Conceitos
Privacidade e conformidade por design: residência, minimização e trilha de auditoria
Intuição
Pense num consultório que guarda fichas de pacientes. Boas práticas dizem: anote só o que é realmente necessário, guarde as fichas num armário trancado dentro do próprio país onde o paciente mora, deixe só quem precisa abrir o armário, registre num livro quem abriu qual ficha e quando, e jogue fora fichas que não servem mais. Se você pensar nisso só depois de o consultório estar montado, vai ter que reformar tudo; se pensar desde o projeto, as regras viram parte da planta da casa.
Como funciona
Terminologia da indústria (não vem de nenhum paper do corpus): privacidade por design trata requisitos de proteção de dados pessoais como restrições de arquitetura, não como revisão final. Residência de dados (data residency, ou localização de dados) exige que certos dados fiquem fisicamente em uma região ou país; na prática isso significa particionar ou fixar (pinning) os dados por região, roteando cada usuário para o shard da sua jurisdição e mantendo ali também índices, caches, filas, logs e backups derivados. Minimização e limitação de finalidade pedem coletar apenas os campos necessários para um propósito declarado e não reutilizá-los para outro; pseudonimização troca identificadores diretos por tokens, mantendo a tabela de correspondência separada e mais protegida, o que reduz o dano de um vazamento mas não torna o dado anônimo. Retenção e exclusão (direito ao apagamento) definem prazos de vida por categoria de dado e um caminho de deleção que alcance todas as cópias; isso conflita com logs imutáveis e backups, e as saídas comuns são não gravar dados pessoais em logs imutáveis, guardar só referências ou tokens, ou usar crypto-shredding, isto é, cifrar cada titular com sua própria chave e apagar a chave para tornar ilegíveis todas as cópias, inclusive backups. Criptografia em trânsito (TLS) e em repouso, com gestão de chaves em um KMS, rotação e chaves separadas por região ou por tenant, limita o que um acesso indevido ao armazenamento revela. Acesso por privilégio mínimo (least privilege), com papéis estreitos e credenciais de curta duração, é complementado por uma trilha de auditoria append-only, de preferência com verificação de integridade como encadeamento de hashes ou armazenamento write-once, registrando quem acessou o quê, quando e por quê. Há uma tensão explícita com replicação geográfica e DR (ver concept_geo_replication_failover_rpo_rto): replicar entre regiões para obter RPO baixo e failover rápido pode copiar dados pessoais para fora da jurisdição permitida, então o conjunto de regiões de réplica e de destino de backup deve ser restrito pela política de residência, aceitando RPO/RTO piores ou pares de regiões dentro da mesma jurisdição.
Na prática
Em sistemas reais isso aparece como mapeamento de dados pessoais (inventário), seleção de região por tenant, políticas de retenção com TTL, fluxos de exportação e exclusão a pedido do titular e logs de acesso a dados sensíveis, e é decisivo quando há usuários sob regimes como GDPR (União Europeia) e LGPD (Brasil, Lei 13.709/2018), que regulam dados pessoais; a consequência de engenharia é desenhar residência, exclusão e auditoria desde o início, pois retrofit é caro. Referências canônicas: o texto do GDPR, a Lei 13.709/2018 (LGPD) e o trabalho 'Privacy by Design' de Ann Cavoukian; as obrigações exatas dependem da jurisdição e devem ser validadas com o time jurídico. Ao desenhar, decida primeiro quais dados são pessoais e onde podem viver, e só depois escolha topologia de replicação, backup e observabilidade dentro desses limites.
Use em um desenho
Pratique na escola de System Design os casos que dependem deste conceito.