你的数据是如何流出的：应用、Cookie、位置信息和公开记录

上一课描述了数据经纪商掌握了什么。这一课追踪四条具体的路径，看看你的信息是如何抵达它们手中的：打包在普通应用里的第三方代码、网站上的 Cookie 和像素、你手机的位置，以及那些你根本无法阻止其存在的公开记录。

应用及其内置的软件开发工具包

大多数应用并非完全由挂名的那家公司自己开发。开发者通常会加入用于数据分析、崩溃报告或广告投放等用途的第三方软件开发工具包（SDK）。Apple 自己的开发者文档要求应用披露这一点，它把“第三方合作伙伴”定义为“分析工具、广告网络、第三方 SDK，或你把其代码加入自己应用中的其他外部供应商”，并直接警告开发者不要“在应用中加入这样一种第三方 SDK：它会把你应用中的用户数据，与其他开发者应用中的用户数据结合起来，用于精准广告投放或衡量广告效果——即便你自己并未出于这些目的使用该 SDK”。换句话说，开发者出于某个理由加入的一个 SDK，本身就可能转发数据，而这些数据最终会与完全无关的其他应用的数据合并在一起。

你阅读的网站上的 Cookie 和像素

在网页上，同样的思路以 Cookie 的形式出现。Cloudflare 学习中心解释说，由你正在查看的网站设置的第一方 Cookie，与由不是地址栏中显示的那个域名（通常是嵌入在许多不同网站上的广告或分析公司）设置的第三方 Cookie 是不同的。由于该第三方每次在你访问带有它的 Cookie 的另一个网站时都能再次认出你，它就能建立起一份跨越多个网站的浏览记录，而这些网站你从未告诉过它你正在访问。FTC 自己的消费者指南证实，这种情况不仅限于 Cookie：网站“可能使用 Cookie 或像素识别你，即便你已经离开该网站”，而在应用中，“广告主可能使用一个唯一的广告标识符来跟踪你”，有时还会配合设备指纹识别——这种方式不是依靠存储的文件，而是根据你的浏览器或设备特有的设置来识别你。

你手机的位置，往往根本不需要专门的传感器

位置信息属于更敏感的类别之一，FTC 也曾就此直接采取执法行动。2022 年，该机构起诉了 Kochava，一家被其描述为出售“从数千万移动用户那里收集来的大量精确位置数据”的经纪商。FTC 的提醒指出，这类数据能够揭示一个人前往过“医疗机构、宗教场所、生殖健康诊所、无家可归者收容所和家庭暴力庇护所，以及戒瘾康复机构”，作为演示，FTC 工作人员表示，他们利用 Kochava 的数据识别出一台曾访问过一家女性生殖健康诊所的设备，并将其追溯到一个具体的住址。这条数据链的起点，是某个请求了位置权限的应用；随后，与你的移动运营商本就能根据手机连接的基站推算出的位置信息完全分开，这份位置信息被转发给了外部公司。

公开记录：你无法选择退出的来源

FTC 2014 年对九家主要数据经纪商的研究发现，除三家之外的所有经纪商都直接从美国人口普查局、社会保障署的死亡记录等联邦来源获取数据，而州和地方政府则提供不动产记录、选民登记、法院记录和职业执照。这类数据流动的一部分确实存在法律限制：FTC 报告指出，美国至少有二十二个州限制商业用途使用选民登记记录，联邦《驾驶员隐私保护法》也限制在特定用途之外披露机动车记录。但这些底层记录本身——一份产权契据、一条结婚记录、一份法院文件——之所以存在，是因为法律要求它们存在，无论你本人是否愿意。