Privacy by design e by default.

Duas obrigações, não uma

A privacidade desde a conceção (privacy by design) e a privacidade por defeito (privacy by default) são redigidas como uma única obrigação do RGPD, mas exigem duas coisas diferentes, e os profissionais metem-se em apuros quando as fundem. Desde a conceção significa que os controlos de privacidade são incorporados num sistema desde a fase de requisitos, antes de se escrever uma linha de código ou de se escolher um fornecedor, em vez de serem acrescentados depois de começarem a chegar os pedidos de acesso dos titulares dos dados.

Por defeito significa que, quando um utilizador nada faz, o sistema já se encontra na sua configuração mais protetora: a recolha de dados mais restrita, a conservação mais curta, a partilha mais estrita. Uma diz respeito a como constrói; a outra ao que o sistema faz no primeiro dia, sem qualquer configuração.

A distinção importa porque uma equipa pode cumprir uma e falhar a outra. Pode realizar uma revisão de conceção minuciosa, documentar uma AIPD e ainda assim lançar um produto cujas opções por defeito estejam todas definidas para a partilha máxima porque foi isso que a equipa de crescimento pediu. Esse produto é privacidade desde a conceção mas não por defeito, e não é conforme. O inverso também acontece: uma definição por defeito conservadora acrescentada a um sistema que nunca foi avaliado deixa o responsável pelo tratamento incapaz de demonstrar como a escolha foi feita.

O que isto muda realmente na prática

A mudança prática consiste em deslocar a privacidade para montante. Em vez de o jurídico rever uma funcionalidade terminada, os requisitos de privacidade tornam-se restrições de conceção que a engenharia e o produto assumem desde o primeiro sprint. A minimização dos dados deixa de ser um slogan e torna-se uma pergunta feita a cada campo de cada formulário: precisamos disto para prestar o serviço, e, se não, porque está aqui. A limitação da finalidade torna-se uma restrição àquilo para que um conjunto de dados poderá mais tarde ser reutilizado. A conservação torna-se um calendário por defeito que o sistema impõe, e não uma limpeza manual que ninguém se lembra de executar.

• Recolha o mínimo de campos de que o serviço genuinamente necessita, e justifique cada um deles.
• Defina os prazos de conservação como valores por defeito impostos, com eliminação ou anonimização automática quando expirarem.
• Configure as definições por defeito de partilha, visibilidade e definição de perfis na opção menos permissiva, deixando ao utilizador a escolha de autorizar mais.
• Aplique a pseudonimização e a cifragem como opções arquiteturais padrão, e não como exceções.
• Delimite o acesso aos dados pessoais por finalidade, para que um sistema só exponha aquilo que uma dada função requer.

Como se situa face a conceitos vizinhos

A privacidade desde a conceção compreende-se mais facilmente por contraste com aquilo com que as pessoas a confundem. Não é o mesmo que uma AIPD, que é um elemento de prova de que a obrigação mais ampla foi cumprida para uma atividade de tratamento específica e de risco mais elevado. Não é a segurança desde a conceção, que protege os dados contra atacantes independentemente de esses dados deverem ou não ter sido recolhidos; a privacidade desde a conceção começa um passo antes, questionando a própria recolha. E não é um controlo único. Como os sistemas evoluem, a obrigação é contínua: cada nova funcionalidade, integração ou fluxo de dados reabre as mesmas perguntas sobre minimização, finalidade e definições por defeito.

Num programa maduro, a privacidade desde a conceção torna-se um hábito enraizado no ciclo de vida de desenvolvimento, e não um ponto de controlo a cargo do jurídico. O produto e a engenharia levantam as perguntas por si próprios, a AIPD é despoletada automaticamente quando o tratamento ultrapassa um limiar de risco, e a configuração por defeito é revista como parte do lançamento em vez de ser descoberta em produção. Essa é a diferença entre uma organização que consegue demonstrar o princípio e outra que apenas o afirma.