城读 │ 大数据时代的隐私问题：奥威尔式vs.卡夫卡式

Original Daniel J. Solove 城读 2022-07-13

340
大数据时代的隐私问题：奥威尔式vs.卡夫卡式

隐私问题不仅仅是奥威尔式的，而是卡夫卡式的。

Daniel J. Solove, 2007. 'I've Got Nothing to Hide' and Other Misunderstandings of Privacy. San Diego Law Review, Vol. 44, p. 745, GWU Law School Public Law Research Paper No. 289, Available at SSRN: https://ssrn.com/abstract=998565

Daniel J. Solove, 2011. Nothing To Hide: The False Tradeoff Between Privacy and Security, Yale University Press.

Source: https://www.danielsolove.com/nothing-to-hide/

城读按：去年我翻译的《足够智慧的城市》出版之后，应《信睿周报》之邀，写了一篇文章《从街道之眼到城市之眼：智慧城市如何改变匿名性？》（本期城读取得授权转载，见第二篇推文），梳理我在翻译和学习过程中关于城市、技术和匿名性的粗浅思考。下文是影响《足够智慧的城市》写作的学者之一，乔治城大学法律教授、隐私法专家丹尼尔·沙勒夫有关隐私的论述，清晰犀利，富有启发。

谈到大数据时代的隐私问题，乔治·奥威尔的《1984》的隐喻常常被用来描述收集和使用个人数据所造成的隐私问题，奥威尔的隐喻侧重于监控的危害（如行为抑制和社会控制）。老大哥通过监视每个人生活中最私密的细节，惩罚甚至最为微小的异议，来控制社会的行为。在奥威尔影响之下，人们认为隐私遵循“秘密范式”：当一个人的秘密被监视或暴露时，隐私就受到了侵犯，导致人们（通过“寒蝉效应”）自我审查或遭受后果。

但是，秘密范式无法解释为什么诸如某人的共享单车行程或者点赞信息的收集、汇总和分析的危害。奥威尔式的隐私问题难以囊括大数据时代涌现的其他隐私问题。乔治城大学法律教授、隐私法专家丹尼尔·沙勒夫在《没什么好隐瞒的：隐私与安全之间的虚假权衡》借用弗朗茨·卡夫卡1925年发表的小说《审判》主题，提出卡夫卡式的隐私问题，并提出一个隐私类型。

《审判》的主角约瑟夫·K（Josef K）在他30岁生日那天醒来，发现有两个人在他房间里宣布他被捕了。约瑟夫没有被告知他做了什么，也不知道他是被哪个机构逮捕。这部小说描写了约瑟夫试图揭开神秘法庭的身份以及法庭所掌握有关他的材料的失败尝试。在他31岁生日那天，约瑟夫被法庭特工谋杀了，但他却未能知道他们的真面目。沙勒夫解释：“《审判》捕捉到当一个大型官僚机构控制了个人生活大量细节的档案时，个人所感受到的无助感、挫败感和脆弱感。”

卡夫卡的《审判》描述了一个目的难以捉摸的官僚机构，它们利用人们的信息对他们做出重要决定，但却剥夺了人们参与如何使用其信息的能力。它们通常不会导致行为抑制或寒蝉效应。相反，它们是信息处理的问题——数据的存储、使用或分析。现有法律和政策主要关注奥威尔式的隐私问题，却没有充分关注卡夫卡式隐私问题，即信息收集、处理和传播问题。它们影响到人们与现代国家机构之间的权力关系。它们不仅通过创造一种无助感和无力感使个人受挫，而且还通过改变人们与对其生活做出重要决定的机构之间的关系，影响社会结构。就像约瑟夫一样，今天人们对于哪些个人数据被收集、谁拥有这些数据以及如何利用这些数据几乎一无所知，也没有任何控制权。因此，沙勒夫提出可以用卡夫卡式隐喻来指代大数据时代涌现的新的隐私问题。

