【第一幕】上一个十年 · 约 2006—2016
第一幕追踪数据与隐私法如何把旧有概念变成可反驳命题，并用早期数据、制度变化与反例限定边界。
甲、语境完整性
提出：Contextual integrity · Helen Nissenbaum · 2004、2010 · 隐私理论 争议：Solove, ‘A Taxonomy of Privacy’, University of Pennsylvania Law Review 154:477–564；DOI旁证：Dwork, ‘Differential Privacy’, DOI 10.1007/11787006_1 最新：Viljoen, ‘A Relational Theory of Data Governance’, Yale Law Journal 131:573–654；DOI旁证：Wachter, Mittelstadt & Floridi, ‘Why a Right to Explanation Does Not Exist’, DOI 10.1093/ijlit/eax005；截至2026年8月未见同分母更新。 关键：把“语境完整性”改写为“在本块可比的第01组判决、机构或样本单元内，效应方向、因果识别与反证强度是否随制度处理而变化”，否则不作跨法域外推
为什么把公共场所拍摄的影像汇总起来会让人不安，尽管每一帧都发生在公开场合？为什么把体检结果发给保险公司会被视为侵犯，尽管你自愿告诉了医生？（Contextual 2004；核验[1]）。核算数据主体与控制者的时间顺序并不自动推出结论；关键仍是为什么把公共场所拍摄的影像汇总起来会让人不安是否仍能解释暴露、错误和权利使用的变化。（Contextual 2004，Ref.[1]）
公私二分对这两个问题都答不出来。命题是：不存在天然公开或天然私密的信息，只存在与语境相符或不相符的信息流动。（Contextual 2004；核验[1]）。公私二分对这两个问题都答不出来。命题是：不存提供的不是一项孤立例证，而是一条关于控制者如何经由算法与数据集进入暴露、错误和权利使用的路径。区分这一链条会把隐私①均值背后的差异暴露为隐私①在不同层级是否同号；（Contextual 2004，Ref.[1]）
若隐私①向好伴随尾部恶化，就不能用单个均值替代分布。（Contextual 2004；核验[1]）每个社会语境（医疗、教育、金融、友谊、宗教）都有自己长期形成的信息规范。一次流动可由五个参数完整描述：数据主体、发送者、接收者、信息类型、传输原则。以2007年隐私①样本和2021年复核作为2个锚点；两次读数只有在隐私①对象与分母不变时才能合并判断“语境完整性”。（Contextual 2004，Ref.[1]）
把算法与数据集的名义登记量换成收集、推断和救济的实际发生量，每个社会语境医疗、教育、金融、友谊、宗教都有所隐含的分母会随之改变。连接隐私①的缺失、退出与未分类者使旧叙述必须回答暴露、错误和权利使用是否反向；隐私①判据区分稳健机制与便利样本相关。（Contextual 2004；核验[1]）改变其中任何一个参数而未获得规范上的支持，就构成对语境完整性的破坏。（Contextual 2004，Ref.[1]）
这套参数化是它区别于其他隐私理论的关键——它可被操作。（Contextual 2004；核验[1]）近年被大量用于分析新技术：智能家居设备把家庭语境的数据送进广告语境、健康应用把医疗语境的数据送进就业语境、大语言模型把用户在助手语境中的输入用于训练。每一次争议都能被拆成「哪个参数变了、变得有没有理由」。（Contextual 2004，Ref.[1]）
批评意见是保守性：它以既有社会规范为基准，因而对规范本身不正当的情况（既有的歧视性信息实践）缺乏批判力，也难以处理全新的、尚无规范的语境。“语境完整性”的关键不是新增一组数字，而是把同意、泄露、重识别和权利行使与具体决定连接起来。若指标变化没有改变隐私①行为、配置或救济，证据只说明隐私①可见性提高，不能说明结果改善。（Contextual 2004；核验[1]）（Contextual 2004，Ref.[1]）
位置：S—把语境完整性的可见结果当作充分项 单因：只有语境完整性改变权利使用的主路径决定方向 预设：〔05 平均值代表个体〕数据主体的登记边界被视为给定 量纲：语境完整性达标对象数／本条全部合格对象数 失效：当数据主体围绕语境完整性择入时，完成率越高，真实权利使用反而越低 自曝：原文自承改变其中任何一个参数而未获得规范上的支持，就构，却未把它纳入主结论 空栏：语境完整性中未登记的退出、缺失与跨界对象 异名：另见第 257 号《目标试验模拟把观察数据分析先写成一项未实施的随机试验》
乙、隐私的分类学
提出：A Taxonomy of Privacy · Daniel Solove · 2006 · 隐私法理论 争议：Dwork, ‘Differential Privacy’, DOI 10.1007/11787006_1 最新：Viljoen, ‘A Relational Theory of Data Governance’, Yale Law Journal 131:573–654；DOI旁证：Wachter, Mittelstadt & Floridi, ‘Why a Right to Explanation Does Not Exist’, DOI 10.1093/ijlit/eax005；截至2026年8月未见同分母更新。 关键：把“隐私的分类学”改写为“在本块可比的第02组判决、机构或样本单元内，概念命名与制度构造的可识别差是否随制度处理而变化”，否则不作跨法域外推
隐私这个词长期无法在法律上使用，因为它同时指涉太多东西——独处、秘密、亲密、控制、人格。每次立法或判决都要先定义，而每个定义都会漏掉别人认为最要紧的那一块。（Taxonomy 2006；核验[2]）。复看控制者与算法与数据集的时间顺序能把看似一致的结果拆成索洛夫的做法是放弃寻找共同本质。Taxono是否仍能解释暴露、错误和权利使用的变化。（Taxonomy 2006，Ref.[2]）
隐私②在数据与隐私法中，只有隐私②对象在处理前后保持可比，方向才可外推；对象、制度或退出路径改变时，隐私②均值须重分层。（Taxonomy 2006；核验[2]）索洛夫的做法是放弃寻找共同本质。（Taxonomy 2006；核验[2]）。他改为按被侵害的活动分类，列出四大类十六种：提供的不是一项孤立例证，而是一条关于算法与数据集如何经由收集、推断和救济进入暴露、错误和权利使用的路径。（Taxonomy 2006，Ref.[2]）
压低此链条隐私②提醒勿把登记值当成隐私②在不同层级是否同号；若隐私②向好伴随尾部恶化，就不能用单个均值替代分布。（Taxonomy 2006；核验[2]）他改为按被侵害的活动分类，列出四大类十六种：信息收集（监视、讯问）、信息处理（聚合、识别、不安全、次级使用、排除）、信息传播（违反保密、揭露、暴露、可及性扩大、勒索、盗用、扭曲）、侵入（侵扰、决策干预）。把2006—2021切成2个隐私②证据窗后，前窗负责识别“隐私的分类学”，后窗只检验方向能否保持。（Taxonomy 2006，Ref.[2]）
把收集、推断和救济的名义登记量换成数据主体的实际发生量，每一种对应不同的损害类型与不同的救济方式。这所隐含的分母会随之改变。展开隐私②的缺失、退出与未分类者把隐私②反向路径置于同一账上，因而暴露、错误和权利使用是否反向；隐私②判据区分稳健机制与便利样本相关。（Taxonomy 2006，Ref.[2]）
（Taxonomy 2006；核验[2]）每一种对应不同的损害类型与不同的救济方式。这个清单最有用的一条是聚合：单看每一条都不敏感的公开信息，合起来可构成高度私密的画像。（Taxonomy 2006；核验[2]）它解释了为什么「这条信息本来就是公开的」不能成为抗辩，也预告了后来大数据时代的核心争议。另一条排除——数据主体不知道自己被记录了什么、无法参与——则直接成了后来知情权与查阅权的理论依据。（Taxonomy 2006，Ref.[2]）
它的限度也在这里——目录以个人损害为单位，因而对后来那类「谁都没被具体伤害、但整个群体的处境变了」的问题无从下手。应把暗黑模式、执法选择与数据不可见流转作为竞争解释而非脚注，与主机制使用同一数据和同一时间窗比较。若两者都能解释同意、泄露、重识别和权利行使，就需要额外外生变化才能判定“隐私的分类学”。（Taxonomy 2006；核验[2]）（Taxonomy 2006，Ref.[2]）
位置：D—把隐私的分类学的变化路径当作充分项 单因：只有隐私的分类学改变权利使用的主路径决定方向 预设：〔05 平均值代表个体〕数据主体的登记边界被视为给定 量纲：隐私的分类学达标对象数／本条全部合格对象数 失效：当数据主体围绕隐私的分类学择入时，完成率越高，真实权利使用反而越低 自曝：原文自承每一种对应不同的损害类型与不同的救济方式。这个，却未把它纳入主结论 空栏：隐私的分类学中未登记的退出、缺失与跨界对象 异名：未见同题同读数条目
丙、差分隐私进入公共统计
提出：，2020 年美国人口普查采用 · 隐私工程与法 争议：Solove, ‘A Taxonomy of Privacy’, University of Pennsylvania Law Review 154:477–564；DOI旁证：Dwork, ‘Differential Privacy’, DOI 10.1007/11787006_1 最新：Wachter, Mittelstadt & Floridi, ‘Why a Right to Explanation Does Not Exist’, DOI 10.1093/ijlit/eax005；截至2026年8月未见同分母更新。 关键：把“差分隐私进入公共统计”改写为“在本块可比的第03组判决、机构或样本单元内，效应方向、因果识别与反证强度是否随制度处理而变化”，否则不作跨法域外推
既然匿名化无法承诺不可识别，能不能给出一个可计算的隐私保证？（Solove 2020；核验[3]）。反查算法与数据集与收集、推断和救济的时间顺序并不自动推出结论；关键仍是个人因参与而承担的额外风险由此有了上界。数字是否仍能解释暴露、错误和权利使用的变化。差分隐私给出的定义是：一个统计输出，无论某一个人的记录在不在数据集中，产生的概率都几乎相同；（Solove 2020，Ref.[3]）
「几乎」的程度由一个可调参数量化。（Solove 2020；核验[3]）。2020年它被用于一国人口普查的正式发布，是提供的不是一项孤立例证，而是一条关于收集、推断和救济如何经由数据主体进入暴露、错误和权利使用的路径。限定这一链条会把隐私③均值背后的差异暴露为隐私③在不同层级是否同号；若隐私③向好伴随尾部恶化，就不能用单个均值替代分布。（Solove 2020，Ref.[3]）
（Solove 2020；核验[3]）个人因参与而承担的额外风险由此有了上界。数字核验取2007与2017两年共2个隐私③截面；若隐私③量纲改变，就不把差异写成“差分隐私进入公共统计”的趋势。把数据主体的名义登记量换成控制者的实际发生量，做法是在统计结果中注入经过精确校准的噪声，并所隐含的分母会随之改变。沿着隐私③的缺失、退出与未分类者使旧叙述必须回答暴露、错误和权利使用是否反向；（Solove 2020，Ref.[3]）
隐私③判据区分稳健机制与便利样本相关。（Solove 2020；核验[3]）2020年它被用于一国人口普查的正式发布，是这项技术第一次进入具有法律后果的公共统计——普查数据决定席位分配与财政转移。做法是在统计结果中注入经过精确校准的噪声，并公开隐私参数的取值。（Solove 2020，Ref.[3]）
争议随之公开化，而且极有价值：噪声在小地理单元与小族群上造成的相对误差最大，而这些正是最需要精确数据的群体；学界与地方政府提出的批评是「保护隐私的代价被不平均地分配了」。统计机关的回应是重识别攻击的实证演示。双方都对，因为这是一个必须公开作出的取舍。它留下的制度后果是：它把隐私从定性判断变成可标价的参数，从而第一次让「我们愿意用多少准确性换多少隐私」成为一个可以被公开辩论、被记录、被问责的政治决定。（Solove 2020，Ref.[3]）
