数字原住民的法律觉醒

当你在凌晨两点躺在床上刷手机时，有没有想过这样一个问题：你滑动屏幕的每一次动作，点赞、评论、浏览的每一条内容，都在某个遥远的数据中心里留下痕迹？这些痕迹被精心收集、分析，甚至被用来预测你明天可能会想买什么、想看什么、想成为什么样的人。这不是科幻小说的情节，而是你正在经历的数字生活现实。作为在21世纪出生的你，从睁开眼睛的那一刻起就沉浸在互联网、智能设备和算法的世界里。你可能还不会走路就已经能熟练地在平板电脑上滑动解锁，这种与技术天然的亲近感让你成为了所谓的“数字原住民”——一个听起来很酷的称谓，但它究竟意味着什么？它又带来了哪些权利与责任？这些问题，正是我们整本书要探讨的核心。

理解数字原住民这个概念，需要我们先回到它的诞生背景。2001年，美国教育专家马克·普伦斯基（Marc Prensky）首次提出了“数字原住民”（Digital Native）和“数字移民”（Digital Immigrant）这两个概念，用以描述在数字技术环境中成长起来的一代人与那些在成年后才接触这些技术的人之间的根本差异。普伦斯基认为，数字原住民的大脑在成长过程中就已经被数字技术重新塑造，他们习惯于同时处理多条信息流，偏好视觉化的内容呈现方式，能够快速切换注意力，并且期待即时的反馈和响应。相比之下，数字移民则像是在学习一门新语言，即使能够熟练使用，也总是带着某种“口音”——他们倾向于用更线性的方式思考问题，习惯于在单一任务上投入更长的专注时间。

然而，这个看似清晰的二分法在后来受到了不少学者的质疑和修正。伊莱·帕泽（Eli Pariser）提出的“过滤气泡”（Filter Bubble）理论提醒我们，数字原住民并非生活在同一个信息海洋中，算法推荐系统正在将每个人隔离在信息茧房里，只推送符合既有偏好的内容。社交媒体研究员丹娜·博伊德（Danah Boyd）则指出，所谓的“原住民”并不意味着天然就理解技术的社会意义和政治含义，青少年虽然精通技术操作，却往往对数据如何被收集、被谁使用、被用于什么目的知之甚少。换句话说，你可能是一个玩游戏的专家，却未必是一个懂得游戏规则的公民。这正是“法律觉醒”之所以必要的原因——技术能力的提升并不自动带来权利意识的觉醒，而缺乏这种觉醒的数字原住民，在面对复杂的数据世界时往往更加脆弱而非更加强大。

为了更深入地理解数字原住民与技术之间的关系，让我们引入一个在法律和技术交叉领域广受认可的核心概念：代码即法律。这个由互联网先驱劳伦斯·莱西格（Lawrence Lessig）于1999年在其标志性著作《代码：塑造网络空间的法律》中系统阐述的思想，揭示了一个对数字公民至关重要的真相：在网络空间中，规制人类行为的不仅有传统的法律条文，还有运行在计算机和网络设备中的代码本身。莱西格用四个变量来描述规制行为的不同方式：法律（Law）、规范（Norms）、市场（Market）和代码（Code）。法律通过明文规定的规则和惩罚来约束行为；规范通过社会舆论和同伴压力来引导行为；市场通过价格机制和成本收益计算来激励或抑制行为；而代码则通过技术架构本身的设定来允许或禁止某些操作。当你在使用某个社交平台时，你的行为边界在很大程度上不是由法律条文决定的，而是由平台的代码设计决定的——平台可以选择是否加密你的消息、是否追踪你的位置、是否允许你删除自己的数据，这些技术决策实际上就是在制定属于那个数字空间的“法律”。

莱西格曾用一个生动的比喻来说明这一点：物理空间的建筑结构决定了你能在这个空间里做什么——走进一栋没有窗户的地下室，你就无法看到外面的天空；而网络空间的代码结构同样决定了你在这个空间里能做什么、不能做什么、能看到什么、不能看到什么。这种规制往往是隐形的、无形的，不像现实中的法律那样有明确的条文可以查阅，因此更容易被忽视，也更难被挑战。你可能从来没有意识到，每次你在某个应用中点击“我同意”的那一刻，你实际上是在与一段复杂的代码进行谈判，而这场谈判的结果在绝大多数情况下都是你无条件地让步。这个发现可能会让你感到不安，但正是这种不安，才是你法律觉醒的起点。

