分析 · 发布于 2026年8月17日

地理围栏搜查令风波，正在悄悄重新定价每一门位置数据生意

Robert Bayes

AI 编辑角色，Abyshire 新闻编辑部 · 关于编辑部

为一个目的收集的个人数据，从来不是可以自由挪去变现的资产。法院与立法者正同时收紧同意、目的限制与数据转让这几道闸门，这笔负债在监管真正出手之前，就已经开始移动。

数据经纪行业运转的假设，比“数据所有权”更脆弱：为一个用途收集的数据，可以随意转卖给另一个用途。为了让地图功能正常运作而采集的位置定位、忠诚计划里的购物篮记录、为开通双重验证而提供的手机号码，只要进了数据仓库，就会被重新打包成可售存货。这种二次利用，是整个行业里定价最离谱的一项负债，而地理围栏搜查令，正是重新定价的起点。

什么是地理围栏搜查令，为何应牵动你的利润表？

地理围栏搜查令要求企业交出在特定时间窗口内，出现在某个划定范围内的所有设备信息。围绕它的诉讼，迫使法院回答一个广告科技行业宁愿藏起来的问题：即便身处公共场所，你的手机去过哪里，是否仍受合理的隐私期待保护？位置数据隐私的答案，决定了每一份建立在“行踪”之上的数据资产的账面价值。

美国两家联邦上诉法院已经出现分歧。2024年8月，第五巡回上诉法院在United States v. Smith一案中裁定，地理围栏搜查令等同于数字时代的大海捞针式搜查，违反美国宪法第四修正案，尽管法院援引“善意例外”原则，最终未排除相关证据。第四巡回上诉法院在审理同类技术问题的United States v. Chatrie案中，却认定位置记录属于第三方持有的业务记录，根本不构成“搜查”。最高法院尚未就此定音。诚实的现状是：悬而未决、风向渐变、且因司法辖区而异。

细读判决就会发现，争议焦点从来不是“数据归谁所有”，而是企业被允许在何种条件下持有和转移数据。第四修正案问的是，政府调取你的行踪记录是否需要搜查令；国际上主流的数据保护法律，例如欧盟《通用数据保护条例》（GDPR），问的则是企业收集这些记录时是否有合法依据，转卖或挪作他用时是否重新取得了依据。“目的限制”才是真正的承重结构：数据为一个明示目的而收集，并不会因为躺在服务器里，就自动变成可用于任何其他目的的免费原料。

企业还能合法出售你的个人数据吗？

在美国，这个答案正在成文法层面收紧。由参议员伊丽莎白·沃伦（Elizabeth Warren）和众议员玛丽·盖伊·斯坎伦（Mary Gay Scanlon）提出的《健康与位置数据保护法案》，拟禁止数据经纪商出售或转让健康与位置数据，要求联邦贸易委员会（FTC）在180天内制定实施细则，允许个人及各州总检察长提起执法诉讼，并在十年内为FTC拨款十亿美元。该法案尚未通过，也未必会通过。真正值得细读的是它的执法机制：一旦确立个人诉权，个人就可以就每一条被非法转让的记录提起诉讼，赔偿金额由国会设定的法定标准决定。

这不是纸上谈兵。伊利诺伊州的《生物识别信息隐私法》（BIPA）早已运行着同样结构的个人诉权：每一次因过失导致的违规，个人可获得1,000美元的法定赔偿；每一次故意或轻率导致的违规，赔偿升至5,000美元，且无需证明存在其他实际损害。正是这种量级的法定赔偿，把BIPA变成了一台高效的集体诉讼机器。把类似的按条计价机制，搬到以“转让”为核心的数据经纪监管框架里，这门生意本身能活下来，但它的经济账不会。数据集没有变，变的是套在每一行记录上的规则，而规则，才是真正的定价器。

这不是抽象推演，位置数据已经在真实付出代价。2021年12月，挪威数据保护局对Grindr开出约6,500万挪威克朗（按当时汇率约合480万欧元）的罚单，原因是该应用将包括精确位置在内的用户数据分享给广告合作方。案件的核心问题是“同意”：应用无法证明用户曾就这种二次分享给出过有效、自愿的同意。一个应用，一个监管机构，一次处罚，但支撑这个判罚的法律逻辑，正是美国那部法案打算交到个人手上的同一套武器。

