Z8.03.3No exit from public sensing设计研究
缺乏选择余地是公共监控区别于个人设备的关键
别名: 无从选择 · mandatory exposure · 公共监控的结构性
概念解释
个人设备的传感再侵入，用户手里有退出杠杆：关权限、卸载应用、换设备、换品牌。公共空间的传感没有对应物——不进入被覆盖的车站、医院、街道，就无法参与社会生活；不存在「无监控入口」的选项。被采集者对公共监控是结构性无从选择的。
这个差别决定两类传感的正当性逻辑不该相同：公共监控的正当性不能拿「用户同意过」来辩护，因为它拿不到真同意——告知牌提供的是知情，不是选择。公共监控的正当性来源只能是替代机制：法律授权、比例原则、独立监督、可追责主体。个人设备靠「同意+市场退出」，公共监控靠「授权+问责」，是两套完全不同的结构。
机制
- 同意框架失效的条件：同意成立要求可以在不损失重大利益的前提下拒绝。进入公共空间是社会参与的必要条件，拒绝的代价是社会排除——「进来看牌即同意」在结构上就不是自愿，无论告知写得多清楚。这不是告知设计能修复的缺陷，是场景的构成性属性。
- 正当性来源的转移：既然同意不可用，约束只能来自采集方之外——授权（谁批准的、依据什么）、比例（侵入强度与目的相称：防盗用留存式标清与全城人脸实时比对不同量级）、监督（独立第三方可审查）、问责（有能被找到、能被追责的主体）。这些机制共同替代「用户用脚投票」的市场约束。
- 选择缺位的不均匀分布：无从选择对不同人群代价不同。对多数人是隐私偏好问题，对被跟踪风险高的人（家暴幸存者、活动人士、特定身份群体）是安全问题——「参与社会=被定位记录」对他们意味着施害者可借助公共系统找到自己。评估公共监控时用「平均用户」的隐私观，会系统性低估最脆弱者的暴露。
怎么研究
- 监控研究与隐私理论：surveillance studies 对公共监控的定性分析，以及情境完整性（contextual integrity，Nissenbaum）框架——以「信息规范是否被场景性改变」评估公共采集的适当性，为「同意之外如何评估」提供理论工具。
- 接受度比较研究：个人设备传感与公共传感的接受度差异调查；同一技术（人脸识别）在手机解锁与公共空间布控两种语境下的接受度差距，是「结构差异影响评估」的直接证据。
- 感知选择感测量：告知后的被采集者对「我有没有选择」的主观测量——研究一致发现公共语境下感知选择感接近零，即使告知完备。
方法论注意点：接受度调查常把「人们说能接受」当作正当性证据——在高无选择场景里，接受度反映的是习得性无奈而非认可；解释接受度数据必须带上感知选择感的测量。
边界
- 「无选择」是程度而非全称命题：设计能改变选择缺位的程度——人工通道绕开人脸闸机、活动影像的短保留期、可申请的比对豁免、空间内的低传感区。要点是别把程度当成零（设计无意义）或当成全（什么都不用做），替代杠杆是可设计变量。
- 私有公共场所居中：商场、体育场馆由产权方设定规则，但公众有进入的合理期待——其标准介于个人设备与纯公共空间之间，各地规范不同；以上的分析是结构辨析，不预设法域细节。
- 这些分析不构成反监控论证：比例原则内的安防摄像是正当的——反对或支持公共监控都不应从「同意」出发辩论（那边论证不通），而应从比例与问责出发；把辩论引向「挂没挂牌」是错误的问题。
怎么落地
- 产品与合规上不要用「进场即同意」作为处理个人数据的合法性基础——以告知履行透明义务，以授权与利益平衡作为正当性论证，两者分开。
- 给高风险场景留选择性：人工核验通道、被跟踪者可申请的豁免流程、影像短保留期与到期自动删除、敏感区域（卫生间、更衣室）的禁采边界。
- 部署决策走比例原则流程：目的→侵入最小的可选手段→覆盖范围→保留期，逐项论证留档；「技术上能装」不是部署理由。
- 验证办法：对照声明的目的审计覆盖范围与手段强度是否成比例（为防盗装出入口 vs 装全城）；核查核心服务是否存在无传感完成路径与豁免流程的实际可达性（打得通、办得成）。