戴昕 | “看破不说破”：一种基础隐私规范

总的来看，法律的内容不是源自社会规范（social norms），就是产生于其与社会规范的互动之中。因此，认知、分析社会规范为有效理解法律提供了一个重要进路——所谓“通情”方能“达理”。

本文有关信息隐私法（information privacy law）的理论思考，将围绕观察和提炼一种有关信息隐私的社会规范（下称“隐私规范”）展开。这种微妙的隐私规范较少被研究者清晰察觉、言说，但其实普遍存在于当代人理应熟悉的都市生活场景：高峰期通勤族摩肩接踵的公共交通运输工具中；火爆至于圆桌间几乎没有店员走动余地的热门食肆内；被众多挂上号或只是寄望加号的患者围得水泄不通的医科专家坐诊室门前；以及布满文员卡座工位的企业办公开间里。“拥挤”无疑是这类场景的核心特征之一，而这种拥挤急剧压缩了陌生人之间原有的空间区隔，并由此大大提高了隐私信息超出通常预期范围被收集、遭披露的可能。在这些拥挤的公共空间中，即便你只是在低头玩手机的间歇抬头活动脖颈，也常难免瞥见身边人手机（或平板、笔记本电脑）屏幕上的“大尺度”内容；或刚把耳机中持续播放的音频暂停，想清净放空片刻，但紧挨旁侧或身后的亲昵低语却又声声入耳了。以这样的方式获知他人私密信息诚非有意，却又常常让心境烦躁、空虚者兴味盎然。扪心自问，有多少人能在此时恪守“非礼勿视”的古训，坚决抑制自己继续“窥私”的好奇？而如果“俗人”难免多看两眼，多听一耳，甚至转而将其作为谈资与亲友交流分享——由此导致他人私密信息更广泛传播——当代社会的隐私规范对这类信息处理行为又作何评价、有何约束？

直觉而言，人们大多会认为此类“窥私”行为虽有不妥，但又无伤大雅。之所以“不妥”，是因为虽说信息主体本人未能严加防范也是其私密信息被他人获知的重要原因，但当代隐私规范其实从未否定人们在公共空间“公开”活动时仍可持有某种合理隐私预期——这也导致法律制度中“公共场合隐私”（privacy in public place）的规则与法理均颇为复杂。但之所以“无伤大雅”，则是因为“非礼勿视、勿听”的隐私规范虽不断被违反，拥挤空间却并未因此失去总体上的秩序与体面——这又是如何做到的呢？

在笔者看来，这其实正提示我们，在“不看”“不听”“不说”之外，还存在着其他协调相关行为与预期的隐私规范。举例来说，若你在拥挤的车厢内无意间瞥见身旁人手机屏幕上的私密聊天内容，感到好奇并忍不住要看下去，但此时身旁人却也似不经意抬头，且目光向你转来，你会怎么做？是不以为意、继续窥视甚至面露得色，还是迅速移开视线、避免目光交会并竭力维持表情镇静、平和甚至若无其事？如果你的反应会是后一种，那么此时身旁人还会对你提出更进一步的抗议甚至发起争执吗——即使他/她意识到你的反应是在掩饰已经发生的“窥私”行为？而如果通常情况下他/她都不会再作抗议，这又是否意味着，正是上述掩饰行为，微妙地发挥了某种调节甚至消解潜在隐私冲突的作用？

本文就此给出的回答是肯定的。假使请一名中立的道德评判者对前述拥挤空间中“窥私者”的行为作综合评价，不难想见，即便其未守“勿视、勿听”规范的行为有可责备之处，但评判者仍应会将“窥私者”所采取的掩饰努力——以及此种努力起到的维持和谐与体面的积极社会功能——纳入考量；而后者意味着，有关隐私的社会规范中，并非只包含着“不看”“不听”“不说”等人们熟知的消极行为义务，也同时包含着一种对私密信息知情人提出的积极行为要求——即知情人应付出努力，掩饰其知情状态。

本文将这类要求知情人积极掩饰其知情状态的隐私规范概称为“看破不说破”，并将揭示、分析这一规范在围绕隐私价值展开的各种社会互动中发挥的重要功能。截至目前，研究者对隐私规范的关注集中于信息收集和信息披露行为受到的规制，即有关能不能“看”（问）、能不能“说”的规范。但生活经验提示，即使隐私信息已被他人获取——即“看破”，甚至披露行为已经发生——也就是“说”过，这也不意味着社会规范中可用于调处潜在隐私利益冲突的实体规范资源已被穷尽，只剩下有关纠纷解决的程序性安排。相反，在“看破”“说过”之后，社会规范仍可能继续向知情人提出“不说破”的要求。如前所述，这种规范要求常见于拥挤的公共生活空间，但也弥散在更广泛的现代生活场景之中，只是一直未能在理论层面获得提炼。

下文第二部分将提炼“不说破”的主要规范内容，即要求知情人应投入或高或低的成本，掩饰其对特定信息的占有或使用状态；而与人际互动语境相结合，“不说破”又至少对应着三类要求，即“双向不说破”“对第三人不说破”和“对信息主体不说破”。第三部分将指出，“看破不说破”之所以应被视为一种基础性的隐私规范，是因为隐私制度对应的各类社会价值——无论是保密（secrecy）、独处（solitude）、尊严（dignity）、掌控（control）、亲密关系（intimacy），还是体面（decency）等——其实现都需借助甚至依赖“不说破”；仅有规制信息收集和披露的规范则往往不够。第四部分将分析“不说破”的限度。个体理性计算和集体行动等因素使知情人可能有动力规避“不说破”的要求；而知情人“不说破”的边际社会成本，在一些情况下可能超出“不说破”对应的边际社会收益，此时“说破”应成为针对知情人的规范要求。第五部分将讨论作为隐私规范的“看破不说破”在若干重要当代法律议题中的呈现形态，及其对思考相关制度演化和走向的可能启示。对于信息隐私法来说，社会规范从来都是尤为重要的参照；特别是，法律可借助社会规范发现并重述社群分享的隐私预期，在经验认知基础上再作进一步价值选择。当信息隐私问题步入当代数据技术环境后，公众的相关预期往往建立在对商业和公共领域大规模数据处理行为缺乏有效认知的基础上，这使得社会规范对数据处理行为的实际规制作用较为有限，规范自身的内容也未必可取。即便如此，对于建构更具时代性的数据隐私制度来说，作为基本社会事实的隐私规范仍有重要参考和启示价值；特别是，在令许多人感到悲观的“普遍”收集、“全面”披露的数据社会前景（现实？）面前，“看破不说破”指出了重构信息隐私立足点的一条可能路径。

