第21章　私密共同体：谁被允许参与我的发生？

一、“共同体”与“只有我”，为什么没有立即互相取消

“我和自己”之场只有个体性显露，为什么本书还要讨论私密共同体？这个疑问不能靠词语折中消除。首先必须明确：有多位独立参与者共同知道的内容，不能不加区别地称为严格意义上只向我开放的显露。保密的小团体也已经具有某种主体间性。其次，支持个体性发生的工具、组织与服务条件，可以包含共同参与，而不意味着个体的全部显露都已经向这些参与者开放。

因此，本章使用“私密共同体”时，指的是一种支持私人发生、限制参与与使用的组织安排，而不直接将它等同于隐私的本体定义。它可以保护“我和自己”之场，也可以组织经过允许的有限共同发生。二者在同一安排中相互关联，却需要分别辨认。否则，任何平台都可以把用户和公司合称一个私密共同体，再宣称公司读取全部内容只是共同体内部活动。

这个区别使设计获得了具体方向。需要保护的不是一个好听的共同体名称，而是不同发生的参与边界。谁只负责提供运行条件，谁能够接触特定内容，谁可以将某种结果带到外部，谁有权修改规则，都必须单独说明。把所有角色压成“服务于我”的一类，反而会使个体性保护无法验证。

我们构造一个个人研究服务系统来展开讨论。系统的使用者叫程岚，研究对象是日常工具如何影响人的判断。她的系统包含私人问题笔记、公开文献目录、经过许可的访谈摘要、对外服务页面，以及帮助维护系统的技术协作者。以下设计不对应现实产品，也不宣称已完成安全实现；它用来检验一个组织安排是否真的保留了不同主体的边界。

二、先画发生地图，再画文件夹

最方便的做法，是把资料分进“私人”“共享”“公开”三个文件夹。但文件夹名称只能表达一种意图，未必足以说明实际发生。私人笔记可能被对外服务检索；共享访谈可能包含受访者只允许本次研究使用的内容；公开文献目录也可能附带程岚不愿公开的个人批注。同一份文件内部可能包含不同范围，多个文件又可能共同支持一项需要限制的推断。

因此，设计的第一步应当是画发生地图。程岚独自形成问题，是一种发生；她与技术协作者排查系统故障，是另一种发生；她向客户提供方法建议，又是不同的发生。地图记录各自的任务、参与者、必要材料和对外交付，不要求把所有内在思考变成可记录条目。它的功能在于避免“都在同一个系统里，所以用途相同”的偷换。

在这个地图中，私人问题笔记仅支持程岚的研究探索。公开文献可以进入服务，但附在文献上的私人批注并不因此自动公开。访谈摘要需要按受访者的许可限定用途，不因已经经过一次概括就失去边界。技术协作者的排障任务只需要相关运行信息时，就没有理由取得全部内容阅读权限。某些故障确实需要更具体材料，则应另行说明范围，而不是把异常访问永久变成默认访问。

画完地图之后，文件夹、数据库分区和服务接口才有可依据的对象。实现可以有多种方式，设计不依赖某一种软件名称。无论采用何种技术，最终都应能回答：某次调用为什么接触这些材料，这项接触由哪个任务支持，结果能够去向何处。技术结构不是本体定义，却是保护性拒绝能否实际实现的重要条件。

三、角色要按动作区分，而不只按亲疏区分

程岚非常信任一位长期合作者，但这不等于合作者需要知道所有私人内容。信任可以支持某些参与，却不能代替对具体动作的说明。同样，一位不熟悉的维护者也可能在严格限定范围内完成必要工作，而不需要成为研究共同体的全面成员。以亲近程度分配无限权限，会使边界依赖个人感情而难以检查。

我们把动作分成阅读、修改、调用、导出与再开放几个不同方面。这不是一套普遍法律分类，而是本案例的设计语言。一个协作者可以阅读某份方案并提出批注，却未必可以直接改写原文；系统可以调用经允许的方法生成服务结果，却未必可以将方法原文整份交付；维护者可以处理运行错误，却未必可以将内容带到自己的测试空间；程岚可以公开自己的结论，却不能自动公开共同材料中的他人内容。

