法律实务中的隐私设计（Privacy by Design）与隐私默认（Privacy by Default）

本页为葡萄牙语原文的译文，仅供参考，内容涉及巴西法律。如有出入，以葡萄牙语版本为准。 阅读葡萄牙语原文

将隐私设计（Privacy by Design）与隐私默认（Privacy by Default）融入日常法律工作，已不再是一种竞争优势，而是一项合规要求，能够保护律师事务所及其客户免受ANPD（巴西国家数据保护局）的处罚。

何谓隐私设计（Privacy by Design）与隐私默认（Privacy by Default）

隐私设计（Privacy by Design，即从概念阶段起即纳入隐私保护）与隐私默认（Privacy by Default，即以隐私保护为默认配置）这两个概念，诞生于上世纪90年代，由加拿大研究者安·卡沃金（Ann Cavoukian）提出，后来随着欧洲《通用数据保护条例》（GDPR）而在全球范围内获得规范层面的影响力，在巴西则是通过《个人数据保护通则》（LGPD，即第13.709/2018号法律）得到确立。当我们谈到隐私设计时，所指的是在任何涉及信息处理的流程、系统或服务的规划阶段，就把个人数据保护措施纳入其中。这并不是在项目完成之后再加装几层安全防护，而是从第一稿草图起就把隐私当作结构性要素来考量。

至于隐私默认，它要求任何产品、服务或程序的初始配置，都应为数据主体的隐私提供最高级别的保护。这意味着用户无需进行任何设置就已受到保护，因为保护本身就是默认开启的。在法律语境下，这些原则转化为具体的义务：用于招揽客户的表单只采集严格必要的数据；案件管理系统配备精细的访问权限控制；内部政策将敏感信息的共享限制在不可或缺的最低限度。

LGPD第46条规定，数据处理者应当采取适当的技术性与管理性安全措施，从产品或服务的构思阶段直至其执行阶段，保护个人数据。这一法律规定正是上述两项原则在巴西落地适用的规范依据。忽视这一要求的律师事务所，不仅将面临ANPD（巴西国家数据保护局）的行政处罚，还可能因客户数据遭到不当泄露而向客户承担民事责任。

数据尽职调查在律师行业中的重要性

数据尽职调查，是对一个组织内部个人数据流动进行系统性的调查、梳理与评估的过程。在法律实务中，我们进行这项分析，是为了弄清楚究竟采集了哪些个人数据、这些数据存放在何处、谁可以访问、保留多长时间，以及每一项处理操作各以什么法律依据为支撑。没有这样的梳理，就无法切实落实隐私设计与隐私默认，因为我们根本不了解自己需要在其上构筑防护措施的那片”地形”。

当我们在律师事务所开展数据尽职调查时，经常会遇到一些足以说明这项分析刻不容缓的情形：存有客户敏感数据的文件副本被放在没有访问限制的共享文件夹里；记载个人信息的旧合同在缺乏法律依据的情况下被无限期保留；通过即时通讯软件进行的沟通含有健康数据、财务信息乃至刑事案件细节，却没有任何额外加密或销毁规则。

尽职调查的流程，应从编制一份完整的个人数据清单入手（即所谓的数据映射，或称处理操作记录，见LGPD第37条）。在这份清单中，我们会逐一登记事务所处理的每一类个人数据、每一项处理的具体目的、所适用的法律依据（同意、合同履行、依法正当行使权利、正当利益，以及LGPD第7条规定的其他依据）、这些数据被共享给哪些第三方，以及设定的保留期限。这份文件会成为整套合规策略的脊梁。

从概念阶段起即纳入隐私保护，对事务所而言并非额外成本，而是一项投资——它能预防事件发生、增强客户信任，并在ANPD面前彰显专业上的成熟。

同时还要审查与数据处理者（技术供应商、鉴定人、法律代办人员）签订的合同是否妥当，以确保其中含有关于数据保护的专门条款，包括保密义务、技术性安全措施、事件通报程序，以及关于再委托的明确规则。缺少这些条款，就意味着事务所的数据处理链条上存在重大隐患。

律师事务所中的实务落地

在律师事务所落实隐私设计与隐私默认，需要在流程、技术和组织文化上做出切实的改变。我们先从技术性措施入手：案件与文档管理系统应当对传输中和静态存储的数据都采用加密；采用基于角色的访问控制（role-based access control），使敏感数据只对直接参与案件的专业人员可见；并设置审计记录（日志），以便追溯是谁访问、修改或删除了个人信息。