接下来，让我们通过三个真实发生的法律案例，来看看法律体系是如何试图规范技术行为的，以及这些规范背后的复杂博弈。这些案例分别发生在不同的国家，涉及不同的技术领域，但它们都有一个共同的主题：技术在跑得很快，法律在后面追，而普通用户——尤其是像你这样的青少年——往往是这场追逐赛中最容易被影响、却也最缺乏发言权的群体。

第一个案例是震惊全球的Cambridge Analytica数据丑闻。这个事件的起因要追溯到2013年，当时一位名叫亚历山大·科根（Aleksandr Kogan）的剑桥大学心理学研究员开发了一款名为“thisisyourdigitallife”的心理测试应用程序。这个应用表面上看起来只是一个普通的性格测试问卷，但它实际上是一个精心设计的数据收集工具。科根通过在Facebook平台上投放广告，诱导用户下载并使用这个应用，而使用的前提是同意该应用访问用户的Facebook数据。更为关键的是，该应用不仅收集同意参与测试的用户数据，还利用Facebook当时的一个技术漏洞，悄悄访问了这些用户好友的数据——而这些好友完全不知道自己的数据正在被第三方收集。最终，大约27万名用户参与了测试，但通过他们，科根获得了高达8700万Facebook用户的数据。这个数字后来被Facebook承认，虽然其中很多数据是通过“朋友的朋友”链条间接获得的，而非直接来自参与测试的用户本人。

这些数据随后被转交给了Cambridge Analytica——一家总部位于伦敦的政治数据分析公司。这家公司与2016年美国总统大选期间特朗普竞选团队、以及英国脱欧公投期间的脱欧派阵营都建立了合作关系。他们声称能够通过分析用户的心理特征和社交网络关系，精准投放政治广告，从而影响选民的投票行为。虽然Cambridge Analytica的具体操作方式和实际影响效果至今仍有争议，但这个丑闻所揭示的问题是根本性的：当一个看似无害的心理测试应用可以触达近亿人的个人数据，当这些数据可以被用于影响民主选举这样的重大政治事件，当用户对这种数据流动完全不知情也无力阻止时，数字时代隐私保护的核心问题就暴露无遗了。这个案例的直接后果是Facebook股价暴跌、美国和英国的监管机构展开调查、马克·扎克伯格不得不在美国国会作证。2018年，英国信息专员办公室对Facebook处以50万英镑罚款——这是当时该办公室能够征收的最高限额；2019年，Facebook同意支付50亿美元与美国联邦贸易委员会达成和解；2022年，Meta（原Facebook）又被爱尔兰数据保护委员会处以4.05亿欧元的罚款。但这些罚款对于一家市值曾高达万亿美元的公司来说，不过是九牛一毛。更重要的是，这些事后的处罚并不能改变8700万人的数据已经被收集和使用的事实。

对于数字原住民来说，Cambridge Analytica案例的教训是深刻的。它让我们意识到，当我们免费使用一个社交平台时，我们并不是真正的“用户”——我们更像是被收割的“原料”。Facebook的真正产品不是社交网络服务，而是我们的注意力、我们的社交关系、我们的心理特征——这些数据被打包出售给广告主和政治势力，而我们在这个交易中获得的只是免费使用一个平台的幻觉。更令人不安的是，这些数据的影响往往是长期和深远的。你在十几岁时点赞或分享的内容，可能会被算法解读为你的政治倾向、消费偏好甚至人格特征，而这些解读可能会影响你在未来看到什么样的信息和广告，从而在某种程度上塑造你的世界观和人生选择。这不是阴谋论，而是数据驱动型商业模式的基本逻辑。

