Capítulo 14 — Fundamentos de privacidade

Mapa da aula

Aula 14 publicada. Mapa, exemplo, EX040.

flowchart TD
  N0["14.1 Privacidade na biblioteca"]
  N1["14.2 Pseudonimização"]
  N2["14.3 Quando a cifração ajuda"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX040"]

Desenho lógico

flowchart LR
  N0["14.1 Privacidade na biblioteca"]
  N1["14.2 Pseudonimização"]
  N2["14.3 Quando a cifração ajuda"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX040"]

[14.1 Privacidade na biblioteca]
    |
    v
[14.2 Pseudonimização]
    |
    v
[14.3 Quando a cifração ajuda]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX040]

Objetivos de aprendizagem

Você vai (1) aplicar princípios de privacidade aos dados da biblioteca; (2) usar a pseudonimização e conhecer seus limites; (3) decidir quando a cifração favorece a privacidade.

14.1 Privacidade na biblioteca

As bibliotecas têm uma longa tradição de proteger o que os leitores leem. Priya estuda a política de privacidade da Tidewell e a legislação de proteção de dados aplicável, identificando princípios: coletar apenas os dados necessários, usá-los apenas para as finalidades declaradas, mantê-los apenas pelo tempo necessário e protegê-los de forma adequada. O histórico de leitura é especialmente sensível porque pode revelar saúde, religião ou posições políticas. A criptografia sustenta esses princípios, mas não pode substituí-los; cifrar dados que não deveriam ter sido coletados ainda deixa um risco. Ela lista quais princípios cada sistema da Tidewell atende ou deixa de atender hoje.

14.2 Pseudonimização

Para um estudo sobre o uso das unidades, Grace pede os dados de empréstimos sem as identidades. Priya substitui os números dos cartões por pseudônimos com chave calculados com HMAC, usando uma chave mantida pelo consórcio. Um hash sem chave falharia, porque os números dos cartões seguem um formato conhecido e poderiam ter o hash calculado exaustivamente. Ela anota que dados pseudonimizados ainda são dados pessoais segundo muitas leis, porque quem tem a chave pode reidentificá-los, e que combinações raras, como um leitor que pega livros incomuns numa unidade pequena, podem identificar pessoas mesmo sem os números dos cartões.

14.3 Quando a cifração ajuda

Priya mapeia onde a cifração favorece a privacidade: o TLS mantém as escolhas de leitura privadas na rede, a cifração do banco de dados protege contra backups roubados e a cifração de ponta a ponta protegeria as mensagens entre leitores e bibliotecários. A cifração não ajuda quando o próprio consórcio usa os dados de forma indevida ou os guarda por tempo demais, e é por isso que os limites de retenção e os logs de acesso importam. Ela recomenda apagar os históricos de empréstimos depois da devolução, a menos que os leitores optem por mantê-los, o que elimina o risco de forma mais eficaz do que qualquer cifra. Grace leva a proposta de exclusão ao conselho para aprovação.

Exemplo resolvido

Priya pseudonimiza os dados de empréstimos com HMAC sob uma chave do consórcio, sinaliza os riscos de reidentificação e recomenda apagar os históricos depois da devolução, por padrão.

Caso sintético. Os dados e o estudo da Tidewell são inventados.

Erros e limites

Dados pseudonimizados muitas vezes podem ser reidentificados. A cifração não impede o uso indevido por quem tem acesso autorizado.

Exercícios

• EX040 — Leitura sensível. Por que o histórico de leitura é especialmente sensível?

  Mostrar critérios de avaliação

  Rubrica: 3 = pode revelar saúde, religião ou posições políticas;; 2 = pessoal;; 1 = não é sensível;; 0 = nenhuma.

• EX041 — Hash sem chave. Por que o hash sem chave dos números dos cartões falha?

  Mostrar critérios de avaliação

  Rubrica: 3 = o formato conhecido permite calcular o hash de todos e comparar;; 2 = adivinhável;; 1 = funciona;; 0 = nenhuma.

• EX042 — Exclusão por padrão. Que padrão Priya recomenda para os históricos de empréstimos?

  Mostrar critérios de avaliação

  Rubrica: 3 = apagar depois da devolução, a menos que os leitores optem por mantê-los;; 2 = apagar;; 1 = manter;; 0 = nenhuma.

Síntese

A privacidade depende da minimização e dos limites de finalidade; a criptografia, como pseudônimos com chave e cifração, apoia esses princípios, mas não pode substituí-los.