A Lei Geral de Proteção de Dados Pessoais (LGPD) é uma norma que traz disposições sobre a legalidade e a segurança no tratamento dos dados pessoais, resguardando a privacidade dos titulares dos dados pessoais, ou seja, é uma lei que traz um conjunto de obrigações a serem ativamente observadas pelos agentes de tratamento para a garantia de segurança durante todo o ciclo de vida do dado pessoal.
No momento da construção da LGPD, os legisladores adotaram como diretriz a General Data Protection Regulation (GDPR) em termos principiológicos e formais, adaptando alguns procedimentos à realidade legislativa brasileira. Porém, um dos pontos mais relevantes incorporado à LGPD foi a disposição da privacidade desde a concepção e por padrão, previstos nos Considerandos nº 78 e 108, bem como no artigo 25 da GDPR. Tal conceito é referenciado no artigo 46 da LGPD, a saber:
Art. 46. Os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.
(…)
- 2º As medidas de que trata o caput deste artigo deverão ser observadas desde a fase de concepção do produto ou do serviço até a sua execução.
O Privacy by Design é uma metodologia que traduz que os ensinamentos de privacidade e proteção de dados deverão ser aplicados em algo (processo, produto, serviço, etc.) desde sua concepção, ou seja, é um método que considera a privacidade em toda a cadeia de produção do produto ou serviço. A privacidade deverá ser tratada em todo o desenho estrutural do bem, a privacidade de ponta a ponta, sendo necessário contemplar a proteção dos dados por todo o seu ciclo de vida, desde a coleta até um eventual descarte, passando pelo tratamento e armazenamento. A proteção aos dados e a garantia de privacidade deverão ser consideradas como pilares fundamentais para a existência de um produto ou serviço, em paralelo com as demais funcionalidades destes.
Tal conceito teve sua origem atrelada ao trabalho de Ann Cavoukian, Ph.D junto a Information & Privacy Commissioner – Ontario, Canada, que dispõe sobre os sete princípios fundamentais para a implementação da Privacy by Design junto à instituições.
Ela aborda também que a privacidade deverá ser incorporada como parte integrante da organização, prioridades, objetivos do projeto, protocolos e processos internos, estabelecendo-se como padrão, com a finalidade de se estabelecer uma estrutura universal para a proteção mais forte da privacidade, surgindo-se então o Privacy by default.
Para o melhor ensinamento sobre o tema, explicamos cada fundamento disposto no documento referenciado:
Seja proativo e não reativo. Prevenção não é remediação.
A ideia traduzida neste fundamento é próxima às normas de Segurança da Informação, qual seja, a criação medidas preventivas para suportar qualquer tipo de incidente, humano ou não. Não é interessante que o desenvolvedor espere algum incidente de segurança ocorrer, comprometendo dados e privacidade de seus usuários e a reputação de sua empresa.
É necessária a criação de um processo de gestão de riscos para prevenir eventuais ocorrências, e quando estas ocorrerem, que tenham respostas responsivas.
Em outras palavras, é interessante que seja delimitado junto à instituição um gerenciamento de riscos no sentido de prever um processo de planejar, organizar, liderar, controlar as atividades de uma instituição, com a finalidade de minimizar os efeitos dos riscos aos ativos da organização.
Sucintamente, deve ser seguido um fluxo que envolva os seguintes passos, adaptando ao seu caso concreto:
Estabelecer contexto
↗ ↘
Monitorar os Riscos Identificar Riscos
↑ ↓
Tratar os Riscos Analisar os Riscos
↖ ↙
Avaliar um Risco
Privacidade como configuração padrão
Ter como padrão de algo, a privacidade remete ao enraizamento da preocupação e da garantia de proteção aos dados a serem coletados para fins de tratamento.
Este fundamento é interligado com quatro vertentes, sendo elas as seguintes:
- especificação da finalidade, trazendo aqui a correlação à LGPD ao cumprimento do principio da finalidade, ou seja, os dados coletados deverão ter finalidade definida para justificar a sua coleta e tratamento posterior. É dizer também que a divulgação da finalidade é necessária para que o titular dos dados pessoais tenha conhecimento sobre o propósito para o qual seu dado está sendo utilizado e/ou compartilhado posteriormente. Os objetivos especificados devem ser claros, limitados e relevantes para as circunstâncias;
- Limitação de coleção, equiparando-se ao conceito do princípio da necessidade, traduzindo que a coleta de dados pessoais deve ser justa, legal e limitada para os fins especificados;
- Minimização de dados, correlacionando-se com o princípio da adequação da LGPD, traduzindo-se que sempre que possível, deve ser observada a coleta mínima dos dados pessoais para fins de identificação na cadeia de tratamento da operação. Em outras palavras, é dizer que a coleta de dados pessoais deverá se mantida em um nível estrito mínimo; e
- Limitação de uso, retenção e divulgação, demonstrado que as informações pessoais devem ser retidas apenas durante o tempo necessário para cumprir os propósitos declarados e então destruídos com segurança.