本文将社会规范理解为国家正式制度之外的社会控制现象。社会规范以人际和群体影响为基础，调整个体的认知、行为和决策。根据传统理解，社会规范体系中的隐私规范设定了一系列行为层面的消极或不作为义务：如个体对特定信息抱有合理隐私预期，则他人除非能提出公认的正当理据，否则不应在违背信息主体意愿的情况下收集、传播、使用相关信息；当信息处理者的行为违反此类消极义务规范时，其基于道义或社群压力便有可能需承担恢复名誉、填补损失等次生救济义务。

但如前所述，“不作为”或许并非隐私规范中可能包含的实体行为要求的全部，且“不作为”本身也不意味着他人为满足这一要求无需付出成本。即使在隐私信息已被他人获知、消极义务已被违反或无法再被有意义履行的前提下，隐私规范对占有他人隐私信息者——以下简称“知情人”——往往还会提出进一步要求，使其不但要努力抑制自身表达、披露的欲望，且还经常要采取积极行动，伪装其知情状态。相比于消极义务规范，这种积极行为要求容易被忽略；但只要细心，在生活中不难识别、觉察其存在。

（一）不只是“不看”

以Warren & Brandeis的倡议为典型代表，隐私规范一直以“非礼勿视、非礼勿听”为理想形态，即追求从信息收集行为这一隐私问题（privacy problems）产生的源头入手规制，从而在最大程度上保障独处、自主、尊严等核心隐私价值。但仅以收集行为为规制对象的隐私规范，其局限是显而易见的。首先，私人信息为他人获取，有时未必是刻意收集的后果。无论是空间松散但人情紧密的“熟人社会”，还是人际隔膜但空间拥挤的“陌生人社会”，被动获取他人私密信息的机会其实都非常多。农村社区中，人们对别家长短的知晓未必需要刻意打听，流言蜚语完全可在不经意间传开。而在城市社会中，正如本文开篇提及，无意间窥见他人隐私的情况十分普遍——每天挤公交地铁通勤的陌生人各自只看手机，区别在于“有人看自己手机，有人看别人手机”。

其次，一味强调收集限制，对有价值信息流通、分享和利用造成的阻碍可能有违社会整体福利的要求。例如一个法域的公众人物隐私保护规则如果较为严格，就有可能造成社会不同阶层在消费精英阶层八卦信息这一事项上的显著不平等——相比于掌握一手动态的“圈内人”，圈外老百姓若失去狗仔队爆料的渠道，能看到的就只剩下那些当事人先期“加滤镜”处理过的信息。更一般而言，正常社会不可能消除人们对他人隐私的打探，甚至恰恰需要这种信息传播来维系各类有机的社会联结。

第三，收集行为并不必然决定信息处理的结果，而后者相比于前者是隐私争议产生的更主要原因。例如，大规模的消费者数据泄露事件尽管常让观者愤慨、惊惧，但以此类事件为依据发起诉讼，面临的最大困难是法院很难确认此类事件导致的可通过司法救济的损害何在——对于绝大多数个人信息遭受泄露的消费者和用户来说，如果其信息并未被黑客或其下家实际使用，那么获取、占有信息的行为本身并不直接产生用户真正关注的损害。

因此，至少在隐私规范层面，“不看”的要求虽常获积极推崇，但其实际执行从不绝对，甚至很不严格。而即使某个社会中人们会经常违反“不看”的规范，这也不意味着隐私在这个社会中是受到轻慢的。

（二）不只是“不说”

“不说”则是对知情人的要求。知情人之所以获得他人私密信息，可能是、也可能不是其违反“不看”规则的结果。理论上，“只看不说”可能伤害到人们珍视的尊严价值，但现实中隐私争议及损害更多是由“说”而不只是由“看”引起。然而仅规制“说”的规范，其作用同样存在局限。首先，知情人“不说”，不代表其他人不问；而在他人通过询问等方式尝试收集信息时，知情人“不说”，不意味着信息就没有实现传递，即所谓“无声胜有声”。例如在刑事程序中，尽管嫌疑人或被告人均有保持沉默的权利，但当其行使这种权利时，人们虽在法律形式的意义上推定其无罪，并在程序的意义上预期检控方只能以口供之外的其他类型证据证明其有罪，但却往往会倾向于在事实意义上推测其“心里有鬼”。

其次，知情人面临的“不说”要求，通常不是绝对不说，而主要是限制其以可识别个体身份的方式进行披露。但附条件的限制披露规范常常很难保证达到预期的限制传播效果。社交媒体上的一类流行内容，其生产通常就是以这种附条件披露限制规范为基础。例如微博上名为“偷听BOT”的大号，曾被报道有近50万粉丝，而这些粉丝的共同爱好是喜欢“偷听”——或者更准确地说，“收集生活中不小心听到的对话”，并将其匿名投稿给自称是“机器人”（bot）但实为真人的博主在微博上发布。这种披露和传播之所以能为社会规范所接受，是因为这种披露不太容易导致信息主体身份被具体识别——特别是博主“机器人”的外观，尤其会给人安全感。“知乎”类问答式社交媒体中，存在识别风险更高的类似内容（如“你发现过上司的哪些秘密”），此类披露行为或许更逼近“不说”规范下合理披露的临界。

第三，知情人即使“说”了，但如果限定在特定网络传播范围——如家庭或紧密亲友——以内，则未必会给信息主体造成严重损失。事实上，虽然知情人被告知相关隐私事项时，往往同时会被要求“跟谁也不能说”，但这一般并不包含知情人的家人和朋友；也正因为如此，连亲人都要保密的情形——如参与两弹一星研发工作——才会成为值得特别书写的动人故事。

（三）“看破不说破”