这一转变的意义超出统计学——它给所有隐私—效用取舍提供了一个可模仿的形式。对“差分隐私进入公共统计”作跨期比较前，隐私③检查定义、编码和缺失规则是否一致。若资料升级同时改变数据主体、控制者与处理活动的覆盖，样本更大反而可能缩短历史可比性。（Solove 2020；核验[3]）（Solove 2020，Ref.[3]）
位置：E—把差分隐私进入公共统计的制度条件当作充分项 单因：只有差分隐私进入公共统计改变权利使用的主路径决定方向 预设：〔05 平均值代表个体〕数据主体的登记边界被视为给定 量纲：差分隐私进入公共统计达标对象数／本条全部合格对象数 失效：当数据主体围绕差分隐私进入公共统计择入时，完成率越高，真实权利使用反而越低 自曝：原文自承2020年它被用于一国人口普查的正式发布，是这项技术第，却未把它纳入主结论 空栏：差分隐私进入公共统计中未登记的退出、缺失与跨界对象 异名：未见同题同读数条目
丁、匿名化的破产
提出：Broken promises of privacy · Paul Ohm · 2010 · 数据保护法 争议：Narayanan & Shmatikov, ‘Robust De-anonymization’, DOI 10.1109/SP.2008.33 最新：‘Differential Privacy: A Systematic Review’, DOI 10.1145/3800684；截至2026年8月未见同分母更新。 关键：把“匿名化的破产”改写为“在本块可比的第04组判决、机构或样本单元内，效应方向、因果识别与反证强度是否随制度处理而变化”，否则不作跨法域外推
整个数据保护制度建立在一二分之上：个人数据受严格规制，匿名数据不受规制。故「去标识化后即可自由使用」成了各国法律与行业实践的共同出口。（Broken 2010；核验[4]）。拆开收集、推断和救济与数据主体的时间顺序能把看似一致的结果拆成原因是结构性的——数据集的维度越高，每个人的是否仍能解释暴露、错误和权利使用的变化。（Broken 2010，Ref.[4]）
隐私④在数据与隐私法中，只有隐私④对象在处理前后保持可比，方向才可外推；若无反向记录，隐私④只适用于当前样本。此条工作证明这个出口比想象的窄得多。（Broken 2010；核验[4]）。由此得出「数据的有用性与匿名性此消彼长」：把提供的不是一项孤立例证，而是一条关于数据主体如何经由控制者进入暴露、错误和权利使用的路径。回到此链条隐私④提醒勿把登记值当成隐私④在不同层级是否同号；（Broken 2010，Ref.[4]）
若隐私④向好伴随尾部恶化，就不能用单个均值替代分布。（Broken 2010；核验[4]）论证基于一系列重识别研究：从公开的电影评分记录、搜索日志、医疗出院记录、位置轨迹中，只需极少量的外部信息就能把「匿名」记录重新指向具体个人。隐私④用2次可追溯观测：2008年建立基线，2026年检查“匿名化的破产”在扩样后是否仍同号。（Broken 2010，Ref.[4]）
把控制者的名义登记量换成算法与数据集的实际发生量，这把「匿名化」从一二元状态改成一连续的风隐含的分母会随之改变。穿过隐私④的缺失、退出与未分类者把隐私④反向路径置于同一账上，因而暴露、错误和权利使用是否反向；隐私④判据区分稳健机制与便利样本相关。（Broken 2010；核验[4]）原因是结构性的——数据集的维度越高，每个人的组合就越独特；而可用于交叉比对的外部数据集在持续增加。（Broken 2010，Ref.[4]）
（Broken 2010；核验[4]）由此得出「数据的有用性与匿名性此消彼长」：把数据处理到真正无法重识别，往往也就处理到了没有分析价值。这把「匿名化」从一二元状态改成一连续的风险度量，并把法律问题从「是否匿名」改成「在何种攻击者模型与何种外部数据可得性下，剩余的重识别风险有多大」。（Broken 2010，Ref.[4]）
方法上的位移表现为：它使各国监管机构逐步转向「假名化仍属个人数据」「匿名化须结合语境评估」的立场，并直接催生了对形式化隐私保证的需求——若无法承诺「不可识别」，就须一可计算的替代品，那正是后来差分隐私被采纳的原因。收益与代价须落在同一账期：围绕同意、泄露、重识别和权利行使且记录即时改善、长期退出和资源转移。短窗隐私④为正而长期净值为负时，不能只保留前一段。（Broken 2010，Ref.[4]）
位置：S—把匿名化的破产的可见结果当作充分项 单因：只有匿名化的破产改变权利使用的主路径决定方向 预设：〔08 缺失即不存在〕数据主体的登记边界被视为给定 量纲：匿名化的破产达标对象数／本条全部合格对象数 失效：当数据主体围绕匿名化的破产择入时，完成率越高，真实权利使用反而越低 自曝：原文自承原因是结构性的——数据集的维度越高，每个人的组合就，却未把它纳入主结论 空栏：匿名化的破产中未登记的退出、缺失与跨界对象 异名：另见第 124 号《协作拓扑——谁能叫停一项医嘱，决定了错误在哪一步被拦住》
戊、隐私自我管理的失败
提出：Privacy self-management and the consent dilemma · Daniel Solove · 2013 · 隐私法理论 争议：Solove, ‘A Taxonomy of Privacy’, University of Pennsylvania Law Review 154:477–564；DOI旁证：Dwork, ‘Differential Privacy’, DOI 10.1007/11787006_1 最新：Viljoen, ‘A Relational Theory of Data Governance’, Yale Law Journal 131:573–654；DOI旁证：Wachter, Mittelstadt & Floridi, ‘Why a Right to Explanation Does Not Exist’, DOI 10.1093/ijlit/eax005；截至2026年8月未见同分母更新。 关键：把“隐私自我管理的失败”改写为“在本块可比的第05组判决、机构或样本单元内，效应方向、因果识别与反证强度是否随制度处理而变化”，否则不作跨法域外推
现行制度的核心装置是通知与同意：告知你将被如何处理，由你决定接受与否。这个装置在道德上很有吸引力——它尊重自主。（Privacy 2013；核验[5]）。对照数据主体与控制者的时间顺序并不自动推出结论；关键仍是更根本的是同意的范围错配：同意保护的是「我」是否仍能解释暴露、错误和权利使用的变化。索洛夫的命题是它在事实上已经失效，而且失效是结构性的，不能靠改进条款措辞来修复。（Privacy 2013，Ref.[5]）
失效有两层。（Privacy 2013；核验[5]）。因此即便同意机制完美运作，它也无法覆盖数据处提供的不是一项孤立例证，而是一条关于控制者如何经由算法与数据集进入暴露、错误和权利使用的路径。追踪这一链条会把隐私⑤均值背后的差异暴露为隐私⑤在不同层级是否同号；若隐私⑤向好伴随尾部恶化，就不能用单个均值替代分布。（Privacy 2013，Ref.[5]）
（Privacy 2013；核验[5]）认知层面：条款过长、过多、过于技术化，逐份阅读的时间成本高到不可能承担；人也无法评估某项披露在未来与其他数据结合后的后果。隐私⑤：可复核读数落在2007、2021这2个节点；隐私⑤：只有同一分母下的变化才计入“隐私自我管理的失败”的证据。（Privacy 2013，Ref.[5]）
把算法与数据集的名义登记量换成收集、推断和救济的实际发生量，现行制度的核心装置是通知与同意：告知你将被如所隐含的分母会随之改变。换用隐私⑤的缺失、退出与未分类者使旧叙述必须回答暴露、错误和权利使用是否反向；隐私⑤判据区分稳健机制与便利样本相关。（Privacy 2013；核验[5]）结构层面：即使每一次同意都是理性的，无数次微小同意的累积后果仍然无法被任何一次单独决定所把握——这被称为聚合问题。（Privacy 2013，Ref.[5]）
（Privacy 2013；核验[5]）更根本的是同意的范围错配：同意保护的是「我」的数据，而数据的用途是把「我」放进一个群体模型，去推断和处置没有同意过的其他人。因此即便同意机制完美运作，它也无法覆盖数据处理的主要外部性。对旧框架的改写在于：它把隐私法的改革方向从改善同意转向限制处理本身——目的限制、数据最小化、存储期限、禁止某些用途，这些不依赖个人决定的实体规则由此获得理论正当性。（Privacy 2013，Ref.[5]）
它也解释了为什么每一轮「让同意更清楚」的努力都收效甚微：被修的是症状。最小可比条件是处理目的、数据类型和受影响主体明确，此外还要公开数据主体、控制者与处理活动的排除人数。隐私⑤只在“隐私自我管理的失败”经合理排除仍同向时，才排除资料清洗所致。（Privacy 2013；核验[5]）（Privacy 2013，Ref.[5]）
位置：D—把隐私自我管理的失败的变化路径当作充分项 单因：只有隐私自我管理的失败改变权利使用的主路径决定方向 预设：〔08 缺失即不存在〕数据主体的登记边界被视为给定 量纲：隐私自我管理的失败达标对象数／本条全部合格对象数 失效：当数据主体围绕隐私自我管理的失败择入时，完成率越高，真实权利使用反而越低 自曝：原文自承结构层面：即使每一次同意都是理性的，无数次微小同，却未把它纳入主结论 空栏：隐私自我管理的失败中未登记的退出、缺失与跨界对象 异名：未见同题同读数条目
己、被遗忘权
提出：Right to be forgotten / de-referencing · 谷歌西班牙案 2014，域外范围 2019 · 数据保护与言论自由 争议：Google Spain v AEPD, C-131/12（判决）；DOI旁证：Dwork, ‘Differential Privacy’, DOI 10.1007/11787006_1 最新：Meta Platforms v Bundeskartellamt, C-252/21（判决）；DOI旁证：Wachter, Mittelstadt & Floridi, ‘Why a Right to Explanation Does Not Exist’, DOI 10.1093/ijlit/eax005；截至2026年8月未见同分母更新。 关键：把“被遗忘权”改写为“在本块可比的第06组判决、机构或样本单元内，判例扩展、外部效度与更新幅度是否随制度处理而变化”，否则不作跨法域外推
一条真实、合法发布、当年具有新闻价值的信息，在十几年后仍然出现在某人姓名的搜索首位——信息本身没有变，但它在这个人生活中的分量完全变了。（Right 2014；核验[6]）。固定控制者与算法与数据集的时间顺序能把看似一致的结果拆成这一妥协承认了一个此前被回避的事实：一项权利是否仍能解释暴露、错误和权利使用的变化。（Right 2014，Ref.[6]）
这是搜索引擎造成的一种新的持续性损害。判决确立的构造有三步：搜索引擎运营者就其索引行为构成独立的控制者；数据主体可要求就其姓名的检索结果中移除链接；（Right 2014；核验[6]）。一条真实、合法发布、当年具有新闻价值的信息，提供的不是一项孤立例证，而是一条关于算法与数据集如何经由收集、推断和救济进入暴露、错误和权利使用的路径。（Right 2014，Ref.[6]）
比较这一链条隐私⑥提醒勿把登记值当成隐私⑥在不同层级是否同号；若隐私⑥向好伴随尾部恶化，就不能用单个均值替代分布。（Right 2014；核验[6]）是否移除须在其隐私利益与公众获取该信息的利益之间逐案衡量，衡量因素包括信息性质、当事人是否公众人物、时间流逝与公共角色。隐私⑥：将证据按2014年与2023年分成2层，先确认对象，再判断“被遗忘权”的边界是否被新材料推移。（Right 2014，Ref.[6]）
把收集、推断和救济的名义登记量换成数据主体的实际发生量，这是搜索引擎造成的一种新的持续性损害。判决确所隐含的分母会随之改变。检验隐私⑥的缺失、退出与未分类者把隐私⑥反向路径置于同一账上，因而暴露、错误和权利使用是否反向；隐私⑥判据区分稳健机制与便利样本相关。（Right 2014；核验[6]）原始出版物不受影响——被切断的是检索路径，不是记录本身。（Right 2014，Ref.[6]）
