Aprenda finalidade, proporcionalidade, consentimento e minimização de dados em OSINT, com noções de LGPD e GDPR e um modelo de plano de pesquisa.
Informação pública não é a mesma coisa que informação que você pode coletar. Um perfil pode estar visível para qualquer pessoa e, ainda assim, ser um péssimo alvo para a sua pesquisa. Ética em OSINT significa decidir, antes da primeira busca, por que você está procurando, quem autorizou, o que vai guardar e quando vai apagar. Este artigo mostra como tomar essas decisões e como registrá-las em um plano de uma página. Ele pressupõe que você já leu O que é OSINT.
Nesta área, ética é prática. Ela molda as escolhas que definem uma coleta: qual pergunta você faz, quais fontes abre, quanto registra e o que publica. A lei define um piso. A prática profissional costuma ficar acima dele, porque uma coleta legal ainda pode prejudicar pessoas que não tiveram voz nela.
Cinco ideias cobrem a maioria dos casos: finalidade, proporcionalidade, autorização, minimização e retenção. Você consegue aplicar as cinco com caneta e papel em branco, antes de abrir o navegador.
Escreva uma frase que diga qual decisão a sua pesquisa apoia. "Descobrir o que eu consigo sobre essa pessoa" é um desejo, não uma finalidade. "Confirmar se todos os domínios registrados em nome da nossa empresa estão no inventário de ativos" é uma finalidade. Uma boa finalidade mostra quais fontes importam e quais resultados são ruído.
Dados coletados para uma finalidade não devem migrar para outra. Se a revisão dos domínios da sua empresa revelar a conta pessoal de um funcionário em uma rede social, essa conta continua fora da revisão, mesmo que você tenha encontrado.
Pergunte se a profundidade da coleta combina com a importância da pergunta. Uma verificação de rotina nos avisos de segurança públicos de um fornecedor não justifica uma linha do tempo com os funcionários dele.
A proporcionalidade vale também para o método. Uma consulta passiva em registros públicos é uma intrusão mais leve do que enviar requisições a um servidor ativo. A pergunta deve decidir qual tipo de passo você precisa, e quando o passo mais leve responder à pergunta, use-o.
Em trabalho de segurança, quem pode aprovar a sua pesquisa são os donos dos ativos. Se você avalia uma organização, a autorização por escrito deve nomear a organização, os ativos, o período e os métodos permitidos. Autorização ausente é motivo para parar, não um detalhe para preencher depois.
Pesquisa pública sobre uma organização que você não representa ainda precisa de um motivo que uma pessoa razoável aceitaria. Ela também deve parar onde começa a vida privada de uma pessoa identificada. O consentimento é base legal para dados pessoais em alguns regimes e uma opção entre outras em outros. Uma página estar pública não é um atalho.
Colete os campos de que você precisa para responder à pergunta, e mais nenhum. Para verificar se um domínio aponta para o seu servidor de e-mail, você precisa do domínio, do tipo de registro, da resposta e do horário em que a observou. Você não precisa do endereço residencial do titular, do HTML completo de uma página com comentários sem relação ou de uma captura de tela que mostra um desconhecido ao fundo.
Minimizar custa menos do que limpar depois. Cada campo que você não coleta é um campo que não pode vazar.
Anote por quanto tempo vai guardar o material e quem pode lê-lo. Um padrão razoável é manter as evidências que sustentam cada achado, apagar os dados pessoais brutos quando o relatório for aceito e registrar a data da exclusão. O número exato de dias depende do seu contrato e da lei que se aplica a você. O que importa é que a data exista no plano, e não só na sua memória.
Três motivos explicam isso.
Primeiro, as pessoas publicam informações com uma finalidade. Uma foto de casamento é compartilhada com amigos, um currículo com recrutadores e uma postagem em fórum com um grupo de hobby. Levar essa informação para um contexto novo pode causar dano, mesmo sem nenhuma invasão.
Segundo, a agregação cria informação nova. Um endereço, um local de trabalho, a escola de uma criança e a rotina de academia podem ser inofensivos isoladamente e perigosos juntos. Um perfil compilado pode expor uma pessoa de um jeito que nenhuma fonte isolada expunha.
Terceiro, fontes públicas incluem dados vazados, coletados por raspagem ou publicados por terceiros. A pessoa descrita pode nunca ter querido que aquilo fosse compartilhado, e guardar esses dados pode ser ilegal. Ter acesso mostra que você consegue ver algo. Não diz se você deve manter isso.
Não pratique OSINT contra pessoas físicas. Isso inclui amigos, ex-parceiros, colegas, vizinhos, pessoas que você conheceu online e figuras públicas de quem você simplesmente não gosta. Quem está aprendendo costuma querer um nome real para testar uma técnica. É exatamente aí que a técnica começa a machucar alguém.
Use o que você controla: suas contas e domínios, uma organização de teste que você está autorizado a avaliar ou os dados sintéticos do seu laboratório. Se um exercício de aula precisa de um alvo, invente um e monte os dados você mesmo. Pesquisar o próprio nome para ver a própria exposição é um exercício útil, e ele também precisa de uma finalidade escrita.
A maioria dos leitores no Brasil ou na União Europeia vai cair em uma destas duas leis. Esta seção é uma visão geral, não é aconselhamento jurídico. Se o seu trabalho toca dados pessoais em escala, converse com um advogado da sua jurisdição.
A Lei 13.709/2018, a Lei Geral de Proteção de Dados (LGPD), regula o tratamento de dados pessoais por pessoas físicas e jurídicas, online e offline, com algumas exceções. Três partes importam para quem pesquisa.
O artigo 6º lista os princípios. Dois carregam a maior parte do peso aqui. A finalidade exige propósitos legítimos, específicos e explícitos, que a pessoa possa conhecer. A necessidade limita o tratamento ao que é pertinente e proporcional a esses propósitos. A adequação pede que o tratamento seja compatível com a finalidade informada, no contexto em que ocorre.
O artigo 7º lista dez bases legais. O consentimento é uma delas, mas não é a única. Os legítimos interesses (inciso IX) estão disponíveis, mas cedem quando prevalecem os direitos fundamentais da pessoa, e ainda precisam atender aos princípios do artigo 6º. Os estudos por órgão de pesquisa (inciso IV) também constam da lista, com preferência pela anonimização dos dados sempre que possível.
O artigo 4º, inciso III, exclui o tratamento feito exclusivamente para segurança pública, defesa nacional, segurança do Estado ou investigação e repressão de infrações penais. Pesquisadores privados não devem presumir que essa exceção vale para eles. Ela se destina a legislação específica e a autoridades públicas, e o § 2º proíbe que entidades privadas tratem dados nessas condições, salvo sob tutela de pessoa jurídica de direito público. Uma consultoria que trabalha para um cliente não é autoridade pública.
Os artigos 15 e 16 tratam de quando o tratamento termina e de quando os dados devem ser eliminados. O artigo 5º, inciso III, define dado anonimizado, e o artigo 12 diz que dado anonimizado não é dado pessoal, a menos que o processo possa ser revertido com esforços razoáveis. Na prática, um conjunto de dados que você chama de anônimo ainda exige cuidado. Alguns quase-identificadores, como CEP, cargo e data de nascimento, podem isolar uma pessoa.
O Regulamento (UE) 2016/679, o Regulamento Geral sobre a Proteção de Dados (GDPR), define dados pessoais de forma ampla no artigo 4º, ponto 1, como informação relativa a uma pessoa singular identificada ou identificável. O artigo 5º fixa os princípios. A alínea b trata da limitação das finalidades, a alínea c da minimização dos dados e a alínea e da limitação da conservação. O n.º 2 torna o responsável pelo tratamento obrigado a demonstrar a conformidade.
O artigo 6º lista as bases de licitude. O artigo 9º trata das categorias especiais de dados, como saúde, opiniões políticas e convicções religiosas, que exigem uma condição adicional. O artigo 17 trata do apagamento. O artigo 35 exige uma avaliação de impacto sobre a proteção de dados quando o tratamento provavelmente gera alto risco.
A exceção doméstica do artigo 2º, n.º 2, alínea c, cobre atividades puramente pessoais ou domésticas. Ela não cobre pesquisa profissional. Quando você trabalha para um cliente, fica fora dela.
As duas leis fazem as mesmas perguntas: por quê, com qual base, quanto, por quanto tempo e quem pode ver. Um plano de pesquisa que responde a essas perguntas antecipadamente cumpre a maior parte das obrigações que se aplicam a uma investigação pequena. O exercício abaixo pergunta cada uma diretamente.
O Protocolo de Berkeley sobre Investigações de Fontes Abertas Digitais foi desenvolvido pelo Human Rights Center da Universidade da Califórnia, em Berkeley, e publicado pelo Escritório de Direitos Humanos das Nações Unidas. É uma referência para investigadores que trabalham com material digital de fontes abertas, inclusive em trabalho de direitos humanos e de responsabilização. Ele trata o planejamento e o arcabouço ético e jurídico como ponto de partida da investigação, e não como algo que se pensa depois.
Você não precisa ser investigador de direitos humanos para aprender com ele. As seções éticas mostram como profissionais cuidadosos pensam no dano antes da primeira consulta. Leia o protocolo em si antes de confiar em qualquer resumo, inclusive este.
A lista abaixo é um ponto de partida. A sua autorização e a sua jurisdição podem acrescentar outros itens.
Se você coletou algo que não deveria ter, pare. Registre o que fez e quando. Informe a pessoa responsável pelo trabalho. Apague a cópia que não deveria manter e registre a exclusão.
Este exercício não exige laboratório nem comandos. Escolha uma organização que você possui ou está autorizado a avaliar. Um domínio do seu próprio laboratório, uma empresa de teste que você montou ou um cliente que deu permissão por escrito servem. Não use uma pessoa real, um concorrente ou um fornecedor que você não representa.
Copie este modelo para um arquivo de texto e preencha todos os campos.
Organização e autorização
Quem é dono ou opera os ativos:
Permissão por escrito (nome do documento, data, quem assinou):
Válida até:
Pergunta de pesquisa
Uma frase. Qual decisão isto apoia?
Finalidade
Por que estes dados são necessários e para que não serão usados:
Escopo
Dentro do escopo (domínios, repositórios públicos, documentos públicos):
Fora do escopo (pessoas, contas, sistemas, tipos de dado):
Fontes e métodos
Fonte 1 (URL ou conjunto de dados, como foi acessada, data):
Fonte 2 (URL ou conjunto de dados, como foi acessada, data):
Somente passivo? Passos ativos estão fora do escopo deste exercício.
Minimização de dados
Campos a registrar:
Campos que você não vai registrar:
Dados pessoais esperados? sim / não. Se sim, a base legal é:
Armazenamento e retenção
Onde o material bruto fica guardado e quem pode acessá-lo:
Data de exclusão:
O que permanece após a exclusão (apenas o achado e sua referência):
Revisão
Nome de quem revisou e data:Uma boa finalidade nomeia uma decisão. "Saber mais sobre a nossa empresa" é um tema, não uma finalidade. Uma versão melhor seria: "Encontrar registros DNS públicos sob example-corp.test que não constam do nosso inventário de ativos, para que a TI confirme ou desative esses registros até o fim da sprint."
Um bom escopo lista o que está fora, além do que está dentro. Escrever os itens fora do escopo obriga você a perceber quando uma busca está se aproximando de uma pessoa.
Nas fontes, informe a URL ou o conjunto de dados e a data de acesso. Se um passo toca um sistema em produção, o plano deve dizer isso e citar a autorização. Este exercício mantém tudo passivo.
Na minimização, liste os campos que vai registrar e depois os campos que vai deixar de propósito de fora. Se o plano prevê algum dado pessoal, informe a base legal.
Na retenção, dê uma data real. Um plano que diz "apagar depois" nunca apaga nada.
Releia o plano e pergunte se uma pessoa que não o escreveu conseguiria dizer o que você vai coletar, por quê, quem pode ler e quando será apagado. Se a resposta for não, reescreva a finalidade antes de tudo. A maioria das outras lacunas vem de uma finalidade vaga.
Leia o Protocolo de Berkeley inteiro e leia você mesmo os textos da LGPD e do GDPR, em vez de depender de resumos. Para orientações brasileiras, consulte as publicações da Autoridade Nacional de Proteção de Dados (ANPD). Para a União Europeia, consulte a orientação da autoridade de proteção de dados do seu país.
O próximo artigo desta trilha, Certificate Transparency para os seus próprios domínios, aplica essas regras a um exercício passivo e restrito a um domínio que você possui. Mantenha o seu plano de pesquisa aberto enquanto lê.
OSINT e reconhecimento
Entenda como os logs de Certificate Transparency registram certificados TLS públicos e revise o crt.sh de um domínio seu, sem tocar nos hosts.
OSINT e reconhecimento
O que é OSINT, como verificar informações públicas, onde ficam os limites éticos e como escrever um relatório curto com evidências.