說出恐懼，不等於受到保護

摘要

人們說自己高度重視隱私，行為上卻為微小的回報交出個人數據，有時甚至分文不取。這種錯位被稱為「隱私悖論」。文獻中形成了兩個對立的陣營：一方主張行為才揭示真實偏好，隱私因此價值不大，監管應當放鬆；另一方主張行為被認知偏差、操縱與無知所扭曲，因此必須矯正這種扭曲。Daniel Solove（2021）提出了第三種同時也是激進的立場：這個悖論是一個神話，因為行為是特定情境中的風險決策，而態度是一般性的價值判斷；兩者本是不同的東西，它們的分歧並不構成矛盾。

本文從 Solove 正確之處出發，卻不止步於他停下的地方。我們首先聚焦一個在文獻中大體被忽視的區分：隱私與安全並不是同一回事。隱私問的是信息被誰、在何種情境中看到；安全問的是信息是否受到保護、免遭未經授權的奪取。隱私悖論文獻主要沿隱私軸線來構建這一現象。然而有一類特定的案例：用戶高聲表達安全上的擔憂，卻把敏感文件存放在大型商業雲端，並通過這樣一個平臺進行通信，即便內容被加密，平臺仍在商業上處理整張關係地圖。這類用戶說的是安全的語言，並不能被 Solove「情境化的理性風險」框架妥帖地容納。在這裡，矛盾不在態度與行為之間；矛盾在所宣稱的威脅模型與實際的威脅架構之間。此外，此人還混淆了兩條軸線：把大品牌的安全聲譽誤當作隱私保證。最終，「安全對我就是一切」的話語變成一種施為性的儀式，取代了受到保護的實際體驗：因為已經宣告了，此人便感到自己受到了保護。我們以 Acquisti 及其同事（2015）關於控制悖論與可塑性的發現來滋養這一解讀，並試圖說明：這種行為不是性格缺陷，而是正常認知在一個破損的信息架構之內可預測的輸出。

1. 引言：說的人與做的人

設想一個常見的場景。一個人高度重視隱私：他說自己的數據必須受到保護，他解釋說沒有安全就沒有信任，他強調對數字世界必須保持警惕。請注意，他使用的語言從頭到尾都是安全的語言：秘密、保護、密碼、洩露的危險。然後，同一個人把一份包含身份信息和簽名的敏感文件上傳到一個普通的商業雲存儲賬戶。他通過一個大型平臺處理日常通信，這個平臺即便加密了內容，仍記錄他和誰交談、何時交談、多久一次，並把這張關係地圖接入廣告經濟。而對一個收集數據少得多的替代品，他卻保持距離，說「我不瞭解它」，或「它不可信」。

這個場景看起來自相矛盾。第一反應很容易，也經常被說出口：「這個人不知道自己在說什麼；他說的和做的相互矛盾。」本文從這個第一反應出發，卻把它當作一個問題而非一個結論。因為這個場景不是例外，而是常態。數以百萬計的人，無數次地，恰恰如此行事。當一個現象如此普遍時，把它解釋為個人缺陷在科學上是站不住腳的。普遍之處指向一個需要解釋的結構。

我們的問題是：為什麼一個人恰恰沒能保護他自稱在乎的東西？更尖銳地問：為什麼在沒有保護它的情況下，他卻感到自己受到了保護？本文真正的貢獻，正是從這第二個問題中誕生的。

2. 隱私悖論：定義與一個先行區分

這一現象已被觀察了將近半個世紀。在最早的一批實驗中，與擬人化購物機器人互動的人們，與他們宣稱的隱私擔憂截然相反，分享了「足以在一次購物會話中就為其建立起一份相當具有揭示性的個人畫像的信息」（Spiekermann et al., 2001，轉引自 Solove, 2021）。隨後數年，數十項研究重複了同一模式：人們為一歐元的折扣交出出生日期和月收入；以八美元賣掉自己的瀏覽歷史；一項免費郵件服務掃描郵件內容，人們卻不願為一個不掃描內容的替代品每年支付超過十五美元（Solove, 2021）。

隱私與安全：兩條分離的軸線

在繼續之前，我們必須分開兩個經常被混用、實則不同的概念，因為本文核心的案例恰恰立於這一區分之上。

安全是保護信息免遭未經授權的訪問、奪取與破壞。信息安全的經典框架把它歸為三項：機密性（只有獲得授權者才能接觸信息）、完整性（信息不能未經許可被更改）、可用性（需要時信息隨手可得）。安全的問題是：攻擊者能否竊取、截獲或破壞這些數據？它的破壞是具體的：賬戶被接管、洩露、密碼被破解、中間人攻擊。