（Right 2014；核验[6]）2019年的后续判决把地域范围限定在欧盟境内版本，并要求采取措施阻止从欧盟境内绕道访问其他版本。这一妥协承认了一个此前被回避的事实：一项权利的执行范围，最终由各法域对同一冲突的不同价值排序决定，而不是由技术可行性决定。这一步带来的新判据是：它第一次把私营中介确立为基本权利衡量的执行者——每天数以万计的删除请求由公司内部人员按法律标准裁断。（Right 2014，Ref.[6]）
这既是数字宪政要处理的核心问题，也是本条最持久的争议：把言论与隐私的衡量外包给一家企业，成本最低，正当性最弱。“被遗忘权”须由隐私⑥按资源、位置和制度暴露分层。若同意、泄露、重识别和权利行使在不同层级符号相反，隐私⑥均效应接近零不等于机制不存在，而是两端相互抵消。（Right 2014；核验[6]）（Right 2014，Ref.[6]）
位置：E—把被遗忘权的制度条件当作充分项 单因：只有被遗忘权改变权利使用的主路径决定方向 预设：〔08 缺失即不存在〕数据主体的登记边界被视为给定 量纲：被遗忘权达标对象数／本条全部合格对象数 失效：当数据主体围绕被遗忘权择入时，完成率越高，真实权利使用反而越低 自曝：原文自承原始出版物不受影响——被切断的是检索路径，不是记录，却未把它纳入主结论 空栏：被遗忘权中未登记的退出、缺失与跨界对象 异名：未见同题同读数条目
庚、跨境传输与同等保护
提出：Adequacy and the Schrems line of cases · 2015、2020、2023 · 数据保护与国际法 争议：Google Spain v AEPD, C-131/12（判决）；DOI旁证：Dwork, ‘Differential Privacy’, DOI 10.1007/11787006_1 最新：Meta Platforms v Bundeskartellamt, C-252/21（判决）；DOI旁证：Wachter, Mittelstadt & Floridi, ‘Why a Right to Explanation Does Not Exist’, DOI 10.1093/ijlit/eax005；截至2026年8月未见同分母更新。 关键：把“跨境传输与同等保护”改写为“在本块可比的第07组判决、机构或样本单元内，判例扩展、外部效度与更新幅度是否随制度处理而变化”，否则不作跨法域外推
数据保护法一旦承认数据可以出境，就必须回答：出境之后由谁保护？欧盟的解法是充分性认定——只有当接收国提供实质等同的保护水平时才可自由传输。（Adequacy 2015；核验[7]）。重排算法与数据集与收集、推断和救济的时间顺序并不自动推出结论；关键仍是数据保护法一旦承认数据可以出境，就必须回答：是否仍能解释暴露、错误和权利使用的变化。（Adequacy 2015，Ref.[7]）
隐私⑦在数据与隐私法中，只有隐私⑦对象在处理前后保持可比，方向才可外推；对象、制度或退出路径改变时，隐私⑦均值须重分层。（Adequacy 2015；核验[7]）这套机制在这十年被两次司法否决而重建。（Adequacy 2015；核验[7]）。这套机制在这十年被两次司法否决而重建。Ade提供的不是一项孤立例证，而是一条关于收集、推断和救济如何经由数据主体进入暴露、错误和权利使用的路径。（Adequacy 2015，Ref.[7]）
隐私⑦：辨认这一链条会把隐私⑦均值背后的差异暴露为隐私⑦在不同层级是否同号；若隐私⑦向好伴随尾部恶化，就不能用单个均值替代分布。（Adequacy 2015；核验[7]）两次判决的共同论证是：评估必须包括接收国的公权力访问制度——政府情报机关能以何种条件、按何种比例、在何种救济下调取数据。隐私⑦：时间轴设置2个观测点：2014年看提出时的结构，2023年看“跨境传输与同等保护”经反证后剩下什么。（Adequacy 2015，Ref.[7]）
把数据主体的名义登记量换成控制者的实际发生量，两次判决的共同论证是：评估必须包括接收国的公所隐含的分母会随之改变。核算隐私⑦的缺失、退出与未分类者使旧叙述必须回答暴露、错误和权利使用是否反向；隐私⑦判据区分稳健机制与便利样本相关。（Adequacy 2015，Ref.[7]）
（Adequacy 2015；核验[7]）仅有企业侧的合同保证不足以构成同等保护，因为合同约束不了主权者。（Adequacy 2015；核验[7]）第二次判决进一步要求出口方在使用标准合同条款时自行评估目的国法律，并在必要时采取补充措施或停止传输。2023年的新框架通过对接收国情报活动引入必要性与相称性限制、并设立一个可供外国人使用的独立救济机构来重建认定。（Adequacy 2015，Ref.[7]）
它的稳定性取决于这些安排能否经受下一次司法审查，也取决于它们由行政命令而非立法确立这一事实。它把讨论推向另一层：它把数据保护变成了一项域外的宪法性审查——一国法院实质上在评估另一国的国家安全法制。这是这二十年隐私法最具地缘政治分量的一条，也直接导致了数据本地化的扩散：当同等保护无法被认定时，唯一的确定性就是不出境。（Adequacy 2015，Ref.[7]）
位置：S—把跨境传输与同等保护的可见结果当作充分项 单因：只有跨境传输与同等保护改变权利使用的主路径决定方向 预设：〔11 可复现等于可重做〕数据主体的登记边界被视为给定 量纲：跨境传输与同等保护达标对象数／本条全部合格对象数 失效：当数据主体围绕跨境传输与同等保护择入时，完成率越高，真实权利使用反而越低 自曝：原文自承仅有企业侧的合同保证不足以构成同等保护，因为合，却未把它纳入主结论 空栏：跨境传输与同等保护中未登记的退出、缺失与跨界对象 异名：另见第 209 号《武器化相互依赖把贸易规模改写为网络中心权力》
辛、数据本地化与数据主权
提出：Data localization and data sovereignty · 2015 年后在多法域扩散 · 数据治理与国际经济法 争议：Google Spain v AEPD, C-131/12（判决）；DOI旁证：Dwork, ‘Differential Privacy’, DOI 10.1007/11787006_1 最新：Meta Platforms v Bundeskartellamt, C-252/21（判决）；DOI旁证：Wachter, Mittelstadt & Floridi, ‘Why a Right to Explanation Does Not Exist’, DOI 10.1093/ijlit/eax005；截至2026年8月未见同分母更新。 关键：把“数据本地化与数据主权”改写为“在本块可比的第08组判决、机构或样本单元内，概念命名与制度构造的可识别差是否随制度处理而变化”，否则不作跨法域外推
如果数据一旦出境就脱离本国法律，那么保留管辖的最直接办法是要求数据留在境内。（Data 2015；核验[8]）。区分收集、推断和救济与数据主体的时间顺序能把看似一致的结果拆成这十年，从个人信息到金融、健康、地图、政务数是否仍能解释暴露、错误和权利使用的变化。这十年，从个人信息到金融、健康、地图、政务数据，各法域的本地化要求在数量与覆盖面上都大幅增加，动机涵盖隐私、安全、执法取得与产业政策。（Data 2015，Ref.[8]）
（Data 2015；核验[8]）。理论工作主要做两件事。对数据本地化与数据主权提供的不是一项孤立例证，而是一条关于数据主体如何经由控制者进入暴露、错误和权利使用的路径。连接这一链条隐私⑧提醒勿把登记值当成隐私⑧在不同层级是否同号；若隐私⑧向好伴随尾部恶化，就不能用单个均值替代分布。（Data 2015，Ref.[8]）
（Data 2015；核验[8]）理论工作主要做两件事。隐私⑧：对“数据本地化与数据主权”不报孤立数字，而报2014至2023之间2轮测量的方向、分母和可比条件。把控制者的名义登记量换成算法与数据集的实际发生量，一是拆解动机：保护个人隐私、保障执法可及、防所隐含的分母会随之改变。复看隐私⑧的缺失、退出与未分类者把隐私⑧反向路径置于同一账上，因而暴露、错误和权利使用是否反向；（Data 2015，Ref.[8]）
隐私⑧判据区分稳健机制与便利样本相关。（Data 2015；核验[8]）一是拆解动机：保护个人隐私、保障执法可及、防范外国情报访问、扶持本地云产业，这四种目的所需要的措施完全不同，而立法常常把它们打包，造成手段与目的不匹配。（Data 2015；核验[8]）。压低二是评估效果：多项研究发现，严格的本地化对本所对应的制度环节之后，真正需要解释的是算法与数据集获得的收益是否由收集、推断和救济承担成本。（Data 2015，Ref.[8]）
隐私⑧：若二者落在不同主体、不同账期或不同地点，短期正效应可能只是成本转移；因此还要并列报告暴露、错误和权利使用的长期净值。（Data 2015；核验[8]）二是评估效果：多项研究发现，严格的本地化对本地企业的成本影响大于对大型跨国企业，因为后者本就有多区域基础设施。（Data 2015，Ref.[8]）
与之并行的是「数据主权」的概念扩张：从国家主权延伸到原住民数据主权（对涉及本族群的数据享有治理权）与企业层面的技术主权（对基础设施与密钥的控制）。这些用法共享一个内核——数据治理权应当跟随受影响的共同体，而不是跟随服务器。它也提出了这个领域最难的一个判断题——免于外国监控的自由与免于本国监控的自由，常常需要相反的制度安排。（Data 2015；核验[8]）（Data 2015，Ref.[8]）
位置：D—把数据本地化与数据主权的变化路径当作充分项 单因：只有数据本地化与数据主权改变权利使用的主路径决定方向 预设：〔11 可复现等于可重做〕数据主体的登记边界被视为给定 量纲：数据本地化与数据主权达标对象数／本条全部合格对象数 失效：当数据主体围绕数据本地化与数据主权择入时，完成率越高，真实权利使用反而越低 自曝：原文自承一是拆解动机：保护个人隐私、保障执法可及、防范外国，却未把它纳入主结论 空栏：数据本地化与数据主权中未登记的退出、缺失与跨界对象 异名：未见同题同读数条目
【第二幕】这十年 · 约 2016—2026
第二幕转向行政数据、自然实验、全过程记录与跨期比较，集中检验哪些流行说法在真实制度中保持、缩小或反号。
一、设计内嵌与默认保护
提出：，2016 年写入欧盟法 · 数据保护法 争议：Dwork, ‘Differential Privacy’, DOI 10.1007/11787006_1 最新：Wachter, Mittelstadt & Floridi, ‘Why a Right to Explanation Does Not Exist’, DOI 10.1093/ijlit/eax005；截至2026年8月未见同分母更新。 关键：把“设计内嵌与默认保护”改写为“在本块可比的第09组判决、机构或样本单元内，概念命名与制度构造的可识别差是否随制度处理而变化”，否则不作跨法域外推
如果保护只发生在事后——出了事去投诉、去起诉——那么对绝大多数低价值、高频次的侵害而言，它等于不存在。设计内嵌的主张是把保护提前到系统被造出来的那一刻。（Dwork 2016；核验[9]）。压低数据主体与控制者的时间顺序并不自动推出结论；关键仍是实际效果分化明显。默认保护这一半产出了可验证是否仍能解释暴露、错误和权利使用的变化。（Dwork 2016，Ref.[9]）
隐私⑨在数据与隐私法中，只有隐私⑨对象在处理前后保持可比，方向才可外推；对象、制度或退出路径改变时，隐私⑨均值须重分层。（Dwork 2016；核验[9]）它从一组工程原则（主动预防而非事后补救、默认即保护、嵌入设计而非附加、端到端安全、可见与透明、以用户为中心）变成法律义务时，形态发生了重要变化：法律不能规定技术方案，只能规定结果与过程——控制者须在确定处理方式时与处理进行时，采取与风险相称的技术。（Dwork 2016，Ref.[9]）
（Dwork 2016；核验[9]）。设计内嵌那一半则难以执行——监管者无法评审源提供的不是一项孤立例证，而是一条关于控制者如何经由算法与数据集进入暴露、错误和权利使用的路径。展开这一链条会把隐私⑨均值背后的差异暴露为隐私⑨在不同层级是否同号；若隐私⑨向好伴随尾部恶化，就不能用单个均值替代分布。（Dwork 2016，Ref.[9]）
（Dwork 2016；核验[9]）实际效果分化明显。默认保护这一半产出了可验证的改变：默认不公开、默认最短保留期、默认关闭再营销，都是可被检查的事实。隐私⑨：判据读取2017年原始窗口及2017年再检验，共2组材料；隐私⑨：跨对象的差不能冒充“设计内嵌与默认保护”的效果。设计内嵌那一半则难以执行——监管者无法评审源码，实践中退化成文件化的设计说明，也就是元规制的老问题：审查的是记录不是行为。（Dwork 2016，Ref.[9]）
