9·11 二十五年后：那些始终没有回家的紧急权力

二十五年前的今天，各国政府开始建造我们如今身处其中的监控系统，而其中几乎每一项在宣布时都被称为临时措施。有些在条文里写明了到期日。法国把一个日期写进了法律：2003 年 12 月 31 日。国会给爱国者法案中争议最大的几个条款附加了日落条款。2001 年秋天，在华盛顿、在巴黎、在伦敦，理由都是：非常时刻需要非常权力，而这个时刻终将过去。

它没有过去。要看清 9·11 对数字隐私做了什么，最清楚的方式不是重读 2001 年的演讲，而是读这些政府今年自己公布的数字。

2001 年 9 月 11 日之后的几周里究竟发生了什么变化？

三件事几乎同时发生，而其中只有一件在当时是公开的。

2001 年 10 月 4 日，Bush 总统签署了一份题为“Authorization for Specified Electronic Surveillance Activities During a Limited Period to Detect and Prevent Acts of Terrorism Within the United States”（在有限期间内为侦测和阻止美国境内恐怖行为而进行特定电子监控活动的授权）的备忘录。这项计划后来以代号 Stellar Wind 为人所知，它授权在美国境内进行收集，而不需要《外国情报监视法》所要求的令状。它被反复重新授权，大约每 30 到 45 天一次，并且在四年多的时间里没有向公众披露。请注意文件标题里的那句“During a Limited Period”（在有限期间内）。

2001 年 10 月 26 日，《美国爱国者法案》在玫瑰园签署。众议院以 357 票对 66 票通过，参议院以 98 票对 1 票通过，参议员 Russ Feingold 是唯一的反对票。Section 215 允许 FBI 强制提交与恐怖主义调查相关的“任何有形物品”。Section 505 扩大了国家安全信函，这是一种无需法官的行政性要求，而且附带禁言令，禁止收件方说出自己收到过这样一封信。

而在 2002 年初，五角大楼在 John Poindexter 领导下设立了信息感知办公室，其 Total Information Awareness 计划提出把金融、出行、医疗和通信记录汇入一个可检索的系统。这一项走得太远，而且走得太公开。参众两院拨款协商会议于 2003 年 9 月 24 日投票取消其经费。其中若干组成部分的研究项目被转移到情报界的其他地方，以不同的名称继续推进，而这正是值得记住的模式：名声不好的那个计划死了，能力没有死。

欧洲走的是同一个时间表。法国的日常安全法（loi relative à la sécurité quotidienne）于 2001 年 11 月 16 日在《政府公报》上公布，要求电信运营商为刑事犯罪的调查与起诉保存流量数据最长一年。包含该条款的第五章，是“pour une durée allant jusqu’au 31 décembre 2003”获得通过的。英国的《反恐怖主义、犯罪与安全法》于 2001 年 12 月 14 日获得御准，其第 11 部分建立了通信数据留存机制，起初是自愿的，但保留了将其变为强制的储备性权力。

为什么这些“临时”权力在 2026 年依然存在？

因为一项临时权力会在自身周围建起一个机构，而机构比期限活得更久。

法国把这一点体现得最清楚，因为到期日就写在法律里，而且我们可以确切地追踪它后来的去向。2003 年的期限并不是被一次性废除的。它先被延长到 2005 年底，随后又由 2006 年的反恐法律接续下去，2008 年再延长一次，一直延到 2012 年，到那时已经没有人还假装这个安排是临时的。三次接连的延期，每一次都例行公事，而一年期的留存义务就作为一件永久固定物沉淀进了法国法律。当欧盟法院明确表示普遍且无差别的留存与欧盟法不相容时，法国最高行政法院于 2021 年 4 月 21 日裁定，“la conservation généralisée aujourd’hui imposée aux opérateurs par le droit français est bien justifiée par une menace pour la sécurité nationale”。这套推理值得直白地讲出来：普遍留存之所以合法，是因为存在国家安全威胁，而政府必须定期重新审视这一威胁是否仍然存在。一种接受定期审查的永久紧急状态。

