“我们早期帮他们找合作伙伴，包括美图和蚂蚁金服，让他们得到了很多人脸数据。”
9月12日，在全球企业家峰会上，李开复在分享自己的投资“鄙视”经历时这样说，其中触及了数据安全和用户隐私的话题。他很快就把人工智能独角兽公司对技术的鄙视、互联网金融巨头蚂蚁金服和他自己送上了热搜。
事发当晚，蚂蚁金服立即辟谣，抛开李开复本人在合作关系中的话语权，随后否认与旷视科技共享人脸数据。一个小时后，迪法恩斯也解释说不知道也不会主动收集用户的个人信息。
李开复也发表道歉，称自己的发言是口误，只是带着鄙视的心情帮忙寻找合作伙伴，不涉及客户数据传输和共享，并向提及的三家公司道歉。
李开复发微博道歉。
然而，这样公开的“口误”仍然是不可思议的，甚至是不合时宜的。毕竟蚂蚁金服和迪法恩斯都在上市准备阶段。
一波公关看似暂停了危机，但三方之外，网友调侃:否认就当真。
如今，数据共享滥用和隐私裸奔已经不是什么新鲜事了。
我们一直关心的是:人脸等个人隐私数据的收集、使用和共享的边界在哪里？
你的脸可以交易。
“多少预算？多少钱？对样品有什么要求？”一家数据贸易公司的商务部员工王政问道。
作为数据购买者，南窗联系了这家公司的客服，询问是否可以购买人脸数据用于技术开发。不到一个小时后，王政作为对接人给南窗记者打来电话。
当他了解到需要相对大量的数据时，王政曾经表达了一种困境。“我们这里是国企，要特别控制风险”“给你50，那就触犯刑法了”。
不过，王政没有拒绝这笔交易，而是询问了记者数据的应用场景和公司平台的名称。
在与王政的后续沟通中，南都之窗记者了解到，人脸数据是非标准产品。也就是说，你不能直接在明面上买。但由于王政工作的公司连接了一些“不方便透露来源”的数据库，他表示还是可以提供的。
“对我来说，离开仓库非常困难，风险也很大。”王政说，当数据从图书馆释放时，会留下操作记录。“有日志的工号……是固定的，大量数据操作，一看就知道”。监控数据库操作和设置权限是数据库管理的常用手段，通常用于防止数据泄露或数据窃取。
尽管声称风险高且困难，但王政进一步表示:“数量没有问题。基本上就看价格值不值了。”然而，王政自己说，他没有权限访问数据库，更重要的是，技术人员:“技术必须仍然努力工作。”
至于价格，王政没有给出价目表，但透露对人脸数据的需求越多、越准确，价格越高。这些详细的需求可以包括性别、年龄和城市地区。
对于可以提供的数据的具体内容，虽然王政拒绝出示，但他告诉南都视窗记者，里面有人脸图片、姓名、联系方式，“一般都是一套完整的”。
当提出用50万买100万张女性人脸数据时，对方回复:“价格低……价格200万+我再调动技术。”
当被问及交易人脸数据可能带来的后果时，王政说:“去年，这里有N家公司出了问题，数据隐私被一扫而光...许多人被捕并被判刑。”
在这个行业干了十几年，王政的体会是，现在的数据不好卖。他的公司也只剩下银行和消费金融的数据业务，用户需求估计只有原来的20%。消失的80%主要涉及P2P和现金贷。改变的主要原因是“交易的风险大大增加了……尤其是在网络安全法出来之后”。
《网络安全法》中关于网络信息安全的若干规定
过去，王政接手的“公共交易”只在图书馆进行，购买数据使用权。那就是买个数据接口，按通话次数收费。"数据没有签出、加密、可用和不可见."
