摘要

  • AFPUB-2021-GEN-001-DRAFT02 于 2021 年 11 月 9 日提交；页面所载工作人员评估日期是 11 月 15 日。修订记录与评估日期之间的制作先后并不完全清楚，不能把两者压成同一个时点。
  • AFRINIC 公布的法律评估认为，缔约前以及 RSA 期间交换的信息受普通法上的保密义务约束，向第三方披露需要有关会员的明示同意或法官命令；这只是 AFRINIC 公开表达的法律立场，并非法院裁判。
  • 政策发展程序可以识别问责缺口并提出未来条款，却不能创造合同和一般法律没有授予的披露权。邮件列表共识不是资料主体的同意，内部董事会程序也不是公共法审判。
  • 可行的替代方向，是公开最低充分的“决定回执”，同时保护申请证据；对于新申请，只在展示确切公开对象、用途、受众与时间后取得自愿、具体、可纠正的明示选择加入。
  • 现有记录证明的是提案及评估被发布，而不是提案获采纳、被实施、造成实际披露、发生隐私侵害或产生损失。对风险的分析必须始终停留在这一证据边界内。

当拟公开的摘要尚不存在

2021 年 11 月 9 日，Jordi Palet Martinez 提交了《Publication of Information (Draft-2)》，编号 AFPUB-2021-GEN-001-DRAFT02，版本 2.0，拟在 CPM 中加入新的第 13.0 条。它提出的表面动作很容易概括：每项已获接受的资源申请满两年后，公开一份简短的申请理由摘要，具体发布地点由 AFRINIC 决定。这样的设计把“决定已经过去一段时间”当成公开窗口，但时间经过本身并不是权利来源。两年可以降低某些商业信息的即时敏感度，却不会自动改写当初收集材料时的承诺，也不会把私密材料变成公共记录。

提案并非完全没有程序安排。按照其文字，会员会在预定公开前三个月收到通知和一份摘要草案；会员随后有一个月提供替代文字，或者针对专利相关及类似的特殊敏感服务申请延期一年。如果 AFRINIC 对不公开的理由有疑问，它有一个月审查，并可把问题提交董事会；董事会在听取资源持有人意见后，再于一个月内作出决定。较早资源则进入按时间排列的通知次序。这个程序给了被影响者回应机会，却没有先回答最基础的问题：在会员不答复、不同意或无法接受机构所写摘要时，AFRINIC 凭什么向公众发布？

答案不能从程序本身倒推出来。提前通知不是授权，提供改写机会也不是授权，内部申诉更不是授权。一个机构可以设计得十分有序，却仍然缺少实施那项行为的法律基础。程序保障回答“若有权行动，应如何减少错误”；授权来源回答“是否有权行动”。把前者写得更细，不会补上后者的空白。

11 月 15 日所载工作人员评估让这个空白变得具体。AFRINIC 报告称，自 2005 年以来已发放大约 6,500 项 ASN、IPv4 和 IPv6 资源，其中约 5,000 项已经超过两年。这里的数字是工作人员在提案页面给出的估计，并非经审计的数据集。更关键的是，申请理由保存在请求工单中，不是现成、统一的摘要字段；AFRINIC 表示自己并未保存可直接公开的摘要，也没有在历史申请时向会员寻求日后发布摘要的同意。所谓“公开一份短摘要”，因此并不是按下现有数据库中的一个公开开关，而是重新阅读、理解和压缩数千份异质材料。

这使 Draft 2 的法律问题与操作问题汇合。若摘要原本不存在，机构就必须决定哪些内容算作申请理由，哪些背景可以删去，哪些数字需要抽象化，怎样表达申请者的预测，如何处理后续变化，以及在多份往来邮件存在张力时采信哪一段。每个选择都可能改变含义。把一份完整申请压成短文，不只是删除敏感字眼；它是在形成一项新的公开陈述，而这项陈述仍然源自会员为取得注册服务而提供的资料。

