数字时代的职业秘密

几乎没有人意识到的问题

律师在手机上收到了一份客户的敏感文件。医生与同事讨论一项微妙的诊断，同时心理学家与精神科医生协调患者的治疗方案。税务顾问通过同一渠道发送等待审查的纳税申报数据。所有人都在通过即时通讯工具进行这些操作。而且几乎没有人停下来思考，这些信息最终到底去了哪里。

在大多数情况下，答案是一样的：保存在专业人士无法控制的服务器上，位于一个他们未必了解其法律的国家，由一家其直接商业模式是积累数据的公司管理。信息在传输过程中可能是加密的。但一旦到达服务器，它就成为了存储在第三方基础设施上的副本，受制于该第三方的运营、法律和商业决策。而不是受制于专业人士。

法律规定

欧洲《通用数据保护条例》（GDPR）第 32 条规定得非常明确：任何处理个人数据的人必须采取“适当的”技术和组织措施，以确保与风险相适应的安全水平。措施是否适当不是根据“应用宣称其所做的”来衡量，而是根据实际风险来衡量。如果客户数据最终进入一个其司法管辖权无法保证与欧洲经济区同等保护水平的服务器，那么数据控制者——即专业人士——就承担了一个他可能并未完全意识到的风险。

而且这不仅仅是 GDPR 的问题。针对律师、医生、心理咨询师、审计师、记者等特定人群规定的职业秘密义务，要求与客户的沟通必须保密。不是“尽可能保密”，而是无条件的保密。如果所使用的技术渠道无法保证这一点，专业人士就承担了其行业道德所不允许的风险。

矛盾之处在于，风险是不可见的。没有人审计办公室的即时通信。没有人向聊天软件提供商索要数据处理合同。风险只有在为时已晚时才会显现：一次泄露、一次被公布的安全漏洞、一次在未通知用户的情况下在另一个大洲执行的法院命令。

专业人士在技术上需要什么

从需求的角度来看，负有保密义务的人所需要的其实非常简单：

• 一个消息能直接从发送者设备传输到接收者设备，而无需经过存储副本的中间服务器的渠道。
• 一个在设计上（by design）而非靠声明与 GDPR 保持一致司法管辖权和政策的基础设施。
• 一种在无需向第三方交付职业联系人（客户姓名、电话号码、通讯录）的情况下与对方进行身份识别的方法。
• 一个可验证的系统——而非基于服务商的言辞——来确认消息已送达正确的人员。

这并不是一份苛刻的清单。实际上，这在数字时代之前的职业沟通中是被视为理所当然的。一封挂号信就能满足所有这些标准。从办公室总机到客户总机的电话通话亦然。奇怪的不是今天要求这些保证，而是奇怪在向数字渠道过渡的过程中，这些保证在无人察觉的情况下丢失了。

“加密”与“不存储”的区别

有一个很有用的比喻。加密消息并将其存储在服务器上，相当于将一份文件放入保险箱，然后将保险箱留在陌生人家中。保险箱很好，文件原则上无法阅读。但文件仍然在别人的家里。而那个人可能会收到法院命令，可能会遭受网络攻击，可能会更改其服务条款，可能会被另一家具有不同价值观的公司收购，或者明天就可能倒闭。

结构性的替代方案（非程序性或基于信任的替代方案）是文件永远不离开办公室。它直接从专业人士的办公桌传送到客户的办公桌，不经过任何中间人。这正是设备之间点对点沟通在技术上所做的事情：它消除了中间人。中间人本身并不坏：但对于职业保密而言，中间人纯粹是多余的。而在任何旨在保障安全的系统中，多余的元素原则上都应被消除。

责任问题

最终，每一位负有保密义务的专业人士都应该能够以响亮的“是”来回答以下问题：

如果明天我与某位客户的对话被泄露，而法院或专业协会询问我如何管理保密性，我能否从技术上证明我所使用的渠道没有在第三方基础设施中存储副本？我能否证明数据从未离开过参与对话的两个人的设备？我能否在不依赖于另一大洲某家公司言辞的情况下，证明保密性是由架构而非承诺来保证的？

如果答案是否定的，这并不是特定工具的问题：而是因为人们把该工具设计初衷之外的责任委托给了它。这就像把机密档案放在透明信封里，然后相信邮递员不会偷看一样。

专业人士选择与其客户沟通的工具，很大程度上说明了其对客户信任的重视程度。有些工具的设计初衷就是让这种信任不依赖于承诺，而是依赖于架构。而有些工具则不然。了解其中的区别是工作的一部分。