为什么数字 ID 时代需要把匿名性作为权利来保护
身份确认扩展后，匿名阅读、咨询、调查、支持和发言的空间会变窄，因此需要把匿名性作为权利来保护。
社会中的许多手续正在数字化。
行政服务、银行、通信合约、支付、年龄确认、票务、教育、医疗、职场手续。在各种场景中，身份确认开始在线上进行。
数字 ID 和数字公共基础设施有时会为了便利和包容而使用。
但是，如果身份确认成为所有场景的标准，匿名阅读、咨询、调查、发言、支持的空间就会变窄。
本文不是讨论数字 ID 本身的赞成或反对，而是整理在身份确认扩展到社会的时代，为什么需要把匿名性作为权利来保护。
什么是数字 ID
数字 ID 是在在线或数字手续中确认本人或属性的机制。
它用于以数字方式确认姓名、出生日期、地址、国籍、资格、年龄、所属、支付资格、行政服务使用资格等。
| 场景 | 被确认的事 | 变得便利的事 |
|---|---|---|
| 行政手续 | 本人、地址、资格 | 手续在线化 |
| 金融服务 | 身份确认、交易资格 | 开户和支付 |
| 年龄确认 | 年龄或成年确认 | 确认服务使用条件 |
| 教育和资格 | 在籍、毕业、资格 | 出示证明书 |
| 医疗和福利 | 使用资格、身份确认 | 提高给付和预约效率 |
有些场景确实需要身份确认。
问题在于，无法区分真正需要身份确认的场景和需要匿名性的场景。
身份确认扩展后会发生什么变化
身份确认扩展后，“以姓名进行的活动”会成为标准。
最初只用于重要手续的东西，可能扩展到 SNS、搜索、新闻阅读、支付、交通、活动参加、咨询窗口、教育内容、年龄确认。
| 扩展到哪里 | 发生的变化 | 对匿名性的影响 |
|---|---|---|
| SNS | 实名或已完成身份确认的账号受到优待 | 匿名发言更容易被视为可疑 |
| 搜索和浏览 | 更容易留下以用户为单位的历史 | 调查的自由变弱 |
| 支付 | 购买历史与本人信息连接 | 兴趣和支持对象变得可见 |
| 交通和入场 | 移动和参加记录与本人连接 | 现实行为更容易被追踪 |
| 咨询窗口 | 咨询前要求身份确认 | 变得更难求助 |
身份确认逐个来看，有时会显得合理。
但是，如果在整个社会中累积，能够匿名行动的领域会缩小。
需要匿名性的场景仍然存在
即使身份确认变得便利，需要匿名性的场景也不会消失。
相反，在记录增加的社会中，匿名性的必要性会提高。
| 场景 | 需要匿名性的理由 | 身份确认过强时的问题 |
|---|---|---|
| 烦恼咨询 | 保护家庭、健康、学校、职场情况 | 咨询前就退缩 |
| 内部举报 | 保护举报者和相关人员免受报复 | 在组织内更容易被怀疑 |
| 信源保护 | 保护提供信息的人 | 接触事实被记录 |
| 公民活动 | 保护参加者和支持者 | 活动历史与本人连接 |
| 少数群体发言 | 与多数派和权力保持距离 | 发言成本变高 |
匿名性并不是只为了不愿意身份确认的人而存在。
它是弱势处境中的人为了在不害怕报复和监视的情况下采取必要行动而需要的条件。
一旦成为标准，就难以恢复
当身份确认成为社会基础设施时，匿名性更容易被视为例外。
“既然可以确认身份，那就确认身份好了。” “想匿名使用是可疑的。” “为了安全，应该确认所有人。”
如果这种想法扩散，匿名性就不再是权利，而会变成被允许的例外。
| 变化 | 发生的事 | 对匿名性的影响 |
|---|---|---|
| 身份确认标准化 | 匿名使用成为例外 | 匿名本身受到怀疑 |
| 服务之间使用 ID | 行为历史横向连接 | 整个生活的关联变强 |
| 扩展到民间服务 | 不必要的身份确认增加 | 阅读、观看、参加的自由变窄 |
| 替代手段减少 | 没有 ID 就不能使用的场景增加 | 成为事实上的强制 |
