非營利組織：保護 PDF 裡的會員與捐款人資料

一個小型非營利組織靠著善意和拮据的預算運作。一個人管帳，另一個人追補助文書，一位志工在一台早已過了顛峰期的筆電上，把會員名單維持在最新狀態。沒有人是為了管理資料才投身這份工作的。他們是為了那個理念。

可是資料不在乎這些。一份會員名單裡塞滿了姓名、地址，有時還有年齡和供直接扣款用的銀行資料。一筆捐款人紀錄，把一個真實的人和他捐了多少、何時捐連在一起。在 GDPR 之下，一個處理這類資料的協會，背負著和一家銀行或一家醫院相同的法律義務。沒有什麼「小型慈善機構豁免」會說，因為你資金不足，規則就放寬。

那道落差——重大的責任配上微小的預算——正是事情出錯的地方。所以我們來談談那些 PDF。

裝著敏感內容的那些文件

一個非營利組織的大部分敏感資料，遲早都會落進 PDF 裡。你為了會員大會匯出的年度會員名冊。你寄出去好讓支持者能申報抵稅的捐款收據。那份列著受益人名單的補助報告。經常性捐款的銀行授權書。記載著誰投票贊成什麼的會議紀錄。

這每一份，都被以同樣無聊的方式處理。有人簽署它、把幾個檔案合併成一個檔案包，或者把一份肥大的掃描件縮小，好讓它能塞進寄給理事會的電子郵件。這些都不複雜。唯一真正的問題是工作在哪裡進行，因為那才決定了你會員的資料會不會離開這棟建築。

為什麼那個免費的上傳工具是錯誤的反射動作

當你人手吃緊時，本能就是抓住第一個載入出來的免費 PDF 網站，把檔案拖進去，再下載結果。它感覺人畜無害。它省下一分鐘。

以下是大多數這類工具實際發生的事。你的檔案上傳到某處的一台伺服器，工作在那裡執行，結果再傳回來。那句承諾一小時後刪除的提示，也許完全是真的。你就是沒有辦法去查證它。一旦一份含有 200 名會員地址的名冊，躺在一台你無法掌控的機器上，備份可能會留下副本，紀錄可能會保有中繼資料，而他們那一端的一次外洩，就成了你會員信任的一次外洩。

而要去通報的人是你。GDPR 把義務放在那個決定處理資料的組織身上，那就是你，而不是那個你借用了三十秒的網站。一個由志工經營的團體，要向它的會員解釋為什麼他們的住家地址出現在一場外洩裡——那不是任何人會想主持的會議。

改成在你自己的機器上完成工作

解法不是一套昂貴的企業軟體。它是選擇那些在你瀏覽器裡執行的工具，讓檔案哪裡都不去。reader.me 就是這樣運作的。你打開一份 PDF，操作在你的裝置上發生，你再儲存結果。上傳這個步驟根本不存在，所以沒有東西可洩漏、沒有政策需要相信、沒有橫幅需要瞇著眼去看。

你可以自己證明這件事。打開你瀏覽器的 DevTools，在你工作時盯著 Network 分頁，你會看到沒有任何請求把檔案帶出去。如果它不在任何請求裡，它就哪裡都沒去。這是一個司庫做過一次之後就能安心入睡的檢查。

鎖好你要送出去的東西。 在一份會員名冊或一份捐款人匯出檔離開你筆電、前往理事會或一位稽核員之前，先給它加上密碼。用密碼 保護 PDF，檔案就被加密了，所以一封被攔截的電子郵件，或一個寄錯的附件，在沒有金鑰的情況下就是讀不了。透過另一個管道——一通電話或一則簡訊——把密碼送出，你就堵住了這些文件最常見的洩漏方式。

不必再印列簽署那一套。 補助協議、會議紀錄和授權書，常常需要一個真正的簽名。慣常的路線是列印、用筆簽、掃描回去、把掃描件用電子郵件寄出，半小時就花在找一台能用的印表機上。這些你全都可以略過。在螢幕上 簽署 PDF，把你的簽名放到頁面上，再儲存一份從未離開你裝置的、乾淨的已簽署檔案。那個簽名影像也不會被上傳，因為根本沒有地方可以上傳它。

把檔案包併成一個檔案。 補助報告和會員大會的資料包，通常是一堆分開的文件：封面信、帳目、會員摘要、收據。零散的附件會搞丟、會亂序。把這些 PDF 合併 成一份單一文件，依正確的順序排好，你就交出一個整潔的檔案，而不是一個塞滿落單檔案的資料夾。這一切都堆疊在你的電腦上，沒有任何東西被送上伺服器。

預算小，義務一樣，答案卻更簡單

這件事對一個非營利組織比對一家大公司更要緊，原因和它更容易做到的原因是同一個。你沒有一個 IT 部門能吸收一次失誤，所以你承擔不起一次失誤。但你也不需要一套複雜的設置來避免它。把每一份文件都留在那台本來就有它的裝置上，一個動作就移除了整個風險。

GDPR 並沒有要你花錢。它要的是你謹慎地處理人們的資料，並且能夠證明你做到了。一個從不上傳的工具，是證明這件事最乾淨的方式，因為對一名會員的地址來說，最安全的地方，就是那台本來就握有它的機器。如果你想看為什麼上傳才是那個有風險的部分的完整論述，我們在 上傳 PDF 的 GDPR 問題 裡走過一遍。

你的會員和捐款人把他們的個人資料託付給你，是因為他們相信你所做的事。把那些 PDF 留在你自己的機器上，就是你守住那份信任的方式，而它除了一個「就這麼做」的選擇之外，什麼都不花。