Este post é o primeiro de dois analisando os riscos de aprovação de obrigações de vigilância perigosas e desproporcionais no projeto de lei brasileiro das Fake News. Você pode ler o nosso segundo artigo aqui. 

O novo substitutivo do chamado projeto de lei das Fake News (PL 2630/2020), voltado a combater a desinformação online, contém tanto boas como más notícias para a privacidade dos usuários em comparação a versões anteriores. No relatório divulgado pelo Deputado Orlando Silva (PCdoB/SP) no final de outubro, após uma série de audiências públicas na Câmara dos Deputados, o texto mais recente do PL busca responder às reivindicações da sociedade civil contra disposições danosas à privacidade.

Em  relação às graves falhas apontadas anteriormente pela EFF, o projeto de lei não estabelece mais um regime geral de identificação legal dos usuários. Em segundo lugar, não exige que as empresas de rede social e de mensageria instantânea forneçam aos seus funcionários no Brasil acesso remoto aos registros e bancos de dados de seus usuários, regra que contornaria as garantias ligadas à cooperação internacional e criaria riscos à privacidade e à segurança. Ainda mais importante, o novo substitutivo derrubou a obrigação de rastreabilidade de mensagens, antes fixada para aplicações de mensageria instantânea e que pretendia monitorar informações sobre o encaminhamento de mensagens. Esperamos que todas essas mudanças positivas e fundamentais sejam preservadas pelos membros do Congresso nos debates que vêm pela frente.

Porém, o texto do projeto de lei também tem desvantagens significativas para a privacidade. Entre elas, o artigo 18 da proposta expõe os números de CPF de parte dos usuários ao exigir que as empresas disponibilizem publicamente, por padrão, o número de CPF de quem pagar para impulsionar conteúdo que mencione partido político, coligação ou candidato, assim como o nome da pessoa que autorizou a mensagem do anúncio. Isso vai além das regras relativas à propaganda eleitoral. Além do potencial de perseguição e retaliação com base na orientação política das pessoas afetadas, o artigo cria um enorme e valioso conjunto de dados pessoais passível de utilização para a criação de perfis políticos das pessoas, usando número de identificação nacional e único.

Ele pode ser cruzado com várias outras bases de dados governamentais e empresariais associadas ao CPF dos usuários. Mesmo que a lei brasileira de proteção de dados estabeleça proteções para o uso de dados pessoais sensíveis e de acesso público, o risco aqui é alto. Os dossiês ou listas "antifascistas" do governo brasileiro, incluindo nomes de funcionários públicos, influenciadores, jornalistas e professores universitários, revelados pela imprensa nos últimos anos, são uma séria demonstração do problema.

O PL ainda estabelece que as plataformas de internet podem ter suas atividades proibidas ou temporariamente suspensas como parte das penalidades por descumprimento da lei. De  acordo com o artigo 2, o projeto se aplica a redes sociais, mecanismos de busca e provedores de serviços de mensagens instantâneas com mais de dois milhões de usuários registrados no Brasil. O bloqueio de sites e plataformas de internet levanta muitas preocupações técnicas e de direitos fundamentais. Os padrões internacionais de liberdade de expressão enfatizam que mesmo o bloqueio apenas de conteúdo específico só é admitido em casos excepcionais de conteúdo ou discurso claramente ilegal e não coberto por garantias de liberdade de expressão, como o incitamento ao genocídio.

No entanto, o bloqueio de aplicações inteiras na internet como penalidade pelo não cumprimento da lei entra em conflito com essas normas. Como sublinhado pelo Comitê de Direitos Humanos da ONU, as proibições genéricas à operação de certos sites e sistemas não são compatíveis com o Artigo 19, parágrafo 3 do Pacto Internacional sobre Direitos Civis e Políticos da ONU (PIDCP). Da mesma forma, o Conselho da Europa recomendou que as autoridades públicas não devem, através de medidas gerais de bloqueio, negar o acesso do público à informação na internet, independentemente de  fronteiras.

O bloqueio de aplicações de internet como medida para forçar que elas cumpram com a lei é também propenso a abusos, mesmo quando determinado por autoridades judiciais. Vimos como isso pode levar a uma aplicação abusiva, por exemplo, com ordens judiciais determinando que aplicações com criptografia de ponta a ponta entregassem às autoridades o conteúdo das comunicações ou chaves capazes de decodificá-lo (como o WhatsApp no Brasil ou o Telegram na Rússia). Em uma das ações constitucionais contra o bloqueio do WhatsApp no Brasil, a Ministra Rosa Weber analisou a disposição legal que alegadamente autorizava o bloqueio e afastou qualquer interpretação que implicasse punição por não cumprimento de  ordem judicial exigindo o conteúdo de comunicações "passíveis de obtenção tão só mediante fragilização deliberada dos mecanismos de proteção da privacidade inscritos na arquitetura da aplicação".

O julgamento está parado desde maio de 2020. Enquanto isso, artigos no projeto de reforma do Código de Processo Penal brasileiro representam ameaça semelhante com suas obrigações de assistência. A Ministra Rosa Weber foi precisa: a recusa em fragilizar deliberadamente as proteções de privacidade que elas incorporaram em seus produtos não deve ser motivo para bloquear plataformas de internet. O bloqueio priva as pessoas do direito fundamental à liberdade de expressão e deve ser abordado com extrema cautela.

A previsão de medidas de vigilância desproporcionais no PL das Fake News levanta sinais de alerta no mesmo sentido. O restante desse post aprofunda em por que os legisladores brasileiros devem se alinhar ao relator do PL e rechaçar a rastreabilidade. Nosso segundo artigo vai fundo nos perigos e falhas de se expandir as obrigações de guarda prévia de dados já existentes na lei brasileira. Passada a recente aprovação pelo Congresso de uma emenda incluindo explicitamente na Constituição Federal a proteção de dados como um direito fundamental, os legisladores devem seguir o princípio da necessidade e de um tratamento proporcional de dados pessoais ao avaliar e votar o PL das Fake News.

Reviravoltas na regra da rastreabilidade, e por que ela deve ficar fora do texto

A perigosa regra da rastreabilidade, aprovada no Senado, mas corretamente retirada da versão atual do PL, obrigava as aplicações de mensageria a reter informações sobre quem compartilhou comunicações “encaminhadas em massa”. O artigo exigia três meses de dados armazenados mostrando a cadeia completa de comunicações encaminhadas, incluindo data e hora do encaminhamento, e o número total de usuários que receberam a mensagem. Embora essas obrigações estivessem condicionadas a patamares de viralidade, esperava-se que o provedor de serviços guardasse temporariamente esses dados para todas as mensagens encaminhadas durante um período de 15 dias, a fim de determinar se o patamar de viralidade foi ou não atingido.

Como ressaltamos, essa regra mina as expectativas de privacidade e segurança dos usuários de serviços de mensagens, como o WhatsApp e o iMessage, e levanta sérias preocupações de devido processo. Ela inverte o ônus da prova contra os usuários em duas dimensões.  Primeiro, o simples compartilhamento de uma mensagem viral pode colocar um usuário sob suspeita e jogar sobre ele ou ela o ônus de demonstrar que não teve uma intenção maliciosa ao realizar o encaminhamento. Em segundo lugar, a regra confunde as linhas que separam o originador  de uma cadeia de comunicação em uma aplicação de mensageria e o verdadeiro criador do conteúdo da mensagem. Embora o primeiro não se equipare ao segundo, como já explicado, caberia ao originador da cadeia de comunicação provar que não é o autor do conteúdo.

Uma versão alternativa informal do texto do PL, com mudanças na regra da rastreabilidade, circulou alguns dias antes da apresentação oficial do novo relatório. A redação da versão informal exigia de forma genérica que os serviços de mensagens tivessem a capacidade de identificar o remetente original das mensagens disseminadas massivamente (parecido com as problemáticas regras de rastreabilidade da Índia). Pior do que a versão anterior, esse artigo não definia o que significava uma mensagem massiva, nem especificava o tempo para retenção dos dados. Porém, tal como a obrigação de rastreabilidade aprovada no Senado, foi concebida para levar os serviços de mensageria a coletar informações sobre todas as mensagens encaminhadas, independentemente de terem sido maliciosamente compartilhadas e mesmo antes de o conteúdo da mensagem ser considerado um problema.

No geral, ambas terminam por incentivar as empresas a se afastarem de proteções da criptografia forte, destinadas a garantir que um adversário não possa confirmar nem  desconfirmar palpites sobre o conteúdo de uma mensagem. No WhatsApp, por exemplo, a informação de que uma mensagem foi encaminhada é protegida e permanece criptografada para a aplicação (embora os usuários possam ver nos seus dispositivos que uma mensagem foi encaminhada, esta informação é criptografada no lado do servidor da empresa).

Felizmente, a obrigação de rastreabilidade foi retirada da proposta oficialmente apresentada. O novo texto estabelece uma ordem de preservação de metadados.

A ordem de preservação de metadados proposta é uma exigência mais proporcional

De acordo com o artigo 13 do novo substitutivo, uma ordem judicial pode determinar às aplicações de mensageria que passem a preservar e que disponibilizem os registros de interações relativos a usuários determinados por um período não superior a 15 dias, renovável até um máximo de 60 dias. A regra está sujeita aos mesmos requisitos de alto nível aplicados à interceptação do conteúdo das comunicações, estabelecidos na Lei 9.296/1996 (Lei de Interceptação Telefônica). Neste caso, a preservação de tais registros se dá a partir da requisição relativa a usuários determinados, e não por padrão para os usuários de forma geral.

Os registros de interações capturam a data e a hora em que esses usuários enviaram e receberam mensagens e chamadas de áudio. Não existe atualmente lei que diretamente autorize juízes a ordenar que as empresas preservem tais registros de interações. O artigo proíbe a associação desses dados com o conteúdo das comunicações e veda pedidos genéricos. Ele também desautoriza pedidos que excedam o âmbito e os limites técnicos do serviço, preservando a criptografia segura de ponta a ponta e outras implementações de privacidade por concepção que protegem os dados e as comunicações dos usuários.

Ordens judiciais de preservação de metadados, que respeitam funcionalidades de segurança e privacidade das aplicações, podem fornecer informações relevantes sobre indivíduos suspeitos de estarem envolvidos em crimes graves. E o fazem sem comprometer os princípios de criptografia forte ou sem encorajar a retenção massiva de dados associados à comunicação de milhões de usuários. Como argumentou Danilo Doneda, esta  é uma proposta muito mais proporcional.

Todavia, a redação do último parágrafo do artigo, que permite que o juiz requisite informações adicionais relacionadas a um usuário determinado, ainda necessita de ajustes para tornar explícito que tais pedidos são complementares às ordens de registros de interações e, portanto, devem seguir os mesmos requisitos de proteção da privacidade.

Em consonância com a aprovação pelo Congresso da proteção de dados como um direito fundamental inscrito na Constituição Federal, e respeitando as garantias da lei brasileira de proteção de dados, os parlamentares devem se alinhar com o relator do projeto de lei e rechaçar a obrigação de rastreabilidade de mensagens no PL das Fake News.