O que privacidade-de-dados faz?
Filosofia Central
A conformidade com a privacidade de dados (GDPR na Europa, CCPA/CPRA na Califórnia, LGPD no Brasil) não é um aviso legal estático copiado e colado no rodapé de um site. Privacidade é uma arquitetura de engenharia. Regulamentações modernas impõem princípios rigorosos: privacidade desde a concepção, minimização de dados, justificativa de base legal, atendimento automatizado de Solicitações de Titulares de Dados (DSAR) em até 30 dias e notificação obrigatória de violação em 72 horas. Violar a privacidade de dados acarreta multas estatutárias que chegam a 4% do faturamento anual global ou US$ 20 milhões sob o GDPR.
Arquitetura Técnica de Privacidade de Dados em 4 Etapas
Etapa 1: Inventário de Dados e Registro de Atividades de Processamento (ROPA / Art. 30)
- O Mapa Abrangente de Fluxo de Dados:
- Rastreie cada elemento de dado pessoal em todo o seu ciclo de vida (Coleta -> Armazenamento -> Processamento -> Compartilhamento -> Destruição).
- Documente: Categorias de dados (PII, endereço IP, dados financeiros, sensíveis), Titulares dos dados (clientes, funcionários), Local de armazenamento (AWS us-east-1), Período de retenção, Subprocessadores (Stripe, PostHog, AWS).
- Base Legal para o Processamento (GDPR Art. 6):
- Identifique a base legal para cada fluxo de processamento: Necessidade Contratual, Obrigação Legal, Interesse Legítimo (com Avaliação de Interesse Legítimo - LIA documentada) ou Consentimento Explícito.
Etapa 2: Gerenciamento de Consentimento e Governança de Cookies (ePrivacy)
- Mandato de Consentimento Prévio na UE:
- Cookies de rastreamento, análise e marketing nunca devem ser disparados antes do consentimento afirmativo (opt-in) do usuário.
- Caixas de seleção pré-marcadas e paredes de cookies (bloqueando o acesso a menos que o consentimento seja dado) são legalmente inválidas de acordo com as diretrizes do EDPB.
- Categorias Granulares de Consentimento:
- Estritamente Necessários (Sempre ativos).
- Análise / Desempenho (Opt-in obrigatório).
- Publicidade / Marketing (Opt-in obrigatório).
Etapa 3: Pipeline Automatizado de Solicitação de Titular de Dados (DSAR)
- Atendimento de Direitos Estatutários (Em até 30 Dias Corridos):
- Direito de Acesso / Portabilidade: Forneça ao usuário todos os dados pessoais armazenados em um formato estruturado e legível por máquina (JSON/CSV).
- Direito ao Apagamento ("Direito ao Esquecimento"): Exclua o PII do usuário em bancos de dados primários, logs, backups e sistemas de subprocessadores.
- O Protocolo de Engenharia de "Exclusão Definitiva":
- Execute apagamento criptográfico ou anonimização de registros de banco de dados relacionais (
user_id -> hash). - Retenha estritamente o que é legalmente exigido para auditorias financeiras/fiscais (por exemplo, registros de fatura de 7 anos) com o PII redigido.
- Execute apagamento criptográfico ou anonimização de registros de banco de dados relacionais (
Etapa 4: Gerenciamento de Subprocessadores e Resposta a Violações em 72 Horas
- Acordos de Processamento de Dados (DPAs) e Transferências Internacionais:
- Execute DPAs assinados com todos os fornecedores terceiros contendo Cláusulas Contratuais Padrão da UE (SCCs) e Aditivos do Reino Unido.
- O Protocolo de Resposta a Incidentes em 72 Horas:
- Se ocorrer uma violação de dados pessoais, notifique a Autoridade de Supervisão Principal (DPA) dentro de 72 horas após tomar conhecimento da violação, de acordo com o GDPR Art. 33.
- Se houver alto risco para os indivíduos: Notifique os titulares dos dados afetados sem demora injustificada.
