【安全圈】这家美国科技公司秘密监控全球半数移动用户

欧盟法院废止“欧盟隐私盾协议”三年后，随着拜登政府推动的跨大西洋隐私数据通道新协议的达成，欧盟、美国、中国三方互相牵制的全球隐私数据保护和监管格局将被打破。但隐私活动组织曝出了一个“大瓜”：早在欧美达成新的隐私数据转移协议之前，一家美国科技公司已经秘密监控包括欧洲居民在内的全球半数移动用户。

欧美准备重启跨大西洋隐私数据通道

自从2020年7月欧盟法院(CJEU)以担心美国国家监控违反GDPR为由，废止美欧之间的安全港和隐私盾协议（Schrems II）以来，欧盟公民个人数据转移到美国的法律合规通道基本被切断。这使得美国科技互联网公司在欧洲市场拓展在线业务时步步惊心，甚至有些企业计划撤出欧洲市场。

在欧洲最高法院废除了之前两项支持跨大西洋传输个人数据的协议后，欧盟委员会和美国一直在努力达成新协议。

今年7月10日，欧盟委员会宣布与美国达成一项新的数据传输协议，旨在结束困扰数千家跨大西洋传输个人数据的公司的法律不确定性。该协议框架建立了一个法律机制，允许组织利用该机制将欧盟公民的个人数据合法地转移到美国，这意味着全球隐私数据保护与信任格局将发生巨变，欧盟、美国、中国三足鼎立的隐私与云数据监管博弈格局被打破，全球进入“后GDPR时代”。

新协议立即遭到隐私活动人士马克斯·施雷姆斯（Max Schrems）领导的非营利组织noyb的批评，该组织表示将对该协议提出质疑，并随即对美国公司TeleSign、比利时电信提供商BICS及其共同母公司Proximus提起诉讼，声称这些公司未经授权对全球数十亿电话用户进行分析和“信用评分”。

现实版黑镜浮出水面

想象一下，有一个隐藏得很深的系统，会根据用户拨打或接听的每个电话对其进行跟踪和评分。这听起来可能像是来自美剧《黑镜》的内容，或者某种备受争议的社会信用体系。但讽刺的是，全球一半的手机用户已经被该系统监控，其中许多是欧洲人，后者号称享有地球上最严格的隐私保护。

根据隐私倡导组织NOYB披露的资料，TeleSign提供的“信用评分”可直接影响用户对在线服务的访问：如果分数过低的用户可能会被拒绝访问某些在线平台，或者需要接受额外的检查，而分数较高的用户则不必经过这些检查。与TeleSign合作实施基于信用分的访问限制的企业包括微软、TikTok、Skype、LinkedIn和SalesForce。

BICS和TeleSign是谁？具体做什么？

BICS是比利时电信巨头，连接200多个国家的移动电话提供商网络，可以获得数千万客户的个人信息。BICS了解人们拨打电话的频率、通话时长、使用手机的时间、位置、以及何时有人打电话给他们。然后，该数据会与TeleSign共享，TeleSign会为电话号码分配“信誉评分”，并将这些数据作为欺诈预防工具（所谓“情报API”）出售。TeleSign表示，它每月“验证超过50亿个电话号码”，覆盖“全球移动用户的一半”，并“对剩余的数十亿个电话号码提供重要的分析与洞察”。

问题来了，信任并向移动运营商提供个人信息的手机用户并不知道还有这么一个“监控系统”。

该诉讼指出，该监控系统还存在（违反欧盟隐私法规的）问题，因为TeleSign受美国监控法管辖，这意味着美国政府可以访问这些数据。如果没有有效的欧盟-美国数据传输协议，跨大西洋发送欧洲个人数据在技术上是非法的。隐私盾协议已经于2020年被废除，因为欧盟认为是美国法律过于侵犯隐私，而且美国现有的隐私保护措施与欧盟的GDPR标准不符。由此产生的法律真空使得许多像Meta这样的大型科技公司因继续将欧洲用户数据传输到美国而面临巨额罚款，而TeleSign却能“逍遥法外”。

