閱讀時間 8 分鐘
售屋公司的勢利眼
先說個故事。約 10 年前，我的一位朋友開豐田的 Yaris 去看房子，結果門口的保全用勢利的口氣說：「我們這邊一坪 40 萬喔。你確定要進來看？」這位朋友其實是頗有實力的老闆，只是不愛在車上花錢。
這是一個資訊落差的故事。如果售屋公司當時有一套系統，能夠透過車牌辨識顯示「車號 XX-XXX 擁有者是一位低調的富豪」，那或許就能多賣一間房子了。
有價值落差，就有市場。由此可以推論，會出現一個「資訊市場」，專門交易各企業手中的資料，並整合在一起，再賣給各企業。比如說售屋公司交出顧客的售屋資料，換取車牌辨識資料；其他企業就能知道誰有實力買房子。事實上這就是整個廣告科技（ad tech）領域的起點。
從好處想，市場能帶來效率。透過資料的交換，售屋公司能獲得新客戶，而我的朋友也不用忍受白眼。然而大家內心深處也會有些恐懼吧？不知道資料交換來交換去，最後會落到誰的手上？而且只要有一個企業外洩我的資料，其他所有的「好」企業的保護措施也都沒有意義了。
這是隱私權議題的最大矛盾：資料流通的利益很清楚，壞處卻很難計算。複製資料容易，收回資料困難。結果是企業追逐資料奮不顧身，但對應的風險卻不清楚。企業與政府都在摸索如何在網路上維護隱私權。
臉書非常清楚地體現了此一矛盾。
臉書遭罰 50 億美金
美國政府重罰臉書流出用戶資料。根據自由時報報導：
美國聯邦貿易委員會（FTC）調查社群網站龍頭「臉書」隱私外洩事件一年多後，12 日表決通過對其處以約 50 億美元（約 1,552 億台幣）罰款，創下 FTC 對科技公司祭出的最高額罰款紀錄。
. . . 「臉書」去年 3 月爆發 8,700 萬名用戶個資遭現已倒閉的英國政治顧問暨數據分析公司「劍橋分析」非法取用的醜聞。FTC 隨後調查臉書是否違反 2011 年簽署的協議，即在與第三方分享用戶數據時，須事先清楚知會 FTC，近日終以三比二票數通過與臉書的和解協議，要求其支付 50 億美元罰款，遠高於 7 年前向 Google 開罰的 2,200 萬美元。
我分析過劍橋分析（Cambridge Analytica）一案。要注意的是，當初臉書的資料並不是外洩（leak），而是透過 API 傳遞給劍橋分析。後者是合法地取得用戶資料。只是後來臉書改變政策，並要求所有取得資料的第三方企業銷毀資料。但劍橋分析沒有銷毀，還用資料來操弄選情。
這同樣是資料流通從好事變壞事。一開始臉書開放 API，讓劍橋分析（所偽裝的公司）可以開發一些臉書小遊戲，例如「算算你是金庸小說中哪一個人物？」這就是資料交換：臉書提供用戶帳號、email，劍橋分析提供用戶的內容偏好。可是資料很難收回，終究被用來做壞事。
FTC 認為錯在臉書資料管理不良。這次罰金會這麼高，是因為臉書後來又爆發一連串資料外洩的事件。再加上臉書是累犯，在 2011 年已經跟 FTC 簽過一次協議，承諾要小心管理用戶資料；後來的「犯行」卻更嚴重，使得 FTC 認為不加重罰金不足以改變臉書行為。
有趣的是，罰金新聞一出，臉書股價反而上漲。輿論則一片罵聲，認為金額太低，無濟於事。
50 億美金會痛
例如，許多人指出 50 億罰金差不多是臉書一個月的營收。還有人指出此次罰款讓臉書股價上漲，反而使得佐伯格的身價也上漲！對臉書根本不痛不癢嘛。
但這是錯的。股價上漲是因為不確定性消失。臉書已經多次警告將面臨 30 億 ~ 50 億罰金，也準備了 30 億美金的預備款。因此過去的股價已經反映了罰款的風險。現在罰款數字符合預期，不確定性消失，自然股價上漲。
不管再大的企業，要掏 50 億美金還是會痛。因為這是現金，折損的是公司淨利而不是營收。去年臉書淨利約 220 億美金，罰款約為 23% 年淨利，肯定會讓臉書的股東不高興。若臉書又再犯，FTC 必然會提高罰金。再多來幾次就會真的吃臉書的老本了。
