来源：《法制与社会发展》2026年第6期（第146-166页）。
摘 要：场景一致性理论被视为有效识别隐私侵犯，并妥当平衡信息保护与利用的方法利器，值得高度关注。作为一套评判数据处理实践是否侵犯隐私的规范性标准，场景一致性理论以超越公私二分为逻辑起点，以“场景规范＋场景价值”为双层评价标尺，以“内部权衡”为价值平衡手段，并非简单的“具体问题具体分析”。该理论的优势在于，将隐私需求置于社会规范之中，突破了孤岛式的隐私观念，凸显了隐私的关系面向和社会维度。然而，其局限性亦不可小觑：其一，“场景”概念的不确定性减损了该理论的评估功能；其二，该理论将隐私与其他价值的冲突内化到特定的社会场景中，以实现场景价值为名掩盖了牺牲隐私的道德代价；其三，该理论清除了隐私理论中的主体性要素，造成隐私独立价值的缺漏。只有重塑隐私的规范性根基，辩护“场景可预见性”理论，并证明隐私的重要性在于，它能够维持不同社会场景的独立边界，确保主体行动后果的可预见性，才能实现对隐私的充分保护。
关键词：隐私;场景一致性;场景规范;规范能动性;可预见性
引 言
大数据和人工智能技术极大地降低了信息的收集和存储成本，也极大地便利了对信息的分析和利用。技术在为人类带来便利的同时，导致了前所未有的隐私危机。这种危机既体现在隐私保护实践层面，也体现在隐私理论层面：一方面，日新月异的技术变迁及其商业应用使得隐私侵犯的样态和规模愈发难以被预测，现有的隐私保护制度和数据保护制度不断遭受冲击；另一方面，信息资本主义的运作逻辑彻底改变了数据主体与数据处理者之间的权力关系，强调个人信息控制的主流规制范式面临失效的风险，隐私理论需要从根本上被重塑。
在此背景下，美国学者海伦·尼森鲍姆提出了一种隐私权的全新范式，即“隐私作为场景一致性”（privacy as contextual integrity）。场景一致性理论的核心主张是，隐私权既不是一种保持私密的权利，也不是一种信息控制权，而是一种确保个人信息以合理方式流动的权利。该理论的优势很明显：其一，“隐私”历来被视为极具争议的概念，试图寻找唯一正解的传统隐私理论被指责为误入歧途。场景一致性理论索性绕开了对隐私的定义，将隐私权设定为个人信息在社会场景中恰当流动的权利。这就卸掉了一块沉重的理论包袱，并实现了对隐私纠纷的差异化、场景化应对。其二，场景一致性理论超越了以个人为中心的理论传统，据称能更好地解决隐私与其他价值（如安全、新闻自由）之间的冲突，实现不同价值的和谐。这显然更适配数字经济的发展需求。
基于以上优势，场景一致性理论迅速风靡全球。在某种程度上，它既重塑了全球隐私讨论的格局，也深刻影响了隐私规制的法律实践。在美国，“尊重场景原则”直接被写进了政府的消费者隐私保护法案。在中国，法学理论界与实务界也深受场景一致性理论的影响：一方面，“场景分析”“场景化规制”等概念在学术讨论中频繁出现；另一方面，场景化标准成为法官在司法实践中用以识别隐私与个人信息、平衡个案利益的重要标准。当然，学界对该理论并非毫无异议。有学者批评，“场景”“场景规范”等概念高度不确定，导致司法机关在适用该标准评估数据处理行为时，无法获得稳定的指引，造成了同案异判的困境。也有学者明确表示，场景理论不适合用来识别私密信息（隐私）。
应如何看待这一颇具影响的理论呢？若在信息类纠纷案件中作为司法裁判的准则，场景一致性理论能否妥当地保护隐私权？若作为评估技术系统之隐私侵犯性的分析框架，场景一致性分析框架能否给出正确且有效的指引？这些问题不仅关乎隐私理论的本土化建构，还关乎法律对公民隐私的保护实践，值得被认真审视。本文旨在承担对场景一致性理论的系统性反思任务。下文将采取先“破”后“立”的路线：首先，精准概述场景一致性理论的结构，驱除对其存在的广泛误解，为下一步公允地评价它作铺垫；其次，遵循场景一致性理论自身的逻辑对其进行反思，揭示其理论局限；最后，在总结场景一致性理论之得失的基础上，辩护一种修正或改良版的场景理论，并初步勾勒新理论具有的比较优势和适用前景。本文将表明，场景一致性理论由于未能为隐私权提供一个稳固的规范性根基，造成了“隐私缺位”和“主体缺失”的双重困境，因此无法单独成为一种评判隐私侵犯成立与否的有效标准。只有超越场景一致性理论的现有框架，辩护一种“场景可预见性”理论，并证明隐私的功能在于维持社会情境的边界，确保主体行动后果的可预见性，进而提供主体发挥能动性的必要条件，我们才能确立隐私的规范性根基，并据此最终实现对隐私的充分保护。
一、场景一致性理论概述
（一）超越公私领域二分：场景一致性理论的逻辑起点
场景一致性理论的旨趣并非寻求一种周延的隐私定义，而是发展一套可行的分析框架，以判定信息技术导致的个人信息流动在何种条件下是妥当的，在何种条件下侵犯了隐私。传统隐私观认为，隐私权只保护属于私人领域的、涉及私人利益的活动和信息。其效力范围不包括已公开的个人信息，主体对此不享有正当的隐私期待。这就是隐私权的“秘密模式”。然而，尼森鲍姆认为，数字时代的主要隐私威胁并非来自私人领域，而是来自公共领域的信息碎片。大数据技术大肆收集、汇聚公共互联网上的零碎个人信息，并进行深度挖掘和分析，从而推导出全新的信息类型，获取关于数据主体的隐私信息。如此一来，隐私权与那些已然流通在公共领域的、既非私密又非敏感的个人信息产生系统性的关联，但是这种关联被“秘密模式”遮蔽了。数字技术使得隐私利益不再受限于公私领域的二元划分。在人类迈入数智时代后，公共领域的隐私利益甚至超过了私人领域的隐私利益，上述二分框架已无法适应新的隐私保护需要。这种看似矛盾的隐私需求被称为“公共隐私(privacy in public)”。
“公共隐私”的发现给传统隐私理论带来两个挑战：其一，公私二元区分已不足以作为判断信息是否应受保护的根据。根据个人信息处于公共领域这一纯粹事实，无法推出个人信息不受隐私权保护的规范性结论。其二，个人信息的属性并非固定不变，没有哪种信息因其内容而具有固有的私密性（或公开性）。在一种社会场景中应公开的信息，当流动到另一种场景时可能会转变成私密信息。因此，“私密信息”和“敏感信息”这类概念也无法作为识别隐私侵犯的标准。个人信息应受保护的强度和范围并非完全由信息的类型决定，判断隐私侵犯的重点也不在于信息所处的领域究竟是私人的还是公共的，而是要高度敏感于场景。因此，场景一致性理论将隐私识别从一种“全有或全无”的二值逻辑变成一种复杂动态的综合判断过程。这就为解决隐私问题提供了新的可能性。
高度敏感于场景的底色使得场景一致性理论经常被误读为“具体问题具体分析”的简单口号，但它实际上是一套精致的、体系化的分析框架，其理论精华凝聚在“场景规范”之上。社会场景由特定的隐私规范表征，这些规范界定了何种内容具有适当性，以及信息传输应遵循何种约束条件。场景规范包含场景、参与者、信息类型、传输原则四个关键参数，它们构成场景一致性理论审查信息流动的锚点：在何时、何地（场景），谁（参与者）向谁（参与者）为何和如何传输（传输原则）了什么信息（信息类型）？场景规范是判断信息流动是否合理的首要标准，进而成为研判技术实践是否侵犯隐私的关键尺度：如果新技术引发的信息流动改变了上述某个（些）参数，那么它就会被标记为违反了既有的场景规范，并且构成对场景一致性标准的初步违反。一旦新技术突破了既有场景规范的限制，那么技术开发者或应用者就被推定为初步构成侵犯隐私。这一规则被形象地命名为“红旗规则”。
