2018年3月17日，数据事件《纽约时报》和《观察家报》同时扔出一颗炸弹：剑桥分析公司（Cambridge Analytica）拿到了8700万Facebook用户的泄露个人数据，用来给特朗普竞选团队做精准政治广告。案例这不是分析黑客攻破了服务器，而是报告Facebook自己把数据交出去的。

事情的数据事件起点在2013年。一个叫亚历山大·科根的泄露剑桥大学研究员在Facebook上发布了一款心理测试App，叫"thisisyourdigitallife"。案例用户授权后，分析App能读取他们的报告公开信息、好友列表、数据事件点赞记录。泄露大约27万人安装了这款App。案例问题在于，分析Facebook当时的报告API允许App获取安装者的好友数据——27万乘以平均好友数，滚出了8700万人的数据雪球。

科根把数据转手给了剑桥分析公司。这违反了Facebook的平台政策，但Facebook直到2015年才得知此事。得知之后做了什么？发了一封邮件要求删除数据。对方说"删了"。Facebook信了。没有审计，没有追查，没有通知受影响用户。这个处理方式，放在任何一家处理敏感数据的公司里，都说不通。

剑桥分析公司的背景也够耐人寻味。创始人罗伯特·默瑟是共和党大金主，公司董事会里有史蒂夫·班农。这家公司对外宣称做的是"基于人格心理学的选举沟通策略"，实际上就是拿用户数据建心理画像模型，然后定向投放政治广告。你看到的不是"投给所有人看的广告"，而是"专门投给你这种性格的人看的广告"。

Facebook的商业模式决定了它对数据的贪婪。平台的核心收入来自广告，广告的精准度依赖用户数据。API开放得越宽，第三方开发者越多，平台生态越繁荣，广告价值越高。这种模式下，数据保护天然是滞后的。扎克伯格2018年4月去国会作证，参议员问了他一堆基础问题，他答得磕磕绊绊。那场听证会暴露的不只是他个人的 unprepared，而是整个公司对数据伦理的漠视。

后果来得很快。Facebook股价两天跌了近18%，市值蒸发约1000亿美元。#DeleteFacebook运动在社交媒体上蔓延，WhatsApp联合创始人布莱恩·阿克顿也加入了呼吁。美国联邦贸易委员会最终开出50亿美元罚单，这是当时FTC对科技公司开出的最大罚单。英国信息专员办公室罚了剑桥分析母公司50万英镑——按英国法律上限罚的。

但罚款解决不了根本问题。8700万人的数据已经被用了，心理画像已经建了，广告已经投了。你没法"撤回"一次数据泄露。更麻烦的是，这件事让公众第一次真正意识到：你在社交平台上的每一次点赞、每一次分享、每一次授权登录，都在被记录、被分析、被变现。你以为你在免费使用平台，其实你在用数据付账。

我自己的判断是，这件事之后，科技公司对待用户数据的态度确实有所收敛。Facebook关掉了大量第三方API接口，苹果推出了App Tracking Transparency，欧盟GDPR的执行力度也加强了。但收敛不等于解决。只要广告模式还是主流，平台就有动力收集更多数据、做更细的画像。剑桥分析倒了，同样的方法论换个壳还能活。数据泄露从来不是技术漏洞，是商业模式的副产品。