编者按：本文最初发表于8月。因其日常相关性，我们从档案中重新调出。

今年5月，企业界见证了Y2K的翻版：欧盟《通用数据保护条例》（GDPR）正式生效——然而，并未发生任何重大事件。全球各行业的企业曾争相寻求合规，担心巨额罚款与消费者愤怒。但法规实施近三个月后，实际执法行动寥寥无几。

尽管行业尚未看到该法规的直接后果，GDPR已促使许多组织重新思考其数据收集与使用方式。越来越多的公司将隐私视为值得关注的商业议题，而非事后补救。在此背景下，一个概念正帮助人们理解数据应当如何被对待，并在过程中注入更多隐私考量：将数据视为货币。

为数据定价

“数据即货币”的概念，是“数据是新石油”这一更物理化表述的继承者。思科（Cisco）副总裁兼首席隐私官Michelle Dennedy在20年前于欧洲提出“数据是新石油”的说法，她认为数据贯穿系统流动，比黄金或其他货币更有价值。

Dennedy在接受CIO Dive采访时表示，如果数据是新石油，企业只需安全措施来管理它，确保其不泄漏、不引发火灾。但如果将数据视为货币，它就“完全依赖于时间、文化理解、条件和背景”。

Dennedy指出，每种货币都有“波动”。以欧元汇率的波动为例，这说明了选举周期如何影响货币估值。当组织学会评估资产价值时，它们就能取得成功。如果数据被粗心对待，且内外部因素产生影响，组织可能会成为监管机构的靶子。

如果数据被视为货币，它就“完全依赖于时间、文化理解、条件和背景”。

Michelle Dennedy
思科副总裁兼首席隐私官

“如果你将敏感数据视为一项资产，若其被泄露，造成的损害与你的实际资金（美元）受损一样严重，那么你的行为方式将会不同，”Frankfurt Kurnit Klein and Selz律师事务所合伙人兼隐私与数据安全业务主席Tanya Forsheit在采访中告诉CIO Dive。

尽管这一概念正获得主流支持，但行业尚未完全接受。考虑将数据视为货币的公司，往往迅速回归到风险联想，认为数据是可能失去的东西。另一个制约因素是法规如何定义个人数据。GDPR提供了宽泛的定义。

在美国，个人数据被视为个人身份信息（PII）。但根据GDPR，个人数据是任何可用于识别个人的信息，包括设备ID和IP地址。扩大个人数据的范围增加了将其作为货币处理的复杂性。例如，社会安全号码比电子邮件地址具有更高的价值。这意味着“数据即货币”的概念需要一个关联的价值体系。

Forsheit说，如果有机制将IP地址视为便士，将社会安全号码视为百元大钞，那么这一概念就有意义。“这是一种难以让人掌握的心态。”

企业对数据的渴求

如果企业不超量收集数据，围绕其处理和定义的语义争论将毫无意义。但遗憾的是，事实并非如此。咨询公司The Privacy Professor首席执行官、SIMBUS（一家隐私与安全管理咨询公司）联合创始人兼总裁Rebecca Herold表示，在20世纪90年代中期，互联网开始转向商业用途，获取数据变得更加容易。

Herold在接受CIO Dive采访时说，在互联网出现之前，企业必须依赖纸质广告和邮寄来接触潜在买家。但互联网商业的兴起彻底改变了营销方式，企业不再需要询问客户数据，人们只是简单地交出信息。行业看到了“组织是多么渴望收集超出其实际需要的数据”。

“美国公司历来是数据囤积者。他们就是这样做的。他们收集大量数据，有时甚至不一定知道自己的最终目标是什么。”

Tanya Forsheit
Frankfurt Kurnit Klein and Selz合伙人兼隐私与数据安全业务主席

90年代只是预演。如今，企业收集和存储的数据远超其处理能力，寄希望于大数据分析和人工智能使分析更容易。这种过度收集对隐私产生了直接影响。“美国公司历来是数据囤积者。他们就是这样做的，”Forsheit说，“他们收集大量数据，有时甚至不一定知道自己的最终目标是什么。”

Forsheit认为，GDPR正在努力改变企业与数据的互动方式，阻止以消费者未预期或不知情的方式使用个人数据。通过连接不同的数据集，分析师可以在用户不知情的情况下确定并勾勒出个人信息，而GDPR正试图防止这种行为。

隐私是否可能？

数据可能产生积极和消极的影响，那些担心监管后果和巨额罚款的组织正在努力重新思考数据收集和处理方式。GDPR之外的更多监管也在产生影响。美国监管机构正试图建立一个考虑互联网巨头服务隐私影响的生态系统，例如加州最近的立法。

Herold表示，各行业正处于数据使用的“觉醒期”。Facebook最近广为人知的数据使用事件已让行业警觉。Herold说，Facebook在规划如何出售数据时“睡着了”，“他们过于信任”。

Herold指出，数据存在两个主要问题：

  • 组织对什么可能被视为个人数据做出了过多假设，而且这些公司不认为人们能分析数据集以获取对个人的洞察。
  • 大多数应用开发者及许多科技公司没有投入足够时间将控制措施设计到其解决方案和产品中，而是仅满足法律要求的最低限度。

Herold说，这凸显了公司法律义务与实际应做之事之间的差距。当然，隐私是可能的，但公司缺乏将其变为现实的动力。

“发生的坏事不是因为缺乏法律或缺乏关心的监管者，”Forsheit说，“而是因为公司一直对数据饥渴，在某些情况下贪婪，尽可能多地收集，然后试图尽可能多地利用，直到被抓住，因为这在很多方面是美国的方式。”