Privacidade e Considerações Legais

Nota 03 do capítulo 12 - Desafios e Boas Práticas. Delimita o espaço legal da coleta e da análise em CTI e hunting: base legal na LGPD, proporcionalidade, monitoramento de funcionários, dark web, e-mails, retenção, acesso e o papel do DPO.
Protege o programa contra o risco de se tornar ele próprio fonte de incidente legal e reputacional.
Dialoga com a coleta de dados do capítulo 02, com o relatório de liderança da nota 04 do capítulo 11 e com o capítulo 13 de contra-inteligência.

1. Contexto e Posicionamento na Biblioteca

Toda telemetria da biblioteca fala sobre pessoas: log de processo fala do que alguém executou, log de autenticação fala de onde alguém esteve, e o e-mail analisado em uma campanha de phishing fala do que alguém recebeu. O hunting opera, portanto, sobre dados pessoais, e a operação tem moldura legal no Brasil dada pela Lei Geral de Proteção de Dados Pessoais, a LGPD, Lei 13.709 de 2018. Ignorar a moldura transforma um programa de defesa em origem de passivo: sanções da ANPD, disputa trabalhista, dano reputacional e, no limite, a proibição da própria coleta de que o programa precisa para existir.

A nota não substitui aconselhamento jurídico, e essa limitação é parte do conteúdo: cada decisão de coleta com potencial de afetar titulares deve ser desenhada com o DPO e o jurídico, e o papel desta nota é capacitar o analista e o gestor para essa conversa com as perguntas certas. A organização esperada pela biblioteca é a que coleta telemetria corporativa, monitora seu ambiente por segurança, opera resposta a incidentes e eventualmente investiga colaboradores, e é esse recorte que a moldura legal abaixo endereça.

O recorte de responsabilidade também precisa estar claro: o programa de CTI e hunting não é o dono da conformidade da organização, é o dono das suas escolhas de coleta e análise. A diferença é prática: o programa não responde pela política de retenção do e-mail corporativo, mas responde por quanto tempo guarda os artefatos de phishing que extraiu das caixas, e a conversa com o DPO acontece nessas fronteiras, com perguntas concretas e não com pânico abstrato.

2. Base Legal para Coleta e Análise

A LGPD distingue dado pessoal, que identifica ou torna identificável uma pessoa, de dado pessoal sensível, que revela características protegidas como origem racial, convicção religiosa, filiação sindical ou saúde. Telemetria de segurança é quase toda pessoal, e com frequência reveladora de sensível: a navegação de um funcionário pode expor religião, o acesso a fóruns pode expor filiação sindical, e o tratamento de dado sensível tem regime mais restritivo no artigo 11 da lei. O programa precisa, portanto, saber em qual base legal do artigo 7 apoia cada operação de coleta e análise:

O interesse legítimo é a base mais usada pelo programa de segurança e a que exige mais disciplina, porque o artigo 10 condiciona seu uso a uma análise documentada da expectativa legítima do titular e das consequências do tratamento. A prática recomendada é registrar, para cada família de dados, a finalidade, a base legal, a análise de interesse legítimo quando for o caso e a data de revisão, em documento que o DPO assine. Casos de incidente com risco relevante têm ainda o dever do artigo 48 de comunicar a ANPD e os titulares, e o fluxo de resposta precisa prever essa comunicação com prazo e dono definidos.

A navegação e o e-mail merecem nota específica porque são as fontes onde o dado sensível aparece com mais frequência sem que ninguém o tenha procurado. O log de proxy registra o site de igreja, o fórum do sindicato e o portal de saúde com a mesma neutralidade técnica com que registra o C2 do adversário, e o analista que consulta o histórico de um colaborador, mesmo com base legal e hipótese válida, entra em terreno em que o dado sensível está a um clique de distância. A prática de proteção é técnica e organizacional ao mesmo tempo: pseudonimizar o usuário nas consultas rotineiras, restringir a reversão a gatilho formal e envolver o DPO sempre que a consulta mira pessoa identificada.

2.1 O Dever de Comunicação em Incidentes

O programa de segurança é também tratante de dados que sofre incidentes, e a moldura tem o dever de comunicação do artigo 48 da LGPD: incidente com risco relevante aos titulares exige comunicação à ANPD e aos titulares, em prazo e formato que a autoridade define. O fluxo de resposta da biblioteca prevê a comunicação como entrega formal do ciclo, com gatilho de avaliação de risco, dono no jurídico e com o DPO, e conteúdo mínimo descrito na lei. O papel do CTI é alimentar a avaliação com o dado técnico do que foi acessado, quando e por quem, porque a definição de risco relevante é exatamente a pergunta que o dado técnico responde; o incidente que não gera detecção ainda gera comunicação, e o fluxo que esquece isso transforma um evento de segurança em dois problemas.

