编译：对外经贸大学金融科技实验室
编者按
在全球个人信息保护法律中，“知情同意”原则一直是基础性制度。但是，人们日益发现：“知情同意”机制在风险分担、个体决策、商业模式方面问题重重。症状显而易见，关键是灵药难寻。于是，我们不得不宽慰自己：知情同意固然鸡肋，但有比没有好。事实上，正如二维空间的生命永远无法看到三维的捷径（“虫洞”）一样，网络法的盲区恰恰在于忽略了“技术维度”。最近，世界经济论坛与斯坦福法学院将知情同意置于“人机交互”的背景下，激发出前所未有的创造性思维，从而对信息收集、使用、保留和披露的各个方面重新设计框架。
在《数据隐私的重建：重构人机交互中的“知情同意”》的白皮书中，他们提出来一系列的洞见：
“知情同意”是人机交互的一个核心问题，需要一个跨学科的专家小组从设计和技术的方面来解决它。它不能被孤立地看待，且不是律师、决策者和工程师的专属领域；相反，设计师、人道主义专家和创造性技术人员也必须在谈判桌上占有一席之地。
现有方法既不扩展传统的数字用户界面，也不扩展无屏幕物联网设备、智能城市或其他连接环境的新兴世界。任何对“通知和同意”的重新思考都必须是可扩展的，并能够预测一定的紧急情况。
同意的概念和征求同意的机制反映出现有机制忽视伦理和规范价值问题。非自由作出的、未告知的或者是胁迫下的同意，事实上都是有缺陷的。同意程序必须向同意方提供实质性的选择，包括在事件发生后撤回同意的能力。当前“接受或离开”的模型事实上并不提供有意义的同意选项。
动态的、不可预测的数据使用和重新使用需要基于积极强化的动态的、积极的政策响应，而不是采用基于惩罚的、静态的、被动反应的监管政策。因此，影响激励的积极监管是在这一领域实现变革的潜在手段。
尽管有大量的研究提供了特定的设计建议以改善现有的机制，但我们仍需要对机制进行根本性地完善，以实现既可扩展又可纳入道德标准的机制。
——对外经济贸易大学数字经济与法律创新研究中心执行主任 许可
摘要
随着时间的流逝，我们的生活越来越依赖数字服务。全球超过53.6％的人口参与线上生活，且约93％的人口生活在3G或更好的移动网络条件下。从重要的日常服务（例如从医），到在线订购食物，或只是上网冲浪，我们对数字服务的使用和依赖程度一直在以指数级增长。
同时，我们与科技交互的方式也在不断发展：例如，一些基于屏幕的互动正在转变为基于智能语音界面的互动；持续在线的传感器逐步全面嵌入我们的生活环境中。但是，无论该界面是否有形，其都经常要求我们同意其收集和使用由我们提供以及与我们有关的数据。但是，我们当中有多少人真正了解这到底意味着什么？当我们被如是问到时，此类工具是否以从根本上保护我们最大利益的方式进行收集和使用？此外，一旦我们授予请求的访问权限，是否拥有撤销同意的权利与途径？如果我们没有真正获得选择的权利，那些由于提供的决策辅助信息过于复杂而无法撤销同意或缺乏明智的决定，是否能够真正给予同意？
当给予我们同意的选项时，就意味着我们有能力作出决定，就意味着我们拥有决定哪些数据可以被控制、可以由谁控制、可以在何处进行处理以及用于何种目的的权利。而在我们的生活中，这种“同意”已变得虚幻，并且通过其当前的设计和安排，并非总是以预期的或甚至是合逻辑的方式运行。在可见的未来，随着网络越来越多地渗透进生活，我们还将继续提供更多的个人信息，点击更多的“同意”框，并不断寻求限制我们与我们打算使用的服务或产品之间的任何障碍。
当人们在某个时间点授予公司或组织的权限成为将来处理一切数据问题的通关标准，这一时刻变得极为重要，也许远远超出了可以想象的范围。
关于如何使用有关某人的数据来设置规则的默认方法通常取决于所谓的“通知与同意”规则。在数据保护和隐私（或更广泛地说是信息或在线数据隐私）的文义中，“通知与同意”是向公众提供有关组织打算从个人那里收集什么信息以及他们打算如何收集信息的主要手段，同意就是数据主体承认并同意数据收集关系的条款的程序。正如本文将详细探讨的那样，目前对该过程如何起作用存在各种担忧。这些疑问如下：目前的流程是否有效地向人们述明收集和使用其个人数据的相关问题？是否为人们提供了有意义的选择？以及现有的机制是否满足公众的需求？
欧盟通用数据保护条例（GDPR）的颁布以及美国加利福尼亚州消费者隐私法案（CCPA）的提出，大大增加了完善当前数据保护和隐私规范中缺陷的紧迫性。特别是在美国，基于对“通知与同意”机制的依赖，其有可能在近期通过联邦一级的隐私立法，若没有一个早就应该考虑的对“通知和同意”机制的改善，这将会成为政策发展中一个错失的机会。
在全球范围内，各国在考虑制定自己的数据保护措施时，也都会同时借鉴GDPR和CCPA的相关规定，这使我们在选择如何在这些新的监管环境中解决“通知与同意”问题时产生了很大的争议，令现有机制不受影响的新法律或政策有可能无限期地使它们永久化。
在本文中，我们从两个互补的角度研究了该主题：如果我们接受“‘通知与同意’不能成就最初的设计该制度目的”这个结论，该如何加以改进？在“条款和条件”框架之外的替代制度是什么样的？
第一部分：人机交互中 同意数据收集和处理的挑战
介绍
越来越多的司法管辖区通过立法来建立数据保护和隐私制度。此类规则旨在根据管辖权和法律，使数字服务供应者、政府甚至其他个人在收集和处理有关某一信息主体数据的过程中受到一定程度的控制。尽管制度上存在差异，但我们看到在方法上出现了共同的主题。关于数据保护和隐私的大多数法律的核心是法律依据，或者收集和处理有关某人的个人数据或个人身份信息的合法依据。换句话说，这些法律中的大多数为合法收集和处理有关个人的数据构成了条件。
对于实体来说，确保其有权合法地处理有关某人的个人数据的最古老、最直接的方法之一就是简单地寻求该人的许可。尽管从理论上讲这听起来值得称赞，但是当我们作为个人收集的数据量大大增加并且处理数据的复杂性急剧增加时，这种方法是否仍能充分保护个人，就必定存在一些疑问。
尽管许多人认同全球数据保护和隐私政策所依据的基本原则的优点，但许多和维护所依据的基本原则，但研究人员、政策制定者、公众和行业之间都达成了广泛的共识，即“通知和同意”当前对个人数据收集和处理的要求实际上已经使人们难以实现简化步骤的目的变得难以实现，而无须进行大量简化。这种机制通常表现为：在屏幕上显示隐私政策的通知，这是为大多数人所熟悉的，通常是个人被要求打勾以表示同意数据收集。但是，从程序上讲，该机制甚至没有满足简化需求。
此外，由于人机交互已然超出了屏幕，因此它们之间的歧义也越来越多。个人应如何同意由IOT设备收集环境数据，例如，通过传感器在无屏幕的情况下从环境中收集个人数据？人们应该如何理解通过人工智能算法进行数据处理？
在本白皮书中，我们详细探讨了我们如何发展到当前境地、要去往何处以及如何更好地鼓励消费者和企业改善收集和处理个人数据的隐私规范。
“通知”的相关问题
“通知和同意”机制存在的问题既广泛且有据可查。当呈现点击同意、隐私政策或使用条款声明页面时，大多数人都会反射性地选择“我同意”。大量有关隐私和数据收集注意事项的学术研究表明，公众不会阅读这些事项，如果阅读也可能不会理解它们，甚至许多人会误解其目的，通过通知来呈现的隐私策略的存在意味着，实际上，当隐私通知不能保证隐私时，收集数据的实体可以提供一定程度的数据保护。由于所提供的条款通常是“接受或离开”，因此拒绝接受通常会导致人们拒绝寻求的产品或服务，从而抑制了消费者接受条款以外的其他任何行为。
