(Dados sensíveis são difíceis de compreender? Parece que sim).
“Até pouco tempo era inimaginável pensar nas aplicações e a interação que a internet teria em nosso dia-a-dia, ao mesmo tempo em que podemos imaginar que isso continuará em ritmo acelerado e de incremento, tendo em vista a velocidade em que novas tecnologias são desenvolvidas para a comunicação com as pessoas”
Milton Monti, relator da LGPD
Olá!
Clique aqui para ver mais itens desta série…
De novo eu com as minhas reuniões. A última foi para
discutir os dados pessoais de funcionários* que são armazenados em bancos para
fornecer aos mais diferentes sistemas. Calma, este é um espaço da filosofia, e
não da informática, mas é preciso falar um pouco desta área para dar contexto,
já que é meu ganha-pão. A grande questão são os dados. Processamento de dados
era o nome do curso que eu fiz no técnico, ainda na já distante década de 80.
Eles são o alimento dos computadores, que, sem eles, servem como peso de papel.
Como o próprio papel físico tende a ser extinto por essas maravilhosas (???)
maquininhas, é mais fácil que estes se tornem peso de computadores, e dados e
mais dados serão processados por esse mundo afora, incluindo as nuvens. Mas
dados dizem coisas, e dizer coisas pode ser um tanto perigoso. Certos dados são
coisas genéricas, que não representam dor de cabeça substancial para seu
portador, e a manutenção deles pode ser, digamos, um pouco menos rigorosa. Já
outros dados representam encrenca se divulgados, especialmente nesse nosso
mundão tão cheio de gatunos, loucos e à espreita para faturar em cima dos
incautos. O caso aqui é que, se é verdade que todo dia saem de casa um malandro
e um mané, também é verdade que seu encontro não pode se dar nas ruas virtuais
da instituição em que trabalho. Por isso, fazemos reuniões e mais reuniões.
Como diria um peru à porta do forno, até aí, tudo bem. A
questão é que percebemos, com frequência, que nós, os paladinos da segurança da
informação, nem sempre sabemos para onde ir, nem temos muita noção da
matéria-prima com a qual lidamos. E isso não é bom, nada bom.
A pauta específica dessa última reunião era “dados sensíveis”.
Uma lei razoavelmente recente, conhecida como LGPD - Lei Geral de Proteção de
Dados, versou sobre o tema, exigindo guarida mais robusta a esses dados, de
modo a não só evitar, mas antever possibilidades de sua exposição indevida.
A questão foi que começamos a discutir sobre esses dados de
uma maneira que, para o time de analistas, ficaria muito mais difícil de
extrair dados, porque não bastava mudar a forma de proteger, mas mudar nomes de
campos e método de criptografia, o que fazia com que todas as aplicações
precisassem ser modificadas. O problema era o ridículo prazo para fazer tudo
isso, e aí a chapa esquentou. O consenso foi a gradatividade: primeiro vamos
trabalhar os dados sensíveis, depois partiremos para as questões menos problemáticas.
Beleza. Então vamos pegar a lista de dados sensíveis, coisa pouca para o
começo: matrícula, CPF, RG e título de eleitor.
A reunião foi seguindo em tensão pela urgência, mas em
aparente consenso sobre os dados sensíveis, quando entrou um colega atrasado,
mas que mudou o rumo da prosa. “Dados sensíveis? Quem disse que esses são dados
sensíveis?”, disse o gajo retardatário. O clima pesou de vez, mas o tardio
colega tinha razão - a lei não considera nada disso como dados sensíveis. Em
meio ao furdunço, procura daqui, interpreta dali, chama o jurídico de acolá, eu
tomei aquela atitude que me é característica nesses momentos: alheei e
filosofei. Pode não ser um assunto que seja tão remetido diretamente à própria
filosofia, mas onde a coruja de minerva não enfia seu nariz?
Se há dúvida e falsos consensos entre pessoas que deveriam
conhecer a lei de cabo a rabo, quanto mais não deve ocorrer com as pessoas que
vivem seu dia-a-dia com a cabeça voltada para outras atividades completamente
distintas? Por esse motivo, ainda que de um ângulo mais filosófico, achei por
bem fazer um serviço de utilidade pública e tentar falar sobre o que são e o
que não são os dados sensíveis.
O que são dados sensíveis?