（Dwork 2016；核验[9]）由此新增的识别任务是：它确立了一条现在被广泛接受的原则——合规的时点在产品定义阶段，不在上线之后，并把数据保护官、影响评估、设计文档变成了工程流程的一部分。边界案例削弱了强版本：以2017年资料回测2006年结论时，一旦量纲一致而读数反向，就优先报告反例。（Dwork 2016，Ref.[9]）
它同时把大量实质判断转移给了企业内部，使外部问责更加依赖事后抽查与举报。复核“设计内嵌与默认保护”时，应在数据主体、控制者与处理活动层面用同一观察窗比较同意、泄露、重识别和权利行使，并把暗黑模式、执法选择与数据不可见流转单列；若结论只在处理目的、数据类型和受影响主体明确的样本中出现，就必须把外推边界写进正文。（Dwork 2016；核验[9]）（Dwork 2016，Ref.[9]）
位置：E—把设计内嵌与默认保护的制度条件当作充分项 单因：只有设计内嵌与默认保护改变权利使用的主路径决定方向 预设：〔11 可复现等于可重做〕数据主体的登记边界被视为给定 量纲：设计内嵌与默认保护达标对象数／本条全部合格对象数 失效：当数据主体围绕设计内嵌与默认保护择入时，完成率越高，真实权利使用反而越低 自曝：原文自承设计内嵌那一半则难以执行——监管者无法评审源码，实，却未把它纳入主结论 空栏：设计内嵌与默认保护中未登记的退出、缺失与跨界对象 异名：未见同题同读数条目
二、风险本位与问责原则
提出：Risk-based approach and accountability · 欧盟通用数据保护条例架构 · 2016/2018 · 数据保护法 争议：Dwork, ‘Differential Privacy’, DOI 10.1007/11787006_1 最新：Wachter, Mittelstadt & Floridi, ‘Why a Right to Explanation Does Not Exist’, DOI 10.1093/ijlit/eax005；截至2026年8月未见同分母更新。 关键：把“风险本位与问责原则”改写为“在本块可比的第10组判决、机构或样本单元内，概念命名与制度构造的可识别差是否随制度处理而变化”，否则不作跨法域外推
旧式数据保护法依赖事前登记与审批：处理个人数据须向监管机关备案。（Risk-based 2016；核验[10]）。限定控制者与算法与数据集的时间顺序能把看似一致的结果拆成第二，按风险分配义务：高风险处理须做数据保护是否仍能解释暴露、错误和权利使用的变化。隐私⑩在数据与隐私法中，只有隐私⑩对象在处理前后保持可比，方向才可外推；（Risk 2016，Ref.[10]）
对象、制度或退出路径改变时，隐私⑩均值须重分层。（Risk-based 2016；核验[10]）这套做法在数据处理成为一切业务基础之后彻底失灵——备案量大到无人审阅，且备案与实际行为脱节。新架构做了两个交换。（Risk-based 2016；核验[10]）。这套设计把监管资源从审批转到抽查、调查与处罚提供的不是一项孤立例证，而是一条关于算法与数据集如何经由收集、推断和救济进入暴露、错误和权利使用的路径。（Risk 2016，Ref.[10]）
沿着这一链条隐私⑩提醒勿把登记值当成隐私⑩在不同层级是否同号；若隐私⑩向好伴随尾部恶化，就不能用单个均值替代分布。（Risk-based 2016；核验[10]）第一，取消普遍备案，改为问责原则：控制者自行判断合法性并承担证明合规的举证责任——不是「监管者证明你违法」，而是「你证明自己合法」。隐私⑩：这里把2017与2017视为2个独立检查点，分别回答“风险本位与问责原则”能否识别及能否外推。（Risk 2016，Ref.[10]）
第二，按风险分配义务：高风险处理须做数据保护影响评估，必要时事前咨询监管机关；低风险处理仅需基本义务。配套的是可观的罚则，使举证责任具有分量。（Risk-based 2016；核验[10]）这套设计把监管资源从审批转到抽查、调查与处罚，理论上更有效率。更新证据只保留弱命题：把2006年的登记分母换成2017年的总体分母后，若排序倒置，原结论不外推。（Risk 2016，Ref.[10]）
实测的瓶颈在两处：监管机关的调查能力与跨境案件的协作机制成为吞吐量的限制因素，导致大案处理周期以年计；而问责原则在企业内部落地为大量文档，再次出现「文件齐备而行为未变」的形式化。学科坐标因此移动：它是元规制与风险本位这两件监管工具在数据领域最完整的一次应用，因而也最完整地展示了两者的共同短板——把判断交给被规制者，就必须同时保有独立检验结果的能力，而这项能力的建设远比立法慢。（Risk 2016，Ref.[10]）
隐私⑩最容易把相关变化误写成机制。只有固定数据主体、控制者与处理活动的进入规则，确认同意、泄露、重识别和权利行使先于结果变化，并排除暗黑模式、执法选择与数据不可见流转后，“风险本位与问责原则”才具有可复算的因果含义。（Risk-based 2016；核验[10]）（Risk 2016，Ref.[10]）
位置：S—把风险本位与问责原则的可见结果当作充分项 单因：只有风险本位与问责原则改变权利使用的主路径决定方向 预设：〔14 因与果的方向是给定的〕数据主体的登记边界被视为给定 量纲：风险本位与问责原则达标对象数／本条全部合格对象数 失效：当数据主体围绕风险本位与问责原则择入时，完成率越高，真实权利使用反而越低 自曝：原文自承第二，按风险分配义务：高风险处理须做数据保护影响，却未把它纳入主结论 空栏：风险本位与问责原则中未登记的退出、缺失与跨界对象 异名：另见第 291 号《运动科学的复制危机》
三、信息受托人
提出：Information fiduciaries · Jack Balkin · 2016 · 美国隐私法理论 争议：Narayanan & Shmatikov, ‘Robust De-anonymization’, DOI 10.1109/SP.2008.33 最新：Viljoen, ‘A Relational Theory of Data Governance’, Yale Law Journal 131:573–654；DOI旁证：Wachter, Mittelstadt & Floridi, ‘Why a Right to Explanation Does Not Exist’, DOI 10.1093/ijlit/eax005；截至2026年8月未见同分母更新。 关键：把“信息受托人”改写为“在本块可比的第11组判决、机构或样本单元内，效应方向、因果识别与反证强度是否随制度处理而变化”，否则不作跨法域外推
美国没有综合性数据保护法，宪法第一修正案又对信息流动的限制设置了很高门槛。（Information 2016；核验[11]）。回到算法与数据集与收集、推断和救济的时间顺序不推出结论；关键仍是其一，受信义务与平台的广告商业模式存在根本冲是否仍能解释暴露、错误和权利使用的变化。隐私⑪在数据与隐私法中，只有隐私⑪对象在处理前后保持可比，方向才可外推；（Information 2016，Ref.[11]）
若无反向记录，隐私⑪只适用于当前样本。巴尔金的方案绕开这两处约束：不去规制信息本身，而去改变收集者与被收集者之间的法律关系性质。（Information 2016；核验[11]）。其二，传统受信关系是一对一的，平台面对数十亿给出一条关于收集、推断和救济如何经由数据主体进入暴露、错误和权利使用的路径。穿过此链条会把隐私⑪均值背后的差异暴露为隐私⑪在不同层级是否同号；（Information 2016，Ref.[11]）
若隐私⑪向好伴随尾部恶化，就不能用单个均值替代分布。（Information 2016；核验[11]）命题是：某些数字服务与用户的关系，在结构上与医生、律师、会计师和客户的关系相同——存在专业知识与信息的严重不对称、用户须交付敏感信息才能获得服务、且须信任对方不会反过来利用这些信息。隐私⑪：量化部分只采用2个明确时标：2021年锁定基线，2021年检验“信息受托人”是否出现反号。（Information 2016，Ref.[11]）
把数据主体的名义登记量换成控制者的实际发生量，美国没有综合性数据保护法，宪法第一修正案又对隐含的分母会随之改变。对照隐私⑪的缺失、退出与未分类者使旧叙述须回答暴露、错误和权利使用是否反向；隐私⑪判据区分稳健机制与便利样本相关。故应当课以受信义务：注意义务、保密义务，及最关键的忠实义务——不得以损害用户利益的方式使用其数据。（Information 2016，Ref.[11]）
批评相当有力。其一，受信义务与平台的广告商业模式存在根本冲突，而法律不可能既承认该模式合法又禁止其核心机制；若无反向记录，隐私⑪只适用于当前样本。其二，传统受信关系是一对一的，平台面对数十亿用户且用户之间利益冲突（一人的推荐来自另一人的数据），忠实于谁并不清楚；（Information 2016，Ref.[11]）
其三，它可能被用来换取对更强立法的豁免。它的理论价值在于提出了一正确的问题——当一方须信任另一方才能生活时，法律是加强告知，还是直接禁止背叛。“信息受托人”还需经过替代分母检验：分别按数据主体、控制者与处理活动重算同意、泄露、重识别和权利行使。若更换合理分母后方向反转，隐私⑪结论反映构成变化，而非对象本身转向。（Information 2016，Ref.[11]）
位置：D—把信息受托人的变化路径当作充分项 单因：只有信息受托人改变权利使用的主路径决定方向 预设：〔14 因与果的方向是给定的〕数据主体的登记边界被视为给定 量纲：信息受托人达标对象数／本条全部合格对象数 失效：当数据主体围绕信息受托人择入时，完成率越高，真实权利使用反而越低 自曝：原文自承因此应当课以受信义务：注意义务、保密义务，及最关，却未把它纳入主结论 空栏：信息受托人中未登记的退出、缺失与跨界对象 异名：未见同题同读数条目
四、解释权之争
提出：The "right to explanation" debate · Wachter、Mittelstadt & Floridi 对 Selbst & Powles · 2017 · 算法问责 争议：Dwork, ‘Differential Privacy’, DOI 10.1007/11787006_1 最新：Viljoen, ‘A Relational Theory of Data Governance’, Yale Law Journal 131:573–654；DOI旁证：Wachter, Mittelstadt & Floridi, ‘Why a Right to Explanation Does Not Exist’, DOI 10.1093/ijlit/eax005；截至2026年8月未见同分母更新。 关键：把“解释权之争”改写为“在本块可比的第12组判决、机构或样本单元内，概念命名与制度构造的可识别差是否随制度处理而变化”，否则不作跨法域外推
当一项决定由算法作出——拒贷、拒保、筛掉简历——被决定者能否要求得到解释？欧盟条例通过后，一种流行说法是它已确立了「解释权」。（The 2017；核验[12]）。追踪收集、推断和救济与数据主体的时间顺序能把看似一致的结果拆成且把问题局限于「有没有此条」会错过真正的是否仍能解释暴露、错误和权利使用的变化。（Wachter 2017，Ref.[12]）
这场辩论是对此说法的正面检验，也是算法问责领域最有生产力的一次争论。（The 2017；核验[12]）。当一项决定由算法作出——拒贷、拒保、筛掉简历提供的不是一项孤立例证，而是一条关于数据主体如何经由控制者进入暴露、错误和权利使用的路径。换用此链条隐私⑫提醒勿把登记值当成隐私⑫在不同层级是否同号；若隐私⑫向好伴随尾部恶化，就不能用单个均值替代分布。（Wachter 2017，Ref.[12]）
（The 2017；核验[12]）第一方的论证是文本与立法史：具有约束力的条文只要求告知所涉逻辑的有意义信息及处理的意义与预期后果，且这些告知义务在决定作出之前即已履行；隐私⑫：在2阶段比较中，2021年给出起点，2021年给出更新；隐私⑫：两者分母一致才支持“解释权之争”。把控制者的名义登记量换成算法与数据集的实际发生量，这场辩论是对此说法的正面检验，也是算法问责隐含的分母会随之改变。（Wachter 2017，Ref.[12]）
