編者按：個人數據是數字社會的富礦，它是互聯網經濟的起點，也是當下數據要素市場建設的關鍵。但當個人信息、行爲數據化，數據商品化，我們難免産生疑惑：我們的信息安全嗎？個人該如何保障自己的自主權？近年來，我國數據安全政策法規和制度标準體系不斷健全，《網絡安全法》《數據安全法》《個人信息保護法》相繼實施，《關鍵信息基礎設施安全保護條例》、《網絡安全審查辦法》、《雲計算服務安全評估辦法》等出台。9 月 9 日至 15 日，2024 年國家網絡安全宣傳周将開啓，南财合規科技研究院将推出系列報道，探讨在數據流通、數據交易過程中，如何在挖掘數據價值的同時，保障個人信息安全、維護個人信息權利。
21 世紀經濟報道記者肖潇 北京報道
" 手機号對應的用戶所屬家庭是孕期家庭的可能性，分數越高，可能性越大。"
這是登記在上海數據交易所裏，一則名爲 " 孕期家庭識别評分 " 數據産品的說明，輸入電話号碼、姓名、身份證，可輸出對應 0～150 分值的孕期家庭分數，以及 20 個數據維度的解釋。
點進産品列表，頗令人在意的還有幼兒家庭識别評分、婚戀意願強度模型、工作地理位置識别……産品功能均爲查詢某種身份标簽，背後的開發者是中國移動 " 梧桐風控 "。6 月份，記者查詢時，價格在 0.9 元 / 次～1.35 元 / 次，8 月份查詢時，該類産品價格變爲 " 面議 "。
近些年，用戶對社交平台的數據交易愈加敏感，但對運營商的印象還停留于 " 辦卡辦寬帶 "。運營商大數據變現，這塊隐秘的蛋糕很少被端上桌面。
去年三大運營商共收入近 1.9 萬億元，光中國移動的客戶覆蓋面已經接近 10 億。今年 8 月發布的半年報中，中國移動首次将數據資源作爲資産入表，入表金額達到 7000 萬元。
從采集傳輸到存儲計算，數據流通的每一個環節都需要通信運營商的支撐。修一條路，能跑的隻是交通行業這一個行業車子，而在運營商網絡上跑的，是十多億用戶的整個數字化世界。
百億級賽道
互聯網平台用算法挖掘用戶信息已經不是新鮮事。但真正的數據 " 富商 " ——運營商卻往往隐匿于公衆感知不到的角落 " 悶聲發大财 "。
運營商手裏有哪些用戶數據，如何分析出如此多信息？
不願具名的運營商内部人士告訴記者，這類大數據産品主要依仗的是運營商三要素：電話号碼和真實匹配的姓名、身份證号。在三要素基礎上，再結合運營商手中的其他數據進行數據建模。
拿 " 幼兒家庭識别分 " 爲例，中國移動有親情副卡或者針對小學生的校園電話卡，辦卡登記的信息經過存檔後，稍加交叉比對，便能描摹出一條手機号背後的家庭網絡。" 準确率很高 "，前述内部人士說。
浙江移動大數據中心的傅一平曾公開撰文指出，大多身份信息可以通過大數據挖掘出來，比如依托親情網、依托一群人每天在同一地點連 WiFi 的位置信息，運營商可以分析出比手動錄入更加靠譜的身份數據，他認爲這是運營商的王牌資源之一。
另外一類重要的運營商數據是上網内容。
不同于各大 APP 收集數據的邏輯，運營商收集數據的技術叫 DPI。想象一下，DPI 像是站在網絡路口的交警，不僅能看到每一輛 " 過路車 " 的來源地、目的地，并且能深入檢查車裏攜帶的數據内容。
盡管許多網站現在會使用加密協議（比如 Https 開頭的網站），讓運營商無法輕易窺探用戶在網站裏到底搜過什麽、看過什麽，但用戶的上網流量流向哪些 APP、訪問了哪些網站，這類基本的上網活動都可以被運營商追溯。
公開資料顯示，2017 年，僅浙江地區的移動 DPI 記錄就超過每天 700 億條，一天的位置信令打點數據上百億。如果把數據比作新石油，那運營商可以算得上最大礦主之一。
" 組合拳 " 風險
手握通信網的運營商，握有優質資源。中原證券指出，運營商掌握 C 端、B 端、G 端的優質數據資源，受益于數據要素全産業鏈的價值釋放。在我國數據要素市場高質量發展中，運營商掌握的數據價值逐步獲得充分定價，有望迎來收入和估值雙升。
市場的期待也很直觀。去年 8 月 21 日，數據資産入表的正式規定剛剛落地，三大通信運營商股價集體走強，增幅均在 3% 以上。
但是龐大的數據如何合規開采，是一塊燙手山芋。
" 我們的數據不能出網 "，前述内部人員在采訪中向 21 記者反複提及。雖然有豐富的數據石油，但根據工信部《電信和互聯網用戶個人信息保護規定》的規定，運營商的原始數據，尤其是個人手機号，不能直接對接外部系統。所謂數據交易，交易的并非數據，而是一個個包裝過的數據産品。
多家下遊應用端的大數據公司告訴記者，一類最常見的數據産品就是用戶标簽，主要是爲了滿足合規要求，避免精确定位到個人信息。比如前文提到的孕期可能性高、工作位置離查詢位置爲 1～3 公裏，都屬于标簽型數據。
