当企业说“我们不会出售你的数据”时，他们到底在说什么？
很多朋友可能都从科技巨头的用户须知中看到过这样的表述，“我们不会出售您的个人数据”。
从Facebook到谷、再到Twitter，企业在隐私政策、公开声明以及国会证词中不断重申着这些义正辞严的声明。从字面上看，他们也确实对得起自己的承诺：尽管收集了大量用户个人数据并将其转化为数十亿美元利润，但各大科技巨头确实没有像数据经纪人那样直接把用户信息批量出售给广告商。
但专家强调，这些免责声明其实是在回避科技巨头们其他利用个人数据牟利的手段，而且对于用户隐私其实并没有什么实际性的保护作用。
立法者、监管机构和隐私倡导者纷纷指出，广告商仍然可以付费访问来自Facebook、谷歌和Twitter等厂商的数据，只是没有经过直接购买。（Facebook公司发言人Emil Vazquez拒绝对此发表评论，Twitter发言人Laura Pacas向我们介绍了公司的隐私政策，谷歌则没有回应置评请求。）
美国东北大学法学与计算机科学教授Ari Ezra Waldman表示，死抠“销售”字眼本身其实是科技巨头们分散关注的烟幕弹。
Waldman表示，“他们说自己不会向第三方出售数据，就相当于酸奶公司说自己的产品不含麸质。这是纯粹的废话，因为酸奶本身天然不含麸质。虽然他们用巧妙的方法引导着公众的视线，但这种行为仍然是对隐私的深深侵犯。”
科技巨头的其他盈利方式还包括从实时竞价流中收集数据，再把流量引导到数据收集网站以设计定向广告，而后在公司内部进行数据分析以构建趋势性见解。
既然不存在“出售数据”，我们的数据会有哪些风险？
Facebook和谷歌确实不会直接出售用户数据，但他们会利用这些数据设计针对性广告，也就是广告商用钱买来了个人资料与引导消费的机会。
最简单的方法就是通过广告链接至某个嵌入跟踪程序的网站，由该网站收集访问者的信息——包括IP地址以及设备ID。
广告公司会立刻反驳，坚称自己出售的是广告而非数据，但他们绝不会提到点击这些广告本身就是在通过网站收集个人数据。换句话说，付费展示广告的企业可以肆无忌惮地了解点击者的一切。
电子前沿基金会技术专家Bennett Cyphers表示，如果针对特定人群发布广告，广告商还可以从中推断出访问者的更多个人信息。
例如，如果Facebook上发布一条针对准妈妈的广告，广告商则能推断出点击该链接的用户大概率是孕妇。这时候，网站会收集点击者的设备ID与IP地址，进而识别出对方的身份。此外，个人资料中填写的“准父母”字段也能够与IP地址匹配起来，共同成为身份识别指标。
Cyphers指出，“我们可以说，「嘿谷歌，我想要一份去年曾观看超级碗比赛的18到35岁观众的名单。」谷歌不会直接给出名单，但却允许你直接向这部分群体投放广告。其中有些人会点击广告，我们就能轻松识别出对方的身份。从某种意义上说，这是一种变相的数据购买方式。”
接下来，我们聊聊一种更复杂但同样常见的方式，广告商可以通过“实时竞价”为数据付费，而且这种形式通常不被认定为数据销售。
通常，广告内容不是预先准备好再趁加载时呈现在屏幕上的；相反，广告实际加载前几毫秒时会进行一轮“数字拍卖”，网站则自动显示出价最高者想要展示的广告内容。
访问每个页面都会进行一次竞标过程，期间几百家广告商都会同时收到IP地址、设备ID、访问者偏好、人口统计及所在位置等数据。广告商就利用这些数据来确定他们愿意为该用户展示广告所支付的费用；而且即使没有中标，他们可能也获得了大量宝贵的个人信息。
以谷歌广告为例，Google Ad Exchange在竞价过程中会发送与谷歌账户相关联的数据，其中可能包括用户的年龄、位置和偏好等信息。
广告商本身确实没有为这些数据付费；他们购买的实际是在当前访问页面上展示广告的权利。但隐私倡导者表示，广告商在投标过程中仍能获得数据，部分广告商会收集这些信息并转手出售。
今年5月，一群谷歌用户向美国加利福尼亚州北区地方法院对谷歌提起联邦集体诉讼，指控该公司通过运营实时竞价服务违反了不出售个人信息的承诺。
原告方宣称，尽管谷歌没有直接用个人数据换取金钱，但其广告服务实际上允许数百家第三方通过付费获取百万用户的信息。目前案件仍在审理当中。
