据估计，有价值120亿美元的公司市场在买卖从你手机上收集的位置数据。这种贸易在美国是完全合法的。
在没有限制位置数据交易的立法的情况下，苹果和谷歌已经成为事实上的监管者，通过改变透明度要求和打击某些数据代理，将你的行踪保密。
具体而言，应用商店打击了向X-Mode（现在称为Outlogic）等应用开发者销售软件开发工具包（SDK）的数据代理。X-Mode因向军事承包商出售数据而受到审查。应用程序开发人员通常会嵌入SDK，以便在应用程序中添加功能，而无需从头开始构建它们，但这些SDK专门用于向代理发送应用程序用户位置数据。
但专家和位置数据行业的工作人员告诉加价，这些举措是不够的；苹果和谷歌的政策中存在大量漏洞，即使不使用这些SDK，也允许收集位置数据。
杜克大学技术政策实验室的网络政策研究员贾斯汀·谢尔曼说：“这是一个挑战，对数据代理来说也是一个挑战，就是你在打鼹鼠，这些公司有许多不同的载体，通过它们获取人们的敏感信息。”。
↩︎ 链接许多应用程序都包含一个软件开发工具包（SDK），它静静地隐藏在应用程序的代码中。一些SDK属于位置数据代理，他们提供免费的、插入式的功能或支付，以换取被包含在应用程序中。
一些SDK直接将数据传输给第三方数据代理，后者可以出售位置数据，或对其进行分析以获取见解。
苹果和谷歌打击了X-Mode等数据代理的这一过程，并可以扫描应用捆绑包中的SDK。
现在，数据代理正在转向一种新方法。如果应用程序开发人员与位置数据代理达成协议，他们可以直接通过"；服务器对服务器"；转移。
这种方法似乎出现在应用商店的视野之外，并且在行业中变得越来越普遍。
↩︎ 链接苹果和谷歌允许在他们的商店中销售哪些类型的位置数据应用？
苹果和谷歌都有针对销售位置数据的公司的政策。但尚不清楚科技巨头是否会执行这些政策，甚至不清楚他们会如何执行。
苹果的政策要求应用程序披露他们从人们那里收集的数据以及如何使用这些数据，并在共享数据之前获得用户的同意。然而，它并不要求应用程序确切地披露它们向谁出售数据，许多应用程序只是声明它们与合作伙伴共享数据。
举个例子，当标记揭示了LIFI360在2021销售位置数据给近十几个位置数据经纪人的事实时，我们主要依靠公司的前雇员告诉我们公司是谁以及在多大程度上销售用户的数据。
该应用的隐私政策中只提到了十几家公司中的两家。根据首席执行官克里斯·赫尔斯（Chris Hulls）的说法，其余部分隐藏在保密条款后面，由于数据的竞争价值，保密条款在业内很常见。
“为了提交新的应用程序和应用程序更新，你需要在产品页面上提供有关应用程序数据收集实践的信息，”苹果在其开发者隐私政策中说。“使用iOS 14.5、iPadOS 14.5和tvOS 14.5及更高版本，您需要请求用户允许跨其他公司拥有的应用程序和网站跟踪他们。”
具体地说，对于位置数据，一旦用户授予了权限，苹果的政策指出，用户必须遵守应用程序的隐私政策和实践，其中可能包括出售其数据。
谷歌的政策更进一步，规定开发者不能出售包括设备位置在内的个人和敏感用户数据。该公司还要求披露信息，告诉开发者他们“在处理用户数据时必须透明”
有些政策很容易审核（尽管不一定强制执行），比如苹果和谷歌对X-Mode的SDK的禁令。但这些公司没有给出任何迹象表明，它们将如何围绕同样被禁止的经纪人正在使用的其他数据收集方法执行这些规则，比如直接从应用程序发布商那里购买数据。
“谷歌Play的政策明确禁止收集敏感和个人用户数据的应用程序销售它，”谷歌发言人斯科特·韦斯托弗在一份声明中说，当时我们问及谷歌如何对位置数据销售采取执法行动。
苹果没有回应标记的置评请求，但在过去，苹果也曾就如何处理数据代理服务器到服务器的传输给出过含糊的声明。
当我们联系了一个早些时候的故事，询问苹果在代理SDK被禁止的情况下从X-Mode直接传输服务器时，苹果发言人亚当·德马回应说，“我们不允许应用程序根据收集的用户数据秘密构建用户配置文件。如果发现应用程序正在使用X-Mode SDK，则需要将其从应用程序商店中删除，否则将面临从应用程序商店中删除的风险。”
尽管谷歌反对出售位置数据，但该公司尚未解释如何检测直接出售数据的开发者。当我们在11月联系谷歌置评时，谷歌没有回答Life360为什么能够出售位置数据。今年1月，当我们继续询问X-Mode的直接服务器传输时，谷歌只是重申了公司的政策。
这两位发言人都没有回答有关这些公司如何希望执行其政策，以及它们如何找出应用程序正在使用用户位置数据的问题，尽管数据代理越来越多地转向从应用程序获取位置数据的不太可追踪的方式。
