数字治理：数据、平台与个人边界

数字治理听起来像部门名称，它真正管的是三样东西如何互相卡住：数据、平台、个人边界。数据是可复制的痕迹：位置、脸、订单、搜索、聊天、步数、成绩。平台是把买卖、社交、内容、支付、劳动撮合到一起的组织，它自己立法、自己执法、自己改推荐。个人边界是一句很旧的话：什么事可以进入我的生活，什么事必须经过我同意，同意以后还能撤回。纸面世界里，边界靠墙、信封、门锁。屏幕世界里，墙是权限开关，信封是加密，门锁是账号。这些隐喻都会骗人，因为数据复制几乎免费，平台规则可以半夜改，撤回常常找不到按钮。今天这一讲不讲如何躲开系统，也不把便利写成幸福。我们只做一件更土的事：把数字治理拆成谁在什么目的下，保存了多久，对谁可见，错了如何申诉。

一、数据不是石油，是带目的的档案

把数据比成石油，会让人以为挖出来就能烧，烧了就发光。更准确的比喻是档案。档案一定有来源、有条目、有保管人、有查阅权、有销毁期限。没有目的的收集，等于给未来的未知用途开空白支票。空白支票在技术上很诱人，因为存储变便宜，算法会说「以后也许有用」。治理上，这是最危险的习惯。用途限制的意思是：为了送外卖而拿到的地址，不自动成为推销保险的名单；为了考试而留下的人脸，不自动成为商场的欢迎词。目的换了，应当重新取得同意，或者停止使用。听起来像手续，手续其实是边界的脚手架。没有脚手架，便利会一层层爬到你没答应过的房间。

档案还有质量问题。错一个电话号码，是小事；错一个身份匹配，可能是贷款、入学、门禁。自动系统喜欢高置信度的数字，不喜欢「不确定」。于是它会把模糊的人硬安到某个标签上：高风险、低活跃、疑似作弊、疑似关联。标签一旦写入，会跟着人走，比闲话走得更远，也更难当面反驳。你们若只把隐私理解成「不想被偷看」，会看漏更硬的伤害：被错误地写入。偷看伤害尊严，错写伤害资格。治理要把这两种伤害分开处理。尊严需要最小必要和脱敏；资格需要更正权、解释权和人来复核。

留存期限是档案里最被低估的零件。痕迹留得越久，未来能被重组的故事越多。重组不一定恶意。十年后的保险公司、未来的雇主、一次争吵后的对质，都可能从旧痕迹里取出当时并不起眼的片段。销毁不是浪漫，是让过去的自己有过期时间。过期时间与公共安全之间有张力：破案希望越留越全，个人希望越短越好。张力不能用「都重要」糊弄。应当按数据类型分级：越能识别到人、越能重建行踪的，留存应越短、访问应越少、日志应越完整。分级是治理，一刀切是偷懒。

二、平台是市场，也是私人衙门

平台降低了匹配成本：买东西不必认识店主，找车不必站在路边，看内容不必先买杂志。降低匹配成本的同时，平台获得了订规则的权力。规则包括：谁能上架，谁被推荐，谁被限流，争议如何判，保证金扣不扣，算法按什么目标优化。传统市场里，这些权力分散在法律、商会、媒体和口碑里。平台把它们收进后台。收进后台的好处是快，坏处是不透明。你被判罚时，常常拿不到完整证据链，也找不到与你对等的辩护时间。于是平台看起来像公司，用起来像衙门。衙门可以高效，也可以专横。高效和专横的差别，不在界面好不好看，在有没有可查询的规则、有没有独立的申诉、有没有比例原则。

推荐算法是平台最日常的立法。它决定什么先被看见。优化目标若是停留时长，内容会被拉向刺激；若是成交额，会被拉向能下单的东西；若是合规安全，会被拉向少惹事。每一种目标都会生产一种公共气氛。气氛不是中立的天气，是被优化出来的。个人能做的抵抗有限：换词搜索、点「不感兴趣」、装多个来源。有限不等于零。但把「你自己多读书」当成对推荐系统的主要治理，等于让乘客去设计公路。公路需要限速、路标和事故责任，不能只靠司机品德。

劳动也在平台上被重新打包。外卖、网约车、直播、众包标注，把工作拆成任务，按件计价，用评分管理。灵活性是真的：你不必天天打卡。风险转移也是真的：闲时无单、事故自负、账号被封等于失业。传统雇佣把一部分风险放在机构里，平台把风险推回个人，再用算法抽成。治理若只谈创新，不谈工伤、工时、解封程序，就是允许一种新的默认规则：公司享有管理权，不承担雇主责任。默认规则可以改。改的方法是把「谁在发指令、谁在定价、谁能惩罚」当成判断是不是实质用工的证据，而不是只看合同封面印着「合作伙伴」。

