Por que eu devo ler este artigo: E se amanhã alguém te pedir para apagar todos os dados pessoais de um usuário? Parece estranho, mas após a LGPD esse pior cenário pode acontecer.

E se pensou "é só executar DELETE no banco de dados", sua empresa pode ser multada!

Nesse artigo saberemos por que a LGPD deixou o mundo de ponta a cabeça.

O que é a LGPD?

LGPD é a Lei Geral de Proteção de Dados do Brasil, que começou com o Marco Civil da Internet.

LGPD

Ela é uma das leis que garantem a privacidade e integridade de dados pessoais de um usuário.

Por que a LGPD importa?

Toda empresa ou profissional autônomo que coleta dados de brasileiros precisa se adequar a LGPD.

  • Empresas do setor público e privado
  • Dado coletado digitalmente ou em papel

A multa por descumprir essa lei pode ser severa. Por exemplo, a construtora Cyrela foi multada em 10 mil reais por infringir a LGPD.

Espera! Você disse dados pessoais em papel?

Sim! Dados pessoais em papel são importantes. Pode não parecer, mas eles podem ter a ver com o programador.

Lembra do pior cenário possível: alguém solicitar que os dados sejam apagados? Imagine que executamos essa solicitação no banco de dados, mas ficou um relatório impresso na gaveta de um vendedor.

solicitação no banco de dados

No dia seguinte ao prazo dado pela lei a pessoa recebe uma ligação. Já imagina o que vai acontecer, né? Olha o processo aí 🤦🏻

O que é dado pessoal para a LGPD?

Dado é um termo comum na programação.

Dado

Para a LGPD, o dado pessoal é o que possibilita identificar ou localizar uma pessoa. Por exemplo:

  • Telefone
  • Nome
  • CPF
  • Profissão

É um conceito bem parecido com o de PII na segurança da informação.

Esses dados pessoais podem ainda ser dados pessoais sensíveis. Um dado pessoal sensível, além de identificar e localizar, possibilita ainda discriminar uma pessoa. Por exemplo:

  • Opinião política
  • Orientação sexual
  • Crença
  • Cor da pele
  • Biometria

A lei tem ainda mais rigor com relação aos dados pessoais sensíveis.

Algum sistema escapa da LGPD?

Nem mesmo os front-ends!

LGPD fala sobre tratamento de dados pessoais, o que significa:

  • Qualquer operação realizada sobre um dado

Qualquer operação mesmo!

A lei fala que são exemplos de tratamento de dados pessoais as operações abaixo:

"coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração".

Um front-end com um formulário ou que salve cookies, realiza operações sobre dados pessoais perante a lei. Por isso, a lei impacta qualquer sistema: back-end, front-end e mobile.

Na verdade, as vezes podemos ser responsáveis até por sistemas de terceiros se com eles compartilhamos os dados coletados pelos nossos sistemas.

Por exemplo, se sua aplicação armazena um CPF e o envia para uma empresa de checkout, podemos ser responsabilizados pelo que esse parceiro faz com ele.

Como isso funciona?

Quando se trata de dados pessoais, ou você é o controlador ou é o operador.

Vamos entender com dois exemplos:

Controlador

Por exemplo, digamos que sejam recebidos dados em um formulário de cadastro e esses dados são gravados no banco. Estamos falando aqui do controlador, quem decide como os dados serão tratados.

Operador

Agora, imagine que após registrar o usuário e o e-mail dele é enviado para uma empresa de enriquecimento de dados.

Por exemplo, você envia o e-mail do usuário para uma empresa que cruza a forma como ele usa o seu site e outros. Dessa forma, você consegue saber os interesses dessa pessoa e oferecer serviços que mais atendem as preferência dela, aumentando suas vendas.

Serviços como esse, que enriquecem dados, são exemplos de operadores. Um operador realiza operações sobre o dado pessoal em nome do controlador. Controlador é o seu negócio, o site onde a pessoa se cadastrou.