通知的时长
首先，从根本上说，由于篇幅太长，隐私政策，服务条款和类似类型的在线通知几乎普遍不具有可读性，且公众没有时间阅读它们。
通知的可读性
由于通知和政策本身主要是由律师撰写的，对于律师而言，它们对于大多数公众而言都是难以理解的，甚至是难以理解的。信息系统学者Ewa Luger及其同事的研究表明，在英国，一系列条款和格式文本的阅读水平“远远超出了具有功能素养的成年人所期望的水平”，这引发了有关可及性和个人的关键问题。尤其是鉴于许多隐私政策和类似声明包含法律行话或模糊语言，使得公众难以准确了解公司遵循的做法。2019年，《纽约时报》针对隐私政策进行了一项研究，发现同样地，主要技术消费公司的隐私政策的编写水平远远超出了美国大多数公众的技能。
简而言之，仅是限时承诺和可理解性问题本身就对公众在就产品和服务作出知情决定方面提出了重大挑战，这样的问题普遍存在于面对想获取其信息的私营部门和公共部门时。
通知的频率和流程的可扩展性，即“同意疲劳”
“通知与同意”机制的一项核心挑战是，基于“通知的同意”的模式根本不能与通知的频率和普遍性相匹配，也就是说，即使我们使通知更短、更具可读性，因此能够迎合更广泛的受众，但我们仍然不能解决的问题是：在很多情况下，个人被要求就他们的个人信息作出决定，这些决定往往具有约束力、持久，而且根据管辖权，有时是不可撤销的。M.C.Schraefel教授及其同事为认为系统应具备一个他们称为“透明”的概念：首先，通过发出信号使系统或设备实际上正在做什么透明化（例如收集数据）；然后，使其既具有描述性，又透明地说明系统的功能（例如通过书面政策）并通过证明在使用上做到透明（例如通过审计）。
通知的呈现形式和时间安排
另一个相关问题是与同意有关的决定的时间安排。在某些时刻（通常是在首次注册服务时），个人通常以“接受或离开”的方式被要求做出关于其个人数据收集与使用的决定。在这些时刻，他们可能没有足够的精力充分参与当前通知机制所要求的过程。
研究还表明，向个人显示通知的时间、视觉设计和机制语言可能会影响与隐私相关的决策。
例如，用户对某项服务越熟悉，他们就越倾向于感觉到他们与该技术的交互所带来的影响，而这种方式并不适用当他们第一次注册这项服务时。此外，随着软件的更新，可能有必要重新考虑该服务的条款和条件。这就是为什么在目前的模式下理解通知所说的内容是如此重要，以及是什么导致了消费者对一些以不太明显的方式收集和使用数据的企业的不信任。
“同意”的重要性
在很多情况下，即使风险可能有所不同，日常生活中我们在线上遇到的隐私声明也是例行且常规的程式。
我们将这些经验与需要知情同意的特殊同意经验区分开来，如医疗程序、研究参与、重大法律交易等。简而言之，即以是否可能发生参与人利害攸关的情况为标准。在一些国家，法律或具体情况要求或触发了比大多数人在日常事件中遇到的更高的同意标准。根据所收集的信息的背景和类型，这些领域之间可能存在重叠，尤其是在呼吁重新考虑如何提供通知和获得同意的情况下。
“同意”是指一个人同意交出关于其本人、其行为、甚至是其使用的技术手段的数据，法律学者教授Nancy Kim的书“同意：同意及其限制”对这个话题做了全面的概述。Kim认为，同意“通常是基于以下三个条件是否成立的结论：有意地表达同意、知晓和自愿”。即必须通过言语或行为向对方表达同意，并且该沟通的做出必须是有意的，这意味着所讨论的“表示同意的理由或目的是传达对该行为的同意”。同意方必须了解他们同意的内容；知情不仅需要对信息的理解，还需要使其做出同意之决定的充分信息；最后，同意还必须是自愿的，即“有意的，而不是下意识的，没有不当压力或胁迫”。在本白皮书的讨论中，我们认为提供同意收集数据的个人最好在同意之前先了解他们同意的收集做法，并使其能够自由地作出决定而不会受到胁迫或操纵，同时应提供一种可以清楚明确地表达他们的同意的途径。
在美国，与数据收集有关的同意来自合同法，据金说，合同法“不要求实际（主观）知情”。相反地，合同法用获取信息或通知的能力和途径来替代“知情”。在大多数情况下，当要求个人在线提供同意时，同意过程本身就与网站或服务提供商形成或签订合同的第一步。在美国法律中，知情的要求源自其对个人自主权的侵害。例如，与要求电子邮件在营销活动中使用的表格相比，医疗程序这样具有“高度危险性”的信息摄取将受到更严格的监管。但是，在大多数在线情况下，企业或组织没有法律义务提供任何人都可以完全阅读和理解的通知，或去获得肯定的自愿同意。相反，公司的隐私政策（数据收集）通常是针对法律的文档，并非为最终用户的轻松快速消费而构建。一些公司已经认识到隐私政策难以驾驭，并且一些公司已通过改进交互式通知和所谓的“隐私登记”而向前迈进。
我们如何来到当前境地：“同意与通知”机制的发展进程
“通知和同意”是公平信息惯例（FIPs）的关键组成部分，这是20世纪末为应对信息日益数字化而制定的一套原则。
最初的FIPs由1973年极具影响力的HEW报告起草，其中不包含“通知和同意”。经济合作与发展组织（经合组织）以这些项目为模式在1980年制定了其金融投资方案，首次确立了“同意”，但已然保持了最初的侧重点——目的限制和透明度原则，即让个人获得数据、更正数据以及向数据收集和使用者问责的权利。虽然多年来有几个版本的FIPs，但它们往往重申同一套核心原则，即强调个人对信息的控制和“数据处理的程序保障，而不是对做法的实质性禁止”。
公平信息实践原则
根据美国联邦贸易委员会1998年通过的公平信息实践原则，定义了以下通用术语：
通知：数据收集者必须披露他们在从消费者收集个人信息之前的信息实践。
选择：必须向消费者提供选择，说明从他们收集的个人信息是否和如何用于提供信息以外的目的。
访问：消费者应该能够查看和质疑收集到的关于他们的数据的准确性和完整性。
安全性：数据收集人员必须采取合理的步骤，以确保从消费者那里收集的信息是准确的，并且不受未经授权的使用。
到2020年，美国仍然没有联邦一级的全面数据保护立法。
在美国这个缺乏联邦一级的数据保护或涵盖所有个人可识别的信息的隐私法的国家，FIPs已经成为管理如何在在线领域收集数据的主要手段。鲍勃·盖尔曼指出，“通知和选择有时是作为FIP的实现来呈现的，但是它显然远远低于FIPs标准”。根据克里斯的说法，虽然FIPs是由联邦贸易委员会所推荐的，但作为总括联邦一级美国隐私立法的基础，在20世纪初，这一想法停滞不前，到2020年，美国仍然没有联邦一级的全面数据保护立法。在美国，是州一级的法律推动了通知要求的改变，联邦一级的儿童在线隐私保护法（COPPA）也是如此，该法旨在保护儿童的个人信息。虽然FIPs在美国是不可执行的，但合同法有着坚实的法律基础。在美国，当这种商业与消费者之间的关系时进入“通知和同意”框架时，消费者就能够有效地签订合同。这一过程的正常化对于企业来说是必要的，特别是随着免费在线数字服务的激增，这样做能够为获取和处理个人信息提供法律确定性 。
