Privacy by Design: produtos que garantem a privacidade do usuário.
Item essencial no roadmap de produtos que recebem dados o conceito design by privacy, utiliza a privacidade desde a concepção do projeto, produto ou serviço, a integrando desde a criação.
Atualmente organizações que oferecem soluções que utilizam dados como plataformas de e-commerce, sistemas de pagamentos, ERP’s, CRM, ferramentas de análises de dados, além de garantir a segurança de dos ativos, devem se atentar ao design dos produtos. Afinal, cada vez mais cybersecurity é um tema importante para as organizações que lidam com dados sensíveis, garantirem a privacidade e proteção do usuário.
Sendo vital para empresas criarem ações praticas para garantir a sua privacidade e autonomia das informações.
Neste aspecto, a metodologia Privacy by Design (ou “privacidade desde a concepção”) pode ser uma grande aliada para estabelecer produtos, rotinas mais seguras e funcionais evitando problemas como o vazamento de dados que manjam a reputação e causam prejuízos financeiros as empresas.
O Privacy by Design surgiu na década de 1990 com o objetivo de estabelecer uma filosofia de desenvolvimento que garanta aos usuários transparência e controle sobre os dados compartilhados com empresas e instituições.
Além de ser uma boa prática do setor, o Privacy by Design está alinhado à Lei Geral de Proteção de Dados – LGPD. Conceitos como segurança ponta-a-ponta, transparência, prevenção de acidentes e a autodeterminação informativa (o usuário deve poder optar pelo acesso, restrições ou até eliminação dos dados) são comuns tanto à metodologia Privacy by Design quanto à LGPD. Mas, como veremos a seguir, os benefícios do PbD vão muito além do cumprimento legal.
Conheça mais sobre esta metodologia!
PRIVACIDADE DO USUÁRIO NO CENTRO DO DESENVOLVIMENTO.
O Privacy by Design é uma metodologia criada na década de 1990 pela especialista em privacidade de dados Dra. Ann Cavoukian. O sistema foi aceito internacionalmente na 32ª Conferência Internacional de Comissários de Proteção de Dados e Privacidade, realizada em Jerusalém em 2010.
Esta metodologia estabelece que as práticas de negócio e todos os ciclos do desenvolvimento de um produto ou serviço devem ter a privacidade do usuário em primeiro lugar. Com isso, o Privacy by Design deve ir além das equipes de desenvolvimento e ser aplicado em toda a cadeia das empresas, fazendo parte da cultura e das práticas de governança.
No Privacy by Design, também é importante que todas as ações estejam registradas, pois a metodologia é fortemente baseada em compliance e prevê diligências independentes em certos casos.
Na prática, isso se reflete em sete princípios fundamentais, que veremos logo mais. Antes, é importante diferenciar os agentes na tratativa de dados:
Controlador: é a instituição que detém os dados dos usuários. Por exemplo, ao contratar uma solução da Semantix (como a Semantix Data Platform) para tratar os dados de seus clientes que neste caso são dados de terceiros, a sua organização é a controladora dos dados.
Operador: é a instituição que faz o tratamento dos dados do Controlador. No nosso exemplo, a Semantix é a Operadora dos dados em poder de quem nos contrata.
DPO: o encarregado conhecido por Data Protection Officer é o especialista em proteção de dados responsável com independência para orientar de maneira técnica e embasar as decisões corporativas para que estejam aderentes à legislação de proteção de dados pessoais. Sendo ele um aliado para orientar a organização como um todo a respeito das práticas de governança na proteção de dados pessoais.
Ou seja o operador é uma pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais ou coorporativos em nome do controlador.
Já o controlador é responsável pela comunicação e transparência com o titular dos dados. E ambos podem processar e gerenciar as informações de acordo com as regras estabelecidas pelo controlador e são responsáveis em manter os registros de suas respectivas atuações e encargos em relação a tratativa das informações seguindo as orientações de proteção instruídas pelo DPO.
7 Princípios fundamentais do Privacy by Design.
1- Respeito pela privacidade e foco no usuário: nada de entrelinhas, informações pouco claras ou aceites escondidos. As controladoras devem ter o aceite ativo dos usuários, que precisam saber exatamente quais dados estão compartilhando com as empresas, o motivo de estes dados serem solicitados e qual uso será feito dessas informações.
Visto que o usuário deve ter acesso fácil e simples aos termos de uso de suas informações – e ter facilidade em alterar os acessos concedidos, inclusive retirando seu consentimento para o compartilhamento das informações e solicitando a eliminação de seus dados.
Além disso, as controladoras precisam estabelecer processos para garantir que os dados estejam atualizados para o propósito a que se destinam.
As operadoras também devem proporcionar aos usuários controle e transparência sobre o uso das informações e estabelecer canais de comunicação ou reclamação em caso de conflitos sobre o uso dos dados (compliance).
Os procedimentos para acesso e extração dos dados e alteração no consentimento do usuário são uma obrigação das Controladoras, e não das Operadoras. Ainda assim, as ferramentas da Semantix possibilitam tais ações mediante configurações específicas.
2 – Visibilidade e transparência: com o objetivo de orientar sistemas confiáveis, um dos princípios do Privacy by Design é a visibilidade e transparência, pois elas proporcionam confiança aos projetos.
Na prática, isso significa:
- Abertura e transparência: garantir que os as políticas e práticas de privacidade estejam abertas e disponíveis de forma simples aos usuários
- Responsabilização: é fundamental que cada procedimento relacionado à coleta e uso dos dados estejam formalmente documentado, com identificação dos agentes responsáveis em cada etapa.
- Compliance: as empresas devem executar continuamente mecanismos de compliance que possibilitem monitorar, avaliar e checar o uso das informações.