再說，50 億美金也會讓臉書調整管理方式，更重視資安風險。假如一個團隊提出一個新專案，可能幫臉書賺 5 千萬美金，但風險是罰款 50 億美金，顯然現在就不會通過了。
在此事件之後，臉書的形象由紅翻黑。人們普遍更不信任科技平台。美國政府也更加關注隱私權。歐盟的趨勢也類似。
歐盟同步收緊
約略同時，歐盟國家也開始重罰外洩資料的企業。英國的「資訊長辦公室」（Information Commissioner Office, ICO）宣布將對 Marriott 旅館集團與英國航空分別罰款 1.2 億與 2.5 億美金，理由是違背「一般資料保護規範」（GDPR） 。Marriott 去年洩露了 3.39 億筆的用戶資料，而英國航空則是因為資安防備不足，導致駭客取得 50 萬個用戶的個資。
上述只是罰款的一小部分。ICO 只有權針對英國用戶的損失懲罰，其他歐盟會員國會另外開罰單，總金額可能會是數倍之高（特別是 Marriott）。
如果你是企業的 CEO、技術長，或是工程師，那現在可以歸納出第一個結論：保護用戶資料市場正在快速成長。上述案例正在快速劃定出用戶資料的成本。罰款越高，企業會投入更多資源保護資料。
雖然「資料成本提高」的方向很清楚，但程度卻不清楚。沒人知道該如何計算一筆資料的價值。這次 FTC 開罰其實是引用通用的消費者保護法，因為美國沒有隱私權法。所以 FTC 也只能統包的出一個總罰金，並且逼迫臉書和解（settlement）。FTC 很難詳細說明到底哪一次洩密值多少錢。
最根本的問題是隱私權概念模糊，因此很難量化。
隱私是一個近代的概念
隱私是一個近代的建構。人類能不引人注目地自由移動，是工業革命與都市化之後的現象，僅數百年之久。大部分時間人類是活在雞犬相聞的洞穴、村莊或小鎮中。人們互相認識，沒什麼隱私。
直到城市出現，人才能隱密地移動。於是我們習以為常，定義了「隱私權」，規範政府不可以侵入私人空間。網路的前 30 年更強化此一概念：人們在網路上自由穿越國界，完全逃出鄰里與政府的視野。
但現在科技又壓縮了私人的空間。人們在網路上自願交出行為軌跡。而企業受到利潤驅使，自然會透過收集、交易、整合，將你在各處分散的資料組合成一張個人圖譜（profile）。車牌資料自然會與信用卡資料聯結，就像水一定往下流一樣。
過往的隱私權概念很難套用在資料上，因為資料不是人。既有的隱私權概念確保任何人沒有法院命令，不能進入你家。但資料不是你，資料是一種外部的東西；要如何規範記錄你家的資料 — 包括地址、電話、電費、水費、甚至上網資料 — 不可以流出？
回到一開始的舉例。我現在開車會用「車麻吉」這個 app。它整合車牌與信用卡，讓我進出特約停車場時可以直接扣款，不必另外去自動繳費機。這很方便。相信未來車麻吉也會連結加油站或麥當勞「得來速」，讓我加油、買外帶時都不必掏出現金。但我願意讓它串接售屋公司的資料庫嗎？企業何時能放心地交換資料？
同意只是開始
歐盟 GDPR 的原則是用戶必須同意（consent）交出資料。只要用戶明確地同意，企業就免責；反之算是資料外洩。美國尚沒有明確的規範。
但「同意」只是第一步，問題還很多。例如大部分人都不知道自己線上按的「同意」代表什麼。用戶也不可能親自做所有的判斷 — 難道我要決定「信義房屋可以，永慶房屋不行」？這最終只會導致大者恆大 — Google 可以輕易取得顧客同意，但中小企業不行。
隱私越來越受到關注，但範圍跟價值卻都還不清楚。人們內心直覺知道隱私很重要，但不知該如何化成制度，特別是如何從隱私的觀念延伸出管理資料的流通。過往的隱私權是圍繞著保護人的實體空間，很難套用管理在外部的資料的流通。
雖然成本高度不確定，但資料的價值卻非常明確。擁有資料的企業有很大的優勢 — 例如有車牌辨識資料的售屋公司。因此企業仍會持續追逐資料，甚至鋌而走險，直到新的隱私權準則成熟為止。
