Autoria: Gustavo Babo
Um dos maiores desafios dos programas de privacidade e proteção de dados é implementar mecanismos e processos de interesse da área em times de tecnologia e produto. Corporações com formas organizacionais ágeis requerem ferramentas que podem ir muito além do privacy by design. É preciso construir interfaces sólidas e seguras que vão desde a criação de uma cultura de privacidade, até outras ferramentas adaptadas que já fazem parte dos squads de desenvolvimento. Assim, é possível que a construção de novos produtos e serviços sejam mais Privacy-Centered, através de processos incorporados ao próprio fluxo dessas equipes, sem adicionar tarefas demasiadas ou retrógradas.
É fundamental implementar gargalos estratégicos na empresa, mas isso pode facilmente contrariar a cultura organizacional, a inovação e o modelo de negócios e, dessa forma, acabam se tornando processos ineficientes, quando não bem implementados.
Para tanto, é possível construir ferramentas para serem utilizadas em todas as etapas do processo de desenvolvimento de novas tecnologias. A ideia é que os “gargalos” sejam construídos de forma mais orgânica, compondo os processos e não segmentando-os. Nesse texto, exploraremos várias ferramentas que podem ser utilizadas para atingir a máxima eficiência daquilo que se propõe.
Ademais, pode ser necessário que essas ferramentas apresentadas também acompanhem outros procedimentos ou políticas que orientem a aplicação desses conceitos. Essas são metodologias básicas ou adaptadas, normalmente já utilizadas por designers e desenvolvedores, ou seja, os times já possuem certa familiaridade com a implementação durante a jornada de um Sprint. Você não necessariamente deve aplicar essas ferramentas da forma como explicaremos, mas sim revisar e adaptar os conceitos para o que faz sentido para a sua empresa. Afinal, para realmente "integrar a privacidade" às operações diárias da empresa, é crucial usar o mesmo idioma, ferramentas e processos usados pelos colaboradores.
Isso pode ser fundamental para aproximar os interesses de privacidade e proteção de dados dos times de desenvolvimento de produto de uma corporação, posicionando a área também como um parceiro de negócios e auxiliando na identificação e mitigação de riscos. Contudo, é importante destacar que não existem “balas de prata” em privacidade e proteção de dados e isso também se aplica quando abordamos o uso dessas ferramentas. Não é recomendado construir políticas e procedimentos internos totalmente apoiados na utilização desses recursos, mas sim tê-los como uma escapatória estratégica para aproximar privacidade como parte dos Sprints. Certamente, ainda serão necessários vários esforços para mapear atividades de tratamento, identificar riscos, propor soluções de mitigação e gerir todas as outras partes do programa de conformidade necessárias.
Essas ferramentas podem ser utilizadas diretamente pelos squads de produto ou apenas pelo próprio time de privacidade. Isso pode variar dependendo da cultura e da maturidade da corporação. A melhor forma de fazer isso é, muito provavelmente, um uso misto, ou seja, algumas ferramentas utilizadas pela própria área e outras em colaboração, preferencialmente através de Privacy Champions. Avalie a maior dor do seu programa de conformidade e comece por implementar uma única ferramenta que auxilia na correção dele.
Para essa primeira parte, vamos abordar estratégias e metodologias para desenvolver produtos, serviços ou features que considerem a privacidade desde a concepção. Dessa forma, a corporação pode seguir uma perspectiva mais user-centered ou privacy-centered. Os recursos também auxiliam na estruturação das formas de interface com a área de privacidade, agiliza parte do trabalho, integra privacidade no desenvolvimento de maneira orgânica e ágil, conscientiza os colaboradores, tornando-os parte do processo de compliance, gera insights relevantes de óticas diferentes e, por fim, adapta as demandas da área com uma abordagem inovadora. Esse trabalho também será aproveitado futuramente para identificar atividades de tratamento, realizar as devidas adequações, identificar riscos, problemas e “gaps” e, então, soluções e salvaguardas. Abordaremos nas próximas semanas as outras ferramentas para isso tudo.
1) Privacy Personas
A primeira etapa para termos o desenvolvimento de produtos privacy-centered é entender qual é a persona por trás dos dados, quais são as suas subjetividades e expectativas, assim como quais dados pessoais serão coletados e como serão processados. Para isso, pode-se utilizar essa adaptação de um template básico para identificação de personas, normalmente utilizado pelas áreas de design, marketing e comercial.