TeleSign访问哪些隐私数据来计算信誉评分？

TeleSign的信誉评分的具体计算方式并不透明。TeleSign在其网站上声称，信誉评分是根据多种因素进行评估的，但具体方法是专有的。TeleSign表示，它用来为电话号码打分的一些内容包括电话号码数据和分析、来自第三方组织的数据（可用于检查电话号码是否属于已知的欺诈者）、电话使用模式、电话号码使用频率、使用情况，这也可以表明欺诈（例如，如果每隔几分钟使用一次），以及机器学习预测。

由于该方法是专有的，因此外界无法知道TeleSign如何得出高或低的信任评分。用户可以向TeleSign索取他们的数据副本，根据诉讼，一些用户发现他们收到了“中低”风险评级。

据NOYB透露，虽然用户可以从TeleSign获取数据，但移动运营商似乎没有意识到他们的客户数据正在被发送到TeleSign。

简单来说，用户对特定在线服务（例如Tiktok）的访问可能会由于不透明的私人运营的评分系统而被阻止，该评分系统根据任意一组标准为用户分配评级，并在用户不知情的情况下在幕后工作。

BICS和TeleSign的法律依据

欧盟《通用数据保护条例》（GDPR）列出了处理个人数据的六种合法理由，即同意、合同、切身利益、公共义务和合法利益。后者是最灵活的，它允许公司在不直接询问用户的情况下使用数据。例如，OpenAI以“合法利益”为借口，收集和使用公开的个人信息来训练人工智能模型，例如为ChatGPT提供支持的GPT。这种理由是非常值得怀疑的，OpenAI从网络上获取大量个人数据的习惯已经遭到越来越多的诉讼，指控其从侵犯隐私的行为中获利。

BICS和TeleSign都声称拥有“合法利益”，特别是将检测或预防欺诈作为其数据处理的法律依据。

BICS和TeleSign的母公司Proximus去年在接受Le Soir采访时表示，所有传输的数据都是“端到端加密的”，而电话号码“则被屏蔽以防止个人身份识别”。至于如何管理因将数据传输到美国而产生的隐私风险（美国至今仍缺乏联邦隐私法），该公司表示“已采取额外措施，以防止在数据最终落入他人手中泄漏个人身份。”但这些公司如何确保数据不会落入坏人之手尚不清楚。

该诉讼称，BICS和TeleSign的活动远远超出了预防欺诈的范围，主要目的是为了创收。此外，BICS从未向用户告知数据处理情况，这可能违反了GDPR第14条规定的透明度义务。

欧美重启“隐私通道”面临挑战

分析人士认为，虽然7月初欧盟和美国达成了取代“隐私盾”的新协议，但其命运仍不确定，因为新的协议可能面临法律挑战。

TeleSign的“评分系统”根据用户的手机使用情况（隐私数据）来评估其信誉，类似于社会信用体系，既根据用户的行为数据评估可信度，又可以根据这些数据奖励或惩罚个人，这对于全球最注重隐私的欧盟用户来说是不可接受的。

尽管Proximus、BICS和TeleSign都做出了保证，但数据在他们那里并不安全。在美国处理数据存在明显的危险，因为美国的数据保护法相对薄弱，而新的美欧数据转移协议中提出的保障措施也尚未经受住法律挑战。收集的数据也可能被暴露或泄露，导致身份盗用。

此外，也许最重要的是，该评分系统可以根据移动用户的信誉评分拒绝向他们提供服务，这些评分是在用户不知情和同意的情况下计算的，并且他们无法更正、删除或提出质疑。这违反了包括GDPR在内的欧盟隐私保护和监管法规，同时也让欧美之间的隐私保护、域外云数据监管与网络安全问题再次走到了聚光灯下。