【摘要】随着智能手机和移动互联网的发展,各种互联网服务与我们生活的联系日渐紧密。这也为隐私保护和数据安全带来了新的挑战。现有的法律法规还没来得及完全跟上科技的发展。这就要求每个用户,无论是否有技术背景,都应该了解自己的隐私和数据的价值、使用方式、可能面临的危险以及应对的方法。本文通过一个形象的例子对数据追踪技术的工作方式和可能的危害进行了介绍,并讨论了简单的隐私保护方法。
周末的早上,你醒了过来,但又不想起床。拿出手机,随便翻翻朋友分享的信息流。有一条引起了你的注意,“友情大考验!你能猜到朋友最喜欢的美食吗?”你和这位朋友关系不错,相信自己完全可以猜得八九不离十。也许最后会有什么广告,或着分享才能使用的优惠券,不过,为什么要那么在乎呢?大家玩得开心才最重要嘛。
于是你点了进去,激动人心的音乐,色彩亮丽的画面,一个大大的、还在跳动着的“立即开始”按钮。一刻也等不下去了,你按下了按钮。没有注意到旁边的小字,也没有注意到一闪而过的确认窗口。测试结束了,你获得了高分,再次向世界证明了你和朋友之间的高度默契。你很开心,把结果页面分享到了自己的信息流上。你觉得这个小游戏不错。美好的一天就这样在轻松愉快的心情里开始了。难道不是这样吗?
最开始注意到事情不对劲的时候,是上午的外出购物。你打算给家人露一手,下厨做晚饭,于是照着网上的菜谱,去超市购物。走在路上,总感觉有人在跟着你。从橱窗玻璃的反光中,你看到,那人身穿风衣,头戴礼帽,简直是从电影里蹦出来的特务。从小区门口开始,到公交车上,再到超市里,一直跟在你身后。他不时拿出小本,一边瞟向你这边,一边记下了什么东西。这让你感到很不舒服。
到了超市里,每当你从货架上拿下什么,他都会记下。而当你把什么东西放回去,或着换了一件时,他也记了下来。这让你觉得,只要你做过的事情,他都会有记录。结账的时候,他递给你一袋土豆,一卷厨房纸巾,和一袋饼干。你惊讶地发现,土豆是晚饭食谱中的食材,但忘买了。厨房纸巾是你和自己的丈夫聊天时提到过的。而饼干的牌子最近做了很多广告。虽然前两样东西都是你需要的,但提醒你的竟然是一个陌生人,他是如何知道这些的呢?想到这里,你不禁毛骨悚然,于是你没有接受,结完账就走了。
中午你和多年未见的朋友们聚餐。用打车软件打到了车,进去时,那人竟然也跟了进去。一路你都不敢说什么。到了饭店,你发现很多朋友身后也有类似装扮的人在跟踪。当你们坐在一起时,跟踪的人也在隔壁坐了一桌。每个人都拿出小本,开始交流上面的内容。你很惊讶,竟然没有人谈论这件事,仿佛一切都是理所当然的一样。
下午你和朋友们去看了场电影。不用说,那些人也都跟来了。他们记下了你们看的电影,花了多少钱,后来竟然还问评价如何,要不要推荐朋友看。接下来你们的计划是去公园散步,那些人不厌其烦地记下了你走的步数,你觉得他们还在暗地里据此估计你的健康情况。但你对这些人已经越来越习惯了,做什么事情也仿佛他们不在那里一样了。
晚上,你和朋友分别,回到了家里。那个人竟然跟着你进了自己家门。尽管你很生气,但家里人倒是没什么意见。他开始四处打量你家里的东西,向家人问东问西,简直像是在做人口普查。吃完了晚饭。你发现他正怡然自得地坐在客厅里,侃侃而谈地向你的孩子推销游戏,向你的老人推销保健品。
你觉得实在忍无可忍,便大声对他喊道:“你这个跟踪狂,真是太可恶了,快给我出去。”
那人并不觉得吃惊,反而正了正帽子,说:“你好,我的确在跟踪你,但我并不是跟踪狂。我做的一切都是合法的。其实你已经把自己卖给我了。看,这是你签的自我出卖合同,最下面还有你的签名。”
你惊得说不出话来,那的确是你的签名,可自己怎么会签下如此过分的合同?