尽管“不看”“不说”的要求是隐私规范的主体，但一个完整的规范体系理应包含其他内容，否则无法调整在“不看”“不说”之外人们围绕更为微妙的隐私预期而可能展开的复杂互动。例如，在公交或地铁车厢内观察到情侣之间的亲昵举动，可以立刻背身过去完全不看；可以直视，但不说；也可以用余光观察，但假装没看到。这三种做法都符合“不说”的要求，但其给包括情侣在内的他人带来的观感却大有不同。而社会规范的重要特点之一，就是更有可能关照、把握真实生活语境中行为在社会涵义层面的细微区别。

“看破不说破”的要求，只有在“不看”规范已被违反、私密信息遭他人获取之后才会触发。而对已经“看破”的知情人来说，“不说破”的要求与“不说”虽有联系，却又相互独立。通常来说，“不说破”要求知情人不但压制表达需求，更要采取某种行动掩饰其知情状态。但即使话已出口，社会基于“不说破”的规范，仍有可能期待知情人以某种形式、在某些范围内继续掩饰其知情状态。

这种掩饰行为及其追求的掩饰效果，又可基于人际互动语境区分为几种情形。第一种可称为“双向不说破”，即知情人的掩饰以同时避免信息主体和第三人对知情人的知情状态有所察觉为目标。“双向不说破”是较难实现的最理想掩饰效果。如果知情人只是“看破不说”，常常无法避免信息主体和第三人最终察觉其已然知情。一方面，只有知情人付出努力，才能忍受沉默、回避相关话题。而对于有趣或有价值的信息，第三人通常更有动力多方打探问询，此时知情人只有持续付出掩饰努力，才能避免自身成为被追问的对象。例如，至今仍不时被传扬（但已受批判）的所谓传统“持家之道”，有时会要求一方配偶在觉察另一方出轨后尽可能隐忍、不动声色，不仅不让“家丑外扬”，甚至要在面对另一方时也假作淡定、不知情，“难得糊涂”，把日子继续过下去。

第二种情形可称为“对第三人不说破”，即知情人的掩饰难免不被信息主体本人看破，或知情人并未试图向信息主体掩饰，但至少努力在第三人面前假作不知情。如前所述，对于信息主体来说，知道自身隐私信息被获取，严格来说已会受到隐私损害；但知情人如付出努力不对第三人说破，特别是不让第三人察觉出其是相关信息后续传播的可能源头，这对于限制隐私损害的程度和范围仍会有用。甚至，即使知情人的掩饰努力对第三人能否获得信息实际影响不大，这种掩饰也可作为知情人向信息主体本人发送的态度信号。一般来说，所谓“家丑不可外扬”，就是指即便对内坦白，对外也仍需掩饰。

第三种情形则是“对信息主体不说破”。有时知情人对第三人掩饰知情已无意义，因为后者已从其他渠道获取信息；或者知情人主动选择不对第三人掩饰，甚至在特定前提下向第三人作披露。即便在此类情形中，知情人可能仍会面临对信息主体不说破的要求，即在其面对信息主体时，仍被期望要继续试图掩饰其知情状态。这种掩饰可能以限制信息流动的实际效果为追求。例如养父母在收养子女未成年时往往努力让后者相信其是自己亲生子女，以期维系亲子感情。又如医生有时会考虑不对病人详尽告知其病情，目的是避免明确信息给病人造成过度心理负担、引发病情恶化甚至病人拒绝治疗、寻短见等不理性行为。但另一些时候，知情人的知情状态对于信息主体而言，其实无从掩饰。即便如此，知情人的掩饰行为仍具有积极的社交功能，而这一要求因此并非直观看来那样空洞无意义。例如，身边亲友牵涉负面事件时，哪怕传言早已满天飞，甚至路人皆知，但知情人在信息主体面前装不知道，也会有助于二者之间的沟通和交往——即使后者并不相信知情人真的毫不知情。又如，曾经拍过大尺度作品的演员，尽管知道观众不可能忘却这段历史，但也希望人们不要一直将其挂在嘴边。 

为什么处理隐私问题的规范系统，在“不看”“不说”之外，还需要包含“不说破”的规范内容？应当看到，“不说破”对于实现信息隐私通常关涉的各类社会价值都大有助益，甚至在一些情形中不可或缺。而识别“不说破”规范的功能也有助于我们更清晰地把握信息隐私问题及相关制度的社会属性。

（一）保密（Secrecy）

隐私的最直观价值在于满足人们对特定信息披露限制的需求。理论界一直认为，将隐私理解为保密是过于狭隘的，而其理由之一是即使对那些已在一定范围内被披露、因而在绝对意义上丧失了私密属性的信息，信息主体仍可能抱有合理隐私预期。在隐私侵权法中，第三方规则（third-party doctrine）的衰落足以证明社会日益认可这种范畴更宽的私密性偏好。

但当规范层面的保护预期从绝对私密信息扩大到相对私密信息时，如前所述，仅靠“不看”“不说”限制具体的收集和披露行为，并不能确保避免信息披露或传播的效果。特别是，为了保密，仅仅不说是不够的；“无可奉告”常等于“默认”，而有技巧的收集者只要能确定知情人身份，便有较大机会从其沉默中获取信息。因此，知情人对自身知情状态的积极掩饰，对于挫败第三人获取信息而言至关重要。特别是，当私密信息以特定小群体为披露边界时，即“群体隐私”（group privacy），每一个因其群体身份而有资格知情的人都会被期望积极掩饰，以最大限度提高第三人获取信息的难度：当圈外人对所有圈内人作知情推定时，真正知情的圈内人通常要积极作为才有可能在外观上与不知情的圈外人实现混同。

不仅如此，第三人收集信息有时不是出于个人好奇，而是基于其道德或法律义务，这种信息收集义务（“must ask”）往往在知情人的知情状态暴露时才会触发。因此，知情人掩饰其知情状态之所以提高了保密性，还在于其有助于减少义务驱动的信息收集活动。而这也减轻了第三人的负担——“举报”“告密”行为之所以常引发反感，除了因其使被举报人或被告密人遭受负面后果，还因为举报和告密行为会被接收举报者视为“添乱”，即后者不得不因此承受调查、核实乃至采取后续处理措施的工作负担。

（二）独处（Solitude）

借助隐私保护实现的“独处”常又被称为“不受打扰”（right to be let alone）或“安宁”，而这后两种说法意味着“独处”并不仅仅追求物理意义上的隔离，更强调精神层面的安和、清静。闹市中亦可取静，居家隔离也会有人心烦意乱；新英格兰上流人士Warren之所以奋笔疾书要求“隐私权入法”，并非狗仔队当场惊扰了其私人聚会，而主要是对事后街头巷议、评头论足的反感和担忧影响了他的心态。

