你的数据属于你：本地保存的心理健康数据意味着什么

你拥有的最敏感的数据

想一想，情绪日记里记录的是什么。你什么时候情绪低落，为什么。你的恐惧、你的失眠、你的感情关系，也许还有某个诊断或用药的线索。这些不是消费偏好，而是一个人身上最深处、最私密的东西。

许多国家关于健康数据的法律也对这类数据格外看待。例如欧盟的《通用数据保护条例》就把健康数据列入"个人数据的特殊类别"，给予最高级别的保护。问题只在于：究竟谁真的遵守，以及当你的情绪落进某个提供商的云端时，到底会发生什么？

云端心理健康应用背后发生的事

大多数心理健康应用把你的数据存放在自己的服务器上。这被当作便利来兜售，"在所有设备间同步"，从技术上说也确实如此。但这意味着，你的内心世界躺在了别人的电脑上。

问题有多大，一项广受关注的研究已经揭示。Kit Huckvale、John Torous和Mark Larsen分析了36个抑郁和戒烟类的头部应用，并把结果发表在JAMA Network Open上。36个应用中有29个把数据传给了Facebook或Google的服务，但在把数据发给Google的28个应用中，只有12个作了说明（在向Facebook共享方面，只有12个中的6个）。所以，信任用户条款的人往往并不知道自己最敏感的数据流向了哪里。

独立系列Mozilla基金会的*Privacy Not Included也得出了一个令人清醒的结论：被评测的心理健康应用中，很大一部分在隐私方面表现糟糕。

四种风险，都建立在同一个前提上

区别所在：本地意味着它从不离开你的设备

关键就在这里。本地存储意味着你的记录只存在于你的设备上。不存在任何提供商的服务器让它们落脚。没有账号，没有登录，没有传输。

这不是靠一句承诺来解决问题，而是靠架构。一个根本收不到你数据的提供商，既无法共享，也无法丢失，无法出售，更无法交出。最安全的服务器，就是那台不存在的服务器。私密、支持离线的情绪追踪背后正是这一原则。

这也是为什么这样一种模式可以不靠订阅、不靠账号：既不运营服务器、也不变现数据的人，并不需要你成为每月付费的数据来源。更多内容见无需订阅的情绪追踪器。

那些可选的Apple服务呢

"本地"并不意味着"被魔法般彻底封闭"，这一点值得诚实说明。如果你使用像Apple Health或iCloud备份这样的可选功能，它们是与Apple交换数据，而不是与应用提供商。这是一个重要区别：你留在自己本来就信任的设备世界里，而不是把数据额外交给第三方提供商。Apple如何处理健康数据，Apple在其隐私概览中有说明。而是否要启用这些桥梁，始终由你自己决定。

从版本 6 起，InnerPulse 又多了一座桥梁：可选的设备同步，让 iPhone 和 iPad 保持一致。它默认关闭。开启后，应用会先在设备上加密每一条记录（AES-GCM，256 位密钥），再存入你的私有 iCloud 数据库。密钥保存在你的 iCloud 钥匙串中，即使不开启“高级数据保护”，Apple 也对其进行端到端加密（Apple 关于 iCloud 数据安全的概览）。Apple 看不到你写了什么，只能看到何时存储了多少个加密数据包。这同样不需要应用提供商的服务器，也不需要账户。

三个问题，帮你审视任何应用

为什么这在心理健康上尤其重要

对许多数据，风险还可以争论。对心理健康数据，则无从争论。一条关于抑郁阶段、焦虑障碍或治疗经历的信息一旦外泄，可能带来现实后果，在工作上、在保险上、在社交圈里。承担这种风险的不是提供商，而是你。

正因如此，对数据的主权在这里不是技术上的花样，而是照顾自己的一部分。一款记录你内心世界的应用，理应以一种它永远无法反过来纠缠你的方式来对待它。InnerPulse如何做到这一点，写在章节隐私与安全里；如何随时导出或删除你的数据，则由数据管理说明。

一句话说清核心

面对每一款心理健康应用，问自己一件事：当我关掉应用时，我的数据在哪里？如果它只在你的设备上，主动权就在你手里。如果它在别人的服务器上，你握着的只是一句承诺。对于你所拥有的最敏感的数据，架构胜过任何承诺。你的数据属于你，而这一点应当在技术上成立，而不只是一句广告口号。

本文不能替代法律咨询。它帮助你就自己的数据做出知情的决定。

延伸阅读

• 私密、离线的情绪追踪器展示了本地存储在实践中是什么样子。
• 无需订阅的情绪追踪器解释了为什么没有账号也就意味着没有订阅。
• 隐私与安全描述了具体的隐私模型。
• 数据管理展示如何导出和删除你的数据。
• 科学来源：Huckvale, Torous & Larsen, JAMA Network Open (2019)
• 独立评测：Mozilla基金会的*Privacy Not Included