导读：法律保护我们的隐私，但是智能手机会记录来电和短信的日志信息，并且包括检测位置、移动、方向、亮度和附近其他手机的设备。为了更好地为我们服务，许多这些设备都会收集有关我们最细小的偏好和日常生活习惯的信息。
大部分数据都被存储下来了。这些信息存储在哪里？谁能查看这些数据？还有这样做会如何影响我们的隐私和安全？这些设备中的很多都在没有太多安全考虑的情况下快速涌入了市场。
我们必须要以新的方式来思考如何保护我们自己的隐私。我们必须决定什么时候隐私是重要的，而什么时候我们会愿意为了一些其他的利益而冒隐私被侵犯的风险。
作者：莎拉·芭氏（Sara Baase）、蒂莫西·M.亨利（Timothy M. Henry）
译者：郭耀
来源：大数据DT（ID：hzdashuju）
01 隐私是什么？
在数字化时代之前，就有监控摄像机监视银行和商店里的消费者。在进入计算机和互联网时代之后很久，有些药店才处理掉大量的药品处方、收据和订单，把它们扔到了公开的垃圾箱中。私家侦探还在搜索生活垃圾来寻找医疗和财务信息、购物细节、外遇的证据，以及个人的便签。
计算机技术并不是一定要侵犯人的隐私。然而，我们深入讨论隐私问题，是因为采用数字技术会使新的威胁成为可能，同时使老的威胁更为强大。包括数据库、数码相机、网络、智能手机、全球定位系统（GPS）设备等在内的数字技术对人们能够知道哪些事情，以及他们会如何使用这些信息带来了深刻的变化。
理解这些风险和问题是迈向保护隐私的第一步。对于计算机专业人士来说，理解风险和问题是走向设计低风险及内置隐私保护的系统的第一步。
隐私可以分为三个关键的方面：
- 不被侵犯——别打扰我。
- 控制自己的信息。
- 免于被监视（包括被尾随、跟踪、监视和窃听）。
我们不能指望有完全的隐私。我们通常不会指责一个试图发起谈话的人侵犯我们的隐私。很多朋友和有点熟的人都知道你的长相，你在哪里工作，你开什么样的车，以及你是否平易近人。他们无须征得你的许可，就可以观察和谈论你。
要控制自己的信息也就意味着要控制别人思想中、电话中和数据存储系统中的内容。这肯定会受到基本人权的限制，特别是言论自由。我们也不可能期望完全不被监控。当我们在公共场合出现时（包括物理上的，也包括在网络空间里），人们都能看到我们和听到我们。
如果你住在一个小镇上，你很难有隐私，每个人都知道你的一切。在一个大城市，你可能更接近于不为人知。
但是，如果人们对你一无所知，那么当他们租房子给你、雇用你、借给你钱、卖给你汽车保险、接受你的信用卡的时候，他们都可能会冒很大的风险。为了得到与陌生人打交道的好处，我们会放弃一些隐私。如果为了换取更多其他好处，如方便、个性化服务、与很多朋友沟通更容易等，我们就可能会选择放弃更多隐私。
大多数情况下，我们会把隐私看作一件好事。隐私的批评者认为，它会成为欺骗、虚伪和不道德行为的保护伞。它会造成欺诈，保护犯罪。对隐私的顾虑可以看作是一种怀疑：“你有什么可隐瞒的？”
希望保护隐私并不意味着我们是在做什么错事。我们可能希望保护健康状况、人际关系和家庭问题的隐私。我们可能希望保护宗教信仰和政治观点的隐私，不希望让与我们交往的人知道。某些类型信息的隐私还可能对个人的安全保障很重要。这样的例子包括旅行计划、财务数据，对有些人来说，也可能仅仅是家庭住址。
隐私威胁可以分为下列几类：
- 被某些机构有意使用个人信息（在政府部门主要是用于执法和税收，在私营部门则主要是用于市场营销和决策）。
- “自己人”或是维护信息的人未经授权使用或泄露这些信息。
- 信息被窃取。
- 由于疏忽或粗心大意而不慎泄露信息。
- 我们自己的行为（有时候是有意为之的权衡，有时候是我们不知道风险的存在）。
在许多场景中都会出现隐私问题。比如垃圾邮件和短信的侵扰、社交媒体和工作场所的监控，以及其他和员工隐私有关的问题。有些隐私风险是由于所保存的个人数据很多都是不正确的或者过时的。
作为这一节的结尾，我们用下面的引言来从三个不同角度给出关于隐私的看法，这三个角度分别是哲学的、个人的和政治的。
如果一个人被迫每分钟都与其他人生活在一起，并且他的所有需要、思想、语言、幻想或喜悦都要受到公众监督，那么他就被剥夺了个性和人的尊严。[他]被淹没在大众之中……这样的生命，虽然是有意识的，但却是可替代的；他已经失去了自我。 ——爱德华·J.布鲁斯（Edward J. Bloustein）