“可用不可见”是什么意思？王政举了一个例子。举个例子，我是张三，采集到的人脸可以在数据库里核对，看图片是否匹配，但是用数据库的人不会知道张三长什么样，也不会知道这张是张三。类似于用钥匙开锁，不需要知道锁孔的具体外观就可以匹配。
而人脸数据等信息只能“私下交易”，属于非法交易。王政第一次接手。“私转私”是指需要离线完成数据交易，比如用硬盘做拷贝。
当《南方之窗》的记者问王政是否害怕这笔交易触犯法律而锒铛入狱时，他回答说，“所以让同事做主吧。”
会员交易
除了人脸数据，还有更多的数据被交易。但值得注意的是，数据交易并不完全处于灰色或黑色区域。
2015年4月，国内首家大数据交易所贵阳大数据交易所正式挂牌运营。在这个交易所交易的数据是合法的。
贵阳大数据交易所官网页面
据贵阳大数据交易所总裁王三寿介绍，交易所主要以电子交易形式进行，为全国提供数据交易服务。数据值多少钱，由交易所和数据卖家商量，数据内容和交易价格都贴在平台网站上。买家看中了，即使在平台上拍下，也交易成功。最终的数据交易在交易所和数据提供商之间4: 6分成，按照数据价值向买方收费。
在进入平台交易前，需要对数据进行脱敏，擦除隐私相关信息。买家和卖家必须首先是交易所的会员。
为询问更多详情，南窗记者试图联系贵阳大数据交易所，但公众号显示为空。
贵阳大数据交易所官网发布的交易规则
南方之窗随后联系了另一家位于江苏盐城的大数据交易中心，该中心也有会员制。其工作人员告诉南方之窗，交易中心本身没有数据产品，只是一个供需对接平台。想参与数据交易，要交钱成为会员，通过资格审查后才能交易。
会员分为普通会员、高级会员和其他等级。会员费2000-3000元人民币起。目前，这个交易中心已经拥有上千家会员单位，涉及消费、金融、银行、物流等多个领域。同时，交易中心定期举办活动，邀请演讲嘉宾。围绕某个领域，会员可以申请参与，进行数据交易。
“商业数据和工业数据可以交易，没有法律法规等限制性要求；但个人信息不能买卖，只能在特殊情况下共享和转让。个人信息控制人确需共享、转移时，应当充分注意相关法律风险。”金都律师事务所合伙人、网络安全与数据合规执业律师宁告诉南方视窗。
可以交易的数据一般都是匿名的。“如果个人信息被匿名化，变成A、B、C、D，无法识别具体个人，其交易风险将大大降低。”宁峰律师解释道。
小组中的数据购买者
市场上有明显的数据购买和交换需求，但除了合法渠道，如交易所、交易中心等，黑市交易仍是我国数据交易的主流。比如网上，数据交易信息也是在多个QQ群里完成的。
在这些QQ群里，人们习惯称数据为“资料”。群里的消息主要有两种，一种是索要数据等人私聊，一种是推销电话推销卡。
QQ群不时弹出询问买卖信息的数据，一般是这样写的:
“豪车车主、大型理财客户、女性柜台会员、高端高消费人群等。，你要的我都有，出轨，白嫖，同行不加。”“由于公司业务需要，我们正在寻找准确的内部、学院通讯录、医院通讯录、公司通讯录。我们欢迎有真实货源的一手大佬合作。”
与交易公司需要身份验证和营业执照不同，在QQ群中，没有人关心买家是谁，数据用于什么目的。南方之窗记者入群，很快就有人主动私聊，问买什么数据。
南方之窗记者向其中一位主动联系他的卖家询问，他需要南方某城市今年毕业的大学生的联系电话。对方回复，可以筛选这个南方城市的大学生，但是提出今年毕业不好。建议记者按年龄缩小范围。
对于这些信息的来源，对方表示是通过校园网站后台筛选出来的:“我们有自己的技术，有自己的机房。”
对方给的价格是2000块数据200元，10000块800元。支付宝或微信承诺付款后，资料会在20分钟内通过QQ或微信或邮件安排送达。
在群内买家的需求中，一个高频词是“测试”，意思是验证数据和数字的真实性，但这个卖家不提供免费测试。“我的数据都是实时筛选的，都是要花钱的。”卖家回复。
为了打消南方之窗记者的风险顾虑，取得信任，对方突然发来对话框截图，“这样发给你”。
截图显示为“四大贷款客户”的文本对话框和txt格式的文件。但2秒钟后，对方迅速撤下了这张交易截图。
南窗记者对另一位卖家提出了同样的需求。除了电话号码，还可以选择微信号进行网上销售。销售渠道，只能给电话号码，没有名字。“违法，兄弟”，对方声称。随便打电话又不违法。
这位自称入行3、4年的卖家说，他和客户有长期合作，不做一次性生意。长期的合作关系只是通过微信和QQ，不会签任何合同。
在卖家的要求下，给南窗记者看了一张三天前的交易截图。数据也以txt文件传输，说是股票客户的电话号码，还发了一系列数字截图。
即便如此，南都之窗记者也无法证实这个数据的真实性和质量，更不用说群里有多少成功的交易了。
“都是买材料，基本不卖。”过了几天，一个群友说。很快，群里就有7、8个人开始吐槽自己被骗的经历。有的人转账后被对方拉黑，有的说拿到的号码有很多重复。
在群里频繁出现的一个关键词是“不惊动骗子，量大”。在口头承诺，先给钱再给数据的交易模式下，吃亏并不意外。
但在这些群里，每天都有新成员加入，来“收老人保健品、医院通讯录、全国村支书通讯录”...
