“数合规”读书会07 | J E. Cohen：《由内到外重构隐私》

2022-05-01 00:05

“数合规”读书会是何渊老师和他的学生们定期学习和交流的机制，聚焦于数据法的理论及实践，每月一期，目前已进行到第七期。何渊老师期待通过这种教学相长的方式，督促他的学生们多读英文文献，多了解数据合规实务，多练习法学论文的写作，争取为数据法共同体培养更多优秀的储备人才。

Julie E. Cohen, Turning Privacy Inside Out, 20 Theoretical Inquiries L. 1 (2019).

朱莉·E·科恩：《由内到外看隐私》

研读人：黄锐奇，上海交通大学法学院硕士生

本文发表于《Theoretical Inquiries in Law》，作者是乔治城大学法学院的Julie E. Cohen教授。本文主体内容共分为三个部分，第一部分回顾了“以主体为中心”的现有隐私理论在概念和制度上的双重矛盾。第二部分从社会关系和外部条件的角度重新建构了隐私理论体系。第三部分则在第二部分所建构的理论的基础上提出语义不连续和可操作的问责制两种方式作为有效的隐私实践。

一、现有隐私理论的两层矛盾

作者认为现有的隐私理论在概念层面和制度层面存在着两层矛盾，使得隐私不仅在其权利的论述形式上存在重要缺陷，也使现有维护隐私权的工具无法产生有意义的效果。

1.概念层面的矛盾

支持现有隐私理论的主要理由:

第一个理由：它保护和促进了个人的自主性，实现个人的自治。然而作者在其之前的工作中指出，自治的条件是偶然的，且最终是矛盾的。人类对自我身份的作出的选择以及最终所确定的自我身份在相当程度上是由社会塑造的。

第二个理由：为了保护人的尊严，然而尊严的概念本身也是由社会和文化建构的，即使我们假设了一个非语境化的、普遍的出发点，比如康德的绝对命令，最终不同的社会对人格尊严也会有着不同的理解与阐释。

第三个理由：隐私能够实现自我与社会之间的基本程度的分离，以保障批评、异议等言论自由的实现。作者认为，这个理由首先已经隐含地以社会参与建构的现实为前提。之所以自我和社会之间的分离非常重要，是因为它服务于我们社会所选择的重要价值观，言论自由就是很好的例子。

第四个理由：隐私能够提升社会的整体利益，但作者认为这种理由的矛盾之处在于在讨论社会整体利益时忽视了个体的概念。作者举了一个例子，假设人格测试、再犯性评估等算法足够精确且不会产生歧视，此时算法的结果往往是最准确的，社会利益也被最大化，那么为什么不能用算法来完成员工的招聘或者罪犯的量刑？此时，反对的唯一理由就是对人类尊严和道德价值的信念。

作者认为，这些证成隐私的理由之间相互矛盾，无法形成一致性的概念体系，其原因在于他们观察的视角割裂了个人与社会之间的关系。所以就概念层面而言，应将隐私从内向外翻转，仔细考量主体和社会之间的联系，重视产生隐私产生的社会条件。

2.制度层面的矛盾

作者认为，在权利话语体系中，以主体自由为中心的表述虽然是宏大且令人鼓舞的，但是对隐私实践并无法产生有意义的效果。

作者首先对“告知同意”规则提出了强烈的批评，她认为有意义的同意必须建立在有意义的通知的基础之上。但是数据处理者提供的关于数据收集、处理和使用的信息往往是模糊和笼统的，这种趋势在通知的内容涉及记住用户的偏好与跟踪用户的行为的差别时将会极为明显。数据处理者这样做的原因是他们对所收集的信息的用途并没有清晰的认知，且他们希望给自己留下开放式的选择机会。此外，考虑到资本逐利的特性，向信息主体充分告知与盈利之间存在着难以解决的矛盾。数据处理者将会通过各种方式引诱信息主体作出广泛的前瞻性同意，以实现其盈利的目的，比较典型的例子就是“黑暗模式”。

一种可能解决上述“告知”难题的方法是要求对处理个人信息所涉及的自动化逻辑进行有意义的披露，比如说要求数据处理者解释机器学习算法的数据驱动过程。但是作者并不赞同这种观点，她认为这种方法首先会受到商业秘密保护的挑战。同时，即使数据处理者作出了有意义的披露，但是在美国根深蒂固的合同自由背景下，无法保证信息主体在拒绝提供某些个人信息后，仍能以可接受的条件获得商品和服务。更重要的是，披露的内容可能在信息主体看来极为复杂，超出信息主体的接受范畴。这意味着即使处理者披露自动处理逻辑的详细信息，信息主体可能也不愿意花费时间精力去理解，正如许多人看来，默认广泛的前瞻性同意可能是最好的选择。

