2026 年 11 月 2 日，Ford 突然高调发布了一项隐私承诺（privacy promise），还专门上线了一个科普网站，教车主怎么查看和修改车机里的隐私开关。看时间点就知道这事绝非偶然，就在前一周的 10 月 29 日，死对头 General Motors（GM）刚因为偷偷把车主驾驶数据卖给第三方，和美国 36 个州及司法管辖区签下 2.2 亿美元的天价和解协议。Ford 选在这个节骨眼出来表态“绝不把驾驶数据卖给数据经纪商”，姿态摆得很漂亮，但如果我们去翻翻它自己的监管罚单和底层法律条款，就会发现这其实是一场为了保住新一代电动平台数据命脉的合规公关。
先把账算清楚。Ford 调查了 1000 名消费者，91% 的人把数据隐私当成买车的关键考量，但全行业只有 14% 的美国车主真正清楚自己的车在收集什么。这种巨大的认知温差，过去几年被车企当成了套利空间，直到监管重锤砸下来：
- 发生了什么.Ford 上线隐私科普网站，在新一代通用电动汽车（universal electric vehicle）平台推出前夕，公开承诺不向数据经纪商出售驾驶数据，也不用于定向广告。
- 为什么紧迫.GM 刚在 2026 年 1 月被 FTC 下达 5 年数据披露禁令，5 月赔了加州 1275 万美元，上周又赔了 36 个州 2.2 亿美元；同时 Jeff Bezos 投资的初创公司 Slate Auto 正主打无内置调制解调器（modem-free）的极简隐私皮卡，从硬件底层抢夺对隐私敏感的车主。
- 代价谁承担.车主想在 Ford 车上关掉数据共享，就必须接受实时导航、内置道路救援等网联功能一并瘫痪；而且普通人以为删掉手机 App 就能断联，实际上车机后台依然在源源不断地上传带 VIN 码的数据。
刚交完加州罚单的“优等生”，为什么急着表白？
只看 Ford 首席隐私官 Kristin Jones 的表态，你很容易以为 Ford 是个出淤泥而不染的行业清流。毕竟 GM 干的事太难看了——2016 到 2024 年间，GM 通过 OnStar Smart Driver 项目把车主的超速、急刹车数据打包卖给 LexisNexis 和 Verisk 等数据经纪商，直接流向保险公司用于涨保费；调查甚至发现有经销商替客户代点同意，App 还向超过 37 万名车主错误显示“未注册”。
相比之下，Ford 坚称相关的隐私控制开关已经存在多年，这次只是为了跟车主沟通得更清楚。
我不太买账的是这种置身事外的叙事。把日历往回翻 8 个月就会发现，Ford 自己刚刚在隐私问题上栽过跟头。2026 年 2 月 27 日裁决、3 月 5 日公布的一项加州隐私执法行动中，加州隐私保护局给 Ford 开出了 375,703 美元的罚单。受罚原因很具体，Ford 在用户的隐私退出（opt-out）流程里人为塞进了一道没必要的邮件验证门槛，导致数十份消费者要求“拒绝出售或共享个人信息”的请求石沉大海，而 Ford 则继续在网站追踪与数字属性层面出售或共享这些人的信息，最终被监管责令简化流程并全面审计网站追踪技术。
明代冯梦龙在《醒世恒言》里写过一句老话，“火到猪头烂，钱到公事办”。在科技行业，往往是罚单到、合规办。Mozilla 基金会早在 2023 年 9 月评估包括 Ford 在内的 25 个汽车品牌时，就给出了全员隐私不及格的结论，当时没几家车企当回事。直到 2026 年 FTC 和各州总检察长把罚单拍在桌面上，执法重心从打击秘密卖数据延伸到审查退订流程里的暗黑模式（Dark Patterns），车企才突然拿出了教育的诚意。
更关键的商业算计在于 Ford 即将推出的通用电动汽车平台。在软件定义汽车的时代，车企训练辅助驾驶算法、优化三电系统、预测硬件故障，全都指望车主每天跑在路上回传的海量遥测数据。如果车主被 GM 的丑闻吓坏，一上车就把数据开关全关了，Ford 新平台的研发迭代就会变成瞎子。
所以 Ford 的核心诉求很明确，用“绝对不把数据卖给保险公司背刺你”的底线承诺，换取车主把车机联网开关继续留在开启状态。
“不卖数据”的话术盲区与删不掉的追踪
把话说得再绝对，最后还得看具备法律效力的底层条款怎么写。Ford 高管在采访中反复强调“不试图以某种方式变现数据”“不用于定向广告”，但只要对照一下 Ford 在 2026 年 7 月 1 日刚刚生效的美国隐私声明，就能看出公关语言和法律文本之间的温差。