São dados que tem o potencial de distinguir uma pessoa com
relação a aspectos que podem colocá-la em alguma situação de discriminação,
embaraço, mau uso ou qualquer outra situação que a destaque de um conjunto
maior de dados sob um prisma que fira a intimidade. São dados sobre gênero,
religião, filiação política e sindical, raça e etnia, dados de saúde, genéticos
e biométricos, que constroem informações bastante complexas sobre uma
individualidade.
Vamos devagar. O que são dados e o que são informações?
Dados são uma espécie de átomo informativo. Quando você olha
uma ficha de cadastro, há diversos campinhos que, isolados, não dizem nada. Por
exemplo, se eu vejo o dado 1,77, não sei dizer do que se trata. Pode ser o
preço de uma bala, uma fração de um objeto ou uma medida. Se há um rótulo
escrito “altura”, então já sei a o que esse dado se refere, e agora temos uma
informação. Ou seja, os dados são os elementos fundamentais da informação, e
informação é o sentido construído dos dados.
E por que isso é um problema?
Vou dar alguns exemplos que são autoexplicativos. Como
sabido, o Brasil viveu diversos períodos em regime de exceção, quando os
militares exerceram o poder central. Sendo um momento particularmente instável
socialmente, a manutenção do controle se dava por toda e qualquer informação
que pudesse ser obtida, inclusive de alcaguetes. Ter o registro de
sindicalizações ou filiações partidárias eram indicativos de que o cidadão em
questão era ativo politicamente, e isso ao menos o candidatava a ser
monitorado.
Tá, isso eu entendi. Mas e os outros dados?
Mais um exemplo: há situações condicionantes para a
contratação de funcionários que nada tem a ver com a capacidade de desempenho
do candidato. Quem nunca ouviu falar de alguém que não foi contratado em razão
de sua religião, que atire a primeira pedra. Por isso, os dados que podem
submeter uma pessoa a preconceitos são também considerados sensíveis.
E CPF, RG, título de eleitor e etc? São dados que podem
dar acesso a aspectos financeiros, fiscais, bancários e etc. Eles também não
são sensíveis?
Não. Uma informação dessas te individualiza como pessoa, mas
não traz nenhum elemento que te situe como pertencente a um grupo específico,
nem informa nenhuma de suas preferências ou visões de mundo. Como se diz por
aí, somos apenas números, como um CPF, por exemplo, que vai te identificar como
contribuinte**, e nada mais. Os dados pessoais também precisam ser protegidos,
não se preocupe com isso. Só não são sensíveis, ao menos na concepção da lei.
Mas nunca um dado desse gênero pode ser utilizado? Como
ficam as estatísticas necessárias para as políticas públicas e direcionamentos
empresariais?
É uma parte chata para nós, aqueles da TI, mas é a única
solução possível para estes casos: anonimização. Que diabos é isso? É tornar um
dado disponível sem que seja possível discernir a quem pertence. Sabe quando
você está recuperando uma senha e aparece uma validação de documento do tipo
“310.***.***-68? Isso é facilmente identificável como sendo um CPF, sem que, no
entanto, seja possível decifrar a quem pertence. Esse é um modelo de dado
anonimizado.
Por que o conceito de dados sensíveis apareceu?
Não gostamos que nossos dados pessoais fiquem disponíveis
por aí, porque sabemos que podemos ter problemas de fraudes e golpes, mas não
negamos esses números aos nossos empregadores, por exemplo, que são partes
legítimas para exigi-los. Já os dados sensíveis são informações da intimidade.
Um empregador não pode exigir dados de sua religiosidade ou de sua sexualidade.
Se, por ventura e por sua livre decisão, este os possuir, não pode fazer usos
diversos de seu propósito devidamente autorizado ou que redundem em riscos para
o livre exercício de direitos.
Por que a confusão?
Provavelmente porque o conceito é razoavelmente novo. O
mundo girou e, de uns anos para cá, muitas coisas que nem pensávamos passaram a
ser levadas em conta nas relações humanas. Eu lembro que, quando garoto, fazer
e sofrer bullying era a coisa mais normal do mundo, e ajudava a criar casca,
como se dizia à época. Hoje em dia o fenômeno explica como boa parte da repulsa
pela escola se dá, para citar um exemplo. São coisas que não dependem de
dinheiro do governo investido. Só que eu e meus coetâneos temos dificuldades em
entender por que as coisas mudaram, e acabamos por dar mais importância a dados
que potencialmente firam nossos bolsos do que nossas mentes.