欧洲数据保护的演变遵循了不同的轨迹。1981年通过的《个人数据自动处理方面保护个人公约》仍然是欧洲委员会成员国数据保护法的主要渊源 。后来，在欧盟《数据保护指令》95/46/EC进一步小范围发展了这些规定，截至2018年，该指令已被《欧盟通用数据保护条例》（GDPR）所取代。在此领域发展欧盟法律的基础分别是数据保护和隐私权，从而导致了其通过制定法律来保护个人数据的收集和处理以及传输中的个人数据隐私，分别反映在GDPR和电子隐私指令中。同意在电信框架（根据尊重私人生活的权利和电子隐私指令）的保密方面比在数据保护方面发挥更大的作用（根据保护个人数据和GDPR的权利）。根据GDPR规则，同意只是欧盟法律下数据收集和处理的六个法律依据之一，而通知（在向个人提供有关他们的个人资料将会怎样的信息的意义上）须根据所有合法理由进行处理，包括根据收集或使用数据的组织的法律义务进行处理。在《国内生产总值报告》中增加了收集和处理个人数据的其他五个法律理由，这也削弱了对“通知和同意”的依赖，并一定程度上承认其“作为一种一刀切”的方法局限性，这与FIPs过程形成了很大的对比。
在欧盟和美国之外，“通知和同意”已经成为一种一致的国际规范，因为它在非欧盟经济的某些条件和贸易激励方面具有域外效力 与欧盟的做法保持一致。尽管有两个明显不同的轨迹，“通知和同意”显然已经成为欧盟和美国数据保护和隐私政策的一部分。在欧盟和美国之外，“通知和同意”在不同程度上已经成为一种一致的国际规范，部分原因是在GDPR中建立了压倒性的影响力和贸易激励机制，推动非欧盟经济体与欧盟保持一致。
GDPR和CCPA的颁布也增加了解决“通知与同意”机制作为一种准则所存在的缺陷的迫切性。特别是在美国，他们触发在短期内通过联邦级隐私立法的可能性。这一事项如果在没有批评“通知与同意”机制的情况下进行，那将会错失相关规则优化的良机，因为各国都会根据美国和欧盟的监管模式来考虑实施自己的数据保护措施，令现有机制不受影响的新法律或政策有可能无限期地使它们永久化。监管的确定性仍然至关重要，现在正是企业在推动美国对类似数据收集和处理的替代模型（例如合法权益）采取更加类似于欧盟的方法的机会。
对“通知和同意”的评估
隐私学者Daniel Solove指出，“同意合法化了几乎任何形式的收集，使用或对个人数据的披露……个人无从充分自我管理其隐私，并且在涉及隐私的许多情况下，同意是毫无意义的”。
2014年奥巴马时期总统科学和技术顾问委员会（PCAST）的一份报告对“通知和同意”描述如下：通知和同意从根本上将隐私保护的责任放在个人身上-这与通常所说的“权利”正好相反。更糟糕的是，更糟糕的是，如果它隐藏在这样的通知中，提供者有权共享个人数据，用户通常不会从下一家公司获得任何通知，更不用说有机会合作了 虽然数据的使用可能是不同的。
根据Woodrow Hartzog的说法，“通知对监管机构很有吸引力。立法者喜欢授权通知作为监管工具，因为它花费很少，并保留了一点公平，有关机构可以自由地以创新的名义进行实验和设计，对于设计师来说，使用条款可以像房间里的大象：设计师可以构建承认条款的环境，或者他们可以直接忽略它们，忽略了设计和合同传达的信息之间可能出现的任何矛盾。至关重要的是，Hartzog认为：“当隐私法忽视设计时，它允许通知变成死板的、无效的。设计可以用来模糊通知和利用我们有限的能力来影响我们所理解的正在传达的内容。”
关于“同意”的辩论也包含这些产生于规则设计者的问题，包括对“关于人类意图和行为的现实假设”的理解，以及如何适应这些假设。
在当今的许多（即使不是大多数）在线环境中，同意也可以作为“接受或离开”选项提供，而拒绝同意通常表示为“离开”。Kim认为“同意一方必须以被提供某种形式和时间来阅读该信息、能够帮助其理解重要和相关的信息以及同意的后果相关信息。该信息的呈现必须考虑到人类如何在给定的背景下做出决策的现实，而不是预设了一个理性人在理想情况下作出决定（无限的时间，足够的资源，主题的技术或专业知识，独立的情绪状态 ）。
“我接受”这个按钮并非不可避免。Frischmann和Selinger在他们的《人性再造》一书中说：“合同法可以适应经济、社会和技术体系的不同变化。我们现在所拥有的既不是必要的，也不是不可避免的。幸运的是，合同法仍然可以改变。”如果合同法可以改变，那么“通知和同意”即 可以超越当前美国的合同法规范。
Kim认为“当风险高昂，且对个体权利构成严重威胁时，无论是个人还是集体，同意的条件必须处于最稳健的状态。”如果没有，那么就不应使用同意的言论为寻求同意者的行为提供法律或道德依据。上述PCAST报告认为，这样的提供商与用户之间的隐式隐私协商导致了“不公平的竞争环境”。提供商提供了一套复杂的“接受或离开”条款，并附有大量法律依据，而实际上，由于需要通过选择接受来完成交易（这是用户的最终目的），且通常情况下很难快速理解这些条款，用户一般只花费几秒钟来评估寻求同意者提供的条款。
显然，“通知与同意”这一机制会给人增添不必要的负担。
不改革的风险
当我们仅仅依赖于“通知与同意”机制时，我们就忽略了制定适当的政策来从整个数字价值链中收集、处理个人数据的重要性，它（我们目前的这种做法）包括下列诸多不足：
1、我们无法有效回应无屏技术的存在
虽然我们熟悉的法律，例如GDPR、CCPA、加拿大的《个人信息保护和电子文档法》（PIPEDA）、巴西的《通用数据保护法》（LGPD）、南非的《个人信息保护法》（POPI）和日本的《个人信息保护法》（APPI），实际上都以有屏（具有屏幕的）终端设备为预设调整对象的。事实是数据还可以通过触摸传感器、IoT设备、相机和其他环境计算设备在环境中进行收集。GDPR尽管有其他法律依据可用于数据收集，但它对消费者物联网设备适用同意要求，这使它们很难在欧盟范围内合法使用。相比之下，CCPA很大程度上需要通知和退出选择，而不是同意，并且CCPA不需要征得肯定同意，除非未成年人要公司出售其个人信息。
鉴于人们在使用此类无屏终端设备时依然存在广泛的个人信息收集的情况，因此单纯依赖于“通知与同意”是不合适的。
2、我们无法为公司提供规则的确定性，也就无从鼓励他们寻求创新解决方案来保护我们的隐私
GDPR在技术上是讲求“技术中性”的，但是，由于许多组织依靠外部律师事务所和内部法律顾问对GDPR的解释和把握，来执行具有相应合规性的“通知”，因此其实施通常会落在用户体验（UX）的视角上/取决于用户体验，结果是UX设计人员在事件之后以UX调整的形式实现了“微调”。一些数字服务提供商试图通过鼓励并行设计流程来缩小这一差距，但是在监管机构没有明确指导方针的情况下，这项任务仍然具有挑战性，并且摆脱基于屏幕的通知制度的动机显然是不足的。结果是，我们不仅使普通用户及其权利、期望、福祉、福利以及他们在这个新的数字世界中的机会受到损害，同时打消了创新者及相关公司谋求新的解决方案的积极性，因为他们过多地（超过合理限度地）被建议依靠看似安全且无其他明确替代方案的“通知和同意”规则来处理相关问题。
3、我们无法有效回应数据的二次使用