以及监管的难度。
“数据”作为一种商品，被定价，被用于交易，以或明或暗，或真或假，或合规或违规的形式进行。毫无疑问，市场认可“数据”的价值。
就像李开复的“口误”，像旷视这样的ai科技公司，拥有大量的人脸数据，成就了他们的技术优势。因为识别的数据越多，准确率就越高，技术应用和实现的竞争力就越强。
对于能够利用大数据的平台来说，人脸数据只是其庞大数据库中的冰山一角。但如果通过数据交易和技术合作开发刷脸支付、刷脸登录等新功能，打造产品亮点，则可以降低平台的用户门槛，吸引需要这些便利的人。
对于更多的企业来说，数据是他们打开市场、精准营销的必需品，是做生意的捷径。应该说，数据的经济价值是数据和隐私风险的重要驱动因素。
在数据交易的过程中，当然也不乏监管:人员资质审核，系统加密，监控设置权限，法律的出台，或者诉诸处罚。
2019年公安部“净网行动”前10个月，共侦破侵犯公民个人信息案件2868起，抓获犯罪嫌疑人7647人；侦破黑客案件1361起，抓获犯罪嫌疑人2133名。多家公司相继被查，企业高管和技术人员被警方带走。
2017年6月，“徐玉玉遭遇电信诈骗心脏骤停案”宣判。主犯陈文辉因犯诈骗罪、非法获取公民个人信息罪，一审被判处无期徒刑，并处没收个人全部财产。其他6名被告人分别被判处3年至15年不等的有期徒刑，并处罚金。
2017年，新三板上市公司数据堂因泄露、出售个人信息被公安机关调查。其业务被关闭，其创始人被刑事拘留。报告显示，Data Hall在8个月内每天传输的公民个人信息超过1.3亿条，压缩后累计传输数据达到4000GB左右。前五大客户中，出现了华为、三星、谷歌、腾讯等。
即便如此，那些王政人仍然有信心将数据非法带出图书馆。不可否认，人性和多方合作的方方面面还是造成了数据交易的疏忽。
对此，在法律层面，惩罚机制体系正在进一步完善。2016年，《网络安全法》颁布实施。今年刚刚颁布的民法典也增加了个人信息和隐私保护的内容。数据安全法和个人信息安全保护法正在酝酿中。
值得注意的是，交易意味着买卖双方都有责任。但现实中，我们似乎在强调卖家和运营商在滥用数据、侵犯隐私方面的责任，而容易忽略相应的买家其实同样违法。
对于这样的倾向，大数据安全与隐私保护专业委员会副秘书长、华中科技大学网络安全学院执行院长邹德清表示:“理论上，只要犯了违法行为，买卖双方都有责任，双方也都侵犯了用户隐私。但在现实中，买家往往不明不白，不易追查，而卖家更容易被找到，更容易追查，针对性更强，所以更严格。”
贵阳大数据交易所官网公布的交易流程
以及监督和惩罚。尽管买卖双方很难解决这个问题，但仍存在模糊的灰色地带。
比如QQ群里的那些交易——卖家定向筛选后，批量提供手机号码给买家，但不提供对应的姓名等信息。客观上，号码并没有明确指向个人，但被精准营销的人可能会收到垃圾信息的骚扰甚至诈骗。这算不算侵犯个人信息？似乎很难定义。
《网络安全法》第四十二条规定，网络运营者不得泄露、篡改、毁损其收集的个人信息；未经被收集人同意，不得向他人提供个人信息。但是，处理后无法识别具体的个人，也无法恢复。这也使得电子销售和网络销售的数据交易有了空子可钻取性。
在宁看来，这些行为还是有一定的违法风险的。例如，手机卡实名制政策实施后，电话号码理论上仍然可以识别或关联到个人，因此，仅交易电话号码本身就存在很大的法律风险。
如何平衡数据的开发利用和隐私保护之间的关系，是我们必须面对的问题。
近年来，国内外都在探索和开发数据安全和隐私保护的技术解决方案。比如在数据采集的过程中，进行脱敏、匿名，减少数据违规的几率，但技术仍有待提高，也有赖于企业和个人自觉、规范的执行。
除了数据合规性，数据所有权和数据垄断的风险也变得密切相关，需要加以解决。
作者|南国之窗记者石晶晶
编辑|何魏紫
排版|山
