引言
隐私持续地成为两大移动操作系统的“内卷”重点[1]。谷歌一侧：安卓不仅改进了相对“传统”的权限和存储隐私保护，还在通过隐私沙盒重塑移动互联网广告的市场生态。苹果一侧：隐私继续嵌入iOS 16的各项功能设计中，隐私计算技术也开始向应用商店的2B特性推广。二者的内卷也引来了世界各地监管的密切关注。隐私沙盒早在年初便已引起调查，更新需要定时报备；WWDC大会后不久，iOS中防止追踪用户（ATT）的功能也旋即遭调查。出于隐私合规的考虑，我们不仅需要知道什么是“隐私的”，还要知道什么是“太隐私的”。
以下按从具体到抽象、从回顾到前瞻的次序，基于对2022年谷歌I/O大会和苹果WWDC大会的观察，分五节逐步介绍、简析两大系统隐私更新。今天是第五篇：注重“太隐私的”，前瞻欧美针对操作系统隐私的立法和执法趋势。
针对操作系统的立法和执法趋势
谷歌、苹果在隐私方面下工夫，大部分时候都是“喜闻乐见”，但也会有三方面忧虑：首先，由于二者对绝大部分开发者而言处于强势地位，过度的隐私保护和相应成本可能并不公平；其次是这些更新可能构成自我优待，从而引发反垄断与公平竞争担忧。比如，有监管者和学人批评ATT实质是以损害其他广告商为代价、优待苹果自身的追踪和广告[2]；最后一点和第二点密切相关：既有名为隐私、实则优待的批评，繁多更新能否真正保护隐私也就打了个问号。这些问题和大部分开发者的关系没有那么直接，但从前瞻角度仍然值得关注。
解决不公平
首先是已有多国立法执法正着手解决的不公平问题，其中最具代表性的是接近正式颁布生效的《数字市场法》（DMA）。DMA相应地有两方面遏制现有主导操作系统/应用商店强势地位的规定。其一，鉴于谷歌和苹果都极大概率构成DMA下的守门人，第6(4)条规定了守门人需要在技术上保持对第三方应用和应用商店的开放。换句话说，引入来自苹果和谷歌以外的应用商店的竞争。守门人可以采取措施保障系统的完整性和安全，但必须相应证明这些措施对于目的而言“严格必需”且“成比例”。因此，可以期待围绕安全（自然可能涉及数据安全与隐私）的诉争。其二是DMA明确正文内容的鉴于第62条强调了提供应用商店服务的守门人需要为商业用户，即开发者提供公平、合理、不歧视的使用条件。在考虑守门人是否合规时，既要考虑价格是否公平、没有不合理的差异，也要考虑其他限制条件是否是否会导致权利和义务的不公平，或者是否与守门人提供的服务不成比例，等等。这里针对的主要是30%抽成或类似安排，但过于严格的隐私要求显然也处在“射程”之类。
自我优待
其次是同样引起关切的自我优待。2022年WWDC大会结束不到一周，德国联邦卡特尔局即对ATT是否涉嫌违法自我优待发起调查[3]。简言之，尽管ATT要求追踪前弹窗请求用户同意的规定愈发细致严苛，这些规定却不会影响到苹果自身的追踪和个性化广告。即使用户可以通过渠道关闭苹果的个性化广告，这一点依然无法消除联邦卡特尔局的疑虑。此案调查结果很可能显著影响不限于ATT在内的操作系统隐私更新的后续走向。
保护隐私的质疑
最后是更加一般性的、针对是否真能保护隐私的质疑。受“集火”最猛的无疑便是谷歌隐私沙盒（包括网页端和安卓）。由于隐私沙盒旨在彻底停用第三方cookie和其他追踪技术、同时中心化（至谷歌）移动广告的整个运行流程，整个沙盒受到了移动广告生态中相关方猛烈和广泛的批评，并在多个法域遭到投诉甚或调查。同时，颇为神似ATT的、只由谷歌或可信服务器处理个人数据的具体实现也被担忧是否足以保护隐私。以Topics的前身FLoC为例：不仅敏感个人数据的处理风险仍然存在，甚至引入了新的歧视风险。
执法层面最具代表性的回应来自英国竞争和市场局（CMA）。通过调查和协商，CMA和谷歌在2022年初达成协议、约定谷歌需遵守系列义务。合而视之，这些足以称为“监管参与的、基于设计的隐私和反垄断”的义务包括：谷歌需要向监管和公众保持高水平的透明度，包括运营向公众披露隐私沙盒开发节奏、技术细节和测试通道的网站，并按季度向监管提交报告；谷歌需要通过W3C标准化组织等形式推动各方积极参与沙盒开发与测试、积极响应相应意见，同时需要持续与监管沟通，征询监管对技术方案和细节的意见，并共同开展测试。这里的细节会直通到参数层面，比如和隐私直接相关的混淆概率参数（5%）；在2023年最终移除第三方cookie之前，谷歌需要“静止”一段时间，等待CMA的确认；最后，谷歌还对具体类型的数据隐私保护作出多项承诺，包括限制对用户浏览历史和谷歌分析数据的处理，以及限制谷歌的第一方追踪。