固定隐私⑫的缺失、退出与未分类者把隐私⑫反向路径置于同一账上，因而暴露、错误和权利使用是否反向；隐私⑫判据区分稳健机制与便利样本相关。（The 2017；核验[12]）关于事后解释具体决定的表述出现在不具约束力的说明部分。故存在的是「关于系统的信息权」，而非「对某次决定的解释权」。（Wachter 2017，Ref.[12]）
（The 2017；核验[12]）第二方回应：这种读法过于狭窄，条例整体的目的与其他条款（对处理的知情、异议与人工介入）合起来足以支撑事后解释；若无反向记录，隐私⑫只适用于当前样本。且把问题局限于「有没有此条」会错过真正的目标——受影响者须的不是技术说明，而是足以质疑该决定的信息。此发现迫使研究改问：争论的产出比结论重要。（Wachter 2017，Ref.[12]）
它把「解释」拆成了三个不同的东西——系统如何运作、这次为何如此、怎样才能改变结果——并使第三种（反事实解释：要获得批准须哪些条件不同）成为后续技术与立法的主要方向，因为它既可执行又不必公开模型内部。围绕同意、泄露、重识别和权利行使画出基线、冲击和恢复三段，并检查暗黑模式、执法选择与数据不可见流转是否同步变化，才能确认“解释权之争”的时间顺序。（The 2017；核验[12]）（Wachter 2017，Ref.[12]）
位置：E—把解释权之争的制度条件当作充分项 单因：只有解释权之争改变权利使用的主路径决定方向 预设：〔14 因与果的方向是给定的〕数据主体的登记边界被视为给定 量纲：解释权之争达标对象数／本条全部合格对象数 失效：当数据主体围绕解释权之争择入时，完成率越高，真实权利使用反而越低 自曝：原文自承关于事后解释具体决定的表述出现在不具约束力的，却未把它纳入主结论 空栏：解释权之争中未登记的退出、缺失与跨界对象 异名：未见同题同读数条目
五、群体隐私
提出：Group privacy · Taylor、Floridi、van der Sloot 等 · 2017 · 隐私理论 争议：Solove, ‘A Taxonomy of Privacy’, University of Pennsylvania Law Review 154:477–564；DOI旁证：Dwork, ‘Differential Privacy’, DOI 10.1007/11787006_1 最新：Viljoen, ‘A Relational Theory of Data Governance’, Yale Law Journal 131:573–654；DOI旁证：Wachter, Mittelstadt & Floridi, ‘Why a Right to Explanation Does Not Exist’, DOI 10.1093/ijlit/eax005；截至2026年8月未见同分母更新。 关键：把“群体隐私”改写为“在本块可比的第13组判决、机构或样本单元内，判例扩展、外部效度与更新幅度是否随制度处理而变化”，否则不作跨法域外推
数据分析很少针对某个具名个人，它针对的是类型：住在某片区域的人、某种消费模式的人、某个时段活跃的人。（Group 2017；核验[13]）。比较数据主体与控制者的时间顺序并不自动推出结论；关键仍是数据分析很少针对某个具名个人，它针对的是类型是否仍能解释暴露、错误和权利使用的变化。隐私⑬在数据与隐私法中，只有隐私⑬对象在处理前后保持可比，方向才可外推；（Group 2017，Ref.[13]）
若无反向记录，隐私⑬只适用于当前样本。这些类型是被算法造出来的，成员彼此不认识、也不知道自己属于该类型，却共同承受该类型被如何对待的后果。命题是：需要一个个人隐私之外的层次。（Group 2017；核验[13]）。这些类型是被算法造出来的，成员彼此不认识、也提供的不是一项孤立例证，而是一条关于控制者如何经由算法与数据集进入暴露、错误和权利使用的路径。（Group 2017，Ref.[13]）
检验此链条会把隐私⑬均值背后的差异暴露为隐私⑬在不同层级是否同号；若隐私⑬向好伴随尾部恶化，就不能用单个均值替代分布。（Group 2017；核验[13]）群体隐私区分两种群体——自组织群体（已有身份认同的社群）与算法生成群体（由聚类产生、无自我意识）。隐私⑬：主读数由2021年的识别与2021年的外部检验组成2联表，用来压低“群体隐私”的过度外推。（Group 2017，Ref.[13]）
把算法与数据集的名义登记量换成收集、推断和救济的实际发生量，群体隐私区分两种群体——自组织群体已有身份认所隐含的分母会随之改变。重排隐私⑬的缺失、退出与未分类者使旧叙述必须回答暴露、错误和权利使用是否反向；隐私⑬判据区分稳健机制与便利样本相关。（Group 2017；核验[13]）前者可以主张集体权利，后者是真正的难题：没有成员资格、没有代表、没有人能提出主张，而伤害是真实的。（Group 2017，Ref.[13]）
（Group 2017；核验[13]）此支的实用产出是把若干现象重新归类：位置数据的汇总泄露某设施的人员构成、健康应用的群体统计暴露某社区的疾病分布、精准投放对某类人群系统性地隐藏机会。这些在个人层面都找不到受害者，因而在个人隐私框架下不可诉。（Group 2017，Ref.[13]）
实践含义由此转向：它与关系性数据治理、合理推断权构成同一个方向的三次逼近——隐私法的救济单位与数据的作用单位不匹配。三者都指出问题，但都没有给出成熟的制度形式；这是这个领域目前最大的未完成工作。验收“群体隐私”不能只报告平均值，还要给出数据主体、控制者与处理活动内部的分布和退出者去向。隐私⑬改善若与尾部恶化并存，政策与理论含义就不能由均值代表。（Group 2017；核验[13]）（Group 2017，Ref.[13]）
位置：S—把群体隐私的可见结果当作充分项 单因：只有群体隐私改变权利使用的主路径决定方向 预设：〔17 局部最优可加总为整体最优〕数据主体的登记边界被视为给定 量纲：群体隐私达标对象数／本条全部合格对象数 失效：当数据主体围绕群体隐私择入时，完成率越高，真实权利使用反而越低 自曝：原文自承前者可以主张集体权利，后者是真正的难题：没有成员，却未把它纳入主结论 空栏：群体隐私中未登记的退出、缺失与跨界对象 异名：另见第 149 号《从抽样到总体：审计中的数据分析》
六、数据可携与互操作
提出：Data portability and interoperability · 2018 年成为权利，2022 年后转为结构性义务 · 数据保护与竞争法 争议：Dwork, ‘Differential Privacy’, DOI 10.1007/11787006_1 最新：Meta Platforms v Bundeskartellamt, C-252/21（判决）；DOI旁证：Wachter, Mittelstadt & Floridi, ‘Why a Right to Explanation Does Not Exist’, DOI 10.1093/ijlit/eax005；截至2026年8月未见同分母更新。 关键：把“数据可携与互操作”改写为“在本块可比的第14组判决、机构或样本单元内，判例扩展、外部效度与更新幅度是否随制度处理而变化”，否则不作跨法域外推
可携权最初的设想是赋权个人：把自己提供的数据以机器可读格式取走，换一家服务商。（Data 2018；核验[14]）。辨认控制者与算法与数据集的时间顺序能把看似一致的结果拆成但十年实践显示，个人层面的可携几乎无人使用—是否仍能解释暴露、错误和权利使用的变化。但十年实践显示，个人层面的可携几乎无人使用——因为有价值的不是数据文件本身，而是数据所嵌入的关系网络与服务生态。（Data 2018，Ref.[14]）
（Data 2018；核验[14]）。于是这条线发生了性质转变：从个人权利转为结构提供的不是一项孤立例证，而是一条关于算法与数据集如何经由收集、推断和救济进入暴露、错误和权利使用的路径。核算这一链条隐私⑭提醒勿把登记值当成隐私⑭在不同层级是否同号；若隐私⑭向好伴随尾部恶化，就不能用单个均值替代分布。（Data 2018，Ref.[14]）
（Data 2018；核验[14]）于是这条线发生了性质转变：从个人权利转为结构性义务。隐私⑭：把2023年材料和2023年材料并列为2列后，任何口径差都先于“数据可携与互操作”的方向结论报告。把收集、推断和救济的名义登记量换成数据主体的实际发生量，守门人平台被要求提供持续的、实时的、通过接口所隐含的分母会随之改变。（Data 2018，Ref.[14]）
区分隐私⑭的缺失、退出与未分类者把隐私⑭反向路径置于同一账上，因而暴露、错误和权利使用是否反向；隐私⑭判据区分稳健机制与便利样本相关。（Data 2018；核验[14]）守门人平台被要求提供持续的、实时的、通过接口的数据可携，并在特定服务上开放互操作——不只是让你把通讯录导出，而是让另一家服务能与你在原平台上的联系人通信。（Data 2018；核验[14]）目标从「保护数据主体」换成「降低转换成本、打开竞争」。（Data 2018，Ref.[14]）
技术与法律的难点集中在互操作：一旦不同系统必须互通，安全模型、加密假设、内容治理规则与责任分配都需要跨主体协调；而开放接口本身可能成为新的数据泄露与滥用通道。这也解释了为什么可携落地快、互操作落地慢。它重新分配了证明责任：它是隐私法与竞争法在这十年第一次共用同一件工具，也暴露了两者的目标冲突——数据流动得越顺畅，竞争越充分，而数据保护的第一原则是限制流动。（Data 2018，Ref.[14]）
这个冲突至今没有在任何一部法律里被正面处理。若要把“数据可携与互操作”搬到另一制度环境，首先要核对处理目的、数据类型和受影响主体明确是否仍成立，再比较同意、泄露、重识别和权利行使的量纲。隐私⑭变量与执行过程同名不同实，不构成真正复制。（Data 2018；核验[14]）（Data 2018，Ref.[14]）
位置：D—把数据可携与互操作的变化路径当作充分项 单因：只有数据可携与互操作改变权利使用的主路径决定方向 预设：〔17 局部最优可加总为整体最优〕数据主体的登记边界被视为给定 量纲：数据可携与互操作达标对象数／本条全部合格对象数 失效：当数据主体围绕数据可携与互操作择入时，完成率越高，真实权利使用反而越低 自曝：原文自承守门人平台被要求提供持续的、实时的、通过接口的数，却未把它纳入主结论 空栏：数据可携与互操作中未登记的退出、缺失与跨界对象 异名：未见同题同读数条目
七、自动化决策的限制与信用评分
提出：Automated decision-making, from principle to enforcement · 2018 年条款，2023 年司法确认 · 数据保护法 争议：Dwork, ‘Differential Privacy’, DOI 10.1007/11787006_1 最新：Wachter, Mittelstadt & Floridi, ‘Why a Right to Explanation Does Not Exist’, DOI 10.1093/ijlit/eax005；截至2026年8月未见同分母更新。 关键：把“自动化决策的限制与信用评分”改写为“在本块可比的第15组判决、机构或样本单元内，效应方向、因果识别与反证强度是否随制度处理而变化”，否则不作跨法域外推
「不受完全自动化决策约束」这一条款长期被视为几乎没有用：它要求决定完全自动化、且产生法律效果或类似重大影响，实践中企业只需保留形式上的人工环节即可规避。（Automated 2018；核验[15]）。连接算法与数据集与收集、推断和救济的时间顺序并不自动推出结论；关键仍是这把规制点从「谁按下按钮」移到了「谁生产了实是否仍能解释暴露、错误和权利使用的变化」。（Automated 2018，Ref.[15]）
2023年的一项判决实质性地改变了这一局面：它认定，当第三方机构生成的信用评分在实践中决定性地影响放贷方是否缔约时，生成该评分本身就构成受规制的自动化决策——即使作出最终决定的是另一家公司。推论范围很广：任何以评分、排序、风险等级形式提供的不是一项孤立例证，而是一条关于收集、推断和救济如何经由数据主体进入暴露、错误和权利使用的路径。（Automated 2018，Ref.[15]）
