09/12/2018
Angela Rosso
A preocupação com a proteção da privacidade tem sido uma constante na sociedade e como consequência dos debates construídos em torno do tema tivemos o desenvolvimento de abordagens e modelos principiológicos que contemplam e servem como melhores práticas na implementação do conceito. As primeiras regulamentações a tratarem do assunto determinavam que a garantia da privacidade dos dados pessoais passava pelo respeito aos Princípios FIPs (Fair Information Practices):
1 – Especificação da finalidade e uso limitado (Purpose Specification and Use Limitation);
2 – Participação do usuário e transparência (User Participation and Transparency);
3 – Segurança forte (Strong Security).
Quando esses Princípios foram adotados, na década de 90, eram tidos como requisito suficiente para preservar a privacidade dos indivíduos até porque o padrão de utilização dos dados pessoais era muito diferente do que o padrão atual. Contudo, diante da evolução tecnológica constante, em que céu é o limite para as possibilidades de utilização de informações pessoais, os três princípios, embora ainda essenciais, já não se mostram mais suficientes para garantir a proteção da privacidade dos indivíduos. Com o tempo teve-se a percepção de que por melhor empregados que fossem chegava-se inevitavelmente no dilema: quanto mais privacidade era fornecida, menos inovação se tornava possível e quanto mais se privilegiava a inovação menor o nível de privacidade oferecido – o que é entendido como soma zero – porque ao se contemplar um aspecto necessariamente abre-se a mão de outro tão importante quanto, o quê, em se tratando de sistemas, serviços ou produtos caracteriza uma entrega ruim.
Estar exposto a esse dilema eleva o nível de risco ao qual qual a organização está exposta, porque, por exemplo, se o nível de proteção à privacidade contemplado no sistema não é o suficiente a organização pode estar descumprindo alguma lei, expondo-se a situações de violação de dados (data breachs) e ainda sobrecarregando o proprietário dos dados com grande parte da responsabilidade pela garantia da privacidade de suas informações pessoais. O reconhecimento de que é temeroso esse cenário em que o usuário/cliente é o maior responsável pela proteção da própria privacidade, que é o acontece em ambientes modelados considerando a abordagem FIPs veio com o passar do tempo, ficou claro que exigir do titular do dado que ele tivesse capacidade para compreender as longas e por vezes indecifráveis políticas de privacidade adotadas pelas organizações, e a partir dessa compreensão, muitas vezes nebulosa, consentisse em permitir a utilização de seus dados não é o melhor caminho. Da mesma forma se tencionar garantir um maior nível de privacidade pode diminuir as possibilidades de crescimento e consequentemente de conquista de mercado de modo a afetar o desenvolvimento e a própria sustentabilidade da organização.
Nesse contexto em que se precisa – e se deve – proteger mais a informação pessoal e tornar mais clara a utilização de dados, em que se deseja retirar do usuário a responsabilidade exclusiva pela proteção das próprias informações e ainda equilibrar a relação inovação e proteção de dados em uma relação ganha-ganha em que um objetivo não precisa ser sacrificado pelo outro é que tomou forma a metodologia PbD.
A PbD, engloba em seus princípios as práticas previstas pelo FIPs adotando uma abordagem evolutiva em que a proteção à privacidade deixa de ser uma mera questão de compliance (época dos FIPs) para se tornar uma questão de negócio e que atinge hoje o patamar de diferencial competitivo: produtos e serviços desenvolvidos contemplando os 7 princípios de PbD fazem com que o indivíduo olhe para a organização que o implementa com confiança. O usuário/cliente passa a confiar que seus dados recebem o tratamento adequado e que isso independe de qualquer atitude sua, enquanto ele não se posicione acerca do uso de suas informações para uma determinada finalidade, nada será feito pela organização com os dados, porque há toda uma estrutura preventiva de proteção da privacidade. Somente depois de conhecer claramente a finalidade (marketing, pesquisa, profiling) para a qual o seu dado será utilizado e então por sua livre escolha CONSENTIR com a utilização de seus dados, é que existirá o tratamento, antes disso, nada será feito (exceção feita ao legítimo interesse e às bases legais de tratamento que dispensam o consentimento). A adoção do modelo PbD tem o condão de gerar uma relação de confiança entre o controlador dos dados e seu usuário/cliente, porque calcada na total transparência, fidelizando-o de modo que a relação se perpetue.
Para o controlador de dados há ainda mais ganho se considerarmos que eventos de quebra da privacidade (privacy breaches) podem ter uma capacidade altamente destrutiva para a organização, uma vez que, além de serem causa de grandes prejuízos para as organizações – as legislações têm previsto sanções cada vez mais severas – impactando nas finanças: multas, processos judiciais por danos materiais ou morais ainda tem o poder de marcar a imagem da organização perante a sociedade, ou seja, o prejuízo além de econômico é social e por vezes irreparável, é preciso lembrar sempre: não há como desfazer um data breach, se os dados caíram na rede eles ficarão por lá.
