与企业的数据控制权争夺战正在悄然进行。对于用户来说，隐私和便利性成为需要考虑的问题；对企业而言，权责平等的要求越来越迫切。这个博弈的平衡点最有可能是基于区块链的自我主权身份。01个人身份信息保护是企业面临的一大难题。2017年，美国三大征信机构之一的Equifax遭到黑客攻击，导致1.47亿用户个人信息泄露。不法分子趁机利用别人用自己的信用卡记录开信用卡，然后不还钱就刷卡，这对整个美国社会的信用体系造成了极大的危害。因此，经过近两年的调查、争论和诉讼，Equifax与美国联邦贸易委员会最终于2019年7月达成和解，同意支付高达4.25亿美元的赔偿受影响的用户。互联网上泄露用户隐私数据的事件数不胜数。用户隐私数据的泄露不仅影响到个人，也让企业面临巨额罚款，甚至延伸到社会层面。无论是主动的（Facebook授权CambridgeAnalytica访问5000万用户的个人信息）还是被动的（艾科飞被黑泄露了1.47亿用户的个人信息），包括数据处理权、知情权、对数据的承诺security,beingreborged用户权利，包括用户权利，已经被完全剥夺。在欧盟GDPR法和各国数据保护法相继出台后，许多企业和机构在收集和存储个人隐私数据时必须谨慎行事，否则将面临巨额罚款。当一件事情有很高的风险时，比如：被惩罚。根据人类厌恶风险的本性，通常采用规避手段。风险规避是指如果预期收益明显低于风险造成的损害，最好不要去做。在企业或机构收集和存储用户隐私数据的背景下，并不是每个企业或机构都需要仔细画用户画像。对于这部分，不收集和存储用户隐私数据是明智的。但是，对于必要的信息，例如监管机构要求的KYC流程，公司有义务这样做。这时可以通过第三方KYC机构完成，以责任转移的方式排除潜在风险。当然，对于其他一些公司或机构来说，准确的用户画像是其商业模式的基础，比如金融保险机构。此时，收集和存储用户隐私数据是不可避免的，必须精心设计。但对于用户来说，他们最迫切的需求是要么不泄露个人隐私数据，要么至少在将其用于其他目的时征得自己的同意。02一场关于隐私数据的博弈在用户和企业之间形成。不难猜测，这会演变成相互推诿的局面。用户希望使用企事业单位提供的在线服务；一些企业或机构想要获取用户数据；用户同意但要求妥善保管其隐私数据；企业或机构会本能地排斥这种风险，因此要明确权责界限；用户在不知道为什么的情况下接受条款，结果导致隐私泄露。用户遭受损失要求赔偿，公司或机构按条款拒绝或承担极其有限的责任。调查、扯皮、打官司的场面将不断重演。其实仔细分析不难发现，企业或机构是在和用户玩游戏。本来，用户要的是免费服务，企事业单位要的是用户数据，两者一拍即合。现在，用户要求自己的数据得到妥善保管，企业或机构希望规避风险。用户也要求自己的数据未经同意不得被使用，相对而言，企业或机构希望降低使用用户数据的成本，因此双方存在矛盾。我们很难判断谁对谁错，就像逻辑上“多数民主”会出现悖论一样。这时，权利和责任必须对等，用户必须承担一部分保管自己数据的责任，而企事业单位会转让部分权利以方便数据的访问，从而达到稳定的平衡。用户与企业数据需求对比03独立身份是博弈的均衡点吴军博士在《智能时代》中强调，隐私保护是大数据长期盈利的必要条件。他和未来学家凯文凯利在硅谷就社交网络用户是否关心他们的隐私或想要更多便利进行了调查。结果显示，用户心理分化，追求隐私和便利。然而在实践中，用户还是会为了方便而放弃隐私。各种APP和社交产品在推波助澜，追求便利而不顾及每个人的隐私。分析原因时，吴军指出，公众不关心隐私，一是不知道科技会侵犯隐私，二是心存侥幸，三是认为隐私曝光不会伤害到自己.但事实上，隐私一旦暴露，很容易遭到破坏，比如：大数据杀戮。面对这个问题，除了用另一种技术来修复，更好的办法就是限制对方的权利，而限制对方权利更好的办法就是行使权利。