Capítulo 14 — Privacidade e proteção de dados: métodos I
Mapa da aula
Aula 14 publicada. Mapa, exemplo, EX040.
flowchart TD
N0["14.1 O teste"]
N1["14.2 Resultados"]
N2["14.3 Melhoria"]
N3["14.4 Novo teste"]
N4["Laboratório — Completude da exportação de um pedido"]
N0 --> N1 --> N2 --> N3 --> N4
N4 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX040"]
Desenho lógico
flowchart LR
N0["14.1 O teste"]
N1["14.2 Resultados"]
N2["14.3 Melhoria"]
N3["14.4 Novo teste"]
N4["Laboratório — Completude da exportação de um pedido"]
N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX040"]
[14.1 O teste]
|
v
[14.2 Resultados]
|
v
[14.3 Melhoria]
|
v
[14.4 Novo teste]
|
v
[Laboratório — Completude da exportação de um pedido]
|
v
[Exemplo resolvido] --> [Exercício EX040]
Objetivos de aprendizagem
Você vai (1) testar a completude da resposta a um pedido de acesso; (2) encontrar os sistemas esquecidos; (3) melhorar o processo.
14.1 O teste
Aisha testa o processo de pedidos de acesso da Quayside com um aluno sintético. Ela cria um aluno que usa o aplicativo, reserva aulas, conversa com o atendimento, aparece numa entrada do índice do CFTV e recebe marketing. Depois envia um pedido de acesso pelo canal normal e espera a resposta que um aluno real receberia, para ver o processo como os alunos o vivem, e não como a equipe o descreve. A primeira exportação busca no sistema de matrículas, no perfil do aplicativo e nos pagamentos; Aisha a compara com todos os sistemas que guardam dados desse aluno.
14.2 Resultados
O laboratório mostra que a exportação cobriu 47 de 287 registros, 16%, em três de sete sistemas. Ficaram de fora o histórico de treinos, o índice do CFTV, o chat de atendimento e o marketing. O artigo 15 do GDPR, como o art. 18, II, da LGPD, garante acesso a todos os dados pessoais tratados. A equipe buscou nos sistemas que conhecia melhor e esqueceu os outros, porque nenhuma lista dizia onde ficavam os dados dos alunos. O histórico de treinos, o maior conjunto, faltou porque fica num banco separado do aplicativo; o índice do CFTV e as transcrições do chat estavam com fornecedores, a quem ninguém tinha pedido nada.
14.3 Melhoria
Aisha cria, a partir do inventário, uma lista de verificação de sistemas e atribui um responsável a cada busca. As Diretrizes 01/2022 do EDPB ajudam a definir o que precisa ser incluído. A lista traz cada sistema, o método de busca, o responsável, o tempo esperado e as necessidades de ocultação: as imagens de CFTV precisam ter outras pessoas desfocadas, e as transcrições do chat podem citar funcionários. A equipe agora registra quais sistemas foram pesquisados em cada pedido. Esse registro, guardado por dois anos, também mostra à autoridade, se ela perguntar, como a Quayside cumpre sua obrigação.
14.4 Novo teste
Depois das mudanças, um segundo aluno sintético recebe uma resposta que cobre os sete sistemas e chega dentro do prazo de um mês do GDPR; na LGPD, o art. 19, II, fixa quinze dias para a declaração completa. A equipe percebe que as buscas nos fornecedores são as mais demoradas e passa a iniciá-las no primeiro dia. Aisha recomenda repetir o teste duas vezes por ano e sempre que um sistema novo entrar, porque os sistemas novos são o lugar mais provável para as lacunas reaparecerem. O Sr. Reilly observa que testes de ponta a ponta revelam lacunas que os documentos de procedimento escondem.
Laboratório — Completude da exportação de um pedido de acesso
# Access request completeness: which systems hold data for a synthetic member, and which did the first export search?
holding = {"membership": 14, "app profile": 9, "workout history": 220, "CCTV index": 3, "chat support": 6, "marketing": 11, "payments": 24}
searched = {"membership", "app profile", "payments"}
found = sum(v for k, v in holding.items() if k in searched); total = sum(holding.values())
for k, v in holding.items(): print(f"{k:16s} records {v:4d} {'searched' if k in searched else 'MISSED'}")
print(f"first export covered {found} of {total} records ({found/total:.0%}) in {len(searched)} of {len(holding)} systems")
Execute com python3 lab_sar.py. Saída verificada:
membership records 14 searched
app profile records 9 searched
workout history records 220 MISSED
CCTV index records 3 MISSED
chat support records 6 MISSED
marketing records 11 MISSED
payments records 24 searched
first export covered 47 of 287 records (16%) in 3 of 7 systems
Exemplo resolvido
Aisha descobre que a primeira exportação cobriu 47 de 287 registros (16%) em três de sete sistemas, acrescenta uma lista de verificação baseada no inventário e confirma a cobertura completa no novo teste.
Caso sintético. O aluno é sintético; o artigo 15 do GDPR, os arts. 18 e 19 da LGPD e as Diretrizes 01/2022 do EDPB são reais.
Erros e limites
As imagens de CFTV exigem a ocultação de outras pessoas antes da entrega.
Exercícios
- EX040 — Cobertura. Que parcela dos registros a primeira exportação cobriu? Rubrica: 3 = 47 de 287, 16%;; 2 = aproximadamente;; 1 = errada;; 0 = nenhuma.
- EX041 — Sistemas esquecidos. Cite dois sistemas esquecidos. Rubrica: 3 = histórico de treinos, índice do CFTV, chat de atendimento, marketing;; 2 = um;; 1 = vago;; 0 = nenhuma.
- EX042 — Correção. O que fechou a lacuna? Rubrica: 3 = lista de verificação baseada no inventário, com responsáveis pelas buscas;; 2 = menciona lista;; 1 = vago;; 0 = nenhuma.
Continue estudando — aula 14 (capítulo 14 de 30)
← Capítulo 13 · Índice das aulas · Capítulo 15 →
Continue para a próxima aula já escrita.