Além da ementa · tema 27 de 30
Segurança e privacidade de dados em banco
35 min · 2 vídeos · 14 cards · 2 drill
Por que cai
Em banco, privacidade não é assunto jurídico: é requisito de arquitetura. A banca usa este tema para ver se você projeta pensando em quem pode ver o quê, ou se joga tudo cru no lake e resolve depois. Também é o tema em que responder 'a gente criptografa' sem qualificar derruba a nota.
Pré-teste · 1 de 2
responda antes de verO time criou a coluna cpf_hash com SHA-256 do CPF e apagou o CPF original. A base ficou anonimizada para efeito de LGPD?
Vídeo · português · 10 min
Em uma frase
Privacidade em pipeline de banco é decidir, campo a campo e usuário a usuário, quem pode ver o quê — e provar depois que foi assim que aconteceu.
Dado pessoal, dado sensível e o teste que importa
A LGPD chama de dado pessoal a informação relacionada a pessoa natural identificada ou identificável. Repare no "identificável": o teste não é o campo isolado, é a chance de chegar na pessoa combinando campos. CEP, data de nascimento e valor da fatura, juntos, identificam.
Dado pessoal sensível é uma lista fechada: origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização religiosa, filosófica ou política, dado de saúde ou vida sexual, dado genético e dado biométrico. Sensível tem base legal mais estreita e, no seu desenho, deve virar tabela à parte com acesso nominal.
Bases legais, uma linha cada
O art. 7º traz dez hipóteses. Você não precisa recitar, precisa saber que existem dez e citar as que aparecem em banco: consentimento; cumprimento de obrigação legal ou regulatória; execução de políticas públicas; estudo por órgão de pesquisa; execução de contrato; exercício regular de direitos em processo; proteção da vida; tutela da saúde; legítimo interesse; e proteção do crédito. Em banco, a maior parte do tratamento se apoia em contrato, obrigação legal e proteção ao crédito — não em consentimento.
Dois princípios do art. 6º mandam no seu pipeline. Finalidade: o dado foi coletado para um propósito declarado e não pode migrar de propósito no silêncio. Necessidade: traga o mínimo de campos que resolve o caso de uso. Ingerir a tabela inteira do core porque é mais fácil não é precaução, é exposição.
Direitos do titular e o que cada um cobra de você
| Direito | O que o pipeline precisa ter |
|---|---|
| Confirmação e acesso | Saber onde o dado daquele titular vive: catálogo e linhagem confiáveis |
| Correção | Caminho de atualização que se propague às camadas derivadas, não só ao cadastro |
| Eliminação | Capacidade de apagar de verdade, incluindo versões antigas do formato de tabela e cópias em zonas analíticas |
| Portabilidade | Exportar os dados do titular em formato estruturado e interoperável, dentro de prazo |
| Informação sobre compartilhamento | Registro de com quem o dado foi compartilhado, o que na prática é linhagem para fora |
Eliminação e portabilidade são as duas que mais quebram desenho. Formato imutável, backup e log de auditoria transformam um DELETE em projeto. O encarregado é o canal entre titular, ANPD e a empresa — ele não escreve o pipeline, mas depende de você para conseguir responder no prazo.
Anonimizar, pseudonimizar, tokenizar
| Técnica | O que faz | Continua sob a LGPD? |
|---|---|---|
| Anonimização | Remove a possibilidade de associação ao titular por meios razoáveis: agregação, generalização, supressão | Não |
| Pseudonimização | Substitui o identificador por um substituto, mantendo chave de reversão em separado | Sim |
| Tokenização | Troca o valor por um token sem significado, com o de-para em cofre | Sim |
Essa é a distinção que a banca procura: anonimizado sai do escopo da lei, pseudonimizado não. Hash de CPF é pseudonimização, não anonimização — o universo de CPFs é enumerável e a tabela reversa é trivial de montar.
Mascaramento, criptografia e chave
Mascaramento estático grava a versão mascarada em uma cópia: bom para ambiente de desenvolvimento e teste. Mascaramento dinâmico mantém o dado original e decide na consulta o que exibir, conforme quem pergunta.
Criptografia em repouso protege contra quem acessa a mídia por fora: snapshot copiado, bucket exposto. Em trânsito, TLS protege o dado enquanto ele viaja entre origem, cluster e storage. Um KMS guarda e rotaciona as chaves fora do sistema que guarda o dado, e registra cada uso — separar chave de dado é o que faz a criptografia valer alguma coisa.
Quem vê o quê: RBAC, ABAC, linha e coluna
RBAC— Acesso concedido pelo papel do usuário. é simples de auditar e explode em número de papéis quando as regras ficam finas. ABAC— Acesso decidido por atributos do usuário e do dado no momento da consulta. escala melhor, custa mais para governar.
Em cima disso vêm os dois recortes: row-level security decide quais registros a pessoa vê (só a regional dela); column-level security decide quais campos ela vê dentro dos registros permitidos (e-mail parcialmente oculto).
