2025年9月26日，爱尔兰数据保护委员会（DPC）就智能手机位置数据的销售问题，对两家公司启动调查。导火索是同月 RTÉ 电视节目 Prime Time 的卧底调查：记者冒充数据分析机构，通过一家匿名公司免费获得覆盖约 6.4 万部爱尔兰手机的精确移动数据，延迟仅 24 至 72 小时。这些数据在收集时声称已匿名化，但记者仍能通过设备进出敏感地点后返回住址的轨迹，锁定政要工作人员乃至军事基地人员的居住地址和日常规律。
TL;DR
RTÉ 记者以新成立数据分析机构的名义，从一家匿名公司获得位置数据样本，覆盖约 6.4 万部爱尔兰手机的精确移动情况。数据虽在收集时声称匿名化，但记者发现，手机在进入戒备森严的监狱、军事基地、爱尔兰议会大厦（Leinster House）、健康诊所和精神卫生机构等敏感地点后，可被追踪到特定住址。通过检查“进入某地点后返回住址”的设备轨迹，节目组得以迅速锁定特定个人的住址与日常规律。
一名受影响者是议员 Barry Ward 办公室的工作人员。该人士确认数据集显示的信息准确无误，其进出议会大厦的路线、超市购物的时间地点、周末活动位置及回家离家的具体时间都清晰可见。Ward 在节目中表示，这些数据可拆解到个人层面、精确追踪行动轨迹并识别住址与工作地，且可被公开出售，令人恐惧且极其危险。RTÉ 文字报道见 https://www.rte.ie/news/primetime/2025/0918/1534034-data-for-sale/ 。
更严重的是国防安全层面。经过科克 Haulbowline 岛海军总部的电话信号，可从基地追踪至南海岸，随后在其他港口再次出现，从而暴露海军舰艇的行动时间。多个设备进出都柏林麦基军营（McKee Barracks，国防军军事情报局所在地）后返回持有人住址。专家 Dr. Cathal Berry 警告，这对武装部队关键岗位人员（如飞行员、拆弹专家、舰艇指挥官）构成严重风险。DPC 后续调查的两家公司中，一家为都柏林本地公司，另一家位于其他欧盟成员国，因此涉及跨机构协作。
本案的核心教训在于：位置数据的“匿名化”声明并不能免除合规责任。精确地理位置属于高敏感数据，即便剥离直接标识符，密集的移动轨迹本身仍具高度可识别性——设备反复出现的“住址”节点，往往足以重新识别到个人。企业若在广告或分析链路中采集、共享此类数据，须重新评估其是否真正达到匿名化标准，还是仅为可被逆向的假名化数据。假名化与匿名化在法律上的区别可参考CJEU 为假名化数据传输划下新红线。
位置数据的执法压力在多个法域持续上升：Google 曾因违规追踪用户地理位置支付近 4 亿美元和解（见栈道好修，陈仓难渡——违规追踪地理位置），AT&T 因非法披露客户位置数据被罚 5700 万美元（见AT&T 因非法披露客户位置数据被罚）。位置追踪场景的系统性合规要求可参考出海隐私保护系列之地理位置追踪。出海企业应把位置数据的采集目的、共享对象与保留期限纳入严格治理，默认屏蔽向第三方的原始轨迹传输。
