O1.08.1Contextual integrity设计研究
信息流动的适当性取决于原始情境
别名: 情境完整性 · 情境信息规范 · contextual informational norm
概念解释
情境完整性（contextual integrity）把隐私理解为个人信息流是否符合特定社会情境中的正当规范，而不只是信息是否秘密或用户是否点击同意。一条信息流需要同时说明信息主体、发送者、接收者、信息类型和传递原则；角色、目的、保密、互惠或强制等条件改变，适当性也可能改变。同一事实在医疗、家庭、教育和商业情境中并无统一流动规则。
机制
社会情境由活动目标、角色关系、权力结构和长期形成的规范组织。人们披露信息时依赖这些结构预测谁会知道、以何种身份使用以及是否能继续转传。技术把角色压成“用户”、把信息压成“数据”、把条件压成一次授权时，原本限制流动的意义会丢失。隐私侵扰由此常表现为规范参数被替换，而不一定是秘密被公开。
怎么研究
研究可把具体流动写成五参数情景，分别操纵发送者、接收者、主体、信息类型与传递原则，让参与者评价可接受性、意外程度和理由。访谈与情境调查用于发现当地角色和规范，析因实验用于估计哪些参数改变判断。多数意见不是规范正当性的充分证明；分析还需考察情境目标、权力不对称、受影响方和既有规范是否本身不公。
边界
情境不是地理位置或单个界面页面，而是具有角色与目的的社会活动；同一设备上可同时存在多个情境。既有规范也并非永远正确，歧视性、压迫性或因新能力而失效的规范需要批判评估。人们对新技术尚未形成稳定预期时，单纯问“是否符合预期”会冻结现状，不能替代对利益、权利和公共价值的论证。
怎么落地
- 为每项信息流写明主体、发送者角色、接收者角色、信息类型和传递条件，不用“平台使用数据”概括。
- 访谈各受影响角色如何理解活动目标与合理流动，尤其寻找弱势参与者和隐性接收方。
- 将新设计与既有流动逐参数比较，标出改变发生在哪里、谁受益、谁承担新风险。
- 用成对情景测试只改变一个参数是否显著改变判断；若用户无法预测真实接收者或条件，先修正数据流或说明，再验证理解。