我的狗对决精英GDPR律师：无人提及的Valve数据泄露事件
一家国际律师事务所处理的一项常规GDPR请求，如何导致了Steam用户及未成年人数据的灾难性泄露。
我的狗：计费0小时。数据泄露0起。处理PDF文件的能力比精英企业律师强100%。
让我们探讨一个在企业数据隐私领域中既荒谬又极具现实意义的问题：像Valve Corporation这样的全球科技巨头，是否应该聘请精英级“猛犬”律师——例如国际律师事务所Taylor Wessing的团队——来处理常规的GDPR数据请求？
答案完全取决于你的具体情况：
- 如果你的公司完全清白且合规：绝对不会。
- 如果你的公司有海量内部数据需要隐藏：哦，没错。立刻雇佣他们。
为什么？因为这些精英企业律师在不知不觉中扮演着双重间谍的角色。他们会乐此不疲地帮助你的对手发现你拼命想对监管机构隐瞒的每一件事。唯一的技术要求是，你的对手知道如何打开一份编辑不当的PDF文件。
这正是为什么在终极数据保护官（DPO）的较量中，我的狗能轻松击败一位身价高昂的企业律师。狗或许会咬断以太网电缆，但它绝不会将你最敏感的企业机密拱手奉上，引发一场GDPR数据泄露。
官僚机构的武器化
这些顶级律师事务所的核心策略是营造一种掌握秘密知识的光环，开局就直接威胁对手，并人为拖延法律程序。欧盟法律是否要求30天内作出GDPR回应？他们会在第35天交付，提出一个毫无意义的澄清问题，然后重新计时。目标不是合规，而是耗尽挑战企业之人的精力。
我们掌握了这场官僚踢皮球游戏的精确时间线。8月15日，Taylor Wessing律所的一位律师（Tobias Schelinski博士）发出了一封正式信函，竭尽全力拖延GDPR请求。他要求提供额外的身份证明，辩称用户的临时邮箱地址（一个字面翻译为“不重要”的化名）并未明确包含其真实姓名。随后，他利用这一人为制造的延误，立即且永久封禁了相关Steam账户。
他们把这个简单的数据请求拖延了数月之久。最终，在10月1日，另一位律师（帕特里克·楚海德博士）接手并交付了所请求的数据。
（而且，没错，泰勒·韦辛，我们清楚你们看到这篇文章时内心该有多“欣喜若狂”。我们非常抱歉，把你们精英企业的战略泄露给了竞争对手。等等，就你们这种数字无能水平，你们真有竞争对手吗？算了，别回答这个问题。我们可没那30天时间，去等一个我们压根不在乎的对象的回复。）
然而，尽管将拖延战术武器化是一种标准的法律手段，接下来发生的事却是一场灾难性的行动失误。当这些看门狗忙着对围栏狂吠时，后门却大敞四开。
面向IT律师的IT速成课程（模块101）
在查看泄露的数据之前，我们需要先讨论一下这件事是如何发生的。
如果你查看任何正规的IT法律法学硕士（LL.M.）项目的教学大纲，你会发现其中包含大量关于国际数据保护、网络安全框架以及GDPR第32条（“处理安全”）法律解释的模块。教授们会花费数月时间向学生反复强调保护个人数据在理论上的必要性。
然而，大学默认研究生已经懂得计算机的基本操作。他们不会教“如何保存文件”或“如何使用Adobe Acrobat”。而正是在这一点上，精英企业法律体系崩塌了。
以下是专家们未能察觉的技术现实：
便携式文档格式（PDF）并非一张平面的照片，而是一个分层的数字容器。当你使用基础的PDF编辑器在文本行上绘制一个黑色矢量矩形时，你并未真正擦除该文本，而只是在其上放置了一张数字便签纸。
任何使用LibreOffice Draw、Adobe Illustrator等程序，甚至基础文本抓取脚本打开该文档的人，都可以直接选中黑色方框下方的文本层，将其复制并粘贴到记事本中。
