跳转至

选举观察员的自保

选举观察员经常要在敏感时间、敏感地点记录与回报信息，数字安全与人身安全同样重要。

本页面向两种角色，准备强度差很多。在本地担任投开票所观察员的志愿者，是戴证件、合法公开的身分，多数时间不需要强匿名，重点在「拍到投票人的脸会不会违法」、「能不能用手机回报票数」这类现场分寸。外派到他国执行国际观察任务的成员，才需要评估护照风险、跨境通讯监控与装置出入境。读的时候先确认自己属于哪一种，本地志愿者可以跳过跨境那几节。

香港读者：本页框架不适用香港现行选制

以下内容以「有意义的竞争性选举可供观察」为前提。香港自 2021 年选制改革后设「候选人资格审查委员会」，其认定候选人是否「爱国」的意见来自国安委员会，且不受司法复核，直选议席也大幅压缩，反对派实质被排除在选举之外。「独立观察选举公正性」的角色因此在香港现制下欠缺可对应的对象。此外，以公民社会身分在香港进行任何独立选举观察或监督，本身可能被视为「境外干预」（目前没有公开的具体起诉案例，这是从相关罪名适用范围的推论）。还是想关注香港选制的话，可以改为阅读 Freedom House、国际选举观察组织的既有报告，而非亲自进行观察。本页的操作指引请当成他国观察任务的参考，不要直接套用到香港本地。

查证来源（2026-07）：2021 Hong Kong electoral changes - Wikipedia。

要先理解风险为什么存在，可以回头看 威胁模型如何建立 与 Metadata 是什么。

为什么个别观察员会成为目标

观察员受到的攻击越来越常落在个人身上，而不只是机构。GNDEM 与 NDI 在 2024 年关于全球无党派公民观察员权利的报告，记录了限制性法规、政治化的认证程序，以及升高的暴力与骚扰，是观察员面对的主要障碍1。

这些压力最终都落到个人：认证名单就是一份姓名清册，投开票所观察员是房间里一张看得见的脸，任务报告有署名。

数字风险的逻辑跟 记者保护消息来源 一样，最重的代价经常落在你数据里的人身上，而不在你自己。一份现场事件记录可能写着某位选举工作人员的名字，是他让你记录到违规情形。一份草稿的论据可能来自选务体系内部的消息来源。装置被扣押而暴露了其中任何一人，都可能在计票早已认证之后，让那个人失去工作甚至更糟。

要反复问的是站上每个场景都会回到的那个问题：如果对手取得了我的装置、云端或通讯记录，谁会被烧到？

任务前：把装置准备好

最有效的一步，是决定哪些东西根本不该出现在你带出门的装置上。

把工作与个人分开

  • 威胁模型撑得起的话，带一台专用的观察装置。第二支手机或一台干净的笔记本电脑，只装任务需要的东西，装置被搜查或扣押时，你的个人账号、照片与联系人不会一起被拿走。高风险的跨境任务值得付这个成本
  • 从干净的装置开始，而不是每次出发前清理日常手机。一支恢复出厂设置的 Android，用一个不绑真实邮箱的新账号，只装地图、翻译、回报用的 App 与任务联系方式，比努力回想「还有什么要删」可靠得多。这个模式跟前往不友善司法管辖区的做法相同，出差与研讨会的数字准备 有更完整的说明
  • 全盘加密默认开启。现代 iOS 与 Android 只要设了锁定密码就会静态加密，笔记本电脑则要开 FileVault、LUKS 或 BitLocker。加密只保护关机或锁定中的装置，所以装置离开你手上时处于什么状态，比功能有没有开更重要

事先安排好回报通道

在出发前就约定好怎么回报，不要到了现场才决定：

  • 一条事先约定的安全通道，连到任务团队与同行观察员。Signal 是个人最常见的默认选择，内容端到端加密，可以逐一对话设置消息自动消失。它的限制在下面说明，账号绑在手机号码上
  • 网络中断或被限速时的备援。选举日是刻意中断网络的常见时机，约好第二条通道与回报频率，让「没有消息」本身变成一个有意义的信号而不是模棱两可的状态
  • 不带内容的定时回报。一句「已到达，一切正常」的定时回报，让任务团队能察觉某位观察员失联，又不必每次都把敏感细节送上网络

把装置上不需要的东西清掉

  • 登出任务不需要的账号，移除会显示你的政治立场或组织关系的 App
  • 清除浏览记录与旧的下载文件
  • 检视相册与云端照片库。旧照片可能标出你的位置、指出你的联系人，或泄漏先前的任务
  • 高风险任务出发前先暂停自动云端备份，这样装置被扣押时不会连同云端里的一切副本一起交出去。回来后再恢复

