O GDPR não serviu para nada: a privacidade na UE chega ao fim com a vigilância de chats

• O GDPR foi introduzido, mas não teve efeito prático real na proteção da privacidade dentro da UE
• Por meio da política de chat control, passou a ser aplicada a vigilância das comunicações online na Europa
• Junto com o enfraquecimento da privacidade, a adoção de tecnologias de vigilância avança rapidamente
• A prioridade mudou da proteção dos dados dos usuários para o controle da internet pelos governos
• Com isso, cresce no setor europeu de tecnologia e nas startups a preocupação com a queda da privacidade

---

Limites do GDPR e adoção da política de vigilância de chats

• A UE implementou o GDPR (lei de proteção de dados pessoais) prometendo proteger a privacidade, mas sua eficácia real na proteção da privacidade online tem sido limitada
• Recentemente, com a introdução da política conhecida como chat control, ampliou-se a vigilância em nível governamental sobre os principais serviços online e o conteúdo de conversas em mensageiros na Europa
• Embora essas políticas tenham sido promovidas com objetivos de interesse público, como a proteção infantil, elas acabam levando a uma vigilância ampla de informações, incluindo o escaneamento de mensagens de todos os usuários

Reforço da vigilância e impacto na privacidade

• Com a política de chat control, passam a ser aplicados filtros automáticos baseados em IA e soluções de vigilância, fazendo com que até mensagens privadas entre indivíduos entrem no escopo de análise
• Ao contrário da estrutura legal original voltada à proteção de dados, observa-se um enfraquecimento da proteção da privacidade individual sob a justificativa de segurança pública
• Com isso, empresas privadas e startups também são pressionadas a mudar a estrutura de seus serviços e atender às exigências de conformidade legal

Preocupações do setor europeu de tecnologia e startups

• A violação da privacidade online e o aumento da vigilância também afetam no longo prazo o ambiente de inovação e a competitividade do ecossistema de startups na Europa
• Muitas empresas enfrentam queda na confiança dos clientes e aumento da carga de gestão de dados
• Em última instância, o debate sobre o equilíbrio entre proteção de dados pessoais e controle governamental surge como uma questão central para o setor de TI

[GN⁺]

Comentários do Hacker News

• Quando alguém diz que usa o Signal porque não tem nada a esconder em privado, eu sempre peço que desbloqueie o próprio celular e me entregue. Muita gente não entende a piada, mesmo quando eu faço isso. (texto relacionado)

  • Essa lógica está errada. As pessoas confiam no governo de um jeito diferente de como confiam umas nas outras. Há um motivo para o voto ser secreto. Se o governo puder prever com mais de 80% de precisão a tendência de voto da população só com chats e redes sociais, souber de antemão a formação de novos partidos e até conhecer os segredos dos amigos de alguém para vazar à imprensa ou abrir processo com acusações vagas, então perdemos a chance de mudar o governo de forma real. Conhecimento é poder. Vale se perguntar se o equilíbrio de poder hoje parece inclinado demais para o indivíduo
  • Eu prefiro até sair da esfera pessoal e pedir que as pessoas imaginem que o poder que elas mais temem sabe com antecedência de toda coordenação secreta. Eu mesmo quase não tenho nada a esconder, mas desejo profundamente que alguém possa ter segredos. Só assim conseguimos resistir melhor ao abuso de poder
  • Se a pessoa realmente entregasse o celular, eu ficaria curioso sobre o que viriam fazer em seguida. Vasculhar fotos ou conversas com o parceiro para tentar achar algo e rir? Não entendo bem como isso se desenrolaria na vida real

• Para implementar uma política dessas, acho que antes ela deveria ser testada por 5 anos em todos os políticos e servidores públicos, suas famílias e até seus filhos. Pesquisadores de segurança deveriam poder hackear o sistema livremente, sem punição criminal. Todo acesso aos dados deveria ser registrado com pseudônimos em um blockchain público. Depois de 5 anos, deveriam publicar estatísticas e relatórios com logs detalhados mostrando quanto o crime caiu e quem foi punido e por quê, e no fim a população deveria decidir em votação se o sistema deve ser adotado