欧盟层面的故事走的是同一条路，只是法庭戏更多。《数据留存指令》在马德里和伦敦爆炸案之后于 2006 年 3 月 15 日通过，要求成员国强制留存通信元数据。欧洲法院于 2014 年 4 月 8 日在 Digital Rights Ireland 案中宣告其无效，认为它构成对基本权利广泛而且特别严重的干预，并未限于严格必要的范围。十二年后，委员会正在起草新的一部。其 2025 年 4 月的 ProtectEU 战略启动了一项关于服务提供商为刑事诉讼留存数据的影响评估，立法提案预计将在 2026 年内提出，涵盖 IP 地址和用户记录等元数据，适用的提供商范围也比被法院推翻的那部指令更广。

美国版本的永久化更为离奇，而且它就发生在三个月前。

Section 702 已于 2026 年 6 月到期，为什么还在运行？

FISA 的 Section 702 是对任何使用美国互联网服务的人来说最重要的权限。它允许在无令状的情况下，针对有合理理由认为身在美国境外的非美国人，从美国境内的服务提供商处进行收集。与这些目标的通信也会被一并收集。这就是那些从未被列为目标的人的账户，最终进入一个日后可供检索的数据库的原因。

国会无法就 FBI 在为查找某位美国人的通信而检索该数据库之前是否需要令状达成一致。期限到了，什么也没有通过。Section 702 于 2026 年 6 月 12 日星期五午夜到期，此前经历了一系列短期延期，包括 4 月的一次为期十天的临时措施。

收集并没有停止。根据《FISA 修正法》的过渡条款，依据已经生效的认证和指令所授权的获取行为，将持续到这些认证到期为止。FISA 法院于 2026 年 3 月批准了现行认证。实际效果是：一部在 2026 年 6 月到期的法律，授权监控延续到 2027 年 3 月，而国会面对的实际期限，如今由一个法院的认证日程决定，而不是由它自己写下的日落日期决定。

在二十五年的监控法律里发生的一切当中，这就是我会摆在任何仍然相信 2001 年那笔交易自带出口的人面前的事实。日落条款本是那道保险。它是一个承诺：紧急权力将被重新审视，并且真的可以终结。2026 年 6 月，这套机制被真刀真枪地测试了一次。它失效了，而监控照旧。

今天的监控真的比 2001 年更大吗？

是的，而且依据来自情报界自己的年度统计。ODNI 于 2026 年 4 月发布了第十三份年度统计透明度报告，涵盖 2025 日历年度。

FBI 的检索数字按 12 月至次年 11 月的周期报告，而不是按日历年度。

目标数是最醒目的一项。在这里列出的每一年它都在上升，而 2025 年的 349,823 个是有史以来公布的最大值，一年之内增长约 20%。ODNI 把逐年的变动归因于收集重点、世界事件、技术能力和目标的行为等多种因素。

FBI 的检索数字讲的故事，比这个原始降幅所暗示的更有意思。从 119,383 到 5,518 的骤降发生在 2024 年《改革情报与保障美国法》的改革之后，ODNI 将其归功于技术控制与个人层面的谨慎。但 2025 年的数字回升到了 7,413。更值得注意的是，司法部国家安全司在 2024 年 8 月发现，FBI 一直在使用一项高级筛选功能来检索美国人的通信，而它并不把这视为一次检索，因此也没有计入。司法部监察长在 2025 年记录了这一经过，而该功能直到那一年年初才被关闭。一项取决于某个机构对“检索”一词如何定义的统计，是一个比表面看起来更脆弱的数字。

国家安全信函是沉默的巨兽。2025 年 FBI 发出了 8,865 封，其中包含 29,203 项单独的信息要求。它们不是法院命令。在发出之前，没有法官进行审查。

那些没有任何人立法的监控呢？

2001 年以来最重大的变化并不是某一部法律。而是关于日常生活的数据量，增长得比任何规范其访问的法律都要快。

在 2001 年，要追踪一个人的行踪需要跟着这个人走。今天位置历史是默认存在的，由一部手机生成，由一家公司保存。2023 年 6 月，为回应一项《信息自由法》申请，ODNI 解密了一份 2022 年 1 月关于商业可获取信息的报告，其中承认情报界从商业数据经纪商处购买关于美国人的数据，并警告此类信息“could facilitate blackmail, stalking, harassment, and public shaming”（可能助长敲诈、跟踪骚扰、骚扰和公开羞辱）。这里不涉及任何令状。数据是买来的。

