Um sinistro automóvel é um dos objetos de dados mais complicados que existem no seguro. Mistura dados pessoais de dois condutores que não se conhecem, dados de contrato de duas seguradoras que competem entre si, fotografias que um fez e que interessam ao outro, um orçamento de uma oficina, um relatório de um perito e, quando há feridos, dados de saúde, que são categoria especial. E todos esses dados têm de circular entre intervenientes com interesses distintos para que o sinistro se resolva.
A forma tradicional de gerir isto tem sido o reencaminhamento: a declaração é enviada por correio eletrónico, copiada à oficina, anexada ao perito, carregada na plataforma da companhia. Cada reencaminhamento é uma cópia sem controlo, e cada cópia é um problema de proteção de dados à espera de acontecer.
Três perguntas a que um processo tem de responder
De quem é cada dado? Não do processo, de cada dado. Os dados do condutor A são de A. Os de B são de B. As circunstâncias e o esquema são conjuntos, porque são assinados pelos dois. As fotografias são de quem as fornece. A apólice e a cobertura, da seguradora e do tomador. O orçamento e a fatura, da oficina. O relatório de avaliação, do perito ou de quem o encomenda. E os dados de saúde, do titular, com um regime à parte.
Quem pode ver cada dado? A resposta por defeito tem de ser ninguém. O acesso é uma concessão explícita, ao nível do segmento e não do processo, dada por quem fornece a informação e pelas partes do processo. Uma oficina vê o que forneceu e a referência; não vê os dados do condutor contrário porque não precisa deles.
Quem viu o quê e quando? Cada consentimento, cada acesso, cada entrega e cada recusa têm de ficar num registo que não se possa alterar, com data, requerente e autorizador. Quando alguém pergunta, e alguém acaba por perguntar, a resposta já está escrita.
Titular e quem carrega o dado não são a mesma coisa
Há uma distinção que a maioria dos sistemas não faz e que muda tudo: quem carrega um dado não é necessariamente o seu titular. Um gestor de frota pode anexar a fatura da oficina; a fatura continua a ser da oficina. Um condutor pode carregar a fotografia da carta de condução da outra parte; os dados continuam a ser da outra parte. Se o sistema confundir quem carrega com o titular, o gestor de frota acaba por ser dono de dados que não lhe pertencem, e o modelo de permissões deixa de significar alguma coisa.
Na Acciparte, o titular de cada segmento e quem o carregou são dois campos distintos, e o motor de permissões trata-os como tal.
Os dados de saúde, à parte
Quando há feridos, surgem dados de saúde: a lesão, o centro a que se recorreu, o relatório médico. São categoria especial do artigo 9.º do RGPD e não podem ser tratados como o resto do processo. A solução não é protegê-los mais dentro do mesmo circuito; é retirá-los do circuito. Na Acciparte, os segmentos de categoria especial são isolados do resto do processo, nunca entram em permissões por política e só circulam com consentimento explícito do titular, caso a caso. Uma implementação pode, além disso, limitar-se a danos materiais e deixar os dados de saúde totalmente fora.
Quem é responsável e quem é subcontratante
Numa implementação B2B, a empresa que contrata (a frota, o concessionário, o corretor) é a responsável pelo tratamento e a Acciparte é a subcontratante, com contrato assinado antes de ativar o serviço. Os terceiros que se incorporam ao processo, oficina, perito, clínica ou gestor externo, aceitam no seu registo condições com limitação de finalidade, dever de confidencialidade e proibição de uso comercial dos dados. É um vínculo contratual pequeno, mas é o que permite que um interveniente que não é cliente de ninguém possa fornecer documentação com garantias.
Porque isto não é apenas conformidade
Um modelo de governo do dado assim não se constrói para passar uma auditoria. Constrói-se porque é o que permite que intervenientes com interesses distintos, e por vezes opostos, partilhem o mesmo processo. A seguradora da outra parte, a oficina do concessionário e o corretor da frota podem trabalhar sobre o mesmo sinistro precisamente porque nenhum vê mais do que lhe corresponde. A neutralidade da infraestrutura é uma consequência do modelo de permissões, não uma declaração de intenções.
O detalhe do modelo, os papéis e a infraestrutura estão na página de segurança e governo do dado.
Este artigo descreve a conceção da Acciparte e não constitui aconselhamento jurídico sobre proteção de dados.