Essa história tem origem nas demandas da esquerda?
A primeira impressão que se tem é vinda dos estereótipos,
especialmente por conta das questões de gênero, já que basta se tocar no
assunto para gerar um rebuliço. Não deveria ser assim, já que são demandas que
versam sobre liberdade, e a palavra liberal compartilha o mesmo radical.
Independentemente disso, o fato concreto é que a LGPD foi aprovada pelo governo
Temer e emendada pelo governo Bolsonaro, que não são exatamente nomes de
esquerda.
Não é muita frescurinha então?
Sempre é possível pensar em um ir e voltar de uma mola, onde
o estado inicial de tensão leva a uma resposta tão intensa que sobrepuja o
estado de repouso, ou seja, de estabilidade. Mas o fato é que nunca aparece uma
placa proibindo de subir no abacateiro sem que alguém tenha tentado pegar um
abacate (e se arrebentado, provavelmente). Se foi criada uma lei nesse sentido,
devemos tentar compreender onde a sociedade estava errando, especialmente
nesses tempos acelerados de internet.
Isso significa que a questão só aconteceu recentemente?
Não. Já há muito tempo que há uso indevido de dados. Mas a
questão tomou proporções titânicas com o advento das comunicações digitais. Eu
lembro dos anos 2000, com o famoso CD da Telefônica, suposto catálogo contendo
uma pilha de dados dos usuários de telefone de São Paulo. Como há o monopólio
da telefonia no Brasil, isso significa que quem possuísse telefone instalado,
tinha seus dados nessa lista. Sendo assim, há um longo caminho que vem sendo
traçado para se chegar ao ponto da necessidade da criação de uma lei.
E resolve?
Este é o cerne de toda a discussão. Eu costumo dizer que
toda lei que determina comportamentos é sinal do fracasso de uma sociedade. As
pessoas falam muito de moral e bons costumes, mas sua aplicação já é bem mais
rara. Um lugar onde as pessoas já têm por costume ceder lugar no ônibus para os
velhinhos não tem necessidade de uma lei que determine o ato. O centro ético de
uma nação é a maneira como as pessoas se respeitam mutuamente, e é essa relação
que diz o quanto as engrenagens sociais podem ser menos ou mais engessadas. Não
seria necessária uma lei para informar que dados sensíveis deveriam ser
tratados com um mínimo de cuidado, mas, já que não se tem esse cuidado, então a
lei se torna de rigor. Pior ainda: não seria necessária a lei se não se fizesse
mau uso desses dados, mas o fato é que se faz, e muito. O problema são as
exceções legítimas, que ficam difíceis por força da lei. Resolver envolve
fiscalização competente e meios coercitivos eficientes, que não dão em árvores
no Brasil.
Só para deixar relatado, meu regresso ao planetinha azul,
ainda no momento da reunião, deu-se com o arrefecimento dos ânimos, de modo a
me deixar um pouco perdido com as conclusões (precisei ler a ata depois), mas confiante
de que seria bom trazer um pouco destes esclarecimentos à luz. Não sou
advogado, mas me meto a tentar entender o mundo, e partilhar isso com vocês.
Bons ventos a todos!
Recomendação de leitura:
Vai para a própria LGPD. É importante que conheçamos
minimamente as nossas leis para que saibamos dos nossos direitos e deveres.
Sendo uma lei nova, provocou certo estrépito, mas com o tempo a vitalidade da
novidade vai arrefecendo e podemos acabar esquecendo das proteções que ela dá.
BRASIL. Lei nº 13.709, de 14 de agosto de 2018. Lei
Geral de Proteção de Dados (LGPD). Brasília, DF: Diário Oficial da União, 2018.
Disponível em [https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm].
Acesso em 02.10.2024.
* Desde uns bons anos para cá, existe a tendência de se
chamar os funcionários de colaboradores, de parceiros ou até mesmo de
stakeholders, para dar maior noção da importância dos mesmos em uma
organização. Puta mentira, essa é a real. O funcionário, salvo honorabilíssimas
exceções, continua no mesmo lugar onde sempre esteve. Portanto, sou funcionário
e continuarei a usar o termo que melhor me define: ter uma função remunerada
dentro de uma entidade.
** Tá, também dá uma ideia do estado em que foi feito o
cadastro, mas vocês entenderam o sentido.