隱私是另一個問題：這些數據被誰看到、在何種情境中、出於什麼目的？當信息被從它自身的情境中撕出、倒入另一個情境時，隱私就被侵犯了。一份數據可能在技術上保護得無懈可擊，任何攻擊者都無法觸及；但如果提供服務的公司掃描它、為它建立畫像、把它開放給第三方，或應法律要求把它交給國家，那麼安全很高，隱私卻很低。

兩條軸線彼此獨立地變動。一個大型商業雲服務可能對攻擊者而言極為安全（堅實的基礎設施、加密存儲、兩步驗證），在隱私上卻很弱，因為服務的所有者本身就能接觸數據。一款即時通訊應用可以通過端到端加密內容來提升安全，但如果它收集並在商業上處理誰與誰交談、何時、多久一次（也就是元數據），它在隱私上仍然很弱。相比之下，一款既端到端加密內容、又把元數據收集降到最低的應用，則同時抬升兩條軸線。這個看似簡單的區分，正是將在第 6 節打開案例核心的鑰匙。

這裡還必須標出一個術語陷阱：安全之下名為「機密性」的子項（防止未經授權的訪問），與日常語義中作為「把某物保密」的隱私，共用相近的詞，卻是不同的東西。我們下文將看到的 Solove 的警告「隱私不是保密」，針對的正是這種混淆。概念的這種交織不只是語言問題；我們很快會看到，它也是人們頭腦中真實混亂的源頭。

隱私悖論文獻的主體沿著隱私軸線構建這一現象：人們把數據向誰敞開、是否願意為廣告被畫像、是否有選擇地分享。而本文的案例把一個說著安全語言的用戶置於中心。兩者之間的張力，正是這項工作的原創礦脈。

兩個陣營

對隱私悖論中這種錯位的回答，匯聚為兩個陣營。

第一陣營：行為估值論。行為是比宣稱更可靠的度量。用經濟學的語言說，態度算作「陳述性偏好」，行為算作「顯示性偏好」；顯示性偏好才是真實的偏好。既然人們廉價地把數據換了出去，他們對隱私的估值必然很低。結論：隱私監管高估了隱私，應當收縮（Cooper、Ben-Shahar、Goldman 等作者；轉引自 Solove, 2021）。

第二陣營：行為扭曲論。行為並不反映真實偏好，因為它被扭曲了。認知偏差、框架效應、操縱性的界面設計（黑暗模式，dark patterns）、無知與惰性，都在扭曲人們的選擇。結論：監管應當削減這些扭曲效應，讓人們能做出符合真實偏好的選擇。

有意思的是：為第二陣營辯護的人，大多正是揭示了這個悖論的那些研究的作者。他們是對自己的發現感到不安、稱其「令人困擾」「令人不安」、並試圖解釋這種行為的研究者（Solove, 2021）。本文概念骨架的三條腿恰恰立在這裡：先是第二陣營最強的形態（Acquisti），然後是同時拒絕兩個陣營的立場（Solove），最後是他們誰都沒有看見的那道裂縫。

3. 第一種解釋：「行為說出真相」，以及它為何不夠

行為估值論在直覺上頗具吸引力：別看一個人說什麼，看他做什麼。但它帶著一個邏輯錯誤，而 Solove 把這個錯誤揭示得最清楚。從一個人在特定時刻、向特定商店、為一美元交出特定數據這一事實，推不出這個人「把隱私估值為一美元」。能推出的只是：在那筆特定交易中，他判斷風險足夠低。這個論證從狹窄的觀察跳向了寬泛的概括。要看清這一跳躍為何無效，我們首先需要理解行為有多麼易變；而這把我們帶向第二陣營。

4. 第二種解釋：行為被扭曲了，Acquisti 的三大主題

Acquisti、Brandimarte 與 Loewenstein（2015）在 Science 上的綜合評述中，圍繞三個相互關聯的主題來組織隱私行為。這三個主題解釋了悖論，卻不把它貶低為「非理性」。

不確定性。人在兩個層面上都不確定：既不確定自己分享的後果，也不確定自己的偏好。用三位作者引人注目的說法，一旦涉及隱私的後果與自身的感受，人們常常「茫然無措」（at sea），只能尋找線索來引導自己的行為（Acquisti et al., 2015）。信息是不對稱的：數據何時被收集、被誰收集、用於何種目的，大多不可見。更進一步，人甚至不知道自己的偏好；「人們對自己有多喜歡一件商品、一項服務或他人，偏好界定得很差」，隱私也不是這條規則的例外。