现场：安全地记录

现场记录是核心产出，而它承载了全篇最尖锐的一组张力：让记录「作为证据可信」的 metadata，正好也是「让人曝险」的那些 metadata。

metadata 的取舍要逐项决定

一张带时间戳与 GPS 坐标的照片，是「某个违规在特定时间地点发生过」的有力证据。同一组 EXIF 数据，在被扣押的装置上，可以定位你以及画面里任何可辨识的人。

这件事没有通用的正确答案，只有逐项要做的决定：

  • 保留 metadata：记录的价值在于可验证，而画面中的人不会因此受害。例如空的票箱、张贴出来的开票结果、没有可辨识面孔的排队人潮
  • 去除或避免 metadata：记录可能指认出会因此陷入危险的人。例如选举工作人员、面露恐惧的投票人、在不友善环境中的同行观察员。拍摄时就让脸孔与可辨识细节不入镜，影像离开装置前先清除 EXIF

为什么这件事重要，见 Metadata 是什么。记者保护消息来源 的原则直接适用：在证明不带 metadata 之前，把每个文件都当成带着 metadata。

现场记录的实务

  • 拍文件与环境，不拍脸，除非那张脸本身就是违规事实，而且当事人同意或那是公职人员执行职务。各地对拍摄投票人的法规差异很大而且可能相当严格，举起相机之前先弄清楚
  • 保留一份离线、可验证的备份。只存在对手申请得到的云端里的记录很脆弱，本机的加密副本在网络允许时再同步给任务团队，扣押与断网两种情况都撑得住
  • 用结构化的工具记票数与事件。任务发的表单或共用的加密文件，能让记录格式一致，也减少零散笔记散落在各个 App。任务团队有自己的系统就用它，临时自己想办法的话，CryptPad 这类加密共用文件也比聊天室里的明文笔记好
  • 不要把身分写进记录里。名字不是关键信息时，用角色代称（「主任管理员」、「第 4 站观察员」），跟记者对消息来源用代号是同一套纪律

与任务团队、同行观察员的通讯

回报通道本身就是敏感的。谁在什么时候跟谁讲话，这种 metadata 即使在内容加密的情况下，仍然能描绘出整个观察协作圈。

  • 群组成员名单本身就是数据。一个任务的 Signal 群组，会把整份名册暴露给任何一个进得了某位成员装置的人。环境不友善时，切成较小的分隔群组，可以限制一支被攻破的手机能暴露多少
  • 多数安全通讯软件绑在手机号码上。Signal 对服务器隐藏消息内容，但账号注册在一个号码底下。在东亚与东南亚多数采用实名制号码的司法管辖区，那个号码在文件上就是你的法律身分。Signal 的用户名可以对新联系人隐藏号码，但账号仍然建立在已登记的 SIM 上。SimpleX 这类工具完全不用手机号码当识别，同行观察员彼此不想交换号码时会有差别
  • 在操作性的对话开启消息自动消失，之后被扣押时能还原的东西比较少
  • 把要公开的报告与私下的后台对话分开。你打算发布的发现要保存下来而且可被引用，关于谁对谁说了什么的工作对话，在安全许可的前提下越早清掉越好

装置被搜查或扣押时

在事情发生之前就要规划好，因为被搜查的当下不是开始思考的时机。

  • 预期会被搜查时把装置关机。在检查哨、过境之前、看起来可能被留置的时候。关机的加密装置远比「已锁定但仍在执行」的装置难以提取，后者的加密密钥可能还在内存里
  • 风险时刻用 PIN 或密语，不要用生物识别。脸孔或指纹可以被强制，或单纯被拿去贴上解锁，而密码要从你的记忆里取出困难得多。过境或高风险移动前先关掉生物识别解锁
  • 知道自己的法律处境，也知道任务团队的。能不能合法拒绝解锁、拒绝之后会触发什么，因司法管辖区而异，也因你在当地的公民身分而异。同一个边境，本国公民与外国人面对的后果不同。任务的安全简报应该针对特定国家告诉你这些，没有的话出发前要问
  • 先排好紧急联系顺序。事先就知道被留置时要联系谁、依什么顺序：任务的安全联络窗口、外派观察员的本国使领馆、指定的法律联络人、国际求助管道。Access Now Digital Security Helpline 是 24 小时多语的数字安全紧急管道，可以当作后盾
  • 被扣押过的装置，取回后就当成已经失守。不要再让它接触敏感账号。把那次扣押当成装置上所有数据都已经揭露，并依此为数据里的人采取行动

起底、骚扰与恐吓

针对观察员的骚扰是现在的常态，线上与线下都有，而且经常以打击个人的可信度来打击他做出的发现。无论来自党派账号、协同操作的账号群或亲政府媒体，应对模式跟站上其他场景相似：

  • 争议性任务之前先缩小公开的攻击面。收紧隐私设置，从公开的个人简介移除住家地址与家人细节，并且查一下搜索自己的名字现在会出现什么
  • 记录，不要删除。被威胁或被起底（未经同意公开他人个人数据，即 doxxing）时，在东西消失之前先截取截图、原始消息文字与时间戳。那份记录是你日后的证据，任务团队也可能需要。大量删除自己的贴文经常被解读成心虚，也会移除你之后可能想要的上下文
  • 名誉攻击透过任务团队回应。针对个别观察员的协同攻击，通常最好在机构层级回应，由任务团队与 GNDEM 这类组织发表声援声明，而不是由个人独自在网络上反复辩驳
  • 含个人细节的威胁要当成安全事件，不只是网络上的困扰。一则带着你住家地址或家人姓名的消息，已经从骚扰越界成恐吓，要升级给任务团队，必要时交给当地警方或国际求助管道

