Capítulo 28 — Privacidade e proteção de dados: implementação I
Mapa da aula
Aula 28 publicada. Mapa, exemplo, EX082.
flowchart TD
N0["28.1 Marcações de finalidade no esquema"]
N1["28.2 Propagação do consentimento"]
N2["28.3 Implantação segura"]
N3["28.4 Documentação como código"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4
N4 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX082"]
Desenho lógico
flowchart LR
N0["28.1 Marcações de finalidade no esquema"]
N1["28.2 Propagação do consentimento"]
N2["28.3 Implantação segura"]
N3["28.4 Documentação como código"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX082"]
[28.1 Marcações de finalidade no esquema]
|
v
[28.2 Propagação do consentimento]
|
v
[28.3 Implantação segura]
|
v
[28.4 Documentação como código]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX082]
Objetivos de aprendizagem
Você vai (1) implementar marcações de finalidade e verificações de acesso; (2) implementar a propagação do consentimento; (3) implantar mudanças com segurança.
28.1 Marcações de finalidade no esquema
Zara implementa marcações de finalidade no esquema do banco de dados da Pellmore. Cada coluna carrega metadados que listam as finalidades autorizadas a lê-la. A biblioteca de acesso do Capítulo 9 confere a finalidade declarada por quem chama com as marcações antes de devolver os dados. Ela migra as marcações aos poucos, começando pelas tabelas clínicas. Durante a migração, qualquer leitura de uma coluna sem marcação é registrada como aviso, em vez de bloqueada, para que a equipe encontre as marcações que faltam sem derrubar o serviço. Depois de duas semanas os avisos param, e a verificação passa para o modo de bloqueio.
28.2 Propagação do consentimento
O serviço de consentimento publica eventos quando um paciente dá ou revoga o consentimento. Os sistemas a jusante, como a plataforma de e-mail e a extração para pesquisa, assinam esses eventos e atualizam seus registros. Zara implementa tratadores idempotentes, para que eventos repetidos não causem dano, e uma conciliação diária que compara o estado de consentimento de cada sistema com o registro central. A conciliação descobre que a plataforma de e-mail perdeu revogações durante uma queda de rede. Ela corrige o tratador para tentar de novo e acrescenta um alerta, mostrando por que sistemas de eventos precisam de uma verificação que não dependa dos próprios eventos.
28.3 Implantação segura
Mudanças de privacidade podem quebrar serviços. Zara implanta atrás de feature flags, ativando as novas verificações primeiro para um pequeno grupo de contas internas de teste, depois para uma clínica e, por fim, para todas. Ela monitora os erros e as negativas de acesso em cada etapa. A ferramenta de relatórios de uma clínica falha porque lia uma coluna sem finalidade. A equipe acrescenta a finalidade e segue adiante. Ela registra o incidente e a correção. A implantação gradual, observa, permite que os controles de privacidade sejam rigorosos sem se tornarem o motivo de uma clínica não conseguir trabalhar numa manhã movimentada.
28.4 Documentação como código
Zara mantém as marcações de finalidade, os prazos de retenção e as finalidades de consentimento em arquivos de configuração sob controle de versão. As mudanças passam por revisão de código com as perguntas de privacidade do Capítulo 14. O registro das operações de tratamento é gerado em parte a partir desses arquivos, de modo que continua alinhado ao sistema. Ela explica que a documentação gerada a partir da configuração é mais confiável que documentos escritos à parte, porque muda quando o sistema muda. O encarregado da Pellmore aprova a abordagem, porque ela dá uma visão atualizada do tratamento sem pedir que os engenheiros escrevam relatórios à mão.
Exemplo resolvido
Zara implementa as marcações de finalidade com uma migração que primeiro avisa e depois bloqueia, eventos de consentimento com uma conciliação que pega revogações perdidas, implantação gradual com flags e registros de tratamento gerados a partir da configuração.
Caso sintético. Os detalhes de implementação são sintéticos.
Erros e limites
A documentação gerada cobre só o que está configurado; os processos manuais ainda precisam ser descritos.
Exercícios
- EX082 — Avisar e depois bloquear. Por que registrar avisos antes de bloquear leituras sem marcação? Rubrica: 3 = para encontrar as marcações que faltam sem derrubar o serviço;; 2 = menciona segurança;; 1 = bloquear de imediato;; 0 = nenhuma.
- EX083 — O que a conciliação pegou. O que a conciliação de consentimento descobriu? Rubrica: 3 = a plataforma de e-mail perdeu revogações durante uma queda;; 2 = menciona e-mail;; 1 = vago;; 0 = nenhuma.
- EX084 — Registros gerados. Por que gerar o registro das operações a partir da configuração? Rubrica: 3 = ele continua alinhado ao sistema à medida que este muda;; 2 = menciona exatidão;; 1 = o manual é melhor;; 0 = nenhuma.
Síntese
O capítulo 28 implementa controles. O capítulo 29 os mede.
Continue estudando — aula 28 (capítulo 28 de 50)
← Capítulo 27 · Índice das aulas · Capítulo 29 →
Continue para a próxima aula já escrita.