Capítulo 14 — Fundamentos de privacidade
Mapa da aula
Aula 14 publicada. Mapa, exemplo, EX040.
flowchart TD
N0["14.1 Princípios"]
N1["14.2 Minimização na prática"]
N2["14.3 Terceiros"]
N3["14.4 Comunicação"]
N4["14.5 Acesso aos dados do caso"]
N5["14.6 Ocultação de dados"]
N6["14.7 Privacidade desde a concepção"]
N7["Solicitações dos titulares"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX040"]
Desenho lógico
flowchart LR
N0["14.1 Princípios"]
N1["14.2 Minimização na prática"]
N2["14.3 Terceiros"]
N3["14.4 Comunicação"]
N4["14.5 Acesso aos dados do caso"]
N5["14.6 Ocultação de dados"]
N6["14.7 Privacidade desde a concepção"]
N7["Solicitações dos titulares"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX040"]
[14.1 Princípios]
|
v
[14.2 Minimização na prática]
|
v
[14.3 Terceiros]
|
v
[14.4 Comunicação]
|
v
[14.5 Acesso aos dados do caso]
|
v
[14.6 Ocultação de dados]
|
v
[14.7 Privacidade desde a concepção]
|
v
[Solicitações dos titulares]
|
v
[Exemplo resolvido] --> [Exercício EX040]
Objetivos de aprendizagem
Você vai (1) aplicar princípios de privacidade às investigações; (2) minimizar os dados coletados; (3) proteger as informações de terceiros; (4) equilibrar as necessidades da investigação e os direitos das pessoas.
14.1 Princípios
Os princípios comuns de privacidade incluem base legal, limitação da finalidade, minimização dos dados, exatidão, limitação da conservação e segurança. As leis de proteção de dados de muitos países os expressam como deveres legais. No Brasil, a Lei Geral de Proteção de Dados Pessoais (LGPD, Lei nº 13.709/2018) os enuncia em seu artigo 6º, e a Autoridade Nacional de Proteção de Dados (ANPD) fiscaliza seu cumprimento. Cada princípio molda o trabalho pericial. A limitação da finalidade significa que os dados coletados para a investigação do phishing são usados apenas para esse fim. A minimização significa coletar o que a pergunta exige. A limitação da conservação significa que os dados do caso são apagados quando deixam de ser necessários. O exemplo seguinte mostra como a minimização se aplicou no caso da ws-114, em que o pedido da secretaria acadêmica a pôs à prova.
14.2 Minimização na prática
No caso da ws-114, a equipe precisa da imagem da estação, dos registros relevantes e dos registros de entrada de s.kaur — não de toda a caixa de correio dela. Quando imagens completas são coletadas, a análise continua limitada ao que responde à pergunta. Os limites da análise são registrados como qualquer outra decisão, para que um revisor veja o que foi examinado e o que não foi. O pedido da secretaria acadêmica pela caixa de correio inteira, recusado no exemplo resolvido, mostra o princípio sob pressão: o resumo respondeu à pergunta real com uma fração dos dados pessoais. Manter a imagem completa, mas limitar a análise, também evita ter de coletar de novo se surgir uma pergunta nova.
14.3 Terceiros
A regra de encaminhamento da caixa de correio enviou para fora mensagens de outras pessoas. Os dados delas fazem parte do incidente; o laudo menciona a escala (a contagem de mensagens encaminhadas) sem citar o conteúdo sem necessidade. As pessoas cujas mensagens foram encaminhadas não fizeram nada de errado, mas seus dados saíram da universidade. Relatar a contagem, o intervalo de datas e os domínios dos destinatários permite que o escritório de segurança avalie o impacto e decida sobre a comunicação sem expor o conteúdo das mensagens a mais leitores. Se o conteúdo precisar ser revisado, por exemplo para identificar dados sensíveis, um pequeno grupo autorizado faz isso.
