Digamos que exista um pequeno formulário no site da sua empresa que seus clientes devem preencher para se inscrever e receber notícias. Para isso, eles devem fornecer seus nomes e endereço de e-mail. Um certo dia, você escuta de alguns colegas do departamento de marketing que algo será adicionado aos e-mails que esses clientes inscritos recebem: avisos de promoções em produtos de companhias parceiras.
Seus alarmes de proteção de dados estão disparando? Deveriam estar, mas se não estão, você não está sozinho. A limitação da finalidade é um princípio da segurança de dados que muitos ainda não conhecem. Mas entendê-lo irá te ajudar a reduzir riscos à segurança e privacidade de dados, além de mostrar aos seus consumidores que você respeita os dados deles.
O que é limitação da finalidade?
A limitação da finalidade possui duas partes. Primeiro, quando você recebe informações pessoais de alguém, sua empresa deve ser clara sobre como essa informação será utilizada desde o princípio. E em segundo lugar: você não pode usar essa informação para nenhuma outra finalidade. Muitas das regulamentações de proteção de dados ao redor do mundo possuem alguns requisitos de limitação da finalidade, particularmente a Regulamento Geral sobre a Proteção de Dados da União Europeia (General Data Protection Regulation ou GDPR, em inglês). De acordo com a GDPR, as organizações devem documentar as finalidades dos dados e especificá-las em seus relatórios de privacidade de informação.
MANTENHA-SE ATUALIZADO SOBRE A PROTEÇÃO DE DADOS
Secure Futures Kaspersky
A jovem mulher, o capelão e o hospital
Alguns instrutores de privacidade contam uma história sobre uma jovem mulher que teve que preencher um formulário quando ela foi internada em um hospital. Uma pergunta desse formulário era sobre sua religião. Talvez essa informação fosse importante para o tratamento e ela já havia visto esse tipo de pergunta em outros formulários, então ela respondeu à pergunta sobre religião prontamente, como sempre havia feito.
Por que essa pergunta? Esse hospital usa essa informação para avisar ao capelão do hospital que há um paciente que talvez queira uma visita, mas não avisam o paciente disso.
Como o mundo é pequeno, coincidências acontecem: o capelão do hospital era amigo da família da jovem mulher. Ela, que não é casada, está no hospital por causa de um problema relacionado à sua gravidez. Sua família não sabe que ela está gravida e ela não quer que eles saibam. Agora, a jovem mulher e o capelão estão em uma situação desconfortável.
Não considerando a violação da regulamentação do uso de dados, alguns dirão que a mulher é livre para escolher se quer, ou não, compartilhar essa informação, então os resultados são de sua responsabilidade. Por outro lado, a confiança que os pacientes têm no hospital é crucial para que este possa atingir seus objetivos: ajudar os pacientes a melhorarem.
Existe um princípio da privacidade de dados: qualquer organização que recebe informações pessoais, seja para ganhar dinheiro ou para ajudar pessoas a salvar o mundo, precisa ser confiável para ser efetiva.
Será que essas organizações estão à altura da confiança que os consumidores depositam nelas?
A reciclagem de dados acontece frequentemente
Vários casos que surpreenderam consumidores envolvendo a maneira como empresas usaram ou venderam seus dados têm se tornado pautas de jornais recentemente. Um exemplo é de um aplicativo de acompanhamento do ciclo menstrual, que fornecia dados de consumidores ao Facebook. Esses dados eram usados para fazer propaganda de produtos para mulheres gestantes. Uma usuária do app começou a receber propagandas desse tipo de produtos como se estivesse grávida, sendo que ela somente havia esquecido de atualizar seus dados no app durante um tempo. É fácil entender como essa forma de se utilizar de informações sensíveis pode prejudicar emocionalmente alguns consumidores.
Em 2017, a Comissão Federal de Comércio dos EUA registrou uma queixa fora dos tribunais contra a Uber. Parte da queixa tratava de que alguns funcionários da empresa usaram uma função chamada “Good View” para rastrear as movimentações de políticos e celebridades e até de ex-namorados. Embora a Uber tenha sancionado esses abusos, nenhum processo foi criado para prevenir esse tipo de ações efetivamente.
Quando são pegas reciclando informações, as empresas muitas vezes dizem: “não era nossa intenção”. Pode ser até verdade, mas isso continua acontecendo.
Será que as empresas, e seus funcionários, entendem quais são suas responsabilidades em limitar como usam os dados dos consumidores?
É permitida a reciclagem de dados pessoais? O que dizem as leis.
