Minimização na fronteira: reduzir o dado antes de enviar ao fornecedor

Nenhuma esteira de verificação de identidade roda sozinha. Extração de texto do documento, consulta cadastral, triagem em listas restritivas, envio de mensagem ao titular: cada etapa é uma chamada a um terceiro, e cada chamada é uma cópia do dado pessoal saindo do seu perímetro. Depois que os bytes atravessam a borda da sua rede, o que acontece com eles é governado por contrato, pelo log de outra empresa e por confiança, não mais pelo seu código.

A pergunta que a maioria dos times faz é "esse fornecedor é confiável". É necessária, mas é a segunda. A primeira resolve mais: quanto do dado ele precisa ver para fazer o que faz? Um extrator de texto que recebe a foto inteira do documento recebe junto o rosto da pessoa, que é biometria, quando tudo o que ele devolve são caracteres. A diferença entre a imagem inteira e a faixa de texto não aparece na fatura, só no dia do incidente.

Cada integração é uma cópia fora do seu controle

A LGPD, Lei Geral de Proteção de Dados Pessoais, Lei 13.709/2018, não trata o terceiro como problema alheio. O artigo 47 obriga os agentes de tratamento, e qualquer outra pessoa que intervenha em uma das fases do tratamento, a garantir a segurança da informação em relação aos dados pessoais, mesmo após o seu término. O artigo 46 exige medidas técnicas e administrativas aptas a proteger os dados de acessos não autorizados. A cadeia inteira carrega o dever, e cada elo novo é superfície nova.

E o que circula na verificação está na categoria mais protegida: o artigo 5º, inciso II, classifica o dado biométrico como sensível quando vinculado a uma pessoa natural. Escolher fornecedor com critério continua valendo, mas nenhuma diligência apaga o fato de que o dado não enviado não vaza.

Necessidade é decisão de engenharia, não parágrafo de política

O artigo 6º da LGPD lista os princípios do tratamento, e o inciso III define necessidade como a limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com dados pertinentes, proporcionais e não excessivos. Esse texto costuma virar frase de política de privacidade. Funciona melhor como regra de código.

A tradução operacional é desconfortável: cada campo da requisição a um terceiro precisa de justificativa funcional escrita, e o campo sem justificativa sai. O teste é mecânico: remova o campo, rode o caso real, veja se o resultado muda. Se não muda, ele estava lá por hábito, porque alguém serializou o objeto interno inteiro. É assim que nome, data de nascimento e endereço viajam para um serviço cuja única função é ler caracteres de uma imagem.

As técnicas, com ganho e custo

Recortar a região de interesse. Se o terceiro precisa do campo do número do documento, envie o retângulo daquele campo, não a página. O que não está no recorte não sai. O custo é que o recorte depende de uma detecção prévia que pode errar, e alguns extratores usam o contexto ao redor para ler.

Tarjar o rosto quando o terceiro só precisa do texto. É a variação mais barata da anterior e evita o pior desequilíbrio da esteira, entregar biometria a quem só extrai caractere. Na UNIFOKAL, a imagem enviada ao extrator de texto externo sai com o rosto tarjado. O custo é quase nulo, desde que a tarja não invada o texto.

Enviar o resumo criptográfico em vez do dado quando a função é apenas comparar. Se o terceiro só responde "este valor já apareceu antes", ele não precisa do valor em claro. É a técnica com mais letra miúda, e a próxima seção mostra por quê.

Truncar ou generalizar quando a análise só precisa da faixa. Uma checagem de maioridade precisa saber se a pessoa já tem 18 anos, não a data exata: mandar só o ano de nascimento entrega quase a mesma decisão com muito menos identificação. O custo aparece na borda: quem faz aniversário dentro do período analisado não se resolve pelo ano, e esse resíduo volta para você tratar.

Separar as chamadas para que nenhum terceiro receba o conjunto completo. Documento em um lugar, telefone em outro, imagem em um terceiro. O que decide é o identificador: se a mesma referência de sessão, o mesmo horário exato ou o mesmo IP acompanham as três, a separação é só aparente para quem receber duas delas. O custo é mais integração para manter.