三、个人边界：同意、匿名、被遗忘，以及它们的假动作

同意按钮是当代最廉价的仪式。长文条款、默认勾选、不点就不能用，这不是同意，是通行税。有效同意需要可理解、可选择、可撤回。可理解意味着用短句说明：你要我的什么，用来干什么，给谁，留多久。可选择意味着核心功能不该绑死在非必要数据上。可撤回意味着关掉权限后，旧数据有处理办法，而不是「我们已无法区分」。做不到这三条，个人边界就只是界面装饰。

匿名和实名是另一组权衡。实名降低骚扰、诈骗、造谣的逃逸速度，也降低人说尴尬真话、检举身边不公、尝试不成熟想法的勇气。完全匿名的公共空间，容易被组织化的谣言占领；完全实名的公共空间，容易只剩下表演。分层是更老实的工程：内部留可追溯的标识，对外展示昵称；涉及金钱和人身安全的交易实名；涉及学习和闲聊的空间允许化名。分层会增加成本，因为系统要维护两套身份映射，并且严格限制谁能打开映射。成本是边界的价格。不想付价格，就不要声称既有秩序又有自由。

被遗忘权、查阅权、携带权，听起来像进口术语，机制其实朴素：我应当知道你们存了我什么，应当能带走我贡献的内容，应当能在目的消失后要求删除。实践中会碰到备份、日志、他人合照、公共利益。合照里有两个人，一个人要删，一个人要留，这是真冲突。冲突需要程序，不需要假装技术能自动正义。程序包括通知、抗辩期、最小处理（遮脸而不是删掉整张历史）。个人边界不是绝对墙，是可争辩的篱笆。篱笆要有桩。桩就是期限、用途、可见范围。没有桩，讨论会迅速滑向两极：一边说「隐私已死」，一边说「不给数据就是不配合」。两极都在卸责。

四、公共权力用数字工具时，便利和误伤会一起放大

政府用数据，可以少让人跑腿：缴税、挂号、入学、救济金。少跑腿是福利。同一套能力也可以用来更频繁地核对、评分、预警。福利和核对常常打包销售：你要方便，就接受更多可观察。打包销售在紧急时期特别容易被接受，因为人们在怕。怕过去以后，工具还在。治理的关键不是禁止公共机构使用数字工具，而是把工具的目的写死，把访问留痕，把异常使用当成事故而不是业绩。若访问不留痕，内部好奇和外部任务会共用同一把钥匙。共用钥匙的系统，边界只存在于口头。

识别技术——脸、步态、声音——把「到场」变成可检索。门开得更快，考勤更省事，找走失儿童更有手段。误伤也更冷：长得像的人、光照不好的镜头、过期的底库，都会把错误变成一次盘问或一次拒绝进入。错误在人工窗口还能解释，在闸机上往往解释不了。因此，越不可逆、越影响资格的场景，越不该把识别当唯一闸门。应保留人工通道、错误更正时限、以及「这次匹配为什么发生」的简要说明。说明不是示弱，是让系统可被反对。不可被反对的自动决定，会把人变成数据的客人。

数字鸿沟会让治理看起来很现代，用起来很旧。不会用应用的老人、信号差的村子、没有智能机的人，会被自动当成不存在，或者被家人代操作。代操作会把账户交给另一双手，边界在家庭内部先塌。公共设计若只奖赏「全程网办」，就是把不会网办的人罚到窗口去受气，或者罚到亲属的控制里。补救很具体：保留窗口、语音代替阅读、默认最小数据、允许代理但记录代理关系。这些不时髦，但决定数字治理是服务还是障碍赛。

五、安全、欺诈与监视：把怕说清楚

人们接受更多采集，常常是因为怕。怕账号被盗，怕孩子被骗，怕陌生人进门，怕谣言伤人。怕是信息。治理要用怕来设计防护，而不是用怕来签发无限权限。防护有自己的工具箱：最小权限、双因素、延迟转账、异常登录提醒、内容来源标注、对未成年人的夜间限制。这些工具针对具体伤害。无限权限针对的是「万一」。万一无法穷尽，所以无限权限没有上限，只会停在技术还能采集的地方。

欺诈者同样享受低复制成本。一套话术可以同时发给一万人。平台若只在事后删号，骗子的期望收益仍然正。于是需要更快的冻结、跨平台的标记、对「模仿客服」这类模式的拦截。拦截会误伤：真的紧急转账、真的新账号、真的方言。误伤要用申诉速度来对冲。申诉若要三天，骗子只要三小时。速度是分配：把等待加在谁头上。好的治理把等待加在高风险、不可逆的动作上，而不是加在所有发言上。把所有发言变慢，公共空间会变安静，也会变假。