（二）“双重一致性”：场景一致性理论的结构
由于场景规范本质上是一种社会惯习和惯例，因此，场景一致性理论目前还只是一个描述新技术实践是否打破既有惯例的“指示器”（类似于一个温度计），尚不足以成为一个能够评估这种新实践是否具有正当性的规范性指引。为了使该理论同时具备描述（解释）和评价（指引）功能，也为了避免其陷入“要么保守，要么激进”的两难困境，必须将一种独特的道德元素引入场景一致性框架。尼森鲍姆明确提到了两种可备选的道德元素：一种是“一般性的道德政治考量”，另一种是“场景价值”。前者是指在传统理论中与隐私权紧密关联的普遍价值，如尊严、自主、亲密关系和民主；后者是指能够定义一个社会场景之本质的价值或目标，是场景的构成性要素，例如，医疗场景的价值是提供医疗服务，教育场景的目标是传承知识、培养人才。尼森鲍姆认为，引入场景价值才是场景一致性理论超越传统理论的独特优势。
场景一致性的分析框架可在一个案例中展现。过去，医生将病人信息记录于纸质材料。在医院引进电子医疗数据记录系统后，病人信息被统一录入互联网云端。按照场景一致性分析框架的第一阶段评价，新系统显然扰乱了既有的场景规范，因为它扩大了信息接收者的范围。原本只有医生能接收到病人信息，但现在云存储和网络服务商也获取了信息。根据“红旗规则”，新系统应当被初步判定为侵犯隐私。在引入场景价值后，场景一致性分析框架开启了第二阶段的评判。要害是，将病人信息披露给第三方是否有损于该医疗场景的内在价值（即提供有效治疗）？对此，应仔细分析。为了让医生对病人进行准确的病情诊断，并提供有针对性的治疗方案，病人有必要向医生提供一些平时不会向其他人提供的敏感个人信息。在医患关系中，存在一条默认的隐私规范：医生有义务不泄露病人在就诊时分享的个人信息。基于对医生的信任，病人会更放心地分享敏感信息。然而，新系统的引入让这种信任落空了，个人信息出乎意料地落到了服务商手中。这必然会打击病人分享病情信息的意愿，最终影响医生对病情的精确诊断。在这个意义上，新技术损害了医疗场景价值的实现，因此违反了场景一致性标准。对该案例的分析说明：
首先，新技术之所以被评价为侵犯隐私，不是因为它剥夺了病人对敏感个人信息的控制，或增加了他人获取信息的机会，而是因为它导致信息流动变得不可预测，进而损害了医疗场景价值的实现。这意味着，在场景一致性框架中，控制要素并不是最重要的考量，场景价值才是关键。因此，在一个极为重要的节点上，场景一致性理论与传统隐私理论拉开了差距：场景一致性理论主张，应主要根据依赖于场景的（context-dependent）具体价值，而非那些与隐私直接相关的、独立于场景的（context-independent）普遍价值，来判断技术系统的合法性。
其次，在引入场景价值后，场景一致性理论对新技术的评价结果不必然比传统理论（如控制论）的评价结果更加激进，也不必然更加保守，因为一切判断都需要根据特定场景的目标和价值来进行。当新技术扩大了信息接收的范围时，它违反了既有的场景规范，触发“红旗规则”，被初步判定为侵犯隐私。然而，场景规范的效力不具有终局性，它只是场景一致性判断中的中间评价层次。场景规范必须敏感于、受约束于其背后的终极场景价值。若新技术被证明比既有实践更好地实现了该场景的目标，那么即便新技术初步违反了既有的场景规范，因为与规范背后的场景价值保持了一致，场景一致性理论仍会为它亮起“绿灯”。场景一致性分析框架将最终判定：由于隐私权保护的是个人信息的合理流动，因此，新技术非但没有侵犯隐私，反而确保了隐私权的实现。
最后，只有在场景价值这种道德元素被引入后，场景一致性才是一个完整的分析框架。场景一致性具有“双重一致性”的复杂结构，它提供一种两阶段的评价，所谓“一致性”（integrity）也具有两层含义：第一，信息流动与场景规范保持一致；第二，场景规范与场景价值保持一致。作为一种评价隐私的实质道德理论，场景一致性理论融合了规范和价值这两种要素：规范是相对固定的标准，提供比较明确、具体的指引，但在技术迅猛发展的信息社会，规范有时失之僵化。场景价值更具有一般性和灵活性，能够弥补规范的不足。因此，这种融合增加了该理论的吸引力。在剖析场景一致性理论的结构之后，下文进入批判环节。
二、对场景一致性理论的反思
前已提及，场景一致性理论具备“避免隐私定义陷阱”和“实现隐私与其他价值之间的调和”的优势，下文将检视其能否兑现承诺。场景一致性理论的优势不宜被过分夸大：首先，尽管场景一致性理论绕开了富有争议的隐私权概念，但这不意味着它提供的评价标准比竞争理论提供的评价标准争议更小。其所依赖的“场景规范”“场景价值”概念同样具有高度的不确定性，这不仅削弱了场景一致性理论的评估和指引功能，还加剧了相关司法裁判结果的不可预见性。其次，场景一致性理论将隐私与其他价值的冲突内化到具体社会场景之中，低估了隐私保护需求被牺牲的代价，怠于提供对隐私的周全保护。最后，场景一致性理论清除了隐私理论中的主体要素，从而遮蔽了隐私所具有的独立价值，造成了“隐私缺位”和“主体缺失”的困境。
（一）场景的不确定性与场景标准的失效
在适用场景一致性标准时，界定“当下的场景是什么”是首要步骤，随后参与者、传输原则等场景规范要素才能被确定，场景价值也才能被确定。因此，“场景”关系到该理论的解释力和可操作性。究竟何为场景呢？“场景是结构化的社会环境，具备标准化活动、角色、关系、权力架构、规范（或规则）以及内在价值（目标、宗旨、目的）等特征。”尼森鲍姆强调，场景的认定是一种价值中立的发现过程，且对大多数社会场景的认定存在普遍共识。其作出如此强调的目的是，最大限度地弱化在适用场景一致性标准时面临的价值争议。然而，对场景的界定是一个包含价值判断的建构过程，具有高度的不确定性。将当下实践情境界定为何种场景，直接决定了下一步依据哪些场景规范来评价信息流动的合理性，进一步决定了哪种价值在当下的价值权衡中具备优先地位。因此，对场景的界定是一项规范性诠释和论证工作，且受制于各方观察者的解释立场。针对同一个情境，当不同参与者的视角或立场产生冲突时，对场景的界定会马上陷入不确定状态。这类冲突通常是在法庭论辩中无法绕开的。
实际上，不但场景的建构是价值问题，而且后续比较和评判新技术实践与既有实践在促进场景目标上孰优孰劣，仍然是价值判断问题，同样面临着不确定性。前述医疗场景的情境可被变换为，为了打消病人的顾虑，医院将病人信息记录在一套由医院自主开发、维护和运营的数据存储系统之中，以此避免信息传输给第三方服务商。同时，医院在该系统中部署了一种分析、挖掘病人健康信息的程序，以此提高医院对个人健康的诊断水平，并协助卫生部门更及时地发现传染病。根据医疗场景的信息规范，该系统依然违背了保密规范，损害了医患间的信任。然而，当技术引发的社会效果是多方面的时，对场景目标的不同诠释就会产生不同的终极评价。除此之外，数字媒介中的信息传播缺乏清晰边界，场景模糊和场景重叠现象十分常见，更有全新的场景不断涌现。这进一步加剧了场景界定的不确定性。