情境依賴。同一個人可能在一種情境中對隱私漠不關心，在另一種情境中又過度焦慮。因為深陷不確定性的人只能抓住線索，行為也隨情境而移動。Westin 著名的「隱私原教旨主義者、實用主義者、無所謂者」類型學，並不是一組固定的人格類型；用三位作者的話說，「我們所有人都是隱私實用主義者、原教旨主義者或無所謂者，取決於時間與地點」（Acquisti et al., 2015）。

可塑性。這是對本文最關鍵的主題。當人意識不到塑造自身擔憂的那些因素時，那些福祉依賴於他人披露信息的機構，恰恰是這些因素的專家。默認設置、界面設計、控制感：它們能激活或抑制隱私擔憂。三位作者在開篇寫下的一句話，是我們論點的種子：在社交媒體上，「提供更多控制可能製造一種安全的錯覺，並鼓勵更多分享」（Acquisti et al., 2015）。

這三個主題落入具體而令人不安的發現：

控制悖論。當一個人對自己的數據獲得更多顯性控制時，他分享得更多；這與控制表面上的目的恰恰相反。控制感在不改變真實風險的情況下放低了防線（Brandimarte, Acquisti & Loewenstein, 2013，轉引自 Acquisti et al., 2015）。

隱私政策謬誤。在一項調查中，62% 的參與者把一個網站僅僅擁有隱私政策這件事，誤讀為「這個網站未經許可不得分享其數據」。換言之，一份通常從未被閱讀的政策，僅憑其存在，就毫無根據地生產出「受到保護」的感覺（Acquisti et al., 2015；Solove 依據 Turow et al., 2009 也報告了同一發現）。

錯誤的線索，錯誤的信任。在一項在線實驗中，人們在一個名為「How Bad R U」、設計業餘而潦草的網站上，比在一個界面正式、專業的網站上，披露了更多個人信息，甚至是自證其罪的信息。而那個正式界面的網站，曾被其他參與者判定為安全得多（Acquisti et al., 2015）。人們系統性地誤讀安全信號：他們可能把安全的當成危險的，把危險的當成安全的。

請記住這最後一項發現。在實驗室裡，它證明人會把真實的威脅放錯位置；它直接通向本文的那道裂縫。

Acquisti 的三大主題能代表整個領域嗎？對這個問題最有條理的回答，來自系統檢索「隱私悖論」這一標題的綜述。Gerber、Gerber 與 Volkamer（2018）在一篇篩選了 181 項相關研究、並對其中 38 項做了定量考察的綜述中，把文獻為解釋悖論而提出的進路分為八個家族：成本收益計算（隱私權衡，privacy calculus）、有限理性與決策偏差（Acquisti 主題的內核）、個人經驗與技術知識的缺乏、社會影響、風險與信任的平衡、量子決策模型、控制錯覺，以及最後一種主張，即悖論可能是一種「方法論人為產物」。這份清單把 Acquisti 的概念框架置入一張更寬的地圖：不確定性、情境依賴與可塑性，是這個領域在不同名目下一再重新發現的模式。

這篇綜述最引人注目之處在於它的實證稱量。當數十項研究的效應量被並排擺開時，最強、最穩定的預測變量是成本收益計算：人們期望從分享中獲得的具體收益，是對分享意願與實際分享都預測得最好的變量（Gerber et al., 2018）。相比之下，僅以「認知偏差」解釋悖論的模型，證據比預期更弱；人口統計因素則幾乎可以忽略。這個結果對本文有兩層含義。第一，把行為讀作「一堆非理性的偏差」，是一種超出數據支持的更為武斷的解讀；人在很大程度上做的是一種收益計算，無論它多麼有缺陷。第二，也更重要，這一發現打開了下一節的門：如果行為本質上是嵌入情境的收益與風險決策，那麼拿它與一般性的「價值」判斷相比、並宣佈「矛盾」，可能從一開始就是一場設置錯誤的比較。

操縱的機制：五種偏差與黑暗模式

Acquisti 的「可塑性」主題打開了一扇門，卻停留在抽象層面：究竟是哪些偏差、哪種設計？Ari Ezra Waldman（2020）恰恰在這個具體層面接過了同一現象。他論證說，理性行動者模型，即假定一個人只要獲得了信息，就會做出最符合自身利益的披露決策，不僅在實踐中、而且在原則上都會坍塌，因為普遍存在的認知障礙扭曲著披露決策。Waldman 列出了最常見的五種。

錨定效應。在決策時刻對最先看到的信息不成比例地依附。在 Waldman 報告的一項實驗中，先被展示了越來越暴露的自拍照的參與者，隨後披露了更多關於自己的信息；他們看到的圖像錨定了他們對「什麼適合分享」的感覺（Chang et al., 2016，轉引自 Waldman, 2020）。