正确的脱密需要“净化”——这是一个从文档代码中永久剥离文本对象和元数据的过程。画一个黑色形状不是网络安全；那是数字手工艺术。
泄露的数据：当无能变得危险
针对依据《通用数据保护条例》（GDPR）第15条提出的标准请求，Valve的法律代表交付了一份长达830页的庞大文件，其中充斥着这些数字“手工拼贴”。他们精心地在数千行数据上覆盖黑色矢量图形——仅保留对其叙事有利的信息可见（具体而言，即针对请求者提交的用户举报）。
乍一看，在830页上执着地绘制黑框几乎令人叹为观止。但当你绕过那些向量，直接审视泄露的实际数据时，幽默感瞬间荡然无存。
通过对大型企业处理GDPR第15条请求的方式进行分析，我们发现了一个系统性问题。代表科技巨头行事的公司律师事务所，其运作方式往往更像激进的公关部门或保险理赔员。他们的主要策略是恐吓、拖延，并向申请人施压，以阻止数据披露。
然而，当他们最终被迫交出数据时，其技术无能便暴露无遗。为试图隐藏第三方个人数据或企业内部机密，这些律师惯常使用存在根本缺陷的PDF编辑方法。
我们向所有用户、法律对手及隐私倡导者发出紧急建议：
如果你、你的同事或任何你认识的人曾向这些公司律师索取过数据，并收到过带有黑色遮盖文本的PDF文件——请立即检查这些文件。
在基础编辑器中打开PDF（如LibreOffice Draw、Adobe Illustrator），或直接用光标选中黑色矩形下方的文本并粘贴到记事本中。如果文本能够成功复制，则说明发生了大规模数据泄露。请将此信息传递给任何正在应对类似法律诉讼的人。逐一检查每一份文件。他们的恐吓手段不过是虚张声势，其技术上的无能反而对他们不利——但这也同时危及了无数个人的隐私。
精英律师们究竟泄露了什么：
- 去匿名化的用户登录： 由于Steam登录信息往往极具个人色彩，并与用户的其它在线身份紧密关联，该文档中超过60%的用户被立即完全识别出来。
- 未加密的原始聊天记录与荒谬报告： 这些并非普通的服务器日志。该文件暴露了大量完全失控、荒谬至极的用户举报内容。我们面对的是原始且未经编辑的消息，其中充斥着极端污言秽语、纯粹的嫉妒以及毫无节制的仇恨。内容包含赤裸裸的死亡诅咒、民族主义辱骂，以及俄罗斯用户针对一名乌克兰用户发出的严重地缘政治攻击性言论。精英律师们非但没有妥善保护这些高度敏感且有毒的数据，反而基本上将一份充满仇恨言论的原始数据库打包并直接交出，完全处于暴露状态。
- 将未成年人置于风险之中： Valve试图压制其隐私权的乌克兰用户并非一个普通的青少年。他是一位具备严重技术能力的个人。由于未能执行基本的PDF编辑操作，律师们将一份完全去匿名化的举报者数据库交到了他手中。这使得那些Steam用户——其中许多是未成年人——直接面临人身和数字安全方面的危险。
我的狗绝不会这么做。我的狗只会把文件吃掉。零数据泄露。
伪善的杰作：第8页
如果你觉得技术故障本身很搞笑，那么这份泄露文件所附的官方说明信，简直把整件事推向了绝对的喜剧巅峰。
在正式法律答复的第8页，祖尔海德博士正式拒绝用户访问某些账户详细信息。他扣留这些信息的法律依据是什么？我们直接引用德国文件中的原文：
“由于Steam平台其他用户的个人数据受到保护，无法提供更详细的信息……”
由于需要保护其他Steam用户的个人数据，无法提供更详细的回复……
请仔细想想这一点。Taylor Wessing律所那位高薪的薪酬合伙人，在明确拒绝提供某些细节以保护其他Steam用户隐私的同时，却在同一封邮件附件中，附上了一份长达830页的PDF，完整泄露了这些用户的去匿名化身份、聊天记录和原始仇恨言论。