需要意识到的是，隐私不仅仅是保护个人的秘密，而是在朋友圈中的安全感，只有这样，一个人才能更愿意坦诚地谈论自己的“秘密”。 ——罗伯特·埃利斯·史密斯（Robert Ellis Smith）
团体协会中的隐私对于维护结社自由可能是必不可少的，特别是在一个团体支持持不同政见者的信仰的情况下。 ——20世纪50年代，美国高等法院对亚拉巴马州试图获取全国有色人种协会（NCAAP）的会员列表时的裁定
02 新技术和新风险
如今，存在成千上万（可能是数百万）的数据库，无论是政府的还是私营的，都会包含个人信息。
在过去，根本就不会记录这样一些信息，比如我们到底购买了哪些食品杂货和书籍。以前当我们在图书馆或商店浏览的时候，没有人知道我们在阅读和观看什么。像离婚和破产记录这样的政府文件虽然长期被放在公共记录中，但是要访问这些信息却要花费很多的时间和精力。想要把我们的经济、工作和家庭的信息记录联系到一起也相当不容易。
现在，运营视频、电子邮件、社交网络和搜索服务的大型公司可以把一个会员使用这些服务的所有信息组合起来，从而获得关于此人的详细面貌，包括个人兴趣、观点、人际关系、生活习惯和从事的活动。即使我们不以会员身份登录，也有软件可以跟踪我们在网络上的所有活动。
在过去，谈话在讲完之后就消失了，往往只有发件人和收件人才会去读取个人通信记录。
现在，当我们通过短信、电子邮件、社交网络等服务沟通的时候，我们所有的话都有记录，别人可以复制、转发、大范围传播，并且在很多年后还能读到这些内容。我们使用语音命令与家中连接到互联网的数字个人助理和设备进行交谈的时候，麦克风始终在倾听我们的声音。
我们将照片、视频、文档和财务报表存储在远程服务器构成的云上。电力公司和自来水厂很快就会拥有足够精密的计量和分析系统，可以推断我们使用的是什么样的家电，我们什么时候洗澡（每次多长时间），以及我们什么时候上床睡觉。
一些3D电视机的摄像头会警告小孩子不要坐得太近。这样的摄像机还会记录什么其他内容呢？谁可能会看到这些内容？
我们随身携带的无线设备中包含GPS和其他定位设备，它们使得别人可以确定我们的位置和跟踪我们的活动。执法机构有非常先进的工具用于窃听、监视以及收集和分析关于人们活动的数据，这些工具有助于减少犯罪和提高社会安全，也会对隐私和自由带来威胁。
把功能强大的新工具和应用程序结合起来，可能产生令人震惊的结果。
我们可以做到在大街上拍一个人的照片，然后在社交网络上根据照片匹配到这个人，并使用可公开访问的信息宝库以非常高概率的准确性猜测出此人的姓名、出生日期，以及他的社会安全号码的大部分。这并不需要使用超级计算机，只需要一个智能手机应用就可以完成。
我们在电视节目和电影中看到了很多这样的系统，但对大多数人来说，这看起来似乎有些夸张，或者在遥远的未来才会发生。
当然，所有这些小工具、服务和活动都会给我们的生活带来好处，但是它们也会带来新的风险。它们会对隐私产生深远的影响。
患者的医疗信息是保密的，不要在公共场合讨论。 ——某医疗机构贴在电梯里的提示，用来提醒医生和工作人员防止低技术含量的隐私泄露
1. 示例：搜索查询数据
搜索引擎每天收集许多数据（TB级）。1TB等于1万亿字节。在不久之前，存储这么大量的数据是极其昂贵的事情，但现在已经不一样了。为什么搜索引擎公司要把搜索查询保存下来？一个貌似合理的答案是：“因为它们可以这样做。”
但是这些数据还可以有许多其他用途。搜索引擎公司想知道在搜索结果中有多少网页是用户实际上看过的，他们点击了其中多少网页，他们如何对搜索查询进行细化，经常犯的拼写错误有哪些。
搜索公司通过分析这些数据，可以改善搜索服务，以更好地发布定向广告，并开发新的服务。包含以往查询的数据库还可以为搜索引擎的选择和排序算法提供测试和评估其功能修改的真实输入数据。
除了搜索引擎公司之外，搜索查询数据对于其他许多公司也很有价值。举例来说，通过分析搜索查询记录，公司可以知道人们在寻找的是哪种产品和功能，从而可以对产品进行修改，以满足消费者的喜好。
但是，还有谁会看到这样的大量数据呢？我们为什么要关心这个？