强调在收集数据时设置规则未能考虑到企业对企业（B2B）分享个人数据，数据分析，未来交易以及特别是未来不可预见的用例的价值的现实。数据–人们可能同意但不能同意的使用，因为为时已晚。一旦数据进入价值链，重新使用数据就很难达成一致。
因此，为了适应未来计算技术的挑战，我们提供了两种选择。
a.必须从根本上重新构建“通知与同意”机制，以解决人的需求。在最佳状态下，他们将体现一种社交活动，该社交活动旨在可视化并支持人们与数据的持续关系，包括重新协商或撤回同意的能力，而不是由数据处理者一次性进行，这是设计使然告知并促进理解，而不仅仅是路标，允许个人对其数据进行细粒度的选择。
b.必须从根本上替换“通知与同意”机制：没有比我们考虑使用没有传统屏幕的新型数字技术（例如基于语音的界面和基于物联网（IoT）的设备和应用程序）更能说明这一问题的地方了。如果当前系统在现有的基于屏幕的限制下几乎无法满足要求，那么它的设备将完全无法管理通过家庭内部以及公共场所中的IoT设备进行数据收集的世界。
无论我们采用哪种选择，人们的重要性、他们的权利、他们的经验以及他们如何驾驭第四次工业革命始终存在的ubicomp世界，解决方案都必须以人为本。
第二部分 替代方法的机会：为什么我们需要以人为本的设计
重新设计通知和同意书：以人为本的设计方法
我们已经探讨了尽管互联网已经经历了三十年的动态发展以及第四次工业革命的来临，但数字领域中的“通知与同意”仍然被锁定在纸质合同的主要拟形虚拟表示中。
现有的通知和同意机制基于理性个体的经典模型，他们可以阅读和理解隐私政策，计算服务收益与收集的信息之间的权衡，并做出明智的选择。此过程无视人类心理学的复杂现实，尤其是个人决策过程。学习在人机交互领域，行为经济学和社会心理学已经证明，人们的选择受多种因素影响，这些因素影响了理性：影响，认知启发，社会需求，经济需求和界面设计等等。在决定个人同意或不同意使用其数据的决定中扮演的角色。
项目社区对此主题提出的问题包括：我们如何考虑这些“非理性”因素以改善通知和同意机制的状态？我们如何使消费者摆脱必须了解他们今天做出的决策的长期影响的认知负担？此外，大多数消费者并不了解第三方在网站和移动应用程序中进行的多种形式的数据收集。换句话说，我们如何创建遵守“无须理解的保护”的通知与同意系统？
重新概念化隐私应该保护的人类行为的一种方法是通过改变我们对构成用户的人们的看法。当前的“通知与同意”方法从用户主要是消费者的角度出发-作为受经济利益驱动的理性主体，其共享信息的风险计算基于对经济损害的计算。这种方法在理解和应对人类网络生活多样性方面没有达到目标。我们不仅购买商品或服务；我们中的许多人都在网上过着社交生活，可以连接到我们的社区或使用公共服务。我们每天在互联网上留下的数字足迹影响着我们作为人类，而不仅仅是作为消费者。
相反，现有的“通知与同意”机制在很大程度上对应于电子商务广泛存在的世界。它们并未映射到这样一个事实，即我们的实际生活（我们的社会身份）在许多方面都由我们的在线行为的动态方式（无论是显性的还是隐性的）定义。在构建“通知与同意”机制时，我们面临的挑战是不仅要从保护消费者的角度考虑隐私，而且还要将人权视为一项人权。因为在线隐私和信息共享现在影响着我们生活的方方面面-我们的投票方式；我们与朋友和家人的关系方式；我们心理甚至身体健康的质量。我们需要对隐私的理解要比仅仅针对消费者的上下文更广泛，并且需要使用它来重新概念化服务于这些隐私价值的同意机制。
人们必然需要帮助，来管理复杂环境中的数据和隐私，框架和工具应支持这些需求。目标应该是一个系统，该系统可以通过提供人工建议，数据可视化或数字工具来指导和告知消费者他们选择的含义，以帮助管理我们的数据关系（包括我们已同意的对象）以及如何撤销它。
一个关键的挑战是要在以下两个极端之间找到一种折衷方案：a）提供广泛的同意并放弃对个人隐私的所有控制权，以及b）每次使用个人数据时都需要“微观同意”，导致无法完全理解每一个数据同意请求和同意疲劳。解决方案既应最大程度地访问数据，又应保护每个人控制隐私和数据使用透明性的权利。解决方案不应要求永久性；理想情况下，应保留所有人撤销同意访问的权利。
什么是以人为本的设计？
美国教授和研究员Don Norman致力于帮助定义以人（或用户或人）为中心的设计（HCD）概念。正如他在《日常事物的设计》中所写的那样，“以用户为中心的设计是基于用户需求和兴趣的哲学，强调使产品可用和易于理解”。HCD本质上是跨学科的，交错的心理学，认知科学，人类学和人机交互与研究实践和专业领域的互动。设计公司IDEO是HCD最著名的采用者之一，将HCD融入了公司的实践中以及为HCD制作设计套件和现场指南以促进其采用。
HCD的核心宗旨是将人们的需求放在任何技术系统的中心，并通过直接与技术将服务的人们接触来评估和理解这些需求。2018年，诺曼发表了《以人为本的设计和应用的四项基本原则》，其中他详细阐述了以人为中心的HCD：“当今的许多系统，程序和设备都以技术为中心，围绕HCD的功能进行设计。要求人们填补技术无法做到的部分。HCD意味着从人们的需求和能力开始改变这一点。这意味着要考虑所有参与人员，并考虑社区的历史，文化，信仰和环境。最好的方法是让居住在社区中的人提供答案。”
学术研究提出了许多建议，如果企业或是监管机构遵循或采纳，可以使隐私声明更简单，更易于理解，并且更加透明。为什么这些建议没有得到广泛采用？核心问题之一是，在不保证现状不会构成增加的法律风险的情况下，没有激励公司改变现状。仅出于这个原因，有必要注意认识的重要性、决策者制定的其他方法、以建立人们与技术互动时收集数据的合法性。由于时间和成本资源的传统障碍，公司很难进行这些更改，但是目前的问题是系统性的。
最明显的系统性问题之一是，许多公司可能会因改善通知的方式和增加透明度而受到不利影响。收集个人数据的大多数实体都将从现状中受益，并且了解到，尽管在许多非商业案例中，通过“通知与同意”共享个人数据可能会在一定程度上增加历史上不透明的数据收集做法的透明度会影响业务。例如在COVID-19（新冠疫情）联系人跟踪应用中使用。要求个人选择加入而不是选择退出也会阻碍数据共享。如果没有其他激励措施或法规，公司将不愿进行这些更改，原因是：（1）希望以现状为准；（2）没有足够的压力要求公司做出任何改变；（3）对技术合规依法提供口头服务；（4）用户无动于衷。现在这种情况正在改变，人们对如何处理其个人信息更感兴趣。尽管仅靠监管并不能完全解决问题，但组织在数据收集方面变得越来越透明，并且监管也有所帮助。例如，当前的cookie遵从机制欧盟要求单独的同意，选择加入的选项，用于不同目的的不同框等，尽管许多公司从技术上实施和遵守，但最终还是由个人来决定与横幅通知进行交互的程度。想要使用服务。因此，许多公司在培训用户方面已经超出了法律要求和通知，并且可以以此建立与用户之间的信任。
关于在一个情景中创建的数据（例如医疗保健数据）是否应可用于另一情景（例如消费品）中，即使通知传达了这种使用，也存在伦理问题。GDPR第6条针对此问题规定了五种替代性法律基础，以根据适当性进行数据收集，并期望仅依靠通知和同意作为理由来证明数据收集实践在所有情况下都是不充分的。它还提供了总体数据处理原理，包括“目的限制”，可确保进一步处理个人数据需要获得进一步的法律许可，这在美国通知与选择的“接纳或离开”规范中是不适用的。