由此来看，“独处”的重要价值其实是精神减压（relax），即人们希望至少在一些时候从面临诸多期待、约束、品评的社会生活前台退至后台，稍加喘息。当知情人本身是信息主体面临压力的主要来源时，知情人或许需要“不说破”，而不只是“不说”，才真正可能起到减压的效果。例如，导师催促研究生交论文，或编辑催促作者交书稿，都会导致后者面临巨大心理压力——催稿的艺术，因此不仅是容忍延迟拖沓，更要尽可能做出云淡风轻甚至不露声色，才能让被催的人不至于焦头烂额。又如，包括饮食禁忌在内的社会规范，其约束力有时来自个体有关他人施压的预期；而如果知情人不说破，则相当于给了个体规避禁忌约束的灵活空间。

（三）尊严（Dignity）

传统的尊严理论认为，“不看”“不说”的规范意义在于维护个体尊严感受免于未经许可的窥探和披露之害。虽然道德哲学家常将人格尊严定位为心性层面的主观体验，但尊严终究与荣誉、声誉、面子等具有客观载体的社会建构密切相关。因此，即使如波斯纳所说，一幅寄到荒岛的裸照也会导致尊严伤害，这种伤害与各类“艳照门”的主角实际感受到的尊严减损相比，恐难同日而语。换言之，尊严价值的实现或损伤，并非全有或全无，而应被视为一个连续变量。由于披露的程度和范围会与尊严的实现程度相关，因此知情人无论对第三人不说破还是对信息主体不说破，都有助于在一定程度上降低尊严损害。

特别是，在社会学意义上，由于尊严的一个重要来源是自我认知，因此即便只是对信息主体不说破，仍有利于信息主体塑造更为正面的“镜中自我”，维护其尊严感受：对于信息主体而言，即便知情人并不成功的掩饰努力，也可以被解读为知情人对信息主体抱有尊重和重视。

（四）掌控（Control）

信息隐私在较宽泛的意义上保障个体对自身信息的掌控。个体对信息掌控的追求在一些方面与其寻求自主（self-governing）、自在（to be let alone）有所重合，即尝试借助对信息可及性（accessibility）的控制，构建乃至扩展不受干涉的自主空间。但与抽象的精神自主需求可作区分的是，个体追求控制自身信息的一个重要理由常常是在具体语境中获得更为切实的安全感。如果一个人意识到其自身重要个人信息或许已被他人掌握，且后者有可能不怀好意，那么即使侵害行为和损害结果并未发生，信息主体也会因感到失控而惶惶不可终日。当代人对人脸识别等数据技术应用的强烈反感和抵触，应该就来自这些技术导致人们主观掌控感和安全感的丧失——即使这些技术造成了何种客观安全损害尚不明确。

但既然人们希望通过隐私实现的掌控及安全很大程度上是主观感受层面的，那么要求知情人承担“不说破”的负担就有重要价值。如前所述，仅要求知情人消极噤声，很难消解信息主体的忧虑——他只“笑而不语”，我便已经露馅！只有知情人积极掩饰才能把信息主体主观认知的风险降到最低。此处或可用证人保护制度类比：在证人人身安全风险较高的情况下，司法部门仅限制公众查询相关信息已经不够，甚至要为证人重建个人身份，而这相当于要求所有公共机关都掩饰其对证人真实身份的知情。

除保障其安全感受之外，更一般而言，知情人“不说破”还使信息主体能够自主选择何时何地以何种方式主动披露自身隐私信息——即使此类信息已在一定程度上处于公开或至少半公开的状态，但人际交流中的这种有限自主性仍为人们看重。例如，对于恋爱、怀孕、跳槽等消息，即使友人同事有所耳闻，但更体贴的做法不是因好奇而主动打探，而是等待事主本人择机主动公开（“官宣”），甚至此前尽量在事主面前避而不谈、故作无知。

最后，个体主张控制自身信息还有财产面向。传主兜售“我和某某某不得不说的故事”，厂家用明星肖像打广告，平台基于用户画像搞推送，这些经济活动都涉及将个人信息作为生产资料，由此会引起信息主体基于财产利益的掌控主张。基于传统理解，隐私规范保护财产性控制诉求的核心是使信息主体能够选择是否接受交易：有权要求他人不看不说，就意味着有权出售许可，让出价者看和说。但在具体交易语境中，信息主体为最大化预期交易价值，往往还会主张包括交易对方在内的知情人不说破。卖“人设”的明星或许是最典型的例子：成功的兜售不只靠封口，更离不开身边人、媒体乃至粉丝对人设的共同悉心维护。

（五）亲密（Intimacy）

隐私的重要功能之一是促生、维系亲密关系。信息主体有选择地向特定对象披露私密信息，往往是与后者建立或增进亲密关系的基本手段；完全无隐私的社会则使人们缺乏这种有效区分界定不同人际关系的能力。但知情人如果只是自己不说，却不在意私密信息的实际传播状况，这有可能降低人们为建立亲密和信任关系作出信息披露的激励。此外，对信息主体“不说破”，有时也是信息主体与知情人之间维持关系的重要方式。前文提及对亲友丑闻作不知情姿态的例子，便可体现这一逻辑。

更微妙的是，在关系亲近的个体之间，一方其实往往会预设另一方为己方私密信息的知情人，而此时若后者仍致力于掩饰知情状态，这种行为就会具有特殊的信号意义，即向前者表明自己高度重视双方之间的亲近关系；而这种信号仅靠“不说”，未必能达到相同的清晰度。

（六）体面（Decency）

常与隐私发生联系的各类价值中，“体面”（decency）或许是社会属性最强的一种。体面的意义主要不在个体，而在群体；对隐私信息的不当传播，伤害的看似是特定个体的脸面，但往往延及整个社会的体面、秩序乃至公共福祉。例如Warren & Brandeis就指出，“黄色新闻”泛滥的最大弊端在于败坏公众的道德胃口，占用宝贵的社会认知资源，而不只是造成某些社会精英丢失颜面。Lawrence Friedman则更加坦率地指出，维护社会精英的声誉资本本身就是社会体面的题中之义。