Onde a técnica não se aplica, e onde ela engana

Minimização degrada precisão em alguns casos, e fingir o contrário produz fluxo pior. Recorte errado quebra a leitura: documento fotografado torto deixa campo fora do retângulo previsto. E há formato em que a técnica quase não se aplica: um contrato societário em PDF com muitas páginas não tem região de interesse conhecida antes da leitura.

A armadilha mais comum é o resumo criptográfico de dado com domínio pequeno. O Grupo de Trabalho do Artigo 29, no Parecer 05/2014 sobre Técnicas de Anonimização (WP216), adotado em 10 de abril de 2014, é explícito: quando a faixa de valores de entrada é conhecida, basta calcular o resumo de todas as entradas possíveis e comparar com os valores da base, e o exemplo do parecer é o número de identificação nacional. O CPF, Cadastro de Pessoas Físicas, cabe nele. A correção que o parecer lista é a função de resumo com chave secreta guardada, cuja mecânica, rotação inclusive, já está no artigo sobre blocklist interna de documentos.

O ponto que a maioria pula é o dono da chave. Dentro de casa a comparação funciona porque o segredo é seu. Se o terceiro precisa comparar contra a base dele, ele precisa da mesma chave, e quem passa a poder percorrer o domínio pequeno é ele: você comprou proteção contra o tráfego observado e contra um vazamento do banco dele, não contra ele. E nada disso anonimiza: o dado segue pessoal e dentro da LGPD, distinção detalhada no artigo sobre anonimização e pseudonimização.

De boa intenção a controle verificável

Minimização que depende de alguém lembrar some na primeira entrega apertada. Três controles sustentam a prática.

O inventário do que sai por integração: para cada terceiro, os campos enviados e a justificativa de cada um. O artigo 37 da LGPD já obriga controlador e operador a manter registro das operações de tratamento que realizarem, então o inventário não é trabalho extra, é esse registro com granularidade útil.

Um portão automatizado: um teste que compara o corpo da requisição com a lista aprovada quebra a construção quando um campo novo começa a sair sem decisão registrada, em vez de a novidade aparecer numa auditoria seis meses depois.

O registro da chamada sem o corpo. Log com o conteúdo inteiro recria na sua infraestrutura o vazamento que a minimização evitou, e ainda espalha o dado por sistemas de observabilidade com acesso mais frouxo. Guarde destino, horário, identificador e resultado.

O encaixe contratual do terceiro

O terceiro que trata dado por sua conta é operador, do artigo 5º, inciso VII: quem realiza o tratamento em nome do controlador, que é quem toma as decisões (inciso VI). O artigo 39 fecha o arranjo: o operador trata segundo as instruções fornecidas pelo controlador, que verificará a observância das próprias instruções. Minimizar na fronteira é escrever a instrução em forma de requisição.

Quando o operador contrata alguém para ajudá-lo, aparece o suboperador. A ANPD, Autoridade Nacional de Proteção de Dados, trata do tema no Guia Orientativo para Definições dos Agentes de Tratamento de Dados Pessoais e do Encarregado, versão 2.0, de abril de 2022: a LGPD não define a figura, o suboperador tem relação direta com o operador e não com o controlador, e é recomendável que o operador obtenha autorização formal, genérica ou específica, do controlador antes de contratá-lo, além de dar ciência da contratação. Subcontratar em silêncio é subcontratar fora da instrução. Isso liga a discussão às cláusulas do contrato entre controlador e operador e, quando o terceiro está fora do país, ao artigo 33 da LGPD, no artigo sobre transferência internacional de dados. A conta é a mesma: o campo que você não enviou não precisa de cláusula, não cruza fronteira e não entra no incidente de ninguém.

Fontes citadas

• Lei 13.709/2018 (LGPD), artigos 5º, 6º, 33, 37, 39, 46 e 47, disponível no portal do Planalto: planalto.gov.br
• Autoridade Nacional de Proteção de Dados (ANPD), Guia Orientativo para Definições dos Agentes de Tratamento de Dados Pessoais e do Encarregado, versão 2.0, abril de 2022, seção 5 (Suboperador): gov.br/anpd
• Grupo de Trabalho do Artigo 29, Parecer 05/2014 sobre Técnicas de Anonimização (WP216), adotado em 10 de abril de 2014: ec.europa.eu