如果你自己在网上搜索的只是一些无关痛痒的话题，而且你也不在乎谁会看到你的查询的话，那么想想其他人可能会搜索的一些主题，以及为什么他们可能想要保护其搜索隐私：健康和心理健康问题、破产信息、赌博上瘾、右翼的阴谋、左翼的阴谋、酗酒、反堕胎的信息、支持堕胎的信息、色情文学、非法药物等。
如果有个人在网上花了大量时间搜索一本悬疑小说，小说内容是恐怖分子计划炸毁一个化工厂，这会产生哪些可能的后果呢？
联邦政府在2006年向谷歌公司发了一个传票，要求其提供两个月的用户搜索查询记录，其中不需要提供用户的姓名。谷歌和隐私倡导人士对政府史无前例地要求获取如此大量的信息表示强烈反对，因为他们相信这会对隐私造成威胁。
法院下令减小了传票涉及的范围，而且在不久之后，人们就发现即使在查询请求中不包含姓名，也会对隐私带来威胁。
美国在线公司（AOL）的一个员工违反了公司政策，把一个非常庞大的关于搜索请求的数据库放到一个网站上给查询技术的研究人员使用。数据中包括来自超过65万人在三个月之内的2000万次搜索查询记录。
虽然数据中使用编码过的ID号来表示每个人，而没有用他们的姓名，然而要想推断出一些人的身份并不是很难，特别是那些搜索过自己的名字或地址的人。通过一个被称作重新识别（reidentification）的过程还可以发现其他人的身份（重新识别的意思是从一组匿名的数据中识别出人的身份）。
记者和熟人可以识别在小的社区中的搜索过大量特定话题的人，例如他们拥有的汽车、他们热爱的体育队、他们的健康问题和他们的兴趣爱好。一旦确定之后，就可以把这个人和他所有的其他查询关联起来。
AOL迅速地删除了这些数据，但是记者、研究人员和其他人已经复制了该数据。有些人还在网络上重新发布了整个数据集。
2. 示例：智能手机应用
既然有了这么多聪明、有用且免费提供的智能手机应用（APP），人们是不是应该不假思索就下载它们？研究人员和记者仔细调查了智能手机上的软件和应用，并有一些惊喜的发现。
一些Android手机和iPhone会把位置数据（本质上是附近的手机信号发射塔的位置）分别发送给谷歌和苹果公司。这些公司可以利用这些数据来建立基于位置的服务，这对于公众和企业都是相当有价值的信息。（据产业研究人员估计，位置服务的市场高达数十亿美元。）
这些位置数据按说应该是匿名的，但研究人员发现，在某些情况下，其中也会包含手机的ID信息。
在某次测试中，大约一半的APP还会把手机的ID号或位置发送给（除了提供该APP的公司之外的）其他公司。有些还会把年龄和性别信息发送给广告公司。APP在发送数据的时候并没有告知用户或经过其同意。各种不同APP会把用户的联系人列表复制到远程服务器上。
在Android手机和iPhone手机上，如果用户允许APP做一些特定的事情，虽然这些事情和照片一点儿关系都没有，这些APP就可以复制用户的照片（并在互联网上发布）。（谷歌公司表示，这种能力最早是由于照片存储在可移动的存储卡上，从而不太容易受到攻击。这个事件提醒设计者必须要定期检查和更新与安全有关的设计决策。）通过手机APP泄露个人数据是一个持续存在的问题。
这又为什么重要呢？因为这些数据很容易会丢失、被窃取和滥用。如果你不知道手机在保存和传输这些信息，你就不知道需要删除它们。应用可以通过手机的功能来识别手机的位置、周围光线强度、手机的移动、附近其他手机的存在，等等。
知道我们曾在某个地方待了一段时间（再加上手机上的其他信息）可以告诉别人关于我们的行为和兴趣的很多信息，以及我们与哪些人有交往（还有是不是开了灯）。这还可以用来预测我们在未来的某个特定时间可能会出现在什么地方。
3. 被盗和丢失的数据
犯罪分子可以通过很多方式窃取个人数据：通过黑客攻击进入计算机系统，通过盗窃计算机、内存卡和磁盘，通过虚假证明购买或请求相关记录，以及通过贿赂数据存储公司的员工。
幕后的信息经纪人会销售数据（包括手机记录、信用报告、信用卡账单、医疗和工作记录、亲属的位置，以及有关金融和投资账户的信息），他们可以通过非法或可疑手段获得这些数据。
罪犯、律师、私家侦探、配偶、前配偶和执法人员都可能成为这些数据的购买者。在过去，私家侦探也可以获得一些这样的信息，但是却远没有这么轻松、廉价和迅速。