家庭内部的数字边界经常被忽略。定位、学生平板、房间摄像头，以爱的名义打开。爱是动机，不是权限证明。未成年人需要保护，也需要逐渐扩大的不可监视区域，否则他们学到的唯一上网方式就是表演给监护人看。表演会把危险行为藏到更暗的角落。更暗的角落更难救助。因此，保护应当针对高伤害场景——诈骗转账、陌生人约见、欺凌传播——而不是针对所有聊天。针对性越弱，越像全面检查。全面检查会消耗信任。信任消耗完了，技术还在，人已经不说话了。

六、学校、家庭和应用商店：边界最先塌的三处

对你们来说，数字治理不是抽象法条，它每天从三处进来。第一处是学校。作业平台、人脸考勤、走廊镜头、把成绩推给家长的应用，把学习过程变成可回放的档案。老师省了收本子的时间，家长得到了「看见」，学生失去了把一次失败留在教室里的机会。失败一旦可转发，羞耻会放大，改错会变成表演。学校有理由防欺凌、防作弊、防陌生人进入。理由成立，不等于所有镜头和所有推送都成立。应当问：这个采集对应哪一种具体伤害？伤害有没有更小的手段？数据存在谁的服务器上、留一学期还是留到毕业以后？问不清，便利就会从教学管理滑到终身档案。终身档案对未成年人尤其不公平，因为他们还在改。

第二处是家庭。共享位置、房间摄像头、检查聊天、要求截图报到，常常以安全开头。开头之后，边界会按担心的人的焦虑扩展，而不是按被看的人的年龄扩展。扩展没有自动刹车。刹车只能是家里把规则说成可谈判的：哪些场景必须报备，哪些夜晚可以不在线，哪些设备的管理员密码不是一个人独占。谈这些会别扭，因为爱被当成不可反对的权限来源。把爱和权限分开，不是冷，是防止保护变成全面值守。全面值守教不会判断，只教得会躲避。躲避会把真正的危险推到成人看不见的地方，救助反而更晚。

第三处是应用商店里的超级入口。一个应用同时做聊天、支付、出行、阅读、挂号，权限会捆成套餐。你为了聊天答应位置，位置却去训练另一项推荐；你为了登录方便绑定手机，手机号成为跨服务的追踪键。套餐降低摩擦，也降低「只给这一次」的可能。最小必要在套餐面前会失败，除非监管要求核心功能可拆。可拆的意思是：不用完整通讯录也能发消息，不打开通讯录以外的相册也能传一张图。做不到可拆，同意就只是通行证。通行证系统里，个人边界不是房间，是走廊——你永远在路过，从未进门。

免费也要翻译。免费应用靠广告、抽成、或把行为卖给想找到你的人。你付的不是现金，是注意力和可预测性。可预测性对商家是效率，对你是被安排。被安排不一定立刻受害，它会让你的兴趣变窄、让价格因人而异、让申诉时对方比你更了解你的弱点。评分系统把可预测性再推进一步：购物评分、出行评分、学习评分，都是自动的名声。名声能降低欺诈，也能让一次误点、一次迟到、一次被盗用的账号变成长期门槛。门槛一旦自动化，纠正就要走人工。人工若比评分慢，错的名声会先惩罚人。所以，评分可以有，但必须能看见分从哪来、能申诉、能过期。过期和用途限制是同一类零件：让过去的一次事件不要成为永久身份。

可携带和互操作，是个人边界里常被说成技术细节、其实决定你能不能离开的零件。数据若只能在一个平台里看见，同意撤回就变成搬家失败：你的内容、好友关系、购买记录都不跟你走，走了就等于社会性死亡。于是人会忍受更差的规则，因为退出成本被做进了格式。格式锁是一种门。把门开对，不是强迫所有公司变成同一家，而是要求关键记录能按公开格式导出，导出后仍能被另一家合法核验。核验会碰到别人的肖像权和商业秘密，所以可携带不是无限制打包，是分层：你写的文字、你的订单、你的成绩可以走；别人的私聊、平台自己的推荐模型不能被你整包拿走。分层要写进规则，不能只写在客服话术里。