Afinal, pode ser difícil descobrir como abordar os usuários-alvo sem uma compreensão completa de quem eles são. Para tanto, é importante obter uma perspectiva mais detalhada de quem é o titular, ajudando a tomar melhores decisões sobre os produtos, dentro da perspectiva de privacidade e proteção de dados.
Etapas do Privacy Personas: 1. Persona: Insira quem são os titulares por trás dos dados, qual é o seu perfil e alguma outra observação de privacidade necessária. 2. Personalidade: Descreva os traços de uma possível personalidade desse titular, levando em conta o público desse produto de forma genérica. 3. Interesses: Entenda quais são os interesses do titular com o seu produto, o que ele busca e o que ele espera encontrar. 4. Dados pessoais coletados: Cite quais dados pessoais são coletados com esse novo produto, serviço ou feature desenvolvida. 5. Atividades de tratamento: Cite de forma simples as principais atividades de tratamento realizadas. 6. Como ele compreende privacidade?: Responda como a persona analisada entende privacidade e quais as expectativas dela sobre o que encontrar no seu produto em relação à isso. 7. O que o afastaria do produto?: Responda quais situações, atividades de tratamento, riscos ou ameaças podem afastar a sua persona do produto em questão. Logo abaixo, você pode conferir uma aplicação simples do template de Privacy Personas. O produto analisado em questão, como exemplo, é um algoritmo de recomendação de questões para vestibulares, uma tecnologia dentro de um aplicativo de provas e exames de treinamento. Confira:
2) Mapa de Empatia e Expectativa
O Mapa de Empatia e Expectativas é uma adaptação do conhecido Mapa de Empatia, utilizado pelos times de desenvolvimento para descobrir insights sobre os titulares. Na nossa versão, o objetivo é compreender melhor o que o usuário espera e como ele entende o produto desenvolvido, assim como suas perspectivas em relação à corporação e à da atividade de tratamento realizada.
Essa é uma poderosa ferramenta que deve ser explorada para compreender quais são os riscos de privacidade e proteção de dados em relação ao entendimento do titular daquele tratamento em específico. Confira:
Ainda analisando o algoritmo de recomendação de questões, desenvolvido por um aplicativo para estudantes de vestibular, podemos fazer um brainstorm com post it para entender melhor sobre as expectativas do titular e se o produto corresponde ao esperado.
É possível fazer uma análise das expectativas do usuário a partir disso. Nota-se, por exemplo, que o usuário tem um mecanismo de opt out facilitado e aparente. Isso significa que sua expectativa foi antecipada e isso gera confiança. Contudo, a precisão dos algoritmos pela qualidade dos dados analisados é uma expectativa do titular, mas também uma preocupação. Podendo existir, portanto, um gap que deve ser monitorado, em relação aos dados imprecisos que podem ser tratados pela tecnologia.
3) Compliance Blueprints
Essa ferramenta é uma adaptação do Services Blueprint, uma técnica usada originalmente para o design de serviço e no diagnóstico de problemas com eficiência operacional. A técnica foi descrita pela primeira vez por G. Lynn Shostack, na Harvard Business Review, em 1984.
A ideia do Compliance Blueprint é fazer uma análise mais básica de algumas demandas. O diagrama visual explica como a atividade de tratamento funciona, qual é a origem dos dados e quais dados são tratados. Ademais, alguns processos e componente já são vinculados entre si. O propósito é bem diferente do Services Blueprint tradicional, mas o mais importante aqui é ter uma melhor compreensão de alguns pontos para conformidade básica. Com toda certeza, é preciso uma análise mais profunda pelo profissional de privacidade e proteção de dados, posteriormente.
Você pode pré-estabelecer os elementos de Conformidade básica que quer que seja analisado, através de, por exemplo, um guia de boas práticas ou uma política. Treine a sua equipe para a melhor utilização dessa ferramenta de forma independente ou faça você mesmo a construção desse template.
Vale lembrar também que esse não é um substituto do diagrama do ciclo de vida dos dados, tarefa importante durante a fase de mapeamento. É uma ferramenta para ser utilizada por desenvolvedores, durante as primeiras etapas de construção de um novo produto.
