為什麼一個心率監測器需要你的位置？多數情況下，它不需要。比較不誠實的答案藏在權限畫面裡，包裝成「更佳體驗」。光是健身資料本身，揭露的就比多數人想像的多得多：一段連續的步數軌跡，能讓任何讀取它的人知道你在哪住、在哪工作，以及大概什麼時候睡覺。加上 GPS，你就有一本行動日記。加上心率，你就有一張壓力地圖。對策始於一個問題：裝置實際運作需要什麼，而它又因為「可以」而拿走了什麼？
行銷說法（他們說它做什麼）
行銷說法很熟悉：追蹤你的運動、改善你的睡眠、獲得個人化洞察。裝置被當作自我提升的工具來賣，而資料被呈現為該服務的原料。在 GDPR 下，這個框架很重要。處理必須有合法依據，而對多數健身功能來說，那是同意或契約履行。但同意必須具體、知情且可撤回。設定時一個埋在大量文字下的「我同意」，很少達到這個標準。透明度也要求說明目的。如果 App 說它用你的資料來「提升你的體驗」，那不是目的——那是口號。你有權知道實際收集的資料類別、接收者以及保留期限。行銷說法不是問題。問題在於它省略了什麼。
他們收集什麼（通常更多）
他們收集的通常比行銷說法承認的更多。步數、心率、睡眠階段、運動路線，有時還有連續位置。根據第 2 條，GDPR 適用於全部或部分以自動化方式處理個人資料。健身資料符合資格。其中一些若揭露健康狀態，可能落入特殊類別。資料流向的問題很簡單：資料去哪裡？裝置上處理是一回事。同步到雲端帳號是另一回事。與第三方分析或廣告合作夥伴分享又是另一回事。每一跳都改變風險。監管機關根據第 58 條擁有調查權，包括稽核和進入場所——但這些權力是被動的。他們根據投訴採取行動。你的第一步是自己畫出流向：檢查 App 的隱私設定，尋找資料下載選項，並閱讀關於分享的章節。如果 App 提供一種在不失去核心功能的情況下限制分享的方式，第一天就採用它。
他們沒告訴你的事（通常是關於轉售或模型訓練）
他們沒告訴你的事，通常是關於轉售或模型訓練。隱私政策可能提到「商業合作夥伴」或「研究合作」，卻沒有指名。根據第 35 條，涉及基於自動化處理對個人方面進行系統性和廣泛評估，或大規模處理特殊類別資料的處理，需要進行資料保護影響評估。用於訓練推斷健康風險模型的健身資料，可能觸發該要求。但你不會看到 DPIA。你會看到一條關於「改善我們的服務」的條款。第 23 條的限制是給成員國，不是給供應商。供應商的義務是對目的保持透明。如果目的是模型訓練，就應該說明。如果是轉售，也應該說明。缺乏平易近人的語言不是意外。那是選擇。你的對策：尋找退出「產品改善」資料分享的選項並採用它。如果沒有，就問為什麼。
你的行動（該怎麼做）
你的行動很具體。首先，打開 App 的隱私設定，找到資料下載選項。在 GDPR 下，你有權存取你的資料。請求它。回覆會告訴你他們持有哪些資料，以及他們通常如何分類。第二，檢視分享權限。停用任何對核心功能非必要的項目。第三，檢查保留政策。如果含糊不清，要求澄清。第四，如果你懷疑有違規，向你的監管機關提出投訴。第 57 條要求他們處理投訴並告知你進展。那是一個槓桿。它不戲劇化，但有效。重點不是危言聳聽。重點是知情。銷售時免費的東西很少真的免費。第一天就選擇退出，並把政策讀到第十一條。
常見問題
我的步數真的算個人資料嗎？
是的。根據第 2 條，GDPR 涵蓋以自動化方式處理個人資料，而連續的步數軌跡足以辨識你，因此符合資格。如果資料揭露健康狀態，甚至可能落入特殊類別，這會提高對供應商的要求。
如果我要求我的資料，他們拖延怎麼辦？
他們有義務讓你存取，而回覆本身會告訴你他們持有哪些資料以及如何分類。如果拖延持續，那就是你向監管機關投訴的提示——第 57 條要求他們處理並讓你知情。慢不等於拒絕，但值得記錄下來。
退出「產品改善」分享值得嗎？
值得，而且只需一分鐘。那個開關通常是模型訓練和合作夥伴分享權限藏身之處，而 GDPR 要求供應商對這些目的保持透明。如果沒有退出選項，以書面詢問為什麼——答案往往比政策本身更有資訊量。
