自由的胶囊
一个世纪以来，汽车一直是美国的自由机器。它写在这个国家第二幕的立国神话里——开阔的公路、逃逸，以及一箱油就能抵达的边疆。它是青少年去到不被注视的地方，是一个人跑调地唱歌、私下哭泣、在时速七十英里下想通自己人生的空间。汽车意味着你可以离开——而离开时没有人知道你去了哪里，是最古老的自由形式之一。
那个胶囊现在接上了线。售出的新车中大约十分之九是“联网”的——装有一个持续发送数据的蜂窝调制解调器，哪怕车停着，哪怕没有任何订阅在生效。现代汽车运行着上百个数据点，每小时能产生数 GB 数据：位置、速度、制动、加速、安全带状态，以及越来越多的车厢内部本身——麦克风、摄像头、声纹。美国自由的符号已经悄悄变成大多数美国人所拥有的最丰富的单一线人，而在 7 月 4 日这一天，值得问一问它向谁报告。
答案，事实上，是一家数据经纪商。
Smart Driver 陷阱
以下是通用汽车所做的事，按联邦贸易委员会的陈述。通用提供了一项名为 "Smart Driver" 的 OnStar 功能，宣传成一种游戏化地改善你自己驾驶的方式——一个友好的评分，一次朝更安全习惯的轻推。加入流程没有讲清楚的是：注册意味着通用会最密时每三秒记录一次你的精确地理位置，连同详细的“驾驶事件”——急刹、猛加速、时速超过 80、安全带使用，甚至你听了哪些广播电台——并把这条数据流卖给数据经纪商 LexisNexis 与 Verisk。FTC 认定这份同意是制造出来的：加入 Smart Driver 的同意被捆绑在安全与保养提醒的同意里，于是一个只想要碰撞检测服务的车主，可能在完全不理解这笔交易的情况下被卷进这件监控产品。
这就是整起丑闻的机制，值得精确地命名，因为整个行业跑的都是这一招：安全功能是诱饵，经纪商管道是鱼钩，而两者被刻意焊在一起，好让“你想要安全气囊帮你叫救援”被拉伸成“所以你同意被出售”。这件事在 2024 年 3 月被揭开：《纽约时报》记者 Kashmir Hill 发现车主正在被加入 Smart Driver——有时，就像她自己那辆新的雪佛兰 Bolt 一样，本人对同意毫无记忆——而保险公司正在悄悄用由此产生的档案抬高保费。通用在十一天后终止了这一做法。但到那时，数据已经向经纪商流动了多年。
那份记录揭示了什么
要理解为什么这不是“一家公司卖了些数据”，而是更接近一次背叛，你必须看清一份驾驶记录到底是什么。它不是一份行程日志。用最高法院在 Carpenter v. United States 中自己的话说，它是一张 "the privacies of life"（生活的种种私密）的地图——因为一份关于你行踪的全面记录会揭示 "your familial, political, professional, religious, and sexual associations"（你的家庭、政治、职业、宗教与性方面的交往关系）。你在哪里睡觉。你在哪里礼拜。你跨越州界去的那家诊所、工会礼堂、离婚律师、凌晨一点情人的家、你不告诉任何人的互助会。Carpenter 涉及的是 127 天的粗粒度基站数据，而法院称之为窥见一个人一生的私密窗口。一辆联网汽车产生的记录要密集得多——每三秒一次，绑定到一个有名有姓的车主——然后它做了手机从未做过的事：它评判你。
因为经纪商打包的“驾驶行为”不只是你去过哪里；它是一份道德与财务评分。Verisk 的产品名字就叫 "Driving Behavior Data History Report"——一份关于你怎么开车的信用报告——而保险公司用它，按 FTC 的说法，"for unexpected purposes including denying or canceling insurance, increasing insurance premiums"（用于包括拒保、退保、提高保费在内的出人意料的用途）。佐治亚州亨利县的 Temeika Clay 就是这件事的人形面孔：在通用分享了她那辆 Camaro 的 603 条驾驶活动条目之后，她的保费跳涨了 80%，而她和丈夫是在没有主动选择加入的情况下被卷进这个项目的。“你想的是安全，是万一车被偷了，”她对一位本地记者说。“我从没想过它会在监视我们。”
而这套评分是有歧视性的。调查发现，司机最反对的因素是时间段——因为按你什么时候开车来定价，惩罚的是那些对自己排班毫无发言权的夜班工人和低薪工人，其中黑人与拉丁裔占比不成比例，这就让“安全驾驶”成了种族的一个悄悄的代理变量。残障权益倡导者指出同样的陷阱：一套按“典型”驾驶调校的系统，会把一个残障者的生活所必需的、频繁前往远处专科医生的长途出行标记为“有风险”。汽车不只是在看。它在分类。
不是个别的害群之马