另一种可能的解决方案是欧洲提出的“目的限制原则”和“对某些敏感数据的禁止处理”，但作者对此也持悲观的态度，她指出机器学习算法能够挖掘大量数据中潜在的相关关系，并解决因缺少直接数据而产生的限制。例如宗教信仰虽然作为敏感数据被禁止处理，但是通过分析购买食品的数据，就能够较为容易地推断出哪些人是穆斯林。换言之，由于算法具备绕过限制的能力，数据驱动的机器学习系统可能会尊重代码中直接和明确表达的特定禁令，但这种尊重不一定会转化为对个体的平等待遇。此外，限制信息的处理目的要求限制所有可能从信息中得出的各种推论和相关关系，因此需要一种强大且持久的监视与控制机制。但是考虑到机器学习算法绕过特性，这种对信息控制的结构的复杂度将以指数的形式上升，不具有实际的可行性。

最后，作者认为隐私实践失败的另一重要原因在于数据处理者相信使用收集到的个人信息来对信贷、保险、社会福利等重要资源的分配进行精细化的决策是最公平的方法，而忽视了其他决策方案的可能性。其背后的本质正如作者在《The Law of Informational Capitalism》中提到的那样，数据采集和处理是“信息资本主义”的主要商业模式之一，数据处理者并没有追求隐私的自我驱动力。相反，围绕着以数据 "创新 "而出现的政治和文化话语体系，将这些活动定位为良性的且有效的，因此理想地免于国家监管与控制。

综上所述，就制度层面而言，以主体为中心的“告知同意”制度无法解决算法背景下的隐私问题，因此也需要将隐私从内向外翻转，应从现有社会条件出发，寻找到与这些条件相符的隐私设计和操作实践。

二、隐私理论的再构建

基于现有的隐私理论无法解决上述概念和制度上的两个矛盾，作者基于自我与社会、自我与外部条件这两对关系，重新建构隐私理论，为有效的隐私实践提供方法论。

1.自我与社会的关系

作者认为，个体自我认识的产生是一个社会性的过程，个体在与社会中其他个体的互动交流的过程中，能够从对方的角度完成对自我的审视，由此形成对自我身份的认识。作者将该自我认识的过程归纳总结为为对自身与社会之间的“边界管理”。

在此基础上，作者通过与监视对比，探讨隐私的内涵与作用。监视是一种通过长期的、目的性的、系统性的关注，以产生可预测的、理性化的行为和信息流的社会秩序模式。这种社会秩序模式将在个体和社会之间形成稳定的边界，因此自我认识和自我身份的形成将由监视者确定，导致个人主体性的丧失。而隐私的作用在于为监视所形成的社会边界与自我认识之间保留一定的空白，使个人有机会重新定义自我的身份，避免丧失其主体性。

此外，这套理论还解释了为什么人们对人工智能等自动化处理技术有“毛骨悚然”(creepiness)的感觉。作者指出这种恐惧并非是来源于技术对人类的威胁，而是来源于对类别的不确定性。人工智能等技术混淆了生命和非生命之间的界限，使得个体无法区分与其交互的究竟是人还是非人。同时，人工智能具有一种强大的外来理性，使得人们在交互过程中对人工智能的视角感到强烈的陌生与怀疑。在这两个因素共同作用，最终导致个体自我认识形成的过程发生混乱，从而让许多人产生恐惧之感。有趣的是，作者认为Siri等语音助手就如同电影《2001太空漫游》中的HAL一样，已经具备了强大的外来理性，这种观点可能略有夸张。

2.自我与外部条件的关系

作者认为，现有隐私理论的构建中对外部条件的假想是错误的，例如现有隐私理论曾假设普遍广泛的监视在物理上是不可能的，然而现代信息技术的出现却使这种假设受到严峻挑战，这表明外部条件对隐私的影响在以往被忽略了，应将其重新纳入隐私权的建构框架予以考虑。作者还以政治经济自决权这一基本权利为例加以论证，她指出现有研究表明，权利的实现部分取决于适用法律制度的内容和制度结构，但也取决于人们所能够获得的健康、智力、文化等层面必要的资源和能力。

