你可能以前见过科技巨头的这种说法:“我们不会出售你的个人数据。”
从脸书到谷歌再到Twitter，该公司在其隐私政策、公开声明和国会证词中重复了这一说法。从字面上看，承诺是真实的:尽管收集了大量用户的个人数据，并将其转化为数十亿美元的利润，但这些科技巨头并没有像数据经纪人那样直接出售用户信息，并批量发送给广告商。
但专家表示，这些免责声明也分散了科技巨头从个人数据中获利的所有其他方式，并在此过程中使用户的隐私面临风险。
立法者、监管者和隐私倡导者都指出，广告商仍然可以付费访问脸书、谷歌和Twitter等公司的数据，而不是直接购买。
东北大学法律和计算机科学教授阿里·埃兹拉·瓦尔德曼(Ali ezra waldman)表示，关注“销售”这个词本质上是科技巨头的伎俩。
“[他们]说他们不会像酸奶公司那样把数据卖给第三方，说他们不含麸质。沃尔德曼说:“酸奶天然不含麸质。“这是对所有其他方式的误导，这些方式可能更微妙，但仍然是对隐私的严重而深刻的侵犯。”
其他方式包括从实时竞价流收集的数据，将流量导向收集数据的网站的定向广告，以及内部使用数据的公司。
如果我的数据没有被出售，我的数据会面临什么风险？
虽然脸书和谷歌等公司不会直接出售你的数据，但他们会将这些数据用于有针对性的广告，这为广告商提供了大量付费和获取你个人信息的机会。
最简单的方法是通过广告链接到一个嵌入了自己跟踪器的网站，该网站可以收集访问者的信息，包括他们的IP地址和设备ID。
广告公司很快指出他们销售的是广告而不是数据，但他们没有透露点击这些广告通常会导致网站收集个人数据。换句话说，你可以很容易地将你的信息泄露给付费在你面前展示广告的公司。
前沿基金会(Frontier Foundation)的技术专家贝内特·塞弗斯(Bennett Cyphers)表示，如果一个广告针对特定人群，那么广告商也可以从广告中推断出访问者的个人信息。
例如，如果脸书上有一个孕妇广告，广告商可以从这个链接中推断出每个人都是脸书认为已经怀孕的人。一旦有人点击该链接，该网站就可以收集设备ID和IP地址，这可以用来识别一个人。诸如“预期父母”的个人信息可能与该IP地址相关联。
“你可以说，‘嘿，谷歌，我想要一份去年看过超级碗的18-35岁的人的名单。’他们不会给你那份名单，但他们会让你向所有这些人做广告。他们中的一些人会点击这些广告，你可以很容易地找到这些人是谁。某种意义上，你可以通过这种方式购买数据。"
此外，还有一种复杂但更常见的方式，即广告商可以通过一种称为“实时竞价”的过程为数据付费，而不将其视为销售。
通常，当广告出现在你的屏幕上时，它并不在那里等着你出现。数字拍卖发生在广告加载前的几毫秒内，网站通过自动化流程将屏幕空出售给最高出价者。
访问一个页面将启动一个竞价过程，数百个广告商将同时收到IP地址、设备ID、访问者兴趣、人口统计和位置等数据。广告商利用这些数据来确定他们愿意支付多少钱来向这个访问者展示广告，但即使他们没有中标，他们也已经获得了可能包含大量个人信息的信息。
例如，对于谷歌广告，谷歌广告交易将在该广告的竞价过程中发送与您的谷歌帐户相关的数据，其中可能包括您的年龄、位置和兴趣等信息。
广告商自己并没有为这些数据付费；他们为在你访问的页面上显示广告的权利付费。但隐私倡导者表示，他们仍然会在竞标过程中获得数据，一些广告商会收集这些信息并出售。
今年5月，一群谷歌用户在美国加州北区地方法院对谷歌提起了联邦集体诉讼，指控该公司违反了其通过运营实时竞价服务不出售个人信息的主张。
该诉讼认为，虽然谷歌没有直接交出你的个人数据以换取金钱，但其广告服务实际上允许数百个第三方付费并获得数百万人的信息。案件正在审理中。