框架效應。同一選項被呈現得好或壞，會改變決策。科技公司用引導性的語言為數據收集設置框架：「如果你不允許 Cookie，功能將會受限」，或者「開啟數據收集將帶來新的便利」（Waldman, 2020）。積極的一面被推到前臺，代價被隱去。

雙曲貼現。高估即時後果、低估未來後果。披露的收益（便利、訪問、社交互動）當下就來，而它的風險往往要到很久之後才被感到；這就是為什麼人更傾向於現在就分享。在一項研究中，用戶為了一張略便宜的電影票同意交出更多個人信息，哪怕同等價格下就有一個隱私友好的選項可選（Jentzsch et al., 2012，轉引自 Waldman, 2020）。

選擇過載。太多的選擇讓人癱瘓。在隱私上，問題不在於選項的存在，而在於一個人被迫做出的選擇的數量；移動應用有時索要兩百多項權限（Hartzog, 2018; Olmstead & Atkinson, 2015，轉引自 Waldman, 2020）。

元認知。人有時把一項決策的困難讀作「重要」的信號，有時讀作「不可能」的信號。當保護隱私看起來很難時，許多人把這當作不可能的標誌，虛無地放棄，把決定留給默認設置（Mourey, 2019，轉引自 Waldman, 2020）。這為我們稍後將看到的 Solove 的「無奈放棄」提供了認知基礎。

這些偏差並不獨自運作；設計把它們變成武器。Waldman 把那些把用戶引向他們本不會採取的行動的設計伎倆稱為「黑暗模式」，並轉述了該領域的既定定義：黑暗模式是「通過脅迫、引導或欺騙用戶做出決定而使在線服務獲益的界面設計選擇，而如果用戶信息充分、且有能力選擇替代方案，他們本可能不會做出這些決定」（Mathur et al., 2019，轉引自 Waldman, 2020）。Waldman 把設計的力量比作魔術師的手法：魔術師「給人以自由選擇的錯覺，同時架構好菜單，使得無論人們選什麼，贏的都是他」（Harris, 2016，轉引自 Waldman, 2020）。

Waldman 得出的結論與本文的骨架恰好重合。在他看來，這個所謂的悖論「反映的不是用戶對隱私的漠不關心；它反映的是用戶以可預測的方式，回應著平臺利用設計來利用我們認知侷限的種種方式」（Waldman, 2020）。按這種解讀，理性行動者體制不是偶然地、而是被設計地「註定失敗」（Richards & Hartzog, 2019，轉引自 Waldman, 2020）。

5. 第三種解釋：悖論並不存在，Solove

Solove（2021）採取了一個超越兩個陣營的立場：悖論不是悖論，因為根本不存在兩個需要相互匹配的東西。有意思的是，這個直覺並不孤單。我們在第 4 節提到的系統綜述的第八種解釋也提示，悖論至少有一部分可能是「方法論人為產物」：態度往往用連續量表測量（你有多在乎？），行為卻用二元標準測量（你是否把這份檔案設為公開？）；用不同的工具測量兩個不同的東西，然後對它們不匹配感到驚訝，也許是把測量誤差錯當成了現象（Dienlin & Trepte, 2015，轉引自 Gerber et al., 2018）。Gerber 及其同事把這種可能性留作一個審慎的假設；Solove 則在概念與法律層面把同一直覺推向極致。

風險不是價值。悖論研究中的行為無關隱私的價值；它關乎特定情境中的風險。風險是受損害的可能；價值是賦予一件事物的一般重要性。當一個人為一美元的折扣交出自己所讀書籍的書名時，唯一能推出的是：「在此刻，向這家商店，就這份數據，他判斷風險低到足以接受一美元的回報。」Solove 用一個「小測驗」演示了這一點，並說正確答案是「都不是」。

重視自己的隱私，不同於重視隱私本身。一個人可以不為自己選擇隱私，卻仍然認為隱私有價值。Solove 的類比很清楚：一個人可以在一般意義上重視選舉權，自己卻不去投票；不投票並不意味著他不重視選舉權。

隱私不是保密。分享數據不等於放棄全部隱私。人們並不想對所有人隱藏自己的信息；他們想要有選擇地分享，並確保信息不被有害地使用。在信息時代，完全不分享任何數據，只有「住進林中小屋」才可能；分享並不意味著不重視隱私。（這第三個區分，是 Solove 對我們在第 2 節打開的那個術語陷阱的呼應：隱私不是「把一切保密」。）