隐私的定义和分类

究竟什么是“隐私”？隐私有多大价值，我们如何评价隐私的价值？我们如何权衡隐私与其对立的价值？

沙勒夫认为，不能把隐私归结为一个单一的本质；隐私是一个包含不同要素的多元体，它们没有一个单一共同性，但彼此之间存在相似之处。

沙勒夫提出一个隐私的分类，这种分类可以反映出构成隐私侵犯的多种类型的问题和伤害。

表1 丹尼尔·沙勒夫提出的隐私分类

大类	细类
信息收集(Information Collection)	监控(Surveillance）
审讯(Interrogation）
信息处理(Information processing)	汇总(Aggregation）
识别(Identification）
不安全(Insecurity）
二次使用(Secondary Use）
排斥(Exclusion）
信息传播(Information Dissemination）	破坏保密协定(Breach of Confidentiality）
披露(Disclosure）
曝光(Exposure）
增加可得性(Increased Accessibility）
敲诈(Blackmail）
挪用(Appropriation）
歪曲(Distortion）
入侵(Invasion）	侵扰(Intrusion）
	决策干预(Decisional Interference）

沙勒夫将隐私分为四大类、十六个细类。第一大类为信息收集，涉及收集个人相关数据的方式，包括监控和审讯两个细类，代表了两种最主要的有问题的收集信息的方式。当个人、企业或政府实体的活动因扰乱他人有价值的活动而造成伤害时，就会出现隐私问题。这些伤害未必是身体上或情感上的伤害；伤害还可以通过扼杀对社会有益的行为或者对社会结构产生不利影响从而导致权力不平衡而产生。

第二大类为信息处理，涉及到数据的存储、分析和操控。信息处理可能导致一些问题，包括数据汇总、识别、不安全、二次使用和排斥问题。例如，不安全问题增加了人们对潜在信息滥用的脆弱性。排斥问题是指人们无法获取关于他们自己的数据，对数据的使用方式没有任何发言权。

第三大类为信息传播，是指信息被传播或者被威胁要传播给他人的方式，其中包含七个不同的细类：违反保密协定、披露、曝光、增加可得性、敲诈、挪用和歪曲。

第四大类为入侵，指对个人的直接干扰，包括侵扰和决策干预，比如入侵个人的生活或管控个人对自己生活所做的各种决定。

隐私的社会价值

许多隐私理论认为隐私是一种个人权利。例如，托马斯·爱默生宣称，隐私“是基于个人主义的前提，即社会的存在是为了促进个人的价值和尊严…隐私权...本质上是不参与集体生活的权利——将社区拒之门外的权利。”

但是，保护个人价值也是一种社会价值。社会涉及大量摩擦，人们不断相互冲突。使一个社会成为一个良好生活场所的部分原因是它允许人们免受他人侵扰的程度。一个没有隐私保护的社会将是令人窒息的，它可能不是一个大多数人愿意生活的地方。

隐私构成了社会为促进行为规则、礼节和文明而做出的努力。社会将保护隐私作为在社会中执行某种秩序的一种手段。隐私并不是个人凌驾于社会利益之上，而是基于社会自身的规范和价值对个人进行保护。隐私不只是一种使个人摆脱社会控制的方式，因为隐私本身就是一种社会控制的形式，从社会规范之中出现。隐私不是对社会的外部约束，实际上是社会的一个内部维度。因此，保护隐私具有社会价值。即使它保护了个人，也是为了社会的利益而如此去做。因此，不应该把隐私作为一项个人权利与更大的社会利益进行权衡。隐私问题涉及平衡天平两端的社会利益。

对每个隐私问题的保护都有其社会价值，而这种价值又因每个隐私问题的性质而不同。

为什么“没什么好隐瞒的”观点是错误的？

在讨论政府监控和数据挖掘是否对隐私构成威胁时，不少人的反应是他们没什么好隐瞒的。这种说法在关于隐私和安全问题的大众话语中相当盛行。例如，英国政府在城镇安装了数百万个公共监控摄像头，官员们可以通过闭路电视对其进行监控。在某个宣传片中，政府告诉大众：“如果你没什么好隐瞒的，那你就没什么好担心的”。

“没什么好隐瞒的”论点及其变种在有关隐私的流行话语中相当普遍。数据安全专家布鲁斯·施奈尔（Bruce Schneier）称其为“对隐私倡导者最常见的反驳”，法律学者杰弗里·斯通（Geoffrey Stone）则称其为“陈词滥调”。在权衡隐私与安全之时，“没什么好隐瞒的”是提出的最主要的论点之一，在其最令人信服的辩论形式中，隐私利益一般而言是微不足道、无足挂齿的，从而在安全隐私问题之间进行权衡时，安全注定会占上风。有时，“没什么好隐瞒的”的论点以反问形式出现，“如果你没什么好隐瞒的，那你有什么可担心的？”，或者，“如果你没做什么坏事，那你有什么好隐瞒的？”

