O que é Privacy by Default

Privacy by default, ou privacidade por padrão, é o princípio segundo o qual sistemas, produtos e serviços devem vir configurados, desde o início, com as opções mais restritivas de privacidade ativas. O titular dos dados não precisa fazer nada para proteger suas informações: a proteção já é o estado padrão.

Isso significa, por exemplo, que campos de formulário desnecessários não aparecem, notificações de marketing estão desativadas de fábrica e o compartilhamento de dados com parceiros exige uma ação explícita do usuário para ser habilitado, não o contrário.

Os dois conceitos são complementares, mas têm escopos distintos. Privacy by design trata da incorporação de proteção à privacidade desde a concepção da arquitetura do sistema — é uma diretriz de engenharia e produto. Privacy by default diz respeito especificamente às configurações operacionais que estarão ativas no momento em que o produto chegar ao usuário final. O design cria a estrutura; o default define o ponto de partida.

O conceito foi sistematizado pela canadense Ann Cavoukian no início dos anos 1990, como um dos sete princípios fundadores do privacy by design. Sua consolidação normativa veio com o GDPR europeu, em vigor desde 2018, que trata os dois conceitos, by design e by default, como obrigações legais explícitas no artigo 25.

Como a LGPD aborda o Privacy by Default

A Lei Geral de Proteção de Dados (Lei 13.709/2018) não utiliza o termo “privacy by default” em nenhum de seus artigos. Isso não significa que o conceito esteja ausente da legislação brasileira: ele está presente de forma implícita em vários dispositivos.

O artigo 46 da LGPD determina que os agentes de tratamento devem adotar medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas. Embora o artigo foque em segurança, a ANPD interpreta que essa obrigação alcança as escolhas de design e configuração dos sistemas desde o início do ciclo de vida do produto.

Mais diretamente ligados ao privacy by default estão os princípios elencados no artigo 6º: finalidade (dados coletados apenas para propósitos legítimos e explícitos), adequação (compatibilidade do tratamento com a finalidade informada) e, sobretudo, necessidade (limitação ao mínimo necessário para realizar a finalidade). Esse tripé cria uma obrigação funcional equivalente ao que o GDPR chama de data minimisation e impõe, na prática, o mesmo comportamento esperado de um sistema configurado com privacidade por padrão.

O contraste com o GDPR é relevante. O regulamento europeu dedicou o artigo 25 integralmente ao tema, com linguagem prescritiva sobre pseudonimização, minimização e configurações padrão. A LGPD optou por uma abordagem principiológica, o que dá à ANPD maior margem interpretativa, mas também gera mais insegurança jurídica para as organizações que precisam saber exatamente o que implementar.

Privacy by Default na Prática: Exemplos Concretos

Formulários e cadastros

Todo campo presente em um formulário de cadastro deve ter uma justificativa clara e documentada. Solicitar data de nascimento completa quando apenas a maioridade é relevante, ou pedir CPF em um contato comercial inicial, são exemplos de coleta desnecessária. O princípio da necessidade exige que o campo só exista se for indispensável para a finalidade declarada, não “porque pode ser útil no futuro”.

Configurações de cookies e rastreamento

O modelo correto para cookies de rastreamento, análise de comportamento e publicidade direcionada é o opt-in: o usuário deve consentir ativamente antes de qualquer rastreamento ser ativado. O modelo de opt-out, no qual o rastreamento já está ativo e o usuário precisa desativá-lo, é, por definição, uma violação do privacy by default. Banners de cookies que pré-marcam categorias não essenciais como ativas são um exemplo claro de não conformidade.

Compartilhamento de dados com terceiros

Em produtos digitais, sejam aplicativos, plataformas SaaS ou e-commerces, o compartilhamento de dados com parceiros, anunciantes ou integrações de terceiros deve estar desativado por padrão. O fluxo de habilitação deve ser iniciado pelo usuário, com informação clara sobre quem receberá os dados e para qual finalidade. Ativar esse compartilhamento automaticamente no onboarding e oferecer uma opção de desativação enterrada nas configurações não configura privacidade por padrão.

Retenção mínima e exclusão automática

Privacy by default também se aplica ao tempo de vida dos dados. Definir desde o desenho do sistema um prazo de retenção e um mecanismo de exclusão automática ao fim desse prazo é parte integrante do conceito. Manter dados indefinidamente “por precaução” contraria diretamente o princípio da necessidade e aumenta a superfície de exposição em caso de incidente.

Implementação em Produtos e Sistemas no Mercado Brasileiro

Privacy by default no ciclo de desenvolvimento

O conceito precisa entrar no processo de desenvolvimento antes do código ser escrito. Isso significa incluir requisitos de privacidade no backlog de produto, revisar histórias de usuário sob a ótica da minimização de dados e estabelecer critérios de aceite que incluam verificações de privacidade, uma abordagem que alguns chamam de DevPrivacy, análoga ao DevSecOps aplicado à segurança.

Na prática, isso exige que cada funcionalidade que envolva coleta, armazenamento ou transmissão de dados pessoais passe por uma verificação estruturada: qual dado é coletado, por qual base legal, por quanto tempo, com quem é compartilhado e qual a configuração padrão para o usuário.

