数据经纪商如何买卖你的隐私

概要

Paul Jarvis解释，定向广告只是数据经纪产业最显眼的一层。数据经纪商从网站脚本、应用、社交平台、信用卡和其他来源收集位置、设备、兴趣、收入、健康与身份信息，再把不同来源的数据合并、分类并出售给广告商、企业或政府。即使数据声称已经匿名，足够多的属性仍可能重新识别个人；对跟踪受害者、家庭暴力受害者等群体，这类暴露尤其危险。文章引用的公司数量、市场规模和案例均来自2022年前后的资料，应作为历史数字阅读，但它揭示的结构仍有现实意义：用户通常无法看见、纠正或删除自己的档案，政府甚至可能通过购买数据绕过搜查令。作者主张默认保护隐私、加强监管，并要求网站经营者审查第三方脚本，避免把访客数据送入不透明的交易链。

正文翻译

我们都经历过令人不安的时刻：电脑似乎在监视我们、偷听我们说出的话，或者比我们自己的记忆更清楚几天、几周前点过什么，随后不断展示相似商品的广告。

网上有无数故事：一个人只搜索过一次某种商品，之后却一直被同类广告轰炸。

但让你购买可能并不需要的商品，只是定向广告问题的一部分。定向广告不仅令人厌烦，还可能主动伤害民主、心理健康和隐私。它曾被用来按种族投放选举虚假信息，也被用于宗教组织的转化和招募。

什么是数据经纪商？

大型科技公司应当为侵犯隐私承担责任，因为它们完全参与其中，整体表现也远远不够好。

但还有一些公司远离公众视线、监管和多数互联网用户的认知运作。它们被称为数据经纪商。

欧洲有相对完善的隐私法律保护公民，美国的隐私限制则少得多。原文引用的当时资料称，数据经纪商平均可以掌握每位美国公民多达一千五百项信息。

数据经纪商也被称为数据供应商、信息经纪商或数据提供商。它们自行收集个人数据，或者从社交平台、信用卡公司以及任何传递或收割数据的网站购买。多数人甚至不知道这些公司存在，但按原文2022年的资料，这是一个价值两千亿美元、仍在快速增长的行业，相关公司超过四千家。

数据经纪商包括Equifax、Experian和TransUnion等信用报告公司，PeekYou、Pipl、Instant CheckMate等人物搜索网站，以及Acxiom、Cuebiq、CoreLogic、LiveRamp和Epsilon等多数人从未听说过的企业。它们的共同点，是收集个人信息，再向其他公司转售或共享。

一位WIRED记者把数据经纪商称为“监控资本主义中不受约束的中间商”和“对民主的威胁”。

多数经纪商会买卖“一级方程式爱好者”“准父母”“冲动消费者”之类的分类，但它们有时也涉嫌出售“强奸受害者”“酒精依赖者”和“勃起功能障碍患者”等极度敏感的名单。

数据经纪商如何工作？

谈到数字数据，收集通常通过第三方Cookie或脚本进行。也就是说，除了你正在访问的网站，其他公司也会设置Cookie，记录你的信息并观察你的行为。

需要说明的是，并非所有第三方脚本都有恶意，也不是所有Cookie都有害。Fathom本身就是客户嵌入网站的第三方JavaScript，多数带登录功能的网站也需要Cookie维持登录状态。

Fathom声称自己的区别在于公开、严格地说明数据收集方式，并主动遵守主要隐私法律。而在数据经纪商的网站上，你通常找不到一份清楚文件，说明它们收集什么、怎样收集，以及收集后的数据如何使用。

字体或隐私友好型分析脚本与数据经纪脚本还有一个关键区别：后者不仅在当前网站跟踪你，还会跟随你从一个网站移动到另一个网站，覆盖互联网的大量区域。

原文当时使用The Markup的Blacklight工具举例：纽约时报网站被检测出十个广告追踪器和十七个第三方Cookie；Adobe网站有二十一个广告追踪器和三十四个第三方Cookie；宣称重视隐私的VPN公司Surfshark也被检测到九个广告追踪器和三个第三方Cookie。这些数字属于当时页面快照，今天可能已经变化。