自我管理無法規模化。這是 Solove 的政治一擊。現行監管試圖通過「隱私自我管理」來保護隱私：閱讀政策、選擇退出、更改設置。但這個工程龐大、複雜、沒有盡頭。讀完所有相關的隱私聲明，一個人一年大約需要 201 個小時（McDonald & Cranor, 2008，轉引自 Solove, 2021）。面對成千上萬的機構，退出成千上萬次，就像「用杯子舀幹海洋」。即便是一個完全理性的人也無法勝任。

無奈放棄是理性的。面對這種不可能，無奈放棄（resignation）是一種理性回應。Solove 承認，連他這個隱私專家也已經放棄了。被提供的控制是一種錯覺，是「無用功」；人們得到更多按鈕、開關和複選框，但這些不是真正的保護。而一個惡性循環在運轉：人說出擔憂，得到的是自我管理；他在這項不可能的工程上失敗，變得沮喪、無奈放棄，擔憂卻仍在；循環重複。責任被放到個體身上，個體甚至責怪自己。

解決之道：規制架構。因此，隱私監管必須放棄把個體變成管理者，轉而去規制那個結構化地決定信息如何被使用、存儲與傳輸的架構。隱私不是市場上買賣的商品，而是自由社會的構成性要素；用 Tufekci（2018）的話說：「數據隱私更像是空氣質量或安全的飲用水，是一種無法靠信賴數百萬個體選擇的智慧來有效監管的公共物品」。

值得注意的是：Acquisti 與 Solove 在這裡相遇。Acquisti 同樣得出結論：「僅僅依靠告知或賦權個體的政策路徑，不太可能提供足夠的保護；透明與控制單獨使用時，是根本不足的，甚至可能適得其反」（Acquisti et al., 2015）。兩個來源，沿不同的路，抵達同一扇門：不要責怪個體，去規制架構。

6. 裂縫：在宣稱與架構之間

到這裡為止，文獻給了我們堅實的地面。現在，我們從它結束的地方開始。

回到引言中的那個場景。那個用戶說出安全上的擔憂，卻把敏感文件放進通用雲端，通過一個在商業上處理其元數據的大平臺進行通信，並對一個收集數據更少的替代品說「我不瞭解它」。Solove 的框架解釋了這個場景的一部分：「安全很重要」（一般態度）與「文件在雲端」（情境化的風險決策）是不同的軸線，在兩者之間尋找矛盾是一個錯誤。沒錯。但 Solove 的框架無法解釋這個場景的核心。因為這裡的關鍵不在「一般態度對特定風險」的區分。關鍵在於：這個人在說著安全語言的同時，恰恰在隱私軸線上，交出了他想要保護的那個東西。在 Solove 的模型中，行為是一種情境化但健全的風險評估。而在這裡，風險評估本身偏離了它的軸線：這個人死盯著安全威脅，卻始終看不見隱私威脅。

解釋這種偏離的不是 Solove，而是 Acquisti。看得最清楚的透鏡，是我們在第 2 節建立的隱私與安全之分。案例中的用戶說的是安全的語言，卻把兩個分離的東西混為一談。

其一，軸線混淆。當這個人選擇大型商業雲端或大型通訊平臺時，他實際上做了一個直覺的安全判斷：「這家公司很大，基礎設施牢固，服務是加密的，它保護我不受攻擊者侵害。」單就安全軸線而言，這個判斷在很大程度上是正確的；內容也許確實受到保護、免遭未經授權的訪問。錯誤在於把這種安全保證誤當作隱私保證。因為那家巨頭公司自己就能接觸數據，或其元數據；他所懼怕的「第三方」早已在裡面。因為這個人看到的是品牌的安全聲譽，他就始終看不見隱私風險。他把兩條軸線當成一條；在一條軸線上的正確，導致他在另一條軸線上的盲目。第 2 節的術語陷阱在這裡有了血肉：他以為「安全」的確實安全，但那不是「隱私」；而這個人從未感到這種差別。

這並不使這個人非理性；這一點必須在此說清楚，因為它可能看起來與第 4 節的實證發現相沖突。正如 Gerber 及其同事所顯示的，人在很大程度上做的是收益與風險的計算。軸線混淆並不廢除這個計算；它向計算喂入了一個錯誤的風險輸入。因為這個人把隱私風險當作近乎為零，即便一個運轉良好的計算也會得出錯誤的結果。錯誤不在推理本身，而在進入推理的那張風險地圖。這就是為什麼同一行為可以既是理性的（與給定的地圖一致），又是錯誤的（地圖不反映現實）；兩者並不衝突。Gerber 的發現「最強的預測變量是成本收益計算」與我們的主張「這個人錯了」，恰恰在這個區分上得到調和：錯誤不在計算，而在餵給計算的數據。