因此，“场景”概念不比“隐私”概念更加稳定和清晰。这意味着，诉诸场景一致性标准来裁判，不能为司法带来足够的稳定性和可预期性。有学者指出，在场景一致性标准被用于识别对已公开信息的处理行为是否合法时，该标准无法给出清晰的指引。也有学者发现，当法院借助它来识别私密信息时，法律适用不统一的乱象更加突出。“司法实践中‘场景理论’因缺乏普遍的方法论指导甚至成为法官消弭个人信息私密属性的‘光鲜外衣’，成为借以自行发展隐私理论的不受限制的‘驰骋之地’。”当然，场景一致性标准在实践中表现不佳，部分缘于人们对该标准的误解和误用。然而，其自身原因亦不可小觑。它没有说清楚，到底由谁、根据什么来界定当下的场景？当针对同一社会情形存在多种建构可能时，如何给出可靠的场景定性，进而确定主导性的信息规范和场景价值？场景一致性框架多处涉及价值判断，这不必然导致其彻底失效，但至少表明，其承诺的那种实践效用应被重新评估。
（二）场景中的价值权衡与隐私牺牲代价
尼森鲍姆认为，场景一致性理论的突出优势是，能够更好地处理隐私与其他价值之间的冲突，促进价值间的整全与和谐。它能够实现这种和谐状态的秘诀有两个：第一，它能够破解我们对隐私的错误执念。它将隐私理解为“适于场景的信息流动”，而非一种保密或控制措施，因此，技术系统只要与场景规范、场景价值保持了一致，就不会与隐私产生矛盾。第二，传统隐私理论处理价值冲突的方式是一种“外部权衡”，而场景一致性理论提供了一套独特的“内化”价值冲突的分析框架。这两种权衡方式的差异如下：
以机场安检为例，机场对旅客进行登机前的安检是一项惯例。安检除了包括对旅客的身体和包裹进行电子扫描，以及安检员手动搜身，还包括后台分析、追踪旅客在不同机场检查站的通行情况。在“外部权衡”的视角下，安全被视为与隐私相冲突的价值，严格安检被认为损害了旅客对身体隐私与行踪隐私的控制，但为了安全，旅客只能放弃一部分私密信息控制权。在“内部权衡”的视角下，场景一致性理论否认隐私与安全之间必然冲突。它将当下情境建构为一种航空运输场景，直接将安全设定为该场景中应当被优先保障的场景价值。如此一来，问题就从“如何权衡与选择隐私与安全”转变成了“在交通运输的场景，个人信息的妥当流动应当是怎样的”。在场景一致性框架下，原本非此即彼的抽象价值（如隐私与安全）被安置在一个具体场景中通盘权衡，围绕着“如何有效实现场景目标”这个终极标准被重新评估。
应如何评价这种“内部权衡”方式呢？场景一致性理论将隐私理解为个人信息在场景中的恰当流动，这就把隐私权看成了一种总是与其他价值纠葛在一起的权利。与其说场景一致性理论是一种隐私理论，不如说它本质上就是一种权衡隐私价值与其他价值的操作指南。第一，虽然“内部权衡”方式有所创新，但场景一致性理论将各种价值全部内化到具体场景中，并未根本改变价值竞争和权衡的性质，更不能让价值冲突的难题自动消解。原因在于，场景一致性理论对场景的界定本质上是一种建构过程。建构者将哪种价值设定为当下的场景目标，本身就是价值判断和选择。在机场安检的例子中，我们至少有两种建构运输场景（及其目标）的方式：一种是将其界定为最大限度的安全输送旅客的场景；另一种是界定为在尊重旅客之个人自主与人性尊严的前提下，以一种安全快捷的方式输送旅客的场景。这两种建构方式之间的竞争本质上就是一种价值选择，只不过被改头换面了而已。
第二，“内部权衡”方式存在着“以保护隐私之名，掩盖牺牲隐私之真相”的风险。当场景一致性理论将运输安全设定为机场安检场景的内在目标时，它已经通过一种隐蔽的方式确立了安全价值的绝对优势，彰显个人信息控制利益的诉求都必须在场景价值（安全）的“指挥棒”下被重新评估。换言之，隐私诉求必须在安全诉求的标尺下被重新校准。其效果是，我们确实不再需要艰难地权衡隐私与安全孰优孰劣，但这并非因为场景一致性理论神奇地实现了两者的和谐，而是因为它通过事先抬高安全价值的方式使其处于价值优先地位，进而让隐私丧失了与安全进行价值竞争的资格。因此，相比于“外部权衡”，“内部权衡”更容易遮蔽价值权衡过程必然伴随的代价。在价值权衡中牺牲掉某种重要的价值，本身就是一种遗憾或损失，即使这种牺牲是不可避免且可辩护的。当隐私确实与其他价值存在冲突时，最佳结果当然是找到一种双赢的方案。如果二者实在不可调和，那么，我们便只能将损失降到最低，或事后给予必要补偿。因此，隐私可能会被牺牲掉，但我们应当坦率地承认这种损失而非掩盖它。场景一致性理论将价值冲突内化到场景中，并用场景价值压倒隐私价值的做法掩盖了真实的权衡过程，模糊了实现场景目标所必须付出的代价。这是值得警惕的。
（三）一种“隐私缺位”的隐私理论
场景一致性理论将场景价值而非隐私本身的道德价值，作为评价新技术是否侵犯隐私的首要标准。这种价值排序彰显了其看待隐私的一种基本立场：隐私本身不具有独立于场景的价值，隐私价值只是偶然地附着于各种不同的社会场景中。这一立场将使场景一致性理论陷入“隐私缺位”的困境，继而无法有效应对新的实践难题，也将大大减损其作为一种隐私理论的吸引力。
1. 规范空心化：场景一致性理论如何应对数据挖掘的挑战？
在评判技术是否侵犯隐私时，场景一致性理论高度依赖具体的场景规范和价值，而非隐私本身的价值和功能。一旦采取这种迂回策略，当场景要素失效时，该理论反而无法解释一些典型的隐私侵犯情形。最明显的就是数据挖掘（data mining）技术对场景一致性理论造成的挑战。数据挖掘技术在网络时代获得广泛的社会应用。它通过抓取、汇聚和分析用户的数字足迹（网购记录、搜索记录、出行轨迹等）和已公开信息，推断出一系列关于用户个人偏好、行动模式、社会关系的新知识。这些知识大多是数据主体无法预见他人会获知、他人不易察觉的隐私信息。典型案例是2012年《纽约时报》刊发的报道：沃尔玛旗下的零售公司Target通过分析消费者的购买记录，预测出一名未成年消费者的怀孕状态，并向其家中寄送母婴用品的广告和优惠券，之后遭到了监护人的投诉。据挖掘技术强大的分析和预测能力让民众产生了巨大的隐私担忧。
