O plano ‘Going Dark’ ou ‘ProtectEU’ da União Europeia é uma tentativa de Chat Control 3.0 para acessar dados criptografados

• Depois de fracassar na tentativa de avançar com o Chat Control 2.0 para obter acesso a dados com criptografia de ponta a ponta, a Comissão Europeia está preparando uma nova iniciativa, o plano ‘Going Dark’ (ProtectEU), até o verão de 2026
• O objetivo desse plano é permitir que autoridades de aplicação da lei tenham ‘acesso legal’ a dados criptografados, e alguns Estados-membros querem que isso inclua até serviços de VPN
• Em um ‘Presidency outcome paper’ separado, os Estados-membros também discutem regras de retenção de metadados, buscando um escopo amplo de retenção de dados que inclui sites visitados, interlocutores de comunicação e frequência
• A Mullvad VPN se opõe ao Chat Control 2.0 há três anos e declara que jamais fará vigilância de clientes, mesmo que VPNs sejam incluídas
• A discussão surge como um ponto central sobre os limites da proteção legal à privacidade digital e à criptografia na Europa

---

O fracasso do Chat Control 2.0 e a nova tentativa ‘Going Dark’

• A Comissão Europeia foi derrotada em sua tentativa de avançar com o Chat Control 2.0 para garantir acesso a dados com criptografia de ponta a ponta
  • A Mullvad VPN descreveu isso como “a Comissão Europeia perdeu a batalha do Chat Control 2.0”
• A Comissão pretende levar adiante, até o verão de 2026, um novo plano chamado ‘Going Dark’ ou ‘ProtectEU’
  • O objetivo é “permitir que autoridades de aplicação da lei tenham acesso legal a dados criptografados”
  • A Mullvad VPN define isso como uma “tentativa de Chat Control 3.0”

Possível inclusão de VPNs e discussão sobre retenção de dados

• Alguns Estados-membros da UE manifestaram a intenção de incluir serviços de VPN no escopo da regulação
• O novo ‘Presidency outcome paper’ discute uma revisão das regras de retenção de dados (data retention)
  • O que deve ser retido inclui metadados como sites visitados, com quem a pessoa se comunica, momento e frequência
  • Segundo o documento, o objetivo é ter “o escopo de aplicação mais amplo possível”

A posição da Mullvad VPN

• A Mullvad VPN manteve, nos últimos três anos, uma campanha contínua de oposição ao Chat Control 2.0
  • A empresa manteve sua posição contrária mesmo que essa legislação pudesse beneficiar seu negócio
• A empresa afirma explicitamente que nunca fará vigilância de clientes, mesmo que a lei Going Dark seja aprovada
  • “Incluam ou não as VPNs, vamos lutar com todas as nossas forças contra o Going Dark”, afirmou

Reação da comunidade no Mastodon

• Vários usuários expressaram cansaço e críticas às repetidas tentativas de vigilância da UE
  • Surgiu uma reação sarcástica: “Em 2030 vamos ter que lutar contra o Chat Control 8.0?”
  • Também houve críticas como: “Dizer que será legalmente acessível significa que hoje isso é ilegal”
• Alguns mencionaram a tendência de centralização da UE e o risco de violação das liberdades individuais
  • Entre as opiniões, apareceu a ideia de que “só uma descentralização extrema pode deter esse tipo de distorção”

Continuação do debate sobre privacidade e criptografia

• Em vários comentários, houve preocupação com o aumento da vigilância governamental e as tentativas de enfraquecer a criptografia
  • Surgiram críticas como: “O governo teme mais a liberdade do povo do que o próprio povo” e “exigem o impossível sem entender a matemática da criptografia”
• A Mullvad VPN mantém a proteção da privacidade como valor central e destaca uma estrutura que não rastreia a identidade dos clientes, mesmo sob pressão legal
• A discussão é vista como um tema que pode ter grande impacto sobre a direção futura dos direitos digitais, da criptografia e das políticas de retenção de dados na UE

[GN⁺]

