Na sociedade de hoje, tudo se conecta através da Internet. Informações sobre onde vivemos ou trabalhamos, sobre a nossa renda, nossos gostos e preferências, nossas relações pessoais e atividades diárias, nossas filiações políticas, nossa orientação sexual e identificação religiosa estão online. E elas podem ser recolhidas por terceiros e examinadas sob vigilância conduzida por governos e outros atores. Enquanto as empresas que oferecem serviços de Internet estão sujeitas a vários regulamentos, que regem como elas devem lidar com as nossas informações confidenciais, suas políticas de privacidade e termos de uso, muitas vezes, não deixam claro exatamente quais medidas são tomadas por elas para proteger dados pessoais. É por isso que vale a pena perguntar: Você sabe onde estão seus dados agora? Será que que essas empresas protegem você? Elas deixam claro se permitem que terceiros tenham acesso as suas informações? Para responder a essas perguntas, estamos lançando o relatório intitulado Where Is My Data? (Onde estão meus dados?).
A Fundação Karisma, uma ONG latino-americana que trabalha na promoção dos direitos humanos no mundo digital, e a Electronic Frontier Foundation (EFF) uniram forças em uma iniciativa que visa promover mais transparência entre os provedores de internet na América Latina. O esforço é coordenado pela EEF em cinco países da região, com a participação de Red en Defensa de los Derechos Digitales no México, Hiperderecho no Peru, InternetLab no Brasil, TEDIC no Paraguai, e Fundação Karisma na Colômbia.
A Fundação Karisma está dando início a essa iniciativa com o projeto Where Is My Data - o primeiro relatório do tipo a analisar quais dos provedores de acesso à Internet na Colômbia defendem seus usuários e usuárias e abraçam a transparência em relação a solicitações de dados pessoais pelo governo. O objetivo deste relatório é permitir que usuários e usuárias tomem decisões mais conscientes sobre as empresas com as quais fazem negócios. Ele também foi concebido para incentivar as empresas a adotarem melhores práticas, a serem transparente sobre a troca de dados com o governo, e a fortalecerem o compromisso público de defesa dos direitos de usuários e usuárias.
"Os provedores de serviço de internet (ISPs, na sigla em inglês) na Colômbia devem ser transparentes sobre em que medida eles fornecem dados de usuários para o governo '', disse a diretora de direito internacional da EFF, Katitza Rodriguez, durante a abertura do evento em Bogotá. "O relatório 'Where Is My Data', da Fundação Karisma, faz uma análise das políticas de privacidade dos provedores mais populares da Colômbia, com o objetivo de fornecer uma perspectiva mais clara sobre o quão transparentes eles são para os consumidores em relação aos pedidos de informação de usuários feitos pelo governo. O relatório é uma ferramenta importante para os usuários que desejam tomar decisões mais conscientes sobre quais empresas ele pode confiar suas informações".
Para este relatório, a Fundação Karisma examinou políticas e termos de uso, disponíveis publicamente, de quatro dos maiores Provedores de Serviços de Internet (ISPs, em inglês), de acordo com o número de assinantes. Nos baseamos no relatório TIC trimestral, do Ministério de Tecnologias da Informação e Comunicação (MinTIC), que mostra que quase 91% de assinantes usam uma das quatro empresas que operam na Colômbia: Telmex Colombia S.A., UNE EPM Telecomunicaciones S.A., Colombia Telecomunicaciones S.A. (Telefónica) e ETB S.A. (ETB). Também incluímos uma quinta empresa, a DirecTV, já que ela começou a oferecer serviços de Internet recentemente e, como uma empresa multinacional, tem tido um grande impacto na Colômbia. As empresas UNE e Tigo se fundiram em 2014, no entanto, mantêm políticas distintas. O relatório se concentra apenas na UNE, que opera substancialmente fora da capital Bogotá.
A Fundação Karisma realizou uma avaliação das informações públicas disponíveis nos sites destas cinco empresas, e as classificou de acordo com a quantidade de informações divulgadas aos seus usuários e usuárias em suas políticas de privacidade e termos de uso. Focamos em cinco áreas:
- O Provedor de Serviços de Internet publica relatórios de transparência? Esses relatórios fornecem aos indivíduos informações limitadas sobre o escopo e a natureza dos pedidos de informação feitos pelo governo para investigações ou vigilância. As empresas não são legalmente obrigadas a fornecer relatórios de transparência, e os governos limitam a quantidade de dados que podem ser divulgados, mas publicá-los é uma boa prática, e mostra que as empresas se preocupam com a proteção de seus consumidores e consumidoras. Cada vez mais empresas de internet e de mídias sociais têm se esforçado para fornecer esses relatórios, incluindo Google, Facebook, Twitter, Microsoft e Vodafone. Relatórios de transparência contêm, por exemplo, informações sobre o número específico de solicitações que uma determinada empresa recebeu do governo, o número de vezes que rejeitou os pedidos (e as razões para negar), a discriminação dos pedidos por autoridade responsável pelas investigações, tipo e finalidade, e o número de contas afetadas por cada pedido.
