1. 隐私设计概述：从“事后补救”到“默认内置”
大家好，我是这门课的主讲人。今天咱们聊聊隐私设计的来龙去脉。说实话，我做了十几年隐私工程，最深的感触就是：隐私不是贴上去的标签，而是长在系统里的基因。
为什么这么说？咱们从头捋一捋。
1.1 隐私设计的历史背景：一场迟到的觉醒
隐私设计这个概念，最早是上世纪90年代由加拿大安大略省的信息与隐私专员Ann Cavoukian博士提出的。她当时就预言：随着信息技术的发展，隐私问题会像洪水一样涌来。嗯，事实证明她是对的。
我刚开始做软件那会儿，大家普遍的想法是：先把功能做出来，隐私问题以后再说。结果呢？2010年代开始，Facebook数据泄露、Cambridge Analytica事件、各种APP偷偷收集位置信息……用户隐私被当成商品在卖。
为什么会这样？说白了，就是传统隐私保护模式失效了。
- “告知-同意”模式：用户点“我同意”时，根本不知道自己在同意什么
- “事后补救”模式：数据泄露了才想起来加密，晚了
- “合规驱动”模式：为了应付检查而做隐私，不是真心为用户
我记得2018年GDPR生效前，很多公司连夜改隐私政策。有个朋友跟我说：“我们老板说，先改个弹窗糊弄过去。”我当时就回了一句：“你糊弄的是法律，但用户会用脚投票。”
果然，后来那些“糊弄”的公司，罚款交得比谁都多。
1.2 核心原则：7条原则，一条都不能少
Ann Cavoukian博士提出了隐私设计的7条原则。我把它翻译成咱们工程师能听懂的话：
| 原则 | 原文 | 我的理解 |
|---|---|---|
| 1. 主动预防 | Proactive not Reactive | 别等出事了再修，一开始就防住 |
| 2. 默认隐私 | Privacy as Default | 用户什么都不做，隐私也是安全的 |
| 3. 嵌入设计 | Privacy Embedded into Design | 隐私不是附加功能，是系统的一部分 |
| 4. 全功能 | Full Functionality | 隐私和安全不是二选一，可以兼得 |
| 5. 全生命周期 | End-to-End Security | 从收集到删除，全程保护 |
| 6. 可见透明 | Visibility and Transparency | 用户能看清数据怎么用 |
| 7. 尊重用户 | Respect for User Privacy | 以用户为中心，给用户控制权 |
这7条原则，我建议你打印出来贴在工位上。为什么？因为每一条背后都有血泪教训。
核心观点：隐私设计不是“加个开关”那么简单。它要求你在架构层面、代码层面、流程层面都做出改变。
1.3 为什么隐私设计是必选项而非加分项？
这个问题，我经常被问到。有些产品经理会说：“我们先把功能做出来，隐私后面再优化不行吗？”
我的回答是：不行，绝对不行。
原因有三：
- 法律层面：GDPR、CCPA、个人信息保护法……全球都在立法。不合规的代价，轻则罚款，重则下架。我见过一个创业公司，因为隐私问题被罚了全年营收的4%，直接倒闭。
- 用户信任层面：你想想看，如果一款APP偷偷上传你的通讯录，你还敢用吗？用户信任一旦崩塌，花多少钱都买不回来。
- 技术成本层面：事后补隐私，成本是事前设计的10倍以上。我曾经接手过一个项目，数据全部明文存储，要加密得改整个数据库架构……那叫一个痛苦。
避坑指南：我曾经见过一个团队，为了赶上线时间，把用户密码明文存数据库。后来被安全团队发现，不得不紧急下线整改。老板气得拍桌子：“早干嘛去了！”
所以，隐私设计不是加分项，是及格线。
1.4 我的个人经验：从“无所谓”到“必须做”
说实话，我刚开始做工程师时，也觉得隐私是“法务的事”。直到有一次，我负责的一个社交APP，因为默认开启了位置共享，被用户投诉到消协。那段时间，我每天被产品经理、法务、公关轮番轰炸……
从那以后，我养成了一个习惯：写代码前，先问自己三个问题：
- 这个功能会收集什么数据？
- 这些数据真的需要吗？
- 用户知道我在收集吗？
你可能会觉得麻烦。但相信我，养成习惯后，这些思考只需要30秒。而这30秒，可能帮你避免一场灾难。
小技巧：我建议你在项目启动时，就拉上法务、安全、产品一起开个“隐私设计评审会”。别等到代码写完了再改，那叫“填坑”。
1.5 总结：隐私设计，从今天开始
好了，这一章咱们聊了隐私设计的背景、7条原则，以及为什么它是必选项。说白了，隐私设计不是束缚，而是保护——保护用户，也保护你自己。
下一章，咱们会深入第一条原则“主动预防”，聊聊如何在需求阶段就把隐私风险扼杀在摇篮里。到时候我会分享一个我踩过的坑，保证让你印象深刻。
记住：隐私设计，不是加分项，是入场券。