数据经纪商会收集IP地址及其对应的大致位置、设备信息和上网兴趣，再与从其他来源取得的数据合并。之后，它们会形成类似“浏览过运动短裤、纯素食者、居住在洛杉矶、收入六万五至九万美元、旅行者、单身”的大型个人档案，再把相似的人分组，出售名单获利。

有些名单看起来无害，但更具侵入性的名单会涉及疾病、性偏好、宗教和政治立场，并出售给任何买家。理论上，任何人都可能购买癌症、糖尿病或抑郁症患者的数据名单。

如果你以为这类医疗相关信息受到HIPAA保护，现实并非如此。HIPAA保护你交给医生的医疗信息；如果你只是在网站搜索“堕胎”“癌症治疗”或“西雅图心理治疗师”，这类搜索信息并不因此自动获得HIPAA保护。

数据收集也不限于电脑浏览器。手机应用可以把应用内部数据交给第三方和数据经纪商，甚至一个看似与位置毫无关系的免费手电筒应用，也可能在用户不知情时这样做。

数据经纪商的行为合法吗？

在允许收集和出售部分个人信息的国家，这些公司运行在相对灰色的法律地带；在法律更严格的地区，一些行为可能完全违法，却仍然实际发生。

许多数据经纪公司会把共享数据的“同意”埋进免费软件的细小文字和服务条款。会员卡也可能采用类似方法：用户获得一点折扣，企业则取得关于个人和购买行为的详细信息。

即使经纪商宣称自己的业务完全合法，它们仍会惹上官司，包括在缺少严格联邦隐私法律的美国。

2021年，本文前面提到的Epsilon因协助针对老年人的欺诈计划，被美国司法部追究并支付一亿五千万美元。该公司承认把三千多万消费者的数据出售给明知正在实施诈骗的企业，而且这种行为持续了近十年。

出售位置数据的经纪商SafeGraph，后来才停止提供与计划生育诊所到访人数有关的数据，其中甚至包括访客从哪里来、之后去了哪里。它还曾向美国政府出售可以细分到个人层次的数据。

Life360被数千万人用于家庭成员位置共享。原文指出，该公司2020年有一千六百万美元收入来自向数十家数据经纪商出售位置数据，其中包括未成年人的位置。公司在被曝光后表示已经停止这种做法。

数据经纪商经常声称已经去除数据中的身份信息。问题是，当数据足够具体、个人属性足够多时，重新识别并不困难。

原文引用的一项研究认为，如果数据集至少包含十五项人口属性，例如性别、婚姻状态、爱好、收入和精确位置，绝大多数美国人都可能被重新识别。研究结论指出，即使高度抽样的“匿名”数据，也很难达到GDPR所要求的现代匿名化标准。这也是Fathom解释自己不显示操作系统和浏览器具体版本的原因：收集的属性越多，越容易从群体中识别单个访客。

我需要在乎数据经纪商拥有我的数据吗？

你可能认为自己“没有什么可隐藏”，所以不介意数据经纪商收集和出售数据。你没有做违法之事，也不介意别人知道自己搜索和浏览了什么。虽然这种观点存在风险，但个人当然可以这样选择。

问题是，并非每个人都有能力或条件不在乎谁在网上跟踪自己。有人有非常充分的理由不希望被找到、监视，或让个人数据被买卖。

对跟踪骚扰受害者、家庭暴力受害者等确实需要隐藏位置的人来说，当时的美国并没有统一联邦法律要求所有经纪商收到请求后删除数据。更糟的是，人们通常从一开始就没有拒绝被跟踪的办法。

