我向麦当劳会员计划索取了自己的数据副本
文章摘要
《连线》记者 Reece Rogers 写了一篇第一人称报道：他多年前下载麦当劳 App、注册了会员计划，动机很朴素——想拿到更好的优惠，「干嘛不要便宜的薯条呢」。他知道这会带来某种形式的数据追踪，但没有意识到这些信息会被用来用算法预测他的下一次消费。作为加州居民，他有法律权利访问企业存储的关于自己的数据，于是他去麦当劳的隐私权中心提交了访问请求。几天后，一份 515 页、顶部印着金拱门标志的文件出现在他的收件箱里。文件开头写着，这份报告包含通过检索麦当劳客户信息系统所识别出的、关于他的特定个人信息片段。文件冗长且难以解析，他先用生成式 AI 工具提取关键信息，再回到原始文档核对细节，并联系了隐私领域的专家。
报告里最引人注目的部分是麦当劳对他的预测性画像。文章用一张表格整理了这些内部字段及其含义：未来六周预计到店次数（2.16 次）；未来六周预计平均客单价（13.49 美元）；未来六周预计总消费（29.15 美元，即他对麦当劳的预测总价值）；客户流失可能性为 0——这可能意味着麦当劳把他视为一个终生顾客，永远不会停止在回家路上买薯条和汽水（这也是标题「它说我永远不会离开」的由来）；基于历史交易的客户分组「CV2」（麦当劳没有说明这个内部价值层级的含义）；最常见的消费场景类型是「以食物为主的下午零食」和「匆忙中的路上午餐」，即他的两个行为原型；最常光顾的地理位置是旧金山与圣巴巴拉（61 次到访）；基于 RFM（最近一次、频次、金额）推导出的头号产品是大杯健怡可乐，头号产品品类是鸡肉卷。报告还给出了一个排名前十的「最相关产品」列表，从大杯健怡可乐、香辣鸡肉卷一路排到 20 块装麦乐鸡。
报告的其余大部分内容是详尽的历史交易记录、麦当劳发给他的优惠，以及他积累的会员积分。本质上，每一次他打开 App 买东西，系统就会创建一条关于时间、地点和购买内容的详细记录。这份日志比他预想的更彻底——甚至包括他每一次扫描大富翁抽奖活动二维码的记录以及所获得的奖品。
麦当劳发言人对《连线》的回应是标准表述：公司严肃对待数据隐私与安全，采取有力措施保护客户信息；与许多数字会员计划一样，他们使用过往购买等信息来提供更具吸引力、更个性化的客户体验，例如推送最相关的优惠和信息；客户可以继续使用隐私声明中列出的各项隐私选择。
文章引用了几位专家的判断。数字民主中心执行主任 Jeff Chester 用了一句被 HN 反复引用的话，大意是麦当劳真正的「秘制酱料」是商业监控。卡内基梅隆大学教授、CyLab 安全与隐私研究所主任 Lorrie Cranor 认为这 500 页算是一记警钟，但它并不是普通人能轻易读懂的格式；她认为对消费者更有益的做法，是在注册环节就提供高度详尽的披露，说清楚什么会被存进你的「永久档案」，以及这些数据会被用来对你做出哪些具体推断。华盛顿大学教授、该校科技政策实验室联合创始人 Ryan Calo 强调的是权力不对称：你被技术所中介——你走的是他们的得来速，用的是他们的自助点餐机、他们的 App，你身处他们的生态系统，而他们有一群名字后面带头衔的人在设计这一切以最大化利润。他认为会员计划与其说是给消费者甜头，不如说可以被用于长期监控。加州大学欧文分校法学教授 Ari Ezra Waldman 则点明了聚合的危险：单看每一个数据点都很无害，但多年累积起来会构成一幅令人不适的精确画像——你吃这个汉堡或喜欢那个音乐人本身也许不算隐私，但这些信息的聚合、收集以及经由 AI 的处理，可以生成相当具有侵入性的个人信息，比如你什么时候会在哪里、你白天做些什么。