3. Proporcionalidade e Minimização

A base legal autoriza o tratamento, e os princípios do artigo 6 disciplinam como. O princípio da finalidade limita o dado à finalidade declarada de segurança, e o dado coletado para caçar não vira produto de marketing nem insumo de avaliação de desempenho individual. O princípio da necessidade exige que cada campo coletado seja justificável: o hash de processo responde a hipótese de caça, enquanto o keylogger de estação responde a vontade de controle, e a diferença é jurídica antes de ser técnica. O princípio da minimização e o da transparência completam o conjunto, com a comunicação clara do que é monitorado e para quê.

A proporcionalidade se decide pergunta por pergunta, e a tabela abaixo aplica o teste às coletas típicas da biblioteca:

A pseudonimização é a ferramenta técnica que concilia coleta e privacidade: manter o identificador direto separado do dado comportamental, com a tabela de correspondência sob acesso restrito, permite caçar padrões sem que a análise rotineira olhe para pessoas. O dado pseudonimizado continua sendo pessoal em lei, mas o risco de exposição cai drasticamente, e a reversão só ocorre quando a investigação de fato o exige, com registro do motivo.

A minimização tem ferramentas técnicas concretas que valem como checklist de implementação: mascaramento de identificador nos dashboards de uso rotineiro, com reversão controlada; funções de hash para o usuário em consultas de padrão, que permitem agrupar sem identificar; agregação por departamento ou por classe de ativo nas apresentações; e alerta de conteúdo sensível nas ferramentas de triagem, que avisa o analista antes de ele abrir o que não precisava abrir. Nenhuma dessas ferramentas reduz a capacidade de caça em nada que importe, e todas reduzem a superfície de incidente legal do programa.

A distinção entre anonimização e pseudonimização fecha o vocabulário da seção: dado anonimizado é o que não pode mais ser ligado a pessoa por nenhum meio razoável, e sai do escopo da lei nas condições do artigo 12; dado pseudonimizado continua pessoal e dentro do escopo. A promessa de que um dado está anonimizado quando na verdade só foi mascarado é uma das armadilhas mais comuns em relatórios internos, e a regra segura é tratar como pessoal tudo o que conserva qualquer caminho de reversão.

4. Monitoramento de Funcionários e Relação de Trabalho

O monitoramento de colaboradores é exercício do poder diretivo do empregador, reconhecido pela legislação trabalhista, e exercício que encontra limite na privacidade e na dignidade do trabalhador. Os contornos que sustentam a operação na prática são conhecidos: comunicação prévia e clara do que é monitorado, por meio de política de uso aceita; ausência de vigilância oculta em meios de trabalho; vedação de monitoramento em espaços íntimos, como banheiros e vestiários; e proporção entre o risco que se quer evitar e a intrusão do meio. O e-mail corporativo e os sistemas da empresa admitem monitoramento para segurança, com política publicada, e o conteúdo pessoal que neles entra merece tratamento de minimização, não de exploração.

O teletrabalho e os acordos coletivos estreitam ainda mais o quadro. A legislação do teletrabalho exige que os meios de supervisão sejam compatíveis com a natureza do trabalho e respeitem a jornada, e convenções coletivas podem conter cláusulas específicas sobre controle de jornada e monitoramento que vinculam a empresa. A investigação interna de colaborador suspeito muda de natureza jurídica: deixa de ser caça de adversário externo e passa a ser procedimento que envolve RH, jurídico e DPO, com dossiê formal, preservação de evidência e encaminhamento previsto, e o hunter que aprofunda por conta própria a investigação de pessoa identificada é o maior risco legal do programa.

Vale registrar o limite histórico que a área de segurança costuma esquecer: o monitoramento para avaliar produtividade não é função do programa de CTI e não tem espaço na biblioteca. Métricas de desempenho individual extraídas de telemetria de segurança, como o uso do sistema por colaborador como indicador de dedicação, são uso desviado da finalidade declarada e deslegitimam o programa inteiro perante os colaboradores, que passam a ter razão ao desconfiar. A fronteira declarada, a telemetria serve à segurança e à continuidade do negócio, e nunca à avaliação de pessoa, precisa estar na política e ser defendida pelo gestor do programa em cada oportunidade.

