Os princípios do privacy by design e do privacy by default (em português, respectivamente, privacidade desde a concepção e privacidade por padrão) são frequentemente mencionados quando se fala em proteção de dados pessoais, tendo se popularizado com a entrada em vigor do Regulamento Geral de Proteção de Dados (General Data Protection Regulation, "GDPR") da União Europeia e, no Brasil, devido à sua incorporação, ainda que não de forma nominal, à lei 13.709/2018, a Lei Geral de Proteção de Dados ("LGPD").

Embora a maior projeção tenha vindo apenas nos últimos anos, o privacy by design foi criado na década de 1990 por Ann Cavoukian, professora da Universidade de Ryerson, no Canadá, e comissária de Informação e Privacidade de Ontário entre 1997 e 2014. Deriva de princípio mais amplo, do value sensitive design (no vernáculo, concepção sensível a valor), abordagem desenvolvida no final da década de 1980 por Batya Friedman e Peter Kahn, professores da Universidade de Washington, segundo a qual o desenvolvimento tecnológico deve priorizar os valores humanos de uma maneira ética, compreensiva e abrangente.

Nesse contexto, o conceito por trás do privacy by design é de que todo o processo de engenharia de um produto ou serviço que envolva o tratamento de dados pessoais deve garantir a proteção da privacidade, enquanto direito à intimidade. Na prática, impõe ao agente de tratamento de dados o dever de assegurar que a privacidade esteja incorporada ao sistema durante todo o ciclo de vida e em todos os elementos/etapas do produto ou serviço.

O privacy by design está baseado em sete fundamentos: (i) proatividade, agindo de modo a antecipar, identificar e prevenir incidentes envolvendo dados pessoais; (ii) padronização, para que a privacidade seja automática e independa de configuração pelo usuário; (iii) privacidade embutida na própria arquitetura de desenvolvimento do produto ou serviço, e não algo pensado de forma segregada, a ser acrescentada ao final ou até mesmo opcional; (iv) funcionalidade total, isto é, a implementação da privacidade em um produto ou serviço deve somar funcionalidades ao projeto, sem prejudicar nenhuma delas e sem oferecer vantagens àquele que aceite reduzir certas configurações. Não se deve trabalhar com a ideia de tradeoff, de prevalência de certas funcionalidades em detrimento de outras; (v) segurança ponta-a-ponta, de maneira que a proteção do dado esteja presente desde a coleta até a eliminação; (vi) visibilidade e transparência, com ampla informação sobre o processo de tratamento e proteção dos dados; e (vii) respeito pela autonomia do usuário, a quem cabe a decisão sobre os limites de privacidade dos seus dados.

O privacy by default, por sua vez, pode ser considerado uma decorrência natural do privacy by design, pois incorpora a ideia de que o produto ou serviço seja comercializado com todas as salvaguardas de privacidade concebidas durante o seu desenvolvimento.

Em outras palavras, o produto ou serviço deve ser entregue com a configuração de privacidade mais restritiva possível, de modo a que apenas os dados indispensáveis sejam coletados, cabendo ao próprio usuário, se assim desejar, habilitar de maneira informada e voluntária outras funcionalidades que ampliem o espectro de tratamento de seus dados pessoais.

O privacy by design e o privacy by default estão expressamente previstos no artigo 25 do GDPR, segundo o qual os agentes devem aplicar, tanto no momento de definição dos meios de tratamento como no momento do próprio tratamento, medidas técnicas e organizacionais adequadas, assegurando, por padrão, que somente sejam tratados dados pessoais essenciais para cada finalidade específica de tratamento e, em especial, que dados pessoais não sejam disponibilizados, sem intervenção humana, a um número indeterminado de pessoas.

Ainda que não tenham sido adotadas pela LGPD de maneira expressa, o privacy by design e o privacy by default trazem conceitos análogos, notadamente em seu artigo 46, que obriga os agentes de tratamento a adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito, com a ressalva, no § 2º do dispositivo, de que tais medidas "deverão ser observadas desde a fase de concepção do produto ou do serviço até a sua execução".

Esses princípios, no entanto, foram pensados para garantir a privacidade em sistemas de organizações em construção, nas quais os processos de engenharia de produção ainda não foram desenvolvidos, estando, pois, livres de práticas e vícios anteriores.

A partir dessa constatação, surgiu nos últimos anos também o conceito de privacy by redisign (em português, algo como privacidade desde a reconcepção), que se preocupa com a inserção da privacidade em sistemas já desenvolvidos e em funcionamento, nos quais as características de operação dos produtos e serviços já estão definidas, podendo haver - e normalmente há - resistência na implantação de mudanças.

A proposta é criar um mecanismo que permita reconceber sistemas já existentes para assegurar que sejam incorporados os principais fundamentos do privacy by design, quais sejam, proatividade, privacidade embutida no projeto e funcionalidade total.

Nesse caso, o foco são as áreas ligadas às informações pessoalmente identificáveis¹, de sorte que, localizados dados sensíveis, gatilhos automáticos sejam acionados para aplicação de protocolos e barreiras de gestão de identidade de acesso², garantindo tratamento mínimo necessário.

Mas, seja qual for o momento de implementar as mudanças, o grande desafio está em conscientizar as empresas como um todo acerca da importância da privacidade, já que grandes organizações costumam ter departamentos trabalhando de maneira segregada, muitas vezes sem a adoção de ações coordenadas. No Brasil, em que a regulamentação legal específica de proteção de dados pessoais é recente, inexistindo uma cultura de privacidade e segurança da informação, este desafio se mostra ainda maior.

A efetividade e a eficiência da privacidade dependem do compromisso consciente de toda a organização quanto à necessidade de pensar nesse quesito durante todo o ciclo de vida do produto ou serviço, desde a sua concepção até a sua retirada definitiva do mercado.

Mais do que o mero cumprimento de obrigações que, doravante, passam a ser legais e sujeitas a sancionamento, o cuidado com a privacidade do usuário terá impacto decisivo no próprio negócio e na marca da empresa, agregando vantagem competitiva num mercado cada vez mais preocupado com a ética, a transparência e o respeito aos direitos fundamentais do cliente.

__________

1 Informações de identificação pessoal ou, em inglês, personally identifiable information (PII), é um termo usado em segurança da informação para se referir a informações que podem ser utilizadas para identificar, contactar ou localizar um único indivíduo.

 

2 De acordo com o Gartner IT Glossary, a gestão de identidades e acessos (GIA) ou, em inglês, identity and access management (IAM), é uma disciplina de segurança da informação que "habilita os indivíduos corretos a acessar os recursos corretos no momento correto e pelos motivos corretos".