西班牙 YouTuber Carles Tamayo 再次触动了人们的神经，延续了他一贯随性、幽默而犀利的风格。他的纪录片系列 Se nos ha ido de las manos（“失控了”）于 2026 年 4 月在西班牙公共电视台首播；在最后一集中，他探讨了公司如何买卖个人数据。

这集名为 El activo eres tú（“你才是资产”），抛出了一个令人不安的问题：谁掌握着我们的数据，这些数据又被拿去做了什么？为了换取所谓的“免费”，我们又愿意放弃什么？在接到那些对他了如指掌的公司打来的垃圾电话之后，Tamayo 把自己的制作公司变成了一家数据代理商，从内部观察个人数据是如何被收集和交易的。

下面介绍数据代理商这一行的运作方式，以及 GDPR（《通用数据保护条例》）赋予了你哪些权利。

什么是数据代理商，他们如何赚钱

数据代理商是收集、分析并出售个人和组织信息的公司。这些信息之所以对买家有价值，在于它可以被组合与分析。习惯、兴趣、位置数据和其他信号可以拼接在一起，如今越来越多地借助 AI，整合成可用的成果。数据代理商出售的正是这种原料，让几乎任何人都能被建立起一份画像。

例如，在 Tamayo 的报道中，一家数据代理商向他提供刚刚生育的人的信息。这些新手父母曾在医院留下自己的详细信息，以换取参加新生儿产品抽奖的机会。

数据代理商通常收集电子邮件地址、IP 地址（新窗口）、大致位置、在线购物记录、互联网搜索记录、在应用内选择的兴趣，以及某人使用的设备。

你是否接到过电话公司（或任何公司）的来电，纳闷他们是从哪儿弄到你的号码的？答案比你想的更简单。cookie、移动应用和在线表单可以收集你的信息，再转交给数据代理商。线下渠道同样如此，比如会员卡、抽奖活动和公开记录。

什么是 cookie，它们有什么用

你访问的每个网站上都有它：一个小弹窗，请你接受或拒绝 cookie。你多半只是扫一眼就接受 cookie（新窗口） 继续浏览，从未想过cookie 究竟是什么（新窗口），也没想过你刚刚同意让公司对你的数据做了什么。

Cookie 是网站存储在浏览器中的小文件，用来记住你此次访问的信息。数据代理商在意的是广告 cookie，这类 cookie 旨在构建行为画像并投放个性化广告。

但如今追踪你的手段早已远超 cookie。浏览器指纹识别会依据你设备的特征生成一个唯一签名；跨站跟踪则在你穿梭于不同网站时记录你的活动。在移动端，广告 ID 也做着类似的事，把你的行为与一个持久标识符绑定在一起。

拒绝 cookie 能提升你的隐私保护，但并不能完全保证隐私。而一旦你开始追问数据流向何处、由谁掌握、如何被使用，就不可避免地会遇到一个问题：买卖你的数据究竟合不合法。

GDPR 如何保护你

GDPR 是欧盟的规则手册，规范各类组织和企业如何收集、使用、分享和存储欧盟境内任何人的个人数据。它也适用于总部位于欧盟之外、但面向欧盟用户的企业。在西班牙，合规情况由西班牙数据保护局（AEPD）监督，该机构也负责处理公司违反这些权利时的投诉。

GDPR 确立了几项基本权利：

访问权：了解某家公司掌握了你哪些个人数据、用于什么目的、与谁分享过，以及从何处获取。你还可以要求获得一份副本。

更正权：要求更正错误或过时的信息。

删除权：又称“被遗忘权”。当公司不再需要你的数据、当你撤回同意或反对其使用、或数据被非法处理时，你可以要求删除自己的数据。

反对权：拒绝某些类型的处理，例如将你的数据用于广告。对于直接营销，这项权利是绝对的：一旦你提出反对，公司就必须停止。

数据可携权：以结构化、通用、机器可读的格式，接收你提供给公司的个人数据，以便将其转移到其他服务提供商。当公司基于你的同意或合同、通过自动化方式处理你的数据时，此项权利适用。

