A prova de conhecimento zero (zero knowledge proof) pode proteger a privacidade da pessoa ou do usuário?

Texto por Matheus Linck Bassani [1] – Pesquisador do iCoLab

A pergunta exposta desse breve comentário decorre da leitura do teor do Acórdão 1384/2022 – TCU – Plenário – (Processo: TC 039.606/2020-1 Sessão: 15/6/2022), que informou que a “auditoria do TCU mostrou que é alto o risco à privacidade dos cidadãos que têm dados pessoais coletados e tratados pela Administração Pública Federal”, assim resumido pela SECOM daquele Tribunal:

RESUMO:

O TCU fez auditoria para avaliar as ações governamentais e os riscos à proteção de dados pessoais. A análise abrangeu 382 organizações e abordou a condução de iniciativas governamentais para providenciar a adequação à Lei Geral de Proteção de Dados (LGPD) e às medidas implementadas para o cumprimento das exigências estabelecidas na Lei.

O trabalho também comparou as organizações auditadas quanto ao nível de adequação à LGPD e concluiu que 17,8% estão no nível inexpressivo; 58,9% estão no nível inicial; 20,4% estão no nível intermediário e 2,9% estão no nível aprimorado.

O diagnóstico acerca dos controles implementados pelas organizações públicas federais para adequação à LGPD apresentou, portanto, situação de alto risco à privacidade dos cidadãos que têm dados pessoais coletados e tratados pela Administração Pública Federal.

O Tribunal de Contas da União (TCU) fez auditoria para avaliar as ações governamentais e os riscos à proteção de dados pessoais. Foi elaborado um diagnóstico sobre os controles implementados pelas organizações públicas federais para adequação à Lei Geral de Proteção de Dados (LGPD). Essa lei considera que dado pessoal é a “informação relacionada à pessoa natural identificada ou identificável”.

A análise abrangeu 382 organizações a respeito de aspectos relacionados à condução de iniciativas para providenciar a adequação à LGPD e às medidas implementadas para o cumprimento das exigências estabelecidas na Lei. [2]

O risco não está somente no âmbito das instituições públicas, mas também das instituições privadas que utilizam os dados pessoais, muitos deles sensíveis, como dados de saúde, o que tende a agravar o potencial dano à pessoa. [3]

A privacidade é um bem jurídico a ser tutelado como direito fundamental previsto no art. 5º, X, da CF:

Art. 5º Todos são iguais perante a lei, sem distinção de qualquer natureza, garantindo-se aos brasileiros e aos estrangeiros residentes no País a inviolabilidade do direito à vida, à liberdade, à igualdade, à segurança e à propriedade, nos termos seguintes: (…); 

X – são invioláveis a intimidade, a vida privada, a honra e a imagem das pessoas, assegurado o direito a indenização pelo dano material ou moral decorrente de sua violação;   

A privacidade é um dos fundamentos para a proteção de dados conforme art. 2º, I, da LGPD Lei nº 13.709/2018, confirmando a simetria com a CF de que é um bem jurídico a ser tutelado. No caso, salienta-se também a autodeterminação informativa prevista no inciso II do art. 2º, e o respeito aos direitos humanos, livre desenvolvimento da personalidade, dignidade e exercício da cidadania pelas pessoas naturais, conforme inciso VII do mesmo artigo. [4]

Por outra perspectiva, busca-se avaliar instrumentos para prover proteção à privacidade, nesse caso, no âmbito digital. Identificou-se que a prova de conhecimento zero pode ser uma ferramenta útil, assim definida:

First presented in 1985, Zero Knowledge Proofs (ZKP) enable one party (the “prover”) to prove to another party (the “verifier”) assertions regarding properties of secret information known only to the prover, without revealing the secret information itself. ZKP address the insight that often we are unnecessarily exposed to an entire corpus of data for the sole purpose of verifying limited properties of the corpus. [5]

Nesse contexto, a prova de conhecimento zero visa proporcionar limites e controle ao acesso de informações privadas: 

Nonetheless, the technology has the potential to improve data privacy and security in a wide range of use-cases, from fraud prevention systems that require a user’s age, to the use of anonymous data to feed into the Internet of Things (IoT). The latter is also an example of the benefit this technology can provide to regulatory constraints such as GDPR, the European data protection regulations. [6]

Numa elaboração hipotética da aplicação concreta da prova de conhecimento zero, poderíamos cogitar algumas características inerentes à relação (elementos) e forma de tratamento:

A) Elementos identificados na relação:

• Network/Chain (rede) = trust layer (camada de confiança) – local que circulam os dados
• Sujeito – pessoa natural ou jurídica – usuário = titular dos dados
• Entidade tratadora dos dados = receptora
• Dados – pode ser uma condição para estabelecimento de uma relação contratual ou o próprio objeto de uma relação

B) Forma de tratamento considerando a aplicação da prova de conhecimento zero:

• Dados do sujeito tratados conforme a necessidade, ou seja, a entidade trata apenas dados essenciais para a finalidade [7] específica da relação (contratual);

• Dependendo da questão técnica, a entidade receptora acessaria [8] os dados [9] e apenas receberia uma confirmação da existência de determinada característica ou informação sem que o mesmo seja divulgado (disclosed).

