2. 原则一：主动而非被动，预防而非补救

2.1 概念解析

主动而非被动，预防而非补救 是隐私设计（PbD）七大原则中的第一原则，也是最具战略意义的一条。它要求组织在系统设计的最早期阶段就将隐私保护视为核心功能需求，而非事后添加的补丁或合规检查项。

2.2 主动预防的架构设计思想

主动预防的架构设计思想强调将隐私控制作为系统基础设施的一部分，而非业务逻辑之外的附加层。核心设计思想包括：

• 默认隐私（Privacy by Default）：系统出厂设置即为最高隐私保护级别，用户无需手动配置。
• 数据最小化（Data Minimization）：只采集业务绝对必要的数据，不采集“可能有用”的数据。
• 端到端安全（End-to-End Security）：数据在采集、传输、存储、处理、销毁全生命周期均受保护。
• 嵌入而非附加（Embedded, not Added）：隐私控制作为代码模块、中间件或平台服务，与业务逻辑深度耦合。

2.3 与传统安全模型的对比

传统安全模型（如边界安全、纵深防御）主要关注机密性、完整性、可用性（CIA），而主动预防的隐私设计则进一步强调数据主体权利、最小化、透明度。以下表格展示了关键差异：

对比维度	传统安全模型	主动预防隐私设计
核心目标	防止外部攻击、保障系统可用	保障数据主体权利、预防隐私侵害
数据采集	尽可能多采集，以备安全分析	最小化采集，只采集必要数据
默认设置	默认开放，按需收紧	默认保护，按需放宽
生命周期	关注传输与存储安全	全生命周期（采集→销毁）
合规驱动	事后审计、合规检查	设计即合规、自动合规
用户角色	用户是安全管理的对象	用户是权利主体，可控制数据

2.4 实践要点与代码示例

在具体落地时，主动预防原则要求开发团队在需求分析阶段就引入隐私影响评估（PIA），并在代码层面实现默认隐私配置。以下是一个典型的默认隐私配置示例：

// 主动预防：默认隐私配置示例（JavaScript）
class PrivacyConfig {
  constructor() {
    // 默认关闭所有非必要数据采集
    this.dataCollection = {
      analytics: false,       // 分析数据：默认关闭
      crashReports: false,    // 崩溃报告：默认关闭
      personalization: false  // 个性化：默认关闭
    };
    // 默认启用隐私保护功能
    this.privacyProtection = {
      dataMinimization: true,
      encryptionAtRest: true,
      autoDeleteAfterDays: 90
    };
  }

  // 用户可主动选择开启，但默认保持最小化
  enableAnalytics(userConsent) {
    if (userConsent === true) {
      this.dataCollection.analytics = true;
    }
  }
}

// 使用示例
const appConfig = new PrivacyConfig();
// 无需任何操作，默认即为最高隐私保护级别
console.log(appConfig.dataCollection);
// 输出：{ analytics: false, crashReports: false, personalization: false }

通过上述代码可见，主动预防原则在工程层面体现为：默认关闭非必要功能，用户需主动授权才能开启。这与传统“默认开启，用户手动关闭”的模式形成鲜明对比。