互联网定向广告指通过收集一段时间内特定计算机或移动设备在互联网上的相关行为信息，例如浏览网页、使用在线服务或应用的行为等，预测用户的偏好或兴趣，再基于此种预测，通过互联网对特定计算机或移动设备投放广告的行为。例如，用户在某一网站输入关键词搜索某种商品后，其搜索行为可能被该网站或其他非关联方记录；之后，当该用户再浏览其他网站时，在其浏览的当前网页上向该用户投放与其之前搜索的商品相关的广告。此种广告即为互联网定向广告，区别于无差别投放的普通广告，与用户之间产生更紧密的相关性。[1]

既然定向广告主要依靠收集用户的网络活动痕迹，那么互联网企业收集网络用户的网络活动痕迹信息是否合法，是否侵害了用户的隐私权呢？

结论：法院认定cookie收集的用户浏览记录无法与特定用户相对应，不属于个人隐私。

朱某起诉百度公司利用cookie技术，未经其本人知情和选择，记录和跟踪其搜索的关键词，并利用记录的关键词对其浏览的网页投放广告，因而主张百度公司侵犯了其隐私权，要求百度公司停止侵害并赔偿精神损失。

一审法院认定，网络搜索展示了个人上网偏好，反映个人兴趣、需求等私人信息，一定程度上标识个人基本情况和个人私生活，属于个人隐私范畴，百度公司未经朱某许可利用cookie技术收集其搜索信息，构成侵犯朱某隐私权，且百度没有以显著方式提示用户是否同意使用cookie技术，而是采取默认同意方式，没能保障用户的知情权与选择权，判决百度承担侵权责任。

二审法院则认定，网络用户通过使用搜索引擎形成的检索关键词记录，虽然反映了网络用户的网络活动轨迹及上网偏好，具有隐私属性，但这种网络活动轨迹及上网偏好一旦与网络用户身份相分离，便无法确定具体的信息归属主体，不再属于《电信和互联网用户个人信息保护规定》中界定的个人信息（即用户姓名、出生日期、身份证件号码、住址、电话号码、账号和密码等能够单独或者与其他信息结合识别用户的信息以及网络用户使用服务的时间、地点等信息）范畴，不构成隐私权侵权；百度公司提供的个性化推荐服务只发生在服务器与特定浏览器之间，没有对外公开宣扬特定网络用户的网络活动轨迹及上网偏好，也没有强制网络用户必须接受个性化推荐服务，而是提供了相应的退出机制，没有对网络用户的生活安宁产生实质性损害。

对于是否侵犯用户的选择权与知情权的问题，二审法院认为，百度公司在对匿名信息进行收集、利用时采取明示告知和默示同意相结合的方式亦不违反国家对信息行业个人信息保护的公共政策导向，未侵犯网络用户的选择权和知情权，因此法院认定百度不构成侵犯朱某的隐私权。

结论：用户浏览痕迹虽不属于隐私，其收集和使用应比照个人信息保护方式规制

淘宝公司开发运营阿里巴巴卖家端“生意参谋”零售电商数据产品，通过收集网络用户浏览、搜索、收藏、加购、交易等行为痕迹所产生的原始数据基础上，经过分析处理、整合加工而形成数据作品，为淘宝网、天猫商家的店铺运营提供数据化参考，美景公司通过其开发运营的“咕咕互助平台”软件、“咕咕生意参谋众筹”网站实施了分享、公用、出租“生意参谋”账户等行为并从中牟利，并且主张淘宝公司未经淘宝商户及淘宝软件用户同意，私自抓取淘宝商户或淘宝软件、天猫用户的相关信息，侵犯了用户个人隐私以及商户经营秘密，具有违法性，因此淘宝公司诉美景公司停止不正当竞争行为并赔偿损失。

法院认定，对于网络用户浏览、搜索、收藏、加购、交易等行为痕迹信息，以及由行为痕迹信息推测所得出的行为人的性别、职业、所在区域、个人偏好等标签信息并不具备能够单独或者与其他信息结合识别自然人个人身份的可能性，故其不属于网络安全法中的网络用户个人信息，而属于网络用户非个人信息。