场景一致性理论能否解释数据挖掘技术的隐私风险呢？按照该理论的逻辑，挖掘已公开的个人信息会构成隐私侵犯。在数据主体毫不知情的情况下，数据挖掘使得在某一场景中发布的信息被用于另一场景，甚至被转移到一个尚不存在信息规范的全新场景中。这种使用方式违反了原初场景的信息规范，因此成为大众恐慌的原因。然而，问题是，援引场景因素（场景规范和价值）来解释数据挖掘的隐私挑战是否足够可靠？场景一致性理论有一个关键预设：线上环境是线下制度和场景的延伸，技术只改变信息流动的方式，但未改变引导和约束信息流动的原则。因此，线上的信息流动必须被还原到现实世界的某个社会场景中。场景一致性理论必须依据现有的隐私规范来进行判断，后者是其评估新技术实践的不可或缺的参照系。场景一致性理论的优势在于，其通过丰富的意义来界定隐私期待。尼森鲍姆自己承认：“只有将发送方、接收方与信息主体理解为处于特定情境身份（角色）的行动者，同时依据场景本体对各项属性（数据或信息类型）作出界定，规制数据流转的各类许可性、禁止性规范才对普通人具备实际意义。唯有依托这套术语框架，我们才能够把握数据流转对社会的意义，并制定出既维护受影响各方的利益，又维护场景（进而维护社会）一致性的监管规则。”然而，麻烦之处在于，场景一致性理论的预设在大数据环境中很难再成立，其运作机制在以下两个方面遭遇严峻的挑战：
第一，在数据挖掘中，个人信息经历了“去场景化”的过程。数据挖掘所使用的原始数据来自不同的数据库，推导出来的新信息与原初数据所处的场景不存在直接关联。数据脱离了原来的社会场景，参照原初的社会场景已经不合适。然而，对于作为推导结果的新信息，我们根本没有现存的场景规范可以参照，此时场景因素无法发挥作用。既有的规范与价值已被技术改变，而新体系尚未成型，于是规范真空难题出现了。第二，一般的信息处理关系往往是消费关系、劳动关系、网络用户服务关系等，这类社会纽带关系是约束信息处理行为的规范依据，也是促使信息处理者保护隐私的内在动力。然而，在数据挖掘中，也许根本就不存在一一对应的信息发送者和接收者，数据挖掘者与信息主体之间也不存在任何的社会联系和纽带，更没有任何的信任关系。总之，数据挖掘技术具有“场景抽离”的效果，场景一致性框架无法将新信息还原到某个具体的社会场景中。这就阻碍了它将技术引发的信息流动精准地“投射”到由场景规范和场景价值编织的规范意义网络之中，因而使它无法判断信息流动到底是尊重还是侵犯了隐私。本文把场景一致性理论所遭遇的这种困境称为“规范空心化”现象，即场景规范和价值被技术掏空，使该理论分析框架丧失批判和评价功能。
2. 隐私独立价值的缺失：场景一致性理论如何成为评价性理论？
场景一致性理论不认为隐私是一种独特的价值。当个人信息在不同的社会领域之间流动时，只要流动遵循了各领域的场景规范和价值，隐私就得到了充分的保护。传统上被视为彰显隐私独特诉求的信息控制论与限制访问论只是具体场景中可有可无的信息传输原则。这种将隐私权“化整为零”，分散到各个社会场景中分门别类地处理的方式，使得隐私权就像是飘在水中的“浮萍”，始终没有稳定的价值“锚点”。这意味着，场景一致性理论并未将隐私界定为某种独立的价值，而是将其视为能够容纳不同价值权衡的框架体系。“隐私权”只是社会成员在就如何管控数据流动达成某种协商结果之后，产生的一个副产品。隐私诉求和隐私利益本身未作为一个关键的输入项参与到这个协商过程中，也未对该协商结果产生任何规范性的影响。换言之，隐私权本身没有创造出其应有的实践差异，隐私机制也未发挥其特有的社会功能，隐私权本身的独特规范力量被消解了。
由于缺乏对隐私独立价值的有力阐述，因此，场景一致性理论面临着“规范性基础薄弱”的批评，难以充当一种妥当框架来评估新技术带来的隐私影响。何以如此呢？其一，在某些社会场景中，因为大型互联网平台占据着绝对的支配地位，用户与平台之间的权力不对称性使得用户根本无法参与信息规范的制定、变更和废止过程，所以既有的场景规范和价值本身就是这种不平等权力的“镜像”。该标准如果被作为评估信息流动之合理性的基准，那么大概率会导致隐私侵犯。
其二，技术对用户的隐私期待具有缓慢侵蚀作用。当不公的技术实践以不易察觉的方式调整数据流动，进而渐进地瓦解隐私时，场景一致性理论难以有效阻止这种“滑坡效应”。例如，当大众普遍使用某平台来进行日常交流和办公时，大众会越发习惯接受该平台对个人信息的收集和处理，久而久之，新的隐私期待和信息规范便会形成。这就是技术对实践和规范的缓慢侵蚀作用。如果场景一致性理论将场景规范作为评判信息交流是否合理的唯一标准，那么一旦那些缓慢侵蚀隐私的技术应用被普及或被广泛接受，技术就会反向塑造场景规范和价值，偏向隐私保护的规范“防线”会不断地被突破且不断倒退。此时，不诉诸那些独立于场景的普遍价值，仅仅依靠场景规范和场景价值，根本无力扭转困局。原因在于，场景规范及其背后的场景价值都只是反映该场景内部现有权力关系的一面“镜子”，只能为新技术提供“背书”，却无法超越场景，并提供一种评判该场景本身的规范尺度。
其三，面对那些引发社会生活结构剧烈变革并严重冲击现有场景规范及价值的新技术，场景一致性理论同样会陷入困境。场景一致性理论的评估标准必须基于场景中既有的规范与价值体系，而这类“颠覆性”技术形态恰恰从根本上破坏了社会规范、价值、预期与信念，引发了特定场景中既定的规范与价值的深层变革，最终导致场景一致性理论丧失了评价的根基。这类技术已超出了场景一致性框架的有效评估范围，致使其要么无法识别实质性的隐私侵犯，要么异化为给威胁隐私的技术作辩护的工具。说到底，由于场景一致性理论无法为隐私提供坚实的规范性根据，因此，仅仅依据场景规范和价值尚不足以维持该理论作为一种道德评价标准的地位。本文认为，场景固然重要，但隐私应当具有一种独立于场景的价值，这是评价技术系统的首要标准。下文的任务就是补齐场景一致性理论的短板，为隐私的独立价值给出一种辩护，对隐私的重要性作出更佳的阐释。
三、修正场景一致性理论：隐私理论的批判性重构
(一)如何破局：夯实隐私的规范性根基
如上所述，场景一致性理论本质上是一种“隐私缺位”的隐私理论。这突出表现在，它始终未能给隐私权提供一个独立的正当性论证，即隐私的规范性根基未被确立。这导致了两种理论后果：其一，场景一致性理论无法妥当地区分隐私利益与对隐私构成限制的竞争性利益，即无法有效辨析，特定场景中的规范指向的究竟是个体的隐私利益，还是技术公司对该信息的权益诉求。我们无法确定，当个人信息流动满足“双重一致性”标准时，受到保护的究竟是隐私还是其他利益。因此，场景一致性理论有“以保护隐私之名，行损害隐私之实”的嫌疑。这在其“内部权衡”方式中体现得最为明显。其二，当隐私的独立价值被遮蔽时，场景一致性理论既无法应对技术新常态导致的渐进式隐私侵蚀，又无法阻止颠覆性技术引发的规范真空所导致的骤变式隐私侵犯。破解困境的根本出路是，补齐场景一致性理论在规范上的短板，即为场景一致性理论寻找一项证成隐私的元原则，从而夯实隐私的规范性根基。
如果深挖理论病灶，我们就会发现“隐私缺位”的根源在于，场景一致性理论是一种“主体缺失”的隐私理论，它在一个关键意义上忽视了隐私诉求与主体之间的深刻关联。何以如此？场景一致性理论的功能是，评估信息技术所引发的隐私挑战。隐私权被视为一项确保个人信息在社会场景中合理流动的权利。技术引发的个人信息流动被分解为收集、处理和传播等各个环节。这种划分实际上预设了信息流动的线性结构：数据主体（data subject）被安置在“数据食物链条”的底端，只在链条的初始环节（即数据收集阶段）扮演一种数据提供者的消极被动角色，而在后续环节，主体要素（如尊严和自主）对于评判数据处理实践的正当性并未发挥重要作用，由此，主体的规范重要性被遮蔽和弱化了。在这个意义上，场景一致性理论存在“主体缺失”。因此，重塑隐私的规范性根基需完成双重任务：既要让主体要素重新回归到隐私理论，也要赋予隐私一种超越具体社会场景的独特且独立的价值。下文将辩护“场景可预见性”理论，以修正和改良场景一致性理论，并重构隐私理论。