为了将隐私权利理论扩展到外部条件的领域，作者借鉴了环境心理学家James Gibson所提出并由Donald Norman所深化的“可供性”(affordance)理论。“可供性”是指外部条件所提供的所有行动可能性，既包含好的，也包含不好的。“可供性”兼具客观性与主观性，既取决于外部条件的客观属性，也取决于对外部条件的主观认识。可以认为，“可供性”是连接外部条件与个体的桥梁，表现为外部条件对个体的“使能”效应。

与基于“可供性”的隐私权利表述相区别的是基于自由(liberty)的权利表述和基于能力(capability)的权利表述。基于自由的权利表述忽视外部条件的限制，认为隐私权完全取决于个人的自我意志。基于能力的权利表述则过分强调外部条件的限制和主体权利的克减，例如规定一个外部条件的最低门槛，低于这个门槛的人就不能实现其隐私权。只有基于“可供性”的权利表述，才将外部条件对隐私的影响作为关注的重点。

以通过种族划分决定就业机会为例，基于自由的权利表述认为这种方法将干涉到少数族裔的就业选择自由，会产生歧视的不利后果；基于能力的权利表述认为这种方法将导致弱势群体获得基本资源的机会减少和由此产生的基本权利的实现障碍；基于“可供性”的权利表述则将重点关注使得通过种族划分就业机会得以开展并逃避监督的基础结构配置。

上述解释可能还是略显抽象，我们再以一个更加具体的例子说明基于“可供性”权利表述的优势。在一份名为《Privacy, Poverty, and Big Data: AMatrix of Vulnerabilities for Poor Americans》的报告中，研究者指出通过社交媒体数据驱动的候选人监测系统(ATS，Applicant Tracking System)系统将克减贫困人群的就业机会，从“可供性”的角度加以分析，其部分原因在于低收入社交媒体用户比高收入用户更有可能公开发布内容，不太可能对隐私政策有很好的理解，也不太可能采取某些保护性策略，所以在通过使用某些ATS工具进行评估时，他们可能无意中受到更大范围的伤害。由此可见，基于“可供性”的权利理论能够从外部条件对个体“使能”效应的角度更为透彻地分析隐私问题产生的实质因素，而非局限于自由表述下的歧视或能力表述下的权利实现障碍等浅显认知。

综上所述，作者认为，在“可供性”的角度来看，隐私不应被描述为一种抽象的权利或一种静态的、可与其他可能的物品进行交易的物品，而应被描述为一种外部条件以及与该条件相关的权利。这也解释了为什么“告知同意”在隐私实践中最终会失败，因为同意是以自由为基础的一种构造，而有效的隐私和数据保护首先是一个与外部条件相关的问题。

三、基于“边界管理”和“可供性”理论的隐私实践

“告知同意”等传统的隐私保护工具强调以主体为中心控制离散的信息流，而不是从隐私的边界和社会条件加以考虑，因此无法有效地保护隐私。作者在第二部分所建构的隐私理论的基础上，提出了语义不连续(semantic discontinuity)和可操作的问责机制(operationalaccountability)这两项新的隐私保护实践。

1.语义不连续(semantic discontinuity)

首先重新回顾隐私与监视的关系，监视的作用在于通过稳定的信息流以在个体和社会之间确定一条固定的边界，而隐私的作用在于避免个体的边界完全受到上述信息流的控制与支配，使个体能够拥有自我认识的空间。但从“可供性”理论又可得知，隐私能否实现相当程度上取决于外部条件的“使能”效应，而非个体的自我决定，隐私权的实现需要向外探寻解决方案。基于上述考虑，作者提出了“语义不连续”的概念，其作用在于持久地阻止和破坏稳定的信息流，使之不能被无缝地阅读和操纵，从而为隐私的实现创造条件。换言之，当发挥社会塑造作用的信息流之间存在着不完整的间隙时，个体才具备形成自我意识和自我身份的空间。简而言之，作者认为隐私保护应朝着使自我“不可计算”的目标迈进。

其次，作者认为语义不连续所带来的模糊性能够在决策时保证分配公平。作者并不否认在决策时可以考虑个性化的因素，但个性化应有其限度。作者以法治作为类比，指出公平正义的实现应体现为法律的普遍适用和类似案件有相同的处理结果。但是公平所要求的“类似性”受到算法精准决策的动摇，个体的独特性被无限的放大，最终导致歧视的发生。正如第一部分所指出的，决策者往往相信这种精准决策是最为正确的，这使得从决策者内部作出变革是无法实现的，因此只能从外部条件着手加以限制。在此逻辑下，语义不连续作为一种外部条件，限制了决策者的信息获取，使得完全精确的个性化决策不具备开展的条件，从而保证了决策的公平与个体的尊严。