一个体面的社会，也便是一个需要强调“不说破”的社会——哪怕那些不能说破的事情，原本无论如何都不可能没人看破。在特定语境中，甚至连天职即为看破说破的媒体，都有可能为体面选择“为尊者讳”：例如肯尼迪总统在位时期，美国主流媒体记者对总统与梦露的关系，便曾集体装聋作哑，不予报道；与其说这是为总统声誉考虑，更不如说是考虑到总统声誉与社会体面之间的息息相关。

而从体面出发，我们也更容易理解一些国家当代在制度层面对数据画像应用的抵制。例如，法国2019年出台所谓“司法大数据禁令”，禁止结合法官身份信息开展司法裁判行为数据分析。这一禁令表面看是为了保护法官的个人信息，但说到底更像是要维护司法机关作为整体的体面——几乎可以肯定，在任何国家，但凡结合法官画像分析裁判数据，不但必有让不少法官难堪的发现，而且很可能引发人们对形式化法治信仰的动摇；而要维系司法权威体面，就最好不要像法律现实主义者那样什么都要说破。

上一部分的梳理应表明，“看破不说破”是当代社会的隐私规范中通常都会实际包含的内容——也正是在这个意义上，本文将其称为一种“基础”隐私规范。但和其他任何规范一样，这一规范并不“普适”，有其局限和边界，并且“基础”在此处不意味人们可以毫不费力地准确把握、遵行“不说破”的要求。实际上，社会并不期待乃至强制所有知情人在看破后绝对不在任何范围内、不对任何人说破。抽象而言，“看破不说破”受限于个体在人际互动情境中的自利计算；在社会层面，其适用边界则应出现在不说破的边际社会成本等于其边际社会收益之处。

（一）局限：个体理性

“不说破”要求知情人为掩饰其知情状态而负担一定成本，这其中至少要包括压抑表达欲望和积极采取掩饰行为的成本。知情人之所以会作如此选择，既可能是由于其自身福利计算中包含了对信息主体利益的考量（即所谓“利他性自利”），也可能是出于更加纯粹的自利动机。在战争中，敌对双方各自会想尽办法掩饰其已获得对方情报的状态。在交易中，“买家注意”（caveat emptor）规则下的卖家会掩饰其对交易标的缺陷的了解以谋求更高利润，而精明的买家反过来也会掩饰其对交易标的隐藏价值的发现以求压低价格。而在信息隐私经常关涉的人际社交语境中，掩饰知情对于知情人的私人收益，至少包括避免成为第三方问询对象、减少麻烦，甚至通过选择性忘却求得内心安宁、“眼不见为净”，等等。

但不难想见，如果相应场景中不存在足够有力的第三方执行机制，知情人的上述自利计算并不能保证其将主动选择遵守“不说破”的规范。首先，一些时候知情人“不说破”的私人成本有可能超出其私人收益；两相权衡，知情人会认为说破对自身更为有利。例如，各类在传统上被认为不可外扬的家丑中，家暴常会在受害者无法继续隐忍时被彻底揭穿，暴露在世人面前。而“双向不说破”对知情人的负担则尤为沉重。一方面，知情人面对第三方不说破的私人成本可能过大，特别是因此可能丧失知情人极为看重的与第三方发展、维护亲近关系的机会。另一方面，知情人是否会努力对信息主体不说破，取决于知情人与信息主体之间关系的性质；极为亲密或十分陌生，都会导致知情人缺乏不说破的激励。典型的例子仍是“家丑不可外扬”：即便在外人面前愿意尽力掩饰者不少，回家后仍能坚持隐忍的却肯定没有那么多。

其次，无论在“对第三人不说破”还是在“对信息主体不说破”的情形中，只要知情人明确放弃了对“双向不说破”的追求，那么任何一种“单向不说破”都未必会是知情人的均衡策略。简言之，隐私法上“第三方规则”所预设的信息传播机制（信息向一人披露后即可视为已向全世界披露）虽不符合全部、但至少对应部分现实经验：当知情人放弃对第三方不说破之后，其是否继续对信息主体掩饰，往往取决于知情人是否认为信息主体仍会对掩饰有所期待；但当信息主体获知知情人已对第三方说破后，他便可能不再看重知情人面对自己时还是否故作不知，或甚至将进一步的掩饰视为虚伪——而考虑到这一点，知情人对信息主体不说破的激励也会减弱。反过来，一旦知情人对信息主体放弃不说破，那么知情人也有可能认为信息主体未必会继续抱有对第三方不说破的预期，并因此失去了承担在第三人面前继续掩饰的动力。

再次，“不说破”有时之所以成本较高，还可能因其需要多人合作完成，而集体行动问题（每个人都想最小化自身掩饰成本）会导致谋求“不说破”的合作无法实现。在一类典型的生活场景中，几个朋友相约去聚餐或开展其他活动，因有意或疏忽而落下了另一位圈中熟人；事后为避免尴尬，最佳策略是所有参与者均掩饰此项活动从未发生，但这往往因协调和合作方面的困难而失败。

（二）边界：公共利益

隐私规范寻求实现的从来不是绝对意义上的说或不说。即使是隐私法上貌似简单的公共官员隐私问题，其规范判断也不是绝对的“可看可说”或“不可看不可说”，而仍要讨论官员私生活在多大程度上与其公职表现有关，甚至官员就私生活问题撒谎在多大程度上会导致公众对政府的信任降低。换言之，任何隐私问题最终要落脚到社会福利权衡上。

就此而言，抽象地看，“看破不说破”的要求应止于知情人掩饰知情的边际社会成本等于掩饰的边际社会收益之时。但当不说破的边际社会成本超出边际收益时，要求知情人不说破对信息传递与表达的限制可能过度。首先，知情人追求“不说破”，尽管可能有维护体面等收益，但过多追求“不说破”会增加人际交往中的信息成本。无言的交流有时会增加误解，而误解可能导致知情人原本希望通过不说破获得的交往效果落空。沉默并不总是金，无声也并不总胜过有声；就保证效率而言，一个社会不能要求人们在日常交往中过多猜谜、阅读“扑克脸”。