Por isso, quando estamos codificando um sistema ou escolhendo uma parceria, precisamos nos perguntar: como isso se adequa a LGPD?

Exemplo

Quando se trata de LGPD precisamos estar atentos a tudo, inclusive a ferramenta utilizada. Verifique junto ao DPO como ela funciona antes de continuar o projeto.

Geralmente, usamos relacionamentos 1 para N para guardar histórico de dados, como vemos na Figura 1.

Tabela usuário/telefone no relacionamento 1:n
Figura 1. Tabela usuário/telefone no relacionamento 1:n

Para não perder o telefone da pessoa após um update, criamos uma relação entre as tabelas Usuário e Telefone. Nesse caso, com sugestão podemos usar Temporal Tables.

Com uma Temporal Tables criar esse relacionamento é desnecessário, porque podemos criar versões de tabelas, como mostra a Listagem 1.

CREATE TABLE t(
     x INT,
     start_timestamp TIMESTAMP(6) GENERATED ALWAYS AS ROW START,
     end_timestamp TIMESTAMP(6) GENERATED ALWAYS AS ROW END,
     PERIOD FOR SYSTEM_TIME(start_timestamp, end_timestamp)
  ) WITH SYSTEM VERSIONING;
  
Listagem 1. Temporal Tables

Assim, o telefone poderia ficar na tabela usuario e nunca perderíamos ele após um update/delete. Ele sempre estaria disponível na versão anterior da tabela, como mostra a Figura 2.

Tabela usuários com Temporal Tables
Figura 2. Tabela usuários com Temporal Tables

O problema é que, dependendo do SGBD utilizado, não se pode apagar um único registro de uma Temporal Table.

Por isso, caso um único usuário solicitasse a exclusão dos seus dados pessoais teríamos que apagar toda a tabela.

Face à LGPD, essa versão de Temporal Tables não parecia tão útil assim.

Por isso o uso de uma determinada ferramenta deve ser revisto, porque ela dificultaria a adequação a LGPD. No final, o bom e velho relacionamento 1:n foi o que resolveu o problema.

Por onde começar?

Você já ouviu falar sobre termos de serviço e política de privacidade?

termos de serviço e política de privacidade

E sobre precisar aceitar cookies em um site? Já ouviu falar ou já precisou aceitar os cookies de um determinado site?

aceitar os cookies

Por que de uma hora para outra todos os sites começaram a exibir isso?

A resposta é simples: o conceito de dado pessoal é amplo e expansionista. Na dúvida precisamos do consentimento da pessoa para coletá-los.

O que aprendemos até aqui é fundamental para iniciar esse trabalho.

Por exemplo, um bom começo para quem está adequando um site a LGPD, é descrever quem são controlador e operadores nos termos de serviço, bem como a forma como os dados pessoais são utilizados por eles.

Caso os dados venham a ser compartilhados com terceiros, a política de privacidade deve deixar isso claro.

O papel do DPO

O programador não deve elaborar esses documentos sozinho.

A lei requer que um encarregado seja indicado para tal. É esse profissional quem responde a Autoridade Nacional de Proteção de Dados (ANPD), quando necessário.

O cargo ocupado por esse profissional se chama DPO. Existem empresas que oferecem esse cargo como serviço.

Portanto esse é o conselho mais importante para você programador: comece conversando com um DPO. Embora fundamentais, os termos de serviço e a política de privacidade não resolvem todos os problemas.

Há ainda ações que podemos fazer a partir daqui, como veremos a seguir.

Mantendo dados pessoais no radar

A LGPD afeta praticamente qualquer sistema, porque todos eles lidam com dados pessoais de alguma forma. Entender isso é o primeiro passo.

A partir disso, é recomendado que todo sistema tenha uma boa documentação sobre como ele lida com dados pessoais.

boa
documentação

Para começar uma documentação, podemos responder às seguintes perguntas:

  • De quais dados pessoais precisamos?
  • De onde eles vêm?
  • Para onde eles vão?
  • Por que precisamos deles?

