Marcela Mattiuzzo

Henrique Felix Machado

O recente anúncio de uma revisão na política de privacidade do WhatsApp fez com que os downloads de outros aplicativos aumentassem em todo o Brasil. No espaço de poucos dias, uma enxurrada de comparações entre aplicativos atingiu a esfera pública, desde jornais de alcance geral até blogs especializados, alarmando usuários cada vez mais preocupados com a proteção de seus dados pessoais.
Apoiadas em supostos critérios técnicos e quantitativos, tais análises impressionam qualquer leigo e costumam indicar que os dados dos usuários poderiam estar mais seguros em serviços concorrentes. Mas será que esses outros aplicativos de fato protegem os usuários e seus dados pessoais?
<a href="https://conteudo.jota.info/poder-contato" rel="attachment wp-att-291327"><img class="size-medium wp-image-291327 aligncenter" src="https://www.jota.info/wp-content/uploads/2020/11/jota-pro-poder-v2.jpg" alt="" width="300" height="300" /></a>Uma análise mais detida revela que a questão é complexa, e os usuários podem estar tomando decisões sem ter a real dimensão das consequências para a proteção de seus dados, seus direitos, sua segurança e a de outras pessoas, ou a integridade do serviço.
Muitas comparações entre aplicativos levam em consideração apenas algumas questões técnicas e quantitativas retiradas de seu contexto. Com isso, podem acabar por difundir mitos sobre a função e o alcance da proteção de dados pessoais, além de desconsiderar o arcabouço jurídico-institucional no qual cada serviço opera, sua conformidade às leis locais e cooperação com autoridades. No entanto, estes fatores são no mínimo igualmente importantes nesse tipo de análise.
A métrica de longe favorita nessas comparações é meramente quantitativa: foca na quantidade de dados pessoais coletados por cada aplicativo. Por trás disso, está a premissa de que proteger os dados do usuário significa simplesmente restringir a coleta de dados: quanto menor o uso e compartilhamento de dados, maior seria a proteção, e compartilhar menos dados seria sempre melhor para o usuário.
No limite, segundo essa concepção, o Santo Graal da proteção de dados seria o veto completo ao acesso a dados do usuário (como se o princípio da necessidade significasse não coletar dado algum).
O problema é que esse tipo de visão tende a desconsiderar todo o contexto que nos levou, como sociedade, a criar leis que estabelecem princípios, garantias, direitos e deveres para o uso da internet no Brasil (Marco Civil da Internet) e também disciplinam a proteção de dados (LGPD). A economia de dados já vinha se tornando uma ampla realidade antes de a proteção de dados pessoais se diferenciar enquanto área especializada.
Ela possui uma dinâmica própria de geração de valor, e com frequência os serviços disponibilizados de maneira gratuita aos usuários são monetizados, em parte, através do tratamento (que não se confunde com a venda) de certos dados, entre outras formas de financiamento, tais como a publicidade não direcionada. Foi com a contribuição destes modelos básicos de monetização que grande parte do enorme e variado ecossistema de serviços e conveniências digitais de que usufruímos hoje se fez viável e pôde florescer.
O objetivo de estabelecer marcos legais não foi vetar ou diminuir ao máximo o uso de dados, mas reconhecer a realidade e potencialidade do uso de dados e dotá-lo de segurança jurídica. Com o propósito de garantir integridade e segurança, nossa legislação impõe a coleta e o armazenamento de certos dados (MCI) e, ao mesmo tempo, processos e providências para a oferta de serviços, uso e compartilhamento de dados (LGPD).
Assim, a legislação brasileira representa uma forma de conciliação, criando condições para que os vários serviços sejam viáveis, ao mesmo tempo em que confere ao usuário controle e garantias sobre o uso de seus dados pessoais e condições às forças de segurança pública para conduzirem investigações oficiais com sucesso, conforme o caso.
É nesse ponto que compreendemos por que as comparações que consideram somente métricas quantitativas descontextualizadas são problemáticas. Quando o dado tem valor, deixar de usar dados implica uma redução nas capacidades dos serviços.
<blockquote class="jota-article__eye">Assim, um serviço que não usa qualquer dado deverá enfrentar o enorme – quiçá impossível – desafio de recorrer a outras formas de monetização para estruturar um negócio seguro para os usuários.</blockquote>
Por isso, na economia de dados, um serviço que, com transparência, coleta mais dados e que usa esse recurso para incrementar suas garantias de proteção pode acabar sendo mais seguro que outro serviço que coleta menos dados, mas que, por isso, não alcança a estrutura técnica e de governança necessária para a efetiva proteção dos direitos dos usuários.
Na economia de dados, não existe uma relação direta entre coletar ou usar menos dados e proteger melhor os usuários. Da mesma forma, não existe um conflito necessário entre coletar vários dados e respeitar os direitos dos indivíduos, e a economia de dados se baseia justamente na possibilidade de harmonizar as duas coisas.
