Nos últimos anos, temos testemunhado um endurecimento significativo dos requisitos de proteção da privacidade em todo o mundo. Regulamentações como o GDPR na Europa, a CCPA na Califórnia, a PIPEDA no Canadá e outras legislações em muitos países criaram um novo padrão para a gestão de informações pessoais. Em Israel, a Emenda 13 à Lei de Proteção da Privacidade representa mais um passo significativo nessa direção.
Para as organizações que realizam verificações de antecedentes baseadas em inteligência de fontes abertas (OSINT), por vezes surge a questão de saber se essas regulamentações tornarão tais verificações impossíveis ou prejudicarão a sua eficácia.
A resposta profissional é não.
A regulamentação altera a forma como a verificação é realizada, mas não elimina a necessidade dela nem impede a realização de verificações de qualidade quando estas são conduzidas de forma profissional, legal e proporcional.
O que é a Emenda 13 à Lei de Proteção da Privacidade? A Emenda 13 destina-se a fortalecer as capacidades de fiscalização da Autoridade de Proteção da Privacidade e a alinhar a legislação israelense aos padrões internacionais modernos. Entre outras coisas, a emenda concede à Autoridade de Proteção da Privacidade poderes de fiscalização mais amplos, aumenta significativamente o valor das sanções financeiras, obriga as organizações a gerir as informações pessoais de forma mais responsável, aumenta a responsabilização dos titulares de bancos de dados e dos processadores de dados, e fortalece os direitos dos titulares dos dados. Na prática, a implicação para as organizações é que a violação das disposições de privacidade pode tornar-se um risco empresarial, jurídico e reputacional significativo.
Como as regulamentações de privacidade afetam as verificações de antecedentes? O erro mais comum é pensar que a legislação de privacidade proíbe a coleta de informações. Na verdade, a maioria das regulamentações no mundo não proíbe a coleta de informações pessoais de forma generalizada. Elas exigem que a coleta seja realizada com base em princípios claros: uma finalidade legítima, proporcionalidade, transparência, minimização de dados, segurança da informação e conservação limitada no tempo. Ou seja, a questão não é "é permitido coletar informações?", mas sim "que informações são coletadas, por que são coletadas e como são utilizadas?".
O uso de OSINT não está isento das leis de privacidade. Existe outra percepção equivocada segundo a qual as informações publicadas na Internet são "de uso livre". O fato de a informação se encontrar na rede não anula a sua condição de informação pessoal. Por exemplo: um perfil do LinkedIn, as publicações em redes sociais, os artigos jornalísticos, os registros comerciais e os conteúdos em fóruns. Todos estes podem ser considerados informações pessoais e estar sujeitos às leis de privacidade. Por isso, uma organização que realiza verificações de antecedentes não pode basear-se na alegação de que a informação era meramente "pública".
Como é possível realizar verificações de antecedentes de qualidade em conformidade com a regulamentação?
Definir uma finalidade clara: Uma verificação de antecedentes deve estar diretamente relacionada com o risco que a organização procura mitigar. Por exemplo: detetar conflitos de interesses, identificar fraudes passadas, detetar comportamentos que possam prejudicar a organização, examinar riscos reputacionais e identificar relações comerciais problemáticas. A coleta de informações não relacionadas com essa finalidade pode ser considerada um desvio do princípio da proporcionalidade.
Coletar apenas informações relevantes: Uma verificação profissional não se mede pela quantidade de informações coletadas, mas pela qualidade das informações. Em muitos casos, um excesso de informações dificulta justamente a tomada de decisões. A abordagem correta é concentrar-se em informações com valor empresarial real e vinculá-las à avaliação de risco necessária.
Recorrer a analistas humanos: Um dos problemas centrais das verificações automatizadas é a coleta massiva de informações sem contexto. Um analista profissional sabe distinguir entre fato e opinião, cruzar fontes, identificar erros de identificação, compreender contextos culturais e linguísticos e exercer o discernimento. Justamente num mundo de regulamentação rigorosa, o valor do fator humano aumenta.
Transparência e consentimento quando necessário: Em processos de contratação de funcionários ou em determinadas relações contratuais, recomenda-se obter um consentimento explícito para a realização de uma verificação de antecedentes. Mesmo quando a lei não o exige plenamente, um consentimento claro fortalece a legitimidade do processo e reduz os riscos jurídicos.
Eliminação de informações e conservação limitada: Um dos princípios fundamentais da maioria das regulamentações de privacidade é a limitação da duração da conservação. Após concluir a verificação e tomar a decisão empresarial, deve-se examinar se há justificação para continuar a conservar as informações, se os relatórios podem ser eliminados e se é necessária apenas uma conservação parcial dos dados. Essa abordagem reduz os riscos de segurança da informação e diminui a exposição regulatória.
A vantagem do OSINT justamente na era da privacidade: Paradoxalmente, as regulamentações de privacidade fortalecem justamente a posição das verificações OSINT de qualidade. No passado, muitas organizações baseavam-se na coleta de informações de inúmeros bancos de dados, alguns deles problemáticos do ponto de vista jurídico. Hoje, a ênfase desloca-se para as informações coletadas de fontes abertas, legais, documentadas e verificáveis. Quando a verificação é realizada de forma profissional, é possível chegar a conclusões significativas mesmo sem acesso a informações privadas ou confidenciais. Em muitos casos, são justamente as informações abertas que fornecem os indícios mais importantes sobre o comportamento, as relações comerciais, os riscos reputacionais ou os conflitos de interesses.
A chave é a Governance e não a proibição: A mensagem central da Emenda 13 e das regulamentações de privacidade no mundo não é "não realizem verificações de antecedentes". A mensagem é: realizem-nas de forma responsável. As organizações que construírem processos de trabalho organizados, zelarem pela proporcionalidade, operarem mecanismos de controlo e recorrerem a analistas profissionais poderão continuar a realizar verificações de antecedentes extremamente eficazes mesmo sob uma regulamentação rigorosa.
De fato, num mundo em que as ameaças internas, as fraudes, as falsificações de identidade baseadas em AI e os conflitos de interesses se tornam mais complexos, a necessidade de verificações de antecedentes profissionais só aumenta.
O novo desafio não é encontrar informações. O desafio é saber coletar as informações certas, utilizá-las de forma legal e delas extrair conclusões de valor real para a tomada de decisões.