Por exemplo, em um sistema de cadastro a documentação poderia começar assim:

  • De quais dados pessoais precisamos?
    Nome, e-mail e telefone. Senha não é um dado pessoal quando criptografada por um processo irreversível de criptografia.
  • De onde eles vêm?
    • De um formulário web no Sistema de Cadastro na URL https://sistema.com.
    • De um formulário no aplicativo Mobile.
  • Para onde eles vão?
    • Enviamos esses dados por e-mail para o usuário após o cadastro. A política de exclusão da caixa de saída é de 3 meses.
    • Enviamos o e-mail para a empresa de enriquecimento de dados XPTO. Essa empresa está localizada fora do Brasil.
    • Armazenamos o e-mail em um cookie. Esse cookie está em formato base64, que pode ser revertido.
  • Por que precisamos deles?
    • Usamos o nome da pessoa em diversos e-mails, como o de boas-vindas e resumo das notícias da semana.
    • O e-mail é usado como nome de usuário no login e na recuperação de senha por e-mail.
    • Usamos o telefone na recuperação de senha por SMS.

Notou como esse documento é importante considerando tudo o que aprendemos até aqui? Ele pode servir de base para diversos processos, inclusive a elaboração dos termos de serviço e política de privacidade.

Política de deleção de dados

Percebeu no texto anterior a frase abaixo:

A política de exclusão da caixa de saída é de 3 meses.

Pensa no seguinte: qual dado pessoal nunca pode gerar um processo? O dado pessoal que não tratamos! Ou seja, o dado sobre o qual não realizamos nenhuma operação.

Sendo assim, uma coisa precisa ser cultural:

Apagar os dados pessoais que já não são necessários

Quando acontecer o momento "Empresa, exclua meus dados", salvo haja alguma obrigação legal para fazer o contrário, precisamos atender ao pedido.

Por isso, se descartamos dados pessoais desnecessários parte do trabalho já estará pronto.

Mas quais dados são esses?

  • Logs
  • E-mails
  • WhatsApp, Slack etc.
  • Relatórios
  • Planilhas

Caso o pior aconteça, se dados desnecessários já tiverem sido excluídos parte do trabalho estará pronto.

Privacy by Design

Esse termo se refere a um framework.

framework

Recomendamos conversar com sua empresa sobre ele, pois a Privacy by Design envolve toda a empresa, não só o desenvolvimento. O objetivo é se preocupar com a privacidade desde que começamos a falar sobre dados pessoais.

Para isso se seguem alguns princípios:

  • Tentamos prever incidentes de privacidade
  • A privacidade deve ser o padrão e para obtê-la uma pessoa não deve precisar agir
  • Privacidade deve fazer parte do design do sistema
  • Privacidade acima de qualquer coisa, inclusive otimização
  • Segurança de ponta a ponta
  • Visibilidade e transparência
  • Respeito pela privacidade do usuário

Por exemplo, o item segurança de ponta a ponta nos faz perguntar "nosso site usa SSL", "o certificado digital que usamos é seguro", "seria hora de contratar um profissional de segurança para nos ajudar a melhorar isso".

A palavra framework aqui está mais para processo do que para software, como é notado. Contudo, Privacy by Design tem ajudado muitos times a se adequarem a LGPD. E nossa experiência mostra que é mais produtivo desenvolver com um framework.

Conclusão

Esperamos com esse artigo que você tenha aprendido pelo menos duas coisas:

  • Não seja um herói! Procure um DPO para te ajudar a se adequar a LGPD
  • Colete apenas os dados pessoais que forem necessários

A época dos formulários de cadastro que pediam dados com sexo já passou. Hoje em dia menos é mais.

Quando se pede um dado pessoal se deve estar seguro de que ele será útil. Do contrário, não peça esse dado pessoal. O segredo daqui pra frente é desenvolver com a LGPD em mente.