他洋洋得意地以书面形式宣称，自己正在保护那些他实际上正不断泄露的数据。
这封信的结尾采用了典型的企业恐吓策略：以德国刑法典（StGB）为依据，威胁用户将面临刑事起诉，同时以用户需向律师“解释”某些账户行为为条件，扣留其依法享有的GDPR数据作为要挟。这堪称一场将官僚手段武器化、却又完全无能至极的“大师级”表演。
为“精英”级IT法律专业知识撰写五星好评
要理解这次失误的严重性，你得看看是谁在处理这些数据。我们说的可不是什么实习生。
根据公开的职业资料，此回复的负责人是Taylor Wessing律所近期晋升的薪酬合伙人。该专业人士拥有阿伯丁大学国际商法法学硕士学位，并且——讽刺至极——确实完成了IT法方向的博士研究。
当你从一家顶级国际律所聘请一位拥有信息技术法博士学位的专家时，你会期望他们知道如何在跨境传输敏感用户数据之前妥善清理数字文档。
相反，这一在基础数字素养上的灾难性失误，反而无意中证实了Valve多年来极力否认的技术现实。得益于这一令人瞠目的法律失误，我们现在拥有了官方记录的证据，证明：
- 大规模账户关联： Valve具备将可追溯至2019年的Steam账户进行关联的能力。
- 深度遥测： Valve维护着一套针对其用户的内部遥测与日志记录系统，其深度堪比国家情报机构。
- 官方确认： 精英法律团队在正式、可验证的法律函件中，恰好确认了这一切。
致IT法学教授们的一封谦卑恳求（以及一次现实检验）
尊敬的阿伯丁大学及其他提供IT法律学位的高等学府的教授们：我们有一个恳切的请求。求求你们，请在学生攻读学位的“IT”部分上，对他们要求更严格一些。
教教他们矢量图形的工作原理。教教他们，在Adobe Acrobat里画一个框，并不会神奇地抹掉底层的文本代码。这些是绝对的数字基础，在任何人被授予博士学位或获准接触敏感的GDPR用户数据之前，都应该先掌握这些技能。
但让我们对学术机构完全公平一点。大学是极具权威且备受尊敬的实体。我们确知，没有任何一位有声誉的教授会教学生如何人为拖延法律规定的GDPR响应，以耗尽受害者的耐心。
那种特定技能——将官僚体系武器化，以及蓄意拖延法律时间线——并不属于任何大学课程的内容。那纯粹是企业内部的举措。这是一种暗黑技艺，只有加入像泰勒·韦辛这样的律所时，你才能学到。
这实际上揭示了一个关于现代法律职业管道残酷而未曾言明的现实。似乎真正懂技术的毕业生，最终都去从事了正常、体面的工作，在现实世界中构建、保护并推动创新。
那其他人呢？那些只想穿上昂贵西装、玩弄时髦术语的人？他们去了像泰勒·韦辛这样的律所，充当高价的企业“清道夫”，职责就是把科技巨头的肮脏秘密埋藏在绘制拙劣的数字黑匣子后面。
致欧盟数据保护监管机构的正式请愿书
致目前负责监督这一乱局的GDPR监管机构及数据保护当局：假设贵方办公室并非由同一类“专家”所把持，我们谨此请求贵方对以Taylor Wessing之名运作的马戏团展开调查。
是否存在一种法律机制，可以强制这些专业人士进行数字技能再认证？或者，也许有人应该直接给他们量量体温？看起来，这些律师一旦获得那令人敬仰的“博士”头衔，就会染上一种严重的“企业热”，这种热病似乎永久性地抹去了他们大脑中基本的计算机素养。
你可知道这一单次交互中包含了多少起GDPR违规行为？他们人为拖延了法律规定的响应时间，以“保护他人”为幌子扣留数据，将官僚程序武器化，随后又不慎泄露了同一批人的原始、去匿名化数据。
