可能在双方之间没有直接金钱往来的情况下，被转移或提供给广告平台。
因此，企业在评估 CCPA 合规时，应当同时审视其出售活动与共享活动。
跨情境行为广告与 Cookie
Cookie 是可以促成跨情境行为广告的技术之一，但 CCBA 并不限于 Cookie。
其他技术可以包括：
- 像素
- JavaScript 标签
- SDK
- 本地存储
- 广告 ID
- 设备标识符
- 服务器端追踪
- 身份解析技术
- 其他追踪机制
法律上的问题并不只是：
“这是不是一个 Cookie？”
更有价值的问题是：
“这项技术收集了哪些个人信息，这些信息去向何处，又是如何被用于广告的？”
正因如此，网站应当持续掌握自身数字资产上实际运行的脚本与第三方技术。
跨情境行为广告需要取得同意吗？
在 CCPA 下，消费者的核心控制手段通常是选择退出出售或共享的权利，而不是像 GDPR 那样要求对每一次定向广告都事先取得同意。
这一区别很重要。
因此，一套 CCPA 实现方案可能需要：
- 检测消费者的退出选择。
- 检测适用的退出偏好信号。
- 停止相应的共享。
- 防止广告技术接收退出所涵盖的信息。
- 在相关系统中一致地适用该偏好。
其他隐私法律可能设有不同的要求。
例如，服务欧盟用户的网站，可能在 GDPR 和 ePrivacy 框架下负有另行规定的义务。
什么是 Global Privacy Control（GPC）？
Global Privacy Control（GPC）是一种浏览器或用户代理的隐私信号，用于传达消费者的退出偏好。
在 CCPA 下，符合条件的退出偏好信号可以让消费者行使其选择退出个人信息出售或共享的权利。
现行 CCPA 法规就企业应如何处理退出偏好信号给出了详细示例，其中包括涉及浏览器、账户和不同设备的各种情形。
这使得 GPC 成为 CCPA 隐私合规中一项重要的技术组成部分。
GPC 如何影响跨情境行为广告？
当受监管企业收到有效的退出偏好信号时，它可能需要停止为跨情境行为广告目的对个人信息进行的相应出售或共享。
例如，现行 CCPA 法规描述了这样的情形：收到退出信号的企业必须停止为跨情境行为广告目的出售或共享与该消费者浏览器标识符相关联的信息。
当企业还通过账户或其他标识符认识该消费者时，实现起来可能会变得更加复杂。
正因如此，GPC 支持应当作为一项真正的隐私控制来落实，而不是被当作浏览器的装饰性功能。
跨情境行为广告与第三方
第三方在许多广告生态系统中扮演着重要角色。
企业可能会使用第三方广告平台来：
- 构建或激活受众
- 展示定向广告
- 衡量营销活动效果
- 对网站访问者进行再营销
- 创建广告画像
- 匹配标识符
- 投放个性化广告
在 CCPA 法规下，服务提供商或承包商不得与企业签约提供跨情境行为广告服务。提供此类服务的一方，就该活动而言被视为第三方，而不是提供该 CCBA 服务的服务提供商或承包商。
企业在评估其广告供应商与数据共享安排时，这一区别十分重要。
跨情境行为广告与第一方广告的对比
第一方广告
第一方广告通常是指在企业自身的关系或情境范围内使用信息。
例如：
一家在线零售商依据顾客此前在该零售商自有网站上浏览过的商品来推荐产品。
跨情境行为广告
跨情境行为广告则是使用从不同企业、网站、应用程序或服务上的活动中获得的个人信息来定向投放广告。
例如：
某个广告平台利用关于消费者在某一网站上活动的信息，在另一个网站上向该消费者定向投放广告。
这一区别之所以重要，是因为 CCPA 的法定定义专门聚焦于跨越不同情境的活动。
跨情境行为广告与情境广告的对比