但是作者也承认，语义不连续是与信息时代追求效率的设计模式是相违背的，甚至互联网产生的内在价值也在于促进信息的流通。现代的软件设计实践强调模块化、持续更新和运行时升级，以及跨平台和跨应用程序的数据无缝流动，这些特征使得隐私保护面临很大的困难。此外，在组织人员的层面，软件和系统的开发者对信息流的中断往往采取对抗的态度，且现有的员工培训和伦理准则还是采用基于自由的隐私权表述方法，使得这些准则笼统模糊，难以转化为更具体的设计原则。因此在作者看来，语义不连续的实现需要对整个行业模式作出颠覆性的变革，特别是面对已经成为该行业事实上的盈利模式，需要从根本上重新思考什么是 "好 "的设计，这将是一个十分漫长的过程。

从技术角度来看，作者认为差分隐私技术能一定程度上实现语义不连续，其通过引入噪声的方法使得数据库中的个人信息能在不被识别的情况下依然发挥其数据的价值。但是差分隐私并不能完全地实现语义不连续性，一方面在于差分隐私并未阻断数据中与群体相关的信息流，例如不包含个人信息的医疗数据仍可能因其包含群体的特征而被用来开展药品的价格歧视；另一方面，在差分隐私的终端接口处，例如用户设备接口或第三方平台接口仍然会有直接的信息流通。如果要彻底地实现语义不连续，作者认为，需要以硬编码的方式，对信息的跨设备和跨应用程序流动设置不可协商的限制。

2.可操作的问责机制(operational accountability)

问责机制建立的基础是隐私权的内在公共性。正如在自我与社会关系部分的论述，个体自我认识的形成来源于在社会交互中以他人的视角对自身的观察，在考虑到隐私权作为控制个体与社会边界的外在条件，因此隐私权表现为一种“共同决定我们的可读性(legibility)权利”。与此同时，作者指出这种共同决定权无法通过同意的方式实现，因为当代商业和生活中的很多常见关系是权力关系，个体并没有表达同意或反对的机会，相较而言，通过问责机制实现共同决定权更加合适。

问责机制的理解应被置于关系性和集体性的语境之下。首先，问责机制可以被视为我们自身的可读性(legibility)条件方面提供发言权，并且集体发言权往往会更加有效。其次，问责机制还能充分为用户群体提供关于其所处的社会系统的透明度。此外，在语义不连续无法完全实现的情况下，问责机制能起到填补作用，例如防止机器学习算法自动绕过对其信息流的限制。

正如第一部分所述，对数据处理过程的全方位监管是不可能实现的，因此可操作的问责机制是指监管机构应将其注意力集中在处理者解释数据处理行为的性质和质量上，以及如何让个体和社会群体能够更普遍地拥有对自身“可读性”的发言权。

此外，作者还主张监管机构应该利用新的算法和机器学习技术，以确保其监管能力。比如说探索新的不会产生歧视的数据驱动技术，或者以激进的方式部署机器学习，以产生相互竞争的模式和解释，从而为政策制定打开更广泛和更开放的空间。这是一个值得关注的领域，且越来越多的研究成果将得以呈现。

四、总结

在信息网络与大数据时代，隐私的概念和实践均不能再局限于以主体为中心的视角，需要仔细关注自我与社会外部条件之间的关系，特别是关注边界、间隙和不连续等特征对隐私实践的重要作用。有效的隐私保护需要变革性的设计精神，使得使基于“可供性”的隐私方法得以实施，同时还需要一个强有力的问责机制，超越同意和个性化的选择，强调责任、尊重以及对算法数据驱动的过程进行有效监管的新模式。

最后谈一谈我个人的看法，虽然这篇文章所提出的解决方案过于理想化和抽象化，在可行性上存在疑问，但其研究视角和研究进路确实值得借鉴。近年来随着数字经济的蓬勃发展，数据权属的问题逐渐成为讨论的热点。有观点主张应对数据主体赋权以保障其数据相关的人格利益或财产利益。这种以主体为中心的保护模式虽然是美好的，但是却与数据互联互通的大环境无法兼容。数据自由流通是互联网的本质属性，也是必然结果，如果忽视这一点，反而一厢情愿地试图通过主体意志为数据自由流动塑造枷锁，很可能终究是一场徒劳。因此，目光应该转向更加广阔的社会视角，从集体、社会条件等宏观的因素出发，可能会为突破当前的数据权属困境带来新的启发。

以下是PPT全文：