Etapas do Compliance Blueprints: a) Ativo: Descreva os ativos analisados em questão. b) Origem: Explique a origem dos dados, como são coletados. c) Dados pessoais e não pessoais: Indique quais são os dados coletados. d) Conformidade básica: Faça uma ligação do tratamento desses dados com alguns questionamentos de conformidade básica, tais como, mas não somente: não discriminação, equidade, transparência, finalidade, bases legais, opt out, entre outros. e) Suporte e exercício de direitos: Cite algumas das principais atenções em relação ao exercício de direitos pelo titular. Você pode conferir um exemplo da utilização do Compliance Blueprint logo abaixo:
4) Privacy Look, Mock, Analyze (PLMA)
Essa ferramenta é uma adaptação da Look, Mock, Analyze, utilizada para descobrir insights, obter inspiração, comparar com outros projetos e idealizar o seu próprio, dentro das etapas de pesquisa em design. Para a nossa adaptação, a ideia é simples. O Objetivo do PLMA é, através de inputs de compliance, ou seja, de demandas legislativas ou de padrões de mercado, chegar à uma solução, durante o desenvolvimento de um produto. Uma metodologia relativamente simples, mas pode ajudar a visualizar um processo importante ou encurtar alguns caminhos.
Elementos do Privacy Look, Mock, Analyze (PLMA)
a) LOOK for compliance inputs: Faça uma análise legal e uma do seu próprio produto, a fim de descobrir gaps, problemas, riscos ou até boas práticas para serem implementadas.
b) MOCK for benchmarking: Vá atrás de benchmarking com outras empresas, seja pela comunicação e relacionamento direto, seja apenas por observar o que elas oferecem, quais salvaguardas utilizam, como trabalham o aspecto de privacidade analisado em questão, entre outros. Vá atrás também de decisões e legislações em outras partes do mundo, de guidelines, guias e outros estudos teóricos que podem te ajudar a entender a melhor forma de trabalhar o “compliance input” observado.
c) ANALYZE your own product: Analise o seu próprio produto e compare com as inspirações que você reuniu com o benchmarking. Entenda aquilo que é aplicável e siga, por fim, para o estudo de implementação da solução ou boa prática levantada.
5) Privacidade no Mapa da Jornada do Consumidor
O Mapa da Jornada do Consumidor é uma etapa importante na criação de produtos.
A metodologia adaptada em questão não se trata de uma ferramenta única, mas sim na inserção de uma etapa para privacidade dentro da metodologia utilizada pelas equipes. Isso significa apenas construir um campo para inserir considerações de privacidade para aquela atividade de tratamento sendo desenvolvida.
Assim sendo, é mais garantido que cada passo da jornada do usuário seja pensada também levando em consideração o tema de privacidade e proteção de dados, aumentando a cultura privacy-centered dos produtos e diminuindo a probabilidade de riscos gerados pelo menosprezo ao tema em um ambiente extremamente ágil e inovador. Confira um exemplo:
6) LGPD Model Canvas
O LGPD Model Canvas é uma ferramenta desenvolvida pela Lamara Ferreira que auxilia na inserção de privacidade e proteção de dados no processo de desenvolvimento. Essa adaptação consolida informações do ciclo de vida dos dados e de alguns processos importantes para adequação à LGPD de forma ágil e colaborativa.
Os squads de tecnologia e produto podem utilizar o LGPD Model Canvas para auxiliar no processo de compliance, ao inserir uma etapa de análise de privacidade nesses times de forma escalável e intuitiva. Você também pode utilizar essa ferramenta independentemente, como um trabalho manual para dar boa visibilidade de uma atividade de tratamento em específico.
Se a opção escolhida for integrar a ferramenta no processo de desenvolvimento, muito possivelmente será necessário contar com Privacy Champions, indivíduos que ajudarão a promover o programa de privacidade nas principais áreas funcionais de organização.Confira o LGPD Model Canvas logo abaixo:
Conclusão Essas são algumas das metodologias e ferramentas que podem ser utilizadas logo no começo do desenvolvimento de um produto, serviço ou feature. Com uma concepção focada na agilidade e adaptação, pode ajudar a pensar em produtos privacy-centered, facilitar a aproximação das área de privacidade das outras, fazer os times participarem do processo de conformidade, gerar insights, adiantar relatórios, entre outros benefícios. A incorporação das necessidades da área aos processos e metodologias já existentes aumentam as chances de eficiência de várias partes do programa de privacidade, mas é claro que também não são suficientes, quando sozinhas. Confira o esquema de quais foram as ferramentas apresentadas até então:
Trataremos na semana que vem sobre mais algumas ferramentas e metodologias. Fique atento, curta e compartilhe esse material, exclusivo do Centro DTI BR. Afinal, ainda existe um grande oceano para ser explorado ao aplicar conceitos tradicionais do design e do desenvolvimento de produtos, pela área de privacidade e proteção de dados.
Comments