其次，不难想见，知情人为了重要社会公共利益，应当把看破的东西说破。例如，法律保护来自特定组织内部、了解组织情况的举报者［即所谓“吹哨人”（whistleblower）］，甚至在包括侦查办理有组织犯罪、职务犯罪等语境中要专门鼓励揭发、检举，其基本依据正是相关隐秘信息得以公开、传播具有重要的正面社会价值。

即便在民事领域中，许多隐私争议的核心，与其说事关“不看不说”规范的适用，实际上更应被理解为要不要说破之争。例如苏力曾专文从隐私角度讨论的“文怀沙案”，要害其实就在于“说破”——未必只有李辉一人看破了文怀沙本人说辞和旁人鼓吹中站不住脚的地方，但他先忍耐不住，要把人们普遍抱持的怀疑挑明，由此招致诉累。按照苏力的分析，李辉在此说破，其社会积极意义——戳穿虚假文化偶像——大于文怀沙个人颜面信誉丧失的负面后果，因此法律的天平应向认定李辉不承担侵权责任的方向倾斜。未必所有人都会同意苏力有关此案对错的判断，但他的聚焦无疑是准确的：此案真正值得争论的问题，是社会应否要求李辉这类人为了某种更大的公共利益（存在吗？）不说破，并由此使公众无法准确辨别文化偶像的真伪。

这一部分将结合信息隐私法领域中的若干具体问题，分析、展示“看破不说破”的制度意义。尽管此前少有相关梳理，但“看破不说破”的规范内容其实已经体现在一些既有法律规则之中，且对于反思制度演变、想象制度发展也有重要启示。

（一）公众人物隐私

以娱乐明星为代表的公众人物往往表白渴求“私人空间”，言下之意是法律和社会规范实际为其提供的不受媒体和公众检视的行为空间不足。但公众人物隐私偏好的核心往往不在于独处，而在于掌控，尤其是对公众关注的收放自如。例如当出现在机场、车站以及其他公共空间时，许多公众人物并非不愿他人看到或认出自己，或不希望粉丝上前讨要签名合影，而是希望自己能够“hold”住场面——甚至其最享受的状态恐怕是周围人都以偷看的方式关注、窃窃私语却不敢上前打扰。换言之，对于被关注者而言，最优的关注水平就是关注者“看破不说破”。

这种偏好很难满足，也更难借助社会规范乃至法律予以保障（除非是针对酷吏的“道路以目”），但许多围绕公众人物而生的隐私争议实际上还是与此种期待有关。例如由著名的杨丽娟追星事件引发的诉讼中，杨丽娟和杨母对《南方周末》报道的主要不满，不在于后者对事件进行了关注和追踪报道，而在于其说破了杨氏一家人离奇举动源于身世性格这一所有人此前都应已看破的事实。又如在伊能静与天津《卫视周报》的讼案中，前者的主要不满也未必是媒体报道其恋爱，而更在于娱乐记者带有“主观评价”色彩、由此超出“客观报道”的解读。换言之，公众人物以隐私之名向媒体发难，表面看是控诉后者违反了“不说”的规范，但更可能是抱怨其没有如前者所愿把握好“说”与“说破”的尺度。

但公众人物为什么会对媒体抱有看来完全不切实际的期待（“看破，要说，但不能说破”）？原因之一是公众人物的知名度和美誉度之间并不具有完全替代性：后者的市场价值往往高于前者，且二者之间可能存在冲突（“臭名昭著”），这使得公众人物一方面追求最大限度获得传播，另一方面又忌惮负面传播导致有实际支付意愿的受众减少。由此看来，公众人物隐私诉讼虽在制度上已不再依附于名誉权诉讼，但大多数情况下，其性质仍是名誉权诉讼——例如前文提到的文怀沙案，显然仍应被理解为名誉权纠纷。只有当“脑残粉”真正成为公众人物竞争的主要甚至全部受众时，美誉度才可能会被知名度完全吞噬，而公众人物由此对媒体“不说破”的需求降低，有关隐私和名誉权的法律诉求也会减少。

（二）“被遗忘权”

狭义的“被遗忘权”直接源自欧盟法院在Google Spain v. Gonzalez一案中的判决，指搜索引擎承担的根据信息主体请求将包含特定“过时”不利信息——如个人破产公告、违法犯罪记录、“失信”行为记录等——的网页不继续在搜索结果中显示的义务；而更宽泛意义上的“被遗忘权”则涵盖各领域中有关要求信息控制人不再披露、使用乃至保存特定“过时”信息的制度，甚至还涉及“过气”公众人物在主动退出公众视野多年后可否主张享有与普通人相同水平隐私保护这类更为传统的隐私话题。

无论在狭义还是广义的“被遗忘权”制度中，以搜索引擎为代表的一类信息控制者，因其数据处理行为的核心就是对处理结果加以展示，因此法律能够对此类“知情人”提出的有意义的规制要求，不可能只是“不看不说”。基于Google Spain案中法院给出的操作方案，Google需要做出的业务改变，是在原先的普遍抓取、编制索引、基于机器算法呈现搜索结果的基础上，增加事后根据信息主体请求重新恢复特定信息不显著性（obscurity）的机制。这其实就是一种“不说破”的要求：作为公认当世“知情”最多者，搜索引擎并不需要、也无法消除原本的信息，或真正地让任何已对相关事实知情的人“遗忘”，而只是要在随时面临无以数计的问询时，将自身对外的姿态从知情变为不知情（强调“对外”，是因为Google当然继续知情，只是在面临特定法域居民用户时作此种姿态而已）。这种不说破的要求为Google带来的私人运营成本及其社会成本，近年来已受到越来越多的关注和争议。

而适用于作为信息控制者的公共部门时，“被遗忘权”制度的核心要求同样应被理解为“不说破”。以我国社会信用体系建设领域中近年受较多关注的“到期删除”和“信用修复”制度为例，当下信用监管实践和社会信用立法过程中较常出现的一项相关疑问乃至争议是，负面信用信息到期或失信行为被主动“纠正”后，相关负面信用记录应从信用系统中被彻底删除，还是应将其另行保存并变为不公开、不予查询的状态，抑或只是在原记录基础上新增一条到期或修复的记录？尽管法律界倾向于更彻底的个体权利保护，即完全删除记录，但业界存在的另一种看法是，信息完整性有重要价值，特别是在信用修复的语境中，理性的市场决策者会同时参考修复记录和失信记录，由此使信息主体获得真正适当的处遇。

