Sem começar com termos gourmetizados, trend topics ou as famosas buzzwords (chavões)derivados de termos técnicos, vamos ao que interessa.
O que seria então Usable Privacy, ou seja, Usabilidade da Privacidade, ou Privacidade acessível? E como a usabilidade da Privacidade se relaciona com os Princípios de Privacy e Data Protection by Design e by Default? E para que servem estes Princípios em termos práticos?
Como estes conceitos e princípios se relacionam ao mesmo tempo com os Princípios legais contidos na LGPD e GDPR?
Como relacionar os princípios da Lei com a Usabilidade da Privacidade e alcançar uma melhor Conformidade ao Tratamento Legal de Dados Pessoais e Pessoais Sensíveis?
Imaginamos que estas perguntas devem ter vindo a sua mente ao ler o título do artigo, então vamos buscar ao máximo ir direto ao ponto, evitando ser prolixos, porém, contextualizando adequadamente para que erros de conceitos e fundamentos não atrapalhem a prática ao invés de ajudar a desenvolver as ações de adequação e conformidade.
O que seria então Usable Privacy ou Usabilidade da Privacidade? Seria tornar a privacidade algo acessível, utilizável, tangível, alcançável, converter em algo factível. Mas de que forma podemos tornar a privacidade utilizável, didática e alcançável? Não existe uma fórmula mágica, envolve conceitos, princípios, educação, treinamento e práticas de acordo com o contexto dos dados pessoais e tratamento envolvidos.
É neste contexto que entram os conceitos de Proteção de Dados por Design e Privacidade por Design, sim para que se derivem práticas aderentes aos requisitos e obrigações das legislações de privacidade é necessário entender o conceito e aplicar na prática, no dia a dia de trabalho estes fundamentos essenciais, para que as operações de tratamento se deem em conformidade com as obrigações legais.
Então o Data Protection by Design, ou Proteção de Dados por Design, define que:
“Deve ser uma abordagem que visa garantir que as questões de privacidade e proteção de dados sejam consideradas na fase de design de qualquer sistema, serviço, produto ou processo, e durante todo o seu ciclo de vida.” Ico.org.uk
E o conceito de Data Protection by Default traz a definição de que:
“A proteção de dados por padrão define que deve ser garantido o processamento de dados estritamente necessários para atingir uma finalidade específica. Está ligado aos princípios fundamentais de proteção de dados de minimização de dados e limitação da finalidade(…) Significa que é preciso especificar os dados que serão tratados antes do início do processamento, informando adequadamente aos Titulares de maneira clara e processando os dados que são necessários ao propósito do tratamento” Ico.org.uk
E já o Privacy by Design, ou Privacidade por Design é definida pelos seguintes Princípios:
“1 – Proativo, e não Reativo; Preventivo, e não Corretivo
2 – Privacidade como configuração Padrão
3 – Privacidade embarcada no Design
4 – Funcionalidade completa – Soma positiva e não soma zero
5 – Segurança fim a fim – durante o ciclo de vida completo
6 – Visibilidade e Transparência – Mantenha aberto
7 – Respeito pela privacidade do usuário – Mantenha Centrada na Privacidade do usuário”
E como a usabilidade da Privacidade se relaciona com os Princípios de Privacy by Design e definições de Data Protection by Design e by Default?
Tornar a privacidade algo tangível, utilizável, acessível às pessoas, começa por não apenas entender os conceitos embutidos nos princípios, mas desenhar, projetar pensando e materializando esses princípios, ao utilizar os princípios de privacidade por desenho, como consequência consegue se atender a proteção de dados por padrão, uma vez que se mantenha centrado no usuário, usando a privacidade como configuração padrão.
A privacidade por padrão já vem com as configurações mais rígidas aplicadas, sem precisar da interferência do usuário / titular, somente serão coletados e processados os dados estritamente necessários para atingir a finalidade e objetivo do tratamento informado ao Titular de Dados, nenhum dado a mais ou menos, bem como somente serão utilizados os meios de tratamento informados ao Titular, que deverão ter padrões de segurança implementados, para que este tratamento tenha um nível de proteção adequado às obrigações legais dos agentes de tratamento (Controlador e Operador).
Uma vez que se considerou a privacidade desde o projeto, do desenho, ou seja desde a concepção, e como a privacidade decorre da proteção dos dados que por sua vez é consequência da Segurança da Informação, então todas as questões pertinentes a segurança da informação deverão ser consideradas no projeto, documentação, desenho e controles, envolvendo o ciclo de vida completo dos dados e da aplicação por onde estes dados são processados em si.
Isso quer dizer considerar a proteção e segurança dos dados na entrada, durante o processamento, armazenamento, uso compartilhado, saída dos dados e por fim o descarte seguro dos dados, uma vez que já não sejam mais necessários pois atenderam as finalidades e objetivos esperados, e não se tenha mais nenhuma hipótese legal (base ou premissa legal) que obrigue a retenção ou qualquer outro tipo de tratamento destes dados.
Mas em termos práticos de que servem estes Princípios?
Os princípios não são receita de bolo, mas servem de parâmetros (baseline) para que, como a exemplo da GDPR, embasam as definições legais de proteção de dados e privacidade dos Titulares, de uma forma não tão técnica-jurídica.
Os princípios servem para dar os conceitos, pelo menos em teoria trazer uma noção de como pensar na Privacidade e Proteção dos Dados, a essência que deve ser incorporada nas práticas de tratamento de dados pessoais, uma forma de trazer a contextualização entre a teoria e a práxis, quando se envolve o tratado de dados pessoais e/ou pessoais sensíveis.
Como estes conceitos e princípios se relacionam ao mesmo tempo com os Princípios legais contidos na LGPD e GDPR?
Quando a GDPR fala de Proteção de Dados por Design e por Padrão, elucidando através dos considerandos, e nos materiais das autoridades de supervisão como o ICO do Reino Unido, traz os princípios de Privacidade por Desenho (Privacy by Design) que traz por sua vez dentro de si o Conceito de Privacidade como Configuração Padrão (que vai exatamente de encontro com a Usabilidade da Privacidade) e ainda os princípios de Segurança por Desenho (Security by Design), explicando, ou pelo menos trazendo o contexto de onde saiu a definição dos conceitos de proteção de dados por desenho e por padrão.
Mas o que de fato se espera com tantos conceitos, essenciais e teorias?
Se almeja ou ao menos intenta alcançar o entendimento do que signifique ou implique a Privacidade, da necessidade de Proteger os Dados, e para tanto aplicar a Segurança da Informação corretamente, a fim de garantir que a Privacidade e os direitos e liberdades individuais dos titulares seja preservado.
E como as leis de Privacidade Brasileira e Europeia norteiam isso?
Bem na LGPD no Art. 6 que descreve que o tratamento de dados deve observar a boa – fé dos seguintes Princípios: Finalidade, Adequação, Necessidade, Livre Acesso, Qualidade dos dados, Transparência, Segurança, Prevenção e Não Discriminação.
Já no Art. 5º da GDPR fala que os dados Pessoais devem ser processados de: Forma legal e Justa, coletados para fins especificados, explícitos e legítimos (limitação da finalidade), Adequados, Relevantes (minimização de dados), Precisos e quando necessário atualizados (Exatidão), mantidos somente pelo tempo necessário para os fins especificados identificando os Titulares (Limitação de Armazenamento), processados de forma que a segurança adequada dos dados seja garantida (Confidencialidade e Integridade), e o Controlador deve ser responsável pela Prestação de Contas.
Em suma, especificados de forma diferentes, mas, iguais nos conceitos, essência e na finalidade, ou seja, os princípios de boa-fé para o tratamento dos dados, em ambas as leis visam manter o tratamento justo, honesto, transparente, com a devida prestação de contas, para que a Privacidade dos Titulares bem como seus Direitos e Liberdade Civis sejam preservados.