这种方法承认了“通知与同意”的固有局限性：由于它可能很复杂，操纵且许多人难以理解，因此，仅将其作为任何一种数据实践的依据并不能保证那些表示同意的人能够真正理解他们同意什么，可能完全不合适。
根据南希?金（Nancy Kim）的说法，“由于某项操作（例如签署文件或单击“接受”图标）而产生的同意推定与“阅读义务”交织在一起。与其说是积极义务，不如说是，阅读的义务是假定已签署文档（或单击接受在线条款的人）已阅读该文档包含的条款。”但我们不仅在处理有关各方就提供和接收协议达成的法律权利和责任商品和服务。“通知与同意”在很大程度上是一种机制，组织可以使用与提供此类服务无关的个人信息。以设计为中心的“通知与同意”方法提出了有关依赖于模型的局限性的问题。阅读（理解）它可能不合适的上下文的义务，以及数据收集本身的基本道德。因此，重要的问题是提出一些关键问题，这些机制对谁有利，对谁排斥或落后，以及将阅读和理解的重担完全放在公众的肩膀上造成的弊大于利。
自动化的通知和同意：20年的构想
我们的项目社区采纳的建议之一是创建一个基于软件的代理来管理和协商个人隐私偏好，该建议基于20多年的现有研究。自动互联网浏览器中的隐私首选项和协商的想法起源于1990年代后期，随着隐私首选项平台（P3P）标准的发展。卡内基梅隆大学的萝莉?克拉诺（Lorrie Cranor）大学领导了这项工作，她在论文“必需但不充分：隐私声明和选择的标准化机制”中对此进行了描述：“ P3P的早期支持者描述了可以阅读隐私政策，进行协商的Web浏览器、网站，并代表用户采取措施，而不会干扰网络浏览体验。P3P被设想为一种工具，可以促进隐私市场的发展，使个人能够四处逛逛符合其隐私偏好的网站，拒绝与他们认为不可接受的网站开展业务，并可能接受付款或折扣以换取数据。” P3P 1.0在2002年已完成，然而由于缺乏法规以及行业实施P3P的激励机制，导致该标准被放弃。
根据她在开发P3P方面的第一手经验，Cranor指出，既没有为可允许的信息收集，使用实践和稳健的实施设定基线的法规，不仅会缺乏激励公司尊重基于协议的代理的动机，而且还会激励公司玩弄系统并歪曲他们的政策。”
简而言之，回顾这些努力并得出一个重要的阻碍因素是他们超前于时代，这太简单了。尽管智能手机无处不在的增长可能有助于弥合早期的实现差距，并为谈判数据收集（如无处不在的计算）提供新的途径，但基本面仍然存在：如果没有监管，这些提议可能会死掉。
集体隐私
尽管我们倾向于更容易理解个人隐私的概念，但必须注意，隐私不一定限于个人关注的问题，也可以是集体性质的。人们共享的有关自己的数据还可以显示有关家人、朋友、同事、邻居等的信息，这些人们不太可能意识到这种信息共享，更不用说能够表示同意了。除了对隐私的关注外，提供有关相同种族，性别和年龄组的人的信息的后果还可能造成政治或经济歧视或剥削不止一个人的可能性。例如，基因组数据可以揭示有关亲戚的信息，因此需要特别谨慎地处理。由于其高度敏感的性质，从这个意义上讲，基因组数据的收集和处理特别有争议，除了仅依靠通知与同意以外，在某些司法管辖区还存在更为明确的保护措施。例如，在欧盟，根据GDPR，基因组数据被归类为高度敏感的数据，这需要更高的护理标准。
一个旨在充分了解弱势群体背景下的集体隐私和同意的项目的基础示例是INTUIT——一种交互设计项目寻求机制，以“信任共享个人健康数据，使自己与HIV和谐共处”为主题，并对其同意进行了审查。该项目是艾滋病毒、艾滋病毒药物，公共健康，人机交互，设计，健康心理学，健康信息学和应用伦理学等领域专家共同合作的，这些已经超越了分析，逻辑导向和个人主义的方法，逐渐走向了更加共鸣和集体的方法。健康状况长期遭受污名化的（例如艾滋病毒）人们需要对其数据进行高级保护。但是，该项目的最初发现也表明，该社区中的个人强烈希望在社区的广泛需求与个人需求之间取得平衡，因此需要建立社区或集体隐私模型。
在基因组和INTUIT实例中，我们都看到了在特定情况下使用集体隐私的重要性。通知和同意（或相关数据收集和处理的其他法律基础）的管理方式受用例的特定情景以及对更广泛人群的集体隐私所影响。
通过将人而非消费者合同的概念置于“通知与同意”范式的中心，我们开始解锁以人为中心的设计，以此作为更好的数据隐私解决方案。
替代模式：跳出固有的思维模式来思考
现有“通知与同意”的任何替代方法都必须相对全球适用，在技术上是中立的（超出屏幕范围），并尽可能以道德为基础。这意味着要认识到制造商的需求和脆弱性。技术发展虽然很快，但监管往往很慢。在尊重数据收集目的的同时，例如最大限度地减少对需要较高读写水平的文本的依赖。再过五到十年，互联网看起来将与今天的情况大不相同。届时，今天讨论的许多策略将已经不适用于庞大的全球互联网。
在本节中，我们将讨论此项目的工作中出现的几个主题，包括我们的2019年10月研讨会和与我们更大的项目社区的持续合作。这些主题为该社区制定本文稍后提出的具体建议提供了基础。该工作组主要关注关键价值和原则，而不是说明特定的设计改进或设计方法。该重点说明了该小组的理解，即面临的挑战是解决基本的道德原则，而不仅仅是表面上的修复。在定义技术解决方案之前，我们必须解决人为问题。随着技术对人们日常生活的影响不断增加，不仅在商业数字服务方面，而且在医疗保健，公用事业以及政府和公共服务提供方面，我们如何协调数字化前的期望和隐私要求？
采用全球技术中立方法的必要性
GDPR的通过改变了数据和隐私保护的国际游戏规则。GDPR的原则已扩展到欧洲之外，已成为事实上的新全球标准，因为其他国家/地区正在考虑达到GDPR充分性标准或考虑更新或采用自己的数据保护法律。许多国家已经通过了这样的立法。
GDPR包括用于通知和同意机制的设计指南，该机制阐明了现有的通知框架（主要是通过描述交互设计的禁止类型，例如预先检查的同意框）。GDPR明确表示同意，除非捆绑服务是必要的，否则请勿将其捆绑在一起。第7条第4款规定：“在评估是否自由给予同意时，应最大程度地考虑……合同的履行，包括提供服务，是否以同意处理履行合同不必要的个人数据为条件”。Recital说：“假定同意书是无偿提供的……如果合同的履行（包括提供服务）依赖于同意书，尽管这样的同意书不一定是必要的。”
美国的CCPA对改善隐私权政策的表述和内容包含一些次要要求，但不会改变核心的“通知与同意”框架。我们的社区强烈建议，将来对通知和同意的更改必须在最大可能范围内成为多利益相关方全球监管方法的一部分。一套设计解决方案将不会在全球范围内应用，但是必须确保包括国际参与者在内对于确保公平的结果至关重要。在项目社区中，人们对缺乏技术表示了极大的关注。当今许多政府的专业知识，尤其是缺乏以人为本的设计专业知识的决策者或工作人员。尽管没有快速的解决方案来建立公共部门的技术专长，但我们希望让决策者意识到，增加包括以人为本的设计的专长（不仅仅是技术人员）对于未来工作的成功至关重要。
制定明确的道德框架