然而在操作层面，由于信用信息平台的运行以公示和开放查询为基本原则，因此即使国家和地方立法要求公共信用信息机构删除到期或已经修复的记录，也很难保证已被公开一段时间（修复）、甚至长达五年（到期）的失信信息在与当事人利害相关的各类语境中一律消失。因此，至少在政府主导的信用规制领域，失信记录到期和修复的关键，不只是原信息的可获取程度能否或以何种方式降低，而是所有原本知情的机关及其他社会用信主体都承担特定注意义务，不但自身不再使用已到期或已修复的信用信息，甚至还要明确对外宣示相关信用信息不再构成决策基础。例如，当某机关基于既有的黑名单和联合惩戒机制，原本应根据负面信用记录对信用主体采取联合惩戒措施时，如相关信用记录已到期或已被修复，该机关此时需要付出积极努力，运用不同的决策方式，即假定其对相关信息从未知情，并据此做出给予信用主体何种待遇的决定。理想状况下，这种不说破的规范可借助数据技术手段、特别是在更为自动化的决策流程中获得有效实现。

（三）消费者数据保护

消费者数据保护制度至今仍主要以规制信息收集行为的规范为建构侧重。但在免费互联网及所谓大数据商业模式已历经十数年甚至更长时期发展的今天，海量消费者数据早已广泛为平台企业、数据中间商乃至灰黑产业所掌握。5G和物联网的未来普及，则将使得收集规制的现实意义变得更小，“不看”甚至“不说”（未经许可不得披露、交易给第三方）的规范将在很大程度上仅具宣示性。如果数据全面收集和共享/多方控制本身是不可逆的趋势，且具有正面的价值生产意义，那么数据保护制度的核心和侧重，也必然并已经转向对数据控制者、处理者乃至交易中介的使用行为规制。

至少在一些相关领域中，从“不说破”的角度切入能够为建构和适用规制消费者数据使用行为的法律规范提供有重要启发的思路。例如，作为主流互联网商业模式基本内容的个性化广告、推送乃至搜索呈现等涉及消费者数据处理的经营行为，之所以常引发舆论争议，甚至以隐私之名进入诉讼，一个重要原因是其给消费者造成了负面的“观感”：即使消费者明知其线上行为数据被持续收集，甚至因“无脑打钩”、继续使用服务而被视为许可这种收集行为，这也不意味着消费者就当然愿意接受这种毫无节制、简单粗暴（“in your face”）的“个性化”信息呈现。

以曾经备受关注的朱烨诉百度案为例，二审法院认为百度无需担责的原因是朱烨已同意了百度的隐私政策，且cookie的使用不涉及朱烨具体身份的识别与披露。但法院显然没能充分考虑的问题是，到底是什么使朱烨“感到恐惧，精神高度紧张，影响了正常的工作和生活”？是朱烨笼统许可的不识别个人身份的数据收集和使用行为，还是朱烨显然并不希望时刻跳出在眼前、让自己不停后悔曾“手欠”的“减肥”“丰胸”和“人工流产”的广告推送？为什么朱烨许可了前者，就必须容忍后者？就个案而言，我们可以质疑朱烨是否过于敏感、矫情，但令人感到别扭、不快乃至自惭的个性化推送对大多数网络用户而言都不陌生。如果个性化推送的基础是所谓“智能”算法，要求这些算法在进行推荐或结果呈现时足够“智能”、足够“体贴”地照顾到用户对“不说破”——例如不提醒其曾有不甚“光彩”的网络浏览历史——的需求，难道就过分吗？

由此延伸，2018年出台的《电子商务法》第十八条中要求经营者提供不针对消费者个人特征的所谓“自然搜索结果”，虽然常被批评为涵义不清（严格来说，搜索结果几乎无法不结合个人特征），但从“不说破”的角度入手，或可更容易地解读这一条文：即使经营者在提供搜索结果时无法避免使用与消费者个人特征相关的信息，但其在呈现结果时不应让消费者有明显的正遭受不利差别对待（“歧视”）的感觉。结合某种类似“用户感知标准”的规则，可以使第十八条的要求变得较容易操作——当然，由此会引起的进一步问题则是，经营者如只投资于确保“不说破”的观感，是否就构成“充分”的消费者保护。

（四）数据监控

数据监控（dataveillance）是当前信息隐私领域学术和公共话语争议的焦点。主流隐私理论与制度实践均在原则上反对非公开或不透明的所谓“监控”行为——无论政府还是商业主体实施的数据收集及处理行为，只要是在信息主体不知晓时发生，通常便会被推定为缺乏正当性。

考虑到秘密监控在中西政治历史中素有恶名，人们有充分理由担忧新技术条件下数据监控遭到更严重的滥用。即便如此，仍然值得思考的问题是，对数据监控“公开”“透明”的要求，应是绝对和普遍的吗？当特定场景中存在有公共利益理由的监控需求时，让信息主体明确知晓监控行为的存在及其具体实施方式、范畴，是否总是必要、合理、可欲？

不难想见，监控者至少在一些情境中可以有正当且合理的理由对监控的存在不予“说破”。例如，据报道，一些高校近年来在资助贫困生时改变了以往公开、公示的模式，转而利用收集分析学生校园卡消费数据，识别出困难生，直接通过校园卡系统向其发放伙食补助。这种基于数据监控实施的“精准扶贫”，之所以会被媒体评价为“暖心”，显然正因为相关操作追求隐蔽性——学校不仅对其他学生掩饰了困难生的个人身份，而且在一定程度上也对贫困生掩饰了其获得补助的理由，由此寻求最大限度上照顾相关学生的心理感受。这种“不说破”的操作无疑会引起透明不足、监督不力、公信不够等常见质疑。但权衡而言，鉴于此处公共监督的必要性有限，降低监控能见度的合理性就相对充足。