自动化决定一旦接到资格上——能不能借钱、能不能入学、能不能走某扇门——就必须能被拆开看。拆开的最低要求是：用了哪些类别的数据，主要依据是什么，人如何提出异议。要求解释不等于要求公开全部算法。全部公开可能被欺诈者利用，也可能让模型被无意义地绕开。可检查指的是：有日志、有抽查、有时限内的人工复核，并且复核结果能改写下一次决定。没有改写路径，申诉只是情绪出口。情绪出口会让人更不信任系统，于是更愿意把真实生活藏到系统看不见的地方。藏起来以后，治理只能看见表演。表演多了，数据看起来很全，决策会更错。

公共算法采购是另一层容易被界面盖住的治理。学校、街道、医院若把识别、评分、预警整包买进来，规则就写在供应商的升级日志里。日志一改，门口的闸机行为会变，而人大代表和班主任都不一定知道变了哪一条。把采购当成买设备，会漏掉你其实在买一套持续立法的服务。服务应当有：目的清单、留存期限、访问权限、错误率指标、以及停止使用时的数据交回或销毁。做不到这些，便利会以无法审计的形式留下来。无法审计的工具，在紧急时期扩张最快，在平常时期最难收回。

不勾选就交不了作业，以及看清了是不是只更怂

作业平台、人脸考勤，常常不是可理解、可选择、可撤回的同意。不勾选就交不了、拒绝算旷课，通行证是真的。承认通行证，不是宣布个人边界已死。死的是「点一下等于自由选择」。还活着的是更土的三件：核心功能该不该被拆开；关掉后旧数据有没有处理；资格性决定——考勤、成绩、门禁、处分——出错时有没有人复核。拆不开、关不掉、复核找不到，不是你们不会保护自己，是界面在征收通行税。税可以存在，但应被看见。看见以后，能动的仍有限：关掉此刻用不到的权限，少给「以后也许有用」的空白支票。有限不是零。零才会把所有责任推回品德。

看清了还得给定位、还得删帖，分析会不会只让人更清楚自己怂。会。这一讲不提供当英雄的保单。用处是给约束标价：勾选买的是交作业，删除买的是少被找麻烦，人脸买的是少带卡。标价不是鼓励你们去闸机上做反抗。付不起开口价格时，保存区分仍然有用——把通行税当成税，而不是当成自己同意了全部用途。同意了全部，下次错写、限流、标签跟着走，会以为那是自己勾选的应得。不是应得。是当时没有第三按钮。没有第三按钮的场景，书面更正比群里骂更接近边界；群里的骂是情绪出口，改不了留存表。

安全动机也是真的。诈骗、欺凌、陌生人进校，不是虚构。动机真，不能自动签发无限采集，更不能把拒绝写成旷课或不孝。更稳的问法不是「你是不是不配合」，而是：这个镜头对着哪一种具体伤害，有没有更小的手段，谁能打开、留到什么时候。问得出来，保护还是保护；问不出来，保护会变成值守。值守消耗信任。信任没了，危险会躲到更暗的地方。

七、权衡：没有无采集的便利，也没有无边界的安全

把数字治理收成可以互相要价的几组。

1. 便利对采集：少填表、少带卡、少排队，通常以更多可观察为代价。代价应当被标明，并允许一条更慢但不采集的替代路径，否则所谓选择只是名义。
2. 安全对误伤：识别和风控会降低某些犯罪，也会把误差洒在长得像、名字像、设备旧的人身上。越影响资格的决定，越需要人复核和可解释。
3. 平台秩序对申辩：快速下架能减少伤害扩散，也可能消灭被误伤者的声音。秩序若不能被质疑，就接近私人刑罚。
4. 实名对真话：可追溯能追责，也能让人闭嘴。分层身份比全国一句实名更接近同时要秩序和勇气。
5. 公共目的对永久档案：紧急时期的工具，必须有关闭条件和销毁时间。否则紧急会成为永久的借口。

这五组权衡里，口号最爱做的事是只报一头。报一头的句子很好写：「为了你好」「隐私已死」「绝对安全」「绝对自由」。写得好听，无法执行。执行只能是权限清单、留存表、访问日志、申诉时限。判断一个应用、一所学校、一个城市的数字治理，不必先问它爱不爱人民，先问能不能导出「谁因何目的看过我」的那一行。问得到，边界才开始存在；问不到，界面上的开关只是安慰。

通行税可以存在，但应被标成税，而不是当成已经同意全部用途。非必要权限、空白支票式的同意、家庭摄像头没有可见范围、资格性误伤只在群里骂——这些会扩大被错写、被超用的表面积。表面积是系统概念：错误要落点。目标函数改不了，落点仍可以被手续收窄。边界若要避免便利神话或惊悚故事，只能写成权限、留存、访问日志、申诉时限。手续无聊。无聊往往是自由还活着的证据。

付费通讯与管理员可见 · Newsletter members and administrators only