另一个风险是意外（有时是因为粗心）丢失。企业、政府机构和其他组织都可能会丢失包含数万人甚至数亿人的敏感个人数据（如社会安全号码和信用卡号码）的电脑、手机、磁盘、内存卡和笔记本电脑等设备，这会使人遭遇潜在的信息被滥用的风险，以及各种无法预测的风险。
一些企业、政府机构和其他组织可能会在无意中把敏感文件公开在了网络上；研究人员发现，从这些因为操作错误而可以从网上访问到的文件中，可以找到成千上万人的医疗信息和其他敏感的个人数据或保密信息。
数据窃贼往往可以通过电话假装成他们要寻求记录的那个人，从而获得他的敏感信息。他们会提供一些关于目标对象的个人信息（但这些信息很可能是公开或者无害的），以使他们的要求看起来是真实合法的。这告诉我们，对于即使本身不是特别敏感的数据，也要非常谨慎。
下面是一些被盗、丢失或被泄露的个人资料的例子。在许多事件中，盗贼收集数据的目的是用于身份盗窃和欺诈。
- 来自加州大学、哈佛大学、佐治亚理工学院、肯特州立大学和其他一些大学的数十万学生、申请人、教职工和校友的信息，其中有些包括社会安全号码和出生日期（被黑客窃取）。
- 使用索尼的PlayStation游戏机玩过视频游戏的大约7700万人的姓名、出生日期和部分信用卡号码（被黑客窃取）。另外在黑客攻击了索尼在线娱乐的PC游戏服务时，还暴露了另外2400万个账号信息。
- 美国银行（Bank of America）包含账户信息的磁盘（在运输过程中丢失或被窃）。
- 163 000人的信用历史和其他个人数据（由一个诈骗集团假装成正当企业向一个庞大的数据库公司购买获得）。
- 一家医院的大约40万名病人的姓名、社会安全号码、地址、出生日期和医疗账单信息（保存在一个医院员工被窃的笔记本电脑上）。
- 一百多万名求职者的机密联系方式（被黑客使用乌克兰的服务器从Monster.com窃取）。
- 大约30个主要国家（包括美国、俄罗斯、英国、中国和德国）的政府首脑的护照号码和其他个人信息（被澳大利亚移民局不小心通过邮件发送给了一个体育组织）。
4. 风险来源的总结
上面描述的例子说明了有关个人数据的很多要点，我们总结如下：
- 我们在网络空间中做的所有事情都会被（至少短暂地）记录下来，并且可以被关联到我们的电脑或手机，甚至可能是我们的名字。这其中也包括联网家电的使用。
- 随着可用存储空间的容量越来越大，公司、组织和政府都会保存在不久之前还无法想象的庞大的数据。
- 人们往往并没有意识到有人在收集有关他们及其活动的信息。
- 软件越来越复杂。有时候，连企业、组织和网站管理者甚至都无法知道他们使用的软件到底收集和存储了什么东西。
- 泄漏总是会发生，因此数据的存在本身就会带来风险。
- 把许多很细小的信息收集在一起，就可以比较详尽地描绘一个人的生活。
- 与一个人名字的直接关联对于破坏其隐私不再是那么重要。由于保存的个人信息数量越来越大，数据检索和分析工具的能力越来越强，这使得重新识别身份变得非常容易。
- 放到公共网站上的信息对所有人都是公开的；那么除了信息面向的人之外，其他人也很容易找到它们。
- 一旦信息发布在互联网上或保存到数据库中，把它从流通中删除几乎是不可能完成的任务，因为人和自动化软件会迅速地制作或分发其拷贝。
- 为一个目的（如拨打电话或响应搜索查询）收集的数据，极有可能会被发现有其他用途（如商业策划、跟踪、市场营销，或刑事调查）。
- 政府有时候会请求或要求企业和组织提供其保存的敏感个人数据。
- 我们常常不能直接保护自己的信息，所以我们不得不依赖管理信息的企业和组织来保护它免受盗窃、意外收集、泄露和监控。
有些事情有风险的事实并不意味着我们不应该使用它。每次我们乘车，都有可能发生撞车事故。如果我们扣上安全带并且在驾驶时不发短信，我们会更安全。在本书中，我们将强调了解风险和利用好数据的重要性，这与使用安全带和保持良好驾驶行为是一样的。
关于作者：Sara Baase，圣地亚哥州立大学计算机科学系荣誉教授，在计算机科学专业拥有近30年的从教经验。她曾三次获得圣地亚哥州立大学校友会颁发的杰出教师奖，编写过多部算法、汇编语言、计算机伦理方面的教材。
Timothy M.Henry，现任新英格兰理工学院IT研究生主任，在计算机伦理、程序设计、网络安全和项目管理等方面有超过15年的教学经验。
本文摘编自《IT之火：计算机技术与社会、法律和伦理》（原书第5版），经出版方授权发布。