谷歌公司发言人José Castañeda在今年5月接受《旧金山纪事报》采访时表示，“我们从不出售用户们的个人信息，我们有着严格的政策，明确禁止根据敏感信息发布个性化广告。” 考虑到对隐私的影响，立法者和监管机构也决定对实时竞价业务开展审查。
今年1月，英国信息专员办公室副专员Simon McDougall在一份声明中表示，该机构正持续对实时竞价（RTB）开展调查；若企业不对竞价过程做出正确披露，则可能被视为违反欧盟提出的《通用数据保护条例》。
McDougall解释道，“实时竞价的复杂系统应该在使用敏感个人数据投放广告之前，征得用户的明确同意。但目前这一点还没有实现。在没有正确评估并解决交易各方风险水平的情况下，与数百家潜在广告商共享用户数据可能会引发对数据安全与保留问题的担忧。”
今年4月，由美国参议员组成的两党团体致信参与实时竞价的各广告技术公司，包括谷歌。他们强调外国企业和政府可能会借这条渠道获取关于美国民众的大量个人数据。
信中提到，“很少有美国民众意识到，部分拍卖参与方会窃取并存储「投标流」数据并编撰起关于用户的详尽档案。反过来，这些档案会被公开出售给拥有信用卡业务的机构，包括对冲基金、政治活动甚至是政府部门。”
今年5月4日，谷歌对来函做出回复，表示他们不会在投标申请中共享个人身份信息、也不会披露人口统计数据。
谷歌政府事务与公共政策副总裁Mark Isakowitz表示，“我们从不出售个人信息，所有使用我们系统的广告买家都严格遵守政策与标准，包括对各方收到信息的使用及保留做出限制。”
“出售”数据是什么意思？
倡导者一直试图将“出售”的定义扩展到简单直接的交易方式之外。
2020年1月生效的《加利福尼亚州消费者隐私法》试图在定义“出售”方面编织一张绵密的大网，而不仅仅约束“用数据直接换钱”。如果单纯出于“金钱或其他价值取向”而将个人信息以出售、出租、发布、共享、转移或（口头及书面）传达给另一企业，则这项法律即将其视为出售。
按法律要求，以上述方式出售数据的企业必须向消费者披露销售行为、并允许对方随时选择退出。
OSOM Products首席隐私官、《加州消费者隐私法》合著者Mary Stone Ross表示，“我们制定这项法律的初衷，在于反映数据经济的真实运作方式。在大多数情况下，除非是数据经纪机构，否则大部分企业并不会直接出售个人信息。但他们的行为在本质上仍然是出售。对于社交媒体厂商，他们会收费并提供广告发布业务，这实际就是在出售数据访问权。”
但除此之外，也有很多企业在以更隐密、更复杂的方式收集并出售多种类型的个人数据。例如，在T-Mobile公司的隐私政策中提到，他们会批量销售经过编译的数据，并将这部分信息称为“受众群体”。政策规定，所出售的细分受众群体数据中绝不包含用户姓名和地址等标记，但会包含您的移动广告ID。
而移动广告ID足以帮助第三方企业轻松关联到具体个人。
如大家所想，T-Mobile的隐私政策也提到该公司“不会出售可用于直接识别客户身份的信息。” T-Mobile公司发言人Taylor Prewitt并没有回应该公司为何不把广告ID视为个人信息，只表示客户有权选择不出售此数据。
怎样的隐私政策才靠谱？
在关注隐私政策时，我们呼吁大家不仅关注公司是否“出售您的数据”，更要重视他们如何传播和使用用户信息。
即使隐私政策规定公司不会与外部共享个人信息，收集到的数据仍可能被用于有损隐私的目的，例如训练内部算法和机器学习模型。（Facebook就使用旗下Instagram上的10亿张图片以提高模型的图像识别能力。）
前乔治城法律学院研究员、隐私专家Lindsey Barrett表示，消费者应该关注数据删除与保留政策。这些政策会阐明公司保留数据的时间周期以及如何在到期时将其删除。 她强调，这些声明要比企业做出的“不出售数据”承诺重要得多。
Barrett最后总结道，“企业的个人数据处理方式几乎没有透明度可言，而且法律对于企业的数据使用约束也太过有限。所谓「不会出售您数据」的承诺根本就是虚晃一枪，说明不了什么实际问题。”