位置数据行业的工作人员告诉Markup，数据代理越来越多地直接从应用程序开发人员那里收集数据，而不是依赖SDK，后者通常会留下数字足迹。目前尚不清楚苹果和谷歌在获得数据后，如何监控应用程序如何共享和销售数据。
谢尔曼说：“查看SDK是试图保护人们的隐私免受数据代理侵害的一种方式。但你还必须查看其他所有发生这种情况的方式，包括通过商业交易，其中A公司对B公司说，我们将向你出售关于人们GPS位置的数据集。”。
标记发现，家庭安全应用程序Life360有协议将其用户的位置数据直接传输到其数据客户的一些服务器。一名前Life360员工告诉我们，他们提供给Cuebiq的数据每五分钟刷新一次，一名前X-Mode员工告诉我们，他们每天都有一个流程，可以将新数据从Life360拉到他们的服务器。这些前雇员要求匿名，因为他们都在数据行业工作。
在Markup的报告发布后，Life360宣布将终止这些关系，并停止向Allstate的Arity以外的所有经纪人出售精确位置数据，但将继续向Placer AI出售聚合位置数据。
两名前X-Mode员工告诉Markup，该公司长期以来一直使用直接服务器传输从应用程序开发人员那里获取位置数据，而且通过这种方式获取的数据比通过该公司的SDK获取的数据还要多。前X-Mode员工与Markup对话的条件是，我们不使用他们的名字，因为他们仍然参与数据行业。
《华尔街日报》报道称，在谷歌和苹果禁止其SDK后，X-Mode倾向于采用这种数据收集方法。
一位曾向X-Mode出售位置数据的开发人员还告诉Markup，他收到了其他数据代理的许多通过直接服务器到服务器传输共享数据的提议。由于与X-Mode的合同中有保密条款，开发人员在匿名的条件下与标记交谈。
在发给应用程序开发人员并经Markup审查的一封电子邮件中，位置数据代理Veraset是公司SafeGraph的一个子集，它宣称开发人员可以“将数据发送到Veraset服务器到服务器（无需安装或维护SDK）。”该广告还指出，应用程序向该公司发送用户的位置数据，每年可获得1.2万至100万美元的收入。
研究人员表示，苹果和谷歌可以采取一些措施，更好地告知用户他们的数据发生了什么，但真正的数据销售禁令必须来自政府干预。
加州大学伯克利分校国际计算机科学研究所研究员Serge Egelman说：“应用商店唯一能检测到的是，该应用是否包含各种SDK，或者在运行时，它是否会将数据发送到各种第三方服务器。”。“这在很大程度上是任何人使用技术都能检测到的。其余问题归结为政策问题。”
他说，苹果和谷歌可以通过要求应用程序披露其用户数据销售对象来强制执行针对位置数据代理的政策。但这样的政策也会严重依赖荣誉制度。
埃格曼说：“如果他们的回答中确实存在谎言，那么就没有人能真正审核他们。”。“如果与这些公司和第三方存在合同关系，即他们在从应用程序收到数据后直接从服务器上提供数据，那么就没有真正的检测方法。苹果或谷歌能做的不多。”
专家表示，如果没有政府监管，苹果和谷歌目前的做法是，在共享位置数据的每一种新方式上，与数据代理迎头赶上。
例如，虽然应用程序开发者可能会在没有任何审计手段的情况下对苹果和谷歌撒谎，但如果他们违反欧盟的一般数据保护法规等法律，他们将面临更大的风险。
该法律要求公司披露所有可能接收个人数据的第三方，这可能是对直接服务器传输的一种比应用商店审查更有力的检查。
“如果开发者决定直接收集数据，然后将其出售给另一家公司……用户意识到收集这些数据是为了出售给另一家公司，这将有点棘手，”Exodus Privacy的联合创始人埃丝特·昂弗罗伊说。Exodus Privacy是一种通过搜索SDK来审计Android应用程序的追踪工具。“有了GDPR，当你决定收集位置数据时，作为开发者，你必须说，‘我将收集你的位置数据，它将由这个第三方或这个合作伙伴直接发送或收集’，你可以拒绝。”
美国没有联邦数据隐私法，尽管加利福尼亚等州有自己的规定。然而，加利福尼亚州的隐私法要求公司只披露接收数据的第三方的类别，而不是具体的数据代理。
杜克大学的谢尔曼说：“打地鼠最终可能会奏效，但对这个问题采取系统的监管治理方法更有效。”。
这就是推动这种标记的原因，也正是它成为了无与伦比的非营利新闻编辑室，用技术来记录技术。
读者支持是我们的一个重要组成部分。建设一个更美好的未来不仅是可能的，而且多亏了你们，它现在正在发生。
现在捐赠