边境是 2001 年的法律架构与 2026 年的智能手机相遇的另一个地方。美国海关与边境保护局报告2025 财年进行了 55,318 次电子设备检查，比前一年的 47,047 次增长 17.6%。其中 50,922 次为基础检查，完全不需要任何嫌疑。13,590 次涉及美国公民。边境检查例外远早于 2001 年，但它是为行李箱写的，而手机不是行李箱。

机场显示出 2001 年的姿态已经何等彻底地成为默认。TSA 的人脸比对技术目前已在全国约 350 个机场运行，该机构表示旅客“may decline the optional photo, without recourse”（可以拒绝这项可选的拍照，不会因此受到任何不利后果）。大多数人并不知道这一点，因为一个被呈现为例行公事的系统很少会被追问。

这一切是否改变了人们的行为？

这通常是被断言得多、被测量得少的部分。2016 年，Jonathon Penney 在 Berkeley Technology Law Journal 上发表研究，考察了 2013 年 6 月关于 NSA 监控计划的揭露前后的维基百科流量。他发现，自己追踪的 48 篇与恐怖主义相关条目的月均浏览量在 2013 年 6 月之后下降了约 19.5%，而一个回归模型把随即出现的降幅估计为总浏览量的 30% 以上。

没有人因为读了一篇维基百科条目而被捕。这恰恰就是要点。一套监控系统不需要真的被用在你身上，就足以改变你愿意去查什么。知道它存在就够了，而代价落在那些没有做错任何事的人身上。

这也解释了为什么这笔交易如此难以被诚实地讨论。监控的好处是具体的，而且容易宣布。它的代价则稀薄地摊在数百万人身上，他们永远不会知道自己放弃了哪一次搜索。最终审理这套由 Section 215 衍生出的计划的法院，并没有被那些好处打动。第二巡回上诉法院在 2015 年 5 月 7 日的 ACLU 诉 Clapper 案中认定，该法律从未授权过对通话记录的大规模收集。第九巡回上诉法院在 2020 年 9 月 2 日的美国诉 Moalin 案中走得更远，认定大规模收集违反了 FISA，并且可能违宪。Section 215 本身于 2020 年 3 月 15 日失效。而被它用来证成的那套计划，在一家上诉法院触及法律是否允许它这个问题之前，已经运行了十四年。

这一切对正在阅读的人意味着什么？

二十五年给出了一幅清晰的图景，说明个人行动能做什么、不能做什么。

它无法撤销法律架构。没有任何消费产品能改变一封国家安全信函所强制的内容、一名边境官员可以检查的范围，或者一份 FISA 法院认证所授权的事项。任何把某个工具宣传为可以抵御一个国家的人，描述的是一个并不存在的产品。

个人选择真正能触及的，是在法律那一层旁边生长起来的日常商业收集层。这一层几乎触及所有人，而对它的规范却很少。你无法控制的网络上的流量，对运营这个网络的人是可见的，而像法国一年期义务这样的留存规则会落到互联网服务提供商头上。加密你的设备与 VPN 服务器之间的连接，意味着网络运营方看到的是一条隧道，而不是一份目的地清单。这个好处是真实的，同时也是有边界的，这句话的两半都重要。Le VPN 于 2010 年 11 月在巴黎创立，保留连接日志，不保留活动日志，支持最多 10 个同时连接，并为首次购买提供 30 天退款保证。

另一个教训与期限有关，而它并不令人鼓舞。法国的到期日在 2003 年走完了，权力留了下来。Section 215 一直延续到 2020 年，而到那时它所证成的计划已经运行了十四年。Section 702 在三个月前到期，而收集依据一份法院认证继续延续到 2027 年。

有两项决定将塑造接下来的一段时间。国会必须在这些认证于 2027 年 3 月失效之前重新处理 Section 702，而欧洲委员会即将把它的数据留存提案摆上台面。两者都值得密切关注，因为它们将决定：那场始于 2001 年 9 月一个星期二早晨的紧急状态，是终于要就其本身的是非曲直接受一次辩论，还是在无人注意之际再一次自我续期。

要以更长的视角了解这些手段如何发展而来，请参阅我们的在线隐私指南、强加密如何运作以及美国的 VPN 服务器。我们的博客会持续跟进新的监控立法动向。