NRK 透過申請自身資料並加以購買，揭露手機定位資料賣家

2020 年，手機定位資料正悄然成為一種與政府關係密切的商品：資料仲介出售「匿名化」的移動紀錄，美國海關及邊境保衛局（CBP）與移民及海關執法局（ICE）等機構購買存取權，而使用者所信任的應用程式從未點名買家。傷害真實存在卻分散難辨——描述起來容易，卻無法明確指出。挪威公共廣播機構 NRK 的記者 Martin Gundersen 懷疑自己的手機正餵養這個市場，決定從頭到尾加以證明。

他自 2020 年 2 月起進行實驗：一支額外的手機裝滿應用程式並隨身攜帶，同時 NRK 團隊另行記錄了在醫院與婦女庇護所被追蹤的 8,300 多支手機。接著，他把 GDPR 的當事人查閱權變成調查工具，向線索所及的每一家公司提出請求，首先是 Venntel——這家維吉尼亞州仲介商向美國聯邦機構出售定位資料。Venntel 回覆了 75,406 筆定位紀錄，並確認這些資料曾被分享，用途包括聯邦執法與國家安全。

每一份回覆都點出下一家公司，於是請求層層推進：Venntel 的母公司 Gravy Analytics，接著是中間商 Predicio 與 Complementics，然後是斯洛伐克導航應用程式開發商 Sygic，以及 Funny Weather 應用程式的開發者。NRK 的技術分析在 Venntel 的紀錄中發現了 Complementics 用於 Sygic 資料的一組識別碼，三名挪威隱私專家稱這條鏈結明顯違反 GDPR。

為了顯示「匿名化」究竟值多少，NRK 團隊早已以 35,000 挪威克朗（約 4,000 美元）購買了一套商業定位資料集的存取權，並從中找出住在斯塔萬格的 31 歲男子 Karl Bjarne Bernhardsen。當他們打電話給他時，能一一說出他 2019 年去過的地方——動物園、一場求職面試、初為人父時在醫院的日子。資料供應商曾稱同一批資料已匿名化；NRK 只是證明了這個標籤毫無意義。

迫使每一家資料仲介回應 GDPR 請求，然後購買產品：回覆勾勒出整條鏈結，樣本則證明它並非匿名

GDPR 當事人查閱請求運作於賣方自身的法律機制：仲介必須回答它持有哪些資料、與誰分享，因此無須傳票或吹哨者即可啟動整條鏈結。

回覆成為書面紀錄：Venntel 的檔案點名 Gravy Analytics，後者點名 Predicio 與 Complementics，再追溯回 Sygic 與 Funny Weather——這條路徑沒有任何隱私政策揭露過。

以普通顧客身分購買產品是最有力的檢驗：NRK 花費 35,000 挪威克朗，就在賣方稱為匿名化的資料中辨識出一名具名人物，而一通電話便瓦解了對方的辯解。

具體的傷害讓報導深入人心：向 Bernhardsen 唸出他自己的行蹤——動物園、求職面試、醫院——把監控的抽象概念轉化為讀者能切身感受的新聞。

若要揭露一個傷害隱而不見的市場，就透過各供應商的揭露義務逐一盤問，並自行購買產品：每一份回覆都會點出下一個賣家，而樣本則證明損害。

NRKbeta 上的英文報導（2020 年 12 月 3 日）在 Hacker News 獲得 493 點與 169 則留言，記者也回覆讀者，並歸功於 Michael Veale 的查閱請求範本。此事助長了美國日益擴大的辯論：一名留言者引述參議員 Ron Wyden 的話，指 Venntel 就其資料來源「對國會敷衍了數個月」，而 CBP 則確認對商業資料擁有有限存取權。Sygic 的代表稱這項連結「並不清楚」，若經證實則屬違規。挪威律師懷疑起訴難以奏效，因為 Venntel 在歐洲沒有辦公室——真正的成果是文件紀錄本身，而非罰款。