在组织层面，我们制定清晰的内部政策，覆盖个人数据在事务所中的完整生命周期。这既包括客户信息的初次采集（表单只索取提供服务所严格必需的数据），也包括在合同关系结束并经过法定保留期限后，对纸质和电子文档进行安全销毁。桌面清洁政策（clean desk policy）和屏幕清洁政策（clean screen policy），就是在事务所实体环境中强化隐私默认的简便措施范例。

另一个关键方面，是在事务所打算采用新技术、新的工作流程，或新的、可能给数据主体带来风险的数据处理方式时，开展个人数据保护影响评估（即个人数据保护影响报告，RIPD，见LGPD第5条第XVII项及第38条）。这种事前评估正是隐私设计的精髓所在：在实施变更之前就分析风险，而不是等到事件发生之后。

团队的持续培训同样不可或缺。律师、实习生、秘书和IT人员都需要理解数据保护的基本原则，懂得识别风险情形，并熟悉报告事件的内部程序。我们会定期开展培训和事件演练，使团队在必要时能够迅速、妥当地应对。

数据尽职调查的特有挑战与解决方案

法律实务中的数据尽职调查，有着其他行业所没有的特有挑战。职业保密义务（《律师职业法》即第8.906/1994号法律第7条）构成了一层额外的保护，叠加于一般数据保护规范之上，但同时也引出了这两套制度如何互动的疑问。当ANPD要求事务所提供有关其数据处理的信息时，职业保密义务在多大程度上可以作为拒绝提供这些信息的理由？我们会逐案分析，考量到职业保密保护的是律师与客户关系的内容，但并不免除事务所证明自身已采取适当技术性和组织性保护措施的义务。

另一个值得关注的挑战，涉及敏感数据的处理。在卫生法、刑法、家庭法以及社会保障法等领域执业的事务所，日常都要接触客户的健康数据、生物识别数据、刑事定罪信息,乃至涉及性生活的数据——这些都属于LGPD第5条第II项规定的特殊类别。处理这些数据需要特定的法律依据（LGPD第11条）、加强的安全措施，以及对最小化原则的格外重视。

为应对这些挑战，建议采取分层的方法。第一层，我们对数据及其流动进行完整梳理（数据映射）。第二层，按敏感程度和风险等级对数据进行分类。第三层，实施与所识别风险等级相称的技术性和组织性控制。第四层，建立定期监测与复查的例行机制。这套方法使事务所能够在成熟度上循序渐进，而无需进行会扰乱日常运作的骤然变革。

还应当强调，将尽职调查过程中作出的全部决策记录在案十分重要。LGPD在第6条第X项确立了问责与说明义务原则（accountability），要求数据处理者能够证明其已采取有效措施以遵守数据保护规范。缺乏妥当的记录，即便是采用良好实践的事务所，也可能难以在ANPD面前或在可能发生的诉讼中证明自身的合规性。

战略性收益与竞争优势

持续采用隐私设计、隐私默认和数据尽职调查，所带来的收益远不止于单纯的监管合规。在数据保护上展现出成熟度的事务所，能够赢得企业客户的信任——这些客户越来越要求其法律服务提供者达到他们自身内部必须维持的同等合规水平。在遴选事务所的流程中（即所谓的”选秀”或招标，beauty contests或RFPs），能否展示稳健的数据保护实践，在许多情形下已成为一票否决的标准。

此外，数据尽职调查往往还会揭示出优化运营的机会。在梳理数据流动的过程中，我们会发现冗余的流程、不必要的存储以及种种低效之处——纠正这些问题，就能降低成本、提升效率。例如，清除不再需要保留的数据，便可减少需要保护的信息量，进而降低存储和安全方面的成本。

预防安全事件是另一项直接收益。补救一起数据泄露的成本（包括通知数据主体、向ANPD报告、采取纠正措施、可能的行政处罚以及声誉损害）无一例外地高于预防方面的投入。当我们从流程构思阶段起就把隐私纳入其中，就能大幅缩小攻击面，降低那些可能危及客户数据和事务所声誉的事件发生的概率。

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.