Raw, auditoria e retenção
A zona raw guarda o dado como veio, com a maior retenção e, normalmente, o menor controle. É a pior combinação possível. O tratamento é proteger na entrada: tokenizar identificadores na aterrissagem, negociar no contrato de ingestão só os campos necessários, e tornar a raw legível por serviço, não por pessoa.
Auditoria fecha o ciclo. Você precisa registrar quem consultou o quê e quando, e manter esse log fora do alcance de quem ele audita. Retenção é a outra metade: guardar além do necessário é risco, não zelo — e o prazo mínimo de guarda vem de obrigação legal e regulatória do domínio [verificar o prazo aplicável ao seu caso].
Como responder isso em voz alta
Comece separando as duas perguntas: proteger o dado guardado é criptografia e chave; controlar quem lê é RBAC, ABAC, linha e coluna. Depois nomeie a técnica certa para o caso e diga o que ela não resolve. Fechar admitindo o limite da sua própria solução é o que soa sênior.
Se quiser outro ângulo
Como cai na sabatina
“Um analista precisa cruzar transações por cliente sem ver o CPF. Como você resolve?”
Erros comuns
- Dizer que dado pseudonimizado está fora da LGPD. Só o dado anonimizado sai do escopo da lei; pseudonimizado continua sendo dado pessoal, porque existe uma chave que reverte a operação.
- Chamar hash de CPF de anonimização. O hash é determinístico e o universo de CPFs é pequeno e enumerável: dá para montar a tabela inteira por força bruta e reidentificar todo mundo.
- Tratar mascaramento como se fosse criptografia. Mascaramento age na exibição do dado; criptografia protege o dado armazenado ou em trânsito. Cada um responde a uma ameaça diferente.
- Achar que criptografia em repouso resolve acesso indevido. Quem tem permissão de leitura recebe o dado já decifrado; contra o analista curioso o controle é RBAC, ABAC e máscara de coluna.
- Confundir base legal com consentimento. Consentimento é uma das dez hipóteses do art. 7º; em banco a maior parte do tratamento se apoia em execução de contrato, obrigação legal, prevenção à fraude e proteção ao crédito.
- Despejar tudo cru na zona raw e adiar a proteção para a camada de consumo. A raw costuma ser a zona com menos controle e mais retenção: é ali que o vazamento acontece.
- Esquecer o direito de eliminação no desenho. Formato imutável, backup e log de auditoria transformam um DELETE simples em projeto se ninguém pensou nisso antes.
Flashcards
Card 1 de 14
0 certos · 0 a reverDrill
Classifique o campo e escolha a proteção
Para cada campo de uma base bancária, diga a classificação. Antes de abrir a resposta, diga em voz alta também qual técnica de proteção você aplicaria — é isso que a banca pede em seguida.
1.CPF do titular da conta.
2.Biometria facial capturada na abertura de conta pelo app.
3.Valor e horário de uma compra no cartão, já ligados a um id_cliente pseudonimizado.
4.Quantidade e valor total de PIX por agência, por dia.
5.Filiação sindical informada no cadastro de crédito consignado.
6.Código MCC do estabelecimento onde a compra foi feita.
7.Score interno de propensão a churn calculado para cada cliente.
Drill
Qual controle resolve o pedido?
Cada linha é um pedido real que chega ao time de dados. Escolha o controle principal antes de ver a resposta.
1.O time de marketing pode consultar a tabela de clientes, mas o campo e-mail precisa aparecer parcialmente oculto.
2.Cada gerente regional só pode ver os contratos da própria regional, e são quarenta regionais.
3.Analistas de fraude precisam juntar transações do mesmo cliente entre cartão e PIX sem ver o CPF.
4.O acesso a tabelas classificadas como confidenciais deve valer só para quem está no time dono do dado, sem criar um papel novo por tabela.
5.Um job lê de um banco on-premises e escreve no S3 atravessando a rede corporativa.
6.Todo engenheiro do time de dados precisa dos mesmos acessos de leitura nas camadas bronze e silver.
Quiz · 1 de 2
Qual afirmação sobre anonimização e pseudonimização está correta?
Explique para um gerente
Explique para o gerente de crédito, em um minuto, por que a área dele não vai receber a base com CPF em claro e o que ela ganha em troca.
Responda em voz alta antes de seguir. Se travar numa palavra técnica, é sinal de que ainda não entendeu essa parte.
Perguntas de sabatina deste tema
- · Um analista precisa cruzar transações de cartão e de PIX por cliente, mas não pode ver o CPF. Como você resolve?
- · Chega um pedido de eliminação de dados de um cliente, encaminhado pelo encarregado. O que acontece no seu pipeline?
- · Sua zona raw recebe um dump diário completo do cadastro, com CPF, endereço e dados de saúde do seguro. Qual o problema e o que você faz?
Para ir além