這個區分有一個具體的對應物。一款常見的通訊應用通過端到端加密來保護內容，同時收集顯示誰與誰、何時、多久聯繫一次的元數據，並把它接入廣告經濟；內容受到保護，關係地圖卻沒有。同一服務存在一個替代品，同樣端到端加密內容，卻把元數據收集降到最低。兩款應用在安全軸線上都很強；它們分道揚鑣之處在隱私軸線。人往往把更熟悉、更大、廣告更多的那一款選作「安全的」，卻從未注意到兩條軸線分岔的那個點。熟悉不是隱私保證；但它給人的感覺像是。

其二，錯誤的威脅地圖。當一個人稱一項服務「不可信」、另一項「可信」時，他在運行一個威脅模型；但這個模型往往不是從真實的數據架構建起來的，而是從熟悉帶來的安適、品牌的體量、道聽途說的信號建起來的。熟悉的、大的被當作安全的；少有人知的，被當作不可信的。然而一項服務對你數據的保護程度，取決於誰看到數據、拿它做什麼，而不取決於它有多熟悉。這正是第 4 節「How Bad R U」實驗在日常中的對應物：人誤讀安全信號，把信號的來源（熟悉感、視覺上的專業感）與真實的保護混為一談。這是不確定性主題（人不知道自己的風險，「茫然無措」）與可塑性主題（錯誤的線索把擔憂引向錯誤的方向）的直接結果。

這兩個錯誤並不是在個體頭腦中自行產生的；它們是被設計生產出來的。軸線混淆在文獻中有立足點：Waldman（2020）表明，信任本身就是設計的目標，是操縱的工具。按他的描述，「網站通過專業的設計來暗示信任，同時把侵入性的數據收集實踐藏進晦澀難解的隱私政策裡」（Waldman, 2020）。也就是說，一個人把大而專業的品牌讀作信任的標誌，不是個體的天真，而是設計有意生產的效果。軸線混淆是 Waldman 所說的「對信任的操縱」在隱私與安全軸線上的結晶形態：人把專業界面散發出的安全感，誤當作關於誰能接觸數據的隱私保證。

由此我們提出論點的前一半：

矛盾不在態度與行為之間（Solove 是對的）；矛盾在所宣稱的威脅模型與實際的威脅架構之間。一個人宣稱了一張威脅地圖，但這張地圖與真實數據流的地理並不重合。而且，地圖失真的一個根源，是無法把隱私與安全分開：這個人把在安全軸線上做出的正確決定，當作在隱私軸線上也成立。他把防禦擺在了想像的威脅面前，而不是真實的威脅面前；於是，恰恰在他自以為受到保護的地方，他毫無防備。

論點的後一半更深，承載著真正原創的礦脈。案例中的這個人不只是畫錯了一張地圖；通過把那張地圖大聲宣告出來，他為自己生產了一種功能。「安全對我就是一切」這句話不是描述，而是一個行為。當這個人說出它時，說出這件事本身就給了他受保護的感覺。在實際的保護行為（選擇一個不收集元數據的服務、把數據保管好）的位置上，一種保護的話語接管了。我們把它命名如下：

話語取代體驗（施為性宣告）。這個人宣告自己受到保護，而這個宣告取代了受到保護的實際體驗。因為已經宣告了，他便感到受了保護。這種感覺是 Acquisti 控制悖論之上的又一層：在那裡，給予人的控制放低了防線；在這裡，人自己生產的話語放低了防線。兩者的機制相同：安全感取代了安全本身，並且，悖謬地，降低了保護。

Solove 的「無奈放棄」與這裡的「虛假安心」之間的差別很重要。Solove 筆下無奈放棄的人是被動的：他感到自己無法得到保護，他放棄了，但他知道這一點。而這裡的人相信自己受到了保護：他沒有感到自己無法得到保護；恰恰相反，他自己的宣告給了他這個信念。無奈放棄是睜著眼睛的無助；虛假安心是被保護感遮蔽的敞開。兩者的差別不是罪過，而是認知狀態的差別；這個差別將在第 8 節解釋，為什麼解決之道不可能是「更多的宣告」。

這裡必須設下一條誠實的界限。「施為性宣告」不是被直接測量到的發現，而是從控制悖論這一經實驗證明的機制類比推導出的提議。控制感放低防線，這一點已被測量（Brandimarte et al., 2013）；宣告這個行為是否同樣生產出「受保護感」並放低防線，尚未被檢驗，是一個開放待檢的假設。這是本文最脆弱、同時也最可檢驗的主張；我們不把它標記為已證明的事實，而是照它本來的樣子標記：一個提議。