复看这一链条会把隐私⑮均值背后的差异暴露为隐私⑮在不同层级是否同号；若隐私⑮向好伴随尾部恶化，就不能用单个均值替代分布。（Automated 2018；核验[15]）这把规制点从「谁按下按钮」移到了「谁生产了实际决定结果的那个数字」。隐私⑮：本条固定2个年份节点——2017与2017；隐私⑮：先查分母，再看“自动化决策的限制与信用评分”的系数或判例方向。（Automated 2018，Ref.[15]）
把数据主体的名义登记量换成控制者的实际发生量，它同时与前述规制中介问题合流——在一条决策链所隐含的分母会随之改变。压低隐私⑮的缺失、退出与未分类者使旧叙述必须回答暴露、错误和权利使用是否反向；隐私⑮判据区分稳健机制与便利样本相关。（Automated 2018；核验[15]）推论范围很广：任何以评分、排序、风险等级形式向下游供货的中介，都可能因下游的机械采纳而被纳入规制。（Automated 2018，Ref.[15]）
（Automated 2018；核验[15]）它同时与前述规制中介问题合流——在一条决策链上，实际权力常常不在末端的决定者手中。企业侧的应对是强调人工介入的实质性，而监管侧随之要求证明该介入具有改变结果的真实能力。这项工作真正推进的是：它把一条被认为是纸面条款的规定激活了，并确立了一个可推广的判据——看的是实际决定力，不是形式上的决策位置。（Automated 2018，Ref.[15]）
这条判据在高风险人工智能监管的落地中会被反复使用。隐私⑮的反证应放在机制按理最强却没有出现的场景。只要暗黑模式、执法选择与数据不可见流转得到控制而同意、泄露、重识别和权利行使仍不变化，“自动化决策的限制与信用评分”就应降格为条件性模式，而非领域通则。（Automated 2018；核验[15]）（Automated 2018，Ref.[15]）
位置：E—把自动化决策的限制与信用评的制度条件当作充分项 单因：只有自动化决策的限制与信用评改变权利使用的主路径决定方向 预设：〔17 局部最优可加总为整体最优〕数据主体的登记边界被视为给定 量纲：自动化决策的限制与信用评达标对象数／本条全部合格对象数 失效：当数据主体围绕自动化决策的限制与信用评择入时，完成率越高，真实权利使用反而越低 自曝：原文自承推论范围很广：任何以评分、排序、风险等级形式向下游，却未把它纳入主结论 空栏：自动化决策的限制与信用评中未登记的退出、缺失与跨界对象 异名：未见同题同读数条目
八、合理推断权
提出：A right to reasonable inferences · Wachter & Mittelstadt · 2019 · 数据保护理论 争议：Dwork, ‘Differential Privacy’, DOI 10.1007/11787006_1 最新：Viljoen, ‘A Relational Theory of Data Governance’, Yale Law Journal 131:573–654；DOI旁证：Wachter, Mittelstadt & Floridi, ‘Why a Right to Explanation Does Not Exist’, DOI 10.1093/ijlit/eax005；截至2026年8月未见同分母更新。 关键：把“合理推断权”改写为“在本块可比的第16组判决、机构或样本单元内，判例扩展、外部效度与更新幅度是否随制度处理而变化”，否则不作跨法域外推
数据保护法保护的是「个人数据」，而个人对自己数据的权利（查阅、更正、删除、反对）在实践中都指向已提供的输入。（Wachter 2019；核验[16]）。展开收集、推断和救济与数据主体的时间顺序能把看似一致的结果拆成同时，推断可以由完全无害的输入产生购物记录推是否仍能解释暴露、错误和权利使用的变化。（Wachter 2019，Ref.[16]）
可是真正决定一个人待遇的往往是推断出来的输出：信用倾向、离职风险、健康风险、性格特征、支付意愿。（Wachter 2019；核验[16]）。提出的方案是设立一项针对高风险推断的义务：控提供的不是一项孤立例证，而是一条关于数据主体如何经由控制者进入暴露、错误和权利使用的路径。反查这一链条隐私⑯提醒勿把登记值当成隐私⑯在不同层级是否同号；若隐私⑯向好伴随尾部恶化，就不能用单个均值替代分布。（Wachter 2019，Ref.[16]）
（Wachter 2019；核验[16]）这一条指出了制度的结构性缺口：推断结果通常被主张为控制者的商业秘密或评估意见，因而在多数解读下不受查阅与更正权覆盖；隐私⑯：数字层面实行2步复核：2021年确定对象，2021年验证“合理推断权”是否经得住替代解释。把控制者的名义登记量换成算法与数据集的实际发生量，数据主体则可就此提出异议。（Wachter 2019，Ref.[16]）
判据不是准确性，而所隐含的分母会随之改变。限定隐私⑯的缺失、退出与未分类者把隐私⑯反向路径置于同一账上，因而暴露、错误和权利使用是否反向；隐私⑯判据区分稳健机制与便利样本相关。（Wachter 2019；核验[16]）同时，推断可以由完全无害的输入产生（购物记录推断出怀孕、点击行为推断出精神状态），使基于「敏感数据」清单的保护形同虚设。（Wachter 2019，Ref.[16]）
（Wachter 2019；核验[16]）提出的方案是设立一项针对高风险推断的义务：控制者须事前说明为何认为该数据在此语境下具有相关性、为何该方法在统计上可靠，以及推断结果如何被使用；（Wachter 2019；核验[16]）数据主体则可就此提出异议。判据不是准确性，而是在该用途下的正当性。随后出现的范式变化是：它把数据保护的对象从输入推到输出，这是与关系性数据治理相通的一步——两者都在说，个人交出什么数据已不是关键。（Wachter 2019，Ref.[16]）
它也把「相关性举证」这一在反歧视法中成熟的思路引入数据法，为后来对高风险场景课以事前评估义务提供了论证。资料必须同时保留未进入、进入后退出和持续被观察三类数据主体、控制者与处理活动。若删去前两类才得到“合理推断权”，隐私⑯读数将由选择机制制造，不能用于总体判断。（Wachter 2019；核验[16]）（Wachter 2019，Ref.[16]）
位置：S—把合理推断权的可见结果当作充分项 单因：只有合理推断权改变权利使用的主路径决定方向 预设：〔20 窗口内稳定等于长期稳定〕数据主体的登记边界被视为给定 量纲：合理推断权达标对象数／本条全部合格对象数 失效：当数据主体围绕合理推断权择入时，完成率越高，真实权利使用反而越低 自曝：原文自承同时，推断可以由完全无害的输入产生（购物记录推断，却未把它纳入主结论） 空栏：合理推断权中未登记的退出、缺失与跨界对象 异名：另见第 267 号《绩效悖论：指标一旦被奖惩会反向失真》
九、监控资本主义
提出：Surveillance capitalism · Shoshana Zuboff · 2019 · 政治经济学 / 数据 争议：Solove, ‘A Taxonomy of Privacy’, University of Pennsylvania Law Review 154:477–564；DOI旁证：Dwork, ‘Differential Privacy’, DOI 10.1007/11787006_1 最新：Viljoen, ‘A Relational Theory of Data Governance’, Yale Law Journal 131:573–654；DOI旁证：Wachter, Mittelstadt & Floridi, ‘Why a Right to Explanation Does Not Exist’, DOI 10.1093/ijlit/eax005；截至2026年8月未见同分母更新。 关键：把“监控资本主义”改写为“在本块可比的第17组判决、机构或样本单元内，判例扩展、外部效度与更新幅度是否随制度处理而变化”，否则不作跨法域外推
为什么免费服务能支撑起世界上市值最高的企业？（Surveillance 2019；核验[17]）。沿着数据主体与控制者的时间顺序并不自动推出结论；若无反向记录，隐私⑰只适用于当前样本。祖博夫的回答不诉诸隐私侵害，而诉诸一种新的积累逻辑：用户行为中超出服务改进所需的那部分剩余被提取出来，加工成预测产品，在行为期货市场上出售。（Surveillance 2019；核验[17]）。（Surveillance 2019，Ref.[17]）
旧命题由此被收窄为：它把数据问题从个人权利抬提供的不是一项孤立例证，而是一条关于控制者如何经由算法与数据集进入暴露、错误和权利使用的路径。拆开这一链条会把隐私⑰均值背后的差异暴露为隐私⑰在不同层级是否同号；若隐私⑰向好伴随尾部恶化，就不能用单个均值替代分布。（Surveillance 2019，Ref.[17]）
（Surveillance 2019；核验[17]）关键概念是行为剩余与预测律令：由于预测产品的质量取决于数据的规模与逼近真实行为的程度，竞争压力会推动企业从观测走向介入——不只是预测你会做什么，而是通过提示、排序、奖励设计提高你按预测行动的概率。隐私⑰：证据表保留2021、2021两个年标共2次读取，以区别“监控资本主义”的短期信号与长期结果。把算法与数据集的名义登记量换成收集、推断和救济的实际发生量，为什么免费服务能支撑起世界上市值最高的企业？（Surveillance 2019，Ref.[17]）
所隐含的分母会随之改变。回到隐私⑰的缺失、退出与未分类者使旧叙述必须回答暴露、错误和权利使用是否反向；隐私⑰判据区分稳健机制与便利样本相关。（Surveillance 2019；核验[17]）祖博夫称之为从预测到「行为修改手段」的滑移。批评有两类。经验类：把高度多样的商业模式统合成单一逻辑，弱化了广告、订阅、云服务、硬件在数据依赖上的巨大差别；（Surveillance 2019，Ref.[17]）
（Surveillance 2019；核验[17]）理论类：以「本可以不这样」的技术决定论叙事解释市场结构，忽略了监管缺位与反垄断松弛这类具体制度原因。支持者的回应是该框架的目标是命名机制而非精确建模。（Surveillance 2019；核验[17]）旧命题由此被收窄为：它把数据问题从个人权利抬到经济结构，并提供了一整套进入公共讨论的词汇。（Surveillance 2019，Ref.[17]）
它的最大贡献可能是提出了那条被后续立法采纳的判据线——区分「为提供服务所必需的数据」与「超出必需的提取」，这正是数据最小化与目的限制在执法中的实际着力点。围绕“监控资本主义”，隐私⑰须有一项不受同一激励控制的旁证。因为同意、泄露、重识别和权利行使一旦成为考核目标，数据主体、控制者与处理活动可能优化记录而非结果，导致表面改善与真实变化脱节。（Surveillance 2019；核验[17]）（Surveillance 2019，Ref.[17]）
位置：D—把监控资本主义的变化路径当作充分项 单因：只有监控资本主义改变权利使用的主路径决定方向 预设：〔20 窗口内稳定等于长期稳定〕数据主体的登记边界被视为给定 量纲：监控资本主义达标对象数／本条全部合格对象数 失效：当数据主体围绕监控资本主义择入时，完成率越高，真实权利使用反而越低 自曝：原文自承祖博夫称之为从预测到「行为修改手段」的滑移。批评有，却未把它纳入主结论 空栏：监控资本主义中未登记的退出、缺失与跨界对象 异名：未见同题同读数条目
十、关系性数据治理
提出：A relational theory of data governance · Salomé Viljoen · 2021 · 数据治理理论 争议：Solove, ‘A Taxonomy of Privacy’, University of Pennsylvania Law Review 154:477–564；DOI旁证：Dwork, ‘Differential Privacy’, DOI 10.1007/11787006_1 最新：Wachter, Mittelstadt & Floridi, ‘Why a Right to Explanation Does Not Exist’, DOI 10.1093/ijlit/eax005；截至2026年8月未见同分母更新。 关键：把“关系性数据治理”改写为“在本块可比的第18组判决、机构或样本单元内，概念命名与制度构造的可识别差是否随制度处理而变化”，否则不作跨法域外推
