裂痕：剑桥分析事件与数字权利的觉醒
第一章 裂痕：剑桥分析事件与数字权利的觉醒
2018年3月17日深夜，《纽约时报》与《卫报》同时上线了一篇联合调查报道。六个小时之内，全球互联网的关键词从"比特币"切换成了"剑桥分析"。Christopher Wylie——一位28岁的加拿大数据分析员、剑桥分析公司的前员工——在长达数小时的视频采访里，把一家注册在伦敦的心理咨询公司、一位来自剑桥大学心理学系的研究者、世界上最大的社交网络、以及2016年那场令人困惑的美国大选缝合在一起。缝合后的图景令人战栗：一家掌握8700万用户人格画像的公司，被指认为有史以来最具侵入性的政治定向投放工具；而这一切在2014年到2015年间发生，恰好赶在特朗普的初选与英国的脱欧公投之前。
这并不是一则关于黑客与数据的猎奇故事。这是一则关于我们这些普通的网络用户——我们这些人自己——究竟在多大程度上被当作可计算的客体，被建模、被分类、被说服、被重新排序的法律故事。当一家公司能够通过 Facebook 上的点赞数据推断你是否内向、是否神经质、是否具有政治可说服性，并据此推送定制化广告，传统意义上承认人格尊严的法律框架究竟在何处失效？
答案藏在一段长达一百二十八年的法律史里，藏在大西洋两岸两种截然不同的法律传统里，也藏在中国某栋写字楼里一位数据科学家凌晨三点合不上的眼睛里。剑桥分析事件正是这条裂痕公开化的瞬间——硅基的算法，第一次撞碎了纸基的权利假设。
---
1. 那个告密者按下曝光按钮的瞬间
Christopher Wylie 在温哥华的公寓里接受视频采访的时候，窗外是 3 月份的灰色雨幕。镜头里，这位看起来比实际年龄还要年轻的年轻人，用一种近乎记叙性的口吻描述了他在 2013 年至 2015 年间在 SCL Group 与剑桥分析任职时目睹的一切：他如何参与设计了一套可以"瞄准个人心理弱点"的定向广告系统；他如何看着 8700 万张 Facebook 用户档案在没有充分"知情同意"的情况下被纳入一个名叫"ALGORITHMIA"的预测模型；他如何在发现这套系统被用于尼日利亚大选、特朗普竞选和英国脱欧之后，选择与英国信息专员办公室取得联系，并在英国第四频道记者的配合下完成了那次引爆全球的纪录片访谈。
这条线索之所以关键，不在于它爆出了一个之前完全不为人知的秘密，而在于它把一段已经在地下运行了两年的政治计算公开化了。在学术领域，使用社交媒体数据进行心理测量学（psychometrics）研究早有先例；在广告行业，定向投放本来就是 Facebook、Google 等平台的核心商业模式。但是，剑桥分析把三者——心理画像、定向广告、选举政治——熔铸成了一个前所未有的复合体，并且在几乎没有法律追责风险的环境下规模化了它的部署。
Wylie 的作用是把一个本来在内部才知道的事实结构翻译成了公共舆论可理解的语言。他提供了三个核心证据：第一，Aleksandr Kogan 通过一款叫"This Is Your Digital Life"（"这是你的数字生活"）的性格测试应用采集了数据；第二，这些数据违反与 Facebook 的服务条款被传递给剑桥分析；第三，剑桥分析基于 OCEAN 五大人格特质模型建立了"心理定位"（psychographic targeting）能力，并将其服务卖给特朗普竞选团队、Brett Kavanaugh 最高法院提名战以及全球多个客户。
接下来的六十二天里，Facebook 股价蒸发了约 1340 亿美元，市值几乎跌去四分之一。CEO Mark Zuckerberg 经历了二十年以来科技公司高管罕见的公开道歉之旅——他在《纽约观察家报》上买下整版广告连说了三句"对不起"，并就此事赴美国国会与欧洲议会接受了近二十小时的问询。Cambridge Analytica 在丑闻爆发两个月后申请破产，但其母公司 SCL Group 在伦敦维持着实体；Kogan 在事发之后从剑桥大学离职，转赴马里兰大学任教；Nix 在镜头前以一种恍如演员的不祥平静解说自己的工作，最终被停职。
但所有这一切用户侧的剧烈反应、股价暴跌、高管道歉，都没有回答一个根本性的问题——在这一百零八个月之间，谁来认定它违法？根据谁的标准？通过什么样的程序？
---
2. 8700 万张脸是如何被一张张收集的
要理解为何传统法律在剑桥分析事件面前显得手足无措，必须先把数据流动的链条完整还原出来。剑桥分析的成败依赖于 Facebook 平台的一段特定 API 行为：在 2014 年之前，当一个第三方应用被授权读取"我的基础资料"时，它不仅能够读取安装该应用的我本人，还能够读取我所有好友的公开资料。这一机制被戏称为"朋友的礼物"——我没同意授权，但只要我某个性格开朗的好友下载了那个应用，我便被自动纳入数据池。