7. 不是病理：一個普遍現象的認知自然性

現在我們可以回到引言中的那個第一反應：「這個人不知道自己在說什麼；他自相矛盾。」

這個判斷是錯的，而它為什麼錯，現在已經清楚。案例中的行為不是自相矛盾或缺陷，而是正常人類認知可預測的輸出。不確定性是普遍的（Acquisti）：人常常既不知道自己的風險，也不知道自己的偏好。情境依賴是普遍的：同一個人在一處謹慎，在另一處敞開。誤讀線索已在實驗室裡被一再復現：人可能把安全的當成危險的，把危險的當成安全的。而要把隱私與安全混為一談，一個人甚至不需要粗心；這兩個概念在語言與經驗中確實相互交織，共用同樣的詞。自我管理確實無法規模化（Solove）；無奈放棄確實是理性的。如果一種行為在數百萬人身上重複出現，其機制又能在認知上得到解釋，那麼把它算作個人弱點，既在科學上是錯誤的，在方法論上也是徒勞的。把責任放到個體身上，是 Solove 揭示的那個惡性循環的最後一環：先給這個人一項不可能的任務，然後因為他失敗了，就說「所以他不在乎」。

但這個現象是否完全在人之外上演？不是；但這一點的含義不是罪責，而是機制。真正的決定者是那個架構，它不斷推著人發出錯誤的信號、信任自己熟知的大品牌、用控制感放低防線。默認設置、黑暗模式、「我們有隱私政策」的徽章所生產的虛假保證、大品牌把安全聲譽（穩固、加密、證書）推到前臺、同時把隱私代價（它們自己對數據或其元數據的接觸）隱去的方式：這些都是設計生產出來的效果。就連軸線混淆也不是自發產生的，它是被餵養的。個體是在一個為他搭好的舞臺上表演；施為性宣告帶來的寬慰也是這個舞臺的一部分，因為這個架構能給人的不是保護的現實，只有保護的感覺，藉助種種器具（更多按鈕、更多政策文本、更多「控制」）。

於是，引言裡那個天真的判斷被倒轉過來。需要解釋的不是這個人為何「反覆無常」；需要解釋的是，一套運轉良好的認知，如何在一個建得很糟的信息架構之內，以可預測的方式出錯。這不是病理，而是被設計塑造的普通認知的結果。也正因如此，責任的重心從個體移向架構；下一節的政策建議正是從這裡直接生出的。

8. 結論

隱私悖論，就其經典意義而言，確實是一個神話。Solove 是對的：態度與行為是不同的東西，它們的分歧不構成矛盾。而且，這個虛假的悖論常常被用作削弱隱私監管的武器。但神話的駁倒並不意味著再無可解釋之物。在虛假的悖論之下，躺著一道真實的裂縫：一個人所宣稱的威脅模型，與他所棲身的實際威脅架構之間的裂縫。兩樣東西撐開了這道裂縫。其一是隱私與安全的混淆：這個人把在一條軸線（安全）上做出的正確決定，當作在另一條軸線（隱私）上也成立，於是恰恰在他信任的地方交出了信息。其二是保護的話語取代保護的體驗的方式：宣告取代了保護。

這個診斷有兩層後果。在政策層面，Acquisti 與 Solove 共同指向的方向是對的：進一步「賦權」個體、給他更多按鈕和政策文本，不起作用，甚至會因餵養虛假安心而適得其反。保護的重擔必須從個體的背上卸下，裝到數據經濟的架構上。Waldman（2020）在這個方向上提出了一個具體的法律機制：收集數據的公司應當被視為我們數據的「信息受託人」，如同律師、醫生或財務顧問對我們承擔的責任那樣，進入注意、保密與忠實的義務。忠實義務禁止公司通過以損害我們的方式利用我們來獲利；在這個框架內，借黑暗模式強逼披露在法律上被封死。於是三個來源（Acquisti、Solove、Waldman）沿不同的路抵達同一扇門：重擔從個體身上卸下，裝到持有數據的架構與建造它的公司身上。

但在個體層面也還有話要說，而這正是文獻沉默之處：虛假安心的解藥不是更多的宣告，而是看見兩件事。第一，「安全的」與「隱私的」不是同一回事；數據免受攻擊者之害，並不意味著它免受持有它的公司之害。第二，「我說我在乎」與「我受到保護」之間存在一段距離。看見這兩個區分，本身並不能合攏這段距離；但它至少讓距離變得可見。而讓它可見，是走向矯正架構、而非責怪個體的第一步：當一個人能分清什麼受到了保護、什麼沒有，他就能開始把正確的問題投向正確的地方，也就是投向建造這項服務的架構。

