Por Eduardo Taborda (*)

Os dados pessoais e a sua proteção são um tema transversal a todos os cidadãos. A consciência da sua importância varia significativamente de pessoa para pessoa e, no caso das autoridades e agentes económicos, conforme o país ou o bloco económico em que se inserem.

Muitas vezes, a proteção de dados é abordada na esfera pública como um desafio essencialmente burocrático. No entanto, a verdade sobre a importância da proteção de dados emerge quando surgem falhas relevantes, com a exposição de dados pessoais de milhares ou milhões de utilizadores, perdas financeiras e pessoais importantes, e o frequente coro de responsabilizações genéricas que tende a seguir-se. E, neste contexto, o software e a comunidade open source podem marcar a diferença na capacidade de proteger os dados de todos nós.

Legislação robusta, pedagogia por fazer

No Dia Europeu da Proteção de Dados, a 28 de janeiro, assinalaram-se nove anos desde a adoção do Regulamento Geral de Proteção de Dados (RGPD). Este marco surge na sequencia da Convenção 108 do Conselho da Europa sobre a proteção de informações pessoais. Este diploma legal, que nasceu em 1981, foi o primeiro vinculativo no direito internacional sobre a proteção de dados, e abriu caminho para um trabalho conjunto entre legisladores e especialistas que, no caso da União Europeia, culminou no referido regulamento, considerado um dos mais rigorosos do mundo, publicado em 2016 e implementado dois anos depois.

Apesar de se tratar de uma referência, o RGPD não é único. Do outro lado do Atlântico, o Brasil promulgou dois anos depois a Lei Geral de Proteção de Dados Pessoais (LGPD), que desde 27 de janeiro deste ano e por acordo com a União Europeia (UE) é considerada equivalente ao RGPD.  Nos EUA, e num caso que é exceção, o estado da Califórnia reforçou em 2020 e por via do California Privacy Rights Act (CPRA) a norma CCPA já existente, para uma maior abragência. Criar um diálogo entre as diferentes legislações é um imperativo. Mas também estimular a consciência e exigência dos cidadãos face à sua aplicação.

Em 2024, de acordo com o 2.º Relatório da Comissão Europeia sobre a aplicação do RGPD na UE, 72% dos inquiridos afirmam ter ouvido falar do RGPD, mas apenas 40% sabiam o que é. Portugal destacou-se na consciência (74%), mas não no conhecimento, que revelou ser semelhante aos dos outros países europeus.

Há um vasto trabalho de pedagogia a fazer, quando se observa, no mais recente relatório do Centro Nacional de Cibersegurança (2025) que, em 70% das notificações efetuadas por cidadãos, empresas e Administração Pública à Comissão Nacional de Proteção de Dados (CNPD), a confidencialidade da informação foi comprometida. E a falha humana foi a origem principal desta quebra, em 30% dos casos, seguida da exploração de vulnerabilidades (15%) e do phishing (15%). Ou seja, entre responsáveis de proteção de dados e utilizadores, muito está a falhar.

Open source, uma mais valia na proteção de dados

Do lado do código aberto e de quem o desenvolve, a consciência da importância da proteção de dados existe e muito tem sido feito. A comunidade open source tem estado, desde 2016, na origem de múltiplas soluções de compliance com o RGPD.

A lista está longe de ser curta e vai desde software de segurança de informação que identifica vulnerabilidades de privacidade, a ferramentas de avaliação de risco do RGPD, aplicações que concedem aos utilizadores fácil acesso aos seus direitos de consumidor, e ferramentas de eliminação de dados pessoais ou até software de gravação de consentimento.

Há um vasto leque de opções, todas desenvolvidas em código aberto, transparente, auditáveis, e também por isso acessíveis a todos e sujeitas a uma melhoria contínua que depende apenas da vontade coletiva.

O princípio “shift left”, por exemplo, que determina considerar a integração de segurança no processo de desenvolvimento desde o início, desde a fase de planeamento, e não apenas quando os produtos se encontram em fase de testes, homologação ou produção, é um importante trunfo que, na segurança de informação como na proteção de dados, a comunidade open source assegura.

Transpondo este princípio para a realidade específica da proteção de dados, ele coloca o responsável pelo tratamento de dados pessoais como pivot de um trabalho conjunto com as equipas de desenvolvimento, no sentido de as apoiar na identificação de riscos de segurança e privacidade durante todo o ciclo de vida do software e garantir que as melhores práticas de segurança estejam mapeadas e integradas ao processo de desenvolvimento desde a conceção de um produto ou funcionalidade. As revisões periódicas do alinhamento da documentação com a prática e a legislação integram também este trabalho contínuo, que resulta também em formação e consciencialização sobre a regulamentação de privacidade aplicável a cada geografia em que as soluções são utilizadas.

A comunidade open source, à escala global, está consciente da importância da proteção de dados pessoais e a trabalhar diariamente para um aumento da sua eficácia. Falta que os cidadãos tenham vontade de conhecer melhor este esforço, desenvolvido em nome de todos.

(*) CEO da Syone