Não deixe a conformidade em proteção de dados para a semana do lançamento
As decisões sobre dados pessoais são decisões de arquitetura. Tornar a conformidade parte do desenho reduz o seu custo.
A lei turca n.º 6698 de proteção de dados pessoais chega à mesa da maioria das equipas na última semana do projeto. Nessa altura a conformidade torna-se uma camada de texto colada ao produto a posteriori: escreve-se um aviso, acrescenta-se uma caixa de seleção e o trabalho dá-se por feito.
Mas o que a lei realmente pede não são textos, são decisões. Que dados recolhe, em que base jurídica se apoia, durante quanto tempo os conserva, com quem os partilha? As respostas determinam diretamente o seu modelo de dados e a sua arquitetura.
Perguntas para a fase de desenho
- Temos mesmo de recolher este campo? (minimização de dados)
- Com que base jurídica o tratamos — consentimento explícito ou execução de um contrato?
- O registo é eliminado automaticamente quando termina o prazo de conservação?
- Como responderemos a um pedido de exportação ou eliminação de dados?
- Existe transferência para fora do país e, em caso afirmativo, com que mecanismo?
As equipas que respondem a estas perguntas no início do projeto escrevem o prazo de conservação como coluna na base de dados e entregam a eliminação a uma tarefa agendada. As que tentam responder no fim avançam com scripts executados à mão — expostas tanto a erros como ao risco numa fiscalização.