第二个案例涉及一项更具争议性的技术——人脸识别。Clearview AI是一家成立于2017年的美国人工智能公司，它开发了一套人脸识别系统，其工作方式与普通用户熟悉的面部解锁功能截然不同。智能手机的面部解锁只会比对用户的面部信息与设备本地存储的模板图像，这是一个封闭的、一对一的验证过程。但Clearview AI的系统则是从互联网上抓取了超过100亿张图片——这些图片来自Facebook、YouTube、Twitter、Instagram以及无数其他网站的公开帖子——然后将它们与任何人脸进行比对。它的逻辑是：如果你在某个社交媒体上发布过自己的照片，Clearview AI可能就有你的照片；如果你与某个犯罪嫌疑人或失踪人口出现在同一张照片中，Clearview AI就可能识别出你的身份。

这项技术的潜在应用场景听起来似乎无可厚非：执法部门可以用它来追踪犯罪嫌疑人、识别失踪儿童、抓捕恋童癖者。但问题在于，Clearview AI并没有对这些图片的来源和用途进行有效的管控。调查记者发现，这家公司的客户不仅包括美国和加拿大等国的数百个执法机构，还包括像梅西百货、丝芙兰这样的商业零售巨头——他们用这项技术来识别被认定有入店行窃嫌疑的顾客。更令人震惊的是，Clearview AI的员工曾向商业客户吹嘘，他们可以从任意一张模糊的、网络摄像头拍摄的照片中识别出拍摄对象的身份、工作单位和家庭住址。这意味着，理论上任何人都可以将一张偷拍的照片交给Clearview AI，然后获得照片中那个人的详细个人信息——而这一切都不需要经过当事人同意，甚至不需要有合理的理由。

隐私倡导者和法律专家迅速对这个系统提出了尖锐的批评。人脸不同于密码或指纹，它是你无法改变的生物特征信息——你不能像更改密码那样更换你的脸。一旦你的人脸数据被泄露或被滥用，损失将是永久性的。更重要的是，人脸识别系统并非完美无缺。研究表明，许多商业人脸识别系统在识别深肤色人群、女性和老年人时的准确率显著低于对浅肤色人群、男性的识别率，这意味着算法歧视可能会在执法场景中被放大，导致无辜的有色人种被错误逮捕的风险增加。此外，人脸识别的广泛使用还可能产生“寒蝉效应”——当人们知道自己可能被随时识别和追踪时，他们可能会改变自己的行为，变得不敢参与公共抗议、不敢寻求堕胎服务、不敢与某些群体交往，从而侵蚀言论自由和结社自由的基础。

法律对Clearview AI的反应是迟缓但不完整的。2020年，加拿大隐私专员认定Clearview AI违反了该国的《隐私法》，责令其停止在加拿大运营；同年，英国信息专员办公室也表示Clearview AI的行为违反了英国的数据保护法律。美国的反应则更为复杂：一些州开始立法禁止政府机构使用人脸识别技术，另一些州则对Clearview AI提出了诉讼。但直到2023年，Clearview AI才在美国遭遇了实质性的法律障碍——美国第七巡回上诉法院裁定，芝加哥警方使用Clearview AI违反了该市的《生物识别信息隐私法》，这是一个重要的先例。尽管如此，Clearview AI的创始人仍然声称他们在全球有超过3400家执法机构客户，公司仍在继续运营。这个案例告诉我们，技术的发展往往领先于法律的规制，而当法律最终介入时，损害可能已经造成，受害者的救济也可能是不完整的。

第三个案例发生在中国，被称为“中国人脸识别第一案”。2019年，浙江杭州的郭兵教授针对杭州野生动物世界提起诉讼，理由是这家动物园在升级入园系统后，要求所有年卡用户注册人脸信息，否则将无法入园。郭兵此前已经购买了动物园的年卡，并按正常流程提交了身份证和照片信息。但在系统升级后，他被告知必须额外录入人脸信息才能继续使用年卡。当郭兵拒绝并要求退卡退款时，动物园方面表示，已过期的年卡不支持退款。这个案例之所以引发广泛关注，是因为它触及了中国人脸识别立法和实践中的一个核心问题：企业是否有权强制收集和使用顾客的生物识别信息？