“我们从不出售人们的个人信息，我们有严格的政策，明确禁止基于敏感类别的个性化广告，”谷歌发言人José Castaeda在5月份告诉《旧金山纪事报》。
由于对隐私的影响，实时竞价也受到了立法者和监管者的审查。
今年1月，英国信息专员办公室副专员西蒙·麦克杜格尔(Simon McDougall)在一份声明中宣布，该机构正在继续调查实时竞价，如果披露不正确，可能违反欧盟的一般数据保护规定。
麦克杜格尔说:“RTB的复杂系统可以使用人们的敏感个人数据来放置广告，它需要人们的明确同意，但现在还不是这样。”“在没有正确评估和解决这些交易对手的风险的情况下，与潜在的数百家公司分享人们的数据也会引发关于这些数据的安全性和保留的问题。”
今年4月，一个由美国参议员组成的两党小组致信包括谷歌在内的参与实时竞价的广告技术公司。他们主要担心的是，外国公司和政府可能会获得大量美国人的个人数据。
信中说，“很少有美国人意识到，一些拍卖参与者正在窃取和存储‘出价流’数据，以编制关于他们的详细文件。”“反过来，这些文件被公开出售给任何持有信用卡的人，包括对冲基金、政治活动，甚至政府。”
5月4日，谷歌回复了这封信，告诉立法者，它不会在投标请求中共享个人身份信息，也不会在此过程中共享人口统计信息。
谷歌负责政府事务和公共政策的副总裁马克·伊萨科维茨(Mark Isakowitz)表示，“我们从不出售人们的个人信息。所有使用我们系统的广告买家都遵守严格的政策和标准，包括对使用和保留他们收到的信息的限制。”信。
你说的“卖”数据是什么意思？
倡导者们一直试图将“销售”的定义扩展到简单交易之外。
2020年1月生效的《加州消费者隐私法》试图在定义“销售”时广撒网，而不仅仅是用数据换取金钱。如果为了“金钱或其他有价值的对价”将个人信息从一个企业出售、出租、发布、共享、转让或传达给另一个企业，则被视为法律意义上的出售。
出售此类数据的公司必须披露他们正在这么做，并允许消费者选择退出。
“我们制定法律，试图反映数据经济的实际运作方式。在大多数情况下，除非你是一个数据经纪人，否则你实际上不会出售个人信息，”首席隐私官玛丽·斯通·罗斯说。OSOM产品公司和这部法律的合著者。“但你本质上是。如果你是一家社交媒体公司，你提供广告，人们付给你很多钱，你就是在向他们出售访问权。”
但这并不意味着一家公司收集和出售什么类型的个人数据总是显而易见的。
例如，在T-Mobile的隐私政策中，该公司称其批量出售汇编数据，称之为“受众”。该政策规定，出售的细分受众数据不包含您的姓名和地址等标识符，但包含您的移动广告ID。
移动ID可以通过第三方公司轻松连接到个人。
尽管如此，T-Mobile的隐私政策规定，该公司“不会出售直接识别客户身份的信息”。
T-Mobile的发言人泰勒·普鲁伊特(Taylor Prewitt)没有回答为什么该公司不把广告ID视为个人信息，但表示客户有权选择不出售这些数据。
那么我应该在隐私政策中寻找什么呢？
下次查隐私政策，不要只关注公司有没有表示要出售你的数据。这不一定是评估您的信息如何被传输和使用的最佳方式。
即使隐私政策规定私人信息不会在公司范围之外共享，但收集的数据仍然可以用于你可能感到不舒服的目的，例如训练内部算法和机器学习模型。
隐私专家Lindsay Barrett说，消费者应该寻找删除和保留政策。直到最近，她还是乔治敦大学法学院的研究员。这些政策明确了公司保留数据的时间以及如何删除数据。
她指出，这些声明比承诺不出售你的数据的公司更重要。
“人们对公司如何处理他们的数据没有任何有意义的透明度，通常，对他们可以用它做什么的限制太少，”巴雷特说。“整个‘我们不卖你的数据’并不表明该公司正在闭门造车。”