A GDPR quer que a limitação da finalidade seja um princípio fundamental da proteção de dados. A seção 1B do artigo 5 da norma destaca como os dados pessoais devem ser coletados somente quando o seu uso é especificado explicitamente. Os dados não podem ser usados de outras formas que não condizem com seu proposito original. Existem algumas exceções para usos históricos, científicos e estatísticos, e “se os interesses legítimos desse controlador ou de terceiros se sobrepõe aos interesses da pessoa em questão”
A Comissão Europeia oferece orientações para ajudar organizações a saber se o que planejam fazer com os dados é consistente, ou não, com seu propósito. Eles sugerem, por exemplo, considerar se os dados são sensíveis (incluem informações de saúde, preferencias políticas e mais) e como continuar usando essas informações pode afetar a pessoa que as forneceu.
Enquanto as penalidades por infringir o princípio de limitações de finalidade ainda não são muito severas, uma grande quantidade de processos tem sido abertos, prejudicando a reputação de certas empresas. A autoridade de proteção de dados da Noruega, por exemplo, multou a Administração de Vias Públicas do país em cerca de 50 mil dólares por utilizar câmeras de “segurança” para monitorar o trabalho dos funcionários. Mas infringir esse princípio apenas com os dados de um consumidor não significa que as multas serão menores: autoridades espanholas multaram o banco Bankia em cerca de 50 mil dólares por possuir e reutilizar dados de um consumidor 16 anos após ele deixar de ser cliente do banco.
Isso porque ao considerar quem multar, os reguladores penalizam não pela violação do princípio, mas sim, pelas consequências. Por exemplo, se as companhias não seguirem os processos de limitação da finalidade de dados, elas podem estar infringindo outros requisitos da GDPR, tais como ter uma razão legitima para processar aqueles dados.
Não é só a Europa que estabeleceu a limitação da finalidade nas leis de dados. A California adicionou em 2018 a cláusula de limitação da finalidade ao California Consumer Privacy Act (CCPA), a nova lei da privacidade de dados do estado. A cláusula estabelece que as empresas devem, antes de coletar informações pessoais, informar seus consumidores sobre como essa informação será usada e que precisam ter o consentimento desses consumidores para usar os dados em outra finalidade.
O que fazem as empresas para respeitar as obrigações da limitação da finalidade?
“Cada empresa processa diferentes tipos de dados pessoais, de diferentes formas, com propósitos diferentes”, afirma Alexey Testsov, Head de Proteção de Dados e Privacidade da Kaspersky na Europa. A GDPR obriga os controladores e processadores de dados a manter registros de quais dados a empresa está coletando, do porquê estão coletando e até quando irão armazenar esses dados. Juntamente com a auditoria e o mapeamento dos dados, esses registros são essenciais para que as responsabilidades em relação à limitação da finalidade sejam respeitadas.
“Os funcionários devem saber como coletar, armazenar e utilizar dados pessoais sem infringir a legislação. Dados os altos riscos do processamento de dados, é melhor discutir mudanças no processamento com um responsável pela segurança ou com o departamento jurídico da empresa. Os funcionários devem saber como consultar os especialistas internos da empresa sem ter medo de fazer isso”, completa Testsov.
Aqui estão dois exemplos de problemas identificados que podem levar a falhas no controle de finalidade de uso de dados:
Sistemas que mantem os dados separados
Proteções eficientes contra o uso indevido de dados podem ter evitado recentemente alguns casos de reciclagem de dados. No Reino unido, o Gabinete de Comissários da Informação (do inglês, Information Commissioners’ Office ou ICO) multou recentemente uma empresa de campanhas políticas e uma seguradora em 120 mil libras cada. O ICO descobriu que informações pessoais coletadas durante a campanha política foram usadas para fazer propagandas de seguros, evidenciando falhas nos sistemas de proteção de dados das duas empresas. “Os sistemas que separam os dados pessoais de clientes de seguradoras dos dados coletados de inscritos políticos foram ineficazes”, afirma o relatório do ICO.
Controladores e processadores de dados devem ter em mente que avanços adicionais nos softwares podem causar mudanças na forma como os dados são utilizados. Isso é conhecido como “function creep”, quando o uso de uma tecnologia ou sistema vai além da finalidade para qual foi originalmente destinada, especialmente quando isso leva a uma potencial invasão de privacidade.
Hunter Nelson, Presidente da Tortoise and Hare Software, diz que desenvolvedores de softwares devem entender os potenciais impactos à privacidade causados pelo “function creep”: “Controladores e processadores devem ter cuidado ao desenvolver sistemas para não infringir leis de privacidade quando novas funções são lançadas. Um processo de checagem deve ser incluído nos lançamentos para revisar essas novas funções, com o intuito de se preservar a privacidade“, aconselha Nelson.
Independentemente das legislações de privacidades vigentes onde sua empresa opera, saber da importância da limitação da finalidade irá te ajudar a garantir altos padrões de privacidade de dados. Por isso, assegure-se de que, ao coletar informações pessoais de consumidores, estes entendam perfeitamente como essas informações serão utilizadas. Com isso, você estará mostrando que respeita a privacidade de seus consumidores dando a credibilidade e confiança que toda empresa precisa.