在对新理论展开论证之前，有必要分析场景一致性理论中值得保留的成分。尽管场景一致性理论具有上述诸多局限，但它最不应该被埋没的一项贡献在于，它开启了一条不同于既往隐私理论的研究路径。传统理论以信息控制或限制访问来解释和论证隐私权益。隐私被视为个体免受非自愿的关注或侵扰的消极独处权。据此，可以说隐私的功能在于隔离。隐私主体也被设想为自足的理性人，能自行判断和权衡其信息被收集、使用或披露的利弊得失。隐私的重要性因其保护的个体利益和个人价值而得到辩护。这是一种关于隐私的“个人主义路径”，也被称为“隐私自我管理模式”。该路径主导了当今世界各国隐私与数据保护法的设计理念和制度安排，但随着数字网络技术的深入发展，其受到的质疑越来越多。核心质疑在于，该模式的实践效果不佳：个体由于认知局限无法对信息收集和利用的效益和风险作出有效评估，因此也无法作出理性的同意选择，自我管理模式最终不利于隐私保护目标的实现。
与传统隐私路径不同，“场景一致性揭示合理的信息流通对社会价值的影响，不断挑战隐私只存在个人价值的认识误区”。场景一致性理论主张跳出个人权益的狭隘视角，它向我们揭示了：个人信息的流动总是内嵌在一定的社会场景之中，且隐私关乎个体与其周围环境（他人）的互动。保护隐私之目的在于促进个体的人际交往，而非使个体脱离社会，化为“信息孤岛”，因此隐私必然具有深刻的关系性和社会性维度。这使得隐私理论不再局限于个人偏好，而是将焦点导向了关系价值和社会价值。因此，一种新的隐私范式——“社会本位路径”逐渐赢得学界青睐。场景一致性理论就是“社会本位路径”的标志性成果。总之，场景一致性理论的深刻洞见在于，它正确地强调了社会要素在塑造隐私期待与隐私利益中的重要性，从而引导我们关注主体与社会环境的互动。这既打破了关于隐私的刻板印象，也挑战了自由主义哲学传统中“孤立式自我”的狭隘观念。这正是我们重构隐私概念时必须保留的理论精华。
(二)重构隐私：引入“场景可预见性”理论
前文已明确，补救场景一致性理论的关键是，在保留其核心洞见又避免其缺陷的基础上，重塑隐私的规范性根基。笔者认为，“场景可预见性”（privacy as contextual predictability）理论可堪大任。其主要观点是：隐私的核心功能在于，通过局部披露、观众区隔、匿名化等方式，维持不同社会场景的独立边界，从而为理性主体创造可预见的行动环境。保护隐私是确保主体发挥规范能动性的内在要求和必要前提，因此隐私的规范性根基建立在主体的能动性之上，而非社会场景之中。围绕上述观点，下文的论证分为三步：一是从“感知”这个维度考察人的规范能动性具有何种结构和属性。笔者将重点表明，主体的行动选择必然包含着对“他人会如何感知该行动”和“行动会衍生何种后果”的考量，对这些因素的预判和评估内在于主体的行动结构中。二是说明隐私在何种意义上构成主体能动性的前提条件，重点强调隐私对维持可预见的行动环境所具有的重要作用。三是结合数智技术对相互区隔的社会情境所造成的颠覆性破坏及其对主体能动性的压制，从反面论证隐私的独特价值。
1. 规范能动性的一般结构及其感知维度
通过自身的行动来改变外部世界，并将行动归因于自身的能力被称为能动性（agency）。一个人能够对自己值得过什么生活形成某种观念和设想，进而作出选择和规划，并努力去追求和实现这种规划。这是一种独属于人类的“规范能动性”。然而，人并非抽象的能动者，个人的行动从来不是凭空产生的。作为一种无法摆脱自身限制条件的行动者，我们必须根据自己在环境中感知到的需求、机遇和风险，持续调整行动视阈和行动判断框架。这是一个行动者与周围环境（他者）持续协商和动态博弈的过程：行动者需精密计算潜在的收益与损失，并将这种成本效益分析纳入关于行动之风险与回报的认知框架之中。隐私在一种特殊维度上关乎行动的风险与回报：我们的行动过程与后果能够被他人看到、听到或认知到，会收到来自他人的评价和反馈。因此，主体对行动的选择始终包含着对其自身可被他人感知之程度，以及行动之衍生后果的预判和评估。通常而言，在评估所处情境中的行动选择时，一个自主的行动者会参照以下因素：一是行动者面对的是何种感知者（即行动的预期观察者），二是对方因掌握行动者的信息而对行动者具有何种支配力，三是行动者的行动曝光所产生的社会后果是什么。以上各种因素会随着具体情境和具体关系的变化而变化，行动者需要对它们具备某种程度的掌握，才能充分发挥能动性。
他人所掌握的关于我们个人的信息会影响他人评判我们的方式，这种被审视的体验又反过来塑造我们的自我认知，影响我们的行动选择。因此，我们在人际互动过程中需要选择如何呈现自我，选择如何让他人认知和理解自我，而且这种呈现需要敏感于具体的社会情境，并随具体的社会关系变化而调整。因此，披露什么信息、向谁披露、披露到何种程度，这种“可感知维度”的考量就成为内在于我们的行动选择之中的结构性要素。在这个意义上，主体的能动性是一种可感知的能动性（perceptible agency）。它决定了我们需要掌握的、影响我们行动选择的可见性及行动的衍生后果，于是隐私机制（即决定他人能够在何种程度上观察或认知我们的所作所为、所思所想的机制）就成为发挥规范能动性的必要前提条件。
2. 隐私作为情境区隔机制：隐私与主体能动性的内在关联
根据上文，隐私与主体能动性的关联便一目了然了：人类对隐私的需求深深地植根于主体对行动后果之可控性和可预见性的追求之中。作为一种受限于具体情境条件的行动者，我们会尽力确保每一次行动所衍生的社会结果都是可控的和可预期的。当行动后果能够直接追溯到个人身上时，我们更需要带着对后果的稳定预期来作出相应的判断和选择。多元化的隐私机制和隐私规范（如观众区隔、局部披露、匿名化）就是限制行动之社会可感知性，进而限制其社会后果的必要手段。这些手段构成了主体能动性的内在要素和前提条件。隐私创造了一个确保主体行动之社会影响有限且可控的环境，让主体得以自主地作出行动选择。因此，主体凭借隐私以保持自身的相对的不可见状态或部分的私密状态，并不意味着消极地疏离世界；恰恰相反，这种状态为个体有序参与社会互动和发展其自主性创设必要的条件。
