装完一个新应用，第一次打开，弹出三页协议。中间那个按钮是深色的，边上的选项浅灰，字号也小一号。手指悬停半秒，点下去。这个动作一天要重复好几次，快到已经不觉得它是个决定。
我们讨论数据隐私时，常常默认这是一道开关题：同意，或者不同意。可真实情形更像一条连续的光谱——哪些字段被收走、交给了谁、在什么场景下使用、留多久、能不能撤回。协议通常只把第一格涂满，剩下的留给想象。
同意被设计成了一件麻烦事
有一种疲惫是共通的：弹窗一个接一个，说明写得很长，看得懂的部分又不足以支撑判断。很多人最终会点“同意”，不是不在意，而是把判断成本推给用户本身，本身就是一种效率很高的采集方式。
于是，把选择权交回去，未必等于尊重。另一种做法是把默认值调低一点：表单里不需要的字段不填，日志里能脱敏的先脱敏，权限等到真正用到那一刻再申请。用户不必读懂条款，也能得到一个更干净的结果。
先存下来，以后再说
写代码的人大概都熟悉这种惯性：先把埋点加上，字段先写入数据库，“以后分析可能用得上”。存储便宜，删除麻烦，删除流程往往没人愿意写。几年下来，库里堆着大量没人打开过的表。
这些数据没有产生任何价值，却实实在在扩大了风险敞口——一旦权限配置出错、备份流转到别处，或者某个内部接口忘了鉴权，它们就都成了暴露面。从这个角度看，没被使用的数据更像负债，而不是资产。在这个意义上，数据隐私的对手往往不是恶意，而是顺手。
把计算搬到数据旁边
技术上有一条正在被认真对待的路径：与其把原始数据搬到中心，不如把计算搬到数据旁边。端侧处理让照片、语音、输入习惯留在设备上，只上传必要的结果；联邦学习让模型参数而非样本流转；差分隐私在统计结果里加入噪声，让个体难以被反推。这些手段各有代价：端侧算力有限，模型效果会打折扣，噪声加多少也要在可用性和保护强度之间找平衡。聚合后的数据在多维度交叉时，仍可能指向某个具体的人，这一点不能当作不存在。
也有该收的数据
把采集一概视为可疑，同样粗糙。故障排查需要日志，异常登录需要识别设备特征，这些是服务能正常运转的前提。区别在于目的说得清、期限写得明、访问留得下痕迹：为排查故障收集的日志，就不该顺手拿去做别的事情；三个月够用，就不必留三年。
对个人来说，值得养成的习惯不多，但有几个：
- 授权时留意“始终允许”和“仅本次”的区别，后者多数时候够用；
- 定期翻一遍账号里的第三方授权，把不再使用的应用解绑；
- 对要求通讯录、短信权限却说不清用途的应用，直接放弃。
这些动作改变不了整个局面，但能让“默认”稍微偏向自己一点。
数据隐私最终不是一劳永逸关闭的开关，更像一段需要持续维护的关系：你交出什么，换来什么，什么时候可以收回。产品设计者愿不愿意在默认值上多留一分克制，用户愿不愿意在点下那个深色按钮之前多停半秒，大概决定了这段关系往哪边发展。