Могу посмотреть, что о мне собирают
Телеметрия и слежка внешне выглядят одинаково: и там, и там кто-то собирает данные о человеке без его постоянного контроля за каждым байтом. Я сам долго не мог сформулировать словами, чем одно отличается от другого, хотя интуитивно чувствовал разницу, когда сравнивал наш подход к сбору данных участников с тем, что делают многие приложения, которые я ставлю на телефон.
Разбираться пришлось не абстрактно, а сведя вместе три архитектурных решения, которые у нас развивались независимо друг от друга в разных частях системы, для разных задач, разными людьми в разное время. Одно решение касалось того, сколько данных вообще доступно человеку в зависимости от того, насколько глубоко он подключил платформу к своей жизни. Второе касалось личных устройств: данных о сне, о шагах, о состоянии здоровья, которые физически лежат на телефоне или в облаке самого человека. Третье касалось того, в какой момент конвейера данных вообще запрашивается согласие. Когда я свёл все три вместе, ожидал найти противоречия, которые придётся героически разруливать. Вместо этого нашёл уже согласованную архитектуру, которую никто специально не координировал.
Общий принцип, который проступил из всех трёх решений сразу, оказался таким: согласие это не флажок где-то в настройках, который можно один раз включить и забыть, а отдельный явный шаг в самом процессе сбора данных, стоящий раньше, чем данные вообще попадают куда-либо дальше. И вторая часть того же принципа: если человек отказывается делиться чем-то, система обязана честно сказать «я не буду это использовать», а не сделать вид, что всё работает как обычно, просто с пустыми полями вместо реальных данных. Тихая деградация хуже честного отказа, потому что она прячет от человека сам факт, что он на что-то не согласился.
Из этого свода я вывел для себя три конкретных вопроса, по которым и предлагаю проверять любую систему, включая нашу собственную. Первый: могу ли я в любой момент увидеть полный список того, что обо мне собрано, без звонка в поддержку и без письма с вопросом «а что у вас там храните»? Второй: если я откажусь от сбора чего-то одного, скажет ли мне система честно, что именно теперь не работает, вместо того чтобы промолчать? Третий вопрос оказался самым трудным, и я скажу прямо: у нас он пока не решён технически, только заявлен как принцип. Собранное обо мне должно служить целям, которые назвал я сам, а не целям, которые платформа подставила вместо моих под тем же самым набором данных. Одни и те же цифры о моей собранности можно использовать, чтобы помочь мне развиваться, а можно, чтобы удержать меня подольше платящим участником, и снаружи, глядя только на сами данные, эти два намерения неотличимы.
Здесь я хочу быть таким же честным, каким прошу быть системы, которые собирают данные обо мне. Первые два условия у нас уже реализованы и проверяемы: список собранного можно посмотреть, отказ возвращает явный статус, а не молчание. Третье условие пока держится только на том, что мы сами себе обещали его соблюдать, а не на техническом признаке, который нельзя обойти незаметно. Разница между обещанием и техническим ограничением огромная, и я предпочитаю называть вещи прямо: это открытый долг, а не решённая задача.
Вопрос не в том, собирают ли о тебе данные: собирают почти все и почти везде. Вопрос в том, можешь ли ты в любой момент посмотреть на этот список и понять, чьим целям он на самом деле служит.