基于此，企业或机构的第一步应该是将用户的身份控制权交还给用户，因为数字世界中的身份就像是打开个人宝库的钥匙。根据当今互联网的通行做法，中心化系统会为用户分配一个凭证（用户名和密码），而密钥仍然在他们身边。他们可以随意冻结或撤销此凭证。交还身份控制权的做法自然会给企业或机构带来不便。试想，在中心化系统中没有用户身份，如何分析人的年龄等生理属性与其上网活动的关系？这并不容易，但我们之前也分析过，不便之处在于转让权利交易所用户主动承担个人身份信息的代价。对于用户来说，掌握自己的身份信息确实增加了很多负担，比如：花心思保存身份的密钥，但相应的，也获得了身份自由，不再受制于人，不再为身份担忧——相关信息被任意滥用。那么，如何让用户掌控自己的身份呢？事实上，互联网在身份上已经进行了多轮尝试。以OpenIDConnect为例，它帮助我们打破了每个应用程序都必须重新注册的束缚。通过它的设计，我们可以很容易地通过第三方身份提供者（IDProvider）登录到任何其他应用程序，这确实在很大程度上优化了用户体验。比如我们熟悉的微信、微博、支付宝或者Facebook第三方登录。他们的流程设计让用户有一种对自己身份的掌控感，因为每次登录都需要用户自己授权。虽然这是历史叠加演化的必然结果，但遗憾的是，这种做法离用户真正掌握身份还有一步之遥——用户的身份仍然由第三方机构提供。潜在的风险是第三方身份提供者不对暴露的信息做出任何承诺，甚至暴露什么样的信息也由这些身份提供者决定。对于应用程序或个人，更细粒度的控制是不可能的。而且，这也必然会导致用户身份信息逐渐积累在少数平台上，形成数据垄断。用户和企事业单位都不愿意看到这样的结果。所以有必要分散这些身份。因此，自我主权身份（Self-sovereignIdentity）就会发挥作用。04可验证的声明是自我主权身份的本质。自我主权身份的主体是去中心化身份识别系统，即去中心化身份（DIDs）。它是个人在数字世界中的唯一ID，不能被任何人或被撤销的机构识别。但是仅仅一个标志是没有实际作用的。毕竟，仅仅知道一个人的名字，还不足以了解这个人。需要更多信息来描述此人。因此，要添加的另一种技术是验证声明。可验证声明是与去中心化身份相关的真实个人信息。这些声明已经过受信任的第三方验证（验证）并且是真实有效的。出于隐私考虑，我们坚持最少披露数据的原则，可验证的声明只能包含“是或否”的断言。例如，如果一个人想去酒吧，他不需要将身份证上的所有信息都透露给看门人，而只需要出示一份包含“年满十八岁”断言的可验证声明，而看门人可以验证语句的有效性决定是否发布。结合可验证的声明，自我主权身份的力量变得显而易见。可验证声明扩展了数字世界的想象空间，可以从另一个维度形成一个新的网络世界：数字身份：可信声明是网络世界中的数据。现在的互联网，数据可以随意复制。要发布可信的声明，必须解决数据所有权问题。所有权可以归于人或实体，而这些人和实体必须映射到网络世界。数据所有权：当具有法律意义的线下实体（个人或公司）在数字世界中拥有身份时，可以将某些数据的所有权设置给这些实体。可验证数据：数据具有所有权，必然是因为有一种方法可以验证谁向谁发布了可信声明，以及数据是否被篡改过。隐私保护：在当前的互联网世界中，数据掌握在中心化服务手中，数据所有权的要求必然使得数据掌握在所有者手中，从而具有更好的隐私保护。可信网络：当网络中的参与者都是拥有数字身份并承载可信声明的数字人时，网络世界将不同于充满无主信息的互联网，而是一个可信网络。05总结用户与商家之间的数据控制权争夺战正在悄然进行。对于用户来说，隐私和便利性成为需要考虑的问题；对企业而言，权责平等的要求越来越迫切。这个博弈的平衡点最有可能是基于区块链的自我主权身份。
