PRIVACY BY DESIGN (PBD): UMA APROXIMAÇÃO ENTRE O MODELO TEÓRICO E A REALIDADE
- Criado em 26/11/2018 Por LinkLei
Uma expressão muito presente em cursos e artigos que falam a respeito do GDPR (Regulamento Geral de Proteção de Dados da União Europeia) e da LGPD (Lei 13.709/2018 – Lei Geral de Proteção de Dados) é “Privacy by design” (PbD) que tem sido apresentada no Brasil como Privacidade pelo Desenho, eu, particularmente, prefiro utilizar a expressão como Privacidade desde o Projeto (ou desde o desenho) porque me parece mais clara, mais compreensível para os primeiros contatos com o tema.
Em se tratando de desenvolvimento de sistemas computacionais, aplicar PbD significa dizer que os conceitos de privacidade e de proteção de dados devem estar incorporados desde a análise de requisitos (sim, eu lembro vagamente das infindáveis aulas de Engenharia de Software, que fazendo um mea culpa, eu deveria ter aproveitado mais), ou seja, desde muito antes da implementação de qualquer linha de um algoritmo que manipulará informações pessoais é preciso que ele esteja em conformidade com os princípios previstos na metodologia PbD.
Por que precisamos adotar essa metodologia? Não é ela só mais uma teoria com pouca aplicação prática? Bem, vamos aos fatos:
A metodologia PbD surgiu no Canadá como um método para garantir a proteção de dados pessoais – que é um dos aspectos da proteção do direito fundamental à privacidade – e foi adotada recentemente por dois regulamentos gerais de proteção de dados: o GDPR na União Europeia e a LGPD no Brasil. Ambos os regulamentos estabelecem regras que tem como objetivo evitar o uso abusivo e não autorizado de informações pessoais e tem comum entre eles a previsão da adoção obrigatória dos princípios de PbD para o desenvolvimento de qualquer projeto que envolva o tratamento de dados pessoais. No regulamento europeu, tal previsão pode ser encontrada no artigo 25 e no considerando 78, na LGPD, por sua vez, temos que:
Art. 46. Os agentes de tratamento de dados devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais […]
§2º As medidas de que trata o caput deste artigo deverão ser observadas desde a fase de concepção do produto ou serviço até a sua execução. (grifos nossos)
De modo menos formal, podemos dizer que o dado pessoal deve ser protegido durante todo o seu ciclo de vida na organização. Mas, o que isso significa? Esse conceito nada mais é do que um dos princípios da PbD – o quinto princípio da metodologia trata exatamente disso: Segurança ponto a ponto – Proteção do dado durante todo o ciclo de vida. Não se admitem lacunas (gaps) em nenhuma fase do tratamento do dado, desde o berço (coleta) até a sua morte (destruição) ele deve contar com a melhor proteção que possamos lhe dar. Como implementar isso? Nada assustador, nem novo, na verdade, essa é uma prática que deveríamos ter adotado há muito tempo: garantir a segurança do dado pessoal a partir da observação dos pilares da segurança da informação: confidencialidade, integridade e disponibilidade, acrescentando métodos seguros de destruição, encriptação e forte controle de acesso aos sistemas, que são regras básicas, velhas conhecidas de quem teve algum contato com SI.
A minha opção por destacar o princípio cinco é por considerá-lo mais próximo da realidade de muitos de nós, para trazer justamente esta percepção de que a implementação dos princípios de PbD é desejável, possível e a partir de fevereiro de 2020 obrigatório para todos que precisam estar em conformidade com a LGPD, que não é nenhum bicho de sete cabeças, apesar do nome pomposo e aparentemente novo, é algo que em maior ou menor grau muitos de nós já temos incorporado em nossos projetos.
Além desse princípio existem outros seis que abordo aqui de forma bastante breve. São eles:
1 – A proteção deve ser preventiva não reativa – eventos que tenham potencial para violar a privacidade devem ser previstos antes que aconteçam, é preciso antecipar a existência de más práticas e corrigi-las antes que sejam exploradas;
2 – Privacy by default (Privacidade por padrão) – acima de qualquer coisa uma implementação orientada pela PbD deve garantir que se o usuário não fizer nada para proteger sua privacidade seus dados ainda assim estarão protegidos por padrão (by default);
– deve-se garantir que a finalidade para a qual o dado será utilizado será claramente informada para o proprietário dos dados antes da coleta ser realizada – a informação tem que ser dada de forma completa e relevante e a utilização do dado pessoal deve restringir-se a essa finalidade;
– sempre que possível transações que envolvam dados pessoais devem por padrão serem feitas com dados não identificáveis e mais, a utilização de informações pessoais deve ser reduzida ao mínimo possível (data minimization), a privacidade é presumida e deve ser garantida.
3 – Privacidade embarcada no projeto – a privacidade deve estar integrada ao sistema, desde o projeto passando pela arquitetura, todos na organização devem trabalhar de forma que ela seja garantida, tendo o cuidado de não diminuir a funcionalidade do sistema, exige-se criatividade dos projetistas e arquitetos que devem entregar as duas características de forma plena;
4 – Funcionalidade total – a PbD prevê um sistema de ganha-ganha, não se devem fazer trocas desnecessárias, ou seja, não se deve perder em funcionalidade para garantir a segurança, assim como não se deve trocar a privacidade por uma melhor funcionalidade;
5 – Segurança ponto a ponto – já comentado;
6 – Visibilidade e transparência – a questão aqui é permitir que qualquer parte envolvida no processo tenha total e transparente acesso ao que ocorre com os dados tratados, de forma a que seja possível responsabilizar quem não o faça dentro dos parâmetros acordados previamente (antes da coleta), ou seja, permite a responsabilização (accountability) de quem processa ou controla o dado. Outro ponto importante é que visibilidade e transparência permitem monitorar se a organização está em conformidade com a legislação (compliance);
7 – Respeito pela privacidade do usuário – o interesse do usuário deve estar no centro de qualquer projeto que envolva o tratamento de dados pessoais: consentimento, corretude dos dados, acesso e conformidade são direitos que estão embutidos nesse princípio.
Em resumo, PbD é uma obrigação de todos que controlam ou processam dados pessoais, do setor público ou privado, sejam pessoas jurídicas ou naturais, startups ou gigantes multinacionais. Desde o projeto, desde o início, a garantia da privacidade deve nortear as ações da organização, ou seja, não é só uma teoria.
Por: Angela Rosso
Fonte:https://www.lexmachinae.com/2018/11/24/privacy-by-design-pbd-uma-aproximao-entre-o-modelo-terico-e-a-realidade/