“假设。”
评委看着屏幕。
“一个学生发现某项活动信息写错。”
“他提交纠错。”
“系统为了防恶意举报。”
“要求实名。”
“合理吗？”
苏晚晴没有先答。
因为这不是单纯权限实现。
林辰按下需求席麦克风。
“要先问。”
“为什么必须实名。”
——
评委道：
“防恶意。”
“实名当然更能追责。”
“也可能。”
“直接让一部分人不敢提。”
林辰说。
“尤其如果他纠错的对象。”
“就是自己学院。”
“自己的学生组织。”
“甚至是以后可能给他评奖、推荐的人。”
——
“那匿名乱举报怎么办？”
“匿名不等于无约束。”
“可以限制频率。”
“要求提供公开证据。”
“先人工核验。”
“或者允许平台内部知道最小必要身份。”
“但不把身份自动暴露给被纠错方。”
——
评委问：
“你支持后台实名、前台匿名？”
林辰没有直接点头。
“可能是一种方案。”
“但要看这项纠错到底需不需要身份。”
“如果只是说。”
“公开报名页写每周一次。”
“实际正式通知写每周两次。”
“用户把两个公开页面提交上来。”
“这件事本身未必需要知道他是谁。”
——
这套判断。
不是林辰从苏晚晴家庭条件里借来的。
也不是拿谁的私人求助经历举例。
只是站在求助者或纠错者最基本的位置：
我说一件事。
系统到底需要知道我多少。
——
另一名评委问：
“那如果是个人情况？”
“比如学生说。”
“我因为经济原因无法自带设备。”
“希望活动提供公共机位。”
林辰停了两秒。
“这时候最危险的是。”
“我们为了证明需求真实。”
“顺手收一堆不必要的信息。”
“比如？”
“家庭收入证明。”
“家庭成员情况。”
“具体经济困难原因。”
——
“这些不能收吗？”
“不是绝对不能。”
林辰道。
“如果某项正式资助申请。”
“规则确实要求。”
“那是另一条正规流程。”
“但如果我们只是想知道。”
“活动是不是应该提供公共机位。”
“学生表达‘我没有可用设备’。”
“通常已经足够支持这个使用场景。”
“没必要把一个活动需求访谈。”
“变成家庭审查。”
——
顾承安抬眼。
没有打断。
——
评委转向技术席。
“好。”
“需求说少收。”
“技术怎么保证？”
苏晚晴接过来。
“第一。”
“字段上不收。”
“最稳定的隐私保护。”
“不是提醒工作人员别乱看。”
“是系统一开始就没有那个字段。”
——
评委点了下头。
“第二呢？”
“权限分开。”
“如果只是纠错。”
“负责核公开信息的人。”
“不需要看用户其他活动记录。”
“如果后续有人工转接。”
“也只把当前问题需要的信息交过去。”
“不能因为在同一个项目里。”
“就默认所有工作人员都能看全量数据。”
——
“日志呢？”
“记录必要操作。”
“但日志本身也不能变成第二份隐私库。”
苏晚晴说。
“比如为了追踪修改。”
“可以记哪个内部角色在什么时候改了什么字段。”
“没必要顺手把用户完整原始表单永久复制一份到日志里。”
“保留多久？”
“按实际审计需要定。”
“目前没有正式系统和制度要求。”
“所以我不能现场给一个具体天数。”
——
评委又问：
“如果顾承安要求全部日志永久留存呢？”
会议室里有人轻轻动了一下。
顾承安本人坐侧面。
神情没变。
苏晚晴也没有因为提到负责人。
就绕。
“那要问用途。”
“如果没有明确必要性。”
“我会反对。”
“你敢反对项目负责人？”
“技术和权限判断。”
“不应该因为负责人身份改变。”
——
顾承安终于抬了下笔。
却没开口。
只继续记。
——
评委看向林辰。
“需求侧呢？”
“一个学生同意参加访谈。”
“是不是等于你们可以把他说的话。”
“全部进需求库？”
“不等于。”
“为什么？”
“参加访谈。”
“只是同意在已经说明的范围里交流。”
“原始表达能不能保存。”
“是否录音。”
“是否能公开。”
“是不是允许直接引用。”
“都应该分开。”
——
“你们这次访谈怎么做的？”
“当前需求访谈主要保留文字记录。”
林辰说。
“正式进入需求库的是去标识化归纳。”
“具体个人表达。”
“按当时说明范围处理。”
“以后如果需要录音。”
“要重新征得明确同意。”
“不能因为之前参加过一次。”
“就永久获得录音权限。”
——
评委问：
“用户已经同意。”
“后来又后悔呢？”
