在应用程序的生命周期中，有时隐私问题会改变性质。虽然该应用程序很小，但遵守 [LGPD0] 似乎是一个文档问题、隐私政策、使用条款、同意字段。当应用程序扩展时，它就不再是纸质的，而是成为工程、流程和真实的曝光。
区别不在于程度，而在于类型。如果出现泄露，一千个用户就会造成麻烦。 100 万人会引发新闻事件、ANPD 调查以及可能致命的信任危机。原本是细节的数据变成了行动中最敏感、最危险的资产。几乎没有人在正确的时间（即在他们到达那里之前）制定这一计划。
本文适合那些正在成长或即将成长并需要了解规模对数据保护义务有何影响的人。它不是法律的摘要。实际上，当音量增加时，[LGPD1] 开始需要什么。
扩展是数据的倍增，而不仅仅是用户的倍增
天真的解读是“更多的人使用该产品”。诚实的解读是“我保管更多的个人数据，它存在的地方更多，有权访问的人更多，以及出错的方式更多。”
每个新用户都会带来数据。每个新功能都会收集额外的数据。与合作伙伴的每次集成都会开辟新的向外数据流。每个新员工都会增加一个可以访问他们不应该访问的内容的人。体积不会单独增长，而是会分支。造成风险的是分支机构，而不是数量。
本文的中心论点是：[LGPD2· 不会惩罚规模，而是惩罚对你所积累的内容缺乏控制。 小型且杂乱的应用程序已经面临风险。一个大型的、杂乱无章的应用程序是一个等待时机的事件。负责任地扩展意味着加强对数量的控制，最好是在其前面。
最小化成为一种生存策略
在小范围内，保存“有一天可能有用”的数据似乎是无害的。从大范围来看，保存的每一条数据都是一种责任。 [LGPD3] 建立的最小化原则不再是一种抽象的良好实践，而是成为一种降低风险的策略。
逻辑很简单：您未收集的数据不会被泄露，不需要受到保护，不会出现在审计中，也不会成为删除请求中的问题。你成长得越多，保护你所积累的一切的成本就越高，因此减少积累实际上可以节省安全性和风险。
成熟的扩展需要对您收集的内容进行诚实的审查。没有人使用的注册字段、不必要地存储敏感数据的日志、没有人删除的旧非活动用户库。其中每一项都是越来越大的责任。保留和处置政策在小型应用程序中看起来像官僚机构，但当数量很大时，它们就成为防御工具。
内部访问是随着规模扩大而增长最大的风险
当公司有五个人时，每个人都信任每个人，并且对数据的访问是非正式的。当你五十岁的时候，这种模式已经很危险了。当有五百时，那就是疏忽了。规模使得内部访问成为增长最快、也是最被低估的风险载体。
[LGPD4] 解决这个问题的原则是每个人只能访问其功能所必需的内容。大规模实施意味着真正的访问控制：谁可以查看用户数据，谁可以导出数据，谁可以访问生产基地。如果没有这一点，单个被入侵的访问或单个恶意员工就会暴露整个基地。
还值得记录谁访问了什么。在大型运营中，审核访问的能力并不是一种奢侈，它可以让您在发生事件或检查时对实际发生的情况做出响应。 “我们不知道谁访问了它”这个答案使问题更加严重。
您携带的第三方
可扩展的应用程序很少能自己完成所有事情。您使用云服务、分析工具、支付提供商、通知解决方案、营销合作伙伴。他们每个人都会处理其用户的数据，并且根据[LGPD5]，当数据传递给第三方时，责任不会消失。
这一点在规模上让很多企业感到意外。您对与运营商共享的数据负责。如果其中之一泄漏，那也是你的问题。在成长过程中如果没有绘制这些流动图，就会对风险的一个重要部分视而不见。
这里的规则是维护一个实时清单，记录谁代表您、在什么基础上、通过什么合同以及通过什么安全保证处理数据。收集的分析工具比您想象的要多，没有人审查过的遗留集成，已经消失但其访问仍然活跃的合作伙伴，所有这些都成为大规模的无声风险。使用全球基础设施时常见的国际数据流在 [LGPD6] 中有其自己的规则需要遵守。
秤持有者的权利
用户请求访问或删除其数据很容易手动响应。每月一千个订单不是。 [LGPD7] 保证持有者的权利、访问、更正、删除、可移植性，并且遵守这些权利是强制性的，有一个期限。从规模上看，只有当它是一个过程而不是一个恩惠时，这才有效。
那些在没有准备好这项服务的情况下发展的公司会发现自己陷入困境。每个请求都变成了手动操作，寻找分布在银行、日志、备份和第三方工具中的个人数据。当您不知道用户的数据在哪里时，您就无法真正删除它，这既是合规性失败，也是操作性失败。
规划规模意味着从早期阶段就建立可靠地定位和处理数据主体的所有数据的能力。那些把这个留到后来的人会发现，在最糟糕的时刻，架构从来都不是为了回答这个简单的问题而设计的：我们所知道的关于这个人的一切都在哪里？
将合规视为项目的陷阱
最常见的错误是将遵守 [LGPD8] 视为一个有开始和结束的项目，聘请咨询公司，制作文件，将任务标记为已完成。从规模来看，这是不可持续的。产品每周都在发展，新的数据被收集，新的集成进来。及时停止的合规性已经过时了。
成熟度在于将隐私视为发展的一部分，而不是稍后应用的一层。通过设计隐私，从每个功能的设计中考虑数据保护，使我们能够在不合规性成为增长速度超过公司的债务的情况下进行扩展。指定具有真正权威的人负责该主题，才能使这一主题保持活力。在许多组织中，这一角色是法律本身规定的负责处理数据的人员的角色。
结束
扩展应用程序意味着一切都会成倍增加：用户、收入、复杂性，以及最重要的是您所管理的个人数据。 [LGPD9随着你的成长，并不会变得更软弱，它会变得更加相关，因为犯错误造成的损害以同样的速度增长。隐私不再是一个条款，而是成为一个架构。
将规模良好的企业与升级为事件的企业区分开来的问题是令人不安且必要的：如果数据主体今天要求提供其所有数据，或者如果今晚发生泄漏，您的公司会确切知道他们的回应吗？如果响应不稳定，则控制不会随着音量而增长，这就是现在要做的工作，而不是以后。
如果您的业务增长迅速，而数据治理却滞后，那么值得将其视为战略优先事项，而不是法律问题。博客上还有其他关于 [LGPD10、安全性和数据架构] 的文章，深入探讨了这些前沿领域。
另请阅读
- [小型团队应用中的 LGPD：符合您现实的严格最低要求11
- [初创公司中的 LGPD：合规性和数据保护策略12
- [缩放时的数据泄漏保护：随着体积的增长会发生什么变化13
- [移动应用程序的安全性：适合需要扩展的架构14
- [数字化合规性：与实际例子的实际比较15
- [数字化合规性：实践比较16