三月的南京，雨下得没完没了。
小鹿（化名）在江宁一家做跨境电商的公司上班，工位靠窗第二排。那天下午她被HR叫进小会议室。桌上摊着一张A4纸，上面有她的名字，后面跟着一栏：心理风险等级——中高。
她第一反应是懵。第二反应是想起来，上个月她在公司推的那个“心理关爱”小程序里，勾了一堆选项。其中有一句，她记得清清楚楚：“最近睡得不太好。”
就这么一句。剩下的，是算法替她说的。
一、那张A4纸，从哪飘出来的
公司去年引进了EAP，外包给一家第三方心理服务商。听起来挺体面，对吧？员工免费咨询、免费测评，年度总结里还写着“关怀覆盖率100%”。
问题出在数据流向。小鹿填的量表，原本是给咨询师看的。结果它先进了服务商的后台，被算了个分，再被打包成“部门心理健康概览”，发给了HR。她的名字，从“匿名样本”里漏了出来。
……这事在法律上其实不新鲜。《个人信息保护法》第二十八条把“医疗健康”列为敏感个人信息。2021年那会儿，很多律师还在争论：心理健康数据算不算“医疗健康”？现在实务里基本不争了——算。既然算，就要单独同意，要告知必要性和影响，要一人一议。
可现实是，她在一部手机上勾了一个框。那个框写着“我已阅读并同意”。谁读过？
说实话，我自己也没读过。
二、咨询室里的录音笔，和云端那台服务器
再说一个人。老陈，鼓楼，做了十几年心理咨询，个案本子摞到腰那么高。去年他买了套AI督导工具——对着说话，自动转文字，自动生成个案概念化，还能提示“来访者疑似抑郁倾向，建议转介”。
效率是真的高。他原来一小时理不完的逐字稿，现在五分钟出稿。
但他后来跟我嘟囔了一句：“我那些来访者，知道自己被录音了吗？”
合同里写着“数据经脱敏后可用于模型优化”。脱敏是谁脱？在他电脑上脱，还是在厂商服务器上脱？中间那条链路上有几个人？他问过厂商，厂商说“放心，我们符合国标”。
哪个国标？他也没追问。
《精神卫生法》第二十三条摆在那儿，心理咨询人员对来访者信息负有保密义务。这条法律管得住老陈这个人。可管不管得住一个API接口？管不管得住一个把聊天记录喂进训练集的爬虫？
去年到今年，几家大模型公司陆续在用户协议里加了“不用于训练”的开关。挺好。但开关默认是关的还是开的，得看谁家的产品。
三、手环知道得比妈妈还多
我认识一个秦淮区的妈妈，给上初二的孩子买了个手环。理由是“怕他熬夜”。手环能测心率变异性、睡眠时长、情绪波动指数。数据同步到家长端，一天一条推送：“今日情绪指数偏低，注意沟通。”
她刚开始觉得挺安心。后来有一天，孩子把手环摘了，藏在书包夹层里。
她说那一刻她有点慌。不是气，是慌——她突然意识到，自己在看的东西，孩子可能一个字都不想让她看。
校园里的心理测评更微妙。多数学校用的是统一采购的系统，学生答题，结果汇总给班主任和德育处，遇到极端值会触发“预警”。出发点是好的，这几年也确实救回来过人。但一个孩子的抑郁量表得分，会在多少个人的屏幕上停留过？保留多久？谁能调阅？很多学校答不上来。
未成年人的心理健康信息，是这个领域里最该被层层上锁的那部分。锁在哪儿，钥匙在谁手里——现在多数地方还没有答案。
再往远看一点。有保险公司已经在试水把“心理健康状态”当作核保因子，有背调机构在打听候选人“是否长期接受心理咨询”。这些事今天还不成规模，但它们已经在门口敲门了。等哪天门真开了，我们恐怕连“我从来没同意过”这句话，都说得没底气。
四、这条路，是边修边走的
说点让人不那么丧的。
2025年5月1日，《个人信息保护合规审计管理办法》开始施行。翻译成人话：处理敏感个人信息达到一定规模的公司，得定期请人来查账——查你怎么收的、怎么存的、怎么用的、有没有外泄。审计报告要留存，监管可以调。
这条规矩不悬。它是有牙齿的。
小鹿后来干了一件事。她给那家服务商发了封邮件，要求删除全部原始数据与衍生数据，并要求说明“匿名化不可逆”的依据。对方拖了三天。第三天下午，回了封删除确认函。
她把那封函截图存进了手机相册。
不一定有用。但那是她自己给自己上的一把锁。
我挺喜欢她这个动作。真的。
因为这地方没有现成的路。规则是新的，产品是新的，连“我心里那点事算不算数据”这种问题，都是这几年才有人认真问出口的。咨询师、HR、产品经理、家长、学生、写代码的人、写判决的人——大家都在一片陌生的地上，一边试探一边往前走。有人踩空，有人绕路，有人干脆停下来不走了。
法律也在走。它走得比我们想的慢，但比我们想的固执。
下次那个框弹出来的时候，我打算试着读一读。
至少读第一行。