如前，由于两大操作系统/应用商店的隐私更新“兹事体大”，CMA采取了空前敏捷的监管思路，在开发阶段介入、深度介入到参数、并直接推动谷歌就隐私和反垄断的具体质疑作出承诺。从2022年5月时谷歌提交的第一次季报来看，也确实征求并回应了许多意见：比如，Topics中话题的来源格式和相关参数，FLEDGE的计算效率和功能协同，归因报告的测试流量多少和加总报告误差等等，都引起了开发者的疑问，谷歌也在CMA季报中逐个回应，包括提供纠正加总报告误差的代码，等等。在未来几个月里，特别是广告/商业化的开发者依然可以通过各种渠道提出意见，并期待针对性的回应。
结语
以上梳理了谷歌、苹果两大移动操作系统近期的“内卷”努力。在操作系统和应用商店层面，权限和功能方面更新迭出，两家也体现出逐渐趋同的态势。两家对隐私计算技术的应用也越来越纯熟、广泛。二者在隐私保护的移动广告也体现出了坚决的信息，特别是谷歌的隐私沙盒。面对这些变化，开发者无疑需要采取更高水平的隐私设计和测试实践，既是为了填写表单、满足外观上的合规，又是修炼内功、以抵抗两家协同的“卷卷浪潮”。当然，谷歌和苹果的隐私保护可能也带着不公平和垄断的色彩，各国立法、执法的敏捷监管正在努力实现隐私、公平和其他权益的平衡，隐私沙盒的开发测试实践亦因此更为开放、亲民。
注释：
[1] 一般地，以下内容均整理自2022年谷歌I/O大会和苹果WWDC大会。
[2] 例如，可见Kollnig, Konrad, Anastasia Shuba, Max Van Kleek, Reuben Binns, and Nigel Shadbolt. "Goodbye tracking? Impact of iOS app tracking transparency and privacy labels." arXiv preprint arXiv:2204.03556 (2022).
[3] 见Bundeskartellamt reviews Apple’s tracking rules for third-party apps.
隐私持续地成为两大移动操作系统的“内卷”重点[1]。谷歌一侧：安卓不仅改进了相对“传统”的权限和存储隐私保护，还在通过隐私沙盒重塑移动互联网广告的市场生态。苹果一侧：隐私继续嵌入iOS 16的各项功能设计中，隐私计算技术也开始向应用商店的2B特性推广。二者的内卷也引来了世界各地监管的密切关注。隐私沙盒早在年初便已引起调查，更新需要定时报备；WWDC大会后不久，iOS中防止追踪用户（ATT）的功能也旋即遭调查。出于隐私合规的考虑，我们不仅需要知道什么是“隐私的”，还要知道什么是“太隐私的”。
以下按从具体到抽象、从回顾到前瞻的次序，基于对2022年谷歌I/O大会和苹果WWDC大会的观察，分五节逐步介绍、简析两大系统隐私更新。今天是第五篇：注重“太隐私的”，前瞻欧美针对操作系统隐私的立法和执法趋势。
针对操作系统的立法和执法趋势
谷歌、苹果在隐私方面下工夫，大部分时候都是“喜闻乐见”，但也会有三方面忧虑：首先，由于二者对绝大部分开发者而言处于强势地位，过度的隐私保护和相应成本可能并不公平；其次是这些更新可能构成自我优待，从而引发反垄断与公平竞争担忧。比如，有监管者和学人批评ATT实质是以损害其他广告商为代价、优待苹果自身的追踪和广告[2]；最后一点和第二点密切相关：既有名为隐私、实则优待的批评，繁多更新能否真正保护隐私也就打了个问号。这些问题和大部分开发者的关系没有那么直接，但从前瞻角度仍然值得关注。
解决不公平
首先是已有多国立法执法正着手解决的不公平问题，其中最具代表性的是接近正式颁布生效的《数字市场法》（DMA）。DMA相应地有两方面遏制现有主导操作系统/应用商店强势地位的规定。其一，鉴于谷歌和苹果都极大概率构成DMA下的守门人，第6(4)条规定了守门人需要在技术上保持对第三方应用和应用商店的开放。换句话说，引入来自苹果和谷歌以外的应用商店的竞争。守门人可以采取措施保障系统的完整性和安全，但必须相应证明这些措施对于目的而言“严格必需”且“成比例”。因此，可以期待围绕安全（自然可能涉及数据安全与隐私）的诉争。其二是DMA明确正文内容的鉴于第62条强调了提供应用商店服务的守门人需要为商业用户，即开发者提供公平、合理、不歧视的使用条件。在考虑守门人是否合规时，既要考虑价格是否公平、没有不合理的差异，也要考虑其他限制条件是否是否会导致权利和义务的不公平，或者是否与守门人提供的服务不成比例，等等。这里针对的主要是30%抽成或类似安排，但过于严格的隐私要求显然也处在“射程”之类。