隐私机制如何影响主体的行动能力呢？以观众区隔为例，根据戈夫曼的“拟剧理论”，观众区隔是指，作为“表演者”的主体在开展社交活动时，通过分组、设限及屏蔽等方式对“观众”进行不同程度的分隔与剥离，从而针对不同的受众群体实现不同的印象管理策略。观众区隔本质上是一种对行动边界的区隔以及对行动后果的管控。在不同的社会关系和情境中，面对不同的受众，主体根据具体的行动参数——需求与风险、行动者与观察者之间的权力支配关系、社会声誉、潜在社会后果等一系列因素——会作出相应的调整。因此，以观众区隔为代表的隐私机制本质上就是一种边界管理手段，充当了我们自主行动的“安全缓冲带”和“防火墙”的角色。例如，当我知道自己向亲友披露的个人信息极易被截屏发布在网络社交账号上，进而被无法共情的公众获知并曲解时，我就会本能地抑制自己的分享欲望。因为原本应限定在亲密关系中的言行一旦被迫外溢到其他迥异的关系和情境当中，不仅会让信息主体遭受断章取义的误判，还会造成破坏性的社会后果。无隐私环境之所以引发普遍担忧，正是因为它消解了各类社会情境之间的独立边界，要求人们时刻“感知”自我身份的所有面向，也要求个体为其所有的行为承担统一责任，无视具体社会角色的差异。数字网络技术正加速模糊公私领域的界限，加剧私人言行暴露于公众审视之下的风险。人们依靠隐私机制将言行后果限定在恰当情境和边界中的能力遭到严重破坏。由此可知，隐私的核心意义就在于，让人们能够在不同的社会情境中展现不同的自我，自由地开展不同的行动选择。它对于主体能动性的发挥具有关键作用。
3. 场景可预见性：网络环境中隐私保障主体能动性的根本逻辑
数智时代网络传播环境的突出特征就是不可预测性。无处不在的监控技术、跨情境的身份识别技术和难以预料的数据挖掘技术，让信息的收集、传播和使用大大超出了普通民众所能掌控的程度。主体的行动环境产生了前所未有的变革，日常生活的各个方面逐渐被不透明算法支配。这进一步导致，我们无法再对行动产生的可追溯后果作出合理的预判，更无法对其实行控制。这些现象共同构成了一种无边界情境（unbounded contexts）：我们不知道自己在网上泄露了什么信息，谁能接触到这些信息，他们如何评估这些信息，以及基于这些信息会对我们作出何种决定。一种缺乏隐私机制庇护的数字化环境让社会情境丧失了可预见性。它突破了时空限制，超越了人类的感知范畴，致使我们难以将自身的信息暴露控制在一种有限且可预期的范围内。当数字环境不再是一个边界清晰且可认知的社会空间时，它加剧了选择环境的不可知性与不可信赖性，最终从根本上损害了主体的自主行动能力。
第一，主体的能动性会因为网络信息的跨场景无序流转而被压抑。网络环境具有普遍联结、时刻在线与永久记忆的特征。个体行动的信息会迅速溢出原初场景，向难以预测的场景传播扩散，而且难以磨灭。例如，网络用户持续遭遇情境坍塌（collapsed contexts）的困境，不同受众群体和关系圈层被扁平化为同一集合。用户不得不同时驾驭多重的、冲突的社交场域，行动后果变得不可预测。为了最大限度地降低风险，用户会采取“最大公约数”策略，只披露那些适合所有受众的内容。缺乏隐私的体验会压缩信念与行动的自由空间，促使用户选择趋向温顺平庸的主流范式，也会极端压制或挫伤用户的行动欲望，引发“寒蝉效应”。此时，主体能动性所遭受的侵犯不在于原本私密的行动被暴露于公众视野，而在于隔绝不同行动场域的边界遭到了瓦解，限制不同情境之行动后果的“保险装置”走向了崩溃。第二，主体能动性会因为数字网络的信息过载而被架空。当平台凭借数字画像技术，根据我们无意间泄露的数字痕迹或有意分享的个人信息，以微不足道的成本，洞悉我们的深层隐私，并能精准预判我们未来的行动模式和需求时，它们就可能会直接绕开我们的能动性与未来决策。有学者形象地描述了行动者面临的这种窘境：如果别人能轻而易举地获取并分析我的数据，有谁还需要倾听我讲述自己的故事呢？此时，数字环境对主体能动性的破坏是“釜底抽薪”式的。它从根本上消除了我们根据情境化的、关系性的环境条件来作出行动选择的必要性。我们发挥主体能动性的空间和机会被彻底剥夺了。
4. 小结
作为一种具身化、情境化的行动主体，我们总是基于自己感知到的环境空间和条件来选择行动方案，总是在内部需求、外部风险与未来预期之间进行动态调校。我们渴望自身行动的可见性及其相应的后果能够被限制在大致可预期的范围之内。这恰恰是隐私需求产生的根源。隐私构成了自主性的条件，因为它确保人们能够扮演与情境相适应的角色，维护了人们在该情境领域内行动的能力。隐私的核心功能就是，在各个社会场景之间建立一种认知边界或屏障，维持各类场景的相对独立性，从而使行动者能够策略性地操纵自身行动的可见性和可感知性，以确保自身行动后果的可预见性，最终为自主行动创造必要条件。因此，隐私与主体能动性具有深刻的耦合性：一方面，隐私提供了维持我们作为自主的行动者所需的必要条件；另一方面，主体能动性就是隐私的规范性根基所在。笔者将这种关于隐私功能和价值的新阐释概括为场景可预见性理论。
(三)取长补短：场景可预见性理论的比较优势
场景可预见性理论是对场景一致性理论的修正和超越，是一种“取长补短”。其中，“取长”体现在两方面：其一，它继承了场景一致性理论的优势，二者都突破了“个人主义路径”的窠臼，凸显了隐私之社会维度和公共面向。在数字网络社会中，信息成为万物沟通共联的媒介，传统理论将隐私的功能简化为与他人疏离、与公共隔绝的做法面临挑战。场景一致性理论的洞见在于，它揭示了：隐私保护的目标并非建立一道信息屏障；隐私理论需要摆脱消极封闭的主体图景，从人际交互的角度重新认识隐私的价值。场景可预见性理论保留了这一洞见。一方面，它拒绝将主体视为“原子化”的孤立个体，而是高度重视主体发挥能动性所需的社会条件和关系因素。场景可预见性理论重塑了一种嵌入社会的、敏感于具体情境的主体形象。另一方面，场景可预见性理论主张，保护隐私是一种维护社会情境之独立边界的手段。主体对隐私的需求不是为了构筑从社会隐退的孤岛，而是为了确保个人信息的披露情境和处理过程具有可控性和可预见性，从而为社会互动和自主行动创设必要条件。这意味着，场景可预见性理论坚持了场景一致性理论开辟的“社会本位路径”的隐私范式。
其二，场景可预见性理论保留了场景一致性理论突破公私二分窠臼，将隐私利益延伸至公共领域的优势。场景一致性理论用场景规范中的动态参数来替代公私二分法，进行隐私评估。这种拒绝“一刀切”的方式使其能更灵活地研判数字技术带来的隐私威胁，也能更精准地甄别“公共隐私”引发的新的隐私保护需求。场景可预见性理论继承了这一洞见，将隐私视为一种关系性的、情境式的概念。由于社会可见的行动必然会产生社会效应，主体的行动选择始终包含着对自身行动的可见性及其社会后果的预估，因此，主体发挥能动性的过程必然敏感于具体的人际关系和社会情境。当人们无法判断自己所处场景的属性，无法预判受众的身份，也不清楚受众对自己有多少了解时，人们便无法自如地塑造形象，无法作出理智的行动选择。因此，主体能动性的发挥始终依托社会情境和关系展开。既然隐私的功能是规范不同生活场景、不同社交场合之间的互动边界，并以此确保主体行动环境的可预见性，那么，行动者对隐私的需求就必然总是因场景、因关系而异的。
