連蘋果都想睇你啲相，咁仲有邊個唔想睇？

你有冇試過，喺手機相簿入面碌到一張相，突然諗起：呢張相，除咗我之外，仲有邊個睇到過？

唔係講緊邊個偷睇你部機。係講緊一種更靜、更難察覺嘅事：你以為鎖住咗嘅相簿，原來一直有另一把鎖匙，喺另一間公司手上。

二〇二一年八月，蘋果宣布咗一個計劃：會喺裝置上面，對上載去 iCloud 嘅相做掃描比對。消息一出，成個隱私圈子、學者同用戶一齊反對。一個月之後，蘋果話推遲，之後就靜靜雞擱置咗。

件事好似完咗。但真正值得諗嘅，唔係「佢最後有冇掃」，而係「佢原來有能力掃」。

最講隱私嗰間，都留咗一把鎖匙

蘋果一向係市場上最講隱私嘅品牌。呢個亦都係最多人買 iPhone 嘅原因之一：你信佢，信佢唔會亂睇你啲嘢。

但二〇二一年嗰單事，揭穿咗一個好簡單嘅事實：你信嘅係佢嘅「意願」，唔係佢嘅「能力」。意願可以變，能力一裝咗入去，就唔會自己消失。

掃描邏輯一旦裝入裝置，掃乜嘢、對邊個庫、幾多先至觸發，全部都係平台單方面定。今日呢個理由好正當，聽日換另一個理由，個機制本身唔使改，改嘅只係張清單。

呢個唔係話蘋果一定會咁做。呢個係話：當「睇唔睇」嘅決定權完全喺對方手上，你嘅安心，就建基於對方今日嘅承諾。而承諾呢樣嘢，歷史話畀我哋知，係會變嘅。

Arendt 講過，權力最危險嘅地方，唔係佢一次過做咗幾大件事，而係佢令你慢慢接受「被睇住係正常」。由「為咗一件好事睇一次」，到「睇住變成日常」，中間往往冇一個明確嘅分界線，只有一連串你冇反對過嘅默許。

雲相簿嘅本質，就係「睇得明你啲相」

好多人會話：好啦，蘋果嗰個計劃擱置咗，咪即係冇事囉？

但你諗下雲相簿平時點運作：佢幫你分類，認人面，記低邊度影、幾時影，搵「三年前嘅今日」俾你回味。呢啲功能，全部都建基於一個前提——系統要「睇得明」你啲相。

「睇得明」唔係意外，係功能。一個要幫你整理回憶嘅服務，必然要先睇清楚你嘅回憶係乜。呢個唔係指控，係商業模式本身嘅邏輯。

所以問題從來唔係「呢間公司好人定壞人」。今日最講隱私嘅公司，聽日都可能換管理層、換政策、換法律環境。你今日放心交畀佢嘅嘢，聽日可能要按另一套規則嚟處理。而你，冇得投票。

香港人好明呢種感覺。屋企樓下間茶餐廳，今日老闆話「熟客唔使排隊」，聽日換咗老闆，規矩就唔同咗。你唔會因為今日老闆好人，就將屋企鎖匙交畀佢——因為鎖匙一交出去，「入唔入得屋」就唔再係你話事。

手機本地相簿，一樣唔穩陣

有人會話：咁我唔上雲，啲相淨係放喺部機度，咪安全囉？

部機本身，都係一個成日要交出去嘅地方。拎去整、換機、借畀人睇相、舊機賣出去，每一次交出裝置，都係一次交出全部。雲同步開咗，仲會自動將本地嘅嘢複製上雲——你以為冇上雲，其實佢早就幫你上咗。

網盤、移動硬碟亦各有硬傷：網盤同雲相簿一樣，喺人哋伺服器上面；移動硬碟單一份，跌咗、壞咗、屋企入水，就乜都冇。藏喺屋企就更唔使講，屋企人、裝修師傅、邊個入過你間房，你控制唔到。

呢啲方法唔係冇用，只係佢哋解決嘅係「唔好唔見咗」，唔係「唔好畀人見到」。兩個問題嚟㗎，唔好撈亂。

真正「睇唔到」，只可以嚟自物理結構

去到呢度，結論其實好簡單：你唔可以靠承諾嚟保證「冇人睇到」。承諾會變，政策會變，老闆會換，法律會改。唯一唔會因為一句話就變嘅，係物理結構。

一件東西，如果根本唔連網，冇任何人可以遙距掃描佢。冇伺服器，冇同步，冇「幫你整理」嘅功能——自然亦都冇「順便睇埋」嘅可能。唔係因為邊個答應唔睇，而係因為結構上睇唔到。

Seneca 講過一句好啱用喺呢度嘅話：真正嘅自由，唔係擁有幾多，而係有幾少嘢可以畀人攞走。當你嘅東西根本唔喺一個可以畀人攞嘅地方，你就唔使日日擔心邊個會攞。

呢個就係「唔好畀人發現」嘅真正意思：唔係靠刪、靠匿、靠祈求，而係靠一個從一開始就唔畀任何人經手嘅安排。

落點：交畀值得托付嘅人同流程

所以，真正不能被任何人看見嘅東西，應該點樣保存？

答案唔係另一隻 app，亦唔係另一間雲公司。答案係：將佢放喺一塊唔連網嘅介質上面，交畀一套認真嘅流程——編號、封條、雙人核驗、專人保管。入庫嗰陣只做編號同拍照，唔會打開嚟睇。預設半年做一次目檢，睇下封條同外觀，影低相做記錄，全程零接觸；如果想再深入檢查，必須要你書面同意先至會做。

呢套流程嘅重點，唔係技術有幾勁。（註：加密之類嘅技術只係底子，唔係賣點。）重點係：成個過程入面，冇一個人需要睇你啲嘢先至完成佢嘅工作。保管嘅人，保管嘅係一個封好咗、有編號嘅物件，唔係你嘅內容。

蘋果嗰單事，最大嘅教訓唔係「大公司信唔過」。而係：只要「睇得到」呢個能力仲喺度，邊個睇、幾時睇、為乜嘢睇，永遠都係下一個問題。

你唯一可以完全控制嘅，係一開始就唔好將「睇唔睇到」嘅決定權交出去。將東西放喺一個物理上睇唔到、遙距掂唔到嘅地方，交畀值得托付嘅人同流程，然後安心過你嘅日子——唔使再諗，邊個今日又想睇你啲相。