| 跨情境行为广告 | 情境广告 |
|---|---|
| 使用关于跨越不同情境的活动的信息 | 使用当前页面或环境的情境 |
| 可能涉及第三方广告技术 | 可以在没有跨站行为画像的情况下运作 |
| 可能涉及从其他企业或服务处获得的个人信息 | 可以依据页面内容进行定向 |
| 与 CCPA 的出售/共享退出权利相关 | 并不自动构成 CCBA |
| 常与再营销和受众定向相关联 | 通常与基于内容的广告相关联 |
同一个广告活动可能涉及多种技术，因此企业应当评估其底层的数据流转，而不是用单一标签来定性整个广告策略。
如果消费者选择退出，企业应当怎么做？
当消费者选择退出相应的出售或共享时，企业应当确保该隐私偏好在技术上得到落实。
一套实用的工作流程是：
接收
接收退出请求。
检测
检测适用的 GPC 或其他退出偏好信号。
记录
记录该隐私偏好。
更新
更新该消费者相应的隐私状态。
阻止
阻止相关的数据共享。
限制
限制受该退出影响的广告技术。
传递
把该偏好传递给相关系统与供应商。
证据
保留该偏好及其落实情况的证据。
测试
定期测试实现方案。
关键在于：退出应当影响底层的数据流转，而不只是改变隐私设置页面的外观。
如果退出之后追踪仍在继续会怎样？
如果消费者已经行使退出权，网站却仍在向广告技术发送相应的个人信息，那么消费者所表达的隐私偏好与网站的技术行为之间就会出现脱节。
例如，网站可能会：
- 展示一个“Do Not Sell or Share”链接。
- 接收消费者的退出请求。
- 把该偏好存入数据库。
- 却依然继续触发广告像素。
这样的实现方案可能未能切实落实消费者的选择。
CCPA 制度高度重视企业遵从适用的消费者隐私权利，这使得技术执行成为隐私方案中至关重要的一环。
企业如何检测跨情境行为广告？
企业可以先从识别其网站和应用程序上运行的各项技术入手。
一份隐私技术清单应当审视：
- Cookie
- 脚本
- 像素
- SDK
- 网络请求
- 第三方域名
- 广告平台
- 数据共享去向
- 传递给第三方的标识符
下一步是确定：
- 收集了哪些数据？
- 谁接收这些数据？
- 为何接收这些数据？
- 这些数据是否被用于广告？
- 该活动是否涉及多个企业、网站、应用程序或服务？
- 当消费者选择退出时会发生什么？
自动化网站扫描有助于发现意料之外的广告技术，以及网站追踪环境的变化。
ConsentX 如何助力应对跨情境行为广告
ConsentX 帮助组织识别并管控那些可能参与广告与数据共享流程的追踪技术。
相关能力包括：
追踪器与 Cookie 发现
第三方技术检测
Global Privacy Control 支持
隐私偏好管理
退出执行
脚本事前拦截
同意与隐私记录
审计证据
ConsentX 当前的术语表页面明确把该平台定位为：检测与跨情境广告相关的追踪器、遵从 GPC，并保留可防篡改的退出记录。
其目标是把消费者的隐私选择与网站的实际技术行为连接起来。
跨情境行为广告与 ConsentX
只有当底层技术真正尊重隐私偏好时，这一偏好才有意义。
ConsentX 可以帮助构建这样一套工作流程：
- 消费者偏好
- 隐私状态
- 追踪器管控
- 供应商执行
- 审计证据
相比只是在网站上放置一个隐私链接，这提供了更为扎实的实现方案。
就 CCPA 场景而言，相关目标是确保适用的出售/共享退出选择，能够体现在参与跨情境行为广告的各项技术与第三方之中。
跨情境行为广告违法吗？
并不违法。
跨情境行为广告并不自动构成违法。
CCPA 就个人信息的收集、出售与共享确立了特定的消费者权利与企业义务，其中包括选择退出为跨情境行为广告目的进行共享的权利。