Formato de Entrega: Especificação de Arquitetura de Privacidade de Dados e ROPA (PRIVACY-SPEC.md)
# Arquitetura de Privacidade de Dados e Registro ROPA: [Nome do Produto]
## 1. Registro de Atividades de Processamento (ROPA - GDPR Art. 30)
| Atividade de Processamento | Categorias de Dados Pessoais | Titulares dos Dados | Base Legal | Local de Armazenamento | Limite de Retenção |
|---|---|---|---|---|---|
| Autenticação de Usuário | Email, Senha Hash, IP | Usuários Registrados | Necessidade Contratual | Postgres (AWS Dublin) | Vida da Conta + 30 Dias |
| Processamento de Pagamento | Endereço de Cobrança, Últimos 4 dígitos do cartão | Clientes Pagantes | Obrigação Legal / Contrato | Stripe Inc. (EUA) | 7 Anos (Lei Fiscal) |
| Análise de Produto | ID de Usuário Anonimizado, Eventos de clique | Visitantes da Web | Consentimento (Opt-in) | PostHog (Nuvem UE) | 12 Meses |
## 2. Relação de Subprocessadores e Mecanismos de Transferência
- **Stripe, Inc.**: Infraestrutura de pagamentos | DPA + Cláusulas Contratuais Padrão da UE (SCCs)
- **Amazon Web Services (AWS EMEA)**: Hospedagem em nuvem | DPA + certificação ISO 27001
## 3. Protocolo de Exclusão Automatizada de DSAR (`DELETE /api/v1/user/dsar`)
1. Invalide a sessão ativa do usuário e os tokens de autenticação.
2. Embaralhe o PII na tabela `users`: `email = anonymized_${uuid}@deleted.local`.
3. Envie um webhook para Stripe e PostHog para acionar a exclusão downstream.
4. Retorne 200 OK com recibo de confirmação ao titular dos dados.
## 4. Escalonamento de Notificação de Violação em 72 Horas
- DPA Líder: Comissão Irlandesa de Proteção de Dados (DPC)
- Equipe de Escalonamento: Consultor Jurídico Geral, CISO, CTO
- Template de Notificação de Emergência: `legal/templates/breach-notification-dpa.md`
Exemplo Prático: Pipeline Automatizado de Direito ao Esquecimento
- Desafio: Usuário invocou solicitação de exclusão ao abrigo do GDPR Art. 17. A engenharia enfrentou exclusão manual em 8 bancos de dados e 4 ferramentas SaaS de terceiros.
- Solução: Construiu um worker DSAR assíncrono automatizado no AWS Lambda. Após solicitação verificada, o worker transformou exclusões suaves em anonimização criptográfica definitiva e enviou webhooks de exclusão automatizados para Stripe e Segment.
- Resultado: O tempo de resposta do DSAR caiu de 14 dias de engenharia manual para 90 segundos automatizados; trilha de auditoria de conformidade completa gerada.
Lista de Verificação
- O Registro de Atividades de Processamento (ROPA) documenta todos os fluxos de dados pessoais e bases legais.
- Banners de consentimento de cookies exigem opt-in afirmativo antes de disparar rastreadores de análise ou anúncios na UE.
- Endpoints automatizados de exportação e exclusão DSAR funcionam e atendem às solicitações em até 30 dias.
- Acordos de Processamento de Dados (DPAs) assinados com SCCs são executados para todos os subprocessadores terceiros.
- O procedimento de notificação estatutária de violação em 72 horas está documentado e testado com a liderança.
Anti-Padrões
- Banners de Cookies Pré-Marcados: Assumir consentimento implícito ou usar padrões escuros enganosos que violam as decisões do EDPB.
- Ignorar a Exclusão de Subprocessadores: Excluir o usuário do banco de dados local, mas deixar seu PII bruto no CRM e nas ferramentas de análise.
- Ocultar Incidentes de Violação: Esperar 3 meses para notificar os reguladores sobre um vazamento de dados, acionando as penalidades estatutárias máximas.