意识和控制是人机交互设计的两个核心原则。GDPR和CCPA（以及其他现代数据保护和隐私法规）之间的一个共同因素是FIP遗留的影响，其主要将个人控制和个人自治作为数据保护的目标。这种方法有几个局限性:首先，如前所述，FIP启用的“通知与同意”机制无法有效扩展以处理大多数个人所经历的数据共享关系的复杂性。
意识和控制是人机交互设计的两个核心原则，正如Bellotti和Sellen在1993年所描述的那样。这种意识是自治的关键，但是在个人世界上，绝对控制和自主似乎是不可能的。与我们现在生活的环境紧密相关。许多个人数据共享决策会通过社会关系以及网络之间越来越紧密的公众影响到个人之外。仅就个人选择而言，隐私就忽略了这些选择对我们更广泛的社会产生的更大影响，这表明我们需要考虑通过数据暗示的其他伦理价值收集并明确将它们合并到新方法中。
我们的社区认为有必要明确制定指导法规的道德框架，并考虑比通常在技术设计中所涉及的更广泛的价值观。在美国，重点领域之一是要求立法规定数据收集者的信义责任或谨慎义务，这些收集者应被视为不损害其利益的标准。基于道德的方法还提出了更广泛的问题，即如何找到方法来保护那些受到当前数据收集做法负面影响最大的人（通常是社会经济地位最弱的人）的隐私权。
我们在下面讨论他们的价值。但是，我们还必须预先承认，这种方法无疑将在全球社会中遇到障碍；一些国家或文化可能会优先考虑与本文确定的价值观不同的价值观。
同意与社会公正
项目社区的许多成员对需要考虑到我们社会中最弱势群体的需求和关注，并确保将它们纳入未来的设计工作中，有了更高的认识。有人特别呼吁承认数据收集和使用对不同的社会经济和种族群体的不同影响。现有技术在很大程度上通过通知和同意机制反映了一个世界的现实，在这个世界中，边缘化的人们被排除在设计过程的参与者之外，又被消费者技术的受益者排除在外。由于历史上的滥用，边缘化的人们常常对当前的同意框架和机构缺乏信任，并选择不同意，加剧了差距挑战。如果我们继续发展解决方案而没有包括那些观点，那么我们将处于危险之中，即在加强强国与弱国之间现有的社会鸿沟。我们也有失去必要对比的危险。重新设计通告和同意书不仅需要来自世界各地的政府，企业和学术机构的多方利益相关者的参与，以展开包容性对话，而且如果我们要开展包容性的政策对话，还需要那些社区成员及其倡导者的参与。我们不能假设每个人都有相同的资源来到餐桌上。在技术领域尤其如此，那些受过较少教育或对技术熟悉的人在试图平衡隐私与数据收集时可能无法准确计算所涉及的权衡成本。此外，那些弱者在与强大的行为者进行谈判时，其处于社会权力的最大劣势。重新设计同意书的以人为本的方法必须考虑整个人口，并注意考虑弱势群体的需求和经验。
产业在决策中的重要性
由于行业规范通常先于决策制定，因此行业在为解决这一非常现实的难题提供解决方案方面可发挥至关重要的作用。是设计和销售收集此类数据的产品的行业，有时出于功能目的，有时作为收集数据的一部分商业模式。必须在各个阶段将行业包括在此对话中，否则我们可能会为了遵守法规而竞相遵守法规，而没有切实改善人们的隐私权和业务以及整个社会的创新成果。重新设计“通知与同意”还需要更大的“设计社区”的贡献：通常包括用户体验设计师，视觉设计师，交互设计师和信息设计师，所有这些人通常都实践“以人为本的设计”或“以用户为中心的设计”。在这方面进行研究的学者来自诸如人机交互，计算机科学，信息科学，认知心理学和传播研究等领域。这些代表了决策者有时缺乏的专业知识领域。
本质上，以人为本的设计方法将人类用户的需求和限制置于任何设计活动的最前沿。通知和同意框架的改革或替代方案必须以人为本的设计原则为基础，这样才能有效。
我们如何前进？
数字环境中的通知和同意机制——通知的视觉外观、语言选择、演示格式和时间安排——对公众来说至关重要，因为他们权衡了应该与谁共享个人信息的能力。
因此，“通知与同意”模式不再严格地局限于法律领域。本质上是人与技术之间的互动问题，需要那些精通人类的专业人士和学者的专业知识，计算机交互问题，最好是公共政策和道德规范。
如上所述，退后一步采用一种全球性，技术中立的方法道德，包括对社会的意识并涉及行业是关键。而且，至关重要的是，从根本上了解人们与技术交互方式的专业UX设计师将需要运用设计思维来尝试解决这个棘手的问题。
第三部分：观点探索
更好替代品的特点是什么？
1.代理商与可用性
现有的机制不仅对用户不友好（它们不允许进行谈判或撤销），而且也没有给消费者代理权（允许其为自己的利益采取措施和具体行动方式）。重新设计通知和同意机制以使它们更有用，但不能确保获得更大程度的代理。事实上，减少界面摩擦（通常是设计目标）实际上可能会降低个人根据自己的利益采取与隐私相关的选择的能力。同意机制必须允许个人代理，无论是具有协商同意条款或要求以明确选择加入（而不是选择退出）各种形式的数据收集和使用的能力。
2.以设计为中心的协作和工具
我们可以集中在全球参与问题上，如鼓励设计师，技术人员，公共部门和其他各方的利益相关者共同参与着重于解决公共部门的问题。其中一个例子就是解决“设计难题”，可以将不同的受众聚集在一起，以设计为重点进行开放式协作和解决问题。
3.真正的选择
这是一种设计方法，可以促进撤消选择的选择，换句话说，就是遵循同意时间性原则的“通知与同意”设计。同意不是永久的或永恒的，但是对于诸如loT和人工智能（AI）等新兴技术而言，撤销同意的实用性可能难以实现，而新兴技术需要持续不断的数据流来进行操作和学习，然后嵌入到更广泛的领域中。
需要一个全球框架，考虑有意义的同意–诸如：透明度；理解;控制;问责制和解释性；防止剥削，操纵和歧视。换句话说，我们需要朝着有意义的“选择”迈进，而不仅仅是“同意”。
九个想法的探索
项目社区探索了各种想法旨在改革“通知与同意”机制及其基础。我们必须注意，这九个想法并没有给出下一步的精确路线图。相反，它们代表了一个更大的难题：基于思维的创造性头脑风暴的产物。
1.决策者的数据可视化工具
由于通常在摘要中讨论了隐私策略和其他数据保护机制的影响，因此有必要根据实际用户体验来说明数据收集及其使用的实际影响。但是，两者都缺乏拥有技术和设计专业知识的决策者，导致很多超出了通知与同意制度的当前限制。它们是为将来的创造性思维和协作打开对话的起点。任何想法都不是一个单一的解决方案或一刀切的方法，每个想法都有其应有的优点和缺点。此外，想法可以相互结合以获得最佳结果，明确数据收集及其使用的实际影响。但是，两者都缺乏在许多政策中体现技术和设计专业知识-尽管经常邀请专家证人发表意见，而且决策者普遍欢迎游说，但决策者和政客在决策中增加了困难。但是，这种技术和设计知识不足会对法规产生负面影响，尤其是对预测技术的发展，并在政府层面可以及时采取适当的政策措施。
数据可视化的目的是为政策制定者提供创建原型，通过图形和视觉化的工具展示监管成果如何直接影响个人，从而帮助政策制定者了解其制定的法规和规则所隐含的用户体验。数据可视化可能会突出决策过程中的边缘化或排除经验，尤其是在多个合作伙伴协助创建可视化的联盟中。
其中一个建议是通过创建一个支持这项工作的组织来支持设计和策略之间的交集，该组织包括用户体验设计师和律师以外的其他相关专家。鉴于世界经济论坛的召集力，项目社区的专业知识以及该论坛作为公私伙伴关系平台的地位，建立各种咨询委员会可能有助于政策制定者探索未来的个人数据法，包括基于“通知与同意”前提的内容，以寻求更适合目的且基于案例的详细结果。