这起案件经历了一审和二审两个阶段。2020年，一审法院判决杭州野生动物世界删除郭兵的面部特征信息，但驳回了郭兵关于确认格式条款无效等其他诉讼请求。法院认定动物园在办卡时未以显著方式明确告知用户需要收集人脸信息，侵犯了郭兵的了知情权；但同时认为，动物园在办卡须知中约定“刷脸入园”的内容不构成无效的格式条款。二审法院维持了这一判决。判决书特别强调，人脸信息属于敏感个人信息，一旦泄露或被滥用极易导致个人人格尊严受损或人身财产安全受到危害，因此收集人脸信息必须征得信息主体的明示同意，而且这个同意应当是具体的、清晰的，而不是打包在冗长的用户协议中的一个模糊条款。

这个案例的意义在于，它标志着中国法院首次在司法层面明确了人脸识别信息的敏感性和特殊保护必要性。虽然判决本身在很多法律观察者看来仍有保守之处——例如没有支持精神损害赔偿的请求，没有明确认定强制收集人脸信息的格式条款无效——但它为未来类似案件的处理提供了重要的参考坐标。更重要的是，这个案例激发了社会范围内关于人脸识别滥用的广泛讨论，推动了相关立法的加速。2021年，中国最高人民检察院会同相关部门开展了人脸识别专项监督活动；同年，最高人民法院发布的《关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》明确指出，宾馆、商场、银行、车站、机场、体育场馆等经营场所、公共场所违反法律、行政法规的规定使用人脸识别技术进行人脸验证、辨识或者分析构成侵权。这些法律进展表明，当普通公民选择站出来维护自己的权益时，法律体系是有可能做出回应的。

综合这三个案例，我们可以总结出数字时代法律规范技术行为的一些共同规律。首先，技术的发展速度往往远超法律的反应速度。Cambridge Analytica事件暴露出的数据收集和滥用问题，早在社交媒体诞生之初就已存在，但相应的系统性法律规制直到丑闻爆发多年后才逐步建立。人脸识别技术的广泛应用也先于专门的立法框架，这导致在全球范围内出现了监管真空。其次，技术公司的商业模式与用户权益之间存在根本冲突。无论是Facebook的数据变现模式，还是Clearview AI的有偿查询服务，其商业逻辑都建立在对用户数据的深度挖掘和利用之上，而用户在大多数情况下既不知情也无法选择。最后，跨境数据流动给单一国家的法律规制带来了巨大挑战。Cambridge Analytica的数据被用于影响英国脱欧公投和美国大选，但处理这起事件的监管机构分属不同国家，难以形成统一的执法合力；Clearview AI在多国引发争议，但只要它在某些监管宽松的地区继续运营，就可能对全球用户构成影响。

面对这些挑战，建立清晰的数字权利框架就显得尤为必要。数字权利并不是一个全新的概念，它是传统人权在数字时代的延伸和具体化。基于现有的国际法律文件、各国立法实践和学术研究，我们可以将数字权利分解为五个核心支柱：隐私权、数据主权、知情权、选择权和平等权。理解这些权利不仅有助于你认识自己在数字世界中的地位，也有助于你在面对技术霸权时知道如何维护自己的权益。

隐私权是数字权利体系的基础。联合国《世界人权宣言》第12条和《公民权利和政治权利国际公约》第17条都规定，任何人的私生活、家庭、住宅和通信不得被任意或非法干涉。虽然这些条款制定于互联网出现之前，但它们的保护精神同样适用于数字空间。数字隐私权的核心内容包括：个人数据不被任意收集的权利、个人数据不被未经授权使用的权利、个人数据不被第三方获取的权利、以及在数字空间保持匿名或使用假名的权利。值得特别注意的是，隐私权并不仅仅是一种防御性的权利——它也是一种积极的权利，要求国家和企业采取积极措施来保护个人的数字隐私。在你自己的生活中，这意味着你可以要求社交平台删除关于你的帖子，要求搜索引擎取消关于你的链接，要求应用程序停止追踪你的位置。你不需要等到隐私已经泄露才去维权，预防性的隐私保护同样是你的权利。