O ponto de partida para que o titular do dado possa exercer seus direitos e tê-los garantidos é que o serviço que utiliza seus dados seja inteligível à legislação local de proteção de dados. Sem isso, resta incerto qualquer exercício de direitos ou pretensão de demandar o serviço de várias formas, desde o contato direto até a mobilização das autoridades.
Esse é justamente o tipo de quesito que, apesar de vital e elementar, vem sendo negligenciado em várias análises mais leigas. E, de fato, em uma verificação rápida podemos identificar que os serviços mais citados como seguros por essas análises falham em atender aos requisitos considerados mais básicos pela comunidade profissional da área de proteção de dados.
Nesse ponto, o requisito mais trivial é a simples disponibilização da Política de Privacidade e dos Termos de Uso do serviço de forma clara e em língua portuguesa. Sem isso, uma parcela significativa da base usuária brasileira não consegue nem mesmo ter clareza sobre as consequências da escolha daquele serviço para a proteção de seus dados.
Na realidade, em um nível mais fundamental, o que isso indica é que o serviço em questão ainda não se dispôs a fazer qualquer adequação relevante ao ambiente brasileiro de proteção de dados, sendo de baixíssima inteligibilidade ao sistema da Lei Geral de Proteção de Dados Pessoais (LGPD) e do Marco Civil da Internet (MCI).
Mesmo alguns dos serviços concorrentes principais não passam nesse teste básico. Ainda, a ausência de documentação em espanhol parece indicar que tais serviços ainda não se focaram em ter uma presença juridicamente estruturada na América Latina.
As consequências dessa falta de estruturação básica vão se mostrando à medida que se analisa a documentação de cada serviço. Por exemplo, não há qualquer reconhecimento da existência da LGPD ou do MCI nesses documentos.
Sem isso, não é possível derivar garantias básicas de segurança, a exemplo da observância da exigência elementar do artigo 15 do MCI, que impõe a manutenção de registros de acesso de usuários, sob sigilo, em ambiente controlado e seguro. O descumprimento deste dever legal pode inviabilizar investigações e prejudicar a segurança dos usuários.
Também não há uma delimitação do papel exercido pela empresa responsável pelo serviço na sistemática da LGPD (controlador ou operador). A incerteza que isso impõe ao usuário é substancial, na medida em que a definição de papéis condiciona uma série de posições e obrigações exigíveis não somente pelo usuário, como também pela Autoridade Nacional de Proteção de Dados (ANPD), e pelo Poder Judiciário, a exemplo da confecção de relatório de impacto à proteção de dados pessoais (LGPD, artigo 10, § 3º), a alocação do ônus da prova de consentimento (LGPD, artigo 8º, §2º), o exercício do direito de revisão de decisões automatizadas (LGPD, artigo 20 e § 1º), e a legitimidade passiva em processos administrativos perante a ANPD (LGPD, artigos 18, § 1º e 55-J, inciso V), entre várias outras. Também o canal de contato com o encarregado, que faz a ponte entre o serviço, o usuário e a ANPD, resta faltante.
Não caberia aqui dissecar as políticas e os termos de cada serviço de maneira exaustiva, e nem é esse o objetivo deste artigo, mas essa investigação inicial já revela que as comparações midiáticas recentes estão recheadas de pontos cegos importantes. Enquanto aplicativos outros parecem reprovar nos testes básicos acima, por exemplo, o WhatsApp aparentemente passa em todos eles.
Isso pode indicar que o uso que o serviço vem fazendo dos dados de seus usuários tem se convertido em aprimoramentos à proteção de dados pessoais – ou seja, o uso de mais dados do usuário, em vez de deteriorar sua proteção, parece ter permitido a estruturação de um modelo de negócio que vem se adequando à legislação brasileira de proteção de dados, agregando justamente uma camada adicional de proteção ao usuário que outros serviços ainda não oferecem.
É positivo que o debate sobre a política do aplicativo tenha sido lançado à esfera pública. Porém, parte do alarme parece ter se devido justamente à maior transparência com que seus termos e políticas de dados pessoais estão dispostos, em contraste com a prática dos outros aplicativos mais mencionados na mídia.
Se este debate causar uma migração de usuários pelos motivos errados, sem o devido conhecimento das variáveis institucionais mais amplas que estruturam cada serviço, então a esfera pública corre o risco de penalizar a mera transparência, incorrendo na seleção adversa de premiar os serviços com menor grau de informação e adequação ao ordenamento brasileiro.
Considerando que a economia de dados continua em franca expansão, cada vez mais adentrando nos setores tradicionais, é fundamental que este debate seja feito de maneira informada, para que os usuários possam tomar a melhor decisão segundo suas preferências de proteção de dados pessoais e também a segurança pública.
<hr />
O episódio 48 do podcast Sem Precedentes faz uma análise sobre a atuação do Supremo Tribunal Federal (STF) em 2020 e mostra o que esperar em 2021. Ouça:
https://youtu.be/-hMj5lwWXEE

antitruste

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

'Menos dados, mais privacidade'?

O que afinal significa proteger os direitos de titulares de dados