Estamos a ser vigiados muito mais do que imaginamos?

Quantas informações sobre nós existem na Internet? Onde estivemos ontem, que aplicações utilizamos, aquilo que procuramos, os produtos que consultamos e os assuntos que despertam o nosso interesse.

Muitas destas informações parecem insignificantes quando consideradas isoladamente. Em conjunto, podem revelar hábitos, rotinas, preferências e aspectos da nossa vida que nunca partilharíamos voluntariamente com um desconhecido.

Não precisamos de viver num filme de espionagem para deixar um rasto digital. Basta utilizar um telemóvel, navegar na Internet, consultar mapas ou aceitar determinadas permissões numa aplicação.

A recolha de dados tornou-se parte do funcionamento de muitos serviços que utilizamos diariamente. Mas quem tem acesso a essa informação? Até onde pode chegar? E será que estamos a ser observados muito mais do que imaginamos?

 

 

O rasto que deixamos sem pensar

Sempre que utilizamos um serviço digital, podemos fornecer dados directamente ou gerar informações através da nossa actividade.

Uma aplicação pode pedir acesso à localização. Um site pode utilizar cookies para reconhecer visitas anteriores. Uma plataforma pode registar os conteúdos em que clicamos, o tempo que passamos numa publicação e os anúncios que despertam a nossa atenção.

Alguns destes dados são necessários para prestar o serviço. Outros podem ser utilizados para personalizar conteúdos, medir audiências, detectar fraudes ou apresentar publicidade. Dependendo da aplicação, das permissões concedidas e das condições aplicáveis, a informação também pode ser partilhada com outras entidades.

O problema surge quando a recolha é excessiva, pouco transparente ou difícil de compreender.

Quantas vezes aceitámos uma política de privacidade sem a ler? Quantas vezes permitimos que uma aplicação acedesse à localização sem pensar se precisava realmente dessa informação?

Aceitar os termos de um serviço não significa necessariamente compreender todas as consequências da recolha de dados. E, quando a alternativa é deixar de utilizar uma ferramenta de que dependemos, a liberdade de escolha pode ser bastante limitada.

 

 

O telemóvel pode revelar onde estivemos

A localização é um dos exemplos mais reveladores do valor dos nossos dados pessoais.

Um único registo pode indicar que estivemos num determinado local. Uma sequência de registos pode sugerir onde trabalhamos, onde passamos a noite, que estabelecimentos frequentamos e quais são as nossas rotinas.

Quando cruzada com outras informações, a localização pode revelar aspectos particularmente sensíveis da vida de uma pessoa.

Este risco não é apenas teórico.

Em Janeiro de 2024, a Federal Trade Commission (FTC), a autoridade norte-americana responsável pela defesa dos consumidores, anunciou medidas contra a empresa X-Mode Social e a sua sucessora Outlogic, relacionadas com a comercialização de dados precisos de localização. Segundo a FTC, a informação vendida podia permitir identificar visitas a locais sensíveis, incluindo clínicas de saúde, locais de culto religioso e abrigos para vítimas de violência doméstica.

A entidade norte-americana indicou ainda que os dados recolhidos através de aplicações e de outras fontes estavam associados a identificadores publicitários de dispositivos móveis. Em Abril de 2024, a FTC anunciou a aprovação definitiva de uma ordem que proibia a empresa de partilhar ou vender determinados dados sensíveis de localização.

O caso está documentado no comunicado oficial da Federal Trade Commission sobre a X-Mode e a Outlogic.

Este caso diz respeito aos Estados Unidos e não prova que todas as aplicações utilizadas em Portugal comercializem os dados dos seus utilizadores da mesma forma. Demonstra, contudo, que a comercialização de dados de localização pode ultrapassar aquilo que uma pessoa imagina estar a autorizar quando utiliza uma aplicação.

O verdadeiro problema não é apenas saber onde estivemos. É perceber quem consegue reconstruir os nossos movimentos, com que finalidade e com que garantias.

 

 

Existe um negócio à volta da nossa privacidade?

Sim. A informação pessoal tem valor económico, embora nem todos os dados sejam comercializados nem todos os serviços funcionem da mesma maneira.

Existem empresas que recolhem, agregam e analisam informações provenientes de diferentes fontes para criar perfis de consumidores, identificar tendências ou ajudar outras empresas a direccionar publicidade.

Este mercado inclui intermediários conhecidos como data brokers, cuja actividade pode envolver a recolha e a comercialização de dados pessoais.

A preocupação aumenta quando a informação é obtida indirectamente, quando a pessoa não compreende quem a recebe ou quando os dados são utilizados para finalidades diferentes das que justificaram a recolha inicial.