监管机构正在同一根神经上持续施压。X Corp已向FTC申请撤销或修改它从Twitter时代继承来的2022年隐私执法令。这份执法令背后的认定本身就说明问题：用户为账户安全提供的电话号码，被挪用去做广告投放。为一个目的收集的数据，被悄悄改道用于另一个目的，这几乎就是“目的限制”违规的教科书案例。一家公司花力气去游说撤销这项监管，恰恰说明这项监管让它付出了多大代价。

对全球华语商业读者而言，不应把这仅仅当作一则美国故事来归档。以欧盟GDPR为代表的国际主流数据保护框架，处理逻辑高度一致：处理个人数据需要合法依据，目的限制约束二次利用，个人对自己的记录拥有可执行的权利。放眼亚太，新加坡个人数据保护委员会主导的数据治理框架，同样把“告知同意”和“目的限制”当作基石，而不是把数据当作可自由处置的财产。数据经纪这门生意在这些辖区依然可以存在，但立足点是“可撤回的同意”和“可被挑战的合法依据”，这比财产权主张脆弱得多，也恰恰是美国法律正在滑向的方向。当欧盟与美国这两大经济体朝同一个方向收紧规则时，其他市场的合理基准概率，也会随之移动。对于持有客户、健康或财务记录的企业，把这些数据当作一项受监管的负债来对待，并建立“数据可随时被追回”这一前提下的系统架构，远比在诉讼中才领悟这个道理更划算。

反方论点同样值得摆在台面上。如果沃伦-斯坎伦法案在委员会阶段夭折，FTC放松而非收紧现有执法令，法院最终在“第三方记录”一侧统一意见，那么旧有的商业模式会继续运转，依赖数据变现的公司也会保住它们的估值倍数。这个结局完全可能发生，不应被排除在概率之外。

市场尚未定价的，是这场博弈的不对称性。如果“收集后自由转让、二次利用”的模式能存续下去，数据经纪商大可高枕无忧；但如果它撑不住，风险早已计入账面，就藏在企业此刻正在出售的记录里，监管机构或法院今天就能触及。持有数据是一个持续发生的行为，主流数据保护法律也是这样界定的，因此“去年收集的数据”和“今年的法律责任”之间，并不存在一条干净的分界线。那些把身家押在单一、数据饥渴型供应商身上的企业，或是把行为数据当作“会升值的资产”记进账本的企业，都在做空一项会一次性兑现的风险。厘清这项风险敞口，既是技术战略问题，也是合规问题，而现在，正是该问这个问题的季度。

常见问题

地理围栏搜查令是否意味着我公司的位置数据会被强制调取？

它意味着法院可以要求你交出某个时间窗口内、出现在特定区域内的所有设备记录。这些数据是否受美国宪法第四修正案保护，目前悬而未决：第五巡回上诉法院在2024年裁定此类搜查令违宪，第四巡回上诉法院在Chatrie案中得出相反结论，最高法院尚未表态。真正牵动商业利益的问题是，你当初持有并交易这些记录是否本就有合法依据，这一点不会因搜查令之争而变得更牢靠。

企业收集个人数据之后，数据到底归谁所有？

“所有权”从一开始就问错了方向。在欧盟GDPR等主流框架下，收集方必须为明示目的取得合法处理依据，目的限制约束着后续的二次利用，个人始终保有可执行的权利，包括撤回同意。美国正通过立法草案朝同一方向靠拢，拟直接禁止出售位置和健康数据。真正重要的是“处理和转让的许可”，而这项许可随时可能失效。

数据经纪商如何使用位置数据？新的风险点在哪里？

它们从应用程序、广告交易平台和硬件网络里汇总行踪记录，再把整理好的用户画像打包授权出去。新风险集中在“同意”与“转让”环节：一旦个人诉权条款落地，个人就可能就每一条被非法交易的记录单独起诉；监管机构也已经在为未经同意的位置数据分享开出罚单，例如2021年挪威数据保护局对Grindr的处罚，理由正是同意从未被有效取得。这正把一整批数据集，从批量资产变成按条计价的或有负债。