Três Leis, Um Alvo: Suas Mensagens Privadas
Uma mudança silenciosa, mas de grandes consequências, está em curso nos três maiores blocos regulatórios do mundo. A proposta de regulamento Chat Control da União Europeia, a Lei de Segurança Online do Reino Unido e o proposto KIDS Act dos Estados Unidos estão, cada um a seu modo, a tornar a vigilância de mensagens uma obrigação legal. O objetivo declarado, em todos os casos, é proteger as crianças na internet. O efeito prático, segundo defensores da privacidade e investigadores de segurança, é a erosão da encriptação ponta a ponta, a tecnologia que mantém as mensagens privadas exclusivamente entre o remetente e o destinatário, sem que mais ninguém, nem mesmo a plataforma, as possa ler.
Estas três iniciativas não surgiram de um plano coordenado único, mas, em conjunto, revelam um padrão: legisladores em jurisdições diferentes a chegar a conclusões semelhantes sobre a análise, monitorização ou outra forma de obter visibilidade sobre comunicações encriptadas, mesmo quando os compromissos técnicos e as cedências em matéria de liberdades civis são surpreendentemente idênticos.
A Proposta de Chat Control da UE
Chat Control é o nome informal dado à iniciativa da UE para exigir que os serviços de mensagens analisem as comunicações privadas, incluindo as encriptadas, em busca de conteúdos ilegais antes de serem enviadas. Os seus defensores apresentam-na como uma ferramenta para combater a disseminação de material de abuso sexual infantil na internet. Os críticos, incluindo especialistas em encriptação e organizações de defesa dos direitos digitais, argumentam que qualquer mecanismo capaz de analisar mensagens encriptadas antes de serem enviadas quebra, na prática, a própria encriptação. Uma vez existindo uma porta de entrada para a análise, dizem, essa porta pode ser explorada por atores mal-intencionados, expandida para cobrir outros tipos de conteúdos ou utilizada de forma abusiva por governos para fins diferentes do original.
O debate tem sido repetidamente bloqueado e retomado nas instituições da UE, o que reflete o quão controversa é a cedência subjacente: proteger as crianças ou proteger a privacidade de todos os que usam aplicações de mensagens encriptadas, ou seja, centenas de milhões de pessoas comuns que nada têm a ver com qualquer crime.
A Lei de Segurança Online do Reino Unido e o KIDS Act dos EUA
A Lei de Segurança Online do Reino Unido, já em vigor, atribui aos reguladores amplos poderes para obrigar as plataformas a detetar e remover conteúdos nocivos, com disposições que suscitaram preocupações semelhantes em matéria de encriptação às que rodeiam o Chat Control. Um dos pontos de tensão tem sido a verificação da idade e a questão de a lei empurrar as pessoas para contornar as restrições, recorrendo a VPNs para aceder a conteúdos limitados. É de notar que as autoridades britânicas já rejeitaram restrições às VPNs no âmbito da Lei de Segurança Online, optando por não visar diretamente a utilização de VPNs, mesmo com a introdução de exigências de verificação de idade. Esta decisão é relevante porque mostra que os reguladores traçam, pelo menos, uma linha, ainda que as disposições mais amplas da lei sobre análise e monitorização se mantenham em vigor.
Do outro lado do Atlântico, o proposto KIDS Act dos Estados Unidos segue uma lógica semelhante: enquadrar a monitorização das plataformas e as obrigações de moderação de conteúdos como medidas de proteção das crianças. Tal como os seus congéneres europeus, tem sido escrutinado por defensores da privacidade, que alertam que as imposições de segurança podem, na prática, exigir o tipo de visibilidade sobre as comunicações privadas que compromete a encriptação para todos os utilizadores, e não apenas para aqueles que a lei pretende proteger.
O Que Isto Significa Para Si
Se utiliza aplicações de mensagens encriptadas, seja por questões de privacidade pessoal, de confidencialidade profissional ou simplesmente por valorizar o facto de as suas conversas não serem lidas por terceiros, estas leis são importantes, independentemente do local onde vive. As regulamentações aprovadas num país influenciam frequentemente as políticas de outros, e as plataformas que operam a nível global podem ajustar as suas práticas de encriptação em todo o mundo para dar cumprimento à jurisdição mais rigorosa.
A tensão central nas três leis é a mesma: pode um sistema analisar ou monitorizar comunicações em busca de conteúdos nocivos sem quebrar as garantias de privacidade que tornam a encriptação verdadeiramente significativa? Os investigadores de segurança têm argumentado de forma consistente que a resposta é não. Um mecanismo de análise incorporado num sistema encriptado é uma vulnerabilidade, quer seja utilizado por uma agência governamental, um hacker ou um regime autoritário que posteriormente tenha acesso à mesma ferramenta.
Recomendações Práticas
Mantenha-se informado sobre a evolução destas leis, uma vez que nem o Chat Control, nem a implementação da Lei de Segurança Online, nem o KIDS Act são realidades estáticas. As disposições são alteradas, adiadas ou reinterpretadas à medida que aumenta a pressão pública e do setor. Preste atenção às aplicações de mensagens que se comprometem publicamente a manter uma verdadeira encriptação ponta a ponta e às que dão sinais de poder vir a cumprir as imposições de análise. Se a privacidade das mensagens o preocupa, considere utilizar ferramentas com um historial sólido de resistência à pressão governamental sobre a encriptação e mantenha o software atualizado para beneficiar das melhorias de segurança que vão sendo lançadas. Por último, participe no processo político sempre que possível. Os períodos de consulta pública, as consultas parlamentares e as campanhas de sensibilização já moldaram resultados como a decisão do Reino Unido de não restringir as VPNs, e podem também moldar o que se segue para o Chat Control e para o KIDS Act. A luta em torno das mensagens encriptadas não está decidida, e a forma como se resolver afetará todos os que valorizam uma conversa privada.
