Comissão Europeia se recusa a divulgar autores de proposta de vigilância em massa

• A Comissão Europeia se recusou a divulgar informações sobre os autores da lei de bloqueio de material de abuso sexual infantil (regulamento CSA)
• A proposta inclui medidas para permitir a vigilância de mensagens em plataformas de chat para detectar conteúdo ilegal
• Em resposta a pedidos de divulgação de informações internas sobre os autores, a Comissão alegou proteção de dados pessoais e necessidade de revisão interna, em vez do princípio da transparência
• Organizações da sociedade civil e especialistas em privacidade alertam que essa política de sigilo pode reduzir a confiança no processo de elaboração da proposta
• O caso ganha destaque como um ponto importante no debate sobre privacidade de dados e transparência de políticas públicas na Europa

---

Visão geral do caso

• A Comissão Europeia não divulgou a identidade dos autores da proposta CSA (Child Sexual Abuse Regulation)
• O objetivo da proposta é fornecer base legal para permitir a vigilância de mensagens em plataformas de comunicação online, como chats e e-mails, além da detecção automática de material de abuso sexual infantil
• A proposta vem gerando controvérsia há anos, e políticos e organizações da sociedade civil vêm pedindo repetidamente mais transparência no processo de formulação da política

Motivos para a recusa em divulgar os autores

• A Comissão recusou divulgar os nomes dos autores e colaboradores solicitados, bem como suas informações de contexto
• Como justificativa, citou a proteção de dados pessoais desses funcionários e a preservação da independência dos procedimentos internos de revisão
• Também afirmou que expor autores individuais pode provocar pressão externa excessiva, ameaças ou influência indevida

Reação da sociedade civil e de grupos de privacidade

• EDRi, Access Now e outras organizações da sociedade civil apontaram o risco de redução da transparência e de enfraquecimento da credibilidade do processo de revisão da proposta
• Também surgiram críticas de que fica difícil identificar a composição dos formuladores de políticas, dos consultores técnicos ou a influência de partes interessadas externas

Contexto e implicações

• A proposta CSA é vista como uma proposta de grande precedente por exigir que provedores de serviços online realizem varredura algorítmica em mensagens de todos os usuários
• A proposta tem sido alvo de intenso debate na UE por possíveis violações de privacidade e pela controvérsia sobre o enfraquecimento de comunicações criptografadas
• À luz de padrões internacionais, o caso também se conecta ao debate sobre proteção de dados pessoais e transparência de políticas públicas na Europa

Conclusão

• A decisão da Comissão Europeia de não divulgar informações sobre os autores está diretamente ligada a questões de transparência e responsabilização na formulação de políticas públicas
• O caso é interpretado como um indicador importante para garantir a credibilidade do processo de elaboração de políticas dentro da UE

[unsure4000]

Faz anos com proposta retirada, proposta retirada, proposta retirada, proposta retirada... isso nunca cansa??

[GN⁺]