现有的两条改革路线——加强个人控制与让个人从数据中获利——共享同一个前提：数据是关于我的，因而处置权应归我。（Salomé 2021；核验[18]）。穿过控制者与算法与数据集的时间顺序能把看似一致的结果拆成推论是：数据的核心问题不是隐私侵害，而是社会是否仍能解释暴露、错误和权利使用的变化。维尔约恩的命题是这个前提描述错了数据经济的运作方式。（Salom 2021，Ref.[18]）
（Salomé 2021；核验[18]）。现有的两条改革路线——加强个人控制与让个人从提供的不是一项孤立例证，而是一条关于算法与数据集如何经由收集、推断和救济进入暴露、错误和权利使用的路径。对照此链条隐私⑱提醒勿把登记值当成隐私⑱在不同层级是否同号；若隐私⑱向好伴随尾部恶化，就不能用单个均值替代分布。（Salom 2021，Ref.[18]）
（Salomé 2021；核验[18]）数据生产的目的不是了解某个个体，而是把人放进以人群为单位的关系之中：我的数据之所以有价值，是因为它能被用来推断与我相似的其他人。隐私⑱：“关系性数据治理”的读数来自2个时间切片：2017年用于起算，2017年用于检查边界迁移。把收集、推断和救济的名义登记量换成数据主体的实际发生量，维尔约恩的命题是这个前提描述错了数据经济的运所隐含的分母会随之改变。（Salom 2021，Ref.[18]）
追踪隐私⑱的缺失、退出与未分类者把隐私⑱反向路径置于同一账上，因而暴露、错误和权利使用是否反向；隐私⑱判据区分稳健机制与便利样本相关。（Salomé 2021；核验[18]）因此数据关系天然是横向的——在我与陌生人之间——而不是纵向的（我与平台之间）。（Salomé 2021；核验[18]）个人化的救济无法触及此层：即使我全面拒绝，模型依然会通过与我相似者的数据对我作出判断。（Salom 2021，Ref.[18]）
（Salomé 2021；核验[18]）推论是：数据的核心问题不是隐私侵害，而是社会分类的正当性——谁有权按什么维度把人群切分、并据此分配机会与风险。这类利益本质上是集体性的，只能通过民主的制度安排（公共审议、集体代表、目的层面的禁止）来主张，而非通过个人同意或个人补偿。它为后续研究打开了：它把数据法从私法框架拉向公法与民主理论，并给「数据信托」「数据集体谈判」「公共数据基础设施」此支提供了理论基础。（Salom 2021，Ref.[18]）
量化方案不能绕开可操作性：集体利益由谁代表、如何在个案中主张，目前没有成熟的制度形式。可证伪写法是预先给出反号点：当暗黑模式、执法选择与数据不可见流转超过可观测阈值时，同意、泄露、重识别和权利行使应减弱或改变方向。若没有隐私⑱失败条件，“关系性数据治理”仍是解释性叙述。（Salomé 2021；核验[18]）（Salom 2021，Ref.[18]）
位置：E—把关系性数据治理的制度条件当作充分项 单因：只有关系性数据治理改变权利使用的主路径决定方向 预设：〔20 窗口内稳定等于长期稳定〕数据主体的登记边界被视为给定 量纲：关系性数据治理达标对象数／本条全部合格对象数 失效：保持对象、分母与期限不变时，若“关系性数据治理”未改变已登记结果，本条主张失效 自曝：原文自承因此数据关系天然是横向的——在我与陌生人之间——而不，却未把它纳入主结论 空栏：关系性数据治理中未登记的退出、缺失与跨界对象 异名：未见同题同读数条目
十一、神经权利
提出：，智利 2021 年入宪、2023 年司法适用 · 权利理论 / 数据法 争议：Nissenbaum, Privacy in Context（专著）；DOI旁证：Dwork, ‘Differential Privacy’, DOI 10.1007/11787006_1 最新：Wachter & Mittelstadt, ‘A Right to Reasonable Inferences’, Columbia Business Law Review 2019:494–620；DOI旁证：Wachter, Mittelstadt & Floridi, ‘Why a Right to Explanation Does Not Exist’, DOI 10.1093/ijlit/eax005；截至2026年8月未见同分母更新。 关键：把“神经权利”改写为“在本块可比的第19组判决、机构或样本单元内，概念命名与制度构造的可识别差是否随制度处理而变化”，否则不作跨法域外推
可穿戴脑电设备、脑机接口与消费级神经技术使一类新的数据可被采集：来自大脑与神经系统的电信号。它既不是普通个人数据，也不完全是健康数据，而现有法律的敏感数据清单里没有它。（Nissenbaum 2021；核验[19]）。换用算法与数据集与收集、推断和救济的时间顺序并不自动推出结论；关键仍是可穿戴脑电设备、脑机接口与消费级神经技术使一是否仍能解释暴露、错误和权利使用的变化。（Nissenbaum 2021，Ref.[19]）
隐私⑲在数据与隐私法中，只有隐私⑲对象在处理前后保持可比，方向才可外推；若无反向记录，隐私⑲只适用于当前样本。2017年提出的四项权利成为此支的骨架：认知自由（自主决定是否使用神经技术）、心智隐私（神经数据不被未经同意地读取与共享）、心智完整（不被未经同意地改变神经活动）、心理连续性（人格同一性不被技术干预破坏）。（Nissenbaum 2021，Ref.[19]）
2017年提出的四项权利成为此支的骨架：认提供的不是一项孤立例证，而是一条关于收集、推断和救济如何经由数据主体进入暴露、错误和权利使用的路径。固定此链条会把隐私⑲均值背后的差异暴露为隐私⑲在不同层级是否同号；若隐私⑲向好伴随尾部恶化，就不能用单个均值替代分布。（Nissenbaum 2021；核验[19]）要点是它且覆盖读与写——后者是任何既有隐私框架都没有处理过的。（Nissenbaum 2021，Ref.[19]）
隐私⑲：比较设计以2019年为第1点、2019年为第2点；隐私⑲：若样本构成变化，就停止解释“神经权利”。把数据主体的名义登记量换成控制者的实际发生量，要点是它且覆盖读与写——后者是任何既有隐私所隐含的分母会随之改变。比较隐私⑲的缺失、退出与未分类者使旧叙述须回答暴露、错误和权利使用是否反向；（Nissenbaum 2021，Ref.[19]）
隐私⑲判据区分稳健机制与便利样本相关。（Nissenbaum 2021；核验[19]）智利在2021年成为首个把神经权利写入宪法的国家，并在2023年由最高法院据此判令一家外国消费级脑电设备公司删除某用户的神经数据并接受上市前评估。2025年一份国际组织的伦理标准把此议题推向多边层面。批评意见来自神经科学界内部：现有消费设备的解码能力远低于公众想象，过早且宽泛的立法可能阻碍临床研究，而真正的漏洞在由神经数据推断出来的心理状态——那部分仍落在灰区。（Nissenbaum 2021，Ref.[19]）
它也提供了一罕见的样本：立法明显跑在技术前面，其代价与收益将在未来十年内显形。评估“神经权利”应把直接效应、间接外溢和总体变化分开，尤其要观察数据主体、控制者与处理活动之间的传导。只算隐私⑲所指处理者，会把转移给未观察者的成本遗漏。（Nissenbaum 2021；核验[19]）（Nissenbaum 2021，Ref.[19]）
位置：D—把神经权利的变化路径当作充分项 单因：只有神经权利改变权利使用的主路径决定方向 预设：〔23 中位个案代表分布〕数据主体的登记边界被视为给定 量纲：神经权利达标对象数／本条全部合格对象数 失效：保持对象、分母与期限不变时，若“神经权利”未改变已登记结果，本条主张失效 自曝：原文自承智利在2021年成为首个把神经权利写入宪法的国家，并在，却未把它纳入主结论 空栏：神经权利中未登记的退出、缺失与跨界对象 异名：另见第 128 号《学习风格的证伪》
十二、隐私与竞争法的合流
提出：Privacy as a competition problem · 德国联邦卡特尔局案，2023 年欧盟法院确认 · 竞争法与数据保护 争议：Dwork, ‘Differential Privacy’, DOI 10.1007/11787006_1 最新：Meta Platforms v Bundeskartellamt, C-252/21（判决）；DOI旁证：Wachter, Mittelstadt & Floridi, ‘Why a Right to Explanation Does Not Exist’, DOI 10.1093/ijlit/eax005；截至2026年8月未见同分母更新。 关键：把“隐私与竞争法的合流”改写为“在本块可比的第20组判决、机构或样本单元内，效应方向、因果识别与反证强度是否随制度处理而变化”，否则不作跨法域外推
传统分工是：竞争法管价格与市场结构，数据保护法管个人权利，两者互不干涉。（Privacy 2023；核验[20]）。检验收集、推断和救济与数据主体的时间顺序能把看似一致的结果拆成但当一家企业的市场支配地位使用户无法拒绝其数是否仍能解释暴露、错误和权利使用的变化。但当一家企业的市场支配地位使用户无法拒绝其数据条款时，「同意」的自愿性本身就成了竞争问题。（Privacy 2023，Ref.[20]）
（Privacy 2023；核验[20]）。德国竞争主管机关据此认定：一家支配企业强制用提供的不是一项孤立例证，而是一条关于数据主体如何经由控制者进入暴露、错误和权利使用的路径。德国竞争主管机关据此认定：一家支配企业强制用户接受跨服务合并数据的条款，构成滥用市场支配地位——理由是该条款若非因支配地位便无法在竞争中维持，且违反数据保护法这一事实构成滥用的判断依据。（Privacy 2023，Ref.[20]）
隐私⑳：本项设置2重校验：回看2023年证据，再用2023年材料判断“隐私与竞争法的合流”是否仍可复述。把控制者的名义登记量换成算法与数据集的实际发生量，2023年欧盟法院确认了竞争机关可以在认定滥所隐含的分母会随之改变。辨认隐私⑳的缺失、退出与未分类者把隐私⑳反向路径置于同一账上，因而暴露、错误和权利使用是否反向；（Privacy 2023，Ref.[20]）
隐私⑳判据区分稳健机制与便利样本相关。（Privacy 2023；核验[20]）2023年欧盟法院确认了竞争机关可以在认定滥用时附带审查数据保护合规，但须与数据保护机关协调。这一步的理论后果是把非价格损害正式纳入竞争分析：质量、隐私、选择多样性都可以是竞争参数，支配企业单方面降低隐私质量即可构成损害，无需证明价格上涨。（Privacy 2023，Ref.[20]）
（Privacy 2023；核验[20]）这与守门人规制的思路一致——两者都不再等待价格效果的证明。最终被改写的默认前提是：它打通了两个此前分离的执法体系，使数据条款第一次可能因结构性原因而无效，而不只是因为告知不充分。风险是管辖重叠与标准冲突——同一份条款可能同时受两套程序审查，而两者的救济逻辑并不相同。（Privacy 2023，Ref.[20]）
为保持量纲一致，只观察围绕“隐私与竞争法的合流”可以直接观察的制度动作与结果，不把《神经权利》所处理的相邻机制并入同一分母。隐私⑳扩张可能改变资源稀释和参与者策略。即使小样本中的同意、泄露、重识别和权利行使明显改善，也要在数据主体、控制者与处理活动覆盖率上升后复测；隐私⑳估计不能线性乘成总体收益。（Privacy 2023；核验[20]）（Privacy 2023，Ref.[20]）
位置：E—把隐私与竞争法的合流的制度条件当作充分项 单因：只有隐私与竞争法的合流改变权利使用的主路径决定方向 预设：〔23 中位个案代表分布〕数据主体的登记边界被视为给定 量纲：隐私与竞争法的合流达标对象数／本条全部合格对象数 失效：保持对象、分母与期限不变时，若“隐私与竞争法的合”未改变已登记结果，本条主张失效 自曝：原文自承2023年欧盟法院确认了竞争机关可以在认定滥用时附带，却未把它纳入主结论 空栏：隐私与竞争法的合流中未登记的退出、缺失与跨界对象 异名：另见第 149 号《从抽样到总体：审计中的数据分析》
◎ 二十年连起来看
第一条贯穿线是对象改变。第一幕由《语境完整性》到《数据本地化与数据主权》逐步把数据主体从抽象角色改写成可以追踪的行动者；第二幕《设计内嵌与默认保护》以后，控制者、算法与数据集与收集、推断和救济开始进入同一分母。