合规层面的问题在于：企业的做法是否满足适用的法律要求，以及消费者的隐私选择是否得到妥善遵从。
因此，企业不应把 CCBA 当作一种本质上被禁止的行为。
相反，企业应当弄清楚：
- 收集了哪些信息。
- 这些信息是如何被使用的。
- 哪些方接收这些信息。
- 该活动是否构成出售或共享。
- 适用哪些消费者权利。
- 退出请求是如何落实的。
- 适用的隐私信号是否得到遵从。
跨情境行为广告适用于加利福尼亚州以外的地区吗？
这一术语与加利福尼亚州的 CCPA/CPRA 制度关联最为紧密，在该制度下它有特定的法定定义。
美国其他州的隐私法律使用了定向广告等相关概念，并可能为消费者提供类似的退出权利。
不过，各自的定义与要求不一定完全相同。
因此，在美国多个州开展业务的企业，不应假定一套针对 CCPA 的 CCBA 实现方案会自动满足其他每一部州隐私法律的要求。
跨情境行为广告与美国其他隐私法律
美国多个州的隐私制度都对定向广告或行为广告作出了规定。
所使用的术语可能有所不同：
- 加利福尼亚州：跨情境行为广告
- 弗吉尼亚州：定向广告
- 科罗拉多州：定向广告
- 康涅狄格州：定向广告
- 其他州可能使用类似或相关的术语
各法域的法律定义与实施要求可能各不相同。
因此，覆盖多个州的隐私平台应当采用具备法域识别能力的规则，而不是对每一位访问者都套用同一种隐私偏好。
跨情境行为广告合规清单
一次实用的合规审查应当包括：
- 识别广告与再营销技术。
- 识别接收消费者信息的第三方。
- 梳理 Cookie、像素、脚本和 SDK。
- 判断个人信息是否被用于跨情境行为广告。
- 判断该活动是否构成 CCPA 下的“共享”。
- 提供法律要求的退出机制。
- 支持适用的 Global Privacy Control 信号。
- 在退出之后停止相应的共享。
- 把隐私偏好传递给相关系统。
- 审查广告供应商与合同。
- 在退出之后检验追踪行为。
- 保留隐私偏好的证据。
- 当广告技术发生变化时重新扫描网站。
- 评估其他州和法域的要求。
要点总结
跨情境行为广告（CCBA）是指使用从消费者在不同企业、网站、应用程序或服务上的活动中获得的个人信息进行定向投放的广告。
最重要的几点是：
- CCBA 在 CCPA 下有特定的定义。
- 它与第三方广告和跨站数据使用密切相关。
- 再营销是否构成 CCBA，取决于具体事实。
- 情境广告则有所不同，因为它可以依赖当前环境的内容，而非跨情境的行为信息。
- CCPA 下的消费者有权选择退出为 CCBA 目的共享其个人信息。
- Global Privacy Control 是传达退出偏好的一种重要机制。
- 企业需要在技术上落实适用的退出选择。
- 应当审慎审查广告供应商与第三方关系。
- CCBA 并不自动违法，但必须满足适用的 CCPA 要求。
- 隐私偏好应当影响底层的数据流转，而不只是影响用户界面。
相关术语
加利福尼亚州的综合性消费者隐私法律，经 CPRA 修订。
一种浏览器或用户代理信号，用于传达消费者的隐私偏好。
CCPA 下的一种隐私选择，让消费者可以选择退出适用的个人信息出售或共享。
美国多个州隐私法律所使用的一个更宽泛的术语，指依据消费者活动或兴趣相关信息投放的广告。
在需要取得同意时，用于取得并管理 Cookie 与追踪器许可的机制。
用于在各个网站上管理同意与隐私偏好的技术。
在取得所需同意之前，阻止相应的非必要处理的做法。
依据用户以往互动进行定向投放的广告，在某些情形下可能涉及跨情境行为广告。
供用户查看并更改隐私选择的界面。