Em Dezembro de 2024, a FTC anunciou medidas contra a Mobilewalla, outra empresa associada à comercialização de dados de localização. A entidade alegou que a empresa recolhia e vendia informação sensível sem salvaguardas adequadas, incluindo dados que podiam revelar visitas a locais relacionados com saúde e outros aspectos privados.

A notícia e os detalhes da actuação podem ser consultados no comunicado oficial da FTC sobre a Mobilewalla.

Estes casos ajudam a perceber por que razão a privacidade não depende apenas das escolhas que fazemos directamente. Uma pessoa pode não conhecer as empresas que recebem os seus dados, nem os intermediários envolvidos na sua circulação.

Isto não significa que todas as empresas estejam a vender informações pessoais de forma ilícita. Significa que a cadeia de recolha e utilização de dados pode ser mais extensa do que a relação aparente entre um utilizador e uma aplicação.

 

 

E as câmaras de vigilância e o reconhecimento facial?

A vigilância não se limita ao mundo digital.

As câmaras estão presentes em ruas, transportes, estabelecimentos comerciais, edifícios públicos e espaços privados. Podem ajudar a proteger pessoas e bens, esclarecer incidentes e investigar crimes.

O reconhecimento facial acrescenta outra dimensão: permite analisar características biométricas de um rosto e compará-las com imagens ou registos existentes, com o objectivo de identificar ou verificar a identidade de uma pessoa.

A utilização desta tecnologia pode ter consequências profundas quando é feita em espaços públicos ou em larga escala. Uma câmara tradicional regista uma imagem; um sistema de reconhecimento facial pode permitir identificar pessoas, procurar correspondências e acompanhar movimentos, dependendo da sua configuração e das bases de dados utilizadas.

É por isso que as autoridades europeias de protecção de dados têm alertado para os riscos desta tecnologia.

Em Maio de 2023, o Comité Europeu para a Protecção de Dados publicou a versão final das suas orientações sobre o reconhecimento facial na área da aplicação da lei. O documento salienta a necessidade de respeitar a legislação aplicável e os princípios da necessidade e da proporcionalidade, tendo em conta os direitos fundamentais.

As orientações podem ser consultadas no site oficial do Comité Europeu para a Protecção de Dados.

A existência destas regras e recomendações não significa que todas as câmaras sejam utilizadas para identificar automaticamente todas as pessoas que passam diante delas. Significa que a utilização de sistemas de identificação biométrica levanta questões suficientemente importantes para exigir limites, fiscalização e justificação.

A segurança é um objectivo legítimo. Mas a tecnologia disponível não deve ser confundida com uma autorização ilimitada para recolher informação sobre qualquer pessoa.

 

 

Os governos também podem aceder aos nossos dados?

Em determinadas circunstâncias, sim. O acesso a dados pessoais por autoridades públicas pode ocorrer ao abrigo da lei, por exemplo, no contexto de investigações criminais ou de outras competências legalmente previstas.

As condições variam consoante o tipo de informação, a finalidade do acesso e o enquadramento jurídico. Na União Europeia, os direitos fundamentais, a legislação de protecção de dados e as regras aplicáveis às autoridades públicas estabelecem limites e garantias.

Isto não significa que qualquer entidade pública possa consultar livremente toda a informação de qualquer cidadão. O acesso tem de ser analisado à luz das normas aplicáveis, das competências da entidade e das circunstâncias concretas.

Também não devemos ignorar os casos documentados de abuso de vigilância. A história demonstra que tecnologias desenvolvidas para determinados fins podem ser utilizadas de formas que afectam a liberdade e a privacidade.

A resposta não deve ser presumir que todos os governos estão a vigiar secretamente todas as pessoas. Deve ser exigir regras claras, controlo independente e consequências quando os limites legais são ultrapassados.

 

 

Estamos a ser vigiados a toda a hora?

Depende do que entendemos por vigilância.

Se falamos da recolha automatizada de dados, do registo de actividade online, da utilização de cookies, da localização recolhida por determinadas aplicações ou da análise de comportamentos para publicidade, existem práticas documentadas que fazem parte do funcionamento de vários serviços digitais.

Se falamos de alguém estar permanentemente a observar cada movimento de cada pessoa, não há fundamento para afirmar que isso acontece de forma universal.

É importante distinguir a recolha automatizada de informação da observação individual. Um sistema pode processar milhões de registos sem que um funcionário esteja a acompanhar pessoalmente cada utilizador. Ainda assim, os dados agregados podem produzir perfis detalhados e ser utilizados em decisões que afectam pessoas reais.

A ausência de uma pessoa a olhar directamente para nós não significa que a informação que produzimos não esteja a ser recolhida ou analisada.

Mas a existência de sistemas de recolha de dados também não prova a existência de uma organização única que controla todos os nossos movimentos.

A realidade é suficientemente complexa para justificar investigação sem precisar de ser transformada numa narrativa absoluta.