隐私专家们也告诉记者，这种细节程度可能让人感觉具有侵入性，但对于美国大型企业运营会员计划而言，它其实相当标准——这句话里的「但」后来在 HN 上被专门拿出来讨论。
文章结尾带着一点自嘲的转折：翻完文档后，记者回到麦当劳隐私权中心，请求删除他们存储的一切，「重新开始的感觉总是不错」。而当他把数据拿给 Cranor 看时，对方对他去麦当劳的频率之高感到震惊，只说了一句「这家伙吃了好多麦当劳」；他的上司同样为他的加工食品选择感到吃惊，要求他别再去了——尽管他热爱酥脆的薯条和健怡可乐，他也同意了。
HN 评论精华
这条帖子拿到 231 分，讨论走向和文章的预期完全不同：HN 的主流反应不是被隐私侵犯吓到，而是觉得「这不就是营销 101 吗」；真正的担忧被重新定位到「数据跨出筒仓之后」；而讨论最热烈、篇幅最长的一条支线，反倒是从「数据驱动」跑题到快餐业服务质量的整体衰败。
- generj 的顶楼评论定下了主基调：其中一些收集确实令人毛骨悚然，他自己也基本不再用 App 和会员计划了，但很多担忧似乎放错了地方——「『天哪，麦当劳跑了一个客户生命周期价值算法，一个已经用了几十年、隐私影响极小的东西』『倒吸一口凉气，金拱门知道我喜欢健怡可乐并对我做了营销分群！』恭喜，你发现了营销 101 课上教的概念。」当 williamdclt 指出绝大多数人并没上过营销 101、也不该被期待上过时，generj 澄清说他不指望所有人上过营销课，但他确实指望这篇文章的作者对这些术语表现出一些好奇心——而且我们知道他有好奇心，因为他把这些字段解码成了更通俗的表格；那么为什么要把这些要素呈现成麦当劳做的一件反常的事，而不是一个本科生做课程项目就可能算出来的东西？
- Grombobulous 追问了一个很实际的问题：515 页，那些真正令人震惊的东西在哪？他假定作者会挑出文件里最恶劣、最惊人的数据来列举。「文件的长度听起来吓人，但它本质上似乎就是一份交易清单。」他期待看到的是更进一步的东西：位置追踪，能预测这个人在某个特定时间会在哪；或者从数据里推断出的东西，比如「这个人在生理期会买麦旋风」；更可怕的会是推断出朋友和家庭关系、亲属和朋友住哪。Jeremy1026 同样好奇「另外 510 页里到底有什么没被讨论」，BeetleB 的猜测是「没什么有趣的。如果有，那他就是个非常草率的记者」。
- juiceland 追问「如果担忧放错了地方，那该放在哪」，whartung 给出了本帖公认最清晰的答案：担忧点在于数据冲出筒仓的时候。没人会震惊亚马逊拥有你买过的一切的完整历史，这里的人大概也不会惊讶他们记录了你点过甚至只是鼠标划过的每一件商品——现代系统的美妙之处就在于存这些数据非常便宜。黑暗面在于，如果这位记者向麦当劳查询，拿到的不只是他的麦当劳消费趋势，还有他在比如 Target 的购物习惯，因为麦当劳和 Target 之间也许有数据共享协议来关联客户；或者在健怡可乐和四分之一磅牛肉堡的收据底下埋着一份他的信用报告副本。「担忧出现在这里——不是原始数据，而是数据可能被越来越集中之后的交叉切分。可能集中到一家你甚至不知道在收集你信息的公司。你向麦当劳索取档案，因为你知道他们在收集你的数据；但你不会向 X 公司索取，因为你不知道他们也在收。」他还补充了另一个不同的问题：在没有搜查令的情况下把数据交给当局。
