Privacy by Design
Privacy by Design（隐私设计）是一种从系统、产品和流程开发之初就将隐私和数据保护融入其中的方法，而不是作为事后的附加。
什么是 Privacy by Design
Privacy by Design（PbD）是由 Ann Cavoukian 提出的框架，它将隐私作为系统设计的基本要素加以推广，而非事后才考虑的因素。其核心是从系统的构思阶段一直到停用阶段都融入数据保护。
这一概念在 GDPR（欧洲）和 LGPD（巴西）等法规中是强制性的，要求组织实施适当的技术和组织措施以保护数据。
7 项基本原则
1. 主动而非被动：在隐私事件发生之前进行预测和预防，而不仅仅是在事后作出响应。
2. 隐私作为默认设置：最严格的隐私设置应当作为默认设置，无需用户采取任何操作。
3. 隐私嵌入设计之中：隐私是系统不可分割的组成部分，而非附加内容。
4. 完整功能（正和）：隐私与功能并非相互排斥——二者可以共存。
5. 端到端安全：在数据的整个生命周期内对其加以保护，从采集到安全销毁。
6. 可见性与透明度：涉及个人数据的操作必须可见且可审计。
7. 尊重用户隐私：通过友好的界面和清晰的选项，始终以个人为中心。
数据最小化
仅采集为特定目的所严格必需的数据这一基本原则：
- 必要性：审视所采集的每一项数据是否确实必要
- 相称性：使数据量与目的相匹配
- 有限保留：仅在必要的时间内保留数据
- 匿名化：在可能的情况下移除标识符
技术实现
加密：保护处于静态、传输中和使用中的数据。
假名化：用假名替代直接标识符。
访问控制：实施最小权限原则和 need-to-know 原则。
Data Masking：在非生产环境中混淆敏感数据。
日志与审计：追踪谁在何时访问了个人数据。
具备隐私保护的 API：设计仅暴露所需最少数据的 API。
Privacy Impact Assessment (PIA)
在实施新系统之前对隐私影响进行系统性评估：
- 识别所处理的个人数据
- 评估必要性与相称性
- 识别隐私风险
- 提出缓解措施
- 记录决策与理由
LGPD 和 GDPR 要求对高风险处理进行 Data Protection Impact Assessment（DPIA，数据保护影响评估）。
数据主体的权利
系统的设计应便于权利的行使：
访问权：允许用户查看其数据。
更正权：便于更正不准确的数据。
被遗忘权：使数据的删除成为可能。
可携带权：以结构化格式导出数据。
反对权：允许对某些处理提出反对。
Privacy by Default
默认设置应在无需用户干预的情况下最大化隐私：
- 默认情况下最小化数据采集
- 限制数据的可访问性和保留
- 限制性的共享设置
- 对于次要用途采用 opt-in 而非 opt-out
隐私工程
用于实现隐私的具体实践和工具：
Differential Privacy：添加统计噪声以保护个人。
Homomorphic Encryption：在不解密的情况下处理加密数据。
Secure Multi-party Computation：在不泄露输入的情况下进行协同计算。
Zero-Knowledge Proofs：在不泄露信息的情况下证明对某事的掌握。
法律合规
Privacy by Design 是主要法规中的法律要求：
GDPR（欧洲）：第 25 条要求 data protection by design and by default。
LGPD（巴西）：第 46 条和第 49 条要求采取适当的技术措施。
CCPA（加利福尼亚）：要求为行使隐私权提供相应控制措施。
ISO 27701：ISO 27001 在隐私管理方面的扩展。
组织层面的收益
- 降低法律风险和监管罚款
- 增强客户和合作伙伴的信任
- 在受监管市场中获得竞争优势
- 降低后期补救成本
- 提升企业声誉
- 便于国际扩张
最终建议
Privacy by Design 不仅是合规，更是在隐私意识日益增强的时代中的一项战略优势。从系统的初始设计阶段就融入隐私可以降低成本和风险，并建立信任。组织应当对技术团队进行隐私原则培训，并为新项目实施 PIA。