跨境观察任务

国际任务多了一层本地观察员很少面对的处境：你是外国人、名字在案，进入一个可能视你的存在为不受欢迎的司法管辖区。

  • 认证的书面轨迹无可避免，而且具识别性。你的姓名、护照、所属组织与行程日期，依定义就会被记录下来，认证程序本身就要求这些。接受这份书面轨迹存在，并假设接待国当局握有它。不要再额外在装置上携带那些单靠认证数据揭露不了的敏感材料
  • 海关的装置搜查是例行风险，不是例外。带着一台已经为检查做好准备的装置入境：干净、事先备份并精简过、不需要的都已登出。出差与研讨会的数字准备 与上面的装置准备那节都直接适用
  • 身为外国人，你的法律保护较弱。拒绝装置搜查的结果可能单纯就是被拒绝入境。当地律师的可及性、使领馆支持、任务在当地的安全计划，对你比对本地观察员更重要，出发前先确认这些存在
  • 跨境的数据调取要求在这个区域是真实存在的。一条对某个政府安全的通道，不会因为换一个政府来要求就自动安全。横跨多个司法管辖区的任务，要把旅程本身当成威胁模型里的一个阶段，就像记者跨境去见消息来源那样

亚洲区域的部分，ANFREL 是长期组织与训练亚洲各国国际观察任务的联盟，也是取得区域特定条件与简报的自然联系点。

当观察行为本身引来敌意

某些环境把独立观察本身视为威胁。这种情况下，上面的建议要再收紧：

  • 分隔切得更细。更小的群组、更少人知道完整名册、数据更不集中
  • 每台装置持有的东西降到最低。如果任何一次扣押都可能暴露整个协作圈，那就不该有任何一台装置具备那个能力
  • 不只规划行动，也规划应变。事先约定某位观察员被留置时会发生什么、其他人停止做哪些事、什么要清除、要联系谁。那份计划本身就是产出，临场才随机应变正是协作圈瓦解的方式

到这里，个人的自我保护已经接上任务团队的集体安全计划，两者必须一起设计。设计是组织的工作，下面的资源是它的依据所在。

在地脉络

华语地区的选举观察工作差异极大，从制度框架到风险等级都不同。下面分区列出可对照的脉络：

中国大陆

  • 中国大陆的选举观察以人大代表选举与基层村委会选举为主，外部志愿者的观察空间有限
  • 公民独立观察曾在 2003、2011、2016 年的人大代表选举中出现，近年空间收紧
  • 跨境观察员入境时的装置搜查、社群账号检视风险较高，需要特别准备。上面「装置被搜查或扣押时」那节要在出发前就演练过

港澳

  • 香港自 2021 年立法会与区议会选举改制后，外部观察的角色明显改变，细节见本页开头的警示框
  • 澳门立法会选举的公民观察空间也较为有限
  • 媒体派出的现场记者、香港记者协会成员仍可观察，但需要评估个人风险

新马

  • 新加坡：People's Action Party 主导下选举观察空间相对正式，公民团体与学术机构有参与空间
  • 马来西亚：Bersih（净选盟）等公民团体长期推动选举改革与现场观察，是华语地区少见的常态化公民选举观察组织
  • 跨境观察员可参与马来西亚的国际观察团，注意当地的 OSA（官方机密法）边界

台湾

  • 台湾的选举观察员多来自中央选举委员会公告的观察名单，或由公民团体、国际观察团派遣
  • 投开票所观察员：依公职人员选举罢免法相关规定，由各政党、候选人推派或公民团体申请。多数时间不需要强匿名，但要避免让选务人员、个别投票人的身分透过相片或记录连到外部公开
  • 国际选举观察团（Carter Center 等）多次派员观察台湾大选，可作为参考案例
  • 台湾的手机号码绑定真实身分，这代表以 Signal 为主的通讯，账号在文件上就对应到本人

跨境观察任务

  • 华语地区公民赴他国执行观察工作时要评估护照风险、跨国通讯监控、目的地对 LGBTQ+ 或记者身分的法律敏感度
  • 到东南亚国家（菲律宾、印尼、泰国）观察选举时，跟当地公民组织、选务机关、媒体的往来都应预先评估通讯管道
  • 在威权或半威权环境观察时的安全协议与撤离计划，见上面「当观察行为本身引来敌意」那节

国际标准的参考：

相关阅读

  1. Report on the Global State of Nonpartisan Citizen Election Observers' Rights - GNDEM 与 NDI，2024 年，关于限制性法规、政治化认证与升高的暴力骚扰。 ↩