Comentários do Hacker News

• Em um artigo sobre o plano de vigilância da UE chamado "Policing by Design", menciona-se a necessidade de um regime harmonizado de retenção de dados da UE que permita coletar e acessar dados de todos os tipos de provedores de serviços de comunicação, em total conformidade com a segurança de dados; também lembra que a diretiva anterior de retenção de dados da UE foi considerada inconstitucional em 2014 por violar direitos fundamentais. Desta vez, enfatiza-se o consenso em torno de garantir dados acessíveis de todas as formas de provedores de serviço e provas eletrônicas, além da necessidade de as autoridades investigativas acessarem dados em texto claro (dados não criptografados)
  • As recomendações do HLG (High Level Group) incluem a criação de plataformas de compartilhamento de ferramentas e know-how como o SIRIUS; a necessidade de incluir também fabricantes de hardware no escopo e construir uma rede com as forças de segurança; a criação de uma estrutura permanente reunindo especialistas em tecnologia, privacidade, padronização e segurança para promover o ‘lawful access by design’; a ideia de que se deve apenas ajudar as forças de segurança a definir seus requisitos sem impor soluções concretas, para que empresas privadas possam viabilizar acesso legal a dados sem enfraquecer a segurança; e a formação de um grupo de pesquisa para examinar a viabilidade técnica de obrigar o acesso a dados criptografados — o que revela a intenção de ampliar a vigilância de forma generalizada e de tentar impor backdoors obrigatórios em software e hardware. Recomenda-se ler o PDF relacionado
• Há ceticismo quanto à afirmação de que é possível acessar dados criptografados e, ao mesmo tempo, manter esses dados seguros, já que a própria ideia parece contraditória; ainda assim, continua-se alegando que dá para ter ao mesmo tempo ‘proteção da privacidade e acesso legal’
• Lembra-se que a UE se baseia em valores fundamentais como dignidade humana, liberdade, democracia, igualdade, Estado de direito e respeito aos direitos humanos; ainda assim, há a opinião de que ela continuará tentando dar lições desses valores a outros países, apesar da desconexão com a realidade
  • Existe a possibilidade de o Tribunal de Justiça da União Europeia considerar ilegais essas regras de vigilância
  • Mesmo com todas as falhas, questiona-se se realmente existe algum país ou organização em posição melhor para ensinar esses valores a outros, citando comparações com Rússia, China, Irã e outros
  • Justamente por se basear nesses valores fundamentais, caso a identidade dos autores da proposta de vigilância seja revelada, a situação pode se tornar ainda mais vergonhosa do que o esperado
• Vale a pena ler o artigo relacionado da EDRi (link); após escrever recentemente um trabalho sobre chat control em uma disciplina universitária, surgiu a ideia de que não basta apenas estar insatisfeito com as decisões da Comissão Europeia, e que obviamente há muito mais a ser discutido
  • Durante as discussões sobre chat control, a Europol já estaria salivando por uma expansão regulatória, com a fala de que todo tráfego é útil
  • A Comissão Europeia sustentou a utilidade dos dados fornecidos pela Thorn sem qualquer verificação real de sua confiabilidade; também não respondeu a pedidos via FOIA e, mesmo após uma decisão do ombudsman apontando maladministration, a Comissão Europeia continuou sem cooperar sob a alegação de proteger interesses comerciais. Documentos divulgados posteriormente também não trazem informação substancial sobre a confiabilidade do software da Thorn, o que no fim o torna não confiável
  • Algumas pessoas da Europol foram trabalhar na Thorn, e nesse processo também foram encontrados casos de violação de regras de conflito de interesses
    • Segundo o artigo “Going Dark expert group – EU’s surveillance forge” (link), a Comissão Europeia continua ocultando a lista de participantes das reuniões do EUGoingDark; o grupo seria composto principalmente por polícia e agências de inteligência, o Supervisor Europeu para a Proteção de Dados (EDPS) teria apenas status de observador, ONGs não poderiam participar das reuniões, haveria limitação do debate sobre proteção de dados e direitos humanos, e um plano para promover vigilância direcionada com vistas a influenciar o Parlamento Europeu
    • Infelizmente, a Dinamarca deve assumir a presidência do Conselho da UE e é um dos países que lideram o chat control
    • Sobre as dúvidas quanto à confiabilidade do material da Thorn, citam-se historicamente casos como Coreia do Norte, China e União Soviética, onde a vigilância foi eficaz para controle
• Com a expressão ‘democracia secreta’, aparece uma visão cínica de uma democracia que desconfia dos cidadãos e não existe para eles; supõe-se que isso combine com a postura sigilosa, dado o histórico de von der Leyen em investigar proponentes