- mainmailman 的表述被广泛认同：「我真的不介意某个企业收集这类使用数据。我介意的是这些数据被用在那个语境之外。想卖给我更多汉堡薯条？可以。但别告诉我的医生，或者 palantir，或者政府。作为信息时代的消费者，我不觉得这是过分的要求。」rpdillon 呼应说麦当劳有权拥有关于其客户与该业务往来的数据，因为那就是业务本身；但如果他们转手卖给健康保险公司，他就有意见了。这条引出了本帖第二热的争论：kjs3 说真正「你该在意」的地方是保险公司用这类数据（在市场上对所有人开放出售）来涨你的保费，理由是「你每周两个巨无霸的习惯让你风险更高」。tiahura 站在对立面：「保险是关于准确定价风险，而不是补贴隐蔽的高风险行为。为什么不该考虑你的饮食？」RevEng 的反驳落在信息不对称上：「我不想让他们拿到。我自己没给他们这个数据，我也不同意麦当劳把它给他们。」kjs3 则讽刺道，他本以为人们不至于天真到相信「每周两个巨无霸」的风险能被精算准确定价，而不是保险公司拿这个事实来正当化一次并无精算支撑的涨价，「又一次，我对人的假设被证明是错的」。xp84 补充了一个现实约束：美国 90% 的人在团体计划里，保险公司在给雇主定价时并不知道组里有谁，而在 Obamacare 个人计划上只能用年龄之类的宽泛因素；不过 criddell 指出人寿保险不一样，它常常是按个人签约的。mosburger 描绘了一个不需要涨价的版本：也许他们先不调整你的费率，只是不停唠叨你——「Aetna 已经会在我没按时取药时给我发邮件了，我能想象一个反乌托邦的未来：保险公司让你装个 App 而不是用保险卡，然后 App 在感知到你离麦当劳太近时推送『你真的需要那个双层芝士堡吗？这周第三个了！（而且 Apple Health 说你的心率看起来不太妙）』」。
- 多位评论者用「历史类比」来消解这份震惊。nDRDY 问了一个很妙的问题：「一个店主对他的一位常客所知道的全部信息，需要多少页才装得下？」rpdillon 讲了一个亲身故事：他父亲二十多年一直通过邮件和电话从旧金山一家叫 Cable Car Clothiers 的店买东西；后来他自己搬到旧金山、每天上班路过那家店，进去帮父亲取东西时和店主聊了几句，店主的零售系统里显示着他父亲从 80 年代末以来下过的每一笔订单——由此可以派生出总消费额、最常买的商品、最近一次和最早一次购买日期等等。「是麦当劳的规模引发了担忧，还是别的什么？」xp84 想的完全一样：一家夫妻店或小餐馆的老板 50 年前就对所有常客知道这个程度的细节，他们能预测「Steve 每周来三次左右，早上点鸡蛋和吐司，下午来通常只要一杯可乐」，而且如果你的到访频率突然下降，他们也会察觉到不对劲。他认为人们担心的是规模，但他不确定这有多理性。yesco 的自述很有代表性：「我本来是举着草叉进来的，但这些东西不是挺……合理的吗？麦当劳只是一家餐厅，他们预测你喜欢哪些菜品、你多大可能会再来，这真的是问题吗？」他随后设想了一个真正该举草叉的版本：一个「另一个现实里的、邪恶科技公司式的麦当劳」，用人脸识别把任意顾客的所有监控录像归类，再用这些录像估算他们的朋友、配偶、BMI、年龄、性别、族裔、吸引力、残疾状况，然后卖给第三方数据经纪商赚外快。「那才是能让我挥舞草叉的反乌托邦监控，但这个？在做了最坏的假设之后，我现在走开时觉得麦当劳可能也没那么糟。」
