一份真实记录，为什么会在后来成为新的伤害？
一个社区多年保存一份经核验的责任记录。一家机构为了避免同类错误，合法查看了它。许多年后，新雇主在另一份完全不同的工作申请中直接引用同一记录，又在没有调查当下情形的情况下写下“此人现在仍然不可信”。当年的事实没有变，新判断却显然比旧证据走得远得多。
更隐蔽的伤害在旁边：原记录中还有受害者为了调查而提供的私人叙述。它曾是理解事实的关键材料，现在被新使用者完整复制进公开文件。一个被保存以保护受害者的证据，反而成为不断迫使受害者重新出现的工具。这是虚构思想实验，不冒充真实机构的档案事件。
第九论第一句判断：事实确曾发生，不等于任何人都可在任意时间、向任意受众、为了任意目的使用它。 一段历史可以值得保存，公开它可能需要另一个理由，而用它对新情境作出判断更需要新的证据。保真之责，不能自行变成无限引用之权。
但相反方向同样危险：掌握资料的权力者可能声称“为了让当事人重来”，故意毁掉严重侵害的档案，使受害者再无可能证明发生过什么。保护隐私不能自动授权抹去公共罪行的证据。真正要建立的是保存真相与限制滥用的双重边界，而非选记忆或遗忘任何一边。
保存、可访问、公开传播、用于裁决：四项不同权力
第一是保存。 记录者保留什么原始文件、来源、时间与后续更正，关系到事实能否被再次核对。第二是访问。 谁凭何种目的和资格查阅原件，与原件是否存在不同。第三是传播。 将完整档案发给公开受众、送入搜索索引或制作新闻摘要，能够形成远比档案室查阅更广泛的伤害与公共利益。第四是再次裁决。 雇主、学校或公共机构用旧事实推断今天的风险、资格和行为，已经提出了一项独立的现实主张。
这四项行为均可能合法或不合法、正当或不正当，不能从前一项自动推出后一项。公开资料不必对每个后来用途都无条件授权；私人资料也不必因此永远无法用于核验严重公共伤害。实际权利会受到不同法域、信息性质、公共职责和法律基础约束。
最重要的哲学错误，是把“这是真的”写成“所以所有后果都正当”。一个事实可以真，因果解释可能错；一种因果解释可能合理，但未来资格判断仍可能不相称；某条信息可以依法保存，却不具备向陌生公众无限披露的充分理由。每一次转换都必须独立承担证明责任。
因此本论不是要给 Canon Archive 新增统一字段或事件引擎，而是提出关于历史工作的伦理审查：保存的真实性、解释的可争辩性、披露的权限与新用途的相关性，应当分别可问责。 任何实际产品结构的修改均不在本文授权范围。
沉默不是同意公开；拒绝发言也不能让真相自动消失
一位受害者曾在依法进行的调查中讲述经历，后来不愿在公开纪念活动上再次说话。她可以完全真诚地希望事实得到承认，同时不愿自己的私人细节成为可以任人观看的展品。记录者不能因此说：“你既然提供过证词，就永远同意所有未来传播。”第三论《代言之界》已经说明：一次授权的范围不能通过沉默自动扩张。
反过来，如果事实涉及大规模公共侵害、他人的权利和明确的调查责任，一位证人的个人撤回请求也未必能使所有独立形成的证据自动销毁。社会可能对事件本身有公共知情理由；受害者及家庭也可能具有不同且相互冲突的请求。必须区分她对自己的叙述、她的个人数据与他人独立证据各拥有什么性质的权利。
最难的情形是证词本身无法完全匿名：某一事件只有一名可识别的幸存者，任何实质公开都可能令其重新暴露。此时“我们已经删掉姓名”未必真正保护她。应当认真讨论能否分级公开、延迟访问、隐去可识别细节、提供事实概述或采用其他不损害核心真实性的做法；并承认在具体案件中可能根本没有零代价的方案。
沉默者的利益必须进入决定，不能由记录者以“历史需要声音”而自动征用；但沉默本身也不等于事件已经不存在。 这不是一个足以统一全球档案法律的公式，而是任何使用私人叙述时都不能跳过的权力问题。
真不等于足以解释；解释不等于足以预测
历史记录通常回答“什么发生过”。未来决策却常问“这个人今天会做什么”。两者之间必须建立新的论证桥梁。十年前某人曾犯下真实错误，是关于过去的证据；今天某个岗位的风险是否仍高，可能还需要性质相似性、当前行为、职业要求、风险变化与相关权利的证据。不能将一份旧事实当作没有时间效应的全能预测模型。