 

 

O que diz a lei sobre os nossos dados?

Na União Europeia, o Regulamento Geral sobre a Protecção de Dados (RGPD) estabelece direitos para as pessoas cujos dados pessoais são tratados.

Entre esses direitos encontram-se o acesso aos dados, a rectificação de informações incorrectas, o apagamento em determinadas circunstâncias, a limitação do tratamento, a portabilidade e a oposição a certas utilizações.

A Comissão Europeia explica estes direitos na sua página Informação para os cidadãos sobre a protecção de dados pessoais.

Na prática, isto significa que podemos, por exemplo, pedir a uma organização que nos informe sobre os dados pessoais que trata e sobre as finalidades desse tratamento. Dependendo das circunstâncias, também podemos solicitar a correcção ou o apagamento de determinadas informações.

Estes direitos não são absolutos. Existem condições e excepções previstas na legislação, e nem todos os pedidos têm necessariamente de ser satisfeitos. Ainda assim, o RGPD oferece mecanismos concretos para questionar a forma como a nossa informação é utilizada.

Em Portugal, a Comissão Nacional de Protecção de Dados (CNPD) é a autoridade responsável pela fiscalização do cumprimento das regras de protecção de dados pessoais.

A privacidade não depende apenas da boa vontade das empresas. Também depende de direitos legais, de fiscalização e da capacidade de os cidadãos exercerem esses direitos.

 

 

Como podemos proteger-nos?

Não existe uma forma de eliminar completamente o rasto digital enquanto continuamos a utilizar serviços online. Podemos, no entanto, reduzir a exposição desnecessária.

Vale a pena rever as permissões das aplicações, sobretudo o acesso à localização, ao microfone, à câmara e aos contactos. Quando uma aplicação não precisa de conhecer a nossa localização em permanência, podemos limitar o acesso às situações em que a estamos efectivamente a utilizar.

Também é útil rever as definições de publicidade personalizada, eliminar aplicações que já não utilizamos e evitar fornecer dados que não sejam necessários para o serviço pretendido.

As políticas de privacidade merecem atenção, especialmente quando um serviço recolhe informação sensível. Devemos procurar perceber quem trata os dados, para que finalidades, durante quanto tempo e com quem podem ser partilhados.

Quando existirem dúvidas ou motivos para suspeitar de uma utilização indevida, podemos exercer os direitos previstos no RGPD e procurar orientação junto da CNPD.

Estas medidas não tornam ninguém invisível na Internet. Servem para reduzir alguns riscos e recuperar uma parte do controlo sobre a informação que partilhamos.

 

 

O verdadeiro problema pode não ser alguém estar a olhar

A vigilância pode ser preocupante mesmo quando ninguém está a observar-nos pessoalmente.

Os dados podem ser utilizados para classificar pessoas, inferir comportamentos, construir perfis comerciais ou apoiar decisões automatizadas. Podem também ser combinados com outras informações e utilizados fora do contexto em que foram recolhidos.

É por isso que a privacidade não deve ser vista apenas como uma questão de esconder segredos. É também uma questão de autonomia, liberdade e controlo sobre a nossa própria vida.

Não precisamos de acreditar que existe uma organização secreta a observar cada cidadão para reconhecer que há práticas de recolha de dados que merecem maior transparência e fiscalização.

A pergunta não é apenas «estão a olhar para mim neste preciso momento?».

É saber que informação recolhem, durante quanto tempo a guardam, quem lhe pode aceder e que consequências pode ter para a nossa liberdade.

Porque o direito à privacidade não deveria depender de termos alguma coisa a esconder. Deveria depender do simples facto de sermos pessoas e de a nossa vida não ter de estar permanentemente disponível para alguém analisar.

 

 

Fontes e leituras adicionais

1. Comissão Europeia. Informação para os cidadãos sobre o RGPD e os direitos relativos aos dados pessoais. Explica os direitos de acesso, rectificação, apagamento, portabilidade e oposição.

2. Comité Europeu para a Protecção de Dados. Orientações 05/2022 sobre a utilização de tecnologia de reconhecimento facial na aplicação da lei. Documento sobre os riscos e as garantias aplicáveis ao reconhecimento facial.

3. Federal Trade Commission. Ordem relativa à X-Mode Social e à Outlogic, Abril de 2024. Caso documentado de comercialização de dados sensíveis de localização nos Estados Unidos.

4. Federal Trade Commission. Actuação relativa à Mobilewalla, Dezembro de 2024. Alegações da autoridade norte-americana sobre recolha e comercialização de dados de localização.

5. Comissão Nacional de Protecção de Dados. Portal oficial da CNPD. Informação sobre a protecção de dados pessoais e os direitos dos cidadãos em Portugal.