2.危害评估程序
美国的消费者同意接受要求提供其个人数据的通知，即在不违反条款的情况下签署了保护公司利益的合同。相反，在欧盟，计划收集和处理数据的实体必须选择适当的合法依据，如果有投诉，该选择应由各自的数据保护机构承担。合法利益是GDPR第6条第1款f项规定了数据收集和处理的合法条件之一，该条款规定，如果“必要的话”出于控制人或第三方追求的合法利益的目的，除非这些利益被利益凌驾或需要保护个人数据的数据主体的基本权利和自由，特别是在数据主体是儿童的情况下。”根据工作组29号的规定，“工作组意见中对同意的法律依据进行了分析。该意见的主要发现是，同意是处理个人数据的若干法律依据之一，而不是主要立场。它起着重要作用，但是这并不排除根据上下文从控制者的角度或从数据主体的角度来看更适合其他法律依据的可能性。如果正确使用，则同意是赋予数据主体控制权的工具处理他的数据。如果使用不当，则数据主体的控制将变得虚幻，并构成处理不当的基础。”公司应该针对消费者伤害进行影响评估的想法是新的。
这种类型的程序为数据处理提供了备用的法律基础，但在美国尚未采用，因为合同法已经得到了很好的发展，尽管如前所述，在个人通过同意过程订立合同的过程中充满了问题。尽管风险评估对于公司来说是一个颇有争议的概念，但研讨会的参加者强调了一个事实，即没有类似的概念被正式化，以评估在整个数据生命周期中已经发生或可能发生（预期的或未发生的）对消费者的潜在隐私损害。该小组提出了一个结构化的流程，公司可以据此评估其收集的数据，审核员（公共或私人）可以评估其收集和保留流程，执行审核并评估公司行为对消费者的潜在危害，并提出更改建议。这可能是一个可以接受公众评论和审查的过程，包括一项要求让审计师生成面向公众的报告。建议可能包括删除数据，更改设计或消除某些做法。根据报告的结果，公司将获得某种形式的认证或对其行为的保证。这种类型的过程类似于在GDPR下选择合法利益作为基础时，数据处理者需要在处理数据之前进行事前影响评估。
3.默认情况下目的限制
目的限制即个人数据的收集和使用仅限于最初的预期目的，并且不会发生更改。在GDPR中，这是一个明确定义的原则，但在其他司法管辖区中则很少。如果默认情况下某些有害类型的二级个人数据收集和处理（哪些用户否则将难以理解），因此个人被授予了前所未有的自主权，可以自主收集数据和处理偏好。此外，这消除了数据收集者使用同意作为从事被认为对社会有害的做法的基础的能力。
4.积极监管和负责的创新
除了制定目的限制原则之外，公司也应发挥作用。受诸如减免公司行为的减税等监管政策杠杆的启发，当局可以激励公司采取负责任的和合乎道德的数据收集和使用方法。潜在做法的示例可能包括：避免出售或共享客户数据；拒绝在网站或移动应用程序上使用第三方跟踪机制；并且，与本白皮书紧密相关的是，如果满足某些条件，则可能已预先证明其符合某些处理个人数据惯例的法律要求。这样的模型假设存在一个具有管理行为，进行审核和对违规者进行处罚的能力。私营部门也可以采取行业主导的行为准则来采取积极的监管措施，以解决数据处理问题。例如，在有关技术标准的国际技术规范制定领域中，这种模式是很普遍的。
监管机构可以认识到并鼓励使用最终由行业主导并不断更新批准的标准模型。如果满足某些数据惯例，则该系统可能会发展成为允许更多自由的系统，例如免于将来（更强大）的通知和同意要求。
5.智慧城市中的隐私设计
“智慧城市可以和隐私保护共存，通过以设计正义为重点的过程与公众互动。”
随着智慧城市基础设施的实施，政策制定者面临一个挑战：需要向居民提供有关数据收集的足够通知，以及强大的同意机制，以为他们提供协商其偏好的手段，同时还允许无处不在的公众和公众。实时收集私人数据。通过以设计正义为重点的过程与公众互动，智慧城市可以与隐私共存。根据设计正义网络59的说法，“ [d]正义代表重新考虑设计流程，将通常被设计边缘化的人们置于中心，并使用协作，创新的做法来应对我们社区所面临的最深层次的挑战。”60此外，还需要其他原则，例如透明度。智慧城市的居民有权知道何时，在何处以及由谁收集和处理其个人信息。
此外，居民在某些情况下应有明确的方式表示同意-明确选择退出特定类型的数据，例如出于商业目的对数据的二次使用。为了使智慧城市有效运行，默认情况类似于选择加入，并且政府和公共当局依靠“通知与同意”以外的其他法律依据在智慧城市环境中合法地收集和处理来自公众的数据。智慧城市还可以为居民提供有效无监视的特定区域-类似于移动设备上的“飞机模式”的无数据区域。最后，针对智慧城市的设计正义方法要求对居民进行有关数据收集和处理问题的教育，以及本地参与机会的设计-特别是对于最边缘化的人群作为城市信息流治理中的关键利益相关者。
6.在公共场所进行跟踪的自主权
在公共场所自由表达是开放社会的重要组成部分。但是，广义公共和私人实体在公共场所进行的监视和数据收集会产生令人不寒而栗的效果，妨碍言论自由。此外，获得个人的同意，或向他们提供退出任何一个公众的途径或在历史上此时几乎不可能在公共场所收集私人数据。在美国，由于私人监视数量的增加，这个问题最近变得越来越重要，以前不受一般视频监控的区域中的摄像头（例如，环形门铃）。
为了解决此问题，可以将个人在收集和使用其个人数据方面的偏好设计到基于智能手机的代理或可穿戴设备中，或者像上面的用户代理一样，以数字方式硬连线。身份级别。这些设备将被设计为直接或通过受信任的第三方（例如，电子通信服务）传达个人对数据收集实体的私密偏好-无论是网站还是大街上的照相机等。因此，在公共场所工作的数据收集者将收集和处理个人数据（包括视频或其他基于图像的数据），其方式应符合个人的隐私偏好。在不禁止在公共场所收集数据的情况下，这种方法使个人能够以最少的实时性来浏览周围的数据收集世界破坏他们实际的表达自由。此方法的一个警告是，出于公共或私人利益（例如功能，安全或安全原因）收集个人数据的合法需要，可能需要优先考虑个人的偏好。
7.数据信任
数据信任提供了一种以公平的方式收集和处理个人数据的方法。数据信任将由可以充当仲裁者的受信任的权威机构（以客观透明的方式任命）进行监督并主张将其数据包含在信托中的个人数据权。访问数据信任将取决于决定商业行为者或数据处理者的参与规则以及受托监督机构的任命。
目前，关于如何定义数据信任还没有达成共识。在英国，英国政府委托AI在2017年进行的一项独立审查的建议激发了人们对数据信任的兴趣，该建议将其作为“以公平，安全和公平的方式共享数据的一种方式”。在全球范围内，有多种方法来定义数据信任的含义。这可能意味着可重复使用的术语和机制框架（如英国AI审查所定义），该框架将数据信任描述为不是一个法律实体或机构，而是一个集合以可重复框架为基础的关系，符合各方的义务。
实际上，此数据信任模型可以潜在地指定法律条款和治理流程以及数据访问的技术机制。数据信任的另一种类型是一个共同组织，代表具有民主控制权并共享信任的成员管理数据及其利润。尼尔森·劳伦斯（Neil Lawrence）是亚马逊研究剑桥大学的机器学习总监兼谢菲尔德大学的机器学习教授，他建议“数据主体将他们的数据汇集起来，形成一种信任，规定了可以共享数据的条件……大足以成为控制[...]方式的有效合作伙伴63具有创始宪法和任命的代表，这种类型的数据信任可以考虑成员的利益和意愿来做出有关数据共享和使用的决策。在这种模式下，将进行汇总控制，这将委托给代表。