說出恐懼，不等於受到保護。看見兩者之間的差別，是本文唯一的、也足夠艱難的提議。

參考文獻

（APA 第 7 版。已閱讀的一手文獻給出完整書目信息；二手文獻以「轉引自」標註，因為本文未直接接觸其全文。直接引語取自一手文獻的原始文本，並經比對確認。）

• Acquisti, A., Brandimarte, L., & Loewenstein, G. (2015). Privacy and human behavior in the age of information. Science, 347(6221), 509-514. doi.org/10.1126/scie... （已讀全文；Samsung 文獻庫）

• Solove, D. J. (2021). The myth of the privacy paradox. George Washington Law Review, 89(1), 1-51. （已讀全文；Samsung 文獻庫）

• Gerber, N., Gerber, P., & Volkamer, M. (2018). Explaining the privacy paradox: A systematic review of literature investigating privacy attitude and behavior. Computers & Security, 77, 226-261. doi.org/10.1016/j.co... （已讀全文；Samsung 文獻庫）

• Waldman, A. E. (2020). Cognitive biases, dark patterns, and the ‘privacy paradox’. Current Opinion in Psychology, 31, 105-109. doi.org/10.1016/j.co... （已讀全文；Samsung 文獻庫）

• Brandimarte, L., Acquisti, A., & Loewenstein, G. (2013). Misplaced confidences: Privacy and the control paradox. Social Psychological and Personality Science, 4(3), 340-347. （轉引自 Acquisti et al., 2015）

• Mathur, A., Acar, G., Friedman, M., Lucherini, E., Mayer, J., Chetty, M., & Narayanan, A. (2019). Dark patterns at scale: Findings from a crawl of 11K shopping websites. Proceedings of the ACM on Human-Computer Interaction, 3(CSCW), 1-32. （轉引自 Waldman, 2020）

• Harris, T. (2016). How technology is hijacking your mind. Medium. （轉引自 Waldman, 2020）

• Richards, N., & Hartzog, W. (2019). The pathologies of consent. （轉引自 Waldman, 2020）

• McDonald, A. M., & Cranor, L. F. (2008). The cost of reading privacy policies. I/S: A Journal of Law and Policy for the Information Society, 4(3), 543-568. （轉引自 Solove, 2021）

• Turow, J., King, J., Hoofnagle, C. J., Bleakley, A., & Hennessy, M. (2009). Americans reject tailored advertising. （轉引自 Solove, 2021；62% 發現的來源之一）

• Hoofnagle, C. J., & Urban, J. M. (2014). Alan Westin’s privacy homo economicus. Wake Forest Law Review, 49, 261-321. （轉引自 Acquisti et al., 2015；62% 發現的來源之一）

• Tufekci, Z.（2018年1月30日）. The latest data privacy debacle. The New York Times. （轉引自 Solove, 2021）

• Spiekermann, S., Grossklags, J., & Berendt, B. (2001). E-privacy in 2nd generation e-commerce. （轉引自 Solove, 2021）

概念與事實基礎（非引用，而是框架）

• 隱私與安全之分建立在信息安全的既定框架之上（機密性、完整性、可用性三要素，隱私作為一項單獨的保護目標）；這是一個在百科層面得到普遍接受的區分。本文的原創貢獻不在於發明這一區分，而在於把它帶入隱私悖論的案例，併為「軸線混淆」機制命名。在走向發表的過程中，將考慮補充一份直接確立這一區分的一手文獻（例如情境完整性框架，Nissenbaum 2004, 2009）。

• 通訊示例的事實基礎：一款常見通訊應用默認對內容進行端到端加密（Signal 協議），同時收集顯示誰與誰、何時、多久聯繫一次的元數據，並將其接入廣告經濟；另一款常見應用把默認聊天以服務器端可解密的形式存儲，端到端加密只留給需手動開啟的模式；第三款應用則同時提供端到端加密與元數據最小化。這三種情形在文中作為事實示例使用，不點名具體品牌，依據的是當前公開可得的技術文檔（WhatsApp Security Whitepaper；Telegram End-to-End Encryption FAQ，core.telegram.org；Signal 技術文檔）。目的不是讚美或譴責某個產品，而是表明「安全軸線上強、隱私軸線上弱」的情形在真實世界中存在。

版本 1.1 · 修訂：2026年7月21日 · 依據原文校正了 Tufekci 引文，參考文獻改繫於正確的出處

永久存檔記錄，所有版本：10.17613/7xg1q-dsn29 · Knowledge Commons

版本 1.1 · 修訂：2026年7月21日 · 依據原文校正了 Tufekci 引文，參考文獻改繫於正確的出處

原文為土耳其語，本文為繁體中文版；其他六種語言見 halitcengizuzuner.co...

DOI：doi.org/10.17613/7xg...