自我优待
其次是同样引起关切的自我优待。2022年WWDC大会结束不到一周，德国联邦卡特尔局即对ATT是否涉嫌违法自我优待发起调查[3]。简言之，尽管ATT要求追踪前弹窗请求用户同意的规定愈发细致严苛，这些规定却不会影响到苹果自身的追踪和个性化广告。即使用户可以通过渠道关闭苹果的个性化广告，这一点依然无法消除联邦卡特尔局的疑虑。此案调查结果很可能显著影响不限于ATT在内的操作系统隐私更新的后续走向。
保护隐私的质疑
最后是更加一般性的、针对是否真能保护隐私的质疑。受“集火”最猛的无疑便是谷歌隐私沙盒（包括网页端和安卓）。由于隐私沙盒旨在彻底停用第三方cookie和其他追踪技术、同时中心化（至谷歌）移动广告的整个运行流程，整个沙盒受到了移动广告生态中相关方猛烈和广泛的批评，并在多个法域遭到投诉甚或调查。同时，颇为神似ATT的、只由谷歌或可信服务器处理个人数据的具体实现也被担忧是否足以保护隐私。以Topics的前身FLoC为例：不仅敏感个人数据的处理风险仍然存在，甚至引入了新的歧视风险。
执法层面最具代表性的回应来自英国竞争和市场局（CMA）。通过调查和协商，CMA和谷歌在2022年初达成协议、约定谷歌需遵守系列义务。合而视之，这些足以称为“监管参与的、基于设计的隐私和反垄断”的义务包括：谷歌需要向监管和公众保持高水平的透明度，包括运营向公众披露隐私沙盒开发节奏、技术细节和测试通道的网站，并按季度向监管提交报告；谷歌需要通过W3C标准化组织等形式推动各方积极参与沙盒开发与测试、积极响应相应意见，同时需要持续与监管沟通，征询监管对技术方案和细节的意见，并共同开展测试。这里的细节会直通到参数层面，比如和隐私直接相关的混淆概率参数（5%）；在2023年最终移除第三方cookie之前，谷歌需要“静止”一段时间，等待CMA的确认；最后，谷歌还对具体类型的数据隐私保护作出多项承诺，包括限制对用户浏览历史和谷歌分析数据的处理，以及限制谷歌的第一方追踪。如前，由于两大操作系统/应用商店的隐私更新“兹事体大”，CMA采取了空前敏捷的监管思路，在开发阶段介入、深度介入到参数、并直接推动谷歌就隐私和反垄断的具体质疑作出承诺。从2022年5月时谷歌提交的第一次季报来看，也确实征求并回应了许多意见：比如，Topics中话题的来源格式和相关参数，FLEDGE的计算效率和功能协同，归因报告的测试流量多少和加总报告误差等等，都引起了开发者的疑问，谷歌也在CMA季报中逐个回应，包括提供纠正加总报告误差的代码，等等。在未来几个月里，特别是广告/商业化的开发者依然可以通过各种渠道提出意见，并期待针对性的回应。
结语
以上梳理了谷歌、苹果两大移动操作系统近期的“内卷”努力。在操作系统和应用商店层面，权限和功能方面更新迭出，两家也体现出逐渐趋同的态势。两家对隐私计算技术的应用也越来越纯熟、广泛。二者在隐私保护的移动广告也体现出了坚决的信息，特别是谷歌的隐私沙盒。面对这些变化，开发者无疑需要采取更高水平的隐私设计和测试实践，既是为了填写表单、满足外观上的合规，又是修炼内功、以抵抗两家协同的“卷卷浪潮”。当然，谷歌和苹果的隐私保护可能也带着不公平和垄断的色彩，各国立法、执法的敏捷监管正在努力实现隐私、公平和其他权益的平衡，隐私沙盒的开发测试实践亦因此更为开放、亲民。
注释：
[1] 一般地，以下内容均整理自2022年谷歌I/O大会和苹果WWDC大会。
[2] 例如，可见Kollnig, Konrad, Anastasia Shuba, Max Van Kleek, Reuben Binns, and Nigel Shadbolt. "Goodbye tracking? Impact of iOS app tracking transparency and privacy labels." arXiv preprint arXiv:2204.03556 (2022).
[3] 见Bundeskartellamt reviews Apple’s tracking rules for third-party apps.