装一个新应用，弹窗连着跳出来：通讯录、位置、相册、麦克风。多数人手指一滑点了“允许”，不是因为不在意，而是拒绝的成本被设计得很高——不允许，功能就用不了。这个瞬间很短，但它决定了后面很长一段时间里，谁能在什么条件下看到你的什么。
数据隐私的现实处境大概就是这样：它很少被正面剥夺，更多是在一次次“为了方便”的交换里被稀释。没有人强迫你，可选项本身已经被预先筛过一遍。
同意很容易，知情很难
“告知—同意”这套机制运行了很多年，问题在于两端都在变形。告知越来越长，长到没人读；同意越来越快，快到只是一个点击动作。当选择只剩下“接受”和“离开”，同意就退化成了仪式，它证明流程走完了，却不证明用户明白了。
更值得留意的是派生数据。原始信息之外，行为轨迹、停留时长、设备特征这些碎片被拼接起来，能还原出远比用户想象中完整的画像。人们对“我填了什么”通常有感知，对“我被推断出什么”几乎没有。数据隐私的难点往往不在第一条信息，而在后面那些被组合出来的结论。
把计算搬到数据旁边
技术侧这几年有个方向值得关注：让计算靠近数据，而不是把数据搬到计算那里。端侧推理在手机本地完成识别，只把结果传出去；联邦学习在训练时交换模型参数，不交换原始样本。这类思路不能解决所有问题——参数本身也可能泄露信息，聚合结果仍有被反推的风险——但确实缩小了暴露面，把“全量上传”变成了“按需上传”。
另一条路径更朴素：数据最小化。不是先收上来再说，而是先问一句“这个功能到底需要什么”。做产品的人知道这很难，因为数据留着总有用。但“可能有用”恰恰是风险最喜欢藏身的地方，收集时的理由越模糊，日后被挪用的空间就越大。
边界不是一个人能守住的
也需要承认，隐私不是绝对权利。公共安全、欺诈识别、系统稳定性，都需要一定程度的数据流动。真正的分歧不在“要不要保护”，而在“谁来决定例外、例外如何被记录和审查”。这些问题靠个人谨慎解决不了，它更接近制度设计与工程习惯的问题：默认关掉还是默认打开，权限是一次性授予还是每次询问，日志留多久，谁能看。
对普通人来说，能做的有限但具体：把不常用应用的后台权限关掉，对与功能无关的索取多问一句——一个手电筒为什么要读通讯录。这些动作改变不了全局，但能让自己从“默认允许”里稍微退出来一点。
值得警惕的，从来不是某一次授权，而是把“被收集”当成使用互联网的默认代价。当这种默认变成常识，再谈选择就晚了。