她没告诉任何人
一位二十九岁的女性，在一家公司做行政。有一天她的购物软件首页推了孕妇维生素、无咖啡因茶和一款宽松的裤子。她没有搜过任何一样。她当时自己也还不确定——月经推迟了九天，她只是在药店买了一盒验孕棒，用现金。软件不知道这件事。它知道的是：她这两周深夜活跃时间变长，浏览的食谱从辣的换成了清淡的，一周内两次查看某个母婴品牌的页面但没有点进去，购物车里放了三天的一瓶咖啡被删了。这些碎片单独看什么都不是，合在一起，软件的推断比她自己早了四天。
她没有被泄露。她没有告诉任何人，也没有任何一条数据被"泄露"——每一条都是她自己正常使用产生的、经她同意收集的。问题不在收集，在推断。
这本书是为这四天写的：当机器可以从你没说的事里推出你没说的话，"隐私"还是不是"藏得住的东西"？如果不是，它是什么，边界该划在哪一层？
一百三十年的账：不被打扰的权利
隐私作为一项法律权利，通常追溯到一八九〇年。两位波士顿的律师在《哈佛法律评论》上写道，即时摄影和报纸正在侵入私人生活，法律应当承认一项"独处的权利"。那篇文章催生的整个隐私法传统，核心是一个词：侵入。隐私被理解为一个可以被守住的领域，里面的东西是秘密，外面的人不得进来；保护隐私就是管好边界——谁能收集、收集什么、存多久、给谁看。
一百三十年来，这一套越做越细：知情同意、数据最小化、目的限定、匿名化、删除权。二〇一八年生效的欧盟通用数据保护条例是它的集大成，连"完全自动化的决定"都有专门条款。它背后有一个从来没被认真检查的假设：隐私是一批藏得住的秘密，秘密在你这里，风险在于它被拿走；只要管住拿走这个动作，隐私就守住了。
那位女性的案子把这个假设撕开了。没有任何秘密被拿走。秘密是在外面被造出来的。
那一层已经被占了
先看能核的事。
十多年前，研究者就已经证明，仅凭一个人在社交平台上公开的"点赞"，就能以相当高的准确率推断出他从未公开的属性——政治倾向、宗教、性取向、人格特质。这类研究后来越做越多，方法越来越普通，需要的数据越来越少。到今天，不需要任何研究者，一个电商平台的推荐系统在日常运转中就在做这件事，而且做得比研究者更细：它不需要知道"她怀孕了"这个结论，它只需要知道"她的行为模式与一群三个月后会买婴儿车的人相似"。
这里有一个细节要紧：推断不需要收集你没给的东西。它用的全是你正常使用产生的、你同意过的数据。数据最小化管不住它，因为每一条数据都是最小的；匿名化管不住它，因为它不需要知道你是谁，只需要知道你像谁；删除权管不住它，因为你能删的是数据，删不掉的是模型已经学到的模式。整套隐私法的工具箱，对着推断这一层，一件也用不上。
为什么是现在
隐私不是第一次遇到技术。摄影、电话窃听、数据库、搜索引擎，每一次都催生一轮新的保护规则，每一次规则都跟上了，然后稳定下来。这一次为什么不一样？
第一，不说不再稀缺，也不再管用。从前"我没告诉过任何人"是最可靠的保护；现在这句话什么也保护不了——你没说的，它从你做的里推出来。围绕"不说"设计的一切——保密、匿名、最小化——都失去了对象。
第二，价值结算的地方挪了。从前关于一个人的信息在"他给了谁"这一格结算，风险与责任都在这一格。现在这一格几乎空了——他谁也没给，信息就在那里了——责险只能往别处走：往"这条推断能不能进定价、进招聘、进保险"那一格走。隐私法还在管收集，伤害已经在使用那一层发生。
第三，工具从条件变成了变量。数据库是条件，查什么就出什么；推断模型是变量，同一批数据换一个模型推出的东西不一样，且半年一换。当工具本身成了信息处理里最不稳定的一项，"我没给过"就不再能说明什么。
三条一并算：不是收集更厉害了，是它把"知道你"这件事整个从"你告诉它"里拿走了，而法律还在管你告诉了谁。
死的是什么，没死的是什么
死的不是隐私，不是权利，是一个位置："我藏住了"这个位置。
