老周把那张A4纸叠了三折，塞进EMS信封的时候，手指头有点抖。不是紧张。是冷——12月的南京，城东月牙湖边上风大。
他要申请的东西，说起来也简单：小区门口那台刷脸门禁，到底是谁装的，花了多少钱，采集的人脸数据存在哪台服务器上，保管几年。
这事儿的由头，是他孙女。
小孩今年七岁，放寒假来他家住。物业给录脸，试了四回，屏幕都弹“识别失败”。保安说，可能是光线的过，也可能是孩子长得快。老周嘀咕了一句：长得快？她上个月才过完生日。
他就是从那天开始较真的。
一张A4纸，四个公章，零个答案
第一份申请，寄给街道办。他要的东西列了五项：项目立项文件、采购合同、承建单位资质、数据存储方案、个人信息保护影响评估报告。
二十个工作日后，回复来了。一页纸，盖着红章，大意是：该项目由区里统一部署，具体信息不掌握在本机关，建议向公安机关了解。
老周又寄第二份。这回寄给区公安分局。
回复也来了。说该项目系某科技公司承建，属于社会化运营，建议向住建部门咨询。
第三份，住建局。说智慧安防小区的数据归口在数据管理部门。
第四份，区大数据管理局。这次等得更久。回复写着：涉及第三方企业的商业秘密，不予公开。
老周把那四张纸摊在饭桌上，跟老伴儿说：你瞧瞧，四个章，跟四把锁似的，一把比一把拧得紧。可我这门，到底谁安的？
说实话，这四份回复，单看每一份，都挑不出大毛病。《政府信息公开条例》写得清楚，行政机关公开的是“在履行行政管理职能过程中制作或者获取的，以一定形式记录、保存的信息”。不是你的，你可以说不是你的。涉及商业秘密，你可以说涉及商业秘密。
可把这四份叠一块儿看，就有意思了。
答案不在任何一个人手里，但问题实实在在地落在老周家门口。那台机器每天对着他孙女的脸扫来扫去。数据去了哪儿，没人告诉他。
算法躲在谁的抽屉里
这里头有个新麻烦。
以前申请信息公开，你要的东西大多是纸——批文、合同、会议纪要。有纸就有抽屉，有抽屉就有人负责。
现在不是了。人脸识别的比对阈值、异常行为的判定模型、数据脱敏的具体规则，这些东西可能连一份像样的纸质文件都没有。它们活在服务器里，活在一行行代码里，活在一家外包公司的运维后台里。
政府说，这是企业的东西。企业说，我是按政府要求做的。
老周要的那份“个人信息保护影响评估报告”，《个人信息保护法》第56条明文规定，处理敏感个人信息应当事前进行影响评估并记录处理情况。可这个“记录”，到底在谁那儿？
我蹲过几次这类窗口。有个细节特别有意思。工作人员不是不想帮你，很多时候他们自己也说不清。你问人脸数据存在哪，他说可能在政务云。你问政务云谁运维，他说可能是某某公司。你再问那家公司跟你们什么关系，他愣一下，说，应该是中标了吧。
对吧。链条一长，“政府信息”和“企业信息”的边界就糊了。
糊的地方，恰恰是最需要看清的地方。
那个卖鸭血粉丝的姑娘也来问
老周不是个例。
上个月，我在明瓦廊一家小店吃鸭血粉丝，老板娘姓陈，三十出头。她一边下粉丝一边跟我吐槽：她在外卖平台上的店，被系统判定“出餐异常”，流量掉了大半。她申诉了三次，平台回复都是模板话。
她想申请公开——不是平台，是市场监管部门的“网络餐饮监测系统”的判定规则。
她问我：这个系统是不是政府搞的？如果是，我能不能申请公开它是怎么判我的？
我没法直接回答她。
因为这里面有一层又一层的委托、外包、数据接口。监测系统可能是市监局买的，算法是供应商做的，数据是平台传的。你申请的是政府信息，可你要看的那个“规则”，可能躺在供应商的技术文档里，而那份文档，市监局自己都没完整看过。
小陈后来真写了申请。寄出去了。目前还在等。
她说了一句话我记到现在：我不是想找茬，我就是想知道，它凭什么说我出餐慢。我一天卖两百碗，手都烫出茧了。
他们不是要掀桌子，只是想知道门是怎么锁上的
回到老周。
他最后没打官司。他做了一件更笨、也更聪明的事。
他拿着那四份回复，去了区里的政务公开日，坐在那儿，一份一份摆给工作人员看。他说，我不懂法，我就问一句：这四张纸，哪一张说的是实话？
那天下午，有个工作人员帮他把申请重新拆了一遍。把“数据存储方案”改成“本小区人脸信息存储位置及保存期限”，把“评估报告”改成“该项目个人信息保护影响评估的结论性意见”。范围缩窄，指向明确。
重新寄出去。这次，二十天后，他收到了一份有实质内容的答复。虽然还是不完整，但至少，他知道了数据存在区政务云的一台服务器上，保存期限三年。
老周跟我说这事的时候，正在阳台上晒被子。他说：你说这算赢了吗？
我说不算。
他说，那也不算输吧。
我想了想。确实不算。他让一个原本踢来踢去的皮球，停下来喘了口气。他让“商业秘密”这四个字，被逼着往后退了半寸。
这半寸，就是普通人能推动的全部。
说实话，政府信息公开申请这件事，从来不是什么惊天动地的武器。它更像一把钝刀，一下一下，磨。磨的是行政流程里那些理所当然的模糊地带。
新的东西还在涌进来。算法、生物识别、虚拟财产、自动驾驶的数据记录。它们比人脸门禁更复杂，链条更长，藏得更深。
但老周们已经站在门口了。他们不一定懂《条例》第几条，也不一定分得清“政府信息”和“企业数据”。他们只是觉得，有件事不对，得问清楚。
法律大概就是这样，被一个个具体的人，拽着，在陌生的地方重新学走路。
那句话怎么说来着——不是所有的门都该锁上。至少，你得让人知道钥匙在谁手里。