这种大规模数据收集还可能让美国政府绕过第四修正案对不合理搜查与扣押的保护。通常，政府机构需要获得法官签发的搜查令，才能强迫企业交出个人数据。但如果政府不是强迫企业提交，而是直接从数据经纪商购买，就可能绕过搜查令流程。整个过程甚至可以在当事人毫不知情时发生。

可以怎样处理数据经纪问题？

总结一下：太多网站安装第三方脚本和Cookie，把个人信息与行为传给数据经纪商。经纪商再把这些信息与其他来源的数据合并，出售给广告商、政府和其他买家。

即使数据声称已经匿名，海量属性仍使去匿名化变得容易。许多政府，尤其是美国，对这个行业的监督不足。我们的身份、位置和兴趣都可以出售，但当事人往往看不到自己的数据，无法了解、修改或删除。

无论你是否重视自己的隐私，这都不是理想状态。经纪商和交易数据的企业利用我们的信息赚取数十亿美元，我们却得不到任何回报。至少，人们应该有权选择是否接受隐私被利用；如果接受，也应讨论是否获得补偿。

作者随后说明，这正是Fathom Analytics创立的原因。Fathom宣称不收集个人信息，只使用不断变化的密钥对少量访客数据进行哈希和加盐，并只以汇总形式展示。它销售软件而不是数据，也主张提高行业透明度与监管，并认为基于监控的定向广告应被禁止。这里属于作者对自家产品的立场。

原文引用Pew Research Center的调查称，约六成美国人认为日常生活中不可能避免企业和政府收集数据；Fathom自己对一千五百人的调查则称，九成以上受访者感觉无法控制自己的数据在网上被收集和共享。这些均为文章发表时的数据。

合法与否，数据经纪商对我们的了解都可能远超想象，对数据的使用也可能比最警惕的人预计得更多。

互联网经济的大部分依赖这种模式。许多热门网站和社交网络之所以免费，是因为它们从用户数据中获得巨额收入。它们不必向我们销售产品，因为被出售的产品就是我们。如果收费，用户可能减少，可供变现的数据也会减少。互联网上许多理所当然的“免费”，本质上建立在数据利润上。

怎样保护自己？

个人可以采取更多预防措施，例如使用重视隐私的浏览器、VPN，谨慎接受条款与Cookie同意。Brave、Firefox和DuckDuckGo浏览器会阻止许多第三方追踪器；移动设备中也有关闭应用跟踪的设置。具体工具和界面会随时间变化，应以当前官方说明为准。

但阻止个人数据在未经同意和知情时被出售，不应完全成为个人责任。数字生活应该默认获得保护，未经许可收集数据必须承担法律后果。

欧盟GDPR要求处理个人数据时必须满足六种合法依据之一，违规者可能面临诉讼、罚款和警告。但数据经纪商往往在用户不知情时运行，人们甚至难以发现其做法和它们掌握的信息。

GDPR也不完美。一些公司用复杂的同意横幅假装守法，让完全拒绝Cookie变得费时费力。多数人没有时间穿过多层页面和开关，于是直接点击“接受”或“确定”，等于同意数据收集。

如果你经营或负责网站，可以采取的行动很明确：让网站成为大型科技公司的数据黑洞，确保没有第三方脚本把访客数据传给经纪商。并非所有第三方脚本都有问题，但你必须充分理解每一个脚本如何使用数据。作者也以Fathom公开完整“数据旅程”为例，说明企业应明确解释收集什么、如何使用，以及如何实现匿名化。

个人数据的购买、出售和共享形成了一个庞大、缺少监管、在阴影中运行的生态。了解它的人越多，就越有机会推动政府建立更好的监管，也更有能力拒绝那些让数据经纪商接触个人信息的“免费”软件。

说明：本文部分案例来自John Oliver节目《Last Week Tonight》关于数据经纪商的一期内容。作者赞扬了节目研究团队的工作，以及他们用幽默方式推动美国国会改善隐私法律的行动。

---

作者：Paul Jarvis

原文：The problem with data brokers: targeted ads and your privacy