第二天,你拿着合同前往你的一个朋友那里。她喜欢各种科技产品,就是有点古怪、不大合群。她说,“我看了你信息流里分享的游戏,在开始的按钮旁有一行小字,点进去就可以看到授权协议。这份协议允许你把自己的数据分享给第三方服务。简单来说,为了玩这个游戏,你允许别人获取你的位置信息,所以这个人会一直跟着你。他可以对你的消费进行分析,从而向你推荐产品。他还对你的社交关系进行了分析,也就是,对你和朋友间的互动知道得一清二楚。之后便是娱乐数据,会被用来预测你的娱乐习惯。运动数据则会在分析过后卖给保险公司。这个数据授权陷阱,一旦不注意,就会掉入其中。更何况家里的老人和孩子。”
“什么,一行小字竟然能造成这么大的危害?”
“没错。现在以移动网络为代表的互联网服务已经和人们的生活密不可分了。但人们的安全和隐私意识还没有跟上,稍有不慎,可能造成严重后果。简单来说,你可以一键出卖自己。或者说出卖自己的数字资产。这里的数字资产指的不是电子钱包中的余额,而是每次使用服务产生的数据。”
“数据也是资产?为什么从来没有人告诉过我呢?”
“那是因为互联网时代服务的盈利模型已经发生了改变。传统上的商品和服务都是买断或着租用的,付出的价钱和得到的商品和服务都是明明白白的,没有额外隐藏的东西。而在互联网时代,很多服务都变成免费的了。但它们并不是真的免费。一种形象的说法是,当交易中看不到产品时,产品就是你自己。你在使用某项服务时产生的数据,对广告商等第三方来说,是十分有价值的。从中可以了解你的生活习惯、娱乐习惯、经济状况,以及健康状况等等。用户为了使用免费的服务,而将这些数据提供给对方,允许对方进行挖掘,获取其中的价值。通过这种方式,你虽然没有为服务付费,但已经用另一种方式付过了。也就是说,你卖了你自己。这一过程通常是以数字的方式悄悄进行的,而非真的有个人来跟踪你。但这样的追踪更隐秘。看不到,也就很难意识到其重要性。”
“但我们一直都是这样做的啊。”
“从斯诺登公布棱镜计划,到后来的Facebook的剑桥分析事件,人们的数字隐私意识也在不断提高。一方面是因为互联网服务愈加无处不在,因此可能造成的危害也越来越大。另一方面,追踪技术也在进步,可供收集的数据,无论是种类,还是体量,都在快速增加。对于一个重度互联网用户,甚至可以只靠手机数据完全还原他/她一天的生活轨迹。”
“我这么点数据又有什么价值呢,谁愿意拿去就好了。”
“在商业方面的价值,上面已经谈过了。Facebook和剑桥分析事件说明了,数据泄露对于整个社会也可能造成巨大的危害。”
“你说的是数据泄露,只要公司好好保存我的数据,又有什么不妥呢?”
“数据滥用和数据泄露的确不同。前者指的是公司通过隐瞒或误导性的服务条款,在未充分告知用户的条件下,收集并使用数据,或交给第三方使用。后者指的是,公司受到攻击,并非有意造成敏感数据流出。这两件事不能混为一谈,但又不是完全无关的。对于数据滥用,在相关法规尚未完善、监管机制尚未形成的条件下,公司是否会放弃利益,自愿自觉地保护用户数据?此外,还有一些服务提供商,事实上处于垄断地位。它们用允许收集、分享敏感数据作为使用门槛,这种做法是否公平合理呢?更何况,确定数据是否被滥用十分困难,很多情况下,唯一的保证只有公司的良心。退一步讲,即使你相信自己选择的公司主观上坚守道德原则,但又如何确定它们是否有能力来实现这一保证呢?如果从最开始就不收集与服务无关的敏感数据,不就更安全了吗?
“关于这一点,可以回顾一下剑桥分析事件的例子。剑桥分析公司最初购买的数据,来自于一个第三方服务提供商。它对Facebook声称,自己收集的数据用于学术目的,Facebook在没有确认的条件下,就同意了授权。而对方也违反了Facebook的政策,即贩卖数据盈利。对于Facebook如此巨大的服务平台来说,详细调查每一份申请是不现实的。因此允许Facebook收集并授权敏感数据,也就相当于承担了巨大的泄露风险。在这个例子中,数据滥用和数据泄露的分界并没有那么清晰。”
“但隐私是一件不光彩的事情,只有坏人干见不得人的事情时,才拿隐私当借口。”
“保护隐私是我们的基本权利。人们不想让自己在数字时代被追踪的原因,和晚上睡觉拉上窗帘的原因是一样的。即使知道自己的邻居不是坏人,也不会轻易把自己家的钥匙送给他/她。在现实生活中,我们对隐私的保护十分自然。但在数字世界中,什么是隐私,如何保护隐私,还需要慢慢学习、适应,最终形成共识。另外,保护隐私也对社会发展有积极的影响。因为没有真正的匿名,就没有真正的自由。”
“那……我到底该如何保护自己?”
