這家美國科技公司秘密監控全球半數移動用戶
歐盟法院廢止“歐盟隱私盾協議”三年后，隨著拜登政府推動的跨大西洋隱私數據通道新協議的達成，歐盟、美國、中國三方互相牽制的全球隱私數據保護和監管格局將被打破。但隱私活動組織曝出了一個“大瓜”：早在歐美達成新的隱私數據轉移協議之前，一家美國科技公司已經秘密監控包括歐洲居民在內的全球半數移動用戶。
歐美準備重啟跨大西洋隱私數據通道
自從2020年7月歐盟法院(CJEU)以擔心美國國家監控違反GDPR為由，廢止美歐之間的安全港和隱私盾協議（Schrems II）以來，歐盟公民個人數據轉移到美國的法律合規通道基本被切斷。這使得美國科技互聯網公司在歐洲市場拓展在線業務時步步驚心，甚至有些企業計劃撤出歐洲市場。
在歐洲最高法院廢除了之前兩項支持跨大西洋傳輸個人數據的協議后，歐盟委員會和美國一直在努力達成新協議。
今年7月10日，歐盟委員會宣布與美國達成一項新的數據傳輸協議，旨在結束困擾數千家跨大西洋傳輸個人數據的公司的法律不確定性。該協議框架建立了一個法律機制，允許組織利用該機制將歐盟公民的個人數據合法地轉移到美國，這意味著全球隱私數據保護與信任格局將發生巨變，歐盟、美國、中國三足鼎立的隱私與云數據監管博弈格局被打破，全球進入“后GDPR時代”。
新協議立即遭到隱私活動人士馬克斯·施雷姆斯（Max Schrems）領導的非營利組織noyb的批評，該組織表示將對該協議提出質疑，并隨即對美國公司TeleSign、比利時電信提供商BICS及其共同母公司Proximus提起訴訟，聲稱這些公司未經授權對全球數十億電話用戶進行分析和“信用評分”。
現實版黑鏡浮出水面
想象一下，有一個隱藏得很深的系統，會根據用戶撥打或接聽的每個電話對其進行跟蹤和評分。這聽起來可能像是來自美劇《黑鏡》的內容，或者某種備受爭議的社會信用體系。但諷刺的是，全球一半的手機用戶已經被該系統監控，其中許多是歐洲人，后者號稱享有地球上最嚴格的隱私保護。
根據隱私倡導組織NOYB披露的資料，TeleSign提供的“信用評分”可直接影響用戶對在線服務的訪問：如果分數過低的用戶可能會被拒絕訪問某些在線平臺，或者需要接受額外的檢查，而分數較高的用戶則不必經過這些檢查。與TeleSign合作實施基于信用分的訪問限制的企業包括微軟、TikTok、Skype、LinkedIn和SalesForce。
BICS和TeleSign是誰？具體做什么？
BICS是比利時電信巨頭，連接200多個國家的移動電話提供商網絡，可以獲得數千萬客戶的個人信息。BICS了解人們撥打電話的頻率、通話時長、使用手機的時間、位置、以及何時有人打電話給他們。然后，該數據會與TeleSign共享，TeleSign會為電話號碼分配“信譽評分”，并將這些數據作為欺詐預防工具（所謂“情報API”）出售。TeleSign表示，它每月“驗證超過50億個電話號碼”，覆蓋“全球移動用戶的一半”，并“對剩余的數十億個電話號碼提供重要的分析與洞察”。
問題來了，信任并向移動運營商提供個人信息的手機用戶并不知道還有這么一個“監控系統”。
該訴訟指出，該監控系統還存在（違反歐盟隱私法規的）問題，因為TeleSign受美國監控法管轄，這意味著美國政府可以訪問這些數據。如果沒有有效的歐盟-美國數據傳輸協議，跨大西洋發送歐洲個人數據在技術上是非法的。隱私盾協議已經于2020年被廢除，因為歐盟認為是美國法律過于侵犯隱私，而且美國現有的隱私保護措施與歐盟的GDPR標準不符。由此產生的法律真空使得許多像Meta這樣的大型科技公司因繼續將歐洲用戶數據傳輸到美國而面臨巨額罰款，而TeleSign卻能“逍遙法外”。