| 问责与说明不足 | 难以知道谁看到了什么 | 难以提出异议 |
一旦形成“身份确认是理所当然”的前提，恢复匿名性就会变得困难。
正因如此，需要从一开始就保护能够匿名使用的领域。
即使是自愿，也可能成为事实强制
数字 ID 有时会被说明为“自愿”。
但是，如果社会主要服务都以它为前提，即使自愿，也会成为事实上的强制。
如果学校、职场、银行、通信、行政、交通、活动、医疗、支付都依赖同一个身份确认基础，不使用的选择就不再现实。
| 表面上 | 实际发生的事 | 注意点 |
|---|---|---|
| 自愿使用 | 没有 ID 会变得不方便 | 不选择的人被排除 |
| 安全对策 | 所有行为都被要求身份确认 | 增加没有必要性的确认 |
| 便利性 | 一个 ID 可以用于许多场景 | 行为被横向连接 |
| 防止不正当行为 | 匿名使用受限 | 正当的匿名使用也会失去 |
| 效率化 | 人工咨询和例外处理减少 | 弱势处境的人被卡住 |
重要的不是否定所有身份确认。
而是限定需要身份确认的场景，并保留可匿名或以假名使用的场景。
良好设计所需的条件
即使使用数字 ID，也需要保护匿名性和隐私的设计。
如果只优先身份确认的便利，整个社会的监视性会提高。
| 条件 | 含义 | 与匿名性的关系 |
|---|---|---|
| 最小披露 | 只显示必要属性 | 不交出实名或全部历史 |
| 选择性披露 | 只示出年龄确认等必要部分 | 不交出不必要的本人信息 |
| 目的限制 | 限定使用目的 | 防止用于其他目的追踪 |
| 分离 | 让服务之间的历史不易结合 | 削弱横向画像 |
| 替代手段 | 保留不使用 ID 的手段 | 避免事实强制 |
| 审计和说明 | 可以确认谁看到了什么 | 更容易发现权限滥用 |
特别重要的是，不要把身份确认扩展到不需要身份确认的场景。
只是阅读、只是调查、只是寻找咨询对象、只是查看支持信息的场景，需要保留匿名性受到保护的余地。
匿名性并不与安全对立
匿名性有时会被描述成与安全对立。
但是，对弱势处境中的人来说，匿名性本身就是安全。
对逃离家庭暴力的人、害怕职场报复的人、遭受歧视的人、信源、内部举报者、少数群体来说，强制身份确认有时会增加危险。
| 人 | 匿名性保护的东西 | 身份确认过强时 |
|---|---|---|
| 受害者 | 所在地、咨询内容、移动 | 接近加害者或周围人的线索增加 |
| 内部举报者 | 资料提供者、咨询路径 | 报复对象被缩小 |
| 信源 | 接触事实、提供内容 | 信息来源受到怀疑 |
| 活动参加者 | 参加历史、同伴、会场 | 波及职场或家人 |
| 普通个人 | 健康、家庭、兴趣、过去 | 连接到未来的不利影响 |
如果以安全之名消除匿名性，真正需要安全的人会先陷入危险。
匿名性是社会安全装置的一部分。
一旦允许，匿名就不再是权利
匿名性不是只在需要时临时给予的特权。
匿名阅读的自由。 匿名调查的自由。 匿名咨询的自由。 匿名支持的自由。 匿名发言的自由。
如果这些失去，不被权力、组织、多数派、加害者看到的地方就会减少。
如果不断以“这次没办法”为由允许身份确认扩展，匿名性就不再是权利，而会变成只有管理者许可范围内的例外。
为了保护匿名性，社会需要区分需要身份确认的场景和应当保留匿名性的场景。
总结
数字 ID 和数字公共基础设施有时会帮助便利和包容。
但是，如果身份确认扩展到所有场景，匿名阅读、调查、咨询、发言、支持的空间就会变窄。
匿名性并不只是为了坏事。
它是受害者、内部举报者、信源、活动参加者、少数群体、普通个人为了与不当监视和报复保持距离而需要的东西。
有些场景确实需要身份确认。
正因如此，重要的是不要把身份确认扩展到不需要的场景。
把匿名性作为权利而不是例外保留下来，是守护数字 ID 时代安全与自由的条件。