Capítulo 29 — Privacidade e proteção de dados: medição
Mapa da aula
Aula 29 publicada. Mapa, exemplo, EX085.
flowchart TD
N0["29.1 Medir a minimização"]
N1["29.2 Agir a partir da medida"]
N2["29.3 Um conjunto de métricas"]
N3["29.4 Métricas sem novo risco"]
N4["Laboratório — Campos coletados versus necessários po"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX085"]
Desenho lógico
flowchart LR
N0["29.1 Medir a minimização"]
N1["29.2 Agir a partir da medida"]
N2["29.3 Um conjunto de métricas"]
N3["29.4 Métricas sem novo risco"]
N4["Laboratório — Campos coletados versus necessários po"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX085"]
[29.1 Medir a minimização]
|
v
[29.2 Agir a partir da medida]
|
v
[29.3 Um conjunto de métricas]
|
v
[29.4 Métricas sem novo risco]
|
v
[Laboratório — Campos coletados versus necessários po]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX085]
Objetivos de aprendizagem
Você vai (1) medir a minimização de dados; (2) definir métricas de privacidade; (3) relatar as métricas sem criar novos riscos.
29.1 Medir a minimização
Zara quer medir se a Pellmore coleta só o que precisa. Ela lista, para cada finalidade, os campos coletados e os campos de fato necessários, combinados com os responsáveis por cada processo. O formulário de agendamento coleta oito campos, mas precisa de cinco; endereço, gênero e ocupação não são necessários. As teleconsultas coletam seis campos, mas precisam de quatro; contatos e localização não são necessários. O boletim informativo coleta quatro campos, mas só precisa do e-mail. No total, 8 dos 18 campos coletados, 44%, não são necessários para sua finalidade, contrariando o princípio da necessidade do art. 6º, III, da LGPD. Removê-los reduz a exposição diretamente.
29.2 Agir a partir da medida
O número da minimização leva a mudanças. Zara remove os campos desnecessários do agendamento, deixa de coletar contatos telefônicos e localização no aplicativo de vídeo e reduz a inscrição no boletim a um endereço de e-mail. Ela planeja medir de novo depois de um ciclo de versões. Também observa que a medida depende do julgamento honesto dos responsáveis sobre a necessidade: um responsável que alegasse que tudo é necessário faria o número parecer bom. Um segundo revisor, o encarregado, confere cada alegação de necessidade com a descrição da finalidade antes que o número seja relatado.
29.3 Um conjunto de métricas
Além da minimização, Zara define um pequeno conjunto de métricas de privacidade: registros que passaram do prazo de retenção, fluxos sem os campos do inventário completos, pedidos de direitos respondidos no prazo, divergências na conciliação do consentimento e anomalias de acesso revisadas em até uma semana. Cada métrica tem definição, fonte de dados, responsável e meta. O NIST Privacy Framework incentiva as organizações a monitorar e revisar o risco de privacidade, e o conjunto de métricas dá à Pellmore um jeito de fazer isso com regularidade. Ela mantém o conjunto pequeno para que as pessoas de fato leiam o relatório mensal.
29.4 Métricas sem novo risco
A medição pode criar novos riscos à privacidade. Um relatório que lista os funcionários com anomalias de acesso poderia estigmatizar pessoas inocentes se fosse amplamente compartilhado. Zara agrega o relatório para a direção e entrega os detalhes nominais só ao investigador. Da mesma forma, as métricas de pedidos de direitos mostram contagens e tempos, não quem fez os pedidos. Ela escreve uma regra curta: as próprias métricas de privacidade devem seguir a minimização de dados. O Prof. Holm chama isso de princípio recursivo da engenharia de privacidade, que aplica aos dados de monitoramento o mesmo cuidado dado aos dados monitorados. Os logs de monitoramento expiram rápido.
Laboratório — Campos coletados versus necessários por finalidade
# Data minimisation: fields collected per purpose versus fields the purpose actually needs.
collected = {"booking": {"name", "dob", "phone", "email", "address", "insurer", "gender", "occupation"},
"video consultation": {"name", "dob", "symptoms", "camera", "location", "contacts"},
"newsletter": {"email", "name", "dob", "postcode"}}
needed = {"booking": {"name", "dob", "phone", "email", "insurer"},
"video consultation": {"name", "dob", "symptoms", "camera"},
"newsletter": {"email"}}
tc = tn = 0
for p in collected:
extra = sorted(collected[p] - needed[p]); tc += len(collected[p]); tn += len(needed[p])
print(f"{p:19s} collected {len(collected[p])} needed {len(needed[p])} excess {extra}")
print(f"overall: {tc - tn} of {tc} collected fields ({(tc - tn)/tc:.0%}) are not needed")
Execute com python3 lab_minimise.py. Saída verificada:
booking collected 8 needed 5 excess ['address', 'gender', 'occupation']
video consultation collected 6 needed 4 excess ['contacts', 'location']
newsletter collected 4 needed 1 excess ['dob', 'name', 'postcode']
overall: 8 of 18 collected fields (44%) are not needed
Exemplo resolvido
Zara descobre que 8 dos 18 campos coletados (44%) não são necessários, remove-os, define cinco métricas de privacidade com responsáveis e metas e agrega os relatórios das métricas para não criar novos riscos.
Caso sintético. Os campos e as finalidades são sintéticos; o NIST Privacy Framework 1.0 e o art. 6º da LGPD são reais.
Erros e limites
A contagem de campos ignora a sensibilidade; um único campo de saúde desnecessário pode pesar mais que três campos de contato.
Exercícios
- EX085 — Resultado da minimização. Que parcela dos campos coletados é desnecessária? Rubrica: 3 = 8 de 18, 44%;; 2 = cerca de quatro em dez;; 1 = errado;; 0 = nenhuma.
- EX086 — Alegações de necessidade. Por que um segundo revisor confere as alegações de necessidade? Rubrica: 3 = os responsáveis podem exagerar a necessidade, fazendo a medida parecer boa;; 2 = menciona viés;; 1 = confia nos responsáveis;; 0 = nenhuma.
- EX087 — Princípio recursivo. O que é o princípio recursivo da engenharia de privacidade? Rubrica: 3 = os dados de monitoramento também devem seguir princípios de privacidade, como a minimização;; 2 = menciona métricas;; 1 = vago;; 0 = nenhuma.
Síntese
O capítulo 29 mede a privacidade. O capítulo 30 verifica controles no primeiro laboratório.
Continue estudando — aula 29 (capítulo 29 de 50)
← Capítulo 28 · Índice das aulas · Capítulo 30 →
Continue para a próxima aula já escrita.