同时，法院又认定，网络用户行为痕迹信息不同于其他非个人信息，这些行为痕迹信息包含有涉及用户个人偏好或商户经营秘密等敏感信息。因部分网络用户在网络上留有个人身份信息，其敏感信息容易与特定主体发生对应联系，会暴露其个人隐私或经营秘密。因此，对于网络运营者收集、使用网络用户行为痕迹信息，除未留有个人信息的网络用户所提供的以及网络用户已自行公开披露的信息之外，应比照网络安全法第四十一条、第四十二条关于网络用户个人信息保护的相应规定予以规制。

上述两个案例中可以看出，随着数据信息技术的逐年发展，对网络用户网络活动痕迹的定性也从2013年的“非个人信息”逐渐演变为2017年的“应比照个人信息保护的非个人信息”。这主要基于用户上网痕迹等信息与用户其他信息相结合后可识别特定用户身份的可能性越来越大。

用户的某一次搜索记录也许不足以判断出该用户的真实身份，但用户的网络活动痕迹长期积累，加之数据挖掘与分析技术的广泛应用，足够多的信息就有可能单独或与其他信息结合后判断出特定个人的真实身份。例如，用户在手机上的搜索记录通常会在该用户的电脑显示器端推送定向广告，由此可以推断出该用户手机和电脑可能被深度匹配；手机设备的唯一IMEI号在收集或使用时与其他唯一标识符信息相关联，从而可以指向特定用户，则该IMEI号应视为用户个人信息[4]；我国自2015年9月起实施手机号实名制，手机与电脑相关联后，电脑端的上网痕迹识别特定用户身份的可能性进一步提高；国标《信息安全技术 个人信息安全规范》中也提到，基于识别和关联的角度考虑，如已知特定自然人，则由该特定自然人的上网浏览记录就属于个人信息的范畴。此时互联网企业恐怕难以“Cookie技术只识别用户使用的浏览器，并不识别用户个人”为理由主张其未侵害用户隐私权。

在这种趋势下，互联网企业应认识到，网络用户对其网络活动痕迹拥有信息自主权，无论公开或保密均应由用户自己决定，因此互联网企业应在收集和使用网络用户的网络活动痕迹信息前，充分保障网络用户的知情权与选择权，并获得用户的明示同意，保证数据的来源合法。具体而言，优化内容，即在用户协议、隐私协议中以显著方式提示用户收集、处理、利用用户信息的种类、范围、尤其是用户浏览、搜索记录，以及这些信息的目的、用途、使用方式，比如是否用于定向广告、精准营销等；优化方式，即向用户提供更为便捷的操作选项，使用户可以根据需要随时自由地选择接受或拒绝企业收集自己的网络活动痕迹数据用于精准营销甚至选择删除自己的网络活动痕迹。

另外，互联网企业可以积极探索用户信息的“匿名化且无法复原”处理和利用方式，让用户网络活动痕迹与用户身份相分离，且无法破解或复原到原状态，此时就可以作为非个人信息数据进行商用化。

互联网企业还要加强数据安保责任的落实，通过物理安保、权限设置等方式，分散权力和权限，并通过定期培训、风险评估、专项审计、奖惩制度等方式建立事前、事中、事后的数据安全保障机制。

首先，电脑端浏览器禁用cookie，或开启浏览器“跟踪保护拦截”功能；苹果手机用户可以在设置-隐私-广告中开启“限制广告跟踪”；安卓用户用户可以在设置-隐私中选择“关闭cookie”。

其次，尽量避免主动披露个人信息和隐私，因为司法实践中认定用户主动将其个人信息向社会公众公开的，视为合法途径获取的信息[5]，互联网企业收集和使用时无需获得用户的授权同意。因此网上晒火车票、机票、晒定位信息等行为就不用多说，输入姓名、生日、上传照片参加来源不明的各种性格测试、运势、面相分析等活动或游戏，还是不参加为好。

目前数据经济相关领域的专项法律规范尚处在探索创立阶段，解决互联网企业与网络用户之间就个人数据信息的保护与利用的冲突，应当秉持“合法、合理、公平”的原则，综合考量法律规定、双方间法律关系属性以及有利于社会公共秩序与社会公众利益维护等因素予以评判。