公共部门：处理市民档案，无需上传他们的数据

公共行政机构掌握着世上最敏感的一些数据，而且它别无选择。一份福利申请里写着某人完整的财务状况。一份案卷里可能有证件扫描件、医疗证明、无犯罪记录证明，还有一个孩子的详细信息。市民并不是自愿交出这些资料的；他们必须交，才能享受到自己应得的服务。这就把档案处理的标准抬高了。

接着，一名办事员要做一件再普通不过的工作。把案卷里的几份文件合并成一个 PDF。把扫描好的文件夹压缩一下，好让它能塞进邮件系统。把一份老旧的扫描记录变成可检索的。完成每一项的快捷办法，都是一个免费的在线工具——而正是这条捷径，让市民的数据落到了行政机构从未审查过的服务器上。

这里适用的是不同的标准

当一家私营公司对数据掉以轻心，那是一次数据泄露。当一个公共机构对市民数据掉以轻心，那同样是对一份人们无从拒绝就必须交付的信任的辜负。这些数据是依据法律权限收集的，当事人往往别无真正的选择，因此随之而来的保护义务比私营部门更高，而非更低。

一个典型的在线 PDF 工具会把文件上传到它的服务器，在那里处理，然后按照一份没人能核实的时间表删除。对一份市民案卷来说，这就是把个人数据转移给了一个未知的第三方，而且常常是位于另一个司法管辖区的第三方，受制于办公室里没有任何人读过的条款。这恰恰是公共部门数据规则所要防范的那种失控处理。「只是为了合并一下 PDF」可不是你想写进事故报告里的话。

reader.me 如何契合公共部门

reader.me 完全在浏览器中运行。没有上传，因为根本没有服务器在干活；引擎运行在办公室自己的机器上，就在浏览器标签页里。

所以当一名办事员合并一份案卷时，浏览器把文件读进那台电脑的内存，就地把它们合起来，生成结果。市民的 PDF 从不外传。对一个公共机构而言，这就是日常工作与一次需上报的数据转移之间的区别。文件自始至终都留在办公室内部。

而且这是可验证的，当数据保护官或审计员来问时，这一点很重要。打开任意一个 reader.me 工具，打开开发者工具（F12），在处理文件时盯着「网络」（Network）选项卡。没有任何东西上传。把机器从互联网断开，它依然能用，因为这些数据本来就不会离开。

那些日常的办公活儿，全都留在内部

• 整理一份案卷。 在本地把申请表、佐证材料和往来函件合并成一个 PDF。
• 为内部系统压缩。 扫描文件又重又大，而邮件或文档管理系统的容量限制是实打实的。在不把市民文件先发往任何地方的前提下压缩这个 PDF。
• 让归档记录可检索。 经过 OCR 之后，老旧的扫描文件就变得可检索，工作人员才真能找到他们需要的东西。扫描件留在机器上。
• 加上一个官方签名。 用签名工具在一份决定书或表格上签字，没有任何第三方签署服务持有这份文件。
• 保护你寄出去的东西。 要把市民本人的文件寄给他，或是在部门之间传递？用密码把它锁上，再通过另一条渠道单独发送密钥。

问责是内建的，不是嘴上承诺的

公共机构必须能够对所掌握数据的去向作出交代。当工作流程中有一部分跑在外部服务器上、而你只能凭信任接受它们的删除政策时，要诚实地做到这一点就很难。在浏览器中处理就堵上了这道缺口：没有第三方需要交代，因为根本不存在第三方。文件从市民手中，到办公室的机器上，再到它该去的地方，中间不经过任何 PDF 服务。

而且一名办事员也不该被迫在「把活干完」和「保护这份档案所属的那个人」之间二选一。一个在本地运行的工具直接消除了这道选择题。市民交出他们的数据，是因为他们不得不交。一路上把这些数据留在办公室内部，是行政机构对他们最起码的亏欠。打开 PDF 工具，在浏览器里把活干完，数据就留在了公众信任所要求它留的地方。