GDPR 赋予人们可强制执行的权利，并以罚款为后盾，但许多人并不知道自己可以免费行使这些权利。只有当请求明显缺乏依据或过于频繁时，公司才可以收费或拒绝。

正如 Tamayo 的报道所示，法律提供的保障与普通公民对如何保护个人信息的认知之间存在着巨大鸿沟。这道鸿沟让人们更难运用现有的法律工具，重新掌控自己的数据。

如何运用 GDPR 赋予你的权利对抗数据代理商

上述权利只有在你使用时才有效。它们都不需要律师或特殊表格：给公司的隐私联系人发一封电子邮件就够了。

追问你的数据来自何处。如果有公司联系你，而你从未向其提供过自己的详细信息，就向它询问数据来源。根据访问权，它必须告诉你，而这个答案往往直指某家数据代理商。

发送访问请求。询问该公司或代理商掌握了你哪些数据、用于什么目的、与谁分享过，并要求获得一份副本。该请求免费，公司必须在一个月内回复。对于复杂请求，可以再延长两个月，但必须告知你。

提出反对并要求删除。在同一封邮件中，你可以反对将你的数据用于营销，并要求将其删除。公司还必须将删除请求转达给所有与其分享过你数据的对象，除非这无法做到或需要付出不成比例的代价。

注册 Lista Robinson。在西班牙，发送直接营销信息的公司在联系你之前，必须查询这份广告拒收名单。注册是免费的。

向 AEPD 投诉。如果公司无视你、无正当理由拒绝，或错过期限，你可以向西班牙数据保护局免费提交投诉。

从源头上限制数据代理商能收集哪些数据

GDPR 赋予你的权利可以清理已经流出的数据。而几个简单的习惯，就能减少新数据流入数据代理商手中。

检查你的应用权限，关闭应用运行所不需要的任何访问权限，尤其是对位置、联系人或照片的访问权限。

拒绝非必要 cookie。在欧盟的网站上，拒绝应当和接受一样容易，这样就能拦截那些为行为画像提供数据的广告 cookie。

只浏览时保持登出状态。当你登录 Google、YouTube、Amazon 或某个新闻网站时，你搜索、观看、阅读或购买的一切都会与你的帐户关联。在登出状态下浏览，公司能与你关联的信息就更少。

使用注重隐私的浏览器，例如 Firefox 或 Brave，它们默认拦截大量跟踪器。你也可以探索专注于隐私的欧洲替代浏览器。

改用 Proton Mail，这是我们私密而安全的电子邮件服务，它无法读取你的邮件，也不会为了广告、跟踪或监控而扫描你的收件箱。它还会拦截跟踪像素——营销人员通常用它来判断你何时打开了消息（以及其他指标）。

使用VPN（新窗口） 隐藏你的 IP 地址，让网站、应用和广告网络无法用它来推断你的位置，或将你在不同网站上的活动串联起来。Proton VPN 还提供名为 NetShield 的功能，可在广告和跟踪器加载之前将其拦截。它遵循经独立审计的无日志原则（新窗口），因此不会记录你在网上的活动。

使用加密的密码管理器来创建高强度且独一无二的密码，这样一个帐户被攻破也不会连累其他帐户。Proton Pass 还为你提供 hide-my-email 别名，可用于订阅新闻简报、参加抽奖和注册在线商店。如果其中某个别名开始收到垃圾邮件，你就能看出是谁可能分享或泄露了它，然后停用该别名。

正如 Tamayo 的报道清楚表明的那样，数据代理商是建立在我们的数据之上的商业模式的一环。但 GDPR 以及保护我们隐私的工具，为我们提供了重新掌控的途径。目标不是从互联网上消失，而是有意识地决定谁可以访问我们的数据，以及出于什么理由。