但我國法律尚未對隱私計算等技術的合法性和合規性做出明確規定，致使隱私計算企業在技術產品設計、業務流程設計方面仍然欠缺規范指引。例如，現有法律規定“未經被收集者同意，網絡運營者不得向他人提供個人信息”，而隱私計算的目標就是基于多方數據的計算，原則上破壞了這一要求，但同時又可能適用于“經過處理無法識別特定個人且不能復原”的例外條款。面對這些困惑，筆者將業界與法律界人士對于隱私計算的法律合規部分思考總結如下。

（1）“隱私計算”的“隱私”不是法律法規中的隱私。

“隱私計算”來源于英文翻譯Privacy-Preserving Computing 或 Privacy Enhancing Computation，其“Privacy”一詞只是對“不愿公開”一詞的簡單描述，并不同于法律意義上的“隱私”或“個人隱私”。因此，討論隱私計算合規，首先應確認其涉及到的數據是法律規制要求中的數據，這是探討的前提。

（2）法律法規不會對技術做概括的判斷。

無論是隱私計算還是人工智能、區塊鏈、虛擬現實等技術，法律法規從不會從整體上對技術進行合法性判斷。法律法規只看技術如何應用，是否侵害到了相關法益。因此，指望法律明確指出“隱私計算合規”或者“隱私計算非法”是不現實的。

（3）隱私計算在實踐中趨近于數據的“最小化原則”，一定程度上受到法律法規鼓勵。

多方安全計算、聯邦學習等技術，相對與傳統的數據聚合和機器模式明顯增強了對于數據的保護、降低了數據泄露的風險。因此，包括歐盟在內的部分地區將其視為“數據最小化”的一種實現方式。雖然“可用不可見”更多是一種宣傳術語，但法律法規對于技術主要目的的肯定是毋庸置疑的。

（4）使用隱私計算進行數據聚合無法規避法律法規風險

由于聯邦學習中的梯度仍然可以揭示衍生的一些個人信息，特別是當模型很復雜、有很多細粒度變量的情況下，個人信息仍有被重新識別的風險。因此根據歐盟的立法，即使參與聯邦學習的主體沒有訪問對方的數據，也可能被認為是共同控制者。

（5）不能指望法律法規對技術細節作背書。

對于經過隱私計算處理后的數據是否屬于我國法律意義上的“經過處理無法識別特定個人且不能復原”，法律不會給出答案。法律法規也不會對這種“無法復原/無法破解”是否真的是“無法復原/無法破解”作出判斷。一般來說，法律法規總是假定你確實“無法復原/無法破解”，直到出現了被破解的后果。

（6） 是否要付法律責任，關鍵在于技術的使用結果。

決定技術使用的是否合法合規，不在于用了多么先進的算法、多么強大的工具，而在于實際產生的后果。技術只是在某種程度上降低了這種后果產生的風險。歸根到底，如果商業模式不合規、數據來源不合法，技術是無法拯救的。

（7）專業的評估評測對法律舉證有正面影響。

雖然技術進步永無止境，但基于標準的專業的技術評估評測至少可以證明在當時的某種條件和某種環境下，技術的實踐是受到了認可的。因此，一旦進入法律法規實施環節，評估評測的結果是具有正面意義的。

（8）技術動態更新，合規性要求也與時俱進。

技術本身在不斷發展，攻擊手段、破解技術也在不斷發展。有些當時未知的風險會逐漸變為已知。因此，即便在當時技術的合規性受到了某些標準的認可，這種認可的有效程度也是短暫的，需要不斷更新完善。

總之，絕對的技術合規將永遠難以到達，但技術的每次升級，或者安全性的每次提升，都離這個目標更近了一點。