- O provedor de serviços de internet notifica os usuários e usuárias sobre as requisições de dados feitas pelo governo? Isto é importante porque permite que as pessoas possam contestar a vigilância ou buscar outras soluções eficazes.
- A política de proteção de dados do provedor de serviços de internet é pública e facilmente acessível? Há a obrigação legal de publicar uma política de privacidade, mas isso não significa que, na prática, estes documentos são fáceis de encontrar ou que eles são compreensíveis para as pessoas.
- O provedor de serviços de internet publica as diretrizes para o cumprimento da obrigação legal de entregar dados de usuários e usuárias para o governo? E por quanto tempo a empresa guarda dados pessoais, e como ou se eles descartam esses dados?
- O provedor de serviços de internet é transparente em relação a como os conteúdos são filtrados, removidos ou bloqueados, e em relação ao que acontece com os dados quando o serviço é cancelado ou suspenso? Há bases legais e contratuais para a filtragem e remoção de conteúdo. Os usuários e usuárias devem ser capazes de saber por que motivo e como os dados são removidos, e quais as soluções possíveis quando sentem que há abusos.
Onde estão meus dados? tem o objetivo de promover, para o benefício de usuários e usuárias, melhores práticas de negócios no âmbito dos provedores de serviços de internet. O projeto busca identificar as áreas que precisam de mais transparência, além de sensibilizar as pessoas sobre como seus dados são utilizados por esses provedores e pelo governo, para que possam tomar decisões mais conscientes na hora de escolher um provedor de Internet.
A análise foi baseada em metodologias desenvolvidas pela EFF e usadas em projetos similares ao redor do mundo, levando em conta as leis vigentes na Colômbia. As empresas ganharam estrelas completas e parciais para cada uma das cinco áreas de foco: estrelas completas foram concedidas quando havia maior transparência; estrelas pela metade quando as informações eram divulgadas parcialmente; e um quarto de estrela para reconhecer o desenvolvimento de boas práticas, mesmo quando faltava transparência. Quando nenhuma informação era fornecida aos consumidores, as estrelas foram negadas.
A Fundação Karisma entrou em contato com as cinco empresas presentes no relatório para explicar o processo de avaliação, fornecer os resultados iniciais, e dar-lhes a oportunidade de fornecer uma resposta, identificar problemas e apresentar evidencias da melhoria de políticas e práticas. As observações e comentários feitos pelos provedores foram considerados na avaliação final.
Os Resultados: Políticas vagas e pouco claras, e falta de transparência em relação as requisições e a vigilância governamental deixam muito espaço para melhorias
Este ano, a DirecTV foi a única empresa a receber uma estrela completa por publicar sua política de privacidade de forma clara e acessível. Infelizmente, Where Is My Data? mostrou que esta é uma exceção à regra - a maioria das políticas de privacidade dos provedores são difíceis de encontrar, são vagas em relação aos detalhes, e mostram que algumas empresas retêm dados pessoais até muito tempo depois do fim da assinatura do serviço.
Além disso, a Fundação Karisma constatou que, das políticas e termos de uso avaliados, a maioria não indica se os usuários e usuárias receberão notificações em relação ao pedidos de entrega de dados pessoais por parte do governo. A notificação é essencial para que as pessoas possam contestar as requisições ou buscar outras soluções.
A DirecTV é a única empresa que declara em seus termos de uso que poderá notificar os usuários e usuárias se e quando tais pedidos forem feitos, mas a declaração da empresa é discricionária, vaga e carece de detalhes sobre como as informações seriam divulgadas. Ficamos esperançosos quando a UNE prometeu examinar a legalidade das requisições e manter os registros delas, mas a empresa falhou em dar o próximo passo, e a se comprometer a notificar os usuários e usuárias sobre tais as solicitações.
Infelizmente, nenhum dos provedores de serviço de internet revisaram as diretrizes relacionadas à sua obrigação legal de entregar dados de usuários e usuárias para o governo, e os termos de uso das empresas também não descrevem como os conteúdos são filtrados, removidos ou bloqueados, ou o que acontece com eles quando o serviço é cancelado ou suspenso.
As empresas na Colômbia têm um longo caminho a percorrer em relação a proteção de dados pessoais e em ser transparentes sobre quem tem acesso a eles.Nós pretendemos lançar o relatório anualmente, visando incentivar as empresas a melhorarem a transparência e a proteger dados pessoais. Desta forma, todos os colombianos e colombianas terão acesso à informações sobre como seus dados são tratados, e como eles são controlados pelos provedores, para que possam tomar decisões mais inteligentes. Temos a esperança de que, no próximo ano, o relatório possa brilhar com a luz de mais estrelas.