14.4 Comunicação
Violações de dados que envolvam dados pessoais podem exigir, conforme a lei, a comunicação a autoridades reguladoras ou às pessoas afetadas dentro de prazos definidos. Os achados periciais — que dados saíram e quando — informam essas decisões. No Brasil, o artigo 48 da LGPD obriga o controlador a comunicar à ANPD e aos titulares o incidente de segurança que possa acarretar risco ou dano relevante. A linha do tempo pericial fornece as datas de que dependem as decisões de comunicação: quando a regra de encaminhamento foi criada, quando foi removida e quantas mensagens enviou. A incerteza desses números é declarada, porque as autoridades podem perguntar como eles foram obtidos. O papel de Leah é fornecer fatos exatos, enquanto a decisão de comunicar ou não cabe ao encarregado de proteção de dados e aos assessores jurídicos.
14.5 Acesso aos dados do caso
Só os investigadores designados para o caso podem acessá-lo; os acessos são registrados. Os registros de acesso permitem à universidade mostrar quem viu dados pessoais e quando, o que importa se a investigação for contestada depois. Um colega curioso sobre o caso, mas não designado para ele, não tem acesso, nem mesmo dentro do escritório de segurança. Ao fim do caso, os acessos são removidos, e os dados são mantidos ou apagados conforme a tabela de retenção, e a própria exclusão é registrada com a data e a pessoa que a realizou.
14.6 Ocultação de dados
Os laudos compartilhados fora da equipe ocultam os dados pessoais de que o leitor não precisa. Por exemplo, o resumo para a secretaria acadêmica informa o número de mensagens encaminhadas e os domínios dos destinatários, e não nomes ou assuntos. A ocultação é conferida por uma segunda pessoa, porque é fácil deixar passar um nome num laudo longo. Leah guarda a versão sem ocultações na pasta do caso, para que a evidência completa continue disponível a quem tem direito de vê-la, sob os mesmos controles de acesso do resto do caso.
14.7 Privacidade desde a concepção
Os sistemas de registro podem ser projetados para coletar o que as investigações exigem, evitando conteúdo pessoal desnecessário. No caso da ws-114, registrar quais hosts foram contatados e quando foi suficiente para rastrear o phishing sem gravar o conteúdo das páginas. Registros de proxy que guardassem URLs completos, com as strings de consulta, teriam capturado mais dados pessoais do que o necessário, como termos de busca. Escolher os campos na fase de projeto é mais fácil do que ocultá-los depois e reduz o que um atacante poderia roubar do repositório de registros. O proxy de Harrowgate registra nomes de host e tamanhos, não URLs completos.
Solicitações dos titulares
As pessoas podem ter o direito de perguntar quais dados uma organização mantém sobre elas. Os registros de investigação podem estar sujeitos a essas solicitações, com exceções legais em alguns casos. Leah observa que registros claros e factuais tornam a resposta mais fácil e mais justa, e que o encarregado de proteção de dados da universidade decide como as solicitações são tratadas.
Exemplo resolvido
A secretaria acadêmica pede uma cópia da caixa de correio inteira de s.kaur "para entender o incidente". Grace recusa e oferece um resumo: o número de mensagens encaminhadas, as datas e os domínios dos destinatários. Isso responde à pergunta da secretaria com menos dados pessoais.
Caso sintético. O pedido é inventado.
Erros e limites
A minimização não pode esconder evidências necessárias para responder à pergunta; justifique tanto o que é coletado quanto o que fica de fora.
Exercícios
- EX040 — Conjunto mínimo. De que dados o caso da ws-114 precisa? Rubrica: 3 = imagem da estação, registros relevantes, registros de entrada; não a caixa de correio inteira; 2 = parcial; 1 = tudo; 0 = nada.
- EX041 — Pedido da secretaria. Como foi tratado o pedido da caixa de correio? Rubrica: 3 = recusado; resumo com contagens, datas, domínios; 2 = parcial; 1 = entregue; 0 = nada.
- EX042 — Papel na comunicação. Como os achados periciais informam a comunicação de violações? Rubrica: 3 = estabelecem que dados saíram e quando; 2 = parcial; 1 = vago; 0 = nada.
Síntese
Colete e compartilhe apenas o que a pergunta autorizada exige, e deixe que os achados orientem os deveres legais de comunicação.
Continue estudando — capítulo 14 de 40
← Capítulo 13 (rascunho) · Índice de capítulos do curso · Capítulo 15 (rascunho) →