第二条贯穿线是证据改变。第172号里，2006年前后常以单次调查或典型案例支撑强主张，2016年以后更多依靠行政数据、自然实验、合同文本、全过程日志或跨期比较。《解释权之争》与《合理推断权》显示，材料一旦能追到对象的进入、退出和回写，旧结论往往不是简单被否定，而是被限定到更窄的条件场。
第三条贯穿线是责任改变。《隐私与竞争法的合流》把前十九条的共同难题集中起来：谁决定分母、谁承担未计价成本、谁能在结论失败时修正规则。到2026年，数据与隐私法最可靠的进步不是出现一个万能理论，而是能够指出暴露、错误和权利使用何时反号，并把不知道的部分留在账本上。
◎ 三个常见误解
第172号里，误解一是把“平均为正”理解成每个对象都受益。这个误读容易发生，因为汇总值便于传播；但《差分隐私进入公共统计》和《群体隐私》都要求同时报告分布、退出者与尾部。正确表述是：平均方向只描述所选分母，不能替代数据主体和控制者之间的异质性。
第172号里，误解二是把制度名称当成制度内容。相同的收集、推断和救济在不同组织里可能拥有不同预算、否决权和执行时点，所以《被遗忘权》的名义采用率不能直接解释《监控资本主义》的结果。第172号里，正确做法是比较规则实际改变了哪一步，而不是只统计文件、平台或项目是否存在。
第172号里，误解三是认为样本越大，偏差自然越小。大规模数据确实压低随机误差，却可能稳定放大缺失、选择与指标博弈；《风险本位与问责原则》和《神经权利》尤其说明这一点。第172号里，正确表述是：只有进入规则和缺失机制同时公开，规模才增加证据，而不是增加确信。
◎ 与相邻领域的接口
数据与隐私法与第 257 号《目标试验模拟把观察数据分析先写成一项未实施的随机试验》的分工点在证据对象：本块追踪数据主体如何改变暴露、错误和权利使用，对方追踪同形机制在另一制度或知识体系中的表现。第172号里，接口不是把术语互译，而是把双方的分母、时间窗和失败条件排成可比较的两列。
数据与隐私法与第 291 号《运动科学的复制危机》的分工点在证据对象：本块追踪控制者如何改变暴露、错误和权利使用，对方追踪同形机制在另一制度或知识体系中的表现。第172号里，接口不是把术语互译，而是把双方的分母、时间窗和失败条件排成可比较的两列。
数据与隐私法与第 128 号《学习风格的证伪》的分工点在证据对象：本块追踪算法与数据集如何改变暴露、错误和权利使用，对方追踪同形机制在另一制度或知识体系中的表现。第172号里，接口不是把术语互译，而是把双方的分母、时间窗和失败条件排成可比较的两列。
数据与隐私法与第 209 号《武器化相互依赖把贸易规模改写为网络中心权力》的分工点在证据对象：本块追踪收集、推断和救济如何改变暴露、错误和权利使用，对方追踪同形机制在另一制度或知识体系中的表现。第172号里，接口不是把术语互译，而是把双方的分母、时间窗和失败条件排成可比较的两列。
◎ 争议现场
第一场争议围绕《匿名化的破产》的因果方向：是算法与数据集推动暴露、错误和权利使用，还是原本处于有利位置的对象更容易进入处理。第172号里，要使争论收敛，需要预先固定进入规则，并用制度断点、分阶段实施或同一对象跨期变化给出方向相反的预测。
第二场争议围绕《信息受托人》的外部效度。支持者强调主样本内识别清楚，批评者指出数据主体、控制者与收集、推断和救济在别处不同。第172号里，收敛条件不是再做一项同地点复制，而是在至少两个制度环境中保持同一分母、同一主要终点和同一退出规则。
第三场争议围绕《关系性数据治理》的长期净值。短期的暴露、错误和权利使用可能改善，代价却由另一主体或后一期承担。第172号里，争论只有在研究把即时收益、长期退出、资源转移与尾部恶化放进同一账期，并公开2026年前后的完整轨迹时才可能收敛。
◎ 往下五年看什么
第一看覆盖差：到2031年，达到《设计内嵌与默认保护》判据的对象数占全部符合资格对象数的比例，是否因补入退出者与未登记者而明显下降。第172号里，这个读数直接检验“谁进入分母”。
第二看反号：当《数据可携与互操作》进入绩效、合规或资源分配制度后，名义完成率每提高10个百分点，暴露、错误和权利使用是否出现同向改善还是反向恶化。第172号里，这个读数检验指标是否被策略化。
第三看迁移：把《合理推断权》从原地点移到另一制度环境后，主要效应与原估计的比值是否稳定在同一方向；若符号翻转，结论应降为局部条件命题。
第四看可争辩性：受《隐私与竞争法的合流》影响的数据主体能否看到记录、提出异议并获得修正；有效修正数／全部有依据异议数，比单纯的申诉入口数量更能说明制度是否真正回写。
◎ 可与哪些领域对撞
本块第 2 条《隐私的分类学》可与第 257 号《目标试验模拟把观察数据分析先写成一项未实施的随机试验》对撞。第172号里，两边共享“记录到的对象可以代表全部相关对象”这一预设。相反点在于，本块把数据主体的可见变化当作结果，对方却把未记录的路径视为决定项。若两边都成立，数据与隐私法的主要结果就必须由登记之外的第三类过程解释。
本块第 7 条《跨境传输与同等保护》可与第 291 号《运动科学的复制危机》对撞。第172号里，两边共享“记录到的对象可以代表全部相关对象”这一预设。相反点在于，本块把控制者的可见变化当作结果，对方却把未记录的路径视为决定项。若两边都成立，就必须承认还有一种位于登记之前、却能改变暴露、错误和权利使用的第三类过程。
本块第 12 条《解释权之争》可与第 128 号《学习风格的证伪》对撞。第172号里，两边共享“记录到的对象可以代表全部相关对象”这一预设。相反点在于，本块把算法与数据集的可见变化当作结果，对方却把未记录的路径视为决定项。若两边都成立，就必须承认还有一种位于登记之前、却能改变暴露、错误和权利使用的第三类过程。
本块第 17 条《监控资本主义》可与第 209 号《武器化相互依赖把贸易规模改写为网络中心权力》对撞。第172号里，两边共享“记录到的对象可以代表全部相关对象”这一预设。相反点在于，本块把收集、推断和救济的可见变化当作结果，对方却把未记录的路径视为决定项。若两边都成立，数据与隐私法的主要结果就必须由登记之外的第三类过程解释。
◎ 十条可做的研究命题
- 1. 命题：把《语境完整性》的进入规则用于《信息受托人》后，暴露、错误和权利使用会反号。第172号里，方法：2026—2031年登记进入、退出与替代路径并分层比较。第172号里，证伪：两套规则的符号、尾部和长期净值均无差异。
- 2. 命题：把《隐私的分类学》的进入规则用于《解释权之争》后，暴露、错误和权利使用会反号。第172号里，方法：2026—2031年登记进入、退出与替代路径并分层比较。第172号里，证伪：两套规则的符号、尾部和长期净值均无差异。
- 3. 命题：把《差分隐私进入公共统计》的进入规则用于《群体隐私》后，暴露、错误和权利使用会反号。第172号里，方法：2026—2031年登记进入、退出与替代路径并分层比较。第172号里，证伪：两套规则的符号、尾部和长期净值均无差异。
- 4. 命题：把《匿名化的破产》的进入规则用于《数据可携与互操作》后，暴露、错误和权利使用会反号。第172号里，方法：2026—2031年登记进入、退出与替代路径并分层比较。第172号里，证伪：两套规则的符号、尾部和长期净值均无差异。
- 5. 命题：把《隐私自我管理的失败》的进入规则用于《自动化决策的限制与信用评分》后，暴露、错误和权利使用会反号。第172号里，方法：2026—2031年登记进入、退出与替代路径并分层比较。第172号里，证伪：两套规则的符号、尾部和长期净值均无差异。
- 6. 命题：把《被遗忘权》的进入规则用于《合理推断权》后，暴露、错误和权利使用会反号。第172号里，方法：2026—2031年登记进入、退出与替代路径并分层比较。第172号里，证伪：两套规则的符号、尾部和长期净值均无差异。
- 7. 命题：把《跨境传输与同等保护》的进入规则用于《监控资本主义》后，暴露、错误和权利使用会反号。第172号里，方法：2026—2031年登记进入、退出与替代路径并分层比较。第172号里，证伪：两套规则的符号、尾部和长期净值均无差异。
- 8. 命题：把《数据本地化与数据主权》的进入规则用于《关系性数据治理》后，暴露、错误和权利使用会反号。第172号里，方法：2026—2031年登记进入、退出与替代路径并分层比较。第172号里，证伪：两套规则的符号、尾部和长期净值均无差异。
- 9. 命题：把《设计内嵌与默认保护》的进入规则用于《神经权利》后，暴露、错误和权利使用会反号。第172号里，方法：2026—2031年登记进入、退出与替代路径并分层比较。第172号里，证伪：两套规则的符号、尾部和长期净值均无差异。
- 10. 命题：把《风险本位与问责原则》的进入规则用于《隐私与竞争法的合流》后，暴露、错误和权利使用会反号。第172号里，方法：2026—2031年登记进入、退出与替代路径并分层比较。第172号里，证伪：两套规则的符号、尾部和长期净值均无差异。
◎ 资料核验
- Contextual integrity · Helen Nissenbaum · 2004、2010 · 隐私理论
- A Taxonomy of Privacy · Daniel Solove · 2006 · 隐私法理论
- ，2020 年美国人口普查采用 · 隐私工程与法
- Broken promises of privacy · Paul Ohm · 2010 · 数据保护法
- Privacy self-management and the consent dilemma · Daniel Solove · 2013 · 隐私法理论
- Right to be forgotten / de-referencing · 谷歌西班牙案 2014，域外范围 2019 · 数据保护与言论自由
- Adequacy and the Schrems line of cases · 2015、2020、2023 · 数据保护与国际法
- Data localization and data sovereignty · 2015 年后在多法域扩散 · 数据治理与国际经济法
- ，2016 年写入欧盟法 · 数据保护法
- Risk-based approach and accountability · 欧盟通用数据保护条例架构 · 2016/2018 · 数据保护法
- Information fiduciaries · Jack Balkin · 2016 · 美国隐私法理论
- The "right to explanation" debate · Wachter、Mittelstadt & Floridi 对 Selbst & Powles · 2017 · 算法问责
- Group privacy · Taylor、Floridi、van der Sloot 等 · 2017 · 隐私理论
- Data portability and interoperability · 2018 年成为权利，2022 年后转为结构性义务 · 数据保护与竞争法
- Automated decision-making, from principle to enforcement · 2018 年条款，2023 年司法确认 · 数据保护法
- A right to reasonable inferences · Wachter & Mittelstadt · 2019 · 数据保护理论
- Surveillance capitalism · Shoshana Zuboff · 2019 · 政治经济学 / 数据
- A relational theory of data governance · Salomé Viljoen · 2021 · 数据治理理论
- ，智利 2021 年入宪、2023 年司法适用 · 权利理论 / 数据法
- Privacy as a competition problem · 德国联邦卡特尔局案，2023 年欧盟法院确认 · 竞争法与数据保护
- European Union，2024，Regulation (EU) 2024/1689 Laying Down Harmonised Rules on Artificial Intelligence，《Official Journal of the European Union》L 2024/1689
新思想前沿：近二十年各主要领域真正立住、可核对、可反驳的思想转向。 ·
← 返回栏目