Um recado às empresas: criptografem agora!

Edward Snowden participou à distância da edição 2014 da famosa conferência TED, com a palestra “Assim nós teremos a Internet de volta“. Acompanhando com atenção a fala de Snowden, é impossível não fazer relação com o Marco Civil da Internet, em especial com as críticas ao atual teor do art. 16 (se seu inglês for ruim, tente a tradução automática da transcrição).

Pois no palco do TED 2014, aos nove minutos de conversa com Chris Anderson, em seu dipositivo robótico (no melhor estilo Sheldon Cooper) Edward Snowden instou às empresas de Internet que imediatamente criptografem suas comunicações, para que os dados de seus clientes não sejam interceptados por serviços de inteligência agindo de forma abusiva, ou mesmo pessoas mal intencionadas.

A coisa mais importante que uma empresa de Internet da América pode fazer hoje, agora mesmo, sem consultarem advogados, para proteger os direitos dos usuários em todo o mundo, é ativar a criptografia web SSL em todas as páginas que você visita. A razão pela qual isso importa é hoje, se você vai olhar para uma cópia de “1984″ na Amazon.com, a NSA pode ver um registro disso, o serviço de inteligência russo pode ver um registro disso, o serviço chinês pode ver um registro disso, o serviço francês , o serviço alemão, os serviços de Andorra. Todos eles podem vê-lo porque isso é descriptografado. A biblioteca do mundo é a Amazon.com, mas não só ela não suporta criptografia por padrão, você não pode escolher usar a criptografia ao navegar através de livros. Isso é algo que precisamos mudar, não só para a Amazon, eu não quero individualizá-la, mas eles são um grande exemplo. Todas as empresas precisam se deslocar para um hábito de navegação criptografada por padrão para todos os usuários que não tenham tomado qualquer ação ou escolhido quaisquer métodos especiais por conta própria. Isso vai aumentar a privacidade e os direitos que as pessoas gostam de todo o mundo.

Mas nada vai adiantar a mudança no padrão tecnológico, sugerida por Edward Snowden, se as empresas forem obrigadas, todas elas, a despender recursos tecnológicos, humanos e financeiros para armazenar registros de acesso por seis meses. Primeiro, que haverá uma porta fechada para empresas que queiram promover a privacidade como modelo de negócio. Segundo, que as empresas que já abusam dos dados de seus clientes e ganham cada vez mais dinheiro trocando dados de forma descontrolada, mesmo com os novos controles previstos no Marco Civil, terão no caput do art. 16 um porto seguro, não apenas para manter suas práticas invasivas, mas para inclusive ir além e desenvolver novas formas de monetizar essas informações.

É extremamente importante entender bem essa questão, que não é nada simplista. Ao meu ver, não se trata de invalidar todo o projeto, que traça garantias hoje desrespeitadas; nem mesmo de eliminar todo o art. 16, que contém previsões muito importantes; mas de lutar com todas as forças pela votação e aprovação imediata do PL 2.126/2011, exigindo, porém, uma redação efetivamente adequada. Trata-se de lutar pelo Marco Civil Já, mas com nenhum direito a menos.

Qual o problema com o art. 16, afinal?

O Marco Civil da Internet tem alguns pequenos graves problemas. Seja numericamente, seja quantitativamente, ninguém informado e honesto pode negar que a maior parte do projeto de lei na versão atual, bem como nas anteriores, prevê de forma específica uma grande maioria de direitos e garantias que hoje são cotidianamente desrespeitados, por empresas, pelo próprio Estado e entre as pessoas mesmo, naturais e jurídicas. No atacado, o projeto é ótimo, e eu tenho me dedicado pessoalmente muito a garantir que isso permaneça assim.

Mas não posso deixar de dizer que, em meio a essa grande maioria de pontos positivos, há esse dispositivo em especial que é combatido severamente inclusive pelas organizações mais sérias e compromissadas, que são favoráveis ao projeto desde o começo, mas que entendem que esse trecho é muito ruim. Na verdade, arrisco dizer que a maioria dos que defendem esse dispositivo são na verdade contrários ao espírito do Marco Civil como um todo. Trata-se do art. 16, do qual eu sou um forte opositor, tendo chegado a articular em parceria com muitas outras pessoas a campanha 16 igual NSA.

Falando apenas em meu nome, entendo que o art. 16 não é integralmente ruim. Em seus parágrafos há garantias importantes, como a de que as informações só poderão ser acessadas pelo Estado por meio de uma ordem judicial. Ao contrário de boatos covardes que têm sido espalhados pela internet, não é verdade que autoridades administrativas poderão vigiar os internautas, nem que ele impõe censura ou controle do governo PT sobre a rede.

Também não é verdade que as empresas seriam responsáveis por vigiar seus clientes. Assim era o projeto de lei de cibercrimes, que foi apelidado de AI-5 Digital na versão proposta pelo então Senador Eduardo Azeredo, do PSDB. No AI-5 Digital, para se adequar a um documento internacional sobre prevenção e combate a crimes, havia a obrigação de que as empresas deveriam investigar elas mesmas seus clientes e informar em segredo para o Estado todas as ilegalidades que descobrissem. Essa previsão não existe no Marco Civil da Internet, que na verdade retira a responsabilidade prévia das empresas pelas condutas de seus clientes, e isso é muito importante para a liberdade de expressão.

Pois bem, o problema do art. 16 (que é uma questão localizada, mas é uma grande questão) é a obrigação imposta de um monitoramento em massa das pessoas. Pelo caput desse artigo:

O provedor de aplicações de Internet constituído na forma de pessoa jurídica, que exerça essa atividade de forma organizada, profissionalmente e com fins econômicos, deverá manter os respectivos registros de acesso a aplicações de internet, sob sigilo, em ambiente controlado e de segurança, pelo prazo de seis meses, nos termos do regulamento.