Então, isso significa que para tornar estes conceitos de boa-fé no tratamento, ou seja, para garantir que eles foram considerados, não apenas observados, mas de fato respeitados no tratamento de dados pessoais e/ou pessoais sensíveis, entram em cena os princípios de proteção de dados, privacidade e segurança por desenho e por padrão (by Design e by Default).
Uma vez que um produto, serviço, processo, seja ele on-line ou off-line, foi estruturado, planejado, organizado e executado, incorporando, embarcando estes princípios em forma de requisitos, é possível atender então a boa-fé elencadas nos Artigos das referidas leis de Privacidade.
Ora, se desde o desenho e projeto foram considerados: a Privacidade do Titular ( mantendo centrado no usuário, seu nível cognitivo inclusive no momento de apresentar as informações e necessidades de ações), as aplicações mais rígidas de Privacidade já vem configuradas e aplicadas por Padrão, sem que o usuário precise ativar ou subir a régua (ao contrário, se ele quiser pode descer a régua, ou seja diminuir a privacidade, decidir com quem, como, o que e quando compartilhar seus dados).
Quando as políticas são explícitas informando prévia e adequadamente sobre o tratamento, os direitos, as bases legais utilizadas, os avisos legais de privacidade são devidamente apresentados, principalmente quando se utilizam integrações de dados, dando ciência que aquela ação está fornecendo dados e em que contexto, quando as configurações de segurança vem aplicadas nos níveis mais altos (desde a entrada dos dados – coleta, durante seu tratamento – uso, armazenamento, comunicação, compartilhamento interno ou com terceiros, até a exclusão ou eliminação), acompanhando o ciclo de vida completo dos dados, fornecendo ao titular as funcionalidades de acordo com o aceite do titular, sem forçar ” mais dados por mais funções”, onde nas políticas e aviso são informados os contatos do Controlador (Prestação de contas) e espaço para peticionamento (pedido de esclarecimentos e direitos).
Devem estes estar devidamente identificados como terceiros quando houver, informando sempre antes de realizar qualquer tratamento (coleta, uso compartilhado, transferência ou processamento de dados), para que o usuários possa escolher o que quer ou não fazer sobre seus próprios dados, lhes dando não apenas o controle de seus dados, (com possibilidade de eliminá-los, de atualizá-los, de não mais compartilha-los) mas deixando aberto e transparente seu uso, finalidade, necessidade, tratando somente o necessário, nada a mais ou menos.
Não devem tratar nenhum dado, nada, sem que tenha lhe sido informado previamente, dando-lhe o direito de se opor ao tratamento, no caso em que não sinta que deve compartilhar tal dado, e informando sobre a consequência do ato de não fornecer, não limitando a “ 8 ou 80”, “ou tudo ou nada” , ou seja, mostrando realmente o que é obrigatório, necessário, e o que seria desejável, então fazendo isso, não forçou um vício de consentimento ou não fez o legítimo interesse se sobrepor aos interesses e liberdade civis do titular.
Já possível, verificar que se cumpriu os princípios de boa-fé descritos nos artigos da LGPD e GDPR, através da prática dos princípios de proteção de dados, privacidade e segurança por desenho e por padrão.
Em resumo: se você faz uma política de privacidade do tipo “tudo junto” com o termo de uso ou ainda, quando coloca aquela barra de “Cookies” somente com a opção de Concordar, sem distinguir a Política de Cookies da Política de Privacidade e dos Termos de Uso, e sem a opção do titular de não concordar com ela, destacando os pontos que não concorda como por exemplo uso de dados para marketing ou compartilhamento com terceiros não especificados ou indesejados– você quebra os princípios de privacidade por desenho, no que tange a Privacidade embarcada no design (usabilidade da privacidade), visibilidade e transparência e mantenha centrado na privacidade do usuário, além disso, você quebra os princípios de boa -fé das leis, do Processamento Justo, limitação de armazenamento, minimização de dados, Finalidade, Necessidade, Adequação, Transparência, Prevenção ainda podendo incorrer em infringir os princípios de Não discriminação, Segurança, Responsabilização e Prestação de Contas.
Poderíamos citar muitos outros exemplos que quebram os princípios de boa-fé, como consequência de não terem adotado, absorvido e incorporado os princípios de proteção de dados, privacidade e segurança por desenho e por padrão as práticas em seus processos, produtos, projetos e/ou serviços.
E de que forma relacionar os princípios da Lei com a Usabilidade da Privacidade e alcançar uma melhor Conformidade ao Tratamento Legal de Dados Pessoais e Pessoais Sensíveis?
O termo usabilidade da privacidade seria basicamente materializar a Privacidade embarcada no Design, fazendo uso da Privacidade como Configuração Padrão, da Segurança do Início ao fim, da Privacidade centrada no usuário, no ser proativo e não reativo, mantendo a funcionalidade completa, além da visibilidade e transparência com o usuário, dessa forma é possível atender às legítimas expectativas dos titulares, respeitando seus direitos, fornecendo meios de manterem controle sobre seus dados, e tratando os dados de acordo com os princípios de boa-fé e de acordo com as hipóteses (bases legais) previstas em cada legislação, nada a mais, nada em excesso, operações de tratamento alinhadas a conformidade legal, dados tratados de forma segura e protegendo a privacidade dos titulares, visando garantir a manutenção de seus direitos e liberdades civis.
Se não precisa dos dados, se não tem nenhuma premissa legal que justifique o tratamento, então se deve pensar antes de iniciar qualquer tratamento, analisar os riscos, as questões de segurança, o impacto a privacidade dos titulares. Uma possível alternativa, elabore um checklist de avaliação, no contexto 5w e 2H:
- O que é, ou seja, é um produto, serviço ou processo? É on-line ou Off-line?
- Qual sua finalidade, seu objetivo, o que visa atingir ou proporcionar ao envolvidos (empresa e titulares)?
- E quais dados são necessários para que este atinja sua finalidade, objetivo pretendido e informado aos Titulares?
- Quem são os titulares envolvidos? Quem são os agentes de Tratamento? Quem são os terceiros envolvidos (caso existam)?
- Como será feito o tratamento, como é o processo (meios – ciclo completo: entrada, dados em trânsito, em repouso, comunicação, compartilhamento, transferência, saída e por fim descarte)?
- Porque, ou seja, qual necessidade dos dados e que base ou hipóteses legais justificam tal tratamento?
- Por quanto tempo, ou seja, qual o tempo mínimo e máximo de armazenamento dos dados?
- Qual o volume de dados deverá ser tratado, volume previsto mínimo e máximo?
- Quais os riscos (uso de novas tecnologias, dados sensíveis, dados de menores, tomada de decisão automatizada, monitoramento sistêmico, criação de perfis) e impactos envolvidos dado à categoria de dados, o volume, meios, terceiros, finalidade e hipóteses legais?
- Quais medidas serão adotadas para garantir a proteção e segurança dos Dados tratados?
- Onde será realizado o tratamento (localização dos titulares e dos meios envolvidos no ciclo de tratamento), existe transferência internacional de dados?
- Quais os direitos dos titulares que devem ser garantidos a partir da (s) base(s) legais utilizadas para embasar o tratamento de dados pretendido?
- Os meios para garantia destes direitos já foram providenciados? Se sim, quais serão os meios?
- Em caso de incidentes, envolvendo dados pessoais referentes a essa(s) operações de processamento, os meios para garantir a comunicação à Autoridade em tempo hábil estão previstos para serem implementados?
Contudo, não é receita de bolo, mas este é um começo, uma forma incrementada de 5W e2H, responder as estas questões importantes trazidas antes de iniciar um processo de tratamento seja por meio de um produto, serviço ou processo.
Esta sugestão de perguntas, seria parte de uma sessão de insights, que chamo de “Privacy Tank”, ou seja, se conseguir respostas coerentes e responsáveis a todo o checklist, e que tragam uma visão dos riscos envolvidos no tratamento de dados pessoais e/ou pessoais sensíveis em um nível aceitável ou pelo menos didático para que possa ser gerido, então este novo ou modificado processo/produto ou serviço, está pronto para a próxima etapa de planejamento e posteriores.