Aqui, temos mais um ponto em comum com a LGPD brasileira, pois a legislação também determina que os usuários devem ter livre acesso e accountability sobre seus dados.
3- Segurança completa em todo o ciclo de vida: sem segurança, não há privacidade de dados, certo? Como a privacidade é priorizada desde o primeiro passo no Privacy by Design, produtos e serviços têm mecanismos de segurança observados em todos os pontos da cadeia.
Da coleta à destruição dos dados, todas as etapas devem apresentar mecanismos de segurança, criptografia e controle de acesso. Tudo isso sem prejuízo à integridade, confiabilidade transparência e disponibilidade dos dados – tanto para os usuários quanto para os próprios operadores.
Este é mais um ponto em comum com a LGPD brasileira: as controladoras precisam garantir a segurança dos dados de terceiros, evitando o vazamento ou mau uso das informações em seu poder.
4- Funcionalidade completa: esqueça dilemas como “Privacidade x Rendimento”. Como boa metodologia de design, o Privacy by Design busca a eficiência dos sistemas em todos os aspectos que sejam legítimos à organização – e não apenas naqueles diretamente relacionados à privacidade.
A metodologia pretende incorporar todos os interesses coerentes às instituições, sem que um objetivo inviabilize outro. A funcionalidade dos sistemas deve ser total, assim como a segurança e a privacidade dos dados. Todos os objetivos importantes para os projetos devem ser acomodados de forma que um complemente o outro, em uma soma positiva que proporcione benefícios a todos os agentes.
5- Privacidade incorporada ao design: observada com seriedade desde o começo dos projetos, a privacidade não deve ser um “elemento complementar” e sim um “elemento fundamental” dos sistemas.
Tratar a privacidade como valor essencial que deve estar presente em todas as etapas dos sistemas traz algumas boas práticas e desafios.
Como o Privacy by Design deve fazer parte das práticas de toda a organização – e não apenas das equipes de produtos ou desenvolvimento de TI – o primeiro desafio é ter uma visão mais holística e integrativa dos sistemas organizacionais, que considere contextos e cenários mais amplos do que a área de tecnologia.
Para vislumbrar tais cenários, é preciso que haja integração entre os diferentes departamentos interessados. Todos devem ser consultados.
Não são tarefas simples, e por isso certamente a criatividade será importante. Afinal, em muitos casos será preciso imaginar novas práticas que garantam a segurança, confiabilidade e eficiência dos sistemas.
6- Privacidade é configuração padrão: nesta metodologia, a privacidade é o padrão dos sistemas. Com isso, o usuário não precisa se preocupar em adotar uma política de privacidade mais ou menos restrita, pois as melhores práticas em privacidade são parte intrínseca dos sistemas.
Na prática, isto significa ter propósitos claros, específicos, limitados e relevantes para a coleta, armazenamento e tratamento dos dados.
Apenas os dados essenciais para o funcionamento eficiente dos sistemas ou para o cumprimento das obrigações legais devem ser coletados e armazenados – e sempre de forma anonimizada.
O usuário, é claro, precisa ter visibilidade fácil dos propósitos e práticas sobre a coleta, uso e descarte de suas informações.
7- Proativo e não reativo: o Privacy by Design é uma metodologia que visa a evitar incidentes de privacidade em vez de corrigi-los ou mitigá-los depois que eles já aconteceram.
Para esta prevenção proativa, é fundamental analisar toda a cadeia dos sistemas, identificando e corrigindo pontos de vulnerabilidade. Esta é uma prática que, como vimos em Compliance, deve ser permanente e não apenas na concepção dos projetos.
Também é importante que todos os níveis implicados no sistema estejam comprometidos em seguir as melhores práticas e documentar as ações. O Privacy by Design estabelece padrões muitas vezes mais elevados do que os da LGPD, portanto o engajamento real e duradouro das equipes é fundamental.
RELAÇÕES SOBRE O CONCEITO E A LGPD:
Aprovada em 2018, a Lei Geral de Proteção de Dados – LGPD entrou em vigor em agosto de 2021 com o objetivo de normatizar a coleta e utilização de dados pessoais no Brasil, prevendo pesadas punições em caso de vazamento ou mau uso de dados de terceiros.
Os padrões preconizados pela metodologia Privacy by Design são muitas vezes bem mais elevados do que aqueles estabelecidos pela LGPD.
Em relação à Privacidade e Segurança, os artigos 18, 42 e 46 são bastante importantes:
Art. 18. O titular dos dados pessoais tem direito a obter do controlador, em relação aos dados do titular por ele tratados, a qualquer momento e mediante requisição.
Art. 42. O controlador ou o operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo.
Art. 46. Os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.
- 2º As medidas de que trata o caput deste artigo deverão ser observadas desde a fase de concepção do produto ou do serviço até a sua execução.
Cumprir a LGPD é uma obrigação das organizações no Brasil. Ao adotar o Privacy by Design as instituições estarão cumprindo a lei – e indo além.
Em muitos casos, centralizar a privacidade desde o começo dos projetos pode ser mais eficiente, simples e seguro do que considerá-la apenas nos aspectos previstos pela LGPD. Além disso, o custo em caso de infração à lei pode ser bastante alto, superando os investimentos em uma política de privacidade robusta, consistente e confiável – sem contar os dados à imagem e credibilidade das instituições.
Em um contexto de preocupação crescente em relação à privacidade e uso de dados, o Privacy by Design é mais do que um importante aliado para o cumprimento da lei: representa uma notável vantagem competitiva para as organizações.
Na Semantix, a segurança de dados é levada a sério temos processos de governança e o ISSO 27 001 que atestam a alta qualidade dos nossos produtos.
Quer saber mais sobre como utilizar uma estratégia de dados a favor a sua organização, converse com nossos especialistas.