- juiceland 提供了本帖对「这有什么问题」最有理论深度的回答：问题在于数据被用来影响客户的行为。「从『我们观察用户分群的行为并预测公司将在某时某地卖出 x 单位』到『这些个体用户的行为使我们可以通过以下动作影响他们购买他们本来不会购买的东西』之间，有一个巨大的跨越。那是大规模的行为修正。」他推荐了 Shoshana Zuboff 的《监视资本主义时代》和 Kai Strittmatter 的《我们已被和谐》。不过 rpdillon 依然不为所动：「我不觉得这有多令人惊讶——分析客户行为的全部意义就是调整业务以利用它。我的界线画在不同垂直行业之间共享数据上，但我不认为批评一家企业分析自己的客户记录是公平的。」
- juiceland 还挑出了文章里的一处措辞：「隐私专家告诉我这种细节程度可能感觉具有侵入性，但它在美国大公司运营会员计划的方式中相当标准」——这个「但」在做什么？「一件事可以既是侵入性的又是标准的。这个做法两者都是。」goda90 认为这正是一种训练：「我在谈论这类事情时经常看到『别担心隐私侵犯 X，因为隐私侵犯 Y 无可避免』。人们正在被训练接受『正常』的侵犯。」不过 bawolff 给了一个语法上的辩护：作为并列连词的「but」并不总是字面上表示例外，它的含义更接近「尽管如此」，这个句子语法上没问题，也不蕴含你抱怨的含义。
- 关于「为什么要做个体级预测分析」这个技术问题，boscillator 问：他们肯定不关心某个特定客户会做什么，只关心总体吧？既然 ML 模型只能从过去的聚合数据学习，用传统统计不是更合理？ceejayoz 的回答一句话点破：他们可以看营销是否改变了你的行为——「我们预测他周一之前不会买薯条。推一条通知。」RevEng 补充说目标始终是转化：把广告曝光变成销售，知道你最可能接受什么就告诉他们该提供什么。
- OkayPhysicist 贡献了本帖对会员计划商业逻辑最有洞察的一条：追踪并不是会员计划的全部目的，另一个（可能更大的）原因是简单的价格歧视。麦当劳发现有两类截然不同的顾客：习惯性快餐消费者（非常规律地光顾）和机会性快餐消费者（偶尔想吃点快的）。也许违反直觉的是，机会性顾客对价格远不如习惯性顾客敏感。解决方案就是一个「刻意设置了足够多麻烦」的会员计划，用麻烦把偶发顾客筛掉；这样他们就能对价格不敏感的那群人收一个价，对更敏感的那群人收另一个更低的价。附带好处是习惯性顾客大概也更容易受广告和提示的影响。nitwit005 认为其实是三组人，因为 App 里还有一层优惠券机制——最低的价格要求你在 App 里翻找当前可用的「deal」，而不是直接用会员积分打折；经典优惠券的想法之一就是给最价格敏感的顾客（那些愿意忍受剪优惠券麻烦的人）一个更低的价。
- 讨论中篇幅最大的一条支线其实与隐私无关。hamdingers 感慨数据毁掉了快餐（以及许多其他行业）：他小时候一家麦当劳午餐高峰常有 10 多名员工，每个工位一个人，还有几个流动人员打扫餐厅，有人立刻来接你的单，一两分钟就能拿到餐；现在去只有 2、3 个员工，你在平板上下单，10 多分钟后一个疲于奔命的员工把餐放在柜台上就跑开，餐厅从早上 6 点起就没打扫过，垃圾桶满了，总有个警报在响。「那时候他们是基于某个人对『什么算好的顾客体验』的直觉来运营的。现在他们基于数据运营，而数据说他们有足够多像本文作者这样忠诚到病态的顾客，于是长期性地少配人手比提供好体验更赚钱。」这条引出了极长的讨论。hliyan 给出了最有理论价值的诊断：快速反馈循环的问题在于它会滤掉长期信号；数据驱动决策的问题在于数据是数值化的，而计数这个行为必然是一种近似——为了能计数，我们抹去了对象或事件之间的差异，把它们塞进类别里。「所以现代管理者要的那种仪表盘，提供的除了最显而易见的短期『洞察』之外什么也没有，你还不如把中间那个人去掉，直接把数据喂给一组简单的决策规则。」sseagull 补充说人人都在引用 Goodhart 定律，但他觉得麦克纳马拉谬误在今天更重要，「应该每天读给每个 CEO 听」——只基于定量数据做决策、因而忽略定性信息与观察，会导致糟糕的结果；不是所有重要的东西都容易被测量。