把通用当作一匹害群之马会让人舒服些，但记录说的恰恰相反：通用只是第一个被抓到的。当 Mozilla 基金会以一套基本隐私标准审查 25 个汽车品牌时，全部 25 个都不及格——这是任何产品品类第一次全军覆没——并称汽车是“我们审查过的正式意义上隐私最糟糕的产品品类”。84% 表示它们可以分享你的数据；四分之三保留出售它的权利；超过半数表示它们会凭一个非正式请求就把数据交给警方或政府，无需搜查令；而 25 家中恰好有两家让你可以删除它。一些品牌声称有权收集的类别读起来像讽刺作品：日产的政策列出了 "sexual activity"（性活动），起亚的列出了 "sex life"（性生活），而六家公司声称有权采集 "genetic information"（遗传信息），旁边还并列着移民身份、种族和面部表情。
执法记录证实这是系统性的。2025 年 3 月，本田因同类联网汽车数据做法向加州隐私监管机构缴纳了 632,500 美元罚款。得克萨斯州在 2024 年代表 180 万名司机起诉通用，随后把调查扩大到福特、现代、丰田和 Stellantis，并起诉了保险分析公司 Arity，指其运营着“世界上最大的驾驶行为数据库”——涉及约 4,500 万人。仅现代一家就把 170 万辆车的数据交给了 Verisk，并因此获得了 100 多万美元的报酬。这条管道——车企到经纪商再到保险公司——不是通用的一项功能。它是联网汽车的商业模式，而联网汽车是如今唯一在卖的那一种。
手套箱里的传票
你的车所看到的东西还有第二个收件人，而它并不总是需要一位法官。2024 年参议员 Ron Wyden 与 Ed Markey 追问各家车企时，八大品牌——丰田、日产、斯巴鲁、大众、宝马、马自达、梅赛德斯-奔驰和起亚——承认它们会仅凭一份传票就把司机的位置数据交给政府机构，而传票是检察官可以自行签发的，无需搜查令，也无需任何法官过目。只有少数几家表示它们要求搜查令，而只有特斯拉表示它会通知车主。有些公司把数据保留长达十五年。这打破了行业自己写下的承诺：车企在 2014 年签署的一套 "Consumer Privacy Principles"（消费者隐私原则），承诺要求搜查令。
时机让赌注更尖锐。在今年 6月29日 裁决的 Chatrie v. United States 一案中，最高法院认定获取一个人的位置数据构成第四修正案意义上的搜查——这是对 Carpenter 的一次实质延伸。但该裁决约束的是政府可以要求什么；它对一家主动交出你数据的车企，或一家出售它的经纪商，只字未提，而且完全没有提到汽车。那就是那道缝。宪法开始看守前门——搜查令——而汽车正悄悄把一份“你去过的所有地方”的副本从后门送出去，送给一个会卖给任何人的经纪商，其中包括凭一份传票的国家。家事律师如今把车联网数据视为离婚与抚养权诉讼中可调取的证据；因为制造商预装的、"with the owner's consent"（经车主同意）使用的追踪不落入大多数反跟踪法的范围，一个持有车辆产权的施虐前任，可以合法地调出其伴侣去过哪里的记录。
诚实地看对方最强论证
支持联网汽车的理由是真实的，必须按其全部强度来对待，因为这辆车确实能救你的命。自动碰撞通报——在你撞车昏迷时替你叫救援的系统——据联邦安全研究人员估计可将道路死亡率降低 1.5% 至 3.5%；欧洲自 2018 年起对每一辆新车强制要求它。OnStar 每月处理约一千次被盗车辆请求，找回那些否则将人间蒸发的车。而基于使用情况的保险，在司机知情并主动加入时，确实能奖励安全的和低里程的司机——如今约四分之一的美国司机为拿折扣而加入，研究还发现这种反馈甚至让人们的刹车更柔和。一条通向你汽车的实时数据连接本身并不必然是阴险的。在这些用途上，它是一件真实的好事。
把这些全部承认下来，线人这一论点依然成立，理由只有一条，但是决定性的：上述每一项好处都可以与出售相分离。碰撞检测、那通救护车电话、被盗车辆找回、空中下发的安全补丁——它们全都只要求你的车与制造商自己的服务器通话。其中没有任何一项要求构建一份驾驶行为报告并把它卖给 LexisNexis 或 Verisk。行业是有意把两者焊在一起的，好让你需要的那样东西拖着他们能卖的那样东西一起走。而它们可分离的证明，就是 FTC 的命令用强制手段把它们撬开了：通用现在必须为每一项不同的功能取得单独的同意，而且——这是关键的一行——它 "not place limits on withholding or withdrawing consent, such as by degrading the quality or functioning of a product or service as a penalty."（不得对拒绝给予或撤回同意设置限制，例如以降低产品或服务的质量或功能作为惩罚。）说白了：你有权保留安全气囊碰撞呼叫，同时拒绝保险公司管道，而公司被禁止为了惩罚你说“不”而废掉你的安全功能。至于“你同意过”——一个监管者检视了那份同意，认定它是一场欺骗。捆绑在一项必需品里、埋在一份你无法谈判的政策中、附着于一件没有未被监控替代品的产品上的同意，不是一次市场选择。它是一道手续，而 FTC 就是这么说的。