社会认识论长期关注证言为何值得相信、群体如何产生知识，以及偏见怎样改变他人证言的可信度。Miranda Fricker 所说的证言不正义与诠释不正义，已经指出权力可以通过不给某些人足够可信度，或者剥夺他们解释自身经验的公共资源而伤害他们。Canon 不可把“谁能解释档案”宣称为历史上首次发现的权力问题。
我们在此提出一种进一步的候选区分：事实效力是有限的，解释权也必须受限。 旧记录能支持哪些判断，取决于它的内容、形成环境与可反驳的推理；不应从“档案属实”一步跳到“关于当事人今天的所有推测都已证实”。
也不能一概排斥旧信息。一个真实且与新职责高度相关的严重旧行为，可能仍有充分的公共安全证明价值。关键不是禁止思考过去，而是让新使用者清楚承担自己的推断责任：是哪项事实、怎样关联当下风险、有哪些新事实、又可能误伤谁？ 不能让档案代替自己作答。
更正记录，不等于销毁原始证据
如果原档案中一个日期抄错、一个行为者被误认，可靠的历史工作必须允许核查和纠错。若仅为保持档案“未经修改的神圣性”而拒绝纠正，就会让保存事实的名义变成传播错误的许可证。
但纠错也不必要求秘密覆写原始文件，使后来人无法发现当年是谁、何时以什么证据作出错误判断。对有法律或历史证据意义的原记录，合适的方法可能是保护原件完整性，另附带有日期、依据与责任归属的纠错说明；具体办法需遵守适用的档案和数据保护规则。事实曾被错误记录的历史，与事实本身是什么，是两项可以同时保留的真实。
欧洲 GDPR 第16条明确涉及个人数据更正和补充说明，第17条规定在特定情况下的删除权，而第89条对符合条件的公共利益档案处理规定适当保障。这三条不能化约为“欧洲所有历史档案必须删除”，也不能化约为“一经入档永远不得更改”。它们分别面向个人数据处理中的不同权利与条件，并非 Canon 自创制度。
面对受害者要求撤去个人细节、研究者主张保全重要证据、相关人要求纠正错误，新制度不能把所有请求放进一个“允许删除/拒绝删除”的二值按钮。可能有保存、封存、限制访问、纠正、补充异议与有限使用等不同路径，但没有一种路径能在所有法域及事实条件下保证充分。
档案的公共利益，能否成为无限访问的特权？
真实档案有可能保护弱者，而不是伤害弱者。在严重侵犯人权的案件中，如果国家销毁拘禁、失踪或司法错误的记录，幸存者与家庭将很难证明发生过什么，社会也会失去调查责任和阻止重复伤害的重要证据。联合国关于知情真相的论述强调个人与集体利益，并将档案保护视为必要环节。
但“公共利益”不是一句说出后就结束辩论的词。必须追问哪些公众利益、通过怎样的访问方式、在什么时期需要、哪些受害者可能因公开而遭到现实威胁，以及是否有更少暴露个人信息、却仍能满足必要调查的替代方式。若一项公共利益只在抽象口号上存在，而公开的实际后果却集中压向无力拒绝者，它还缺少规范性证明。
UNESCO 官方档案访问规则本身就不是“所有真实文件立即无条件公开”：它区分一般可查阅资料与因隐私、安全、机构敏感性而受限的文件类别。不同记录可因性质适用不同访问时限。这一事实说明保存与开放在制度上可以分立；但不能将 UNESCO 的内部规则偷换为所有国家档案馆的法律义务。
尤其要警惕的是以“保护公共记忆”为由拒绝任何纠错，或以“保护当事人”为由抹去真正可以证明公共侵害的证据。对真相的尊重必须包含对证据来源、权力边界与现实伤害的共同诚实；只选择其中一项，可能将另一项变成新的受害者。
遗忘权不是歪曲历史的通行证
数字技术改变了遗忘的社会条件。旧日一张过时报纸可能逐渐退出日常视野，如今同一条记录可以被搜索引擎、共享数据库和自动化筛选不断重新召回。哲学上的记忆伦理研究早已讨论这种非对称性，尤其提醒“记录不会自然消失”可能使人难以摆脱不再具有当下相关性的旧标签。
