NRK曝光手机定位销售链：先索取数据，再购买验证

2020年，手机定位数据悄无声息地成为了与政府相关的商品：经纪人出售“匿名化”的行动记录，美国机构如海关与边境保护局和ICE购买访问权，而用户信任的应用从未提及买家。这种伤害真实但分散——易于描述却难以指证。挪威公共广播NRK的记者Martin Gundersen怀疑自己的手机正是该市场的供源，他决定端到端证实此事。

他从2020年2月起进行实验：额外一部手机装入应用并随身携带，同时NRK团队另行记录了8300多部手机在医院和妇女庇护所被追踪的情况。然后将GDPR的数据访问权变成调查工具，对链条涉及的每家公司提出请求，首当其冲的是Venntel，一家向美国联邦机构出售位置数据的弗吉尼亚州经纪人。Venntel回复了75406条位置记录，并确认这些数据曾被共享用于联邦执法和国家安全等目的。

每份回复提及下一个公司，请求随之叠加：Venntel的母公司Gravy Analytics，接着是中坚Predicio和Complementics，再是Sygic——斯洛伐克导航应用开发商——以及Funny Weather应用的制作者。NRK的技术分析在Venntel记录中发现了一个Complementics用于Sygic数据的标识符，三位挪威隐私专家称该链条明显违反GDPR。

为了展示“匿名化”的价值，NRK团队已经以3.5万挪威克朗（约4000美元）购买了一个商业位置数据集，从中找出31岁的斯塔万格人Karl Bjarne Bernhardsen。当他们拨通电话时，能复述他曾去过的地方——动物园、面试、作为新晋父亲在医院的日子。数据供应商称这些数据已匿名化，而NRK恰好表明了该标签毫无意义。

迫使每个数据经纪人回应GDPR请求，然后购买其产品：回复可绘制出链条，样本则证明其并非匿名

GDPR访问请求运行于卖家自身的法律机制：经纪人必须回应所持有数据以及与谁共享，因此无需传票或告密者即可启动链条。

回复成为书面线索：Venntel的文件指出Gravy Analytics，后者指向Predicio和Complementics，再引出Sygic和Funny Weather——任何隐私政策都未揭示的路径。

以普通客户的身份购买产品是最有力的测试：3.5万挪威克朗，NRK在被称为匿名的数据中找到了真实个人，一个电话便使防御崩溃。

具体伤害让故事落地：向Bernhardsen复述他的行动——动物园、面试、医院——将抽象的监视转变为读者能感受的新闻。

要揭露伤害无形的市场，通过各供应商的信息披露义务质询他们，并亲自购买产品：每次回复都标明下一卖家，样本则证明危害。

NRKbeta上的英文报道（2020年12月3日）获得493个Hacker News积分和169条评论，记者回应读者，归功于Michael Veale的访问请求模板。此事引发了美国更广泛的讨论：有评论者引用参议员Ron Wyden的话称，Venntel在消息来源上“数月来阻碍国会”，而CBP确认了商业数据的有限访问。Sygic代表称关联“不清晰”，若证实则为违规。挪威律师怀疑起诉难以奏效，因为Venntel在欧洲没有办事处——交付成果不是罚款，而是事件证据本身。