Thoran Rodrigues

A Lei Geral da Proteção aos Dados, novo marco legal de privacidade do país, ainda que prometa muito trabalho de adequação para as empresas, decididamente não é o final do mundo. Ao contrário, é necessária e veio de encontro ao anseio da sociedade de se coibir práticas – até aqui corriqueiras no mercado – de venda de base de dados ou o seu uso indevido, a despeito da vontade do cidadão e, muitas vezes, em seu prejuízo.
A verdade é que a legislação brasileira, bem como a da União Europeia, na qual a nossa foi baseada, têm como principais alvos as empresas globais de serviços baseados na internet, cujos modelos de negócio colocam por terra qualquer expectativa de privacidade dos dados. Não é de agora que as gigantes de tecnologia têm como principal fonte de receita a rentabilização dos dados que coletaram – com ou sem a autorização – de seus usuários.
<blockquote class="jota-article__eye">É preocupante que, em menos de vinte anos de existência, empresas como Google, Facebook e Amazon disponham de mais informações sobre seus usuários que boa parte dos governos que os regem.</blockquote>
O exemplo clássico são os anúncios dirigidos a internautas, baseados em algoritmos que interpretam seus anseios e necessidades. Quem não fez uma busca sobre uma cidade na internet e recebeu, segundos depois, anúncios de passagens aéreas para o mesmo destino, além de promoções de hotéis e pousadas daquele local?
<ul class="jota-article__internal-links">
<li>+JOTA: <a href="https://www.jota.info/assine">Assine o JOTA e não deixe de ler nenhum destaque!</a></li>
</ul>
Talvez o ápice do uso indevido do perfil dos usuários tenha sido o escândalo da Cambridge Analytica. Por meio de um app usado pela consultoria, o Facebook permitiu que a empresa tivesse a acesso a informações detalhadas de 50 milhões de pessoas de sua rede social. Os dados vazados foram usados como munição na campanha de Donald Trump, que levantou aspectos da personalidade de cada pessoa, incluindo suas fraquezas, receios, medos e ódios. De posse dessa informação, foram enviados mensagens e posts dirigidos a cada um dos usuários em prol do candidato Republicano. A prática foi em escala massiva, com impactos decisivos na eleição norte-americana.
Embora esse seja o caso mais emblemático, até devido às suas consequências, está longe de ser o único. Praticamente todas as semanas são anunciados novos casos de vazamentos de informações devido à falta de cuidado, falhas de segurança, descaso e, em algumas situações, até más intenções. Esses vazamentos vêm de todo tipo de empresas, sejam elas grandes ou pequenas, de qualquer setor da economia. Mesmo as empresas de tecnologia, que se declaram altamente competentes na proteção dos dados, têm sofrido ataques e vazado dados de usuários.
A regulação da relação entre cidadãos, empresas e instituições no que tange à privacidade dos seus dados é, portanto, muito bem-vinda, pois fortalece a democracia e protege os cidadãos contra maus atores. Mas é importante admitir: caberá às empresas vários sacrifícios e investimentos no processo de adequação.
No caso específico da BigData Corp, cuja atividade está 100% baseada em dados recolhidos de fontes públicas de informação na internet, foram necessários nada menos do que 18 meses de trabalho envolvendo toda a equipe em diversas frentes. Como 10% de nossos clientes atuam na União Europeia, onde as exigências para estarem de acordo com as boas práticas para a privacidade dos dados passaram a vigorar em 2018, para nós, a governança no trato dos dados alheios chegou há mais de três anos, muito antes da legislação brasileira ser aprovada.
O nosso primeiro passo para nos adequarmos, comum a qualquer empresa que queira passar pelo processo de garantir a privacidade dos dados sob sua custódia, foi realizar um levantamento completo de todas as informações armazenadas em nos sistemas e identificar a origem de cada uma das informações, ou seja, identificar como e onde a informação foi capturada, bem como identificar qual a cadeia de evidências que nos permitiria comprovar a lisura desse processo de captura. Como capturamos e processamos mais de 10 Petabytes de informação por semana, essa etapa, para nós, foi extremamente custosa, tanto em termos financeiros quanto de tempo.
Ao final, enfim, fomos capazes de separar todas as informações: de um lado, um conjunto de dados com origem pública, totalmente autorizado para uso e em conformidade com a legislação; de outro, um bloco de informações com algum tipo de restrição, seja devido à sua origem (vindo de uma base de dados de terceiros, por exemplo) ou por não termos como comprovar a sua origem. Com base nessa divisão, removemos de nossas bases todos os dados que não estavam no primeiro conjunto e que, portanto, não estavam de acordo com a legislação.
Em seguida, fomos obrigados a revisar todos os nossos relacionamentos contratuais com parceiros, fornecedores e, até mesmo, clientes. Tanto a lei de proteção à privacidade dos dados brasileira quanto a da União Europeia dispõem de um mecanismo “viral”, segundo o qual qualquer empresa na cadeia de manuseio dos dados que cometa um erro faz com que todas as outras sejam corresponsabilizadas pela situação. Assim, fomos obrigados a alterar nossos contratos, detalhando a exigência e o compromisso do cumprimento recíproco das boas práticas na gestão dos dados privados.