從法律角度來看，我國《個人信息保護法》（下稱《個保法》）的确不保護用戶标簽或畫像。這是因爲《個保法》的底層邏輯爲：如果數據不能識别到個人，就不屬于個人信息。
比如，一條數據顯示張三的孕期可能性高，但并不足以在人群中找出張三是誰，因此把數據分享給其他人不需要向張三單獨申請同意，相當于爲大數據行業的發展留出了一定空間。
但預測用戶的身份特征，尤其涉及到家庭、孕期，讓人難以卸下擔憂，這樣的标簽産品足夠安全可靠嗎？
觀韬中茂律師事務所合夥人吳丹君告訴 21 記者，盡管《個保法》未對用戶畫像和用戶标簽作出直接規定，但并不意味着可以随意分析，用戶畫像仍然可能涉及非法收集或交易個人信息。
在 2023 年北京互聯網法院審理的一起案件中，求職者提交的求職期待、學曆背景、婚姻狀況等用戶畫像，均認定爲個人信息。法院在判決書中尤其強調了多種數據組合起來的效果：" 雖然單獨來看未達到識别特定自然人的程度，但在本案的應用場景中，上述信息組合賬戶名、賬戶号碼，仍可對應到原告這一特定身份的自然人。"
吳丹君說，用戶畫像的合規關鍵仍然在于能否指向特定個人。如果屬于個人信息，那麽交易前需要說明目的、處理方式、數據種類，并取得用戶的單獨同意才行。
21 記者因此翻閱了三大運營商 APP 的個人信息保護政策，在共享和交易信息方面，基本采取的是一攬子授權。中國移動、中國聯通的條款寫道平台分析和使用用戶畫像，無需得到用戶許可。
TalkingData 總法律顧問兼數據合規官葛夢瑩向 21 記者指出，目前的法律法規的确沒有限定，某類内容是絕對禁止數據分析的。不過《APP 違法違規收集使用個人信息自評估指南》特别指出，如果将個人信息用于用戶畫像，需要明确說明應用場景以及對用戶産生的影響。記者同樣未在運營商 APP 的用戶協議中看到相關說明。
在一位不願具名的數字法學者看來，通過用大數據去預測用戶社會身份，或者給用戶的家庭、孕期等身份特征标簽打分，涉及人格尊嚴和人身安全等核心利益，甚至有可能被劃分爲敏感個人信息。如果屬于敏感個人信息，這套數據交易則更加難以考過 " 合規線 "。
大數據變現 運營商的糾結與混亂
進一步深究，在合規邊緣遊走，運營商的一部分挑戰來自組織管理。
在過去五年中，浙江移動大數據中心負責數據管理的傅一平反複提到一個難題：集中化運營。
一直以來，運營商數據都是分省運營、分省隔斷，背後的邏輯不難理解：對于傳統業務 " 辦卡辦寬帶 "，将數據和銷售隊伍下沉于各省市，能夠小步快跑，靈活擴張。但大數據開發要求集中技術、人力、數據，" 撒胡椒面 " 式的傳統組織結構便不再合适。
傅一平曾經舉了一個現實例子，" 如果金融客戶找中國移動合作（手機号）驗真業務，要一家家談。運營商可是有 90 多個獨立的經營單位，哪家全國客戶都受不了跟 90 多家省公司去談一個驗真業務，這些運營單位也不大可能都有對應的大數據運營組織，并打造與之配套的流程、人員和産品體系。"
正因如此，電信、聯通較早就建立了集團層面的大數據公司，統一對外數據變現。而覆蓋了 10 億客戶的運營商 " 老大 " 中國移動，可謂巨輪掉頭難——公開資料顯示，中國移動直到 2018 年才正式官宣中移信息技術有限公司，專門推進大數據服務，并且 2021 年才推出大數據品牌 " 梧桐大數據 "。
前述移動内部人士就職于某中部省級移動公司，根據他的解釋，" 梧桐大數據 " 擁有全國數據，省公司如果需要跨省數據，需要向集團申請接入梧桐大數據，可以自己開發數據産品，也可以用集團分發的數據産品。
熟悉三大運營商的技術人士告訴 21 記者，直到今天，也隻有聯通大數據由聯通數科統一建設。
中國聯通告訴 21 記者，公司的大數據集中存儲，數據業務統一受理，也就是說任何業務需求都需要通過集團平台統一評估和處理，以此減少各地人員素質參差、合規标準不同的局限。
而據前述技術人士透露，中國移動可以說是在集中式和分布式中搖擺，目前采取是兩級管理制：集團掌握全國數據，授權數據使用，省公司自行制定标準。天眼查數據顯示，中國移動通信集團 100% 投資的子公司達到 36 個。這意味着，起碼 36 個省級移動公司和其他專業子公司，都能參與建設大數據産品。
記者看到的婚戀意願強度模型，分别由中國移動上海有限公司、廣州有限公司在兩地交易所上架。而幼兒家庭識别分、孕期家庭識别分，目前隻有中移上海公司提供。
截至發稿，中國移動未回複 21 記者的問詢。
" 滿足公司的研發指标吧，讓報告好看一點 "。前述移動内部人士看到幼兒家庭識别分産品時，第一反應是發出如此感慨。他無奈地解釋，自己所在省公司的研發部門，每年就有一定的産品開發指标。
在這種模式下，地方公司的一線業務人員也背負着銷售指标，難免出現動作變形。比如前文提到的用 " 序列号 " 方式交易手機号，就是業務人員應對政企大客戶的取巧方法。對于大數據交易而言，無疑意味着更多隐患。