5. Dark Web e OPSEC Legal

A coleta de inteligência em dark web e fóruns criminais é legítima e tem limites legais precisos. Observar e documentar é coleta; comprar dados pessoais vazados para "conferir se nossos funcionários apareceram" é tratamento sem base legal e com potencial infração criminal, e a alternativa correta é o serviço de monitoramento de vazamentos operado por fornecedor idôneo com cadeia de custódia declarada. Acessar contas de terceiros, mesmo vazadas, para verificar alcance de campanha é invasão de dispositivo alheio, e a tentação de "só ver o que o adversário vê" não sobrevive ao contato com o departamento jurídico.

O OPSEC legal do analista tem duas camadas. A primeira é a identidade: usar persona fictícia dedicada, sem elementos que liguem o analista à organização, sem usurpar identidade real de terceiro e sem fraude de credenciais, com contrato e política interna autorizando a atividade. A segunda é o registro: toda atividade em ambiente hostil é logada com horário, alvo e propósito, porque o registro protege o analista em três frentes ao mesmo tempo, a jurídica, que documenta a finalidade de segurança, a de contra-inteligência, que permite detectar quando a persona foi queimada, e a de auditoria interna, que impede que a atividade clandestina se confunda com conduta pessoal.

A fronteira da resposta também é legal e merece linha clara na política do programa: contra-ataque, acesso a sistema do adversário, exclusão de dado em infraestrutura alheia e emprego de exploit contra terceiros não são contra-inteligência, são atos potencialmente criminosos, e a frustração legítima de quem caça ransomware não muda a regra. A resposta defensiva legítima opera no plano do próprio ambiente e dos canais formais: derrubar a página de phishing com pedido ao provedor de hospedagem, tomar o domínio com o registrador, bloquear e monitorar a infraestrutura identificada. A energia que sobra para o resto é energia mal empregada, e o programa que deixa a fronteira implícita paga caro por isso.

A compra de inteligência externa tem também o seu recorte legal: feeds e serviços comerciais processam dados de terceiros, e o contrato que os adquire deve prever a finalidade de segurança, a proibição de reuso e a origem lícita da informação. O programa que reprocessa feed comercial para vigilância de pessoas específicas desvia a finalidade contratada e pode herdar a ilegalidade da coleta alheia; a leitura do contrato, usualmente ignorada, é trabalho do gestor do programa e não formalidade do jurídico.

6. Hunting em E-mails e Conteúdo Pessoal

A caça em e-mails é cotidiana em campanhas de phishing e tem campo minado no conteúdo. O cabeçalho técnico, remetente, rota, domínios, anexos e URLs, é dado de segurança por qualquer leitura proporcional, e é onde a caça deve concentrar o esforço; o corpo da mensagem e, sobretudo, o conteúdo de mensagens pessoais que o colaborador recebeu por engano no endereço corporativo são dados pessoais cujo exame detalhado não se justifica pela hipótese de caça. A prática de minimização correta é extrair artefatos e metadados, mascarar o corpo na ferramenta de triagem e apagar cópias completas de mensagens pessoais recebidas, com registro da ação.

O BYOD e o conteúdo pessoal em dispositivos corporativos adicionam a camada de fronteira. A política que separa container corporativo de uso pessoal no mesmo aparelho precisa se refletir na coleta: a telemetria lê o container corporativo, e o hunting que encontra conteúdo pessoal no meio do dado aplica a mesma regra de minimização, sem distribuir nem arquivar o que não é pertinente. Na campanha de phishing, a vítima é titular de dados e também testemunha, e o relato dela é tratado como dado de segurança com minimização, nunca como exposição a circular em fórum interno como curiosidade.

O cuidado com a vítima interna completa a moldura humana do tema: o colaborador que clicou não é o adversário, é o canal, e o tratamento que funciona na prática é o de apoio com registro, preservação do relato, contenção técnica e comunicação sem exposição. Programas que publicam internamente quem clicou, mesmo com boa intenção pedagógica, ensinam os próximos a não relatar, e o silêncio da vítima é exatamente o que estica o dwell time que a biblioteca quer encurtar.

7. Retenção, Acesso e Papel do DPO

A retenção é regida por sobreposição de exigências: o Marco Civil da Internet determina a guarda de registros de conexão por seis meses e de registros de acesso a aplicações por um ano, em condições que o jurídico deve confirmar para o caso concreto; a LGPD exige que a retenção seja limitada à finalidade; e a operação de hunting precisa de janela de histórico suficiente, tipicamente de 30 a 90 dias para as consultas do dia a dia e de 12 meses para as caças de baixa frequência. A política de retenção da biblioteca separa, portanto, a camada de cumprimento legal da camada analítica, com prazos, donos e rotinas de purga registrados por tipo de dado.

O acesso segue a necessidade de conhecer, com controle granular e auditoria das consultas sobre dados pseudonimizados, e a reversão da pseudonimização exige justificativa registrada. Duas obrigações documentais da LGPD sustentam o programa: o registro das operações de tratamento do artigo 37, que descreve o que a segurança coleta e para quê, e o relatório de impacto do artigo 38, exigível para tratamentos de alto risco como o monitoramento de colaboradores. O DPO entra no desenho, e não no rescaldo: a conversa sobre nova telemetria acontece antes da habilitação, com a matriz da nota 01 do capítulo 12 como material de apoio, e o DPO devolve exigências que o programa incorpora a custo baixo, enquanto a conversa tardia devolve exigências a custo de reprojetar a coleta inteira.

A tabela abaixo organiza as camadas de retenção do programa com os prazos e as bases correspondentes:

A purga é o componente que dá validade à política: camada sem rotina de purga executada é retenção indefinida com aparência de política, e a verificação da purga entra no ritograma trimestral com o DPO, junto da revisão das exceções de acesso. O conjunto forma o ciclo de conformidade da operação, que gira na mesma cadência do programa e não em auditoria isolada.

8. Checklist de Conformidade

O checklist abaixo consolida os pontos de verificação do programa e serve de insumo para a revisão anual com o DPO. Ele não substitui a análise por caso, e os itens marcados como não atendidos viram ações com dono e prazo, no mesmo padrão de qualquer auditoria da biblioteca:

checklist_conformidade_cti_th:
  base_legal:
    - finalidade de segurança documentada com base legal declarada por família de dados
    - análise de interesse legítimo registrada e revisada anualmente
    - retenção obrigatória do Marco Civil cumprida e separada da camada analítica
  minimizacao:
    - campos coletados justificados por hipótese de caça
    - dados sensíveis identificados com regra de tratamento própria
    - pseudonimização disponível para análises de longo prazo
    - mascaramento em dashboards rotineiros e reversão controlada
  monitoramento_de_colaboradores:
    - política de uso publicada e aceita por todos os colaboradores
    - comunicação de monitoramento explícita e sem vigilância oculta
    - investigações de insider passam por RH, jurídico e DPO com dossiê formal
    - telemetria usada exclusivamente para segurança, nunca para avaliação de produtividade
  dark_web:
    - nenhuma aquisição de dados pessoais vazados
    - acessos do analista registrados com horário, alvo e propósito
    - persona fictícia autorizada por contrato e política interna
  acesso_e_retencao:
    - acesso por necessidade de conhecer com auditoria das consultas
    - prazos de retenção por tipo de dado com rotina de purga executada
    - registro de operações e relatório de impacto atualizados
    - purga verificada trimestralmente com o DPO
  incidentes:
    - fluxo de comunicação à ANPD e aos titulares definido com o DPO
    - gatilho, prazo e dono da comunicação previstos no fluxo de resposta

9. Integração com o Restante da Biblioteca

A nota limita e protege as práticas dos capítulos 02 e 07: o que o capítulo 02 manda coletar e o que o capítulo 07 manda normalizar precisa caber na moldura desta nota, e a matriz de coleta da nota 01 deste capítulo é o ponto de encontro natural entre o grupo DAT e o DPO. O capítulo 13 de contra-inteligência compartilha aqui a disciplina de registro: o analista logado no ambiente hostil é o mesmo personagem da proteção de contra-inteligência, e o registro legal é também registro operacional.

O relatório executivo da nota 04 do capítulo 11 merece uma linha de atenção adicional: lacunas de coleta que existem por decisão de privacidade devem aparecer no relatório como decisão assumida, e não como falha do programa, porque a liderança precisa saber que a lacuna é escolha consciente com base legal, e não esquecimento. O exercício de fechamento é revisar as três fontes de telemetria mais volumosas do próprio ambiente, identificar a base legal de cada uma, verificar se a análise de interesse legítimo existe e agendar a conversa com o DPO para o item que não a tem.