西班牙 YouTuber Carles Tamayo 再次引發關注，維持他一貫輕鬆、風趣又犀利的風格。在 Se nos ha ido de las manos（「一發不可收拾」）的最後一集裡，這部於 2026 年 4 月在西班牙公共電視首播的紀錄片系列探討了企業如何買賣個人資料。

這一集名為 El activo eres tú（「資產就是你」），拋出一個令人不安的問題：誰握有我們的資料，這些資料又被如何處理？為了換取免費的承諾，我們又願意付出多少？在接到多家公司打來的垃圾電話、發現對方對自己瞭若指掌後，Tamayo 把自己的製作公司變成資料仲介，從內部觀察個人資料是如何被蒐集與交易。

以下說明資料仲介業的運作方式，以及 GDPR（一般資料保護規則）賦予你哪些權利。

什麼是資料仲介，以及他們如何賺錢

資料仲介是蒐集、分析並販售個人與組織資訊的公司。這些資訊之所以對買家有價值，在於它們能被組合與分析。習慣、興趣、位置資料及其他訊號可以拼湊起來，而且越來越常藉由 AI 的協助，整合成可用的內容。資料仲介販售的正是打造幾乎任何人個人檔案所需的原始素材。

舉例來說，在 Tamayo 的報導中，有一家資料仲介向他提供剛生下寶寶的人的資訊。這些新手父母在醫院交出個人詳細資料，以換取參加新生兒產品抽獎的機會。

資料仲介通常會蒐集電子郵件地址、IP 位址(新視窗)、大約位置、線上購物紀錄、網路搜尋紀錄、在應用程式內選取的興趣，以及個人使用的裝置。

曾經接過電信公司（或任何公司）的電話，納悶他們怎麼拿到你的號碼嗎？答案比你想的簡單。Cookie、行動應用程式和線上表單都能蒐集你的資訊並轉交給資料仲介。離線來源也一樣，例如會員卡、抽獎活動和公開紀錄。

什麼是 Cookie，以及它們的用途

你造訪的每個網站上都看得到：一個小小的彈出視窗，請你接受或拒絕 Cookie。你大概只是匆匆掃過、按下接受(新視窗)就繼續瀏覽，從沒想過Cookie 究竟是什麼(新視窗)，或自己剛剛同意讓企業對你的資料做什麼。

Cookie 是網站存放在你瀏覽器裡的小型檔案，用來記住你這次造訪的相關資訊。資料仲介在意的是廣告 Cookie，這類 Cookie 旨在建立行為側寫並放送個人化廣告。

但如今追蹤你的方法早已遠超出 Cookie。瀏覽器指紋辨識會根據你裝置的特徵建立獨一無二的簽名，而跨網站追蹤則會在你往來各網站時記錄你的活動。在行動裝置上，廣告 ID 的作用類似，會把你的行為與一組持續存在的識別碼綁在一起。

拒絕 Cookie 能提升你的隱私，但無法完全保證。一旦你開始追問資料流向何處、由誰持有、又被如何使用，就免不了要面對一個問題：買賣你的資料究竟合不合法？

GDPR 如何保護你

GDPR 是歐盟的規範，管轄組織與企業如何蒐集、使用、共享及儲存歐盟境內任何人的個人資料。它也適用於總部位於歐盟以外、但以歐盟民眾為對象的企業。在西班牙，法規遵循由西班牙資料保護局（AEPD）監督，該局也受理企業侵害這些權利時的申訴。

GDPR 確立了數項基本權利：

存取權：了解企業持有哪些關於你的個人資料、用途為何、曾與誰共享，以及資料從何而來。你也可以要求提供副本。

更正權：要求更正錯誤或過時的資訊。

刪除權：又稱「被遺忘權」，讓你能在企業不再需要你的資料、你撤回同意或反對其使用，或是資料遭非法處理時，要求刪除資料。

反對權：拒絕特定類型的處理，例如將你的資料用於廣告。對於直接行銷，這項權利是絕對的：一旦你提出反對，企業就必須停止。

資料可攜權：以結構化、常用且機器可讀的格式，取回你提供給企業的個人資料，以便轉移到其他服務供應商。當企業依據你的同意或契約、以自動化方式處理你的資料時，即適用此權利。