这种权限设计并不是 bug，而是一种产品决策。Facebook 成立之初的核心假设是：社交网络的真正价值不在于我自己填了什么，而在于我周围的人是谁。朋友的资料是建立关系图谱的免费原料。剑桥分析——或者说，Aleksandr Kogan 通过他在剑桥大学心理测量学中心的实验室——抓住了这个被设计出来的慷慨。
具体而言，Kogan 在亚马逊 Mechanical Turk 上以"学术研究"名义支付每人约 1 至 4 美元的报酬，招募了大约 27 万名用户下载"This Is Your Digital Life"应用。每位用户除了提交自己的回答，还需要 Facebook 同意该应用读取其个人资料与好友的公开信息。结果是：直接同意者 27 万，被动携带者约 8700 万。这 8700 万人大部分并未听说过 Kogan、剑桥分析或心理画像，他们甚至可能根本没看过 Facebook 上那个要求授权的弹窗。
Kogan 在事后坚称他相信"学术例外"，即只要研究通过了伦理审查、再发布的数据做了"去识别化"（de-identification）处理，就可以用于商业。但事实远比这更复杂：根据 Facebook 当时的开发者政策，Kogan 只能在学术研究目的下获取数据，禁止将数据转移给任何第三方，更遑论商业化使用。然而，Kogan 与 Cambridge Analytica 签订了一份完全相反的合同——他把数据库的访问权销售给了后者。这是一次"明示的违规"。
下面这张流程图把整条数据链路以及它在 2016 年大选前的实际部署还原出来。它是理解后续所有法律责任问题的基础。
```mermaid flowchart TD A[用户在 Facebook 看到广告] --> B[下载 This Is Your Digital Life 应用] B --> C[同意授权基础资料 + 好友资料] C --> D[Kogan 后端收集原始问卷答案] D --> E[同步抓取 27 万直接用户 + 8700 万好友档案] E --> F[合并 Facebook 点赞 + 性格测试答案] F --> G[数据集被违规转售给 Cambridge Analytica] G --> H[使用 OCEAN 五大人格模型训练预测模型] H --> I[对每个用户输出心理画像与定向分数] I --> J[定向政治广告投放 与 暗推 dark post] J --> K[2016 特朗普竞选 与 英国脱欧公投] K --> L[2018.3 Wylie 揭发，全球监管连锁反应] ```
事件的法律转折点集中在三个数据流转环节：C 到 D 阶段是用户授权；E 到 G 是超出学术研究的二次转移；I 到 J 是基于心理画像的精准投放。传统的隐私法只需要审视前两个环节——即用户是否被告知、数据是否被保护——而对第三个环节，即算法模型如何使用数据预测人格几乎不设防。这就是"知情同意"原则失效的根本原因：用户可以拒绝一份合同，但当拒绝的对象不是一个平台，而是整个推荐系统、广告生态系统、心理建模流水线时，个体同意就失去了结构意义。
更糟糕的是，即便就单个环节考察同意，行为经济学早已告诉我们：用户在数字界面中做出的"点击同意"高度依赖默认设置的引导。一个弹窗出现时默认是"同意"，而不同意意味着复杂的退出流程、潜在的"服务降级"暗示、以及对更多弹窗的厌恶。这种同意在法律教科书里或许有效，在现实的眼眶里则是一种系统性虚构。
---
3. 知情同意的崩塌：从 1890 到 2018
为了让剑桥分析的违规模糊性得以被理解，我们需要回到现代隐私权诞生的一八九〇年。Samuel Warren 与 Louis Brandeis 在那一年的《哈佛法律评论》上发表了那篇著名的文章——《隐私权》（The Right to Privacy）。最初的诱因完全是模拟时代的：黄色小报发明了即时摄影术和便携式照相机，社会的中上阶层忽然发现自己的家庭生活可能被摄影师窥探。Warren 和 Brandeis 把这种恐惧上升到哲学高度，认为法律应当承认一种"不受打扰的权利"（the right to be let alone）。它从一开始就是一种基于人格尊严而非基于信息控制的权利。
这条思路在二十世纪获得了爆炸式扩张。1970 年德国黑森州率先出台《数据保护法》，成为世界上第一部专门规制数据处理的法律；1974 年美国制定《隐私权法》；1980 年经合组织（OECD）发布《隐私保护与个人数据跨境流动指引》，提出了八项原则，至今仍是大多数国家的立法参照。但是，所有这些规范都共享一个共同的隐含前提：数据处理行为是稀缺的、有意识的、便于列举的——一张照片、一份病历、一次信用卡交易。换句话说，它们都默认数据流动是"可观察、可识别、可询问"的过程。