这一死不冤。推荐系统推出她怀孕时，它做的不是从她的某个秘密抽屉里把答案取出来——那个答案在她自己那里都还不存在。它是当场造出来的：从几十个碎片里，按照几百万人的行为模式，生成了一个关于她的陈述。这件事暴露了一个事实：关于一个人的信息，从来不是他身上自带、等人来取的东西；它一直是在关联、比对、推断里被生成的，只是从前生成它的人是他自己和他身边认识他的人，所以我们把它叫作"他的秘密"。机器让我们看清了：秘密不是藏起来的，是被造出来的，而造它的人现在不是你。
那么没死的是什么？是机器造出那条推断之后没做、也做不了的那一件：决定这条推断能不能算数。它推出她怀孕，这件事本身伤不了她；伤她的是这条推断接下来进了哪里——保险公司的定价模型、招聘系统的筛选、房东的审核。一条推断在哪个账上算数、在哪个账上不算数，谁有资格说"这条对我不算"，这才是边界应该划的地方。
隐私法学里离这一步最近的是"语境完整性"理论：信息流动是否合乎它所处语境的规范——医生知道你的病是正常的，同一条信息流到雇主那里就是违规。这个理论把隐私从"藏不藏"改成了"流到哪"，本书完全接受。但它给的是一条判断规范的原则，不是一把可以取值的尺：违规了怎么办，谁能让它不算数，让它不算数之后怎么验证真的不算了——这一步空着。本书要做的就是这一步。
最强的反方
本书必须正面回答一个反方，它有一整代互联网的实践撑着。
后隐私论说：隐私已经死了，习惯它吧；公开是新的常态，透明对每个人都好——你藏不住，那就大方地不藏，一切在阳光下反而公平。
这个反方对本书的一半是对的：藏确实藏不住了，本书从头到尾不主张藏。它错在另一半：它以为"不藏"之后就没事了。那位女性的问题不是有人知道她怀孕，是这条推断会在她不知道、不能反对的情况下进入某个决定——四个月后她申请的一份工作，招聘系统里的某个变量已经变了。本书要争的不是藏不藏，是哪条推断能进定价。本书的赌注在这里：如果完全公开的人群在信贷、招聘、保险上并没有因推断而受到不利对待，本书作废。
往上走的四级台阶
本书把隐私保护的工作分成四层。
第零层：藏信息。不说、匿名、加密。这一层已经被推断占了——你藏得住数据，藏不住模式。谁把隐私放在这一层，谁就在等那四天。
第一层：管收集。最小化、目的限定、同意书。这一层也在往下掉：每一条被收集的数据都合规，推断照样发生。
第二层：判断哪些推断对哪个账不算数。推荐系统推她怀孕，可以——推荐孕妇维生素伤不了她；保险定价用这条推断，不行；招聘筛选用这条推断，不行。这一层的活是粗粒度的：不再管每一条数据能不能收，管的是每一条推断能进哪本账、不能进哪本账。系统给推断、给置信度、给用途清单，但"这条对我不算"由人定——不是系统能力不够，是它不在这个位置上：它不需要为这条推断进了招聘系统之后的那份工作负责。
第三层：撤回，并验证撤回真的改变了下一次的决定。这一层的人不再回答"它知道我什么"，而是回答"这条推断我撤了，撤了之后它下一次给我的定价必须变，没变就是没撤，我要看得见"。这是数据主体能站的最高一层，也是系统绝对到不了的一层，因为它需要一个会为下一次定价买单、会在被拒之后追问的人。
在第二、三层上，系统是必要的：没有它把第零层穷尽，第二层不存在——正因为一切能藏的都藏不住了，"哪条推断能算数"才成为问题。人也是必要的：没有人说"这条对我不算"，推断就会一路流进每一本账。两边各自都不充分。本书把数据主体与系统在第二、三层上的搭配叫作人机协同的资格单元——在第零层系统只是对手，到第二层它是这个单元不可拆的一半：它必须能告诉你它推了什么，你才能说不算。
回到那位女性。她后来做的事是这样的：她没有删账号，也没有停止使用。她向平台提出了一个当时还没有名字的请求：把关于她的"怀孕相关"推断从所有第三方共享的画像里移除，并证明移除生效——证明的方式是，她要看到一个月后第三方广告位上不再出现相关推送。平台照做了，因为法律要求它对自动化推断提供反对的渠道。第二个月，推送没有了。这不是藏，她什么也没藏；这是让一条推断对某本账不算数，并且验证了它真的不算了。这就是第二层和第三层。
一把尺：能撤回几成
主张说完了，得给一把尺。