更值得关注的是，场景可预见性理论在三个方面实现了对场景一致性理论的修正和超越，实质上改变了后者的底层逻辑和理论品格：其一，场景可预见性理论克服了场景一致性理论无法有效论证隐私之独立价值的困境，化解了“隐私缺位”和“主体缺失”的困境。在场景一致性理论中，隐私权像是飘在水中的“浮萍”，始终没有稳定的价值锚点。场景一致性理论无法回答一些深层次的问题：为什么人类需要这种场景式的、关系性的隐私？当个人信息在原初处理场景之外被滥用时，这到底侵犯了主体的何种利益？为何我们会将其体验为一种“隐私”侵犯？本文认为，在场景一致性理论被修正为场景可预见性理论之后，上述问题便可被妥善回答：在一个根本的层面上，人类对隐私的需求关乎如何限制和控制自身行为的社会影响，隐私为人类开展各类核心活动构筑必要的环境。隐私的核心功能是，维持各类社会场景之间的独立边界，以确保人类行动及后果的可预见性，最终为自主行动创造必要条件。因此，隐私的规范性根基建立在主体的能动性之上，而非社会场景之中。场景可预见性理论本质上是一种基于能动性的隐私观（agency-based conception of privacy）。在这个意义上，场景可预见性理论找回了遗失的“主体性”，并通过为隐私权提供一种独立且可靠的正当性基础，弥补了场景一致性理论存在的“隐私缺位”的缺陷。
由此可知，尽管两种理论都高度重视隐私诉求的“场景依赖性”，但是场景因素在二者中的作用存在差异：在场景一致性理论中，评估隐私侵犯的首要标准是场景规范与场景价值；而在场景可预见性理论中，隐私需求虽然与行动的情境条件紧密关联，但真正能够为隐私设定边界的，是作为隐私价值根基的主体能动性，而非场景（规范及价值）本身。场景可预见性理论依旧重视场景的作用，但是其主张，场景只是一种辅助因素，无法充当隐私评估的主导标准，因为隐私的首要功能不是实现场景的目标和价值，而是为主体行动提供可预见的和可信赖的环境。
可能会有人质疑：场景可预见性理论将隐私的价值奠基于主体的能动性之上，这不是让隐私理论重新滑向“个人主义路径”吗？其实不然。场景可预见性理论表明：当隐私遭受破坏时，对个人而言，场景区隔机制的崩溃将导致行动可预见性的缺失；对社群整体而言，隐私遭受破坏可能导致诸多基本的社会实践和交往无法正常进行。换言之，作为一种边界区隔机制，隐私是使得多元化、异质化的行动规划和生活实践得以可能的基础条件。因此，隐私保护既与每一个具体的人相关，又与公共的社会结构相关。在这个意义上，“隐私就像是空气，只有在失去它的时候，我们才能深切地感受到它的重要性”。因此，根据场景可预见性理论，隐私的保护对象是各种社会场景中涉及所有能动主体的公共价值。这种价值比场景一致性理论设想的具体场景目标（如教育场景中的人才培养目标、医疗场景中的诊疗目标）更具有根本性，因为前者是后者的前提条件。
其二，场景可预见性理论正因为奠定了隐私的独立价值根基，所以在很大程度上弥补了场景一致性理论的诸多缺陷。一方面，场景可预见性理论在界定社会场景及其目标时，通过优先采纳数据主体的特定视角，可有效限缩场景目标的诠释范围，确立主体价值的优先序列，以此降低法官进行价值选择的不确定性。另一方面，如前所述，当场景规范中蕴含的隐私期待阈值不断被技术压低时，场景一致性理论无法应对技术缓慢侵蚀隐私的新常态。当颠覆性技术导致信息流动到尚未定型的全新场景（场景规范要么模糊、要么缺失）中时，它无法找到妥当的规范参照系来评估隐私侵犯。由于隐私未获得一种独立于场景的价值论证，因此，一旦场景因素无法适用，场景一致性框架就无法正常识别隐私侵犯。然而，场景可预见性理论有效克服了这种困境，它为评判数据处理行为的合法性提供了更有效的规范性标尺。根据场景可预见性理论，隐私会为技术实践设定一些普适性的底线要求和基础性的信息规范。无论场景如何变迁，无论主观的隐私期待如何被侵蚀，那些严重损害主体能动性的隐私侵犯行为均会被禁止。
其三，场景可预见性理论不仅具有理论上的优势，而且在实践层面能克服场景一致性理论无法有效评估数据挖掘技术的难题。场景一致性理论的逻辑是，基于实质的场景规范来评估数据流动，即通过对比原初场景中与后续场景中的各项规范参数，识别隐私侵犯。“评估数据流动首先需要识别出与场景一致性理论要素不符的偏差，在此基础上，根据具体场景中的利益、价值和目的进行比较评估。”这意味着，我们只有在能捕捉到电信号、点击记录、页面浏览记录这类原始数据的意义，并将其映射到场景规范之上时，才能运用场景一致性框架判断，数据流动是尊重抑或侵犯了隐私。麻烦在于，一方面，原始数据并不具备明确的隐私语义。我们很难参照原初的场景及规范来预判，这些底层数据在经过整合后，会衍生出哪些具备隐私风险的复杂信息。另一方面，如前文所述，数据挖掘技术具有“场景抽离”的效果。我们无法将作为挖掘结果的“新信息”投射到某个新场景中，以此判定是否发生隐私侵犯。如此一来，由场景规范和场景价值所编织的意义网络被数智技术“掏空”了。场景一致性理论无法对全新的数据流动模式进行评估和判断，其判断框架失灵了。
实际上，当既有的场景因素难以直接适用时，我们仍可借助其他的规范性资源来解释数据挖掘技术所引发的隐私担忧。一旦将场景一致性理论改造成场景可预见性理论，我们便不需要“刻舟求剑”式地比较前后的场景规范要素，而可以直接通过认定该技术所引发的全新的数据流通方式是否具有可预见性，来判定其是否构成隐私侵犯。可预见性关涉的是，事件的发生能否被预判？落实到隐私话题中，待预判的对象是在特定的社会交互场景中主体自身信息的传播范围，或者说行动的可见性及其衍生后果。受隐私保护的行动环境在哪些方面具有可预见性呢？根据场景可预见性理论，当行动者凭借具体的社会情境条件筹划行动时，隐私机制在以下四个方面确保行动的可预见性：他人预期可获知的信息类型是什么，某一行动的预期观察者是谁，他人获知信息的预期方式是什么，行动者的自身可见性是否超出了实现其预期行动目标所必需的限度。可以看出，数据挖掘技术恰恰在这些方面破坏了隐私：
首先，挖掘结果（即关于数据主体的“新知识”）完全超出个人预期：一方面，数据挖掘技术的“输入端”是已公开、碎片化的用户浏览或交互记录，而“输出端”却是针对个人的各类精细化、私密性的推断，这造成了数据敏感度的陡然升级。另一方面，被挖掘出的新信息是通常只对拥有“第一人称权限”的本人开放的核心隐私信息（如个人的深层欲望、情感与信念）。这些反映了个人人格剖面的信息，除非本人自愿披露，或他人采取不正当的手段获取，否则普通人难以触及。其次，数据挖掘技术让主体的信息暴露在意料之外的观察者面前。数据挖掘技术利用一小部分平台用户的数据来训练并构建具备高预测能力的分析模型，随后将该模型用于推算所有其他用户的隐私信息。这意味着，数据挖掘技术让平台不仅能利用甲自愿分享的信息推断出用户乙刻意隐藏的信息，甚至还会给与平台无关的第三方丙带来隐私威胁。这就让数据分享行为具备了难以预见的社会外部性，使一小部分人在无意间划定了适用于所有人的隐私保护底线。这给主体带来的隐私威胁在于，即使平台从未直接调取主体留存的任何信息记录，即使主体从未参与任何的信息分享，主体的隐私仍然被出乎意料地暴露在某个评判者面前。最后，数据挖掘技术获知个人隐私的方式完全超出了主体的预期。人类获取他人信息的广度和深度始终受到一些结构性限制：要么是注意力、时间、精力成本的限制，要么是观察视角的限制，要么是规范性条件的限制（例如，道德和法律禁止偷听和偷窥）。这意味着，一个人在行动、信念与情感等方面的诸多信息，在现实中本应当无法被他人完全知晓，处于隐匿状态。然而，AI驱动的数据挖掘技术完全不受上述限制。它能够以极快的速度和极低的成本，实现数据之间的交叉关联与整合推理。这就导致了远超主体合理预期的信息生成与流动方式。