这种动作区分有助于处理“参与了所以都可以”的模糊地带。它也让授权不必是一锤定音的全部同意。程岚可以开放某项任务中的阅读，拒绝导出；可以允许在限定服务中调用，拒绝再训练或向其他项目使用。某些组合在技术上可能无法有效实现，那么系统应当说明限制，调整任务或材料，而不是在界面上提供实际上不能兑现的细分选项。

权限还需要对应版本和期限。协作者获准阅读的是某一版方法，后续加入的新访谈不应自动继承旧许可。任务结束之后需要保留哪些材料，谁负责检查，出现争议时可提供什么证据，都应在合理范围内预先安排。预先安排不意味着能够预见未来全部用途，却至少能够阻止未知用途被第一次许可无条件覆盖。

四、建立一项能够走完的参与申请

设想技术协作者发现，对外服务偶尔返回私人批注的一部分。为排查原因，他申请接触近期调用记录。程岚不能只在“完全相信他”与“拒绝修复系统”之间选择。较好的申请应当先说明故障现象、需要检查的范围，以及不接触内容是否足以完成工作。若只看材料标识与调用路径就能定位问题，就先采用这种较少暴露的方式。

若仍不能解决，申请可以扩大到一小组经过选择的示例，其中去除无关访谈和自我批注。协作者说明将怎样使用这些示例，是否需要复制，任务结束后怎样处理。程岚的同意指向这项具体排障，不自动授权对方研究她的思想偏好，也不自动允许将示例带入其他人的系统。这些用途若确有必要，应当作为另一项申请出现。

排障完成时，不只交付一句“已修复”，还应说明故障发生在哪条路径，采取了什么改变，哪些测试支持当前判断，仍有哪些不确定处。程岚由此能够决定是否恢复服务，是否通知相关使用者，以及是否需要进一步检查。这里的记录关注保护的执行，并不要求把泄出的全部私人内容再次公开给所有人。

如果协作者拒绝在有限范围内工作，声称必须取得永久全量访问才能提供帮助，程岚至少应能够辨认这是一项更大的开放要求，而不是技术服务天然包含的权利。她可以接受、协商、另找帮助或暂停系统，但不应被误导为自己从未作出过这种选择。能力限制必须如实说明，不能用服务便利掩盖边界变化。

这个申请过程体现了个体性保护的组织意义。拒绝不只是心里不愿意，而是能够改变参与方式。保护也不是从此无人可以接近，而是进入能够按任务分层，扩大能够被说明，结束能够留下可检查的处理。这套过程是否实际可用，需要在真实系统中测试；本案例只完成了规则结构。

五、共同持有，不是把每个人吞进一个大“我”

程岚与另一位研究者共同形成了一套方法。它包含两人的工作，也使用了共同申请的资源。此时，程岚不能仅凭方法保存在自己的系统里，就将它全部归为自己的私人发生；另一位研究者也不能以共同研究为由要求阅读程岚所有与项目无关的自我笔记。共同持有需要有明确对象，而不是使成员彼此失去边界。

可以将共同方法的已约定部分作为共同发生管理，同时保留每个人的私人探索区域。共同项目需要的证据、修订记录和交付由双方依约承接；个人尚未提交的新问题，不因具有主题关联就自动成为共同材料。真正困难的情形是，一个私人草稿实质上使用了共同尚未公开的内容，这时需要回到贡献与约定，而不能只看文件是否被标成私人。

这要求共同体保留争议处理的位置。双方可以对某份材料的性质有不同理解，可以先限制新增使用，再由约定的程序辨认来源、贡献和此前承诺。程序不必以公开全部个人资料为代价，也不能只由权限更大的一方宣布结论。若所谓私密共同体没有成员表达不同边界的空间，它可能只是一个以共同之名运行的集中占有结构。

本书重视“我和自己”，并不因此否认共同发生的真实成果。相反，只有承认共同成果也有明确边界，才能防止任何个人把别人的发生据为己有。个体性保护与共同贡献保护应当相互约束，而不是互相成为漏洞。

六、材料中的第三个人也在场

访谈资料为本案例带来第三种位置：内容可能已经由程岚接触，但仍涉及受访者的私人发生。受访者向研究者说出某些经历，已经形成一次有限主体间性；这不意味着内容从此对任何人开放。程岚的系统若把这些经历用于对外服务，就可能使原本有限的共同发生进入新的参与范围。

