Dados Sensíveis em Formulários: O Que Não Perguntar

A falha raramente é o formulário. É o formulário de triagem de uma clínica que pede para a pessoa descrever os sintomas, chegando como e-mail simples em uma caixa compartilhada que quatro recepcionistas mantêm aberta, e sendo encaminhado duas vezes antes de alguém ler.

Nada nessa cadeia foi mal-intencionado. O formulário coletou dados que elevaram o risco, e o encanamento por trás foi feito para perguntas sobre horário de funcionamento.

As categorias que mudam as regras

Alguns dados recebem tratamento diferente na maioria das jurisdições e exigem uma justificativa mais forte que "era útil". Informação de saúde, biometria, origem racial ou étnica, convicção religiosa, filiação sindical, orientação sexual e opinião política ficam no nível mais estrito sob regimes do tipo LGPD e GDPR.

Um segundo grupo não é formalmente especial, mas se comporta como se fosse: identificadores nacionais como CPF, número de passaporte ou habilitação, dados bancários, antecedentes criminais, situação migratória e qualquer coisa sobre uma criança.

O efeito prático é idêntico. Se um campo cai em qualquer um dos dois grupos, a resposta para "podemos simplesmente deixar na tabela de envios?" é não por padrão.

O primeiro controle é o próprio campo

Todos os outros controles vêm depois de decidir se o dado existe. Um campo de restrições alimentares em um formulário de evento é um campo de saúde fantasiado, porque "celíaco" e "alergia a amendoim" são respostas que as pessoas vão dar e as duas são dado sensível.

Normalmente dá para obter o resultado operacional sem a categoria. Troque "alguma condição médica ou restrição alimentar?" por um conjunto de opções de prato e uma caixa para "algo que precisamos saber no dia", e a maioria vai te dar a logística sem o diagnóstico.

O mesmo truque vale em outros lugares. Você raramente precisa da data de nascimento; precisa saber se a pessoa é maior de dezoito. Raramente precisa do CPF completo na fase de solicitação; precisa dele no cadastro, a partir de um sistema feito para isso.

Peça mais tarde, e por outro canal

A sequência é um controle por si só. O trabalho de um formulário no primeiro contato é determinar se há trabalho a fazer, não completar o dossiê.

Para qualquer coisa do nível estrito, colete no momento em que é preciso, no sistema que precisa, com a retenção mais curta que você consiga defender. Um documento de identidade que verifica alguém deve ser conferido e apagado, não arquivado. Um formulário de candidatura deve coletar competências e experiência, com a documentação pedida depois da proposta em vez de a todos os noventa candidatos.

Nunca colete números de cartão em um campo de formulário. Não existe configuração que torne isso aceitável. Um número de cartão em um campo de texto puxa de uma vez sua ferramenta de formulários, seu e-mail, suas exportações e seus backups para dentro do escopo de PCI. Use o campo hospedado de um processador de pagamento ou um link de pagamento.

E-mails de notificação são o maior vazamento

A maioria das ferramentas envia por padrão o envio completo na notificação. Esse único padrão transforma a caixa de cada destinatário em uma cópia sem controle dos seus registros mais sensíveis, replicada no celular, no notebook e no arquivo do provedor.

Mude isso. A notificação deve dizer que chegou um envio, nomear o formulário e apontar um link. Os dados ficam em um lugar só, com controle de acesso na frente, e revogar o acesso de alguém passa a revogar alguma coisa de verdade.

O mesmo vale para regras de encaminhamento e caixas compartilhadas, que são o caminho pelo qual os envios continuam escapando muito depois de você parar de mandá-los por e-mail.

Anexos carregam mais do que você pediu

Um campo de upload é a entrada mais larga do seu formulário. Fotografias carregam dados EXIF com coordenadas de GPS e identificadores de dispositivo. Documentos de escritório carregam nomes de autor, histórico de revisões e às vezes texto apagado ainda recuperável. Um currículo contém rotineiramente uma data de nascimento, um endereço residencial, uma foto e uma nacionalidade que você nunca pediu e agora guarda.

Restrinja extensões e tamanho, guarde anexos com o mesmo relógio de retenção do registro e verifique se excluir o registro exclui o arquivo. Arquivos órfãos no armazenamento de objetos são um dos achados mais comuns sempre que alguém olha de verdade.

Texto livre coleta o que você não pediu

"Tem mais alguma coisa que devemos saber?" é o campo que transforma um formulário de contato geral em um prontuário. As pessoas contam. Em um formulário de reclamação elas vão citar colegas pelo nome; em um de suporte vão colar senhas e prints com dados de outros clientes.

Você não impede isso por completo, mas rotular ajuda: "Por favor, não inclua dados médicos, números de cartão ou senhas aqui. Vamos pedir separadamente se precisarmos." Dez palavras de texto de ajuda removem uma parcela surpreendente do problema.

Depois trate texto livre como sensível por padrão em retenção e acesso, porque você não pode prometer o que tem dentro.

Como é quando está bem feito

Menos campos. Coleta mais tarde. Uma cópia só dos dados. Notificações que levam um link em vez das respostas. Anexos no mesmo relógio do registro. Texto livre que você assume ser pior do que esperava.

No Instaform um envio vira um registro que você abre, não um e-mail que você recebe, e é isso que torna o resto viável: o acesso é concedido por pessoa, excluir o registro remove os anexos dele, e a notificação nunca vira a cópia que sobrevive a todo o resto. Se a sua triagem já nasce no nível estrito, Instaform para saúde cobre essa configuração especificamente.