数据信任也可以反映特定的法律结构。信托是一种法律结构，它使一方（即受托人）能够授予另一方（受托人）为第三方的利益而持有资产的权利。受益人和信托在历史上一直被用来持有资产，例如房地产或投资。有人建议数据信任可用于形成一种治理，在这种治理中，数据被免费分发，并且数据收集者和处理者对数据主体负有关怀和信任的职责。第三方受托人有以其最大利益做出决策的责任，也称为信托责任。数据信任也被称为“公民信任”，它是第三方数据共享的独立信托管理，可以查看，监视和强制执行收集器共享数据的方式。
还可以开发其他模型的数据信任，包括或创造性地重新考虑上述特征。例如，可以设想将数据信任作为企业来提供数据管理作为个人服务。这样的营利性受托数据托管者可能不一定要自己保存数据，但是，例如，可以从技术上允许存储用户的隐私首选项和个人用户代理的功能（如上所述）。他们还可能会大致评估数据收集实体的声誉（例如，通过自己的或第三方的分级），便于创建白名单或黑名单，如果用户愿意，则可以针对这些清单检查数据请求。此外，此类受信任的服务提供商可能会监督数据收集实体的合规性。根据个人的合法要求，并向个人提供相对于数据收集实体的私人或集体法律代表。
解决这些挑战的另一个潜在解决方案是社区拥有的数据资产方法。数据托管人必须设置隐私和安全机制，以赢得信任并安全地保护数据。一种方法是创建经过审查的研究人员在其中安全地控制逻辑的数据分析沙箱，其中无法完全确定身份的个人级别的个人数据。未经相应数据所有者的明确许可，研究人员将无法复制参与者的数据或以其他方式删除数据。
该模型既可以避免共识疲劳，又可以实现广泛的隐私保护数据使用。这种方法还解决了国家间数据机构共享的许多问题，因为个人始终是各自数据的代理。各种数据信任模型试图为不熟悉的人提供解决方案，用隐私行话来说，不一定时间和精力来调整他们在隐私问题上的决定。与任何依赖代表结构的实体一样，对监督，透明度和问责制也存在担忧。
人们关注的一个问题是，数据信任如何才能真正忠实地代表消费者的利益和选择。促进将消费者选择纳入信任系统的过程的一种方法是创建一种标准化风险和收益的方法。可以有一个数字和通过第三方组织的标准化评估，信托可以采取政策，说明他们将选择哪种风险和收益组合，从而使消费者可以根据自己偏好的收益率和风险承受能力选择信托。另一个潜在的问题，维护安全：如果数据信任是存储和传输数据的实体，那么如何创建足够的安全基础架构？面对数据泄露，这是谁的责任？
8.算法的可解释性
根据通知给予同意时，假定通知如实地解释了一旦给予同意，个人数据将会发生的情况。当涉及到“黑匣子”机器学习算法时，这种范例就破裂了：尽管有预期的目的，数据处理器也不一定能预见甚至无法核实该算法将如何精确地处理数据。为了在这种情况下帮助个人控制其数据，黑盒算法必须经过审核，以限制损害。
如果不可能有意义地解构机器学习算法如何达到其决策，那么我们可以采取这样的立场，即个人不可能在部署了该上下文的任何情况下提供有意义的同意。因此，有必要确定不适合使用黑盒算法的情况或环境。65审计问题还引发了以下问题：谁拥有执行此类审计的专业知识，如何赋予审计员访问算法系统的权限，这是必须开发以评估其影响的测试用例的类型，以及由谁监督整个系统。
9.个人代理
最后，与上面的智能城市示例一致，人们通常每天都会遭受多次数据收集事件。从我们可能会访问的数百个网站到可能在我们附近拍摄照片的公共和私人摄像机，我们的日子是充满了无数个离散的数据收集时刻。即使我们真的有意对数据收集的每个时刻表示肯定，也实际上是不可能的：没有人有时间几乎恒定地表示肯定。这种现实可以说破坏了我们的个人代理。
解决此问题的一种方法是创建一个基于软件的受信任虚拟代理，该代理通过将个人的隐私偏好传达给数据收集实体技术来充当中介。随着数据收集实例的增加或条款和条件的变化，这样的代理还可以传达和更新个人喜好（以便可以代表该人获得连续的实时同意）。实际上，代理可以在用户的设备上运行，也可以由第三方信任的服务进行远程托管，并且可以链接到用户的数字身份。
这种方法的关键是该人有机会同意他们的偏好。在没有或代替屏幕上的浏览器的情况下，数字身份提供了一种这样的载体来表示同意。
使用用户首选项进行编程的受信任虚拟代理可以处理隐私策略（通知），然后代表用户同意或不同意。虚拟代理可以根据自己的喜好，适当地咨询用户，以建议个人应使用哪些服务。可信代理可以充当可信过滤器。
在最先进的水平上，并经过适当的技术和道德发展，代理可以充当顾问，并具有适当的AI功能，可以动态地采取行动并代表用户做出实际决策，包括就数据收集进行权衡取舍或补偿实体。当然，以人工智能为动力的代理商有安全隐患，因此应进行审核。
这项提议不是什么新鲜事：各种形式的数字代理和其他用于协商隐私和同意的计算方法已经提出并进行了近20年的辩论。
但是，当前和新兴技术环境的复杂性，加上智能手机和云服务（可能用于部署某种形式的代理的平台）的广泛采用，意味着这种想法已经成熟，并且使代理成功的可能性更大。现在或不久的将来进行开发和部署。自治代理已经在B2B上下文中广泛部署，并且学者已经建立了概念证明。66
结论
现在到哪里了？
需要进行进一步的研究来开发更细微，多管齐下的工具箱，以重新设计并最终取代通知和同意制度，从而更好地增强人们的能力并为企业提供一定程度的监管确定性，以便他们可以投资于创新。企业也可以扮演角色，因此答案在于多利益相关方的协作方法，正确的声音围绕着桌面，例如从业者方面的UX设计人员，包括产品策略经理，隐私工程师，产品技术经理，UX研究人员，视觉设计师和信息架构师，以及人机交互学者，信息科学家，人类学家以及通信和社会心理学家。学术方面，仅举几个例子。
目前，通知同意规则的目标是有意义的，但是在人机交互方面，执行的方式过时，无法捕获有意义的同意。鉴于技术变革的步伐以及个人数据收集的相应增加，人们期望人们不再对已处理的所有个人数据表示有意义的同意，这已不再合理。
在世界许多地方，我们现在几乎永远在线。与数据收集和处理近乎一致的同意有关的慢性疲劳不再合理。当涉及到隐私时，人们会失去最重要的东西：控制。有更好的方法可以确保人们对数据发生什么拥有发言权。我们要重新审查和调和我们的制度模型。
控制收集的数据，以考虑此类信息的个人代理。通过采用以人为本的设计方法并挑战对屏幕上显示的纸质合同的依赖，我们概述了可供选择的模型，用于更适合目的的数据收集和处理。
这不是人权与技术之间的平衡，不是为了权衡取舍。它是关于如何使技术为人们服务，而不是相反。可持续创新依赖于采取利益相关者的方法来避免系统性风险并优化结果。接下来发生的事情取决于这些利益相关者。令人兴奋的实验已经在进行中，随着世界开始追赶新现实，我们预计创新方法的泛滥。关键将是让决策者参与其中。
本文首发于微信公众号：数字经济与社会。文章内容属作者个人观点，不代表和讯网立场。投资者据此操作，风险请自担。