GDPR 賦予民眾可強制執行的權利，並以罰款作為後盾，但許多人並不知道行使這些權利完全免費。唯有在請求明顯毫無根據或過度時，企業才能收取費用或拒絕。

正如 Tamayo 的報導所示，法律提供的保障與一般民眾對保護個人資訊的了解之間存在很大落差。這個落差讓人們更難運用現有的法律工具，重新掌控自己的資料。

如何運用 GDPR 權利對抗資料仲介

上述權利唯有實際行使才有效。這些權利都不需要律師或特殊表格：寄一封電子郵件給企業的隱私聯絡窗口就夠了。

追問資料來源。如果某家公司主動聯絡你，而你從未提供個人詳細資料，就向它詢問資料來源。依據存取權，它必須告知你，而這個答案往往直接指向資料仲介。

提出存取請求。向企業或仲介詢問它持有哪些關於你的資料、用途為何、曾與誰共享，並要求提供副本。請求免費，企業必須在一個月內回覆。若請求複雜，可再延長兩個月，但必須告知你。

提出反對並要求刪除。在同一封電子郵件中，你可以反對將你的資料用於行銷，並要求刪除。企業也必須將刪除要求轉達給曾共享你資料的對象，除非這麼做不可能，或需付出不成比例的努力。

註冊 Lista Robinson。在西班牙，發送直接行銷的企業在聯絡你之前，必須先查核這份廣告拒絕名單。註冊免費。

向 AEPD 申訴。如果企業置之不理、無正當理由拒絕，或逾期未回覆，你可以向西班牙資料保護局免費提出申訴。

從源頭限制資料仲介能蒐集的資料

你的 GDPR 權利能清理已經流出的資料。幾個簡單的習慣，就能減少流向仲介的新資料量。

檢視你的應用程式權限，關閉應用程式運作所不需要的存取權，尤其是能存取你位置、聯絡人或相片的權限。

拒絕非必要的 Cookie。在歐盟的網站上，拒絕應該和接受一樣容易，而且能阻擋助長行為側寫的廣告 Cookie。

單純瀏覽時保持登出網站與服務。當你登入 Google、YouTube、Amazon 或新聞網站時，你搜尋、觀看、閱讀或購買的一切都會與你的帳號綁在一起。登出後再瀏覽，企業能與你連結的資訊就少了許多。

使用注重隱私的瀏覽器，例如 Firefox 或 Brave，它們預設會阻擋許多追蹤程式。你也可以探索以隱私為重的歐洲替代網頁瀏覽器。

改用 Proton Mail，這是我們私有且安全的電子郵件服務，無法讀取你的電子郵件，也不會掃描你的收件匣以投放廣告、追蹤或監控。它還會阻擋追蹤像素，行銷人員通常用這種像素來得知你何時開啟訊息（以及其他指標）。

使用 VPN(新視窗) 向網站、應用程式和廣告網路隱藏你的 IP 位址，讓它們無法藉此推估你的位置，或串連你在各網站的活動。Proton VPN 還有一項名為 NetShield 的功能，可在廣告和追蹤程式載入前就加以阻擋。它採用經獨立稽核的零日誌政策(新視窗)，因此不會記錄你的線上活動。

使用加密的密碼管理程式來建立高強度且獨一無二的密碼，這樣即使某個帳號外洩，也不會波及其餘帳號。Proton Pass 還提供 hide-my-email 別名，可用於電子報、抽獎活動和線上商店。如果某個別名開始收到垃圾郵件，你就能看出可能是誰共享或外洩了它，然後停用該別名。

正如 Tamayo 的報導清楚顯示，資料仲介是建立在我們資料之上的商業模式的一環。但 GDPR 和保護我們隱私的工具，給了我們重新掌控的方法。目標不是從網路上消失，而是有意識地決定誰可以存取我們的資料，以及為了什麼原因。