Retomando de onde o panorama parou

O curso de nível Sênior "Conformidade: o panorama regulatório" disse que a GDPR é o Regulamento (UE) 2016/679, aplicável desde 25 de maio de 2018. Ele disse que o gatilho é onde está o titular dos dados e o mercado em que você oferece o produto, e não o endereço da sua empresa. Disse que existe a distinção entre controlador e operador, e que as multas crescem em dois níveis conforme a gravidade da violação. Tudo isso continua valendo, e nada disso se repete aqui.

O que o panorama pulou de propósito é tudo o que uma pessoa de engenharia Rails faz quando a GDPR se aplica. Qual das seis bases legais justifica uma gravação no banco? O que acontece quando um usuário manda um e-mail pedindo para ser esquecido? Por que dependent: :destroy não é resposta para esse e-mail? Este curso trata disso.

Por que "temos uma política de privacidade" nunca foi a parte difícil

Uma política de privacidade é um documento. Conformidade com a GDPR é um conjunto de sistemas rodando. É uma base legal registrada antes de a linha ser gravada. É um fluxo que transforma um chamado de suporte numa identidade verificada e numa resposta com prazo. É um caminho de exclusão que alcança backups, logs e fornecedores terceiros, além da tabela users. Escrever a política leva uma tarde; construir os sistemas que ela promete é o resto deste curso.

As seis lições pela frente

Cada lição pega uma peça operacional e a leva até uma decisão com formato de Rails:

• Lição 2: as seis bases legais e por que o consentimento é a mais procurada e a que mais sai errada. Também a regra de que a base é escolhida antes da coleta e não pode ser trocada depois para justificar um uso novo.
• Lição 3: os direitos dos titulares como fluxos de trabalho. O que cada um exige de uma aplicação, o prazo de um mês e por que verificar a identidade já é um risco.
• Lição 4: eliminação em escala. Por que apagar uma linha de User é os 5% fáceis do problema, e o que a exclusão lógica, a exclusão física e o crypto-shredding oferecem.
• Lição 5: minimização de dados, limitação de finalidade e retenção como decisões tomadas numa migration, além de um PDF de política.
• Lição 6: operadores, cadeias de suboperadores e o que "estes dados saem da UE" significa para uma arquitetura que inclui um fornecedor SaaS americano.
• Lição 7: o prazo de 72 horas para comunicar um vazamento, o que precisa existir antes de ele começar e onde o próximo curso aprofundado continua.

Uma regra básica para o curso inteiro

Nada aqui é aconselhamento jurídico, e nada aqui deve ser a última palavra sobre as obrigações de uma empresa real. O objetivo é mais estreito. Saiba quais decisões são jurídicas e precisam de um advogado ou de um encarregado de proteção de dados. E seja a pessoa de engenharia que consegue construir o que eles decidirem. Uma pessoa sênior que transforma "precisamos de uma base legal para isto" numa migration e num objeto de serviço vale mais nesta conversa do que uma que recita números de artigos.

Com esse enquadramento definido, a lição 2 começa onde a maioria dos times Rails erra primeiro com a GDPR. É no momento da coleta, antes de existir uma única linha, e bem antes da exclusão.