Ocorre que a orientação pela utilização de PbD é recente e mais ainda o é a sua obrigatoriedade. No Brasil, por exemplo, somente com a aprovação da Lei Geral de Proteção de Dados (Lei nº 13.709/2018) é que se começou a olhar a metodologia com mais cuidado e, embora, o modelo seja realmente desejável, fica a pergunta: o que fazer nas circunstâncias atuais em que muitos dos serviços e produtos sequer atendem ao FIPs? É possível adequar sistemas, produtos e serviços a essa regulamentação que prevê que a utilização de PbD é obrigatória? É possível incorporar PbD e utilizar isso como um diferencial competitivo diante de um mercado que cada vez mais demonstra estar preocupado com isso?
A raiz do PbD está no comportamento preventivo e não no reativo, é característica da abordagem, e é o seu primeiro princípio, de modo que, embarcá-la no projeto desde o início é, sem dúvidas, a alternativa mais fácil, menos onerosa e mais viável, contudo, precisamos reconhecer que não há a menor possibilidade de se refazer tudo, mas, a boa notícia é que é possível incorporar PbD em produtos, sistemas e serviços já existentes. A concretização dessa adequação passa pela consecução de alguns pontos os quais considero que podem auxiliar a aplicar PbD nos processos já existentes. Vários deles constam como Princípios de Ética para Ciência de Dados no modelo adotado pelo governo da Inglaterra, vamos a eles:
1 – Estabelecer claramente quais as necessidades do usuário/cliente e quais os benefícios para ele: o que o meu cliente/usuário ganha ao consentir com o tratamento que eu faço dos dados?
2 – Minimizar a coleta de dados: quais dados eu preciso para atingir o objetivo de atender as necessidades do meu usuário/cliente? Quais dados eu preciso tratar para atingir a finalidade do meu negócio (legítimo interesse)? Quais dados eu posso (e preciso) coletar para atender aos requisitos legais. Somente os dados necessários devem ser coletados, nada além disso;
3 – Criar modelos consistentes de Ciências de Dados – é importante que não existam lacunas nesses modelos, eles devem ser destinados a atender exclusivamente às finalidades previstas para os dados pessoais (legítimo interesse, bases legais e a previsão no termo de consentimento); sempre que possível os modelos devem utilizar como insumo dados anonimizados ou pseudoanonimizados. Deve-se ter em mente que quanto mais difícil de identificar o titular do dado a partir da informação tratada, mais seguro é o modelo e, portanto, maior o nível de proteção à privacidade minha organização oferece;
4 – Estar atento para a percepção do usuário/cliente – a existência de reclamações, de pedidos de correção, de retirada do consentimento ou de pedidos de explicação pode ser considerado um importante indicativo de que há incongruências no sistema. Ouvir o que o usuário/cliente tem a dizer e, se necessário, adequar a metodologia de tratamento de dados é também uma forma de agir preventivamente;
5 – Seja o mais transparente possível – mostrar que a preocupação com a proteção da privacidade é inerente à organização, adotando processos auditáveis e que possam ser mostrados ao usuário/cliente/autoridade/auditor, obviamente, sem expor a inteligência do negócio, é um dos requisitos para atendimento dos princípios de PbD;
6 – Torne os dados seguros – este é, na verdade, um comportamento já esperado de qualquer organização e que já deveria ter sido adotado desde sempre no tratamento dos dados pessoais. Investir em treinamento de pessoal, testes de penetração, políticas de acesso,ou seja, ter uma política de segurança de dados aculturada e fielmente cumprida; investir em infraestrutura de tecnologia, criptografia de dados, pseudoanonimização – precisamos compreender que a segurança dos dados é investimento, não custo;
7 – Adequar a Política de Privacidade existente para a realidade operacional da organização – a política de privacidade deve refletir a realidade da organização. Não adianta ter uma política de privacidade ideal se o processo é falho, ser honesto e mostrar que a prática está representada na teoria é importante e gera confiança – estou para ver o dia que política de privacidade falsa seja considerada fraude;
8 – Destacar termos de consentimento, estando eles em linguagem clara, simples e onde seja possível ao cliente/usuário saber de forma específica, objetiva e prévia ao “OK” (consentimento) quais são as finalidades com as quais ele está assentindo compartilhar seu dado.
Incorporar os Princípios de PbD em novos projetos é uma tarefa desafiadora – adequar processos já existentes à metodologia exigirá ainda mais esforço da organização – porque embarcar PbD nos projetos é mais do que desenvolver um processo de acordo com um método; é mudar o jeito de pensar os produtos, sistemas e serviços de forma a privilegiar a proteção da privacidade sem prejudicar o desenvolvimento inovatório. Para Ann Cavoukian, sua precursora, implementar PbD exige uma evolução no modo como políticas e regulamentos que abordam a proteção da privacidade são construídos, sair do reativo para o preventivo é mais do que uma escolha é uma necessidade.
Fonte:
https://www.lexmachinae.com/2018/12/09/pbd-sistemas-servicos-produtos-existentes/
Nenhum comentário:
Postar um comentário