Além das revisões contratuais em si, e até como consequência delas, fomos obrigados, também, a reavaliar alguns de nossos relacionamentos. Chegamos a cancelar alguns contratos com clientes quando entendemos que não possuíam a maturidade necessária para tomar os devidos cuidados com os dados. Esse é um dos elementos mais interessantes do modelo de legislação adotado: além da fiscalização externa, ele acaba forçando uma autofiscalização do setor, entre as diferentes empresas que atuam na cadeia ou, de alguma forma, manipulam dados de usuários.
Outro ponto importante nessa revisão dos relacionamentos foi garantir que todos os termos de serviço, nossos, de nossos clientes e de nossos fornecedores apresentassem todas as cláusulas necessárias para autorizar o processamento de dados dos usuários finais. Uma grande parte da complexidade dessa etapa específica foi a ausência de padrões de mercado bem estruturados no que diz respeito a termos de uso ou de aceite. Mesmo no caso das empresas mais maduras em relação a esse desafio, temos uma profusão de modelos, cláusulas, termos e descrições diferentes, algumas mais específicas, outras mais genéricas e que, muitas vezes, não conversam entre si. Procuramos assegurar, ainda, que todos os contratos nos garantissem o direito de auditar, direta ou indiretamente, os processos de gestão e de manutenção de dados das outras partes, a fim de nos protegermos proativamente contra qualquer risco.
Mas não foram apenas as relações contratuais que passaram por adequações. Tivemos que realizar também uma série de alterações e adequações em nossos sistemas internos, além de estruturar processos, alguns automáticos e outros manuais, para atender aos requisitos da lei. Sempre trabalhamos com a criptografia das informações contidas em nossos bancos de dados e na comunicação de informações entre nossos sistemas e os de nossos clientes. Para aumentar a segurança, no entanto, optamos por expandir o uso de criptografia para 100% das informações que armazenamos e que trafegam internamente. Os dados, agora, são criptografados em múltiplos níveis, dos campos individuais dos bancos de dados aos discos rígidos onde as informações residem.
Implementamos, ainda, processos para atender aos principais requisitos impostos pela legislação. Contratamos um profissional específico responsável pela segurança da informação, responsável por cuidar de todos esses processos e garantir que estamos sempre em conformidade com a lei. Disponibilizamos mecanismos para atender a demandas por informação dos usuários, adequando-nos aos requisitos do “direito de esquecimento” e do “direito de acesso à informação” por parte de indivíduos e empresas. Isso exigiu não só uma arquitetura de informações pronta para atender aos pedidos, mas, também, uma equipe de atendimento preparada para responder a dúvidas e atender as pessoas. Colocamos em prática uma série de controles para alertar os usuários em caso de qualquer tipo de vazamento ou acesso indevido aos dados. Tudo isso, fora os seguros contra roubo de informações, testes de penetração de sistemas e dezenas de outros controles, vem garantindo o cumprimento das exigências de boas práticas colocadas na legislação.
A adequação aos requisitos legais ainda compreende o fato de que as legislações de privacidade são novas, pouco testadas na prática, com fronteiras em discussão e diversos pontos nebulosos. Um exemplo disso é o chamado “direito ao esquecimento” previsto na lei. Ele garante ao cidadão a possibilidade de exigir que qualquer empresa apague todos os registros de dados privados que ela possui a seu respeito. Pensando na privacidade como um direito fundamental do ser humano, faz todo sentido. Por outro lado, a regulamentação do setor financeiro internacional obriga as empresas a manter registro de informações de clientes e transações por até 15 anos, em alguns casos. Como proceder frente a esse conflito de requisitos legais?
Na BigData Corp, depois de um longo debate interno, optamos uma solução intermediária para atender a situações dessa natureza. Removemos, quando solicitados, a informação do cidadão da base de dados principal, deslocando-a para bases secundárias, separadas da operação da empresa. Os dados relativos ao direito ao esquecimento ficam, portanto, indisponíveis para o mundo externo, ao mesmo tempo que, internamente, estão isolados e protegidos, com acesso restrito, apenas para responder a eventuais auditorias ou pedidos judiciais que requeiram o seu resgate.
A falta de clareza sobre esses conflitos, e mesmo sobre alguns dos requisitos impostos pela legislação sobre o modelo operacional das empresas, traz um certo grau de insegurança para o nosso dia-a-dia. Somos, portanto, obrigados a manter processos e documentações potencialmente muito mais extensas do que o que seria necessário, simplesmente para garantir que estamos cobrindo qualquer eventualidade.
Por outro lado, essa “zona cinzenta” de conformidade legal em que estamos navegando resulta em uma enorme riqueza às empresas envolvidas. Estamos aprofundando discussões sobre boas práticas e procedimentos, bem como aprimorando a troca de experiências. Um assunto que antes estava restrito a um pequeno grupo de empresas preocupadas, hoje vem sendo amplamente debatido em todo o mercado, o que é muito saudável.
No frigir dos ovos, é importante ressaltar que a adequação à nova lei, por mais difícil que seja, não é impossível. Melhor ainda: vale a pena. Hoje estamos muito mais preparados para enfrentar riscos que sempre estiveram presentes, mas que eram subdimensionados. De quebra, tivemos um ganho intangível: amadurecemos o nosso relacionamento com o cidadão. Estamos mais aptos a lhe garantir o respeito que ele merece no trato da sua informação.

Digital Data

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

Quanto custa a governança na gestão dos dados alheios?

Por trás da privacidade dos dados