Privacidade incorporada ao design
No trabalho desenvolvido por Ann Cavoukian, esta compara a privacidade com o design-thinking e ressalta que a privacidade deverá seguir suas diretrizes, ou seja, “uma maneira de ver o mundo e superar as restrições que outrora holístico, interdisciplinar, integrador, inovador e inspirador. A privacidade também deve ser abordada a partir da mesma perspectiva de design-thinking[1]”.
É dizer que a privacidade deve ser incorporada às tecnologias, operações e arquiteturas de informação de maneira abrangente e que se incorpore ao projeto como um todo. Outro ponto a ser destacado é a utilização da criatividade para promover a inclusão de seu público à privacidade e à proteção de dados, como muito observado nas politicas de privacidade intuitivas elaboradas por algumas empresas de forma a maximizar o entendimento de suas disposições.
Funcionalidade completa: soma positiva em vez de soma zero
É a essência trazida pela própria Lei Geral de Proteção de Dados, que, de forma singela, demonstra que privacidade e segurança não estão contrapostos, mas sendo somadas para o melhor atendimento das expectativas dos titulares dos dados pessoais. É dizer que o usuário não perderá as aplicações existentes em determinados serviços por questão da segurança, mas que poderá aproveitá-la com mais segurança e se o titular permitir com seu consentimento ou interesse.
Transparência e visibilidade: mantenha-o exposto
Com relação a este ponto, deverá ter-se em mente os princípios constantes da Lei Geral de Proteção de Dados Pessoais de Transparência, Livre acesso e da Responsabilização e prestação de contas. O livre acesso e transparência são essenciais para demonstrar responsabilidade e gerar confiança para com o usuário, reforçando, em paralelo o fundamento nº 4 explicado anteriormente.
[1] (…) a way of viewing the world and overcoming constraints that is at once holistic, interdisciplinary, integrative, innovative, and inspiring. Privacy, too, must be approached from the same design-thinking perspective. Pag. 2. Disponível em: https://iapp.org/media/pdf/resource_center/pbd_implement_7found_principles.pdf
Segurança final e proteção total da vida útil
A segurança da informação é uma grande aliada para construção do Privacy by design afinal é necessário garantir confidencialidade, integridade e disponibilidade dos dados pessoais para o cumprimento das atividades propostas pelos agentes de tratamento e para atender às expectativas do titular dos dados pessoais.
A segurança da informação deverá ser garantida em todo o ciclo de vida dos dados pessoais dentro da cadeia de tratamento, utilizando tecnologias como as de destruição segura, criptografia apropriada, forte controle de acesso e métodos de registro.
Ainda deve-se reforçar que os agentes de tratamento dos dados pessoais deverão assumir a responsabilidade pela segurança das informações pessoais (principalmente, pelo seu grau de sensibilidade), de acordo com os padrões que foram desenvolvidos por órgãos de desenvolvimento de frameworks reconhecidos como, por exemplo, a família ISO/IEC 27000.
Respeite a privacidade e mantenha-a centrada no usuário
Respeitar a privacidade quer dizer respeitar a vontade da pessoa em ficar só. Em outras palavras, o usuário deve decidir, sempre que possível, se quer ou não que seus dados sejam compartilhados e, em todas as ocasiões, ter conhecimento do que é feito com suas informações, ou seja, a famosa autodeterminação informativa. O presente fundamento pode ser entendido como uma conclusão de todos os demais fundamentos, pois é necessário respeitar o usuário e sempre deixar claras as medidas de segurança existentes, a consequência da negativa de consentimento (quando aplicável), a forma que os dados serão tratados, armazenados e excluídos, bem como a base legal aplicada e a definição de um lapso temporal de armazenamento.
Conclusão
Notadamente, é perceptível que as diretrizes dispostas no documento da Ann Cavoukian, Ph.D junto a Information & Privacy Commissioner – Ontario, Canada refletem e muito, nas atuais previsões da LGPD, o que reforça a necessidade da aderência dos agentes de tratamento de dados ao compliance da Lei Geral de Proteção de Dados Pessoais.
Interessante demonstrar também que o ato de os agentes de tratamento procederem com sua adequação voltada para a privacidade desde a concepção e por padrão diminui o ônus de eventual readequação posterior de procedimentos internos, economizando tempo e dinheiro da empresa, otimizando um trabalho de adequação à LGPD.
Caso você esteja iniciando seu processo de adequação interno, não deixe de falar com um de nossos especialistas, clicando aqui. Também, caso seja de seu interesse, aprenda mais sobre as bases legais e os princípios previstos na LGPD seguindo nossas postagens em nosso blog.