而各行业管理者近年来多有引入数据监控以求提高管理效率的尝试，这些尝试之所以常引发激烈的负面反馈，除与人们对数据泄露风险的忧虑有关外，一些措施的实施方式在外观上显得缺乏节制、毫不体贴，也是重要原因。例如，一些学校曾向课堂引入AI情绪识别系统及其他所谓注意力监测辅助技术。尽管一经曝光就饱受抨击，但平心而论，这类技术未必真的无助于教学人员更好地了解学生学习状态，制定更合理、更因材施教的教学方案。然而，如果相关系统的使用确以提升教学效果为目的（而不只是官员为出政绩做样子），那么教学单位对这一数据监控工具的使用就不该如此大张旗鼓——如果学生在课堂上不那样直观地时刻感受着监控的存在，教学人员获得的数据对于他们检省、改善教学效果恐怕有更大价值。类似地，餐厅经营者为提高服务质量和顾客满意度，会考虑使用基于人脸和图像识别技术的监控系统，实时掌握服务员对客人的服务情况及服务员人力的空间分布等信息。对于原本就应假定自身处于雇主监督之下的服务生来说，或许只有在摄像头的布置清晰显见到使其时刻有类似囚徒的感觉时，他们才会尤为不满、反感，甚至有动力抗议或规避相关措施监控，而这反倒会造成本不必要的经营秩序扰乱。换言之，节制甚至隐蔽的监控外观，不但有助于监控者实现监控的效果，也更可能为被监控者所接受——即使被监控者对监控的存在本身并非无知。在相关争议中，无论监控的支持者还是异议者，都很少将监控采取何种外观作为独立于监控是否实施的问题加以讨论，但“不说破”的逻辑提示我们前者不应被忽略。

即使在数据监控由国家权威机关实施、因此尤其需要通过公众知情、监督实现制衡的语境中，监控对于被监控者的透明和公开也不应被视为绝对甚至机械的教条要求。国家安全领域中各国政府实施的监控通常都是不透明、不为社会一般公众知情的。尽管这一直以来被批评者认为导致了掩饰政府滥权的恶果（例如斯诺登事件），但除了显而易见的策略原因（监控泄露则失效）之外，如果国安领域中的监控以维护整体“安全”为目标，那么对于普通民众而言，或许不了解国安部门的日常工作，包括具体的监控工作，他们体验的安全感其实反而更高。

当然，即便政府以保障、提升民众安全感为追求，其是否可采取隐蔽、非公开的方式实施监控，仍需先权衡相应语境中同时存在的支持公开透明的公共利益理由。但要求公共机关中的决策者在每个情境中都把握好“说破”还是“不说破”的微妙分寸，难度或许过大；特别是当公众不信任政府能够因地制宜、合理把握监控的最优透明度时，原则上先行对政府数据监控制定一刀切式的透明、公开要求，更容易被接受为具有正当性。然而即便如此，任何“一刀切式”的规则终究还是要允许例外。而法律制度在当下和未来设计允许隐蔽监控的例外规则时，可以从“不说破”的思路切入，慎重辨别何时确有必要通过隐蔽监控方能既满足政府信息收集需求、又避免造成公众不便、反感甚至抵触。

随着“疫情防控常态化”，各国政府都面临的一项巨大治理挑战，是在保障安全的前提下最大限度恢复社会经济正常秩序、允许人员跨域乃至跨境流动。对公民个体更为全面、不留死角的数据监控，几乎是可以想象的唯一两全——但却不是万全——之策：为了安全和生计，社会将不得不缩减可被承认的个人隐私主张的范围。但即便“不看”“不说”的规范将更少限制政府收集、披露公民的健康、位置、轨迹和社交等信息，基于“不说破”的逻辑维持或重建另一些信息规则，或许有助于降低人们感受到的隐私侵害。例如，复产复工复学追求、需要“内紧外松”，意味着“健康码”及相关监控措施不但被持续使用——而不像一些地方早前曾发出的信号所显示的那样，会尽快退出，而且生成健康码的底层信息将日益全面、动态更新且在更大范围内实现机构共享。在此背景下，公众将越来越难以知晓健康码生成以哪些数据为基础。但健康码这种黑箱的属性或许反会使公众更少忧虑：假如有关部门持续使用我的精细社交数据和旅行轨迹分析我的感染风险，那么在其没得出高风险结果时不向我透露相关数据分析的存在，我应该是更加安心的。又如，一些国家开发的用于追踪确诊患者密切接触人员的智能手机应用，强调相关人信号位置数据只在手机本地存储，政府或第三方在启动密接人员追踪前因此并无一般性获取机会。不难想见，既然苹果手机的端对端加密都不难被破解，“本地存储”更像是对机主“不说破”式的心理安慰——但这种宽慰在全面监控的时代是有重要意义的。 

如本文开篇有关拥挤公共空间的讨论中所指出的，个体对自身私密信息的守护往往并不严密，因此其信息被他人获知，本人在某种意义上可谓有“过错”。但这不意味着信息主体就此丧失了其在社会规范层面可被承认的一切合理隐私预期。而在更广泛的生活场景中，不需要有太多想象力也可知道，我们每个人如今都常处于与拥挤的公交地铁上“冒险”玩手机的乘客相差不大的境地。当各类信息已被他人收集之后，即使自己对此有“过错”（“手残”/上网习惯不好/反监控技术能力不足），也不意味着我们就此丧失了对信息控制者遵守特定法律或社会规范要求的“合理预期”——特别是超出“不看”“不说”之外，有关“不说破”的期待。

本文指出，相比于传统隐私理论集中关注的“不看”“不说”，在全面收集、广泛处理的当代信息环境中，“不说破”在信息隐私制度中的规范意义正变得更加突出，也更显示出其基础性。即便认定人类社会已走上大规模数据监控的“不归路”，信息隐私的规范和制度也仍可借助对“不说破”的理解、挖掘和想象，在新的时代和实践中获得有意义、能让人感到效果的重构。

当然，至少在可预期的未来，人们恐怕很难接受隐私规范中“不看”“不说”的要求被全部掏空，而只剩下“不说破”强撑门面。但后者在哪些领域、在何种意义上确实无法替代前者？在什么时候，即使可以保证“不说破”，人们还是会倾尽全力谋求“不看”“不说”？从“不说破”出发反向推导，也将有助于我们在底线的意义上，为“不看”“不说”这两种因代价日益高昂而越发难以维持的隐私规范找到其更为适当的时代定位。

〔本文为国家社会科学基金一般项目“非正式规范的法律规制”（16BFX015）、2017年度教育部哲学社会科学研究重大课题攻关项目“大数据时代个人信息保护边界与策略研究”（17JZD031）及凯风公益基金会“凯风沙龙·网络法的理论与视野”项目资助〕