GDPR 第17条的删除权存在适用条件；行使表达与信息自由、履行法定义务、公共利益档案、科学或历史研究及法律请求等，均可能在法定条件下构成例外。不能说所有当事人都有权要求全社会删除其不喜欢的真实事实，也不能因为出现“研究”“历史”四字，便不加审查地豁免一切处理限制。
在伦理层面，这提示一个比“记住或遗忘”更细的区分：不能伪造事实不存在，可能仍应对不相关的访问和自动化再利用设置边界。 某项记录可以留在合法保管的档案中，而不必永远位于所有人的搜索首页；有些公共侵害证据又必须在适当条件下供调查者访问。两者的权利基础和救济途径并不完全相同。
最强反论是：若削弱旧事实的可见性，会不会保护富裕、有权力的过错者，使社会失去监督能力？这是真实风险。任何限制公开都必须说明其公共成本，尤其不能让档案保管者以隐私为名保护自己或组织的权力滥用。与其宣称一项绝对遗忘权，不如把具体访问目的、证据需要、当事人权益与可审查的限制放在同一张桌上。
受害者对自己叙述的权力，不能变成他人历史的消失
一个人可能希望自己的受伤害经历不再被公开重复；同时，其他受害者可能希望同一机构的系统性过错获得完整调查。前者的隐私诉求不能被轻率否定，后者的知情请求也不是私人报复。两种请求可能同样有道德分量，却不能由某个代理人未经授权宣布自己代表双方作了选择。
一种有缺陷的处理方式是：为了保存系统性侵害的证据，将每位证人的全部私人细节永久公布；另一种有缺陷的处理是：因为有一位受害者不愿发言，就让组织删除所有独立形成的责任记录。前者把证人当成公共取证资源，后者把个人隐私与公共责任错误地合并为一项“谁说了算”的权力。
某种分层访问、限制传播、去标识化和独立事实概述，可能缓解这类冲突。但不能把它们视为零风险万能方案：小群体中的匿名叙述仍可能被识别；过度删除上下文又可能使严重责任无法查明。对真正难以匿名的证词，需要承认可能存在无法完全消除的冲突，不能在报告里写“所有利益已经圆满兼顾”。
本论在此与《代言之界》相连：任何机构可以有真实档案职责，却不能因为职责真实，就假称受害者已经授权所有传播。 与《宽恕之界》相连：个人拒绝宽恕与公共机构合理保存证据，是不同主体的决定，不应相互冒名。
自动化记忆可以证明事件，不能自动授予永久裁决权
昔日一页纸须由人展开，今日一页纸能在千道门前同时出现。速度改变的，不是纸上旧事的真假，而是旧事获得新裁决机会的次数。若每扇门都只读同一页，那么一个人后来如何行动、如何改变，便永远进不了新的记录。可无限召回的历史，尤其不能免于每一次新的证据审查。
一个自动化系统每次看到某个人的姓名，便调用十年前的一份真实过错记录，将其作为“当前高风险”的唯一标签。系统没有编造那一年发生的事，但如果旧证据并未充分支持今天的判断，它仍可能在不断重复的过程中大规模制造新的不公。记忆的准确率不等于推断的正当性。
尤其危险的是输入与输出相互强化：旧档案中的不利标签降低此人的申请通过率，申请受限造成后续经历缺失，系统又将缺少新经历解释成原风险未改变。数据越多，若其生产过程被制度自身改变，越不能把最终结果当作独立的现实证据。这里是虚构的算法思想实验，不宣称任何现有 DaoVow 服务使用这种规则。
但自动化也可能揭露此前被人为掩盖的大规模侵害，让受害者找到能够核实的共同模式。因此应批评的不是“机器记忆”本身，而是将记录、解释与制裁权连成一个无需说明的自动闭环。系统能提示风险，未必就有权定案；记录能够留下，未必就必须无限用于不同目的。
越能将过去瞬间召回的工具，越需要对新用途保持独立的证据与权限审查。 这不是请求新增一套统一的 DaoVow Narrative Engine、Event Mapper 或跨产品 JSON；这里只是一项哲学上的认识责任判断。
最强反例：有时必须公开，哪怕当事人希望沉默
反例一：国家暴行的档案。 一位高权力者以保护个人隐私为由要求封存证明系统性严重侵害的材料。受害者与公众有合理的调查与知情请求，有些资料若不及时保存或在适当条件下公开，便会被篡改或消失。若 Canon 将所有个人隐私诉求都解释成对真相的绝对否决，便可能帮助有权者逃避责任。保护私人细节与查明主要责任可以同时是强义务，但不保证每案没有代价。