TeleSign訪問哪些隱私數據來計算信譽評分？
TeleSign的信譽評分的具體計算方式并不透明。TeleSign在其網站上聲稱，信譽評分是根據多種因素進行評估的，但具體方法是專有的。TeleSign表示，它用來為電話號碼打分的一些內容包括電話號碼數據和分析、來自第三方組織的數據（可用于檢查電話號碼是否屬于已知的欺詐者）、電話使用模式、電話號碼使用頻率、使用情況，這也可以表明欺詐（例如，如果每隔幾分鐘使用一次），以及機器學習預測。
由于該方法是專有的，因此外界無法知道TeleSign如何得出高或低的信任評分。用戶可以向TeleSign索取他們的數據副本，根據訴訟，一些用戶發現他們收到了“中低”風險評級。
據NOYB透露，雖然用戶可以從TeleSign獲取數據，但移動運營商似乎沒有意識到他們的客戶數據正在被發送到TeleSign。
簡單來說，用戶對特定在線服務（例如Tiktok）的訪問可能會由于不透明的私人運營的評分系統而被阻止，該評分系統根據任意一組標準為用戶分配評級，并在用戶不知情的情況下在幕后工作。
BICS和TeleSign的法律依據
歐盟《通用數據保護條例》（GDPR）列出了處理個人數據的六種合法理由，即同意、合同、切身利益、公共義務和合法利益。后者是最靈活的，它允許公司在不直接詢問用戶的情況下使用數據。例如，OpenAI以“合法利益”為借口，收集和使用公開的個人信息來訓練人工智能模型，例如為ChatGPT提供支持的GPT。這種理由是非常值得懷疑的，OpenAI從網絡上獲取大量個人數據的習慣已經遭到越來越多的訴訟，指控其從侵犯隱私的行為中獲利。
BICS和TeleSign都聲稱擁有“合法利益”，特別是將檢測或預防欺詐作為其數據處理的法律依據。
BICS和TeleSign的母公司Proximus去年在接受Le Soir采訪時表示，所有傳輸的數據都是“端到端加密的”，而電話號碼“則被屏蔽以防止個人身份識別”。至于如何管理因將數據傳輸到美國而產生的隱私風險（美國至今仍缺乏聯邦隱私法），該公司表示“已采取額外措施，以防止在數據最終落入他人手中泄漏個人身份。”但這些公司如何確保數據不會落入壞人之手尚不清楚。
該訴訟稱，BICS和TeleSign的活動遠遠超出了預防欺詐的范圍，主要目的是為了創收。此外，BICS從未向用戶告知數據處理情況，這可能違反了GDPR第14條規定的透明度義務。
歐美重啟“隱私通道”面臨挑戰
分析人士認為，雖然7月初歐盟和美國達成了取代“隱私盾”的新協議，但其命運仍不確定，因為新的協議可能面臨法律挑戰。
TeleSign的“評分系統”根據用戶的手機使用情況（隱私數據）來評估其信譽，類似于社會信用體系，既根據用戶的行為數據評估可信度，又可以根據這些數據獎勵或懲罰個人，這對于全球最注重隱私的歐盟用戶來說是不可接受的。
盡管Proximus、BICS和TeleSign都做出了保證，但數據在他們那里并不安全。在美國處理數據存在明顯的危險，因為美國的數據保護法相對薄弱，而新的美歐數據轉移協議中提出的保障措施也尚未經受住法律挑戰。收集的數據也可能被暴露或泄露，導致身份盜用。
此外，也許最重要的是，該評分系統可以根據移動用戶的信譽評分拒絕向他們提供服務，這些評分是在用戶不知情和同意的情況下計算的，并且他們無法更正、刪除或提出質疑。這違反了包括GDPR在內的歐盟隱私保護和監管法規，同時也讓歐美之間的隱私保護、域外云數據監管與網絡安全問題再次走到了聚光燈下。