这个观点的推理是，当涉及到政府监控或使用个人数据时，如果一个人没有任何敏感、令人难堪或非法的东西需要隐瞒，那就不存在侵犯隐私。只有参与非法活动的犯罪分子才需要担心，但对于绝大多数人来说，他们的活动既不违法，也不令人难堪。

但是，“没什么好隐瞒的”观点的问题在于其基本假设，即隐私就是关于隐藏坏事。同意这个假设等于过度让渡，导致对人们可能想或不想隐瞒的信息进行无益讨论。正如施奈尔指出的，“没有什么好隐瞒的”观点源于一个错误前提，即隐私就是关于隐藏错误的。

"没什么好隐瞒的”观点的更深层次的问题是，它短视地将隐私视为一种隐瞒或秘密的形式。但是，如果将隐私理解为包含多种要素的多元体，隐瞒坏事只是监控和数据挖掘造成的众多问题中的一个。

隐私问题不仅仅是奥威尔式的，而是卡夫卡式的。即使没有发现人们想要隐瞒的信息，监控也是有问题的。在《审判》中，问题不是被抑制的行为，而是法院系统对个人数据的使用和对主人公K被排斥在知情或参与个人数据的收集使用过程所造成的令人窒息的无力感和脆弱性。

例如，有一种侵犯隐私的类型“汇总”，它由一些看似无害的小数据汇总而成。通过将我们可能不屑于隐瞒的信息结合起来，政府或企业可以收集到我们可能真的想隐瞒的信息。数据挖掘的部分诱惑力在于它能够通过复杂的数据分析手段来揭示很多关于个体的个性和活动。因此，如果不提高数据挖掘的透明度，就很难说数据挖掘项目不会泄露人们可能想要隐瞒的信息，因为我们并不确切知道泄露的是什么。此外，数据挖掘的目的是对未来行为进行预测，符合某些特征的人被认为可能会从事某种行为。没什么好隐瞒的，并不能消除对未来活动的预测。

再如排斥，当人们被阻止了解他们的个人信息是如何被使用的，以及被禁止访问和纠正数据中的错误时所造成的问题。问题不是关于收集的信息是否是人们想要隐瞒的，而是关于政府的权力和结构。

二次使用是指在未经当事人同意的情况下，将为某一目的获得的数据用于其他不相关的目的。收集数据的企业或政府对这些数据将被储存多长时间，如何使用，以及未来可能被如何使用缄默不语。任何个人信息未来的潜在用途巨大，如果对这些信息的使用没有限制或问责，人们很难评估数据被政府或企业控制的危险性。

因此，“没什么好隐瞒的”观点的问题在于，它只关注一两种具体的隐私问题，个人信息的披露或监控，但却忽视了其他问题。它假定了一种隐私是什么的观点，并且以一种往往是无益的方式设定了辩论条件。“没什么好隐瞒的”观点代表了一种单一狭隘的隐私概念，迫使辩论集中在其对隐私的狭义理解上。

关键的误解是，“没有什么好隐瞒的”观点以一种特定的方式看待隐私，作为一种秘密的形式，作为隐藏事物的权利。但是隐私还涉及许多其他类型的伤害。在许多情况下，使隐私受到威胁的不是单一的恶劣行为，而是一系列缓慢的相对较小的行为，这些行为影响逐渐开始累加，从而威胁到隐私。

在权衡隐私与安全时，隐私的危害往往被描述为对个人的伤害，而安全的利益则往往被描述为更广泛的社会利益。不应该将安全利益与隐私利益两者进行权衡。相反，应该权衡的是，通过实施司法监督和最小化程序，对信息收集或数据挖掘项目的有效性边际的限制程度。

城读相关阅读：

47.城读│城市越大，创新越多？

73.城读│科技能为城市未来做什么？

77.城读│理解城市发展的四把钥匙

94.城读│明日简史：少数人变成上帝，多数人沦为无用阶级？

97.城读│为什么我们对科技期待更多，却对彼此期待更少？