連最講隱私的公司，都想看你的相簿：問題不是看不看，是能不能看

二〇二一年八月，蘋果宣布了一件事。台灣滿街都是 iPhone，從捷運車廂到夜市攤位前，人手一支，照片自動備份上雲端，相簿愈存愈滿——就在那個時候，這家一向以「最講隱私」自居的公司說，它打算在裝置端掃描上傳到 iCloud 的照片。

消息一出，反對聲浪立刻湧上來。隱私團體、學者、使用者，幾乎是同一時間開口說不。一個月後，蘋果宣布推遲，計畫隨後悄悄擱置。事情好像過去了。

但有一個問題沒有過去，而且值得你認真想一次：當時大家擋下來的，到底是「一次掃描」，還是一個從此就存在的能力？

大家擋下的，是一次計畫，不是一種能力

先把時間線說清楚。蘋果在二〇二一年八月宣布，要在裝置端對上傳 iCloud 的照片做 CSAM 雜湊比對。反對來得又快又大，同年九月蘋果宣布推遲，之後計畫悄然擱置。這些都是公開報導過的事實，到此為止。

可是擱置不等於消失。掃描在技術上可行，平台有能力做，這個事實沒有因為計畫擱置而改變。能力一旦被證明存在，它就不會自己走開；它只會等，等一個新的理由、一個新的時機、一個新的說法。

這就是整件事最值得害怕的地方。我們常常以為爭論的焦點是「他會不會看」，其實真正的焦點是「他能不能看」。會不會看，靠的是當下的承諾與輿論壓力；能不能看，靠的是結構。承諾會變，輿論會散，結構不會自己長出牆來。

塞內卡說過一句話，大意是：我們害怕的往往不是事情本身，而是事情可能發生的樣子。放在這裡恰好相反——我們該害怕的，正是事情「可能發生」的樣子本身。因為只要可能，遲早就要為這種可能付出代價：提心吊膽、自我審查，或者在不知不覺中，把相簿裡的東西一件一件收起來。

很多人聽到這裡會說：可是我用的是雲端相簿，我付費買的是方便與備份，不是被看。話沒錯，但你要看清楚這門生意的底層邏輯。

雲端相簿要幫你分類、幫你找人臉、幫你標地點、幫你做回顧影片。它要做到這些，前提就是它必須「理解」你的照片。理解不是意外，是功能；看見不是事故，是產品的一部分。你把幾千張照片交給一個會自動整理、自動辨識的系統，然後希望它在某個時刻「剛好沒看」，這不是信任，這是僥倖。

台灣人對 iPhone 與雲端相簿的依賴特別深。換手機，照片跟著帳號走；家人出遊，照片自動共享；手機掉了，雲端還在。方便到讓人忘了問一句：這些方便的背面，是誰在看？答案不是某個具體的人，而是整個系統本來就具備的「看見」的能力。掃描計畫只是把這個能力攤開來給大家看了一次，然後又收回去而已。

還有一層更冷靜的道理。掃描計畫當年提出的理由，是為了好事。這裡不評價那件事本身的對錯——重點不在理由好不好，而在結構允不允許。

一旦掃描邏輯裝進裝置，掃描什麼、比對什麼資料庫、觸發的門檻訂在哪裡，全都由平台單方面定義。今天這個定義是這樣，明天可以改，後天也可以改。你今天同意的理由，不等於你明天會同意的理由；你今天信任的承諾，不等於明天還在的承諾。

漢娜·鄂蘭提醒過，權力最危險的時刻，往往不是它行使的時候，而是它被視為理所當然的時候。當「平台有能力掃描」變成大家默認的背景，當「反正我沒什麼好藏的」變成一句口頭禪，邊界就不是被打破的，而是被一點一點挪走的。

所以不要再問「他會不會看」。要問的是：如果有一天他決定要看，你手上有沒有任何東西可以擋？如果答案是「只能相信他不會」，那你手上其實什麼都沒有。

手機本地相簿也一樣逃不掉這個問題。送修要解鎖，換機要轉移，雲端同步一開，照片就離開了你的手。每一種熟悉的手段，背後都站著一個「可以被看見」的結構：雲相冊能被掃描，網盤同理，手機本地相簿則會在送修、換機、同步的時刻漏出去。拆開來看，沒有一種是靠「不能看」成立的，全都是靠「希望對方不看」撐著的。

真正不能被看的東西，需要的不是更動聽的承諾，而是一個物理上就不能被掃描、不能被遠端夠到的地方。一塊不連網的介質，沒有帳號、沒有同步、沒有遠端掃描的入口——不是因為誰答應不看，而是因為根本沒有辦法看。這中間的差別，就是承諾與結構的差別。

而結構還需要流程來守住。東西交給值得托付的專業人士與專業流程：編號、封條、雙人核驗、專人保管，入庫只做編號拍照。平常的保管，預設半年目檢封條、外觀、拍照，零接觸，增強檢查僅客戶書面 opt-in。你不需要相信任何一個人的善意，你只需要相信這套流程沒有給任何人留下「順手看一下」的機會。

蘋果那次事件留給我們最有用的東西，不是憤怒，而是一個清醒的提醒：連最講隱私的公司，都曾經打算看你的相簿。既然如此，就不要再把「不能被任何人看見的東西」放在一個「有能力看」的系統裡。

不能被看的確定性，從來不是一句承諾給的。它來自一個簡單的事實：東西不在能被看的地方，就沒有人能看。把這個問題從根上拿掉，你才不用年年擔心，下一次的公告會寫什麼。