O Google quebrou sua promessa e agora o ICE tem meus dados

• Os dados da conta Google da estudante internacional nos EUA Amandla Thomas-Johnson foram entregues ao governo por meio de uma intimação administrativa do ICE, e a política de notificação prévia do Google foi violada
• A EFF pediu aos procuradores-gerais estaduais que investiguem a conduta do Google como prática comercial enganosa, por cooperar com as autoridades sem avisar a usuária
• Os dados entregues incluíam endereço IP, endereço físico, duração de sessão e outras informações de identificação pessoal, avaliados como suficientes para criar um perfil de vigilância
• A notificação do Google só foi enviada depois que os dados já haviam sido fornecidos ao Departamento de Segurança Interna, fazendo com que a usuária perdesse a oportunidade de contestar
• O caso mostra que a combinação entre poder estatal e dados de empresas de tecnologia pode ameaçar a privacidade individual e a liberdade de expressão

---

O Google quebrou sua promessa e o ICE obteve os dados

• Em setembro de 2024, Amandla Thomas-Johnson, estudante internacional nos Estados Unidos, participou brevemente de um protesto pró-Palestina, e em abril de 2025 o Serviço de Imigração e Alfândega dos EUA (ICE) emitiu ao Google uma intimação administrativa exigindo seus dados
  • No mês seguinte, o Google forneceu os dados ao ICE sem notificar a usuária
  • Este é um caso em que o Google violou sua política explícita de avisar o usuário antes de fornecer dados
• A Electronic Frontier Foundation (EFF) apresentou uma queixa formal aos procuradores-gerais da Califórnia e de Nova York pedindo que investiguem a conduta do Google como prática comercial enganosa
  • A EFF afirma que o Google quebrou sua promessa de notificar usuários e cooperou com uma investigação governamental direcionada

Conflito com as autoridades de imigração dos EUA

• Thomas-Johnson pensou que o caso havia terminado ao deixar os EUA rumo ao Canadá, mas depois percebeu que ainda não estava livre da influência do governo dos Estados Unidos
  • Durante o governo Trump, o endurecimento da repressão à atividade política de estudantes estrangeiros fez com que ele tivesse de viver escondido por três meses
  • Agentes federais revistaram sua casa, e uma pessoa próxima foi interrogada no aeroporto sobre seu paradeiro
• Ele é cidadão com dupla nacionalidade britânica e de Trinidad e Tobago, sem acusações criminais, mas passou a ser alvo de vigilância apenas por ter participado de um protesto político

O aviso por e-mail do Google

• Enquanto estava em Genebra, na Suíça, ele recebeu do Google um e-mail informando que seus dados já haviam sido fornecidos ao Departamento de Segurança Interna (DHS)
  • Em outros casos anteriores, Google e Facebook haviam notificado previamente os usuários e, depois disso, as autoridades retiraram o pedido
  • Mas, neste caso, o e-mail era uma notificação final dizendo que “o Google já forneceu as informações em resposta a uma solicitação das autoridades”
  • Ele confirmou que os dados foram entregues sem que tivesse qualquer oportunidade de contestação

A quebra de promessa do Google

• Em sua política oficial, o Google afirma explicitamente que notificará os usuários com antecedência quando houver pedidos legais, como intimações administrativas
  • Essa notificação serve para garantir que o usuário possa adotar medidas legais
  • No caso de Thomas-Johnson, porém, esse procedimento foi ignorado e os dados foram entregues
• A intimação obtida pela EFF incluía dados de assinante, como endereço IP, endereço físico e duração de sessão
  • A combinação desses dados forma um perfil de vigilância capaz de rastrear localização e analisar padrões de atividade
  • Mesmo sem o conteúdo das mensagens, é um nível de detalhe suficiente para mapear minuciosamente a vida e a rede de relações de uma pessoa