与此同时，让我们来看看记分牌。我的狗至今仍然保持着零数据泄露的完美记录。诚然，她没能成功处理那份GDPR请求。但她也没有在向客户按每小时数百欧元收费的同时，酿成一场大规模跨境数据泄露事故。在现代企业生态系统中，什么都不做、仅仅是不把事情搞砸，就足以让我的狗当之无愧地成为本月最佳员工。
是时候改变Steam上的游戏规则了
这不仅仅是律师在处理PDF文件时犯下的错误，而是关乎一个价值数十亿美元的平台对用户安全的系统性漠视。
我们的项目PhishDestroy之所以诞生，是因为Valve根本不在乎那些失控的垃圾信息、钓鱼攻击和被劫持的账户正在吞噬其生态系统。我们正是在这种企业责任缺失的真空中成长起来的。
如今，多亏了Valve选择的法务代表以及随后的这次数据泄露，真相终于被揭开。是时候打破他们那种对儿童遭劫视而不见、对不受监管的皮肤赌博置若罔闻，并永久冻结用户库存以充实自身腰包的政策了。
我们已汇编相关证据、企业荒谬行为的时间线，以及其失误的完整技术剖析。这是一份内容密集、严肃的读物，因为全球企业如何处理你的数据的真相通常正是如此。
请在此处阅读关于Valve公司实践的完整、深入调查报告：
PhishDestroy：Valve如何从被盗账户中获利
Taylor Wessing与Zurheide博士特别免责声明
我们完全清楚接下来会发生什么。我们猜你现在可能正在起草一份服务条款投诉或停止侵权函，想让我们撤下这篇文章。
在开始之前，让我们先把几件事在公开记录上说明白。
首先，PhishDestroy是一个100%非营利性项目。我们从中不赚取一分钱。这并非受你竞争对手委托的攻击性文章（假设在这个特定水平的数字艺术与手工领域你确实有竞争对手的话）。我们发布此文，是因为你那灾难性的泄露事件为我们对Valve的大规模调查提供了基础性证据。
其次，我们真心想称赞你们的艺术作品。那830页手工放置的黑色矩形确实精美绝伦。这些方块深邃、饱满，且异常一致。它美丽地证明了企业资金对花钱的企业来说毫无意义。考虑到你们在Taylor Wessing的时薪标准，这可能是游戏史上最昂贵的现代艺术项目。
（给下一次GDPR回复的专业建议：既然你们已经向Valve收取数百小时的费用，在800多页文件上画黑方块，不如试着在下面画些漂亮的小圆圈？换换花样也好。虽然不会让数据更安全，但对提取文本的人来说会很有趣。）
最后，请将此视为一个礼貌的警告：
任何试图举报、封禁或对本出版物进行法律威胁的行为，都将被视为对合法、非营利性安全研究的直接攻击。我们遵循一条非常简单的互联网规则。欢迎你尝试删除此链接。但如果你这么做，我们将一如既往：你每摧毁一个链接，就会有五个新链接出现。
欢迎来到互联网。
给Taylor Wessing的法律提醒：72小时规则
我们通常不会给你提供商业建议，除了“关门大吉”之外，但作为网络安全专家，我们有责任指出你技术失败所面临的法律现实。
你使用图形矢量覆盖层而非进行适当的结构性文档净化，直接违反了GDPR第32条（处理安全）。
我们强烈建议您审计曾经发送给任何对手方、申请人或客户的每一份PDF文件。如果您尚未在基础IT层面（清除元数据和隐藏图层）对这些文件进行检查，那么您极有可能正在主动导致多起持续性的数据泄露事件。
此外，让我们提醒贵方尊贵的IT法律博士们注意《通用数据保护条例》（GDPR）第33条：一旦数据控制者意识到个人数据泄露事件，其法律上有义务在72小时内通知主管监管机构。
鉴于这些泄露事件的跨境性质，以及你们所处理的大量高度敏感、去匿名化数据，试图掩盖此事只会引发最严厉的监管处罚。你们现已被告知此次泄露。时间紧迫。
请再次在此处阅读完整调查：
PhishDestroy：Valve如何从被盗账户中获利