到了 2010 年代，这个隐含前提崩解了。Cambridge Analytica 的 8700 万用户档案里，绝大多数 Facebook 用户从来不知道"自己"是档案中的一项维度——自己的政治倾向、宗教估计、性取向倾向、神经质程度。"我"在数据模型中不是一个具名的人，而是一组向量坐标，是 OCEAN 五个维度的概率分布。这种"人"已经不是 Warren 与 Brandeis 在一八九〇年设想的那种被拍照的"我"，而是被一种算法模型在数千万点行为数据中合成的"我的替身"。
学术上，这种"替身"有一个名字——数字人格（digital persona）。它不是指用户的数字身份（如 ID、用户名），而是指通过对用户行为数据的持续推断所构建出的、足以影响现实决策的稳定预测结构。Cambridge Analytica 的核心创新不在于它拿到了 Facebook 数据——那时的市场上有不少数据经纪商——而在于它把数字人格当作商品，规模化地服务于政治说服。
正是基于这一现实，欧亚大陆出现了不同的应对路径。在德国汉斯·彼得·弗里茨（Hans-Peter Fritz）在 2017 年首次系统性地提出"数字人格权"（Recht auf digitale Persönlichkeit）的概念，建议将数据主体对"其数字建模的完整性"享有专属权利。这是一种超越 GDPR 所确立的访问权、更正权、删除权的新型权利——它保护的是"我的数字替身不被歪曲、不被用于我未曾合理预期的目的"。
知情同意原则的失效不是一个监管漏洞，而是结构性后果。当"同意"对象已经从"一份数据使用合同"演变为"无数模型、无数第三方、无数次的持续推断"时，要求每一次使用都重新回到用户取得同意，不仅是技术上不可能，更是一种将责任错误转嫁给用户的伪善。GDPR 试图用"目的限制"、"数据最小化"、"明确的同意"等设计来缝合，但 2018 年的实际经验证明——单凭同意框架无法应对系统性建模的挑战。
---
4. 全球追责的三种答案：FTC、ICO 与 GDPR
剑桥分析事件撕开了数字权利保护的全球图景。接下来的两年里，三个司法管辖区给出了三种截然不同的回应，揭示出大西洋两岸在数字权利基本认识上的范式差异。
美国：基于行为的处罚范式。FTC 主导了对 Facebook 的调查，核心问题被框定为"该公司是否就其数据处理实践误导了用户"。2019 年 7 月，FTC 与 Facebook 达成 50 亿美元和解，并附加了一项为期二十年的独立隐私监督制度。值得注意的是，50 亿美元的罚款在当时是 FTC 历史上最大金额，但也仅相当于 Facebook 一个月的收入。批评者认为，这种处罚范式的核心逻辑是"违规应被罚"——它把隐私侵害当作一种失信行为（deception），而非权利侵害（rights violation）。后果是，"下次撒一个更好的谎"就足以规避法律责任。
英国：基于过程的调查范式。英国信息专员办公室（ICO）由 Elizabeth Denham 领导，发布了长达数页的重大调查裁定。ICO 把焦点放在两个具体的违法行为上：第一，Facebook 在"朋友权限"设计上未能对 8700 万被动用户尽到告知义务；第二，Cambridge Analytica 在数据处理上违反了 1998 年《数据保护法》。ICO 最终对 Facebook 处以 50 万英镑罚款（基于旧法的上限），对 Cambridge Analytica 同样处以 50 万英镑罚款。这个数字在西方公共讨论中显得象征性，但 ICO 的关键贡献在于它的事实重建——报告把剑桥分析事件的时间线、关键证据、数据流向以政府背书的方式公开，成为后续全球诉讼的事实基础。
欧盟：基于权利的归责范式。2018 年 5 月 25 日，《通用数据保护条例》（GDPR）正式生效——距离剑桥分析丑闻曝光仅两个月。GDPR 不是为了剑桥分析而生，但它的核心设计恰好对应了剑桥分析所揭示的结构性失能。GDPR 第 6 条要求数据处理必须具备六项合法依据之一，单纯依靠"同意"被严格限制；第 22 条赋予个人对"完全基于自动化处理（包括用户画像）的决策"提出异议的权利；第 35 条要求高风险处理活动必须进行"数据保护影响评估"（DPIA）。GDPR 的关键范式转向是——把数据保护的责任从"用户维护自己的同意"转移到"控制者证明自己合规"。这是一种举证倒置。
