Z8.03.2Purpose specification设计研究
告知内容需说明采集目的而非仅采集事实
别名: 目的特定 · purpose limitation · 采集目的告知
概念解释
「本区域设有监控」不是充分告知——有效告知必须说明为什么采：影像用于防盗、计数用于客流调度、录音用于设备故障诊断。这一要求通常叫目的特定（purpose specification）：告知的核心内容是用途，不是设备存在的事实。
区别的实质：被采集者对采集的评估不按数据类型进行（有没有摄像头），而按「他们拿它做什么」进行——同一台摄像头，防盗留存与实时行为分析在心理与规范意义上是两回事。只说事实不说目的，等于扣下了评估所需的原料；被采集者既无法判断这个采集对自己的性质，也无法行使后续权利（向谁要求何种数据的删除与更正）。
机制
- 目的是评估的输入：人对采集的风险判断依赖用途框架——「用于安防」与「用于画像」激活完全不同的规范预期。事实性告知（「有摄像头」）把评估悬置，悬置状态下的默认解释往往偏向不信任。
- 目的是对运营方的约束：公开声明的用途构成自我限制——目的限定（purpose limitation）原则的实操层。公共传感的典型滑坡是目的蔓延（function creep）：为防盗装的摄像头后来被用于客流画像、行为分析、甚至外部调阅；声明过的目的是事后审查「超范围使用」的锚点，没有它，蔓延无从界定。
- 可理解性的单位：普通人能推理的单位是目的短语（防盗/客流统计/消防监测），不是传感器型号、技术参数或法条引用。目的短语把技术黑箱翻译成社会可评估的行为类别——这是告知作为「翻译层」的功能。
怎么研究
- 隐私声明可读性研究：关于通知形式的效果比较是隐私领域的成熟方向——短通知、分层通知（入口一句+详情可查）、图标化通知对阅读率与理解率的影响；结论一致指向长条款无人读，形式决定有效度。
- 目的框架实验：同一采集行为配不同目的陈述，测信任度与接受度差异——目的陈述对接受度的影响在隐私研究中是稳定效应；这类设计可直接迁移到公共传感告知的评估。
- 目的蔓延的案例研究：监控与数据系统用途扩张的事后分析（部署时声明与数年后实际用途的对比），提供蔓延路径的经验描述。
方法论注意点：「目的回忆率」要与「存在回忆率」分开测——很多人记得「有监控」但说不出用途；两种回忆的差距就是事实性告知与目的性告知的差距，也是告知升级的优先级依据。
边界
- 告知不能替系统设计兜底：声明「客流统计」却部署可识别人脸的摄像头，告知再清楚也是系统性误导——目的声明与实际技术能力对齐是告知真实性的前提，错配的告知比不告知更坏（它消耗了「告知可信」这个公共品）。
- 多目的必须拆分声明：同时用于安防与营销分析的采集，把目的捆绑成一句「改善服务与安全保障」等于没有目的特定；拆开声明并尽可能分开可拒，是目的限定的最低实现。
- 目的可评估性判据：过于宽泛的目的（「提升用户体验」「安全保障」）不构成有效目的；检验标准是被采集者能否据此推断「与自己相关的后果」——推不出的目的是装饰。
- 告知内容的构成才是这一层的主题；位置、显著性、持续性与责任主体归同组其他知识点，不在此展开。
怎么落地
- 标识模板固定四要素：类型图示、一句人话的目的、运营主体、投诉/查询入口；目的短语控制在普通人可推理的具体度（「用于防盗留存 30 天」而非「用于安全保障」）。
- 标识上的目的用语与数据登记文本逐字对齐，防止标识与登记两个版本漂移。
- 目的变更是告知触发器：新增用途、换分析服务供应商、延长保留期，都要同步更新标识与登记——把告知纳入数据变更审批流，而不是设施装修的一环。
- 验证办法：拦截调查分别测存在回忆率与目的回忆率，以后者为验收线；目的变更后复查一轮。目的回忆率长期偏低的，问题在措辞具体度与位置，不在告知次数。