Comentários do Hacker News

• A forma de impedir isso é criar uma lei exatamente oposta. Ou seja, as comunicações criptografadas devem ser sempre protegidas, e qualquer legislação que enfraqueça essa garantia técnica deve ser proibida. Assim, seria necessário um processo de duas etapas: revogar a lei proibitiva existente e então introduzir uma nova lei
• Continua um ciclo desgastante de reapresentar o mesmo projeto de vigilância apenas mudando o nome. Chat Control, ProtectEU, Going Dark — os nomes mudam, mas a essência é a mesma proposta invasiva. O problema principal é especialmente o escopo da retenção de metadados, que incluiria sites visitados, com quem a pessoa se comunica, quando e com que frequência, e tentaria até se aplicar a serviços de VPN. Isso já não é mais sobre proteção infantil ou combate ao terrorismo, e sim sobre a normalização da vigilância em massa. A única solução é consagrar o direito à privacidade na Constituição e prever punições para violações repetidas
• Não consegui encontrar a fonte do “Presidency outcome paper” mencionado pela Mullvad, então fui procurar por conta própria. Na prática, a maior parte do conteúdo citado está no documento ProtectEU, enviado pela Comissão da UE em 1º de abril. Há também um relatório adicional de definição do problema: HLG background document. Esse documento descreve o acesso a dados por autoridades de aplicação da lei, sujeito a autorização judicial, e afirma que isso deve cumprir a proteção de dados e a jurisprudência do CJEU
  • Provavelmente é este documento ao qual estavam se referindo. O número desse documento não foi divulgado, então parece ser um documento vazado. Outro material relacionado é este aqui, e o primeiro documento parece ser o resultado do segundo
• A menos que as pessoas façam lobby para garantir por lei, em nível constitucional, o direito à privacidade, esse problema vai continuar. Barrar uma única lei ruim não basta
  • Esses direitos precisam estar escritos na lei, e deveria existir uma regra de resfriamento para impedir que projetos com a mesma finalidade sejam reapresentados dentro de um certo período. É absurdo terem empurrado o mesmo projeto repetidamente nos últimos 4 anos
  • A Constituição italiana também afirma que a liberdade e o sigilo das comunicações não devem ser violados, mas se o governo não tem vontade de aplicar isso, a lei não vale nada
  • A UE e a Alemanha já têm muitas leis de proteção de dados. Por exemplo, o Tribunal Constitucional alemão decidiu que o registro em massa de consultas DNS é “muito provavelmente ilegal”
  • É preciso resolver o próprio problema que a proposta tenta atacar. Caso contrário, a mesma proposta continuará reaparecendo. Exploração sexual infantil é um problema real e, se você não gosta dessa lei, precisa apresentar uma alternativa melhor
• Na Lócris da Grécia Antiga, ao propor uma nova lei, a pessoa o fazia com uma corda no pescoço; se a proposta fosse rejeitada, era enforcada. É uma história em que vale pensar
  • A legislação dos EUA tem uma estrutura unilateral em que é muito mais fácil criar uma nova lei do que revogar uma já existente. Isso poderia ser resolvido colocando uma data de expiração padrão em todas as leis
  • Zaleuco de Lócris (Zaleucus) criou o primeiro sistema legal no século VII a.C. Hoje, Lócris fica na região da Calábria, na Itália, ironicamente famosa por organizações mafiosas (link da Wikipédia)
  • Mas, se hoje em dia a maioria das pessoas já vive num mundo em que escolheria se enforcar por conta própria, não parece que esse sistema funcionaria muito bem
  • Vendo os casos da pandemia, em que cidadãos inflamados por desinformação rejeitaram medidas de segurança pública e reagiram com violência, esse tipo de sistema corre o risco de acabar favorecendo extremistas
  • Como dizer “essa comida está estragada”: é preciso uma proposta melhor
• Espero que este projeto também seja rejeitado, como os anteriores. Mesmo que passe, é bem possível que em alguns Estados-membros não seja implementado ou acabe revogado. Ainda assim, o fato de esse debate acontecer publicamente é melhor do que na China, na Rússia ou em comparação com o Patriot Act dos EUA
  • Mas é discutível se esse debate realmente tem algum significado. O objetivo de tratados internacionais é mover dados para fora da jurisdição e contornar a vigilância, e é bem possível que a UE já esteja fazendo análise de metadados. A Mullvad diz “não vamos vigiar nossos clientes”, mas, se a lei for aprovada, no fim terá de manter logs ou sair da UE
• VPN no fim é uma questão de confiança. A Mullvad talvez não seja a melhor, mas também não é a pior
  • Só que ela não oferece mais port forwarding, e a qualidade dos IPs é baixa, então muitas vezes acabam marcados como contas suspeitas
• Eu amo a internet. Ao me tornar adulto, vi a internet mudar o mundo, e odeio as tentativas de controlá-la. No passado, guerra de informação exigia ação direta, mas a internet deu aos Estados um novo meio de exercer influência no exterior. Entendo o desejo de vigilância por parte do Estado, mas acho que a forma atual está errada. É preciso um equilíbrio entre uma internet livre e o controle da influência estrangeira
  • Mais importante é decidir “a influência de quem” será controlada. É preciso evitar que esse sistema seja abusado como instrumento de manutenção do poder. Se isso for conduzido em sigilo, a UE não será diferente da Rússia ou da China
• A Comissão da UE e alguns Estados-membros estão voltando a discutir regras de retenção de dados. O “Presidency outcome paper” inclui retenção de metadados como sites visitados, interlocutores e frequência, e há movimento para aplicar isso até a serviços de VPN
• Mesmo que seja derrubado pela terceira vez, eles vão tentar de novo. É preciso encontrar uma forma de bloquear isso repetidamente
  • A menos que a UE se mova fortemente para a esquerda, acho difícil impedir isso na prática
  • São necessárias medidas punitivas para o fracasso. Métodos violentos são socialmente inaceitáveis e perigosos, como mostram casos de “política por assassinato” no Japão. Em vez disso, talvez alguma resposta pacífica, como ostracismo social (shunning ao estilo Amish), pudesse funcionar. Ainda assim, num tema como o Chat Control, é difícil imaginar uma reação tão extrema; talvez só fosse possível em algo como a abolição do sistema de pensões