• Há curiosidade sobre se já existiu, no passado ou em outros países, precedente que limite a reapresentação de projetos semelhantes quando fracassam repetidamente; propõe-se algum freio institucional como ‘depois de 4 tentativas, não pode mais reapresentar’ ou impedir por 10 anos a reapresentação do núcleo de um projeto rejeitado
• Questiona-se se existe algum lugar no mundo sem esse impulso orwelliano por vigilância
  • Em alguns casos, cidadãos de países menos desenvolvidos podem até ser mais livres, e mesmo que seus governos tentem aprovar leis desse tipo, faltaria infraestrutura ou poder para mobilizar multinacionais
  • Em “Consciousness Explained”, de Dennett, explicam-se os paradigmas de vigilância orwelliano (distorção posterior) e stalinista (bloqueio prévio), e há preocupação de que hoje as duas distopias possam chegar ao mesmo tempo; dependendo do país, o método stalinista pode se aprofundar
  • Quando tecnologias de empresas americanas são adotadas, a rota de vigilância já pode vir embutida (link relacionado); há também o caso em que a Apple admitiu fornecer dados de notificações push a governos
  • Ao mesmo tempo em que se rejeita o autoritarismo ao estilo Trump, introduzem-se instituições autoritárias por uma via paralela em vez de seguir na direção oposta
  • Há a opinião de que a concentração extrema de capital foi um dos fatores que impulsionaram essa sociedade de vigilância
• A Comissão Europeia se recusa a revelar o verdadeiro articulador da proposta de vigilância em massa, o que na prática significaria o fim da privacidade online dos cidadãos
  • À pergunta sobre por que os cidadãos querem privacidade, aponta-se que a própria Comissão Europeia também quer manter sigilo sobre várias de suas atividades, o que parte da mesma motivação
• Há curiosidade sobre como essa proposta de vigilância se conectaria com outros planos, como a EU Digital Identity Wallet (link) e a EU Age Verification (link), previstas para 2026
  • Esses sistemas seriam complementares: grandes sites e apps teriam obrigação de oferecer verificação de idade, e a identidade online ficaria ligada à identidade real, eliminando privacidade e anonimato diante da vigilância estatal
• Diante da surpresa com a ascensão da extrema direita, há uma postura otimista de que ela acabará perdendo força, como no caso de Geert, na Holanda
  • Embora seja verdade que é perigoso extremistas usarem ferramentas de vigilância, o desejo de vigiar a população existe em todo o espectro político; cita-se o caso do D’66, partido de centro/progressista na Holanda, que apoiou uma lei de vigilância em massa para agências de inteligência
  • Os principais partidos da Noruega (Arbeiderpartiet/Høyre) estariam promovendo restrição etária para acesso a redes sociais com login estatal via BankID, o que fere a privacidade online, e também apoiaram em 2011 um projeto que permitia ao Estado armazenar por 6 meses todo o tráfego internacional de internet; nenhum partido demonstra real disposição de proteger comunicações privadas
  • À pergunta se Ursula von der Leyen é de extrema direita, responde-se que, na prática, este grupo de vigilância está sendo conduzido por ela e por sua Comissão, e que a decisão de não divulgar os membros do grupo também foi da Comissão
  • Aponta-se que, na prática, os moderados não consideram suficientemente o risco de fortalecer instrumentos que a extrema direita pode usar ao chegar ao poder
  • Não se acredita que seja a extrema direita que esteja empurrando essas políticas de vigilância; em geral ela é anti-UE, enquanto essas medidas serviriam para reforçar o poder do establishment centrista/neoliberal, e a extrema direita as usaria depois como ferramenta de ataque
• Recomenda-se que cidadãos da UE entrem em contato diretamente com seus representantes para protestar
  • Na prática, há relatos de que mesmo ao contatar políticos holandeses não se obtém resposta, retorno nem diálogo; os políticos teriam tornado a si mesmos difíceis de alcançar
  • Houve também tentativa de contato com um eurodeputado dinamarquês, mas sem qualquer resposta
  • A realidade seria que representantes não se importam tanto quanto os cidadãos esperam
  • Ao contatar eurodeputados sobre a diretiva de direitos autorais, eles apenas repetiam a linha vinda da Comissão Europeia; a representatividade do Parlamento Europeu seria diluída e indireta, e apenas pessoas não eleitas da Comissão/Conselho podem iniciar novas leis. Mesmo se o Parlamento se opuser, a Comissão mudaria apenas a capa e colocaria tudo em votação de novo; os eurodeputados em geral se conformariam ao sistema atual
  • Mesmo enviando e-mails, provavelmente eles apenas ririam disso; não dá nem para esperar que atendam telefonemas