Diante da necessidade de medir se as pessoas estão cumprindo o isolamento social em meio à pandemia do coronavírus, diversas soluções tecnológicas estão sendo utilizadas para ajudar na formulação de estratégias de contenção do vírus. No entanto, a partir da divulgação das primeiras iniciativas de municípios e estados com empresas de tecnologia, um alerta foi aceso. A empresa de tecnologia In Loco, sediada no Recife, detém dados de 60 milhões de celulares e, com eles, produziu um índice de Isolamento Social, que disponibiliza, por bairro, o percentual de pessoas em isolamento. 

Se por um lado a tecnologia pode ajudar, o outro lado da questão é ter milhões de dados pessoais monitorados sem transparência e conhecimento de cada usuário. Ou seja, seu celular, aquele que está sempre com você, pode informar todos as movimentações que você faz a uma empresa sem que você sequer saiba.

Para entrar neste tema ainda pouco debatido pela sociedade, entrevistamos Francisco Brito Cruz, diretor-geral do InternetLab, organização independente de pesquisa nas áreas de direito e tecnologia, com foco na internet. 

Especialista no monitoramento de políticas públicas ligadas à tecnologia e pesquisador no campo das relações dessas políticas com a democracia, Francisco conversou com a Marco Zero Conteúdo sobre como dados de geolocalização dizem muito sobre a vida das pessoas. Discutimos como e porque o modelo de negócio de empresas que lidam com dados pessoais precisa ser debatido amplamente pela sociedade, além da urgência da Lei Geral de Proteção de Dados (LGPD), que entraria em vigor em fevereiro desde ano, mas foi adiada.

Em meio a um limbo jurídico, e em um campo vasto de possibilidades, interesses e usos dos dados pessoais, entender como são coletadas, armazenadas e tratadas essas informações é só o começo da conversa. Leia na entrevista abaixo.

Boa parte das pessoas pensam que a tecnologia está desvinculada de processos políticos, econômicos e sociais. O que dados de geolocalização e deslocamentos podem dizer de um indivíduo? O que eles dizem sobre privacidade?

Esses dados podem dizer muito sobre o indivíduo. Dados de geolocalização vão falar coisas bastante íntimas sobre você e padrões recorrentes, seus hábitos, como, por exemplo, onde você mora ou aonde você trabalha – e isso as pessoas muitas vezes dizem que tanto faz onde eu moro ou onde eu trabalho. Mas independente disso, há lugares onde você vai que podem ser ainda mais reveladores. Se você vai a uma balada que só há um tipo de público, se você vai em um motel ou se você vai numa farmácia muito recorrentemente. Ou se você vai numa central de atendimento que faz testagem para HIV. Enfim, você tem os padrões, mas você tem o que foge do padrão também e que só você sabe que você foi. Mas o seu celular também sabe que você foi. E isso pode ser muito revelador não só de hábitos, mas também de características muito distintivas suas. Por exemplo, se você vai a uma manifestação e você escolheu não avisar ninguém que você ia porque seu empregador poderia achar ruim. Você não quer também dar muita satisfação. O seu celular sabe que você foi, sabe esse traço político da sua personalidade que você escolheu não falar para ninguém. 

Por que a gente fala que privacidade é muito importante? Porque é um jeito das pessoas se defenderem desse poder que é exercido sobre elas a partir das suas próprias informações. O que eu quero dizer com isso? Quando você quer vender um chocolate a alguém, se você souber onde ela anda, que tipo de chocolate gosta, quanto ela está disposta a gastar num chocolate, que horas ela tem fome e qual a cor que mais atrai ela para uma embalagem de chocolate, se você sabe tudo isso sobre ela fica muito mais fácil você oferecer o chocolate e essa pessoa aceitar.

Ou seja, você ganha um poder sobre ela. Você ganha uma capacidade maior de influenciar as decisões dela. Então a privacidade é um jeito desse indivíduo se proteger desse poder, de colocar uma barreira. É um jeito de a gente como sociedade dizer que tem jeitos mais razoáveis e menos razoáveis de exercer esse poder a partir das informações pessoais de alguém.

Dados de geolocalização são mais uma dessas possibilidades de se saber sobre alguém. E não é uma possibilidade desprezível. É uma das maiores possibilidades porque, assim como é muito difícil você mudar a sua face no reconhecimento facial, por exemplo, mudar a sua impressão digital, é muito difícil você fazer caminhos aleatórios todos os dias para tentar enganar quem está querendo te seguir. E o caminho que você faz da sua casa até o trabalho e do trabalho até sua casa todos os dias só é feito por você. Não é feito por outra pessoa. Da sua cama até sua mesa de trabalho, só você mesmo. 

O discurso que muitas empresas que estão utilizando tecnologias de geolocalização e que têm justificado ações agora em razão da pandemia é que se garante a privacidade. Fala-se em garantir a não possibilidade de individualizar e identificar quem é quem. É possível falar, tecnicamente, em 100% de garantia de não identificação?

Não. Assim como não existe nenhum sistema 100% seguro, é difícil falar em procedimento 100% efetivo para fazer “anonimização”. O que você tem é procedimentos vistos como as melhores práticas. E que você dependeria de fatores externos, muito custosos, para fazer a identificação. 

Sobre o discurso da privacidade, o que as pessoas têm que começar a entender é que privacidade não é mais só um direito de estar sozinho, de fechar a cortina da janela, um direito que você liga ou desliga. Privacidade hoje em dia, no mundo em que a gente vive, é muito mais uma questão de como, do que questão de sim ou não. Por isso que a gente começa a se aproximar do que a gente chama de proteção de dados pessoais. Uma regulação que está longe de ser proibir ou autorizar, mas que cria regras de procedimentos para que a gente consiga, a depender dos usos e informações, entender qual é o melhor jeito de utilizar. Quais são os limites colocados caso a caso. 

A gente está em um momento de exceção por causa de uma crise sanitária, de saúde, que se torna também social. O contexto é de adiamento da LGPD, não temos uma autoridade nacional de proteção de dados e essas iniciativas de monitoramento a partir de geolocalização já estão acontecendo. Quais são os riscos de haver a naturalização dessa prática sem um debate sobre transparência, sobre como isso vai acontecer?

Me preocupa muito a gente não estar fazendo ao mesmo tempo o debate sobre quais são os protocolos adequados para esse tipo de compartilhamento de dados acontecer. Quais são os limites que a gente está disposto a passar só na pandemia, quais são os que a gente não está disposto a passar em situação nenhuma. Ou quais são até os limites que a gente não acha que são limites. A gente não está fazendo esse debate.

Na verdade, cada prefeitura, cada estado está desenvolvendo uma conversa diferente com esses entes privados que detêm dados de geolocalização e o risco maior dá para dividir em três.

Há o risco de falta de coordenação. Você cria um cenário de insegurança jurídica em que você não sabe o que pode fazer, o que não pode fazer. No fundo, é uma anomia mesmo, não tem regra, o que é totalmente desaconselhável na perspectiva de dados pessoais. Em uma situação que você pode fazer o que você quiser ou que não há nenhum tipo de norte não só você passa uma expectativa estranha para os entes privados, porque eles precisam de um certo norte para saber onde caminhar.

A