本书提出的尺叫有效撤回率：一位数据主体对关于自己的推断，能让其中多少条对某个决定不算数——且撤回之后，下一次的决定可以被验证地改变了。它是数据保护里"数据主体权利请求响应率"的严格版，区别在于本书不计"请求已受理"，只计"下一次的决定变了"。取值材料是平台的权利请求记录与决定日志，一次取值约一个月。
有了尺，就能写下这本书什么时候算错。如果"不收集即无画像"在技术上可以成立——即管住收集就能管住推断——那么本书第二卷作废。
还有一个更硬的检验，本书没做，但把设计写出来了：一件基于画像的信贷或招聘决定，三个组各自处理——第一组只有系统按画像决定，第二组只有当事人自行申诉且不知道画像内容，第三组是资格单元、当事人能看到推断并撤回——看撤回之后下一次的决定是否可验证地改变。本书的主张成立，当且仅当前两组都不如第三组。包括本书作者在内，没有人做过它。本书给的是尺子的做法，不是尺子量出来的数——一个也没有。
举一个数法。一位申请人向一家信贷机构提出了六条撤回请求，针对六条他从画像披露里看到的推断。三条被受理并在下一次评分中可验证地改变了结果——评分单上那一项的权重归零，分数变了；两条被受理但下一次评分没有任何变化，机构解释"模型已更新"，无法验证；一条被拒。有效撤回率记二分之一：只计三条，那两条"受理了但没变"不计。本书要问的是：把一批机构排开，有效撤回率高的机构，其客户的不利决定申诉率与流失率是不是更低。这个问题此前没有人这样问过，因为此前"撤回"从来没有被要求验证"真的变了"。
这把尺会怎样被做假
有效撤回率一旦成了合规指标，平台会做什么，不难预见：受理每一条请求，页面上显示"已撤回"，模型照旧——它早就学过了，删的只是一条记录。本书事先写了升级条款：撤回必须可验证地改变下一次的决定，否则不计；若可验证的撤回在技术上做不到，本书的承重就必须从"撤回"改到"使用授权"——推断可以有，进账要授权——第六卷写明了这条退路。
一本主张"隐私是资格不是秘密"的书，若自己立的尺变成了一条藏在设置页里的按钮，它自己就成了它批评的东西。
本书不做什么
本书不讲个人知识的归属——本社此前有专书讲"被使用而仍是他的"，本书只讲"被推断而能否不算"。本书不讲信任：本丛书另有一本，管别人说的话可不可信；本书管关于我的推断能不能进账。本书不讲品味：那本从"推断你喜欢什么"这一侧看，本书从"推断你是什么"这一侧看，同源不同尺。本书也不讲加密与匿名技术本身，它只需要一个已经不再需要论证的事实：推断不需要你没给的数据。
各卷概览
第一卷 列一张表：独处权、知情同意、最小化、匿名化、删除权——隐私法里历代被当作"守住秘密"的东西，逐条写明它守的秘密是怎样在外面被当场造出来过一次。
第二卷 是实证：从点赞推断属性的那条研究线，推荐系统的日常推断，通用数据保护条例对自动化决定的条款及其执行记录。
第三卷 写四级台阶与资格单元：一条推断怎样进入一本账，怎样被撤回，撤回怎样验证。
第四卷 写制度：隐私法从收集端后撤到推断端与使用端——推断权、使用权、纠错权、退出权四项分立，每一项有具体负责人；附信贷、招聘、医疗三个高风险场景的资格设计。
第五卷 写尺与判据：有效撤回率的取法、三组对照的设计、作废条件。
第六卷 写这本书自己的死法，含从"撤回"退到"使用授权"的那条路。
给读者的话
本书心里有三种读者。第一种是那位女性，她需要知道那四天不是她的疏忽——她什么也没做错，错的是"管住收集就能管住知道"这个假设。第二种是数据保护官和立法者，他们手里握着"边界划在哪一层"的笔，第四卷为他们而写。第三种是正在做推荐与画像系统的人，他们需要知道自己的产品在第零层是对手，在第二层是必要件——若它不能告诉人它推了什么，人就永远说不了"这条不算"。
作者对本书的态度写在第五卷：它可能是错的，错的条件已经写明。若有一天有人证明管住收集就能管住推断，那一天本书完成了它的用处——它被一项更好的技术推翻了，而那正是它主张隐私该有的样子。