ICE这次采购文件里，最刺眼的词不是“analytics”，而是“ITIN”。
404 Media查阅的政府采购记录显示，美国移民与海关执法局（ICE）在6月5日与Thundercat Technology LLC签署合同，金额为9,968,353.56美元。合同描述写得很直白：为HSI探员在欺诈调查中使用的“ITIN data subscription and analytics”。
ITIN是个人纳税识别号。它给无法获得社会安全号码（SSN）的人报税使用，许多无证移民正是靠它纳税。
反常点在这里：此前IRS向DHS/ICE共享ITIN和地址信息的安排，已经被法院两次阻止。现在ICE没有从IRS这扇门走，而是出现在一张近千万美元的商业采购单里。
我更在意的不是ICE是否用了“反欺诈”名义。真正的问题是：政府不能直接从税务机关拿的数据，能不能转身从市场上买到相近结果？
采购记录写了ITIN，但没写清数据源
已知事实不复杂。
供应商是Thundercat Technology LLC。原文提到，这家公司是美国政府常见技术供应商，经常转售其他公司的技术或监控产品。它未回应置评请求。
这意味着一件事：Thundercat未必是数据源公司。它可能只是转售商。实际产品来自哪家公司，目前看不清。
| 项目 | 采购记录显示 | 需要划清的边界 |
|---|---|---|
| 签署日期 | 6月5日 | 执行细节未公开 |
| 金额 | 9,968,353.56美元 | 不等于全部用于购买原始数据 |
| 供应商 | Thundercat Technology LLC | 可能只是转售商，真实数据源未知 |
| 合同描述 | “ITIN data subscription and analytics for HSI agents in fraud investigations” | “欺诈调查”不等于已有欺诈证据 |
| 数据内容 | 与ITIN相关的数据订阅和分析 | 不能断言ICE已拿到姓名、地址或完整ITIN |
这张表的重点，是限制。
现在不能说ICE已经买到“移民名单”。也不能说它已经拿到具体姓名、地址或完整ITIN。采购记录没有披露字段。
但采购路径本身已经足够敏感。过去，政府部门要拿税务信息，通常要走机构间共享、法定例外、传票或司法程序。数据经纪商模式把它变成“买服务”。
前者会留下更清楚的法律争议。后者更像一条雾里的路。
ITIN敏感，因为它绑定的是“愿意报税的人”
ITIN不是普通营销数据。
手机定位、消费偏好、住址线索已经够敏感，但ITIN更特殊。它连接的是纳税身份。对很多无证移民来说，使用ITIN报税，是在没有SSN的情况下履行税务义务。
税务系统能运转，靠的是一个基本预期：报税信息不会轻易变成移民执法线索。
美国税法中的纳税人信息保密规则，核心就是限制IRS随意披露纳税人信息。规则有例外，但例外要有边界。法院此前阻止IRS与DHS/ICE共享ITIN和最后已知地址信息，争议也在这里。
据报道，IRS与DHS/ICE曾在2025年4月达成安排，拟共享超过120万人的纳税人识别号和最后已知地址。该安排后来两次被法院阻止。一次裁定认为做法违法，另一次指出该安排可能显著增加纳税人被误识别的风险。
误识别不是纸面问题。
税务行政监察机构的报告还发现，IRS未能持续、准确地把纳税人信息与ICE记录匹配。IRS也承认曾不当共享信息。
对使用ITIN报税的家庭来说，风险会变得很具体：更新地址时更犹豫，报税时更担心，收到税务或移民相关通知时更可能先找法律援助确认。税务师、移民律师和社区组织也会被迫多做一层解释：哪些信息会进入税务系统，哪些信息可能被其他机构看到，目前又有哪些事还没有证据证明。
这不是建议任何人停止报税。恰恰相反，问题在于，执法采购如果削弱了报税信任，政府短期可能多拿到线索，长期却会损害税务合规。
数据经纪商后门，最该查三件事
ICE和DHS下属机构购买商业数据并不新。
ICE和海关与边境保护局（CBP）都曾采购智能手机位置数据。404 Media此前还报道，ICE购买过Webloc工具，可监控整个社区范围内的手机。《华盛顿邮报》也报道过，ICE曾购买电话、水电等公用事业数据，后来相关销售停止。
这些案例有一个共同点：数据先在商业市场流动，再进入政府执法系统。
区别在于，ITIN触及税务保密制度。它不是“哪里出现过一部手机”，而是“谁在以什么身份纳税”。
参议员Ron Wyden的判断很尖锐。他称这看起来像特朗普政府试图绕过法律和法院命令，通过数据经纪商后门为大规模驱逐行动提供燃料。
这句话可以作为政治判断，但还不能替代证据。法院此前阻止的是IRS共享安排，并没有明确裁定这份新合同违法。商业采购是否触发同类限制，要看数据来源、字段内容、使用方式和法律授权。
接下来不该只等ICE一句“没有买移民名单”。更该盯三件事：
- 合同实际包含哪些字段.是否只是风险评分、关联分析，还是涉及可识别个人的税号、地址或身份线索。
- 真实数据源是谁.Thundercat若只是转售商，监管就必须追到上游。
- HSI如何界定“欺诈调查”.欺诈名义是否有明确案件门槛，还是被用作移民执法的数据入口。
这三件事，比口号更重要。
如果数据字段不可识别，争议会小一些。如果字段能反推出纳税人身份，问题就会回到开头那扇门：法律不让政府从IRS前门拿，是否允许它从数据市场后门买？
这也是这份采购单真正让人不安的地方。它没有证明ICE已经拿到了什么完整名单，却暴露出一条更难监管的路线：把本该受税务隐私规则约束的信息，拆成商业产品，再卖回执法系统。