Que dados nunca devem ser gravados num crachá?
Nada que você não imprimiria na frente dele. Um crachá é usado em público o dia inteiro, pode ser lido por qualquer pessoa que chegue perto com um celular, e sai do local num bolso. O chip não é um compartimento privado.
A premissa a abandonar
As pessoas tratam o chip como um compartimento escondido porque o conteúdo dele não é visível. Ele não está escondido, só não está identificado.
Qualquer pessoa com um celular consegue ler um crachá a alguns centímetros, o que num pavilhão lotado, num elevador ou numa fila é uma distância normal entre duas pessoas.
A leitura não deixa rastro e não exige interação nenhuma, então quem usa o crachá não tem como saber que ela aconteceu.
O modelo mental correto é que o chip é uma segunda frente impressa, legível por qualquer pessoa perto o bastante, sem pedir licença.
O que nunca vai no chip
Dados de contato pessoais em claro: número de celular, e-mail pessoal, endereço residencial.
Qualquer coisa sobre a pessoa que ainda não esteja na frente impressa: um cargo sensível, informações alimentares ou médicas, necessidades de acessibilidade.
Qualquer coisa que funcione como credencial em outro lugar: um número de funcionário usado no acesso ao prédio, um número de conta, o código de uma reserva de hotel que identifica um quarto.
E qualquer coisa sobre outras pessoas, como os dados de um colega embutidos num crachá da empresa.
Use um identificador no lugar
Grave um identificador opaco, que não significa nada fora do sistema do seu evento. Quem lê o crachá descobre um número.
Tudo sobre a pessoa passa a morar no sistema, protegido pelo controle de acesso que você aplicar, e pode ser corrigido, restrito e apagado.
Faça o identificador opaco em vez de sequencial. Um número que incrementa diz a quem lê quantos participantes existem e deixa alguém adivinhar os crachás vizinhos.
E diga aos participantes o que o crachá guarda e o que é registrado quando ele é lido. Isso é ao mesmo tempo uma boa prática e exatamente aquilo para que serve uma política de privacidade.
Ele sobrevive ao evento
Os crachás vão para casa em bolsas e ficam em gavetas por anos. Um crachá com dados pessoais é um pequeno vazamento de dados com vida indefinida, fora do seu controle e esquecido por quem o usou.
Um identificador fica inerte depois de invalidado, e esse é o argumento prático mais forte a favor desse modelo.
Se os crachás foram gravados com conteúdo pessoal e não estão bloqueados, apague-os no recolhimento. Se foram bloqueados, não podem ser apagados, o que é mais uma razão para não bloquear crachás de evento.
E, de qualquer forma, invalide todos os identificadores no encerramento do evento, já que um crachá que ainda resolve continua sendo uma credencial.
Perguntas frequentes
Alguém pode ler o meu crachá sem eu saber?
Pode, a alguns centímetros, sem deixar rastro. É com essa premissa que se deve projetar, e não com a de um ataque improvável.
Um nome no chip é um problema?
Menos que os dados de contato, e ele já está na frente impressa. O teste é se você o imprimiria ali.
Por que o identificador deve ser opaco?
Um número sequencial revela o tamanho do evento e deixa alguém adivinhar outros crachás. Um valor opaco não revela nada.
E os crachás guardados depois do evento?
Eles guardam indefinidamente o que foi gravado neles. Um identificador perde o sentido depois de invalidado, e os dados pessoais não.