criteo-GDPR：进化，而不是革命（英文版）-2018-9页

GDPR: An Evolution, Not a Revolution

核心内容

GDPR（通用数据保护条例）是欧盟对1995年数据保护指令的更新，旨在统一欧盟成员国的数据隐私法律，提供一致的应用与执行标准。该法规不仅强化了个人数据保护，还通过减少行政负担，促进数据在欧盟内部的自由流动。Criteo作为一家在欧洲运营多年、服务全球广告客户的公司，已具备丰富的数据隐私管理经验，并致力于确保其业务与GDPR合规。

主要观点

• GDPR是数据保护政策的演进，而非颠覆性变革。
• GDPR强调个人数据保护，同时鼓励使用伪匿名化技术。
• 个人数据包括直接识别信息和伪匿名信息，如Cookie ID、移动广告ID等。
• GDPR提供了六种合法数据处理基础，其中“合法利益”和“明确同意”是营销行业最常适用的两种。
• Criteo认为“明确同意”是最适合其客户和合作伙伴的数据处理基础。
• GDPR要求企业确保数据透明、用户有控制权，并实施严格的数据治理措施。

关键信息

GDPR定义的个人数据

• 直接识别信息：如姓名、电话号码等。
• 伪匿名信息：如Cookie ID、哈希化的电子邮件地址、移动广告ID等，不直接识别用户，但可追踪个体行为。
• 敏感数据：包括种族、宗教信仰、健康状况、生物识别数据等，需更严格的保护措施。
• Criteo收集和处理的仅是非敏感的伪匿名数据，不涉及直接识别信息。

明确同意与合法利益

• 明确同意：需提供具体信息、在数据处理前获得、用户主动选择、无强迫或误导。
• 合法利益：需符合用户合理预期，不能侵犯个人隐私权，需实施适当的安全措施。
• GDPR中六种合法基础具有同等法律效力，互不排斥。

Criteo的数据隐私策略

• 隐私设计原则：Criteo将隐私作为产品开发的核心，确保安全与合规。
• 数据隐私官（DPO）：自2013年起，Criteo设有DPO及隐私专家团队，负责隐私影响评估、政策制定与执行。
• 数据存储与处理：采用现代伪匿名技术，如MD5和SHA-256双哈希处理，数据仅存储13个月，且位于欧洲数据中心，以确保合规与性能。

消费者权利与控制

• Criteo支持Ad Choices计划，允许用户一键查看数据使用情况并选择退出。
• 一旦用户选择退出，Criteo将立即停止追踪与再营销，并删除所有相关标识符。

行业领导与认证

• Criteo已获得多项行业标准认证，包括Network Advertising Initiative、IAB Europe、Digital Advertising Alliance、TrustArc等。

GDPR对企业的影响

• GDPR要求企业明确其数据处理目的、提供透明信息、实施数据治理、确保员工访问权限合规。
• Criteo通过提供易用的退出机制、定期更新隐私政策、与合作伙伴共享最佳实践，帮助客户实现合规。

Criteo的GDPR解决方案

• Criteo Shopper Graph：基于伪匿名技术标识符、用户兴趣和性能统计数据，用于精准广告投放。
• 数据最小化原则：仅收集和处理实现服务目标所必需的数据。
• 数据删除机制：用户退出后，所有数据将被删除或变为不可靠信息。
• 合规支持：Criteo积极与客户和合作伙伴协作，提供支持与最佳实践，确保GDPR合规。

消费者调研结果

• **90%**的受访者了解行为再营销。
• **68%**的受访者知道Cookie用于定向广告。
• **75%**的受访者期望看到与其兴趣匹配的广告。
• **73%**的受访者更愿意看到相关广告，而非支付费用避免广告。

结论

GDPR的实施为数字营销行业带来了更高的透明度与消费者信任。Criteo已做好充分准备，并致力于与客户和合作伙伴共同实现合规，确保在保护用户隐私的同时，继续提供高效、个性化的广告服务。