GDPR – Privacidade desde a Conceção

“Privacidade desde a Concepção” e “Privacidade por Padrão” têm sido tópicos frequentemente discutidos em relação à proteção de dados. As primeiras ideias de “Privacidade desde a Concepção” foram expressas na década de 1970 e foram incorporadas na década de 1990 na diretiva de proteção de dados RL 95/46/CE. De acordo com o considerando 46 desta Diretiva, medidas técnicas e organizacionais (TOM) devem ser tomadas já no momento do planejamento de um sistema de processamento para proteger a segurança dos dados.

O termo “Privacidade por Conceção” significa nada mais que “proteção de dados através do design da tecnologia.” Por trás disso está o pensamento de que a proteção de dados nos procedimentos de processamento de dados é melhor cumprida quando já está integrada na tecnologia quando criada. No entanto, ainda há incerteza sobre o que “Privacidade por Conceção” significa e como se pode implementá-la. Isso se deve, por um lado, à implementação incompleta da Diretiva em alguns Estados-Membros e, por outro lado, ao princípio “Privacidade por Conceção” que está no Regulamento Geral de Proteção de Dados, que a abordagem atual nas diretrizes de proteção de dados, que exige que os responsáveis já incluam definições dos meios para processar TOMs no momento em que são definidos, a fim de cumprir os princípios e requisitos de “Privacidade por Conceção.” A legislação deixa completamente em aberto quais medidas protetivas exatas devem ser tomadas. Como exemplo, basta citar a pseudonimização. Nenhum detalhe adicional é dado no considerando 78 do regulamento. Pelo menos em outras partes da lei, a criptografia é mencionada, assim como a anonimização de dados como possíveis medidas protetivas. Além disso, a autenticação do usuário e a implementação técnica do direito de objeção devem ser consideradas. Além disso, ao selecionar precauções, pode-se usar outros padrões, como os padrões ISO. Ao selecionar em casos individuais, deve-se garantir que o estado da arte, bem como os custos razoáveis de implementação, sejam incluídos.

Além dos critérios nomeados, devem ser considerados o tipo, o escopo, as circunstâncias e o propósito do processamento. Isso deve ser contrastado com a probabilidade de ocorrência e a gravidade dos riscos associados ao processamento. O texto da lei leva à conclusão de que muitas vezes várias medidas de proteção devem ser usadas em conjunto para satisfazer os requisitos legais. Na prática, essa consideração já é realizada em uma fase inicial de desenvolvimento ao definir decisões tecnológicas. Certificação reconhecida pode servir como um indicador para as autoridades de que as pessoas responsáveis cumpriram os requisitos legais de “Privacidade por Design”.