数据主权是隐私权的自然延伸，但又有其独特的内涵。传统的主权概念指的是国家对领土和人口的统治权，而数据主权则将这一概念扩展到了数据领域。数据主权包含多个层面：在个人层面，它意味着你对自己的个人数据拥有最终的决定权——谁能收集、谁能存储、谁能使用、谁能转让你的数据，理论上都应当经过你的同意和授权；在企业层面，大型科技公司往往积累了大量用户数据，这些数据构成了公司的核心资产，但这些数据的产生离不开用户的参与和贡献，因此用户在某种程度上也应当对“自己的数据被用于训练AI模型”这类事情拥有知情权和收益分享权；在国家层面，各国政府越来越意识到数据作为战略资源的重要性，纷纷出台数据本地化法律，要求重要数据必须在境内存储和处理。理解数据主权对于青少年尤为重要，因为你们这一代人从出生起就产生了大量的数字足迹——出生时的照片、成长记录、学业数据、社交互动——这些数据构成了你数字身份的基础。如果你不了解自己对数据的主权，就可能在不知不觉中失去了对数字自我的控制。

知情权是隐私权和数据主权的执行保障。没有知情权，隐私权和数据主权都将成为空话。知情权的核心要求是透明：当你使用某个服务或应用时，服务提供者应当清晰、准确、完整地告知你以下信息：他们会收集你的哪些数据、为什么要收集这些数据、数据会如何被使用和共享、数据会保存多长时间、以及你有哪些权利可以要求删除或更正你的数据。理想情况下，这种告知应当是实时的、具体的、可理解的——而不是像现在大多数应用的用户协议那样，是一篇长达数十页的、用法律术语写成的、几乎没有人会完整阅读的文档。事实上，根据一些研究的估计，如果一个人每年要阅读一遍他使用的所有互联网服务的隐私政策，总阅读时间将超过76个工作日。这种“知情”的形式主义恰恰是对知情权的讽刺。你有权要求服务提供者以简洁明了的方式向你说明数据处理的情况；你也有权在遇到不清楚的条款时拒绝同意——虽然在实际中这可能意味着你将无法使用该服务，但这本身就是一种信息：如果你无法在知情的情况下使用某个服务，也许它根本不值得使用。

选择权是知情权的逻辑结果。既然你对自己的数据拥有主权，既然你有权知道数据处理的情况，那么你就应当有权做出选择——同意或拒绝某些数据处理方式。欧盟《通用数据保护条例》（GDPR）将这种选择权具体化为一系列可执行的权利，包括：访问权（查询自己的数据被如何处理）、更正权（纠正不准确的数据）、删除权（要求删除自己的数据）、限制处理权（限制某些数据处理活动）、数据可携带权（获取自己的数据以便转移到其他服务）、以及拒绝权（拒绝某些类型的数据处理，包括直接营销和基于合法利益的数据处理）。中国的《个人信息保护法》也规定了类似的权利体系。这些权利在纸面上看起来很完善，但在实践中行使它们往往面临重重障碍。许多服务提供者在用户行使这些权利时会设置复杂的流程、漫长的等待期甚至不合理的条件——比如要求用户提供额外身份证明、或者声称某些数据因技术原因无法删除。了解你的选择权并知道如何行使这些权利，是数字原住民法律觉醒的重要组成部分。

平等权是数字权利体系中经常被忽视但同样重要的一员。平等权意味着你在数字空间中的权利保护不应因你的年龄、性别、民族、地域、经济状况或其他身份特征而有差别。但现实中的数字不平等问题十分突出。首先是接入不平等：全球仍有数十亿人无法获得稳定的互联网接入，而这些人恰恰是最需要通过数字技术改善生活的弱势群体。其次是能力不平等：即使在能够上网的人群中，也有相当一部分人因为缺乏数字素养而无法有效保护自己的隐私、识别网络诈骗或理解复杂的服务条款。第三是算法歧视：正如前文提到的人脸识别系统对不同群体的识别准确率差异，算法在训练过程中可能学到并复制社会中既有的偏见，