所以，个人研究空间内部也不能只有“我的意愿”这一项判断。程岚可以决定自己的哪些问题进入服务，却必须同时遵守受访材料的限制。系统应当能辨认材料的来源与用途条件，不能因为已经被摘录、概括或混合，就默认所有限制消失。重新表述可能减少某些直接暴露，也可能仍然传递了不应传递的内容。

对于需要形成一般方法的研究，应当进一步区分方法抽象与私人细节保留。某次访谈使程岚意识到一种问题分类，这项认识如何表达、是否仍依赖可识别的私人故事，需要具体判断。不能给出“只要不写名字就全部可以”的快捷结论，也不能宣称接触私人材料后永远不得形成任何一般认识。关键是对外表达是否延续了原本应受限制的内容或用途，以及相关约定怎样支持这种处理。

若后续服务需要重新使用某个具体案例，就应面对新的许可问题。受访者可以拒绝，也可以仅同意有限节选。拒绝不应被记录成“不支持研究”一类人格标签。研究者的创造力不能以取消被研究者的个体性为条件，否则“我的知识”发生得越丰富，别人反而越失去作为“我”的位置。

七、边界本身也可能成为敏感内容

假设系统对外显示：“该回答涉及程岚关于家庭关系的私人笔记，因此被拒绝。”这个提示虽然没有给出笔记正文，却已经暴露了一项可能不应公开的内容。保护不能只检查文件文本，还要注意错误消息、材料名称、检索提示和权限理由是否泄露了边界内部的信息。

因此，向外部使用者解释拒绝时，不一定需要公开拒绝所保护的全部对象。可以说明当前任务不能取得相应材料，或者回答所需内容不在服务授权范围内；只有在必要且获准的情况下，才提供更具体的理由。对当事人和受约束审查者的说明，可以比面向一般使用者的说明更详细。不同说明层次有不同对象，不应一律最大透明。

这又带来验证困难：外部无法看见全部内容，怎样相信限制确实执行？答案不能是请所有人都相信运营者，而是设计与风险相称的检查方式。可以检查调用路径、权限配置、受控样例和异常处理，而不一定公开全部私人材料。这样的检查仍有局限，必须说明其范围；任何有限检查都不能被宣传成绝对无泄露证明。

在这里，边界的可验证性与内容的不公开性形成真实张力。它不能靠口号解决，却可以通过分层责任和有限证据减少冲突。本章的任务不是宣称所有困难已经消失，而是让困难取得具体位置：谁需要知道什么，何种证据能够支持什么判断，还有哪些风险未被覆盖。

八、共同体的退出与解散

私密共同体不能只规定加入，还要规定退出。程岚停止使用一项服务时，私人材料、共同材料与受访材料需要分别处理。她应当能够取回属于自己且可迁移的部分，不能由此取得其他成员的全部资料；服务方需要承接此前约定的处理，但也可能有需要保留的有限记录。这些范围应在使用前尽量明确，并允许对不合理要求提出异议。

如果共同研究终止，两人的私人区域不应因为解散而相互公开。共同成果怎样继续使用，则需要按贡献和约定处理。没有争议处理办法的解散，往往会使权限最大的一方取得全部实际控制，而让其他人只留下名义上的归属。本书把这作为设计风险提出，不把它写成所有共同体都会发生的事实。

退出还应考虑能力连续性。程岚取回了资料，却未必取回了原系统的全部运行能力。哪些方法需要重新整理，哪些服务承诺需要暂停，哪些客户需要说明，应当进入退出计划。保护的目的不是保证使用任何工具都没有成本，而是避免个人在未知条件下失去继续发生的基本可能。

由此，私密共同体可以被理解为一套受约束的支持结构：它承认不同发生的边界，允许有限参与，支持实际拒绝，保护第三方内容，并为改变和退出留下路径。它不是把所有参与者变成一个超级主体，也不是把个体性封闭在自然人的头脑内部。

下一章将从这套支持结构中抽出一条更具体的服务路径。程岚怎样借助内部知识向外提供帮助，而不让一次回答变成全部私人发生的出口？这需要把私人探索与对外服务真正拆开设计，并说明两者之间允许通过什么、不允许通过什么。