“要回答这个问题,首先需要理解数据是如何被采集和使用的。比如用浏览器浏览网页时,大部分网站会用一种叫做Cookie的技术。它最开始被发明是为了方便用户,比如记住登录的账号,下次就不用再登录一遍了。但现在常常被用于广告追踪。现代浏览器通常提供了隐身模式,或者无痕模式。这会让浏览器在退出时清除Cookie。作为普通用户,可以尽量使用这种模式浏览网页。另外,大家都知道广告拦截软件也可以提升体验。但同时,通过禁用插件,也可以达到提速和增强安全性的效果。当然,这会让网站的广告商受到损害,你可以通过对信任的网站设置白名单的方式来支持它们。
“对于那些需要账号才能使用的服务,无痕模式意义有限,因为你的数据关联到账号,存储在对方的服务器上。这时你可以通过以下两种方法保护自己的数据:
“1. 对于一些聚合服务的平台,比如◯信,支◯宝,在授权信息时,需要注意对方所申请的信息是否敏感,是否超过了服务本身所需。比如一个简单的测试游戏,应该不需要头像和昵称以外的数据。对于以前授权过的服务,这些平台会提供修改和取消等功能。你可以按自己的需求进行管理。对于新安装的应用,打开隐私设置,看看默认的选项是否和你想的一样。
“2. 对于需要单独账号登录的应用,注册前应仔细阅读条款,尤其关注数据使用方式部分。如果条件太过宽松,请拒绝使用这样的应用。尤其是手机应用,更应加倍小心,因为手机中保存了太多的敏感数据。”
“你说的这些,我可以试试。但家里的老人和孩子呢?总不能指望他们去阅读条款和终端用户协议吧。”
“的确如此。很多公司就是利用了人们不会认真阅读的习惯,才造成了这样的局面。对于轻度用户,可以先从使用隐身模式/无痕模式浏览网页开始。”
“假如不让服务商使用我的数据的话,他们又该如何赚钱呢?况且,如果它能用我的数据提醒我,忘了买什么东西,这确实很有用啊。”
“数据追踪技术最开始是应精准广告的需求而出现的。精准广告的初衷,其实是双赢。一方面,用户可以只看到自己感兴趣的广告;另一方面,广告商也可以通过只向感兴趣的人群投放广告降低成本。但问题在于,法律法规总是落后于科技的发展。这方面现有的法制尚不健全,而且执行起来很有难度。这就给大量的无良公司以可乘之机。你在上面遇到的经历令人不快,而现实中的追踪技术有过之而无不及。完全超过了任何一个跟踪狂所能做到的程度。因此,我们希望,在相关规定出台完善之前,每个人都应该提高自己的隐私意识,尽量预防数据滥用和数据泄露。如果发生了,你所采取的措施也有助于减小危害。这样还可以反过来加速相关法律法规的完善。”
“隐私保护的未来是什么样子呢?”
“我们可以通过现有的例子畅想一下未来。作为对日益增长的隐私需求的回应,欧盟于2016年推出了《通用数据保护条例》(General Data Proctection Regulation)。这一法规并没有禁止公司收集数据,而是要求公司诚实、明确且清晰地告知用户,使用该服务所收集数据的内容、方式和用途。此外,用户可以查看并管理自己数据,并对收集的方式进行设置。当用户取消服务时,有权处置自己的数据。这些规定都是很自然的,可以说并非增加了新的约束,而只是让用户取回对自己数据的控制权,让数据使用方法回到其本来的样子。这告诉我们,保护隐私并不意味着一刀切式地禁止,而是划出一条明确的界限,让用户和公司,在彼此尊重的前提下,能够合作共赢。当然,GDPR远非完美的最终解决方案,但在唤醒隐私意识、保护数字资产的路上,它已经让我们迈出一大步了。
“高速发展的科技常常让人感到无所适从。但问题不会因为不了解便消失不见。即使凭借个人的努力暂时无法解决,但了解、参与和思考,总能帮助你在问题出现时做好准备。”