  • O problema dessa proposta é que os políticos não mudariam o comportamento. O político ideal é um realista absoluto sem moral, e isso é inevitável para ter sucesso numa democracia federal. É preciso saber quem são os grupos de lobby que empurram o Chat Control de forma ativa. A imprensa deveria investigar os esquemas deles e divulgar amplamente
  • Acho que esse tipo de abordagem não é tratamento justo para ninguém. Essa vigilância total acaba expondo todos os segredos, ilegais ou legais, e causa danos graves. No momento em que um Estado passa a vigiar os cidadãos, ele se transforma em algo que era melhor nem existir. Não dá para esperar bons resultados de um Estado de vigilância
  • É irônico pensar que, se esse sistema existisse, também daria para ver as mensagens SMS entre Ursula von der Leyen e a Pfizer
  • O verdadeiro problema é que a própria meta de impedir ou resolver todos os crimes é o pior cenário possível para a liberdade. Como a resistência deixaria de ser possível, a chance de tudo desabar em abuso de poder e ditadura não é zero. Pensando em quantas revoluções, em quanta história sangrenta de resistência a ditaduras e de transição para a democracia envolveram violência, intimidação e sacrifício, precisamos do direito de resistir a qualquer momento e até de espaços para falar de forma organizada sobre violência e ódio. Pessoas ruins também podem usar essa liberdade, mas esse é o preço que temos de pagar

• Acho que deveriam tirar a palavra "chat" e deixar só "Control". A proposta do ChatControl que está sendo discutida hoje é vaga demais e pode se aplicar a qualquer serviço que permita compartilhamento ou sincronização online. Chat, e-mail, compartilhamento de arquivos, lista de tarefas, tudo entra nisso

  • Tenho a sensação de que o ChatControl é o resultado do fracasso da UE em construir um sistema sigiloso de vigilância em massa no estilo NSA/Echelon dos EUA. Assim como fracassou em criar um buscador europeu ou uma nuvem europeia, agora quer empurrar isso abertamente por lei. Espero que a implementação seja ineficaz na prática. Não vivemos em 1984 nem em Admirável Mundo Novo, mas numa distopia "estilo UE de 1985" como no filme Brazil
  • Pelo sentido literal, já existe wiretap, então a sugestão agora é chamar isso de "wireless tap"

• Fico curioso sobre como as pessoas nas democracias ocidentais recebem esse fenômeno. Eu vivi em um país quase ditatorial, então esse tipo de controle sempre me pareceu normal. Mas eu achava que a UE e os EUA eram diferentes. Não entendo como continuam saindo notícias assim e quase não há reação

  • Há uma oposição bem forte de grupos cívicos, organizações de privacidade, tribunais, Parlamento Europeu etc. Exemplos de críticas
  • Eu moro nos EUA e também acho isso absurdo. Antigamente, as comunidades da internet reagiam muito mais até a regulações bem menos distópicas, mas hoje parece que, por pior que tudo fique, todo mundo está anestesiado. Diminuiu muito o número de pessoas dispostas a agir ativamente em qualquer coisa que exija sacrifício, e nem eu sei mais o que fazer. Até pouco tempo atrás todo mundo se revoltava falando de SOPA, mas agora a sensação é de apatia total
  • No Ocidente, a principal estratégia costuma ser empurrar isso com o argumento de que "é preciso proteger as crianças". Pedofilia, drogas, suicídio, automutilação, cyberbullying: a mídia traz casos horríveis para silenciar quem discorda
  • UE e EUA são claramente diferentes. A privacidade costuma ser protegida principalmente por compliance e ações civis. Até em um vazamento de dados de 300 milhões de pessoas, as multas ficam na faixa de US$ 0,25 por caso. Já a UE aplica multas muito maiores por violações de políticas corporativas e afins. Um exemplo foi a multa de 1,2 bilhão de euros imposta pela DPC da Irlanda ao Facebook por violar as regras de transferência de dados entre UE e EUA. Link relacionado
  • Meu país saiu do comunismo há apenas 35 anos. Entre as pessoas que conheço, todas são contra essa política. Os países grandes já tentaram várias vezes decidir isso na base da maioria, mas ainda vale o princípio da unanimidade, em que todos os países precisam concordar. Se um só país for contra, fica difícil aprovar

• Usei o I2P recentemente e fiquei realmente impressionado com o design e a qualidade técnica. É um software excelente, com praticamente tudo o que uma rede distribuída precisa. Na prática, o que mais falta é comunidade, por causa do efeito de rede. Quanto mais roteadores estáveis houver, mais rápida e confiável a rede fica, mas hoje ela é lenta. Mesmo assim, recomendo testar ao menos uma vez; mesmo sem interesse em segurança ou anonimato, há coisas interessantes como hole punching e endereçamento global por chave pública. Ele também oferece interface SAM e bibliotecas para integrar em outros apps

  • Site oficial do I2P
  • Há mais de 20 anos ouço falar bem do I2P, mas fico pensando se, na prática, ele tem um risco parecido com o de operar um nó Tor, em que alguém acessa algum site estranho e isso acaba sobrando para mim
  • Por causa deste comentário, eu também comecei a usar I2P. Meu roteador Raspberry Pi e vários servidores agora viraram nós floodfill do I2P
  • Queria entender mais especificamente do que você está falando; pode compartilhar alguns links relacionados?

