Capítulo 32 — Privacidade e proteção de dados: confiabilidade

Mapa da aula

Aula 32 publicada. Mapa, exemplo, EX094.

flowchart TD
  N0["32.1 A eliminação como sistema em série"]
  N1["32.2 Novas tentativas"]
  N2["32.3 Falhas persistentes"]
  N3["32.4 A hipótese de independência"]
  N4["Laboratório — Confiabilidade da eliminação em cinco"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX094"]

Desenho lógico

flowchart LR
  N0["32.1 A eliminação como sistema em série"]
  N1["32.2 Novas tentativas"]
  N2["32.3 Falhas persistentes"]
  N3["32.4 A hipótese de independência"]
  N4["Laboratório — Confiabilidade da eliminação em cinco"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX094"]

[32.1 A eliminação como sistema em série]
    |
    v
[32.2 Novas tentativas]
    |
    v
[32.3 Falhas persistentes]
    |
    v
[32.4 A hipótese de independência]
    |
    v
[Laboratório — Confiabilidade da eliminação em cinco]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX094]

Objetivos de aprendizagem

Você vai (1) calcular a confiabilidade de uma eliminação em vários armazenamentos; (2) melhorar a confiabilidade com novas tentativas; (3) relacionar a confiabilidade ao cumprimento dos direitos.

32.1 A eliminação como sistema em série

A eliminação só é bem-sucedida se todos os armazenamentos excluírem os dados. Em termos de confiabilidade, os armazenamentos formam um sistema em série: a probabilidade de eliminação completa é o produto das probabilidades de sucesso de cada armazenamento. Zara estima pelos logs as taxas de sucesso na primeira tentativa: banco de agendamentos 0,995, prontuários 0,99, arquivo de vídeo 0,95, análise 0,90 e a marcação de exclusão nos backups 0,98. A multiplicação dá 0,825, então cerca de um pedido em seis deixaria dados em algum lugar na primeira tentativa. Ela apresenta isso como um problema de confiabilidade, e não como uma tecnicalidade jurídica. Cada sistema a mais multiplica a chance de falha, então reduzir as cópias melhora a confiabilidade tanto quanto corrigir qualquer exclusão isolada.

32.2 Novas tentativas

Muitas falhas são transitórias: tempos limite estourados, bloqueios, erros temporários de rede. Zara acrescenta uma nova tentativa automática por armazenamento. Se as falhas forem independentes, a probabilidade de um armazenamento falhar duas vezes é o quadrado de sua probabilidade de falha. Com uma nova tentativa, a probabilidade geral de eliminação completa sobe para 0,987. As eliminações incompletas esperadas por mil pedidos caem de 175 para 13. O laboratório confirma o cálculo. Ela observa que as falhas restantes tendem a ser problemas persistentes, que novas tentativas não resolvem e que exigem alertas. As falhas persistentes precisam de acompanhamento humano.

32.3 Falhas persistentes

Para as falhas restantes, Zara acrescenta uma fila de mensagens mortas: os pedidos que falham depois da nova tentativa são encaminhados a um operador com os detalhes do armazenamento que falhou. O operador investiga e conclui a exclusão manualmente, registrando o resultado. Ela fixa a meta de resolver todos esses casos em até sete dias, bem dentro do prazo de resposta de um mês do artigo 12(3). O projeto transforma uma falha silenciosa em uma tarefa visível, o que importa porque uma eliminação que falha em silêncio é pior que uma eliminação lenta: o paciente acredita que os dados sumiram.

32.4 A hipótese de independência

O cálculo das novas tentativas supõe falhas independentes, mas as falhas podem ser correlacionadas: se o armazenamento de análise estiver fora do ar, todos os pedidos falham ali ao mesmo tempo. Zara acrescenta monitoramento da disponibilidade dos armazenamentos e pausa a eliminação em um armazenamento durante uma queda, retomando depois. Ela também testa o sistema sob quedas simuladas. O Prof. Holm explica que a engenharia de confiabilidade aplicada à privacidade usa as mesmas ferramentas da segurança operacional: modelos em série e em paralelo, verificação da independência e injeção de falhas, e que os direitos garantidos em lei dependem desses detalhes técnicos. Ela testa as dependências compartilhadas.

Laboratório — Confiabilidade da eliminação em cinco armazenamentos

# Erasure must reach five stores; each deletion job succeeds with its own probability. Effect of one retry.
stores = {"booking DB": 0.995, "records": 0.99, "video archive": 0.95, "analytics": 0.90, "backups (flag)": 0.98}
p1 = p2 = 1.0
for s, p in stores.items():
    p1 *= p; p2 *= 1 - (1 - p) ** 2
print(f"all five complete on first attempt: {p1:.3f}")
print(f"with one automatic retry per store:  {p2:.3f}")
print(f"expected incomplete erasures per 1,000 requests: {1000*(1-p1):.0f} -> {1000*(1-p2):.0f}")

Execute com python3 lab_erasure.py. Saída verificada:

all five complete on first attempt: 0.825
with one automatic retry per store:  0.987
expected incomplete erasures per 1,000 requests: 175 -> 13

Exemplo resolvido

Zara modela a eliminação como um sistema em série com 0,825 de sucesso na primeira tentativa, eleva esse valor para 0,987 com uma nova tentativa (de 175 para 13 incompletas por 1.000), encaminha as falhas persistentes a operadores e se protege contra quedas correlacionadas.

Caso sintético. As taxas de sucesso são sintéticas; o artigo 12(3) do GDPR é real.

Erros e limites

Os logs podem superestimar o sucesso se as confirmações não forem conferidas; verifique a exclusão lendo os dados de volta.

Exercícios

• EX094 — Confiabilidade em série. Por que a eliminação completa é um sistema em série?
  Mostrar critérios de avaliação

  Rubrica: 3 = só tem sucesso se todos os armazenamentos excluírem, então as probabilidades se multiplicam;; 2 = menciona todos os armazenamentos;; 1 = em paralelo;; 0 = nenhuma.
• EX095 — Efeito da nova tentativa. Como mudam as eliminações incompletas esperadas com uma nova tentativa?
  Mostrar critérios de avaliação

  Rubrica: 3 = de 175 para 13 por 1.000;; 2 = só a direção;; 1 = errado;; 0 = nenhuma.
• EX096 — Falha silenciosa. Por que uma falha silenciosa de eliminação é pior que uma lenta?
  Mostrar critérios de avaliação

  Rubrica: 3 = o paciente acredita que os dados sumiram quando não sumiram;; 2 = menciona confiança;; 1 = são iguais;; 0 = nenhuma.

Síntese

O capítulo 32 faz a engenharia de uma eliminação confiável. O capítulo 33 trata de segurança física e resiliência.