上周接了个咨询。
姑娘是在杭州做跨境运营的，平时天天挂着外网工具改文案、剪短视频，前阵子她刷小红书的时候刷到某海外AI写真生成器的推广，说传20张正脸照，就能生成全套冰岛极光亲子写真，只要9块9。
她想都没想就下了单。
传了自己的正脸照，还有三张三岁女儿的正面照——都是上个月在小区楼下拍的，小姑娘张着嘴笑，露出两颗刚长出来的小虎牙。
结果生成的图还没存到本地，她先收到了个加拿大的合规邮件，说她的人脸特征数据已经被传到温哥华的机房，用于优化模型生成效果了。
你随手点的”同意”，根本没看懂自己卖了什么
别笑。真的。
我见过太多人点同意的时候，连协议是中文还是英文都没看。那个姑娘说她当时跳出来的协议全是英文，她用翻译软件扫了一眼，就看到个”免费试用7天”的按钮，想都没想就点了，连提示”人脸数据将用于模型训练”的浅灰色小字都没看见——那行字比蚂蚁还小，不放大根本看不清。
不满十四周岁未成年人的人脸特征，属于法定的敏感个人信息，跨境传输的要求比普通信息严十倍都不止。按照现行的规则，处理这类信息要拿到监护人的单独同意，还要做完整的个人信息保护影响评估，确保数据传到海外之后不会被滥用。但那个加拿大的工具根本没给她弹单独的同意框，就把所有同意的条款揉在了几十页的英文协议里，你点了同意，就等于把自己和女儿的脸的所有权，半卖半送给了人家的模型团队。
说实话，我之前跟好多朋友聊起这事，他们第一反应都是”我一个月赚几千块，脸能值几个钱，别人偷了又怎么样”？
等你的脸被拿去训练成AI诈骗的素材，对着你爸妈喊”妈我出车祸了快打钱”的时候，你就知道值不值了！
别觉得跨境传输是大厂的事，你刷个外网都可能踩线
之前大家聊起个人信息跨境传输，第一反应都是腾讯阿里这种大厂要做安全评估，要过网信办的审批，跟普通人没关系。
错了。
只要你用了个海外的工具，传了自己的手机号、身份证号、人脸照片，甚至只是把自己的位置信息共享给了个海外的天气APP，你的个人信息就已经在跨境传输了。
去年有个做独立站的小老板，就因为把客户的收货地址和手机号传到了Shopify的美国后台，被网信办约谈，罚了两万块。他当时还喊冤，说”我就是用了个常用的建站工具，怎么就违法了”？
很简单。因为你的客户的个人信息，按照法律规定，不能随便传到海外的服务器里，除非你过了合规的流程，拿到了用户的单独同意，做了安全评估。
你以为的”免费使用海外工具”，本质上是你用自己的个人信息付了费。人家的工具不收你钱，拿你的数据去训练模型，去卖广告，你还觉得自己占了便宜。
不过话说回来，现在的规则也不是故意要为难普通人。之前好多人吐槽说，我用个ChatGPT查个资料，还要走跨境传输的审批？那也太麻烦了。
其实现在的规则已经松了好多，比如只要是为了订立、履行合同所必需的，或者是为了保护你的重大生命健康和财产安全的，是可以豁免大部分合规流程的。但前提是，你传输的是普通信息，不是那种敏感的，比如人脸、指纹、医疗记录，还有未成年人的信息。
现在大家都在试探边界，谁先踩坑谁买单
我最近蹲了好几个跨境从业者的群，大家现在聊的最多的不是怎么赚更多的钱，是怎么把用户的数据留在国内的服务器里。
谁也不想当第一个被罚的小虾米。
那个姑娘的事，我帮她写了封投诉邮件，按照GDPR的要求，要求对方在30天内删除所有涉及她和她女儿的人脸数据，并且提供数据传输的完整记录。结果过了俩礼拜，对方回了个邮件，说他们的服务器在加拿大，不受中国法律管辖，但是可以按照GDPR的要求帮她删除数据，前提是她要提供自己的身份验证信息。
你说讽刺不讽刺？
她本来就是为了修个写真才传的身份信息，现在要删数据，还得再传一遍身份信息给人家，万一人家把这些信息再拿去卖了怎么办？
我给她出了个主意，让她找国内的网信部门投诉，把那个工具的推广链接、她的订单记录、收到的合规邮件都附上去，要求对方停止向中国境内提供服务。上周她给我发消息，说那个工具的国内推广链接已经全被下掉了，她也收到了对方的删除确认邮件。
挺好的。
其实现在关于个人信息跨境传输的规则，还在不停的调整，好多新的场景，比如AI工具、元宇宙、跨境直播，之前的规则里根本没写。大家都在摸石头过河，有人踩坑，有人试探，有人钻空子。
但我还是想提醒一句。
下次你再用那种要传人脸、要传身份证的海外工具的时候，多停三秒钟。
想想你传出去的东西，到底会被传到哪个国家的机房，会被用来做什么。
别等出事了，才想起自己的信息不是大风刮来的。
