FTC诉Kochava案十年同意令解读：敏感位置数据治理蓝图，上游供应商同意核验与高管对董事会报告成为强制项

美国联邦贸易委员会（FTC）针对Kochava Inc.及其关联公司Collective Data Solutions共享敏感位置数据一案，达成了一项为期十年的同意令。FTC在2022年提起的诉状中主张，Kochava收集并出售大量源自消费者移动设备的精确位置数据，包括GPS坐标、基站与Wi-Fi定位信号，并与移动广告ID等持久性标识符关联，使消费者在医疗机构、宗教场所和临时庇护所等敏感地点被追踪，构成《FTC法》第5条下的不公平行为。

同意令对“同意”提出了明确且严格的标准：共享敏感数据须取得“肯定、明示且独立”（Affirmative Express Consent）的同意，该表述与美国各州隐私法及欧盟GDPR用语一致。企业不得从悬停、静音、暂停或关闭内容等行为中推定同意；通过“颠覆或损害用户自主性、决策或选择”的界面取得的同意（即FTC所指的暗黑模式）不计为有效同意。同意还必须伴随“清晰显著”的披露，该披露须独立于隐私政策或服务条款，做到“难以忽视”、普通消费者可理解、以视觉与听觉同步方式呈现、在交互式电子媒介中“不可回避”，且不被同一通信中的任何其他内容所抵触或削弱。

在治理结构上，同意令要求Kochava任命一名高级管理人员（如首席隐私官或首席合规官）负责专门的敏感位置数据计划，该高管须直接向董事会或同等治理机构报告，书面计划至少每12个月向董事会提交一次；更广泛的隐私计划还须指定专门人员在各业务条线协调并负责隐私事务。FTC在此要求的不仅是“做了治理”，而且是“让治理可见”。

供应链管控是本案最具突破性的部分。同意令要求Kochava建立供应商评估计划，以确认上游数据供应商确实取得了消费者同意：对既有的数据共享协议，初次评估须在30日内完成，此后每年一次，确认消费者已给出肯定、明示的同意或就位置数据的收集、使用和披露作出了专门同意；若无法确认同意，企业必须停止使用该数据。这一要求超出了各州隐私法通常强调的透明度与消费者权利范畴，实质上把上游同意核验的义务转移到了数据买家一侧。

从执法趋势看，Kochava案显示FTC在宣称采取审慎执法立场的同时，对被视为欺骗性或不公平的行为——尤其是涉及敏感数据的行为——仍会毫不犹豫地执法。其三重信号值得关注：一是对敏感数据的处理，FTC的审视标准高于对数据的单纯处理；二是数据经纪商的数据变现与共享行为受到的约束强于自用处理；三是美国隐私执法正从“披露与消费者选择”转向对敏感数据收集、使用与共享的“运营控制”。对采购第三方数据的中国企业而言，上游同意核验与合同条款设计应尽早前置。