没有不联网的车
而这正是为什么本刊赖以立身的那个反射——去拿一件工具，把你自己的暴露面降到最低——在这里几乎完全失效。你无法以任何有意义的方式退出。设置被埋得很深；承载安全功能的“互联服务”与追踪捆绑在一起；而车企在书面材料中承认，退出会让车变差——Stellantis 会停用它的安全服务，特斯拉则警告可能出现“功能降低、严重损坏或无法运行”。唯一真正的断电开关是物理拆掉蜂窝调制解调器，而这会让你的保修失效，并停掉那项本可能救你命的碰撞检测。汽车没有 VPN，对一辆制造商握着钥匙的车你也栓不上什么加密，而且——最难的部分——展厅里已经没有不联网的新车可以改买了。市场的九成在发送数据，另外一成是二手车，正在老化退场。
所以，正如车牌拉网监控那件事一样，对策不可能是个人层面的。它必须是法律层面的。而在这个 7 月 4 日，消息是：法律层面的反制正在落地。
法律抓住了这辆车
那些科技隐私界通常眼看着输的监管者，终于赢下了一场。1 月，FTC 敲定了针对通用汽车与 OnStar 的一份二十年期命令：五年内禁止向消费者信用报告机构出售地理位置与驾驶行为数据，二十年内必须取得肯定的、明示的、逐项功能的同意，并且必须让司机能够查看和删除自己的数据。5 月，加州总检察长与通用达成 1,275 万美元的和解——这是该州历史上最大的一笔隐私处罚，也是该州第一次以数据最小化为原则构建的处罚：即一家公司不得收集并保留超出它实际所需的数据。得克萨斯州的诉讼仍在进行。两家经纪商之一的 Verisk，已彻底关停了它由车企供数的驾驶行为产品。
对局限要诚实，因为它们是真实的，而且要紧。FTC 的命令没有附带罚款——它的力量在于那套同意制度，而不是一笔处罚，而通用从整个方案中的总收入也只有约 2,000 万美元，对一家这种体量的公司来说是个零头。它够到了一家车企，而且是在一名记者揭发之后，并且让另外二十几个品牌的评分模型和传票管道原封不动地留在那里。这是一处凹痕，不是一次拆除。
但请看它是怎么发生的，因为这正是本系列在公民层面反复发现的那个令人抱有希望的模式。通用这份命令是在一届 FTC 之下启动的，却在下一届之下敲定——由两位共和党委员以 2 比 0 的表决通过。对普通美国人在自己车里被监控这件事，竟成了一个分裂的政府仍然能够一致认为太过分的罕见事项。对车道上那个线人的问责挺过了一次政府更替，而这在大多数隐私之争里是说不出口的。法律是慢的，是不完整的，而且只抓住了一辆车。但它抓住了——而且第一次画出了那条要紧的线：你的车可以为了救你的命而与它的制造商通话，但它不可以把你人生的故事卖给任何一个开口要的人。
自由地开
开阔的公路一直都带点谎言——你从来没有广告让你感觉到的那么自由——但其中为真的那一部分、值得保留的那一部分，是你可以去到某个地方，然后有那么一个小时，不对任何人负责。那正是联网汽车悄悄废除掉的那项具体自由：不是移动的自由，而是不被观察地移动的自由，是离开而不留下记录的自由，是开车去一个你宁愿没人知道你去过的地方的自由。汽车变成了那个会记住、会评判、会告发的东西。
你没法用一件小玩意儿修好这件事，而你也该不再被告知你可以。没有哪个隐私设置能拆掉一个商业模式。到目前为止把它修好的，是一个握有传票权力的监管者，和一位愿意把“收集超过所需”称为违法的州总检察长——那套枯燥而必要的法律机器，做着任何个人技术都做不到的那一件事。拥有一辆能救你命而不告你密的汽车的权利，不是一项你去配置的功能。它是一条必须由某个人写下并执行的规则，而今年，有史以来第一次，有人做了。
在 7 月 4 日，在一个把汽车当作自由图腾的国家里，这就是那场值得命名的战斗，和那场值得标记的小胜利。线人就在车道上。但法律，这一次，和它一起在车库里——而且刚刚拿走了你数据的钥匙。
URnetwork 构建保护隐私、抗审查的互联网传输，其原则是：一个系统从不收集的数据，就是永远无法被出售、被传票调取或被泄露的数据。它对自己的能力边界很诚实：它无法重新设计一辆由制造商握着调制解调器和钥匙的汽车，而任何用户侧的工具都做不到这一点。那正是本期的教训——有些监控住在我们所拥有的产品内部，那里唯一的对策，是禁止这种收集的法律，以及让它真正生效的执法。数据最小化不是可有可无的加分项；它就是全部的赌局，而通用这份命令，正是一个监管者终于这样对待它时的样子。
https://ur.io