Papéis e responsabilidades

O DPO (Encarregado de Dados) não deve ser o único responsável pela implementação do privacy by default: seu papel é orientar, validar e reportar. Times de produto definem o que será coletado e qual será o comportamento padrão do sistema. Times de engenharia implementam os controles técnicos. Sem esse alinhamento, o privacy by default se torna apenas um documento de política sem reflexo real nos sistemas.

Desafios comuns no Brasil

Dois obstáculos se repetem nas organizações brasileiras. O primeiro é o legado tecnológico: sistemas antigos foram construídos sem qualquer preocupação com minimização de dados, e refatorá-los exige investimento e priorização difíceis de obter sem pressão regulatória imediata. O segundo é cultural: times de marketing e produto frequentemente resistem à redução de coleta de dados, interpretando-a como perda de capacidade analítica, o que demanda educação interna sobre os riscos de manter dados desnecessários.

Transferências internacionais e APIs externas

Ao integrar APIs e serviços hospedados no exterior, como ferramentas de analytics, automação de marketing e suporte ao cliente, é necessário verificar se os dados transmitidos estão limitados ao mínimo necessário. Enviar payloads completos de dados de usuários para serviços externos quando apenas um subconjunto é necessário contraria o privacy by default e pode configurar transferência internacional de dados sem base legal adequada, conforme o capítulo V da LGPD.

Riscos de Não Adotar o Privacy by Default

A ANPD tem competência para aplicar sanções administrativas previstas no artigo 52 da LGPD: advertências com prazo para adequação, multa simples de até 2% do faturamento do grupo econômico no Brasil, limitada a R$ 50 milhões por infração, e multa diária. A coleta excessiva de dados e a ausência de medidas técnicas de proteção são exatamente o tipo de irregularidade que uma fiscalização orientada a resultados vai identificar primeiro.

O dano reputacional pode ser mais custoso do que a multa. Consumidores brasileiros estão progressivamente mais conscientes sobre privacidade, e incidentes que expõem dados coletados desnecessariamente, aqueles que nem deveriam estar armazenados, tendem a gerar cobertura negativa desproporcional ao tamanho da organização envolvida.

Do ponto de vista técnico, dados que não deveriam existir não podem vazar. A coleta excessiva amplia a superfície de ataque: cada campo extra armazenado é um dado a mais exposto em caso de invasão, vazamento acidental ou acesso interno indevido. Organizações que implementam privacy by default reduzem estruturalmente sua exposição a incidentes de segurança.

O passivo jurídico também é concreto. A LGPD assegura ao titular o direito de acesso, correção, portabilidade e eliminação de seus dados. Organizações que coletam mais do que o necessário têm maior dificuldade em atender a essas solicitações, o que pode resultar em reclamações à ANPD e em ações individuais ou coletivas movidas com base nos artigos 42 a 45 da lei.

Como Avaliar se sua Organização está Alinhada ao Privacy by Default

Checklist de alinhamento básico

Um ponto de partida estruturado deve cobrir ao menos os seguintes itens:

• Mapeamento de dados (RoPA): todos os fluxos de dados pessoais estão documentados, com finalidade, base legal e tempo de retenção definidos?
• Revisão de formulários: cada campo tem uma justificativa de necessidade documentada e aprovada pelo DPO ou responsável de privacidade?
• Configurações padrão: cookies não essenciais, compartilhamento com terceiros e notificações de marketing estão desativados por padrão em todos os produtos e canais?
• Retenção automatizada: existem rotinas técnicas que eliminam dados ao fim do prazo de retenção definido, sem depender de ação manual?
• APIs e integrações: os contratos com suboperadores incluem cláusulas de proteção de dados e os payloads transmitidos estão limitados ao necessário?

DPIA antes de lançar produtos

O Relatório de Impacto à Proteção de Dados Pessoais (RIPD), equivalente ao DPIA do GDPR, deve ser conduzido antes do lançamento de qualquer produto, funcionalidade ou processo que envolva tratamento de dados em escala ou de categorias sensíveis. Esse instrumento força a organização a documentar riscos e controles antes que o produto esteja em produção, que é exatamente quando mudar é mais barato.

Revisão periódica de bases legais e consentimentos

Bases legais e consentimentos coletados podem se tornar inadequados ao longo do tempo por mudanças na finalidade do produto, na legislação ou nas orientações da ANPD. Uma revisão anual estruturada, ou sempre que houver mudança relevante no produto, garante que o alinhamento seja contínuo, não apenas declarado no momento do lançamento.

Indicadores de maturidade em privacidade

Métricas objetivas permitem acompanhar a evolução ao longo do tempo. Alguns indicadores úteis incluem: percentual de sistemas com retenção automatizada configurada, tempo médio de resposta a solicitações de titulares, número de RIPDs conduzidos por trimestre, cobertura de treinamento em privacidade por área e volume de campos de dados coletados por produto em relação ao período anterior. Sem medição, privacidade por padrão permanece uma intenção, não uma prática verificável.