根据场景可预见性理论，主体之所以能够进行自主的行动规划和选择，就是因为他人从主体披露的信息中作出的推理大致是可预见的。数据挖掘技术带来的隐私担忧在于，它使主体难以将自身的信息暴露控制在一种有限且可预见的范围内，从而破坏了主体发挥规范能动性的前提条件。因此，场景可预见性理论能够在场景规范及场景价值失效的情况下，凭借“可预见性”的规范性原理，直接有效地回应数据挖掘技术带来的隐私挑战。
(四)法律适用：场景可预见性理论与目的限制原则
作为场景一致性理论的修正与改良理论，场景可预见性理论不仅具备“取长补短”的比较优势，还能够有效衔接我国的数据保护法律制度。限于篇幅，下文仅以“目的限制原则”这一《个人信息保护法》中的“帝王条款”为例，阐释该理论的法律适用空间。作为全球数据保护法领域公认的基石性原则，目的限制原则是支撑透明性、问责制等数据保护制度的先决条件，因此被视为数据保护法的“帝王条款”。笔者将表明，场景可预见性理论与目的限制原则存在着高度的契合性，前者为后者提供了最基本的法理依据。场景可预见性理论是理解目的限制原则的一把关键“钥匙”，进而能为破解该原则的解释和适用难题提供规范原理上的指引。
GDPR第5条第1款（b）项规定：“个人数据的收集应当具有特定、明确和正当的目的，且后续处理不得与该目的不兼容。”《个人信息保护法》第6条第1款规定：“处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。”目的限制原则的核心要求是，在某一情境下为特定目的收集的个人数据，不得被随意挪作他用，以此限制个人数据被用于个人意料之外的不当目的。欧盟第29条数据保护工作组就目的限制原则与主体对数据处理目的之合理预期的关联作过专门说明：“我们在向他人提供个人数据时，通常会对数据的使用目的抱有合理预期。恪守此类预期、维护信任关系与法律确定性具备重要价值，这是目的限制原则成为数据保护核心保障和基石的原因。”由此可见，目的限制原则就是场景可预见性理论在法律上的制度表达。其核心使命就是，确保数据处理活动造成的风险始终被限制在主体可预见（合理期待）的范围之内。
根据法条规定，目的限制原则可拆解成两个子原则，一是目的特定原则，二是目的兼容原则，但二者的适用标准均不确定。作为目的限制原则的精神内核与法理依据，场景可预见性理论可以在两个方面助力该原则的适用：其一，场景可预见性理论可以引导目的限制原则的解释方向。在对处理目的之特定性与兼容性进行审查时，欧盟各成员国的做法不一。例如，比利时以主体的合理预期作为适用该原则的核心标尺，德国与荷兰采用利益衡量审查模式，希腊则将该要件与数据处理的透明、合法、公平三项基本原则绑定适用。要破解如此混乱的适用困境，关键在于回归目的限制原则的法理依据。根据场景可预见性理论，法律保护隐私的核心目标是，维持各类社会场景之间的独立边界，以区隔主体在不同场景中的行动及其社会后果，为人类开展各类核心活动构筑可预见的信息环境。在数字时代，个人数据最令人担忧的用途就是，在某个系统内为特定目的收集的数据，在另一完全不同的情境和系统中被用于其他目的。目的限制原则就是为了缓解这种担忧，保障人们能够提前预判其个人数据将会被如何处理。对数据处理者来说，遵守目的限制原则就是其向数据主体作出的“庄严承诺”，它是支持人们在数据环境中自愿分享信息的信任根基。
如此便可明确，目的限制原则的主旨是，确保信息流动的可预见性，让人们无需担忧，在某一情境中已知的信息会在另一情境中被用作对自身不利的工具。因此，目的特定和目的兼容要件的判定也应当围绕着可预见性（合理期待）来展开。实际上，这就是第29条工作组的解释方向。如果一项处理目的足够具体、清晰，那么自然人就可形成合理预判，数据处理方式因而具备可预见性。在我们对后续处理行为开展兼容性审查时，可预见性同样是核心考量要素。通常而言，倘若后续处理与初始目的之关联度不足，且结合数据收集时的客观背景，后续处理超出了数据主体在收集阶段的合理预期，则该后续处理不符合要求。例如，平台爬取司法公示系统公开的律师信息，用于商业营销，或者酒店将旅客信息批量传输至境外总部，用于会员广告推送，均明显超出数据主体的合理预期，违反目的限制原则。欧洲人权法院的一系列判例也表明，法院在认定数据处理是否符合目的限制原则时，将可预见性作为核心切入点。因此，场景可预见性理论对目的限制原则明显具有解释指引功能。
其二，场景可预见性理论能够扩展目的限制原则的适用空间，使其更好地实现在公私法场景中的差异化适用。与私主体处理个人信息的场景不同，不同行政机关为实现多元行政目的而进行的信息共享行为，具有隐蔽性、累积性、高风险性的特点。由于缺乏直接作用于信息主体的权力外观，当事人无法得知其个人信息被用于初始目的之外的目的，因此，目的限制原则的适用难度非常大。此时，应引入场景可预见性理论，帮助目的限制原则摆脱个人信息控制论的底色，赋予其更有力的规范性基础。可预见性是现代法治的核心要求，是统摄公私法律部门的普遍原则。可预见性这一法治要求一旦被注入目的限制原则，就能够对行政机关无边界、无限制地共享和利用个人信息的行为施加强有力的约束，增强信息主体对信息处理风险及相关防范措施的可预见性。总之，通过剖析场景可预见性理论对目的限制原则这一“帝王条款”的规范性指引，我们得以管窥其在数据保护法律领域中的适用空间和前景。这再次表明，作为场景一致性理论的修正与改良理论，场景可预见性理论能够在法律领域落地生根，推动隐私与个人信息保护实践的进步。
结 语
在场景一致性理论被引介至国内法学界后，大量文献采纳该理论框架来分析实践难题，这大大刺激并推动了关于隐私和个人信息保护的讨论。毫不夸张地说，这是网络时代最重要、最炙手可热的隐私理论之一。然而，正因为它深刻地影响了隐私保护的理论与实践，所以我们不仅要看到场景一致性理论开辟的新的可能性，还要正视其局限性。稍显遗憾的是，目前学者们对此只提出了一些碎片化的质疑，更系统和深入的反思尚付阙如。因此，本文在深入剖析场景一致性理论之内在结构的基础上，重点检视了该理论在适用过程中可能存在的局限性，进而针对性地提出，将场景可预见性理论作为对场景一致性理论的修正和改良方案，力求能够既吸收其理论洞见，又克服其缺陷，从而为正确评估数字技术引发的隐私侵犯或风险提供更合理的标尺。无论成功与否，笔者都期待这一抛砖引玉的初步尝试能够激发更多有益的探讨，以推动理论的革新。
《法制与社会发展》2026年第6期
