摘要

  • DoorDash 在 2019 年 9 月的披露称，未经授权者进入了由其一间第三方服务商保管的数据，约 490 万名客户、Dashers 与商户受到影响；公司表示已加固系统、强化安全协议并通知了相关个人。
  • 2024 年 2 月的加州和解，处理的是 DoorDash 自身在《加州消费者隐私法》与《加州在线隐私保护法》下关于出售与告知的指控，与 2019 年这次事件无关。
  • 真正值得写的不是中间夹了一层供应商，而是公开记录从未说出谁持有那个失效的控制措施，也从未拿出证明：这道边界被修好过，并且一直保持修好的状态。

一句话干了两件事

2019 年 9 月那份通知在数据类型上异常具体。姓名。电子邮箱。配送地址。订单记录。经过哈希处理的密码。少数客户的支付卡后四位。在规模上也具体：约 490 万人，横跨客户、Dashers 与商户（依据该披露整理的事件记录）。

然后就是那句此后扛起整条问责叙事的话：访问发生在 DoorDash 的某家第三方服务商那里。

这句话诚实地交代了数据放在哪儿。它不是关于控制在哪儿失效的陈述。两者是不同的事实，握在不同公司手里，靠不同的日志才能证明。十年来一连串由供应商介入的泄露事件，教会了传播团队把两者合成一句，因为合并的写法站得住，而点出控制的所有者站不住。

把这份通知当成一项主张，而不是一项结论来读，问题的形状就出现了。

一家外卖平台，是穿着应用外衣的采购组织

DoorDash 挑中了那家服务商，谈了条款，授予了访问权，付了账单，并且留住了与客户的关系。那位配送地址躺在服务商数据表里的当事人，跟服务商毫无关系。他有一段与某个应用的关系，而这个应用有一个供应商。

于是运营方保留了供应商没有的那样东西：公开义务。当损失公开化时，欠 490 万人一个解释的是 DoorDash，欠他们一个下一步的也是 DoorDash。在它自己对应对措施的叙述里，公司表示已采取措施加固系统、强化安全协议并通知了受影响个人（同一份事件记录）。

这是一份活动清单。它不是控制矩阵，不是根因结论，也不是独立检测的结果。这个区别很重要：当泄露发生在供应商的环境里，决定修复是否真实的，恰恰是运营方的保证性工作，而不是加固性工作。加固自家围栏，对躺在别人租户空间里的弱点毫无用处。去核查别人的租户空间，是另一门手艺，成本不同，留下的纸也不同。

加州究竟追了什么

2024 年 2 月，加州总检察长宣布与 DoorDash 达成和解。指控依据《加州消费者隐私法》与《加州在线隐私保护法》，指向在出售消费者个人信息时未作告知、也未提供退出选择，并附带涉及该公司数据处理方式的禁令性条款（总检察长公告；同期诉讼报道）。

这里不复述公告中的金额。检方公告与媒体报道对同一份文件给出了互相矛盾的表述，而本文保留的文本中，没有任何一份带有发布方关于该数字的原话。三次阅读同一份公告得到三个互不相容的数字，那就不叫证据，那叫带着新闻稿的四舍五入误差。

这次行动的标的才是更有意思的事实。加州追的是 DoorDash 如何描述自己的数据出售。它没有追某家供应商在 2019 年对 DoorDash 的数据做了什么。在为本文查阅的 2019 年披露记录与两份加州文件里，没有任何与那次事件相关的罚款、命令、义务或合同追偿。

这是对一个很小的文件集合所作的有限观察，不是断言别处什么都没发生。保密和解存在。保险追偿存在。私下索赔存在。这些都不在卷宗里；而缺了一个抽屉的卷宗，与一个空卷宗并不是同一件东西。

为什么这个分离本身就是故事

一个日程有限的监管者，会去追那些能靠公司自己公开过的文件证明的违规。「你把我的数据卖了却没告诉我」，这句话可以拿去对照一份隐私政策。「你那家供应商的环境在 2019 年夏天存在控制缺口」，这句话需要别人的日志、别人的配合，以及一套推定控制归属的法学理论——很少有机构愿意拿它去和一家已经把信寄出去的公司打官司。

于是激励方向反了过来。通知便宜、快、法律强制要求，而且叙事上可控：一封信，一句道歉，一个承诺。保证则昂贵、缓慢、在多数地方法律上并非必需，并且叙事上危险，因为它产出的文件有可能白纸黑字地写错。

本刊在事件尚新时已审视过泄了什么，2026 年 7 月又做过一次。真正剩下的问题不是卷宗里关于那 490 万人写了什么，而是公司自己关于这道边界的卷宗里本该有什么，以及公司外部的人能不能分辨一次修复和一句公关话术。

六件能定案的物证

如果供应商那道边界真的被修好过，本该存在六样东西。每一件都是文件。每一件都有作者、日期和读者。

一份范围记录。 服务商是谁、提供什么服务、涉及哪些系统、涉及哪几类数据、下面还有没有次级处理者。不必全文公开，但要能被监管者、审计师或保险人读懂。

一份控制所有权矩阵。 对边界上的每一项控制——访问复核、加密、日志、告警、凭据管理——写明它归哪家公司所有，以及那家公司里由谁负责。「安全是供应商的责任」不是矩阵。那是一句有主语的托辞。

一份与事件挂钩的根因结论。 访问路径、本该拦住它的控制、以及它为什么没拦住。结论要说出机制，而不是说出一个类别。

一份整改登记册。 每项措施、负责人、实施日期，以及是否有独立检测确认过。日期是登记册与愿望清单之间的分界线。

带牙齿的合同条款。 可计量的通报时限、被拒绝后仍然存续的审计权、附带经济后果的整改期限，以及一条真正动用过或被可信地摆上桌面的替换与终止路径。

一次复测。 同一个控制，过一段时间，由不向第一份报告作者汇报的人再测一次。泄露之后一次干净的测试是一个数据点。一年之后一次干净的测试才叫控制。

这些东西，2019 年那次损失一件都没有公开。有些可能以非公开形式存在。不公开本身就是发现，它比流行版本更窄也更实用——流行的版本是「怪供应商」。供应商也许真有责任。公司以外的任何人都说不清，而这正是问题所在：一个无法区分供应商失守与运营方治理失守的公众，没有办法给其中任何一项定价。

下一份通知该回答什么

通知是消息。控制是物证。2019 年那份通知告诉 490 万人，文件里关于他们记了些什么。它没有告诉他们，弄丢文件的那家组织能不能描述自己的边界，更别说修正边界；而从那以后，卷宗也没有以任何读者可核查的方式增加过一页。

下一份披露的标准不该是「有没有点名供应商」。点名是一种礼貌，有时会与进行中的调查冲突。标准应该是：运营方能否证明自己回去看过——谁持有那个控制、改了什么、什么时候测的、测出了什么。任何公司都能这样承诺。只有手上有材料的公司才能把它摆出来。