Fuga de dados sensíveis, pedidos de listas pelas autoridades e protocolo de partilha de informações

Dimensão: 1 240 agregados familiares × 6,2 = cerca de 7 690 pessoas identificáveis, das quais 37 agregados familiares assinalados como «VBG» e 12 agregados familiares assinalados como «criança associada» (49 agregados familiares, ou seja, 4% do ficheiro, cerca de 300 pessoas no total). O ficheiro foi visto por 41 pessoas durante dois dias e pode ter sido descarregado ou reencaminhado: o facto de a mensagem ter sido apagada não garante nada.

Gravidade: muito elevada. A associação de nome, telefone, grupo étnico, aldeia de origem e local atual permite localizar e visar pessoas num contexto de conflito com componente comunitária. As menções «VBG» e «criança associada» expõem as sobreviventes à estigmatização e a represálias do autor ou da família, e as crianças associadas e as suas famílias a detenções ou a um novo recrutamento. O risco atinge também o pessoal (acusação de colaboração) e o acesso da organização.

24 horas: (1) contenção: pedir por escrito e individualmente aos membros do grupo que apaguem o ficheiro, sem recordar o seu conteúdo; pedir ao administrador do grupo que limite os reencaminhamentos; (2) declarar o incidente à direção de país e ao ponto focal de proteção de dados de acordo com o procedimento; (3) avaliação individual do risco para os 49 agregados familiares assinalados, com prioridade para os 37 de VBG e os 12 de crianças associadas, pelos gestores de casos, com contacto discreto pelo canal acordado com cada pessoa; (4) suspender o envio de exportações nominais por mensagens para toda a equipa; (5) informar o monitor do seguimento, sem sanção imediata, e recolher os factos sobre a pressão sofrida.

7 dias: planos de segurança e opções de realojamento ou de encaminhamento para as pessoas mais expostas; informação dos agregados familiares em causa de forma adaptada, se for seguro fazê-lo; análise das causas (pressão da administração, ausência de regras de partilha, ficheiros em telemóveis pessoais); notificação ao doador se o acordo o previr; informação do grupo de trabalho de proteção sem dados pessoais; plano de medidas corretivas (pergunta 3); acompanhamento de qualquer incidente comunicado pelos agregados familiares em causa.

Análise: os dados pedidos são exatamente os que permitiriam visar pessoas com base na etnia e na idade, num contexto de detenções de homens jovens. Transmiti-los exporia as pessoas a violações graves, destruiria a confiança das comunidades e comprometeria o acesso e a segurança do pessoal. Os dados foram recolhidos para prestar assistência, com o consentimento das pessoas apenas para essa finalidade.

Princípios: princípios humanitários (neutralidade, imparcialidade, independência); princípio de proteção «não causar dano»; limitação da finalidade e minimização dos dados; consentimento informado; responsabilidade pelos dados tal como descrita nas orientações operacionais do IASC.

O que pode ser partilhado: números agregados e não sensíveis (número de agregados familiares e de pessoas por local, por sexo e grande faixa etária), se isso servir a assistência ou a proteção dos locais, sem etnia nem dados que permitam identificar grupos pequenos. A posição é coordenada com a direção de país, o grupo de trabalho de proteção e, se possível, uma posição comum das organizações humanitárias (coordenação civil-militar).

Resposta: «Acusamos a receção da vossa carta e partilhamos a vossa preocupação com a segurança dos locais. A nossa organização recolhe dados pessoais com o único objetivo de prestar assistência humanitária, com o consentimento das pessoas e de acordo com regras estritas de confidencialidade. Não estamos, por isso, em condições de transmitir listas nominais nem dados sobre a origem étnica ou a idade dos membros dos agregados familiares. Podemos comunicar-vos os efetivos globais por local e continuamos disponíveis para dialogar, em conjunto com as outras organizações humanitárias, sobre as medidas de segurança dos locais. O nosso diretor de país está ao vosso dispor para uma reunião.»

Três primeiras medidas: (1) proteger física e digitalmente os processos de gestão de casos; (2) apagar imediatamente todos os dados nominais dos telemóveis pessoais e proibir o envio de ficheiros nominais por mensagens; (3) suprimir os nomes das vítimas da monitoria e a etnia do registo, se não for necessária. Em seguida: formação de toda a equipa, acordo de confidencialidade assinado, procedimento escrito de gestão de incidentes de dados.

Grupo de trabalho de proteção: sim, dados agregados e anonimizados (incidentes por comuna e por tipo), sem dados que permitam reidentificar uma pessoa (supressão das células com efetivos muito pequenos, por exemplo, menos de 5).

Doador: nenhuma lista nominal com telefones. Alternativas: lista por identificadores únicos; verificação pelo agente de monitoria de uma amostra de agregados familiares que consentiram em ser contactados, contactados pela organização; visita acompanhada; ou acordo de partilha de dados que especifique finalidade, segurança, duração e destruição, se a verificação nominal for contratualmente exigida e o consentimento estiver previsto.

Outra ONG: partilha possível para uma finalidade de assistência compatível, mas apenas no âmbito de um acordo de partilha de dados, limitada aos dados necessários (nome, identificador, dimensão do agregado familiar), sem vulnerabilidades sensíveis, e se o consentimento recolhido abranger essa partilha; caso contrário, a organização pode contactar ela própria os agregados familiares para obter o seu acordo.

Protocolo em cinco regras: (1) finalidade definida e compatível com a recolha; (2) minimização: apenas os dados necessários, agregados por defeito; (3) nunca dados nominais sensíveis (VBG, crianças associadas, etnia, presumíveis autores) fora da gestão de casos e do encaminhamento consentido; (4) transferência apenas por canais seguros, com acordo escrito e validação do responsável de proteção; (5) registo das partilhas, prazo de conservação e destruição confirmada.

Monitor: nenhum despedimento imediato sob pressão da equipa. O erro é grave, mas revela sobretudo falhas do sistema (exportações em telemóveis, ausência de regras, pressão de um agente da administração não comunicada à hierarquia). Peço um procedimento disciplinar equitativo conduzido pelos recursos humanos, com audição do monitor; entretanto, retiro-lhe os acessos aos dados nominais. Recolho os factos sobre a pressão sofrida, que deve ser tratada à parte. Lembro a toda a equipa a obrigação de comunicar este tipo de pedido.

Chefe de bairro: agradeço-lhe e levo as ameaças a sério: reunião com o responsável de segurança, análise da ameaça, conselhos de segurança e, se ele o desejar e for seguro, encaminhamento para um ator de proteção. Não divulgo que foi ele quem fez a comunicação.