林辰沉默了一下。
“需要退出机制。”
“什么退出？”
“如果项目还在允许撤回的阶段。”
“应该能撤。”
“已经进入无法逆转的公开成果。”
“则必须提前告诉他。”
“不能等发布完。”
“再说现在撤不了。”
——
这个问题。
和他们自己的关系边界太像。
许可是什么。
范围是什么。
可不可以撤回。
哪一步不可逆。
可林辰没有拿私人生活作例子。
只回答当前项目。
——
评委继续：
“那如果撤回一条访谈。”
“它已经影响了你们需求判断。”
“怎么办？”
这次。
林辰没立即回答。
苏晚晴也没有抢。
真正的问题很难。
因为信息一旦被人听见。
很难让大脑真的忘掉。
——
林辰想了好一会儿。
“不能承诺我们会失忆。”
他说。
“但可以把使用边界分开。”
“原始记录删除或停止使用。”
“后续报告不再引用。”
“如果某项结论只有这一条材料支持。”
“就应该重新标成证据不足。”
“如果已经有其他独立证据。”
“则保留其他证据支持的结论。”
——
评委看向技术席。
“系统上呢？”
苏晚晴接：
“需要让记录有来源关系。”
“不能只保留一条脱离来源的结论。”
“否则原始信息撤回以后。”
“我们根本不知道哪些结论受影响。”
——
她在共享白板上写：
【原始记录A】
↓
【去标识化事实1】
↓
【需求假设x】
旁边又写：
【公开资料b】
↓
【事实2】
↓
【需求假设x】
“如果A撤回。”
“至少要知道。”
“x还有没有b支撑。”
“不能把A删了。”
“结论却像从天上掉下来一样继续存在。”
——
林辰看了一眼。
这次没接。
这部分已经是苏晚晴从技术侧补出来的可追溯关系。
她自己答得很清楚。
——
另一名评委问：
“那不是记录越详细越好吗？”
苏晚晴摇头。
“不是。”
“为什么？”
“可追溯和多收数据不是一回事。”
“我们只需要知道。”
“某个结论来自哪些被允许使用的材料。”
“不需要因此保留用户所有私人信息。”
——
“举例。”
“比如。”
苏晚晴说。
“需求假设是。”
“部分活动退出规则不够清楚。”
“支撑材料可以是。”
“一条经允许保留的匿名访谈纪要。”
“加一份公开报名页截图。”
“没必要同时保存受访者姓名。”
“宿舍。”
“手机号。”
“家庭信息。”
“这些对结论没有用。”
——
答辩室安静了片刻。
技术评委往后靠。
“那如果以后要联系他复核呢？”
林辰接：
“联系权限和需求证据也应该拆开。”
“可以由单独联系人表保存。”
“只有需要回访的人能访问。”
“分析需求的人。”
“不一定需要看到联系方式。”
苏晚晴点头。
“技术上也可以分表或分权限。”
“但具体方案要看正式系统环境。”
“当前不承诺实现方式。”
——
两个人一前一后。
第一次在同一场正式答辩里。
主动把自己各自真正能回答的部分咬起来。
林辰从：
学生为什么不敢说。
什么信息其实没必要问。
许可怎样才能真正有意义。
回答需求。
苏晚晴从：
字段最小化。
角色权限。
日志。
来源追溯。
撤回后的影响标记。
回答技术。
——
没有耳机。
没有场外提示。
也不是一个人替另一个人补整套答案。
他们只是因为已经长期站过对方的位置。
知道另一侧的问题会从哪里冒出来。
可真正落到责任上。
仍然分得开。
——
评委最后问：
“如果你们以后做成一个真实系统。”
“最优先保护什么？”
林辰想了想。
“不是让所有学生留下更多信息。”
“是让需要帮助的人。”
“不因为害怕留下不必要记录。”
“直接放弃开口。”
——
苏晚晴接：
“技术上。”
“对应的是默认少收。”
“权限按任务分。”
“关键操作可追溯。”
“非必要信息不给更多人看。”
“撤回和删除规则在收集前写清。”
——
评委看向顾承安。
“你没有问题？”
从隐私问答开始。
顾承安几乎一句话没说。
他坐在观察席。
已经记了好几页。
听到这句。
才抬头。
“暂时没有。”
——
“你们觉得他们答得怎么样？”
评委笑着问。
顾承安没有给分。
也没有说漂亮。
只看向两名负责人。
“我现在更想看。”
“这些边界离开答辩室以后。”
“还守不守得住。”
林辰和苏晚晴都没接。
——
顾承安低头。
继续在记录表上写。
一行。
又一行。
没有打断。
也没有宣布下一项任务。
笔尖最后停在纸面上。
答辩室里只剩下很轻的书写声。