LGPD: Privacidade e Tratamento Ético de Dados Pessoais em Data Science

2Hoje trarei a Lei Geral de Proteção de Dados em pauta sob a ótica de um assunto específico que tem sido requisitado em minhas palestras com muita frequência: as questões de Ética e Privacidade em ciência de dados.

Com empresas cada vez mais investindo em seus Departamentos de CDO ( Chief Data Office) e muitas já em estágio de Programa de Compliance Regulatório para LGPD á nível avançado, as questões do enquadramento Legal — principalmente no que se tange ao Legítimo interesse — destes processos tem chamado atenção, bem como o debate sobre o próprio uso dos dados pessoais em analytics estão novamente se tornando notícias mais e mais frequentemente. Cito aqui o Artigo recente “ Dados e democracia, o que está em jogo? “ Onde Danilo Doneda e Eduardo Magrani resgatam um pouco desta preocupação na questão do tratamento de Dados Pessoais por partidos políticos — e por boas razões.

Seria improvável também citar este tema sem relembrar o escândalo do Cambridge Analytics, um incidente que abalou não só a empresa em si, mas todo o setor. Trazendo esse fato para a atual realidade das Leis de Proteção de Dados pontuo duas observações importantes:

Ética no tratamento de Dados é mais que apenas uma ‘boa prática’ — é essencial para o resultado final e a reputação da empresa no mercado. Não estamos falando apenas do tratamento dos próprios dados pessoais, mas também da atenção como o mau uso de informações derivadas destes dados inclusive metadados. Não é por acaso que o Programa de Privacidade e Proteção de Dados está intimamente ligado ao Compliance, o Data Protection Officer tendo inclusive muitas diretrizes do exercício do seu cargo espelhados na função de um CCO. (Chief Compliance Officer)
Ética no tratamento de dados deve ir além da Privacidade. Ela deve ser considerada e incluída em todas às sete etapas do ciclo de vida dos dados. Heather Krause em seu artigo para o Case Experts “Are Ethics in Data Science really that important?” refere ao fato de que as publicações e especialistas em dados tendem a se concentrar mais na privacidade, porque muitas vezes é muito mais fácil abordar questões de privacidade do que lidar com outros aspectos da incorporação da ética na cadeia de uso destas informações no negócio.

O debate sobre o assunto está apenas começando, as considerações são extensas e até o momento abertas a diversas interpretações. Mas se tratando de Lei Geral de Proteção de Dados, o que devemos e podemos já fazer? Em primeiro lugar, voltar aos pontos mais básicos da Lei que remete diretamente a respeitar o direito de Privacidade. Começamos com a própria segurança da Informação:

Trate os Dados Pessoais, Metadados e informações derivadas dos mesmos em ambientes seguros. A questão da Segurança da Informação é tão crítica que se torna impossível não reconhecer como vazamentos de dados causam tanto caos. Só neste ano corrente, dados secretos e sigilosos de, literalmente, centenas de milhões de pessoas foram violados e expostos, depois reunidos em várias listas colocadas na darkweb para venda.

O uso ilegal e malicioso de dados pessoais são uma tendência assustadora no mundo do crime virtual que não mostra nenhum sinal de desaceleração num futuro próximo. Assim sendo, a questão de segurança destes dados não se torna apenas uma questão legal mas também ética. Há muitas recuperações desses estragos que se tornam um pesadelo. Chamo particularmente a atenção aqui aos colegas Data Protection Officers: A Segurança da Informação continua a cargo dos CISOS, porém nós temos sim a obrigação ética de entender — e muito — sobre o assunto principalmente sobre as consequências de um breach. Não se esqueçam que a LGPD tira a Segurança da Informação do patamar de ‘boas práticas’ e a remete diretamente a nossa mesa como Obrigação Legal.

Elevem o Debate: A encriptação de dados é essencial para a segurança das informações, porém realmente respeita a Privacidade? Quem não se lembra do artigo que ainda abala a discussão: Machine Learning Models that Remember Too Much onde se foi feita a seguinte questão: “What if I train a classifier and then throw the data? Can the classifier leak the data trained?” Com a vigência da LGPD já batendo as portas, é um momento propício para resgatar questões como essa.
Entendam o valor deste asset não só como valor interno de negócio mas também como uma arma de inteligência competitiva. Desde 2018, a expressão “Data Weaponization” se tornou constante nas mesas de discussões estratégicas de Empresas Americanas e Europeias.

Quando Tim Cook – CEO da Apple – levou o assunto ao 40th International Conference of Data Protection and Privacy Commissioners deixando claro fato de que os dados pessoais dos clientes estavam sendo “utilizados com eficiência militar” pelas empresas (Tanto para aumentar o lucro mas também atacar seus concorrentes usando técnicas de ‘data starvation’ e fake news onde conclusões errôneas podem ser atingidas através de um dataset contaminado) , ele não estava usando uma expressão literária apenas. Existe uma indústria ativa de Experts em inteligência Competitiva atuando nisso. Vale um alerta: Um DPO que não entenda a visão estratégica do tratamento de Dados Pessoais dentro de seu ambiente de trabalho se torna um risco ético e de negócio para sua empresa.

Para concluir, é importante deixar a mensagem de que dados e análises são uma fonte de ‘poder e vantagem competitiva’ no mundo dos negócios e por associação, o uso deste asset pode se tornar destrutivo, sedutor, esmagador ou extremamente benéfico. É indiscutível o fato de que Empresas éticas usam os dados de formas extremamente benéficas onde estes dados e análises permitem melhor tomada de decisão e aprendizado real de seus clientes, trazendo assim muitos benefícios de volta a esses titulares. O próprio mundo da Economia da Experiência nos atesta isso. As pessoas querem cada vez mais serem individualizadas, terem experiências próprias, únicas com as Empresas as quais elas se relacionam, com os produtos que compram.

Mas é uma dança delicada… O verdadeiro poder dos dados e análises é a capacidade de apresentar fatos, números e verdades de Pessoas Reais e como qualquer fonte desta magnitude, pode se tornar corrompível. Aos colegas DPOs: Como avaliar? Experiência e Ética ainda são a melhor proteção.

Por Daniela Hansson, DPO da Olé Consignado Grupo Santander