反例二：持续而具体的危险。 某人旧时犯下的严重过错，与其今天申请的特殊岗位高度相关，且有独立、近期、可信的风险证据。如果仅为“允许重来”而阻止所有适格机构依法使用这些材料，就会伤害未来可能受影响者。旧记录不具有自动永久效力，并不等于它永远失去证据价值。
反例三：只有一份无法匿名的证词。 某位幸存者不同意公开个人细节，然而公开事实又有强烈的公共利益，且去标识化会使证据几乎失去可核对性。若 Canon 一面宣称绝对保护她，一面宣称全面公开，一定自相矛盾。真实冲突可能需要在合法程序下作艰难、相称、可复审的选择，不能预先承诺两方都获得无损结果。
反例四：更正被用作销毁。 组织宣称要更正当年的不准确指控，却不保留任何可核验的原件、修改依据或时间记录。结果既不能证明原错误，也不能说明后来为何纠正。若 Canon 只看到更正的愿望，却忽略审计与保存证据的合法需要，便背弃了自己的真实性原则。
反例五：私密生活被强迫公开。 一份档案真实地包含受害者个人生活与其他无关者的细节，研究者以“原始完整性”为由不加筛选地公开全部信息。如此公开可能提供历史价值，也可能毫无必要地扩大伤害。即使公开某些事实确有理由，也需要独立解释为何这些无关细节不可避免。
这五种反例给出严格限制：不是每项隐私主张都优先，也不是每项真相主张都拥有无限披露权。 如果不能承认某些证据确实必须在适当条件下公开，Canon 就是在用美丽语言让现实危险失去可见性。
一位好档案员可能面对的最残酷选择
设想一个完全虚构的档案馆，只保存了某项公共侵害的一份关键记录。受害者曾明确允许它作为调查证据保存，但没有允许将私人细节放到全城可搜索的数字展厅。新一代史学者希望开放全文，以核对旧日组织是否曾掩盖真相；当地机构希望尽快结案；当年的受害者不愿参加任何公开纪念活动。
一位好档案员不能只说“我代表历史”，也不能只说“本人不愿意，所以全部销毁”。他要查明文件的实际来源、保存和访问的法定条件、哪些内容在公共调查中不可替代、哪些细节不改变责任判断、哪些替代披露方式可行，以及作出错误决定的代价由谁承担。
真正有文学力量的并非一份完美的访问准则，而是档案员可能在任何决定中都无法完全无辜：过度遮蔽可能让机构逃过调查；过度公开可能让受害者再一次失去对自己生活叙述的有限控制。知道没有无损方案，不等于可以放弃说明理由。
如果一个理论每次遇到此类冲突都只说“平衡各方权益”，它仍不够有力量。Canon 至少必须指出自己最不允许的两种决定：为了保护责任人而毁掉可核验证据；为了展示正义而公开无关者本可保护的隐私。 哪些信息属于不可缺少的证据，需要具体事实和适用法律来判定，不能让作者凭漂亮的结尾代替论证。
经意：史可留，权须问
提出四句供 Canon 审定的当代原创经意：史可留，权须问。真非尽可示，示非尽可用。记其事，不可僭其心；护其人，不可灭其证。 它们不是《易经》或其他古代典籍原文，也不能作为一项适用于所有档案系统的法律规则。
本论的候选贡献并非发现隐私、档案访问、知情真相、遗忘权或认识不正义。以上主题都已有深入研究与现实制度。本篇尝试让一次历史记录的生命周期接受四种分别可反驳的判断：事实是什么、谁有权接触、为何有权传播、能否据此对新的现实作出判断。 四项不是可以自动执行的统一工程模型，而是对记录者权威的伦理限制。
因此第九论与前八论继续相连：《续而不役》要求真实保存承诺诱发的依赖；《代言之界》禁止凭沉默制造授权；《诺止之后》拒绝用补偿伪写已履行；《宽恕之界》要求区分受害者的宽恕和公共复归。现在再增加一句：保存历史，不能成为拥有历史中人的许可证。
因此，史官面对的不只是藏与不藏，更是如何不使一张纸同时成为火种与锁链。为沉默者保存足以证明侵害的那一页，不等于替他同意让私人生活示众；为后来者保留修正记录的道路，不等于替过错者烧掉责任。可查的历史，是向后来者交出证据；无界的历史使用，是替后来者预写判词。真正敬重时间的文明，应保存其不能重来的事实，却把是否、如何据此决定当下的责任留给有资格、可被反对的活人。