Os governos da UE concordaram em prorrogar as regras provisórias de "controlo de conversas" do bloco até abril de 2028, dando às plataformas online uma cobertura jurídica contínua para analisar voluntariamente mensagens privadas em busca de material de abuso sexual infantil (CSAM, na sigla em inglês). A prorrogação dá aos negociadores mais tempo para definirem uma versão permanente e obrigatória da lei, numa luta que se tornou uma das batalhas mais controversas sobre direitos digitais na história recente da Europa.

O regulamento temporário, por vezes designado de "derrogação", foi originalmente introduzido para permitir que os fornecedores de serviços de mensagens e e-mail continuassem a detetar CSAM conhecido, depois de as novas regras de privacidade da UE terem tornado essa análise ilegal. Em vez de deixar caducar essa medida paliativa, os Estados-Membros decidiram agora adiar a sua data de validade para abril de 2028, empurrando efetivamente com a barriga uma questão muito maior: a análise deve ser voluntária, como acontece atualmente, ou obrigatória para todas as plataformas que operam na UE?

Porque é que o controlo de conversas continua a regressar

O controlo de conversas tem reaparecido repetidamente porque o desacordo subjacente entre os defensores da segurança infantil e os especialistas em privacidade nunca foi resolvido. Os proponentes argumentam que as ferramentas de análise são uma das poucas formas eficazes de detetar e denunciar CSAM em grande escala, especialmente à medida que o material de abuso circula cada vez mais através de canais encriptados ou semiprivados. Os defensores da privacidade, os grupos de direitos digitais e vários investigadores de segurança contrapõem que qualquer infraestrutura de análise incorporada nas aplicações de mensagens, mesmo para um fim restrito, cria um modelo que pode posteriormente ser expandido ou utilizado de forma abusiva.

Esta tensão atingiu o auge anteriormente, quando os negociadores da UE chegaram a um acordo sobre uma versão permanente das regras. Conforme abordado numa reportagem anterior do vpn.social sobre o acordo de controlo de conversas da UE que permite a análise, mas proíbe verificações no lado do cliente, os legisladores tentaram encontrar um equilíbrio delicado: permitir a deteção de CSAM conhecido no lado do servidor, proibindo explicitamente a análise no lado do cliente, a técnica que inspecionaria o conteúdo diretamente no dispositivo do utilizador antes de ser encriptado e enviado. Esta distinção é extremamente importante para a privacidade, uma vez que a análise no lado do cliente é o método mais intimamente associado à quebra da promessa fundamental da encriptação ponta a ponta — a de que apenas o remetente e o destinatário podem ler uma mensagem.

A prorrogação mais recente não resolve esse debate. Limita-se a preservar o status quo — a análise voluntária ao abrigo das regras provisórias — enquanto os legisladores continuam a discutir se a deteção deve ser obrigatória, que tecnologia os fornecedores seriam obrigados a utilizar e como evitar o alargamento do âmbito para uma vigilância generalizada.

O que está realmente em causa para a privacidade

A principal preocupação com a privacidade não é, na verdade, sobre se o CSAM deve ser detetado e denunciado. Quase toda a gente concorda que sim. O desacordo é sobre o método e o precedente. Os requisitos de análise obrigatória, mesmo quando direcionados exclusivamente ao CSAM, exigem que as plataformas criem capacidades de deteção na sua infraestrutura. Uma vez existindo essa capacidade, os críticos alertam que a sua expansão para outras categorias de conteúdo no futuro se torna uma questão de política, e não de possibilidade técnica.

Há também uma preocupação prática com falsos positivos e efeitos inibidores. Os sistemas de deteção automatizada podem identificar incorretamente conteúdo legítimo, seja a foto de família de um pai ou mãe, uma imagem médica partilhada com um médico, ou conteúdo partilhado por jornalistas e advogados que lidam com material sensível. Sob um regime voluntário, as plataformas mantêm alguma margem de manobra sobre o rigor com que analisam e o que fazem com o conteúdo sinalizado. Um regime obrigatório eliminaria grande parte dessa margem, uniformizando a deteção de forma generalizada, independentemente do perfil de risco específico ou da base de utilizadores de uma plataforma.

Isto insere-se num padrão mais amplo de reguladores europeus e britânicos a debaterem-se com a forma de policiar as plataformas online sem minar as proteções de privacidade que os utilizadores esperam. Tensões semelhantes manifestaram-se em torno da verificação de idade e das restrições de acesso, como se viu no recolher obrigatório de adolescentes nas redes sociais no Reino Unido que impõe a deteção de VPN às plataformas, onde os mecanismos de fiscalização concebidos para proteger menores também levantam questões sobre quanta visibilidade as plataformas e os reguladores devem ter sobre o comportamento dos utilizadores.

O que isto significa para si

Para os utilizadores comuns, a prorrogação até abril de 2028 significa que nada muda de imediato. As plataformas que já analisam voluntariamente em busca de CSAM continuarão a fazê-lo ao abrigo do mesmo quadro jurídico que tem vigorado desde que a derrogação foi introduzida pela primeira vez. Os utilizadores dos principais serviços de mensagens e e-mail na UE não enfrentam hoje um novo requisito de análise obrigatória.

O que vale a pena observar é a direção da legislação permanente que ainda está a ser negociada. Se as regras de deteção obrigatória acabarem por ser aprovadas, o impacto prático sobre os utilizadores dependeria fortemente da sobrevivência das disposições sobre análise no lado do cliente no texto final, uma vez que esse é o mecanismo com maior probabilidade de afetar diretamente as aplicações de mensagens encriptadas. Os utilizadores que dependem de serviços encriptados ponta a ponta para comunicações sensíveis — jornalistas, ativistas, profissionais de saúde e pessoas comuns a discutir assuntos privados — são quem tem mais a perder com o desfecho deste debate.

Manter-se informado enquanto o debate continua

O controlo de conversas continua por resolver, e a prorrogação até abril de 2028 garante que este não será o último título sobre o tema. Para os leitores que queiram manter-se a par da política, alguns passos práticos fazem sentido: esteja atento às aplicações de mensagens que utiliza e às suas práticas de encriptação declaradas; preste atenção às comunicações oficiais do Parlamento Europeu e do Conselho, em vez de se basear em resumos de segunda mão quando ocorrerem votações importantes; e considere quanto da sua comunicação sensível ocorre em plataformas que poderão eventualmente ficar sujeitas a requisitos de análise obrigatória. O debate sobre o controlo de conversas não é apenas uma luta política em Bruxelas — é um teste vivo à extensão das proteções de privacidade numa era de deteção automatizada de conteúdos, e o seu desfecho moldará as regras de comunicação digital em toda a UE nos próximos anos.