- 这条支线里还挖出了一个具体而生动的「指标被博弈」的例子。xp84 说门店里每个人都被「订单送达时间」这个 KPI 重度考核，但除了得来速之外，计时器由员工控制——只要把订单从屏幕上删掉，做指标的电脑就以为你已经送达了。于是他们尽可能快地删单，靠厨房里随处贴着的打印小票来记事，而管理链上任何真正关心服务时间的人，就完全看不到自己做得好不好了；即使一个在现场帮忙、明明能看到有多慢的经理，也知道指标毫无意义，因此很难追踪改进。kalleboo 和 mercurywells 都证实在自己所在地看到同样的现象（现在的副作用是 App 会提前通知你订单已就绪，而实际上并没有）。rascul 以前麦当劳员工的身份佐证：「我们的目标时间根本不可能达成，唯一的办法就是立刻按下送达键然后凭记忆做事。」ApolloFortyNine 说自己曾想给总部发邮件反映，但 idiotsecant 的反驳很有力：「打小报告举报那些只是为了保住工作而稍微钻了下系统空子的底层员工，这冲动挺离奇的。」voakbasda 澄清了这种冲动的本意：「冲动是指出这个糟糕的系统，而不是困在其中的可怜人。因此最终决定什么也不说，因为没办法只影响其中一个而不影响另一个。」bigfatkitten 提供了一条时效性更新：他的孩子在麦当劳兼职，她说店里的得来速已经装了摄像头，会自动追踪每辆车从点单到付款到取餐的全过程，「所以这（删单作弊）在某个时点也许是真的，但现在不是了」——不过 f33d5173 提醒他，原评论说的是「除了得来速之外」。
- 关于「是不是最低工资导致减员」，xp84 认为不该低估最低工资上调（比如加州）对人手的下行压力，但 hamdingers 用 In-N-Out 反驳了这个说法：他们在加州同时保持了满员配置和高于市场的薪资，基础芝士汉堡只贵 30 美分，而且汉堡质量高得多，所以连这点差价都很难归因于工资。dsr_ 补充了结构性差异：In-N-Out 完全由创始人家族私有，每家门店直接控制，他们的客户就是买汉堡的人；而麦当劳是 5% 公司直营旗舰店加 95% 的加盟「机会」——「他们没有顾客，他们有的是在租给他们的土地上耕作的佃农。」xp84 从另一个角度解释：In-N-Out 是低毛利高周转的生意，他们不能裁人，因为他们赚钱靠的正是极高的单位时间出餐量，所以必须尽可能高效地出餐，这需要满配的厨房和柜台，「就像航空公司不能从驾驶舱里拿掉飞行员一样，整个运作会停摆」。不过 jerlam 提供了反面经验：In-N-Out 虽然人多，但按「快餐」标准慢得离谱，得来速队伍绕过自家停车场排到隔壁去，「我有时很想去 In-N-Out，但我真的不想在车里坐或排队 30 分钟」。
- 最后是几条一句话的锐评。shpx：「『我担心被监控，所以我把我全部的数据上传给了一家 LLM 公司』。」teiferer：「讽刺的是，打开这篇《连线》文章时第一个出现的东西，是一个要求我同意数据收集的提示框。」owisd 提出了一个政策方向：「可以通过按企业持有的个人数据量征税来解决这个问题，顺带清除世界上大量的算法垃圾。」bothers 留下了本帖最沉重的一句：「数据已经取代了知识，而这件事的真正悲剧只会被我们的孩子和他们的孩子感受到。但那种感受会非常强烈。」