以下介绍的是数字广告数据要素流通现状和挑战。
我国陆续出台多项数据相关的法律法规和国家标准，明确提出对 个人信息的处理要求和保护要求。 2017 年 6 月 1 日施行的《中华人民共和国网络安全法》明确对 公民个人信息安全进行保护：第四十四条指出任何个人和组织不得窃 取或者以其他非法方式获取个人信息，不得非法出售或者非法向他人 提供个人信息。 2020 年 3 月 1 日实施的国家标准 GB/T 37964-2019《信息安全技 术 个人信息去标识化指南》，细化了去标识化活动的开展过程，就个 人信息去标识化问题给出了具体指导。 2020 年 10 月 1 日实施的国家标准 GB/T 35273-2020《信息安全 技术 个人信息安全规范》规定开展收集、存储、使用、共享、转让、 公开披露、删除等个人信息处理活动应遵循的原则和安全要求。
2021 年 9 月 1 日正式实施的《中华人民共和国数据安全法》明 确提出，开展数据处理活动，应当遵守法律法规，尊重社会公德和伦 理，遵守商业道德和职业道德，诚实守信，履行数据安全保护义务， 承担社会责任，不得危害国家安全、公共利益，不得损害个人、组织 的合法权益。同时第三十二条也明确规定：任何组织、个人收集数据， 应当采取合法、正当的方式，不得窃取或者以其他非法方式获取数据。 2021年11月1日开始施行的《中华人民共和国个人信息保护法》 特别要求，个人信息处理者在处理敏感个人信息、向他人提供或公开个人信息、跨境转移个人信息等环节应取得个人的单独同意，并要求 通过自动化决策方式向个人进行信息推送、商业营销，应当同时提供 不针对其个人特征的选项，或者向个人提供便捷的拒绝方式。
2022 年 11 月 1 日正式实施的国家标准 GB/T 41391-2022《移动 互联网应用程序(App)收集个人信息基本要求》，明确提出 APP 收集 个人信息还应满足定向推送信息和用户画像场景采用唯一设备识别 码识别用户时，应使用可交更的唯一设备识别码，且不应将其与用户 身份信息或不可变更的唯一设备识别码关联等要求。 2023 年 8 月国家互联网信息办公室就《个人信息保护合规审计 管理办法（征求意见稿）》向社会公开征求意见，提高个人信息处理 活动合规水平，保护个人信息权益。这意味着广告主必须获得用户明 确的、自由的、明示的同意，才能收集、使用、处理和传输个人信息。
2023 年 10 月 24 日发布、2024 年 1 月 1 日起施行的《未成年人 网络保护条例》作为我国第一部专门性的未成年人网络保护综合立法， 注重保障未成年人在网络空间的健康成长，提出任何组织和个人不得 在专门以未成年人为服务对象的网络产品和服务中制作、复制、发布、 传播可能影响未成年人身心健康的信息、网络产品和服务提供者不得 通过自动化决策方式向未成年人进行商业营销。 2023 年 10 月 1 日实施的国家标准 GB/T 42460-2023《信息安全 技术 个人信息去标识化效果评估指南》旨在依据个人信息能多大程 度上标识个人身份（即标识度）进行分级，用于评估去标识化活动的 效果，以此形成的个人信息标识度分级，该标准尚无法解决不同分级下法律效果的差异，但是有利于面向未来探讨一种分类分级的治理措 施。
为推动数据资源自由流通，促进互联网广告产业的安全、健康、 快速发展，中国通信标准化协会（CCSA）与中国广告协会（CAA） 联合制定了互联网广告数据安全与个人信息保护系列标准。 2021 年 12 月 31 日，CCSA 与 CAA 联合发布首个双编号团体标 准：T/CCSA329-2021 | T/CAAAD001-2021《互联网广告数据应用和安 全技术要求》，旨在规定互联网广告数据的应用原则、应用场景和安 全技术要求，并给出了互联网广告数据应用数据交换接口定义和升级 要求等，同时提供了技术指引建议。标准适用于广告主、媒体和流量 平台、用户、广告代理公司、广告技术公司、广告监测公司、其他第 三方组织等，规范互联网广告数据收集、使用、存储、传输和删除等 活动。
CCSA/CAA 联合发布的《互联网广告隐私计算平台技术要求》，通过规定互联网广告场景隐私计算平台的整体框架、技术流程、安全 要求，用于指导互联网广告营销企业、科技企业、用户机构、第三方 机构等，对广告场景隐私计算平台的设计、开发、测试、使用，保障 数据在流通与融合过程中的“可用不可见”、“数据不动模型动”。 2023 年 1 月 3 日，CCSA 与 CAA 联合发布双编号团体标准： T/CCSA 424-2022 | T/CAAAD 004-2022《互联网广告 匿名化实施指 南》规定了互联网广告匿名化实施的目标、原则和适用场景，给出了 数据匿名预处理技术指引，相应配套了业务法律边界的评估见证方法 和运营过程监控的管理控制体系，实现了“技术问题技术解决，法律 问题回归法律，管理问题过程控制”的三位一体互信且制衡的实施方 法。《互联网广告 匿名化实施指南》形成的“技术保障、评估规制、 过程控制”的互信制衡机制，适用于各类互联网广告业务，包括广告 投放、程序化交易、广告监测等应用场景下的数据匿名化处理。
数据泄露问题已成为全球性难题。据国际数据公司（IDC）预测， 2025 年全球数据量将高达 175ZB，其中，中国数据总量增速最为迅 猛，正以高于全球平均年增长速度 3%的幅度激增，预计 2025 年增至 48.6ZB，占全球数据圈的 27.8％，成为全球最大的数据圈。 随之而来的是数据泄露、数据滥用等数据安全事件频发。据《中 国政企机构数据安全风险分析报告》介绍，2022 年 1 月至 10 月全球 政企机构重大数据安全报道 180 起，其中数据泄露相关安全事件 93 起，比如国内某快递公司 10 亿用户信息发生泄露。
国际上也发生多起严重的信息泄露事件，比如 2018 年 3 月曝光 的剑桥分析事件中，Facebook 泄露 8700 万用户数据，影响美国大选； Uber 泄露全球 3500 万用户、370 万名司机的个人信息。数据一旦被 获取后，用户便失去了对数据的控制权，若个人数据被不法分子获取， 很容易对用户的财产、名誉等造成损失，有甚者更是会对国家安全、 公众利益和组织利益带来重大损害。
数据资产作为企业重要的价值资产，潜力巨大但也暗藏安全风险， 故企业多倾向于在保留源数据的基础上计算使用。而在数字广告数据 要素流通实践中，数据持有方多对参与数据要素流通持焦虑态度甚至 不愿参与，具体原因可概括为下述五点： 隐私担忧：数据持有方担心参与数据要素流通会泄露用户个 人信息，引发隐私问题。 竞争风险：数据持有方担心会与竞争对手分享数据，使竞争 对手利用这些数据优化自己的广告策略或获得市场份额，从而使数 据持有方失去竞争优势。 价值回报不确定：数据持有方担心无法获得足够的价值回 报，对能否获得充分的经济利益持怀疑态度。 数据安全风险：参与数据要素流通可能会面临数据泄露、滥 用或黑客攻击等风险，尤其像银行、医疗机构等敏感数据持有方会 对数据安全风险格外担忧。 法律合规要求：由于数据要素相关制度规范的欠缺，以及数 据要素流通、安全保障等技术发展的局限，数据持有方担心在共享数据的过程中，相关工作人员因不熟悉数据要素特征，触碰数据合 规底线。
数据孤岛指的是数据在不同部门间独立存储和维护，受制于技 术阻碍、企业/行业保护机制以及政策法规等因素而形成的不对称、 冗余等封闭或半封闭式现象，普遍存在于所有需要进行数据共享和 交换的系统之间，涉及不同部门、企业、产业间数据信息能否共享 等问题。 近年来，互联网平台方为加强数据安全和保护用户隐私，纷纷 推出广告数据平台。一些大型企业更是建立了具有独立存储空间和 严格权限管理机制、能为重要数据加密且保证数据不出库等特点的 Ads Data Hub；广告主和中小媒体可依附于上述数据平台进行数据 融合流通。数据平台的建立，可保证域内数据安全流通，实现数据 可用不可见，有效保障用户隐私，一定程度上缓解了“数据孤岛” 现象。
数据平台一定程度上能够解决数据流通问题，但同时也成为了各 个数据控制者为拒绝数据分享而高筑的壁垒，继而形成数据“围墙花 园”。数据“围墙花园”的存在，强化了强势媒体的垄断地位，具体表 现在： 平台的建造需要大量的人力、物力和财力，这些都需要较大 的建设成本，不适合中尾部互联网企业建设； 越来越多的数据汇入到平台中，广告主和中小媒体为了利用 这些数据开展广告业务，只能与众多强势媒体分别合作； 由于平台的建造者是强势媒体，这导致合作过程中，双方的 地位不对等，其透明度、安全性主要取决于平台主体，对广告主、 中小媒体和监测公司降低了透明度。 互联互通是互联网行业高质量发展的必然选择，数据“围墙花园” 可以促进数据要素在域内的安全流通，但不利于数据要素跨域流通， “不怕墙内锁春色，墙外亦能传芬芳”，让数据能够在整个互联网安 全、高效地流通是互联网行业的努力方向。
日益收紧的隐私保护法案及针对互联网巨头的反垄断调查都让 广告界通用的基于标识符的用户追踪方式愈加受到挑战。从全球来看， 通过唯一标识符开展数字广告业务的趋势也在逐渐收紧，国际上诸如 iOS、Android 等主流操作系统平台基于隐私保护方面的合法合规考 虑，都在逐渐弱化或取消直接通过唯一标识符来开展广告业务。 2021 年 4 月，随着苹果 iOS 14.5 的上线，苹果公司正式推出 APP 追踪透明（App Tracking Transparency，简称 ATT）功能，该功能 可让用户选择是否允许 APP 跟踪用户在其他公司的 APP 和网站上 的活动，以便用于广告投放或与数据代理商共享。与此同时，苹果广 告标识符（Identifier For Advertising，简称 IDFA）获取方式从 opt-out （手动选择关闭）变为 opt-in（手动选择加入），用户管理颗粒度从设 备变为应用，同时更新 APP Store 政策限制任何第三方标识。在 iOS14发布后，苹果推出了 SKAdNetwork2.0 版本，可以解决 IDFA 缺失带 来的安装以及之后在 APP 内注册、购买等转化行为，但仍然存在使 用场景局限性、归因回传延迟、结果完全依赖苹果提供等问题。
谷歌为了保护用户隐私，在谷歌应用商店（Google Play）的管理 中心页面显示将不会再向开发者提供那些不想看个性化广告的用户 的广告标识符。与此同时，为提供有效的个性化广告体验，谷歌为 Android 引入新的解决方案——隐私沙盒。隐私沙盒通过限制与第三 方共享用户信息，通过 Topics API 技术能够在没有跨应用标识（包括 广告 ID）的情况下运行，以及通过更加安全的方式来完成应用程序 与广告 SDK 的集成。但隐私沙盒技术本身存在一定争议，且利用 Topics API 技术进行广告定向投放、广告归因等业务实践效果仍需相 关数据予以支持和证明。 国内也在积极探索新的广告标识符方案，主要分为两条技术路线： 一是探索建立统一高效、安全合规的广告标识符。中国信息通信 研究院联合华米 OV 制定了《移动智能终端补充设备标识体系规范》、 实现了开放匿名设备标识符（Open Anonymous Device Identifier，简称 OAID）等标识的生成，OAID 可作为广告标识使用，可以被用户主动 关闭和重置，但在统一管理和用户对标识符的控制机制上有待进一步 提高。
二是群体 ID 技术。群体 ID 代表一群具有某种共性的用户的标 识符，对该群共性用户，标识符一致。目前，群体 ID 的生成是基于 用户在平台使用产生的数据，单一平台内部能做到通过群体 ID 实现广告投放、广告推荐，在不感知具体用户及其敏感隐私信息的前提下， 为用户提供一定个性化程度的广告推荐服务。但由于各平台对用户群 体划分，以及数据表达不一致等多方面因素，群体 ID 尚未完全验证 跨平台的应用，基于多方数据的群体 ID 实现方案还需要进一步讨论。