• Eu me perguntava se seria possível criar um app de mensagens criptografadas sem servidor central. Algo como links magnet do BitTorrent, em que todo mundo divide a banda para retransmitir mensagens, mas só consegue ver as mensagens que lhe dizem respeito. Com meu conhecimento básico, isso parecia viável e com cara de solução futura orientada à privacidade. Aí fui pesquisar e descobri que o Briar realmente existe

  • O Skype antigo era assim. Havia um servidor central (supernó) só para descoberta, e os usuários se conectavam diretamente entre si para conversar. Clientes que ficassem ligados por muito tempo e tivessem mais recursos também podiam virar supernós
  • Delta Chat não tem versão web, mas acho que é o melhor entre os apps que não exigem instalação. Chatiwi parece ser o único serviço de chat com criptografia e2e que não exige instalação (é puro JavaScript, então dá para inspecionar o código-fonte e a rede), enquanto Briar e Tox exigem instalar app e não funcionam no iOS. O Briar parece ter sido descontinuado
  • Existem soluções com vários níveis de descentralização. O Briar é totalmente p2p. O Matrix tem servidores, mas num modelo federado em que cada servidor é administrado por conta própria
  • É perfeitamente possível criar um mensageiro criptografado p2p sem nó central, mas torná-lo simples e popular para usuários comuns é quase impossível. Adicionar amigos, sincronizar entre vários dispositivos e ter notificações push é muito difícil. Em comparação, rodar algo como Matrix ou Jabber num servidor próprio e controlar o acesso com Wireguard é muito mais realista. Já existem apps com setup automatizado para isso (veja o Amnezia Proxy). Como esses servidores não ficam públicos, gente de fora não consegue acessar; para grupos pequenos, como família ou projeto, isso basta. Mas para algo em escala Facebook ou Twitter, o atrito de UX torna isso inviável
  • Se você tenta resolver um problema político só com solução técnica, já perdeu

• Na UE, eles permitem coleta de dados pessoais como rastreamento de usuários, mas restringem com muito mais rigor o armazenamento local de dados anônimos em cookies que o próprio usuário pode apagar ou manipular. E ainda colocam aqueles avisos irritantes o tempo todo

  • A UE já vinha tentando empurrar vigilância na internet há muito tempo, e agora parece que o ambiente político finalmente amadureceu para isso. Pelo tempo que essas desculpas e racionalizações vêm sendo sustentadas, eu suspeito que exista uma estrutura organizada por trás disso há décadas. Tratar isso só como "a UE é incompetente" me parece ingênuo
  • A lógica da UE é que "só o governo pode rastrear dados pessoais", enquanto a lógica dos EUA é que "só as big techs devem rastrear dados pessoais". Pessoalmente, prefiro que seja o governo. No fim, o governo vai acabar comprando os dados das big techs, e elas ainda vão lucrar mais por causa das exigências
  • Na prática, a UE permite cookies totalmente anônimos que não contenham informações como identificadores únicos. Muitas vezes, o que chamam de "dados anonimizados" na verdade não é
  • O GDPR não é uma lei que regula dados anonimizados armazenados em cookies locais

• No meu país (cujo atual primeiro-ministro é visto com bons olhos pela UE), essa política nunca passaria. O governo é minoritário, e tanto o presidente quanto a população são contra. Acho que desta vez não passa e volta a ser discutida daqui a 2 anos. Mas não entendo como os dinamarqueses não fazem grandes protestos contra algo assim

  • É só seguir o dinheiro. O aumento recente da censura na internet também aconteceu porque empresas de IA fizeram lobby para vender produtos novos

• Fico curioso sobre quem realmente está por trás da iniciativa ChatControl. Lembro que os nomes estavam tarjas pretas

  • Quem empurrou fortemente o DSA foi o extremamente controverso Thierry Breton. Ex-CEO da Atos, comissário europeu para o mercado interno e hoje conselheiro do Bank of America. A Atos é a maior beneficiária da construção de infraestrutura de segurança na Europa. Mas, na prática, isso foi aprovado com apoio amplo no Parlamento Europeu, incluindo cristãos, socialistas, liberais e verdes. Veja a votação
  • Dinamarca e Suécia estão na dianteira
  • As pessoas dizem que a Suécia está liderando, mas na verdade quem faz lobby desde 2012 é a Thorn, uma ONG operada pela NSA
  • Informações oficiais sobre a Thorn

• Fico pensando na possibilidade de levar uma proposta como o ChatControl ao ECJ (Tribunal de Justiça da União Europeia) por meio de uma ação de nulidade. Mesmo que seja aprovada, uma pessoa afetada em caráter privado pode tentar pedir a anulação no tribunal, independentemente de a estrutura do governo ser contra ou não. Então ainda seria possível levar isso à Justiça

  • Fico curioso se o ECJ já tomou uma decisão assim antes