根据这份生效不到半年的官方声明，Ford 收集的数据涵盖了车辆诊断信息、驾驶行为、位置、语音指令、摄像头图像乃至媒体分析，而且这些数据通常直接附带车架号（VIN）等可关联到具体个人的标识符。更值得警惕的是三个细节：
- 没有统一删除期限Ford 并未对这些敏感车辆数据设定统一的自动销毁时间表，数据一旦入库，留存周期完全由车企掌握。
- 商业共享与位置豁免不卖给数据经纪商，不等于不流向外部。条款依然允许将数据用于特定营销，并向授权经销商及业务合作伙伴披露；而且在特定的有限情况下，无论车主怎么调整位置开关，Ford 都可能继续收集位置信息。
- 手机 App 的暗道《消费者报告》（Consumer Reports）在 2026 年 9 月 29 日刚引述了东北大学的一项实测，研究人员拆解了 21 辆汽车和 30 款配套手机 App，发现其中 28 款 App 会向外部广告或分析公司发送数据，7 款直接发送了姓名、VIN 码或精确位置等个人标识符。
车企把卖给保险公司的后门焊死，却把内部研发和商业合作的前门开得更大。
哪怕车主看懂了这些条款，想要在实操中彻底断联，也会撞上一堵制度摩擦筑成的墙。很多车主觉得手机上被追踪烦了，长按卸载 Ford App 就清静了。但 Ford 官方的隐私说明写得很清楚，仅删除手机 App 根本不会停止车辆的数据共享，因为车端内置的蜂窝网络调制解调器（Modem）依然在独立工作。车主必须从所有关联账户中移除车辆，或者直接把车机恢复出厂设置，才能切断账户相关的共享；而在日常管理中，“限制使用”“退出共享”和“删除数据”又是三套彼此割裂的独立流程。
- 提醒.车主如果打算出售二手车或彻底切断个人关联数据，切勿只卸载手机端 App，必须在车机系统内执行恢复出厂设置并在云端账户解绑 VIN 码。
功能人质与拔掉网卡的挑战者
为什么 91% 在意隐私的消费者，最后绝大多数还是乖乖交出了数据？因为车企把现代汽车的基础体验当成了“人质”。
Kristin Jones 在采访中没有回避这一点。一旦车主在 Ford 车上选择关闭网联服务（connected services），实时导航和内置的紧急道路救援功能就会直接停摆。这就像上世纪末微软把 IE 浏览器和 Windows 操作系统焊死在一起，虽然不完全一样，但背后的平台控制逻辑如出一辙——把高频刚需的安全、导航功能与后台遥测数据采集强制捆绑，逼迫用户在“当个瞎子开功能残废的车”和“交出全套驾驶行为数据”之间做二选一。绝大多数普通人在安全感和便利性面前，只能选择妥协。
这种软硬兼施的捆绑惯性，反过来给激进的挑战者留出了一道缝隙。Jeff Bezos 投资的电动汽车初创公司 Slate Auto，计划在今年晚些时候推出一款极简皮卡，它最大的卖点不是算力有多高，而是直接从主板物理层面上拔掉了内置蜂窝调制解调器，配套的手机 App 也做成了完全可选的组件，车主哪怕一辈子不装 App、不联网，也能正常开车和充电。
| 对照维度 | Ford（软件开关路线） | Slate Auto（硬件断网路线） |
|---|---|---|
| 硬件底层 | 标配内置蜂窝网络 Modem，默认持续在线 | 移除内置 Modem（modem-free），物理级断网 |
| App 依赖度 | 深度绑定，仅删 App 无法切断车端数据上传 | App 为纯可选组件，无 App 不影响正常驾驶与充电 |
| 退出代价 | 关闭网联服务即丧失实时导航与内置道路救援 | 原生无车机网联功能，从源头消除功能要挟 |
| 核心风险 | 企业隐私承诺与底层条款随时可能单方面修改 | 若车主主动使用配套手机 App，仍存在潜在收集通道 |
电子前哨基金会（EFF）的隐私倡导者 Thorin Klosowski 点破了这两条路线的本质差异。他欢迎 Slate Auto 这种物理断网的尝试，因为企业的隐私承诺说到底只是一纸公文，管理层换了、营收压力大了，条款随时可以改写；而车里没有那块通信芯片，数据就真的传不出去。
Ford 这次花大力气做科普网站、发隐私承诺，比起 GM 那种瞒着车主卖数据给保险公司的吃相，确实算得上一次体面的合规进步。但只要“不给数据就阉割导航和救援”的捆绑机制不改，所谓把控制权交还给车主，就依然是一道预设好答案的选择题。接下来最值得紧盯的变量只有一个，等 Ford 的通用电动汽车平台正式交付时，第三方机构实测抓包出来的车机与 App 数据流向，到底有没有它今天承诺的这么干净。