工作人员还预见到问题、澄清、争议和同意管理会增加人力需求。这个判断不能被夸大为已经发生的损失，但它揭示了成本如何产生：先由人员寻找旧工单，再判断上下文，再起草摘要，再把摘要送回会员，再处理不同意、替代文字和延期要求，最后还要维护公开后的更正。若五千份记录的格式、年代与内容都不一致，工作量并不只取决于份数，也取决于每份材料有多少解释分歧。

真正尖锐的冲突出现在“沉默”的含义上。工作人员指出，如果三十天没有回应便走向公开，AFRINIC 可能面临违反 RSA 第 4(d) 节的风险；评估援引该条，说明 AFRINIC 处理申请人资料时应遵守适用的毛里求斯数据保护与隐私法律。沉默有许多可能解释：通知没有到达正确联系人，联系人已离职，旧地址失效，内部法务尚未完成审查，语言或时区延长了响应时间，或者会员只是不同意却不知道必须通过某种格式表示。没有一种解释天然等于“我授权向任何公众披露”。

AFRINIC 页面记录的法律评估进一步表示，提案涉及的是在缔约前阶段分享的资源需求信息；在其评估中，缔约前或 RSA 期间交换的信息在普通法下具有保密性质，除非有关会员明确同意，或有法官命令，否则不得向第三方披露。评估因此认为，不能借 AFRINIC 的 PDP 单方面把披露强加给个别会员，并得出提案缺乏法律稳健性的结论。这些话的重要性在于，它们来自拟执行政策的机构所公开的自身法律评估；但它们不是有权法院对每个字段、每份合同与每种情形作出的裁判。

必须保留这种归属。官方页面能够证明 AFRINIC 发布了什么提案、工作人员报告了什么数量和保存方式、法律评估表达了什么观点。它不能证明普通法问题已经受到独立裁判，也不能证明每一个可能出现在申请中的字段在任何情况下都必然保密。更不能由页面直接推出提案已经形成共识、得到批准、实际运行，或曾经使某名会员的资料遭到公开。现有材料没有确立实际泄露、实际违约、实际损害或董事会依该提案处理争议。

日期也不应被叙事便利抹平。Draft 2 的提交日是 2021 年 11 月 9 日，页面显示的工作人员评估日期是 11 月 15 日；修订历史又说 Draft 2 是根据影响评估意见更新的。公开记录没有解释这一文件制作顺序。合理的表述只能同时保存三个事实，承认其先后关系未完全解决，而不是擅自认定 11 月 9 日版本已经吸收了六天后页面所示评估的全部内容，或把 11 月 15 日说成提案提交日。

同样需要克制的是后续阶段。此处可以确认的制度行为，是 Draft 2 以及工作人员和法律影响评估被公开。页面今天对提案的归档标示或任何后来里程碑，都不能反向把 2021 年 11 月的发布事件变成采纳或执行证明。分析一个授权缺口，并不需要虚构受害者或假定数据库曾经开放；提案与机构评估的正面冲突本身，已经足以显示政策程序的边界。

这也解释了为何 Draft 2 的问题不是简单的“隐私反对透明”。如果机构已有清晰的合同披露条款，或者会员针对确切内容作出新的明示同意，或者有权法院或其他合法公共机关依法命令披露，那么公开可以沿着相应路径接受检验。争议在于，PDP 的意见是否能够代替这些路径。AFRINIC 自己公布的评估给出的答案是否定的：政策程序不能单方面创造那项权利。

从会员视角看，资料提交所处的场景同样重要。申请者为了证明资源需求而向注册机构提供预测、网络安排或业务背景，是在一个服务与审核关系中回应要求。这种提交不能因为资源已经获批、两年已经过去，就被重新描述成对无限公众的自愿说明。收集目的和发布目的并不相同；接收机构能够为审核而读取，也不等于它能够为公共讨论而传播。

AFRINIC 在面向执法机关的公开说明中，也曾表示自己在合同和法律上有义务保护会员提交的非公开信息。这一表态不能替代针对 Draft 2 的逐字段判断，却与影响评估所承认的基本姿态相互印证：掌握资料不等于拥有任意公开资料的权利。保管者的能力来自访问位置，披露者的权利则必须来自合同、同意或法律命令，两者不能混为一谈。