GDPR 的罚款上限高达 2000 万欧元或全球年营业额的 4%。以 Facebook 2018 年的 558 亿美元营业额计，这意味着理论上可以开出 22 亿美元罚单。这与 FTC 的 50 亿美元罚款看似对等，但逻辑完全不同：FTC 的罚款是"违规行为的代价"，GDPR 的罚款是"权利侵害的对价"——它把每一次数据违规都重新解读为对一项基本权利的侵犯。
下面对三种路径进行结构对比：
| 维度 | 美国 FTC | 英国 ICO | 欧盟 GDPR | | --- | --- | --- | --- | | 法律哲学基础 | 反失信、反垄断 | 程序合规 | 基本权利保护 | | 主要违法构成 | 误导性陈述 | 未尽告知义务 | 处理基础不合法 | | 最高处罚力度 | 50 亿美元（FTC 与 Facebook） | 50 万英镑（旧法上限） | 全球年营业额 4% | | 责任倒置 | 无 | 部分 | 完全 | | 域外效力 | 弱 | 中 | 强（"布鲁塞尔效应"） |
从中可以读出一条清晰的司法哲学光谱：美国法律把隐私侵害当作可交易的成本来规制，欧盟法律把隐私侵害当作不可让渡的权利来保护，英国的法律史使其更接近于程序主义的中间态。但同时必须看到另一种更深层的差异——美国法律体系的有效性依赖于集团诉讼（class action）这一独特的私人执法机制。在 Cambridge Analytica 事件之后，多家律所发起集体诉讼，最终 Facebook 在 2022 年就一项集体诉讼达成 9 亿美元的和解。在这个意义上，是市场化的诉讼律师，而非政府机构，承担了主要的执法角色。
这一美国图景与中国现实形成了耐人寻味的对照。中国自 2017 年《网络安全法》生效以来，已经建构起一个相对密集的数据保护框架，2021 年《数据安全法》和《个人信息保护法》（PIPL）的相继出台则形成了"三法联动"的格局。PIPL 在很多方面借鉴了 GDPR，包括敏感个人信息清单、个人单独同意规则、跨境传输安全评估等。但 PIPL 在对个体"被遗忘权"的承认上、在对自动化决策的规制力度上、在对监管机构独立性的设计上，呈现出不同的取舍——这一切都值得在后续章节展开。
---
5. 一个中国数据科学家的午夜抉择
但是，对剑桥分析事件的法律分析如果仅仅停留在监管层面，就错过了它最深层的伦理拷问。这种拷问并非关于某家具体的公司或某条具体的法规，而是关于我们这些技术从业者——算法工程师、数据科学家、产品经理——在一个不完善的法律环境下如何行动。
让我引入一个虚构的人物，借用一个我与许多中国互联网公司工程师在私下交谈中反复遇见过的原型。
李明，1990 年出生，2016 年从一所美国常春藤的数据科学项目毕业，回国加入北京一家头部互联网公司的算法部门。2020 年初，公司接到一份来自某汽车制造商的合作提议：对方希望使用李明团队的"用户社交关联图谱"——一份基于平台用户好友关系、互动频率、内容偏好构建的多层网络——来精准定位"高消费意愿且近期购车意图"的潜在客户，并且希望能够分析哪些朋友圈组合具有最高的购车转化率。这在商业上完全合理：广告定向就是平台的核心商业模式。
但合作条款中有一段让李明不安的内容。汽车制造商要求平台在数据返回时不使用不可逆的去识别化处理，而是要保留用户的手机号码、身份证号、车牌号等可识别字段，以便其线下 4S 店二次触达。同时，他们还希望平台能提供"心理脆弱性评分"——这是一个基于用户近期发布内容、情绪识别算法等构造的复合指标，用来判断哪些用户更容易接受高额信贷方案。这两项要求，李明的直觉告诉他越过了某种看不见的线。
李明可以在几个选项中做出选择：第一，纯粹从合规角度，他可以审视这两项要求是否违反《个人信息保护法》第 28、29 条关于敏感个人信息的规定，结果会发现"心理脆弱性评分"很可能属于敏感个人信息，需要单独同意——但单独同意的具体边界在执行上模糊；第二，他可以从用户体验角度估算：这种评分如果在平台内部被广泛使用，将如何改变我们对"用户"的看法，把人重新定义为一组可被说服分数；第三，他可以从更深的哲学层面提问：当算法被设计来识别"人的脆弱"，并把这种识别销售给出价最高者时，整个社会是否还保有对人格尊严的最低共识？
李明选择把这两项要求在公司内部拒绝，并将自己的疑虑写成一份长达七页的备忘录提交给法务和合规部门。备忘录里他引用了 GDPR 第 22 条关于"完全基于自动化处理的决策"的规定、PIPL 第 24 条关于自动化决策透明度的规定、以及一份他从剑桥分析事件中提炼出的内部演讲——"算法能预测你的脆弱，但并不意味着算法有权利用它"。结果是：汽车制造商的合作项目最终被推迟了三个月重新谈判，而其中关于"心理脆弱性评分"的