Com essa redação, TODAS as empresas precisam obrigatoriamente reter registros de acesso de TODA a sua clientela, inclusive de pessoas sabidamente inocentes, que não estejam sendo objeto de nenhuma investigação, que não tenham cometido nenhum crime ou outra infração legal. É nesse ponto que o dispositivo legaliza uma realidade de monitoramento em massa dos consumidores, cujo papel do Estado deveria ser o de combater.

O interesse na aprovação desse artigo é facilitar as investigações futuras, quando houver algum crime e a retenção de registros de acesso se mostrar um caminho mais ágil para descobrir quem cometeu o crime pela rede. Mas é completamente abusivo e exagerado impor um monitoramento integral e generalizado, repito, de pessoas sabidamente inocentes, apenas para facilitar futuras investigações.

Em um Estado Democrático de Direito, é dever do Estado perseguir e punir criminosos, tanto quanto é dever do Estado não cometer novas violações de direitos para cumprir o seu papel policial. Nesse caso, o art. 16 impõe um tratamento desumano, reduz o direito constitucional à proteção da intimidade e fragiliza a segurança do acesso à informação. No Brasil, haveria a obrigação legal de retenção  computadorizada contínua de todos as aplicações de Internet que todas as conexões à Internet, sem direito de escolha por parte dos internautas que eventualmente queiram ler, ouvir ou assistir alguma coisa sem que isso seja registrado.

E se um próprio empregado tiver acesso indevido e usar os dados em benefício próprio, ou vazar essas informações, seja para outra empresa, seja para um governo, brasileiro ou não? E se alguém acessar indevidamente um banco de dados? E se esse alguém for um outro governo, que vai ter a exata certeza de achar com as empresas que prestas serviço no Brasil os dados de brasileiros? E se alguém falsificar esse dados lá mesmo na armazenagem, como alguém poderia contestar esses dados como prova? Será mesmo necessário assumir todos esses e outros riscos unicamente para facilitar investigações? De acordo com a coalizão internacional que defende “Princípios Internacionais sobre a Aplicação Dos Direitos Humanos na Vigilância Das Comunicações“, isso seria abusivo:

Integridade das comunicações e sistemas: Para garantir a integridade, segurança e privacidade dos sistemas de comunicação, e reconhecendo-se o fato que comprometer a segurança por causa de propósitos estatais sempre fragiliza a segurança de forma geral, Estados não devem compelir provedores de serviços, de hardware e software a embutir capacidades de vigilância ou monitoramento em seus sistemas, coletar ou reter informação particular apenas para propósitos de vigilância estatais. A retenção de dados a priori ou sua coleta nunca deve ser exigida de provedores de serviços. Indivíduos tem o direito de se expressar anonimamente e, dessa forma, Estados devem abster-se de obrigar a identificação do usuário como pré-condição para o fornecimento de um serviço.[12]

Aliás, a própria Presidenta da República, Dilma Rousseff, foi enfática em seu discurso de abertura da Assembleia Geral da ONU, em setembro de 2013, ao dizer que sem a defesa intransigente da privacidade não há efetiva democracia:

Como tantos outros latino-americanos, lutei contra o arbítrio e a censura e não posso deixar de defender de modo intransigente o direito a privacidade dos indivíduos e a soberania de meu País. Sem ele – direito & privacidade – não há verdadeira liberdade de expressão e opinião e, portanto, não há efetiva democracia

Importante dizer que no contexto político e na guerra de desinformação contra o Marco Civil, um dispositivo com esse direcionamento é um tiro no pé, que alimenta diversas iniciativas de má fé que ganham munição para manipular opiniões e espalhar boatos contra o PL 2.126. Faz parte da luta em favor do Marco Civil da Internet se informar e espalhar a informação, mas seria mais fácil se o texto proposto pelo Relator fosse realmente fruto de um debate prévio, e não um coelho tirado da cartola. Especificamente, o art. 16 (junto com outros pontos criticados por dezoito organizações da sociedade civil) foi incluído no Marco Civil pela primeira vez em dezembro de 2013, e mantido em fevereiro de 2014.

O ideal seria que o Marco Civil seguisse mantendo a sua proposta anterior nesse ponto, e desencorajasse essa retenção, atribuindo obrigações pesadas às empresas que optassem por guardar os dados e metadados de seus clientes. A atual versão do art. 16 joga a toalha e, em vez de tentar alterar o quadro de violações de direitos, passa a tentar se aproveitar desse quadro para investigar crimes, em prejuízo direto das pessoas que não cometeram crimes.

Uma forma de as empresas garantiram nossa privacidade seria alterar seus modelos de negócios. Mas é importante que seja lícito adotar modelos de negócio que garantam a privacidade. E o art. 16, nesse ponto, proíbe a criação, por exemplo, de uma rede social que se disponha sabidamente a garantir o sigilo das páginas e textos que um usuário acessou. Tente pensar em uma atividade completamente lícita, como a leitura de notícias ou a pesquisa por vagas de emprego, mas que pode comprometer a vida de alguém que não queira tornar público o seu interesse repentino em notícias sobre câncer ou seus planos de mudar de emprego, por exemplo. Você se sentiria confortável se tudo, integralmente TUDO o que você lesse gerasse um registro que fosse mantido por seis meses?

fonte link original

http://marcocivil.org.br/o-projeto-de-lei/snowden-pede-criptografia-mas-art-16-seria-tiro-pela-culatra/