A combinação entre poder estatal e dados privados

• Este caso mostra que as autoridades podem tomar qualquer pessoa como alvo e que o vasto volume de dados das empresas de tecnologia torna isso possível
  • Quando se combinam poder estatal, dados corporativos e inferência baseada em algoritmos, o alcance da vigilância se expande de forma invisível
  • Essa estrutura faz com que seja difícil para a pessoa vigiada perceber o que está acontecendo ou reagir
• Thomas-Johnson deixou os EUA, mas diz que ainda sente estar dentro da esfera de vigilância do governo americano
  • Ele relata ansiedade sobre se foi “classificado como pessoa-alvo”, se “sua atividade jornalística corre risco de vigilância” e se “pode viajar em segurança para ver a família”
  • Por fim, aponta que nem mesmo está claro quem pode ser responsabilizado

Tópicos relacionados

• Privacidade (Privacy), Liberdade de expressão (Free Speech), Anonimato (Anonymity)

  • O caso revela como a expressão política individual e a privacidade digital podem ser ameaçadas dentro de uma estrutura de vigilância governamental com cooperação corporativa

[GN⁺]

Comentários do Hacker News

• A política do Google diz que “não notificamos quando isso é legalmente proibido”
  Disseram que um advogado revisou a intimação, mas não mencionaram se havia uma ordem de sigilo (gag order). Esse ponto é central para afirmar que o Google quebrou a própria política

  • Segundo a carta aberta da EFF, essa intimação não incluía ordem de sigilo
  • Segundo o documento da ACLU, uma ordem de sigilo incluída em uma intimação administrativa não tem força legal, e é possível notificar a pessoa-alvo ou tornar isso público. Além disso, sem ordem judicial, não há obrigação de cumprir a intimação
  • Na prática, uma intimação administrativa tem pouca força vinculante, e mesmo que um agente do ICE diga “não divulgue”, isso não tem efeito legal
  • Esse tipo de processo e cobertura serve em grande parte para reforçar uma narrativa ativista. Se você ler a política do Google, isso fica claro, e a base para culpar o Google é fraca

• Esse caso foi o que me levou a apagar completamente minha conta Google, que eu usava havia quase 20 anos
  Limpei 10 anos de Google Photos e até a assinatura do Google One, e migrei para Proton Mail e self-hosting. Não vou deixar meus dados com uma empresa que entrega informações com base apenas em mandado administrativo

  • A solução de verdade é armazenar seus dados diretamente, de forma criptografada. A própria ideia de que tudo precisa ir para a nuvem cria concentração de poder
  • Não é preciso migrar tudo de uma vez. Eu fui mudando para o Fastmail ao longo de vários anos e, cada vez que o Google fazia algo de que eu não gostava, eu transferia mais uma conta. Foi chato, mas libertador
  • Recomendo o Immich. É uma solução self-hosted que substitui o Google Photos quase perfeitamente
  • Queria saber se existe algum serviço de hospedagem que não atenda pedidos de dados sem ordem judicial. Self-hosting é o ideal, mas há limitações de tempo
  • Queria saber que workflow você usou para migrar todos os sites onde usava um endereço do Gmail para o Proton Mail. Eu também quero começar, mesmo que leve anos

• Muita gente está focando só nos problemas de privacidade do Google, mas o verdadeiro problema é o governo mirar pessoas que estão legalmente no país
  Em vez de tentar escapar da vigilância do governo, deveríamos estar indignados com o fato de isso ser possível

  • Mas proibir estrangeiros de fazer atividade política é uma condição de visto legal em vários países. Há razões para essas restrições

• Não entendo como o ICE passou a ter esse nível de poder. Age quase como um exército privado

  • No fim das contas, foram os eleitores que deram esse poder. Houve 25 anos, desde o 11 de Setembro, para mudar isso, mas ninguém se moveu
  • Foi o Congresso que concedeu a autoridade, e o exercício desse poder só era contido pela vontade do presidente. Agora esse freio desapareceu
  • O ponto central do problema é que o Google poderia ter recusado a intimação ou notificado a pessoa-alvo seguindo a orientação da ACLU, mas cooperou voluntariamente
  • Achar que poderes são “concedidos” é um equívoco. Órgãos do governo dos EUA muitas vezes simplesmente agem, e se nenhum outro poder os contiver, seguem em frente. Agora o governo Trump está ignorando esses freios
  • No fim, Trump e os republicanos deram sustentação a esse poder

• O ICE pediu, sem ordem judicial, que “não notificassem”, e o Google aparentemente atendeu a esse pedido
  Mas então por que a parte que emitiu a intimação administrativa não notifica diretamente a pessoa-alvo? O Google precisa carregar essa responsabilidade?

  • Em geral há notificação, mas existem exceções em casos de não cidadãos, pessoas que deixaram os EUA ou investigações ligadas à segurança nacional
  • Ainda assim, foi bom que o Google acabou notificando

• Fico curioso sobre como identificaram Amandla. Teriam rastreado os celulares no protesto com equipamento Stingray? Foi reconhecimento facial? Informações de visto? De qualquer forma, é inquietante

  • Na prática, operadoras vendem dados de localização de áreas específicas. Por causa das leis de KYC, nome e e-mail já estão cadastrados, e o governo pode acessar isso sem avisar o cliente

• O curioso é que o autor interpretou o documento de política do Google como uma “promessa”
  Mas aquilo não é um contrato, e sim apenas uma descrição de política. Não é uma promessa juridicamente vinculante
  É muito difícil provar o funcionamento interno do Google ou demonstrar intenção. Na prática, isso é apenas uma “declaração (representation)”
  Empresas do Vale do Silício quase nunca fazem promessas jurídicas aos usuários. Se fizessem, isso seria insustentável

  • No fim, o que importa mais do que promessa é capacidade (capability)

• Eu parto do princípio de que todos os dados que saem da minha casa são rastreados e armazenados pelo governo
  Celular, deslocamentos de carro, tudo fica registrado. Os participantes do protesto de J6 também foram rastreados por dados de celular

  • Alguns invasores chegaram a tirar selfies dentro do Capitólio, deixando provas
  • Não devemos esquecer a lição de que “a nuvem é só o computador de outra pessoa”. Vale para Gmail, iCloud, AWS, Facebook, WhatsApp e iMessage
  • Mas esse tipo de mentalidade também pode levar a uma desconfiança totalitária. Uma sociedade em que todos suspeitam que todos são espiões é perigosa
  • Snowden já havia exposto essa estrutura de vigilância. Depois disso houve alguns freios, mas ainda assim novos programas de vigilância continuam surgindo
  • Essa postura resignada não faz sentido. Há muita coisa que cada pessoa pode fazer: VPN, DNS criptografado, evitar a nuvem, educação em segurança

• Privacidade, tecnologia e liberdade estão profundamente conectadas
  É importante que esse tipo de caso apareça no HN, porque pessoas que criam a tecnologia ou as políticas internas do Google leem o HN
  Casos assim fazem fundadores e tomadores de decisão recalcularem se “é possível confiar no Google” ou não

  • Não há garantia de que não exista uma equipe secreta de vazamento de dados dentro do Google. A única solução real é uma estrutura baseada em open source, criptografia E2E e gerenciamento de chaves pelo usuário
  • Sempre que tecnologia estiver envolvida, esse debate combina perfeitamente com o HN. É um problema sério o governo usar tecnologia para ampliar a vigilância
  • É irônico que pessoas que defendiam liberdade e expressão ignorem esse tipo de questão. Também houve relatos de estudantes manifestantes sendo presos ou obrigados a se esconder por pressão do governo
  • Também há quem diga que, se o Google apenas cumpriu a lei, é difícil culpá-lo. Empresas devem agir como entes jurídicos, não como ativistas

• Isso faz lembrar o antigo slogan do Google: “Don’t be evil”

  • Essa frase já foi abandonada há uns 10 anos. A ironia é que “não ser mau” aparentemente virou obstáculo ao crescimento da empresa
  • Agora eles já não conseguem nem cumprir “não seja assustador”. Não há suporte ao cliente e o clima interno é competitivo, então acabo evitando o Google para coisas importantes
  • Na verdade, esse slogan sempre foi uma hipocrisia meio cômica. Quanto mais má é a empresa, mais gosta de usar esse tipo de frase