• Perguntas com respostas sim ou não. Ex: o sujeito possui cadastro positivo?

• Nesse caso, haveria uma transferência da função de verificação, ou seja, a camada de confiança – trust layer (rede ou chain) – irá confirmar ou não a existência daquela condição;

• Essa camada de confiança pode ser tanto pública como privada considerando os seguintes aspectos: privacidade, segurança, responsabilidade, escalabilidade.

• Os dados não seriam anonimizados porque não haveria a “retirada do vínculo da informação com a pessoa a qual se refere” [10], mas poderiam ser auditáveis.
• Exemplificativamente, preenchidas as condições técnicas e legais, pode emergir uma relação contratual, com a consequente execução de um contrato: fornecimento de um serviço, por exemplo. 
• Um desafio técnico (a ser confirmado por área científica específica) é se essa camada de confiança estiver numa blockchain sem permissão (permissionless blockchain), o consentimento do usuário para divulgar os dados pode ser afetado em razão da natureza irrestrita da própria rede. Nesse caso, cogita-se que há potencial indicação que a prova de conhecimento zero seria uma solução para esse problema.

Considerações Finais

Á partir do conteúdo exposto, numa análise preliminar, seria possível afirmar que os princípios do art. 6º da LGPD, como a transparência, segurança e responsabilização [11], entre outros já comentados, podem ser reforçados mediante a prova de conhecimento zero.

Consequentemente, há uma mitigação do risco à violação da privacidade muito presente hoje nos modelos de negócio e nos bancos de dados público e privados. 

Para concluir e responder a pergunta do artigo, os titulares dos dados podem ser positivamente impactados com a introdução dessa nova tecnologia.

Referências:

 [1] Doutor e Mestre em Direito pela Universidade Federal do Rio Grande do Sul – UFRGS. Assessor Superior do TJRS. Coordenador da área do Direito do Icolab. E-mail: [email protected]

 [2] TCU. Disponível em https://portal.tcu.gov.br/imprensa/noticias/tcu-verifica-risco-alto-a-privacidade-de-dados-pessoais-coletados-pelo-governo.htm. Acesso em 20/05/2023.

[3] BRASIL. Lei Geral de Proteção de Dados. Art. 5º Para os fins desta Lei, considera-se:

I – dado pessoal: informação relacionada a pessoa natural identificada ou identificável;

II – dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;

III – dado anonimizado: dado relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento; (…).

[4] BRASIL. LGPD. Art. 2º A disciplina da proteção de dados pessoais tem como fundamentos:

I – o respeito à privacidade;

II – a autodeterminação informativa; (…)

VII – os direitos humanos, o livre desenvolvimento da personalidade, a dignidade e o exercício da cidadania pelas pessoas naturais

[5] Kenneth A. Bamberger, Ran Canetti, Shafi Goldwasser, Rebecca Wexler & Evan Zimmerman. Verification  dilemmas in law and the promise of zero-knowledge proofs. BERKELEY TECHNOLOGY LAW JOURNAL.  Vol. 37 pp. 101-166. P. 127.

[6] BBVA. Zero Knowledge Proof: how to maintain privacy in a data-based world. Disponível em https://www.bbva.com/en/zero-knowledge-proof-how-to-maintain-privacy-in-a-data-based-world/. Acesso em

[7] “BRASIL. LGPD.” Art. 6º As atividades de tratamento de dados pessoais deverão observar a boa-fé e os seguintes princípios:

I – finalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades;

II – adequação: compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento;

III – necessidade: limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados;

[8] “BRASIL. LGPD.” Art. 6º (…); IV – livre acesso: garantia, aos titulares, de consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais; 

[9] “BRASIL. LGPD.” Art. 6º (…); V – qualidade dos dados: garantia, aos titulares, de exatidão, clareza, relevância e atualização dos dados, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento;

[10] DONEDA, Danilo. Da privacidade à proteção de dados pessoais. 2 ed., ver. e atual. São Paulo: Revista dos Tribunais, 2019. p. 142.

[11] “BRASIL. LGPD.” Art. 6º VI – transparência: garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial;

VII – segurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;

VIII – prevenção: adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais;

IX – não discriminação: impossibilidade de realização do tratamento para fins discriminatórios ilícitos ou abusivos;

X – responsabilização e prestação de contas: demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas.