在手机设置里翻到“个性化广告”那一栏，把开关拨到关闭。过几天再看，广告并没有消失，只是从“刚聊过什么就推什么”变成了随机投放。这个细节让人不太舒服：我们以为关掉的是收集行为，实际上关掉的可能只是展示方式。
开关背后的授权惯性
数据隐私常被简化成一个勾选框。安装应用时弹出一长串条款，底部是“同意并继续”，旁边的小字写着“了解更多”。多数人不会点开，因为点开也未必看得懂。问题不在于用户懒，而在于同意被设计成通行的默认动作。默认开启、默认共享、默认保留，用户要做的不是选择，而是不断拒绝。拒绝的成本又很高：有的功能会打折，有的服务直接不可用。
这种设计把数据隐私变成了一个事后问题。等到用户想收回授权，入口往往藏在设置的三级菜单里，名称还未必叫“隐私”。可撤回是原则，但可撤回的难易程度，决定了原则是不是真的落地。
被收集的不只是点击
很多人以为数据收集就是记录搜索词和购买记录。实际范围更宽：设备型号、屏幕尺寸、网络类型、页面停留时长、滑动速度，甚至充电状态，都可能成为特征。单个特征看不出什么，叠在一起就能拼出相当稳定的轮廓。这也是为什么“匿名化”经常被讨论：去掉姓名和手机号，不等于无法识别。设备标识、时间戳和位置粒度的组合，仍然可能指向具体的人。
所以数据隐私的难点不是“要不要给数据”，而是“给到什么程度、用到什么范围、由谁来判断”。目的限制听起来抽象，落到产品里就是：为了登录收集手机号，能不能顺手拿去做画像？技术上做得到，规则上未必允许，但规则和工程之间常有缝隙。
技术能挡一部分，但会留下新的问题
差分隐私的做法是在数据里加入噪声，让统计结果可用，同时降低个体被反推的风险。联邦学习则把模型训练放在本地，只上传参数，不上传原始数据。这些思路有价值，但不是万能钥匙。噪声加多少、参数传什么，仍然由平台设定；本地训练也不等于没有信息泄露，梯度本身可能携带线索。技术方案需要配合透明说明和外部审计，否则容易变成新的黑箱。
另一个常被忽略的成本是体验。更严格的权限会带来更频繁的弹窗，更粗的位置会降低本地服务的精度。用户未必愿意为隐私付出同等代价，这很正常。隐私保护不是要求每个人成为安全专家，而是让不愿深究的人也能获得合理的默认保护。
主动权不是一句口号
回到那个开关。如果它真的有用，至少应该让用户看到：关掉之后，哪些数据不再被用于什么目的。如果只是把“个性化”改成“随机”，却继续保留收集，那这个开关更像一个情绪出口。更实际的做法是把授权拆细：位置、通讯录、使用记录分开处理；把撤回入口放在显眼位置；把“不授权也能用基础功能”写清楚。这些不需要高深技术，需要的是产品设计时把用户的选择当回事。
关于隐私的讨论容易走向两个极端：一边是“什么都不给”，一边是“给了也无所谓”。真实情况在中间。数据流动带来了便利，也带来了持续的风险。判断一个产品是否值得信任，不只看它说了什么，也看它把开关放在哪里、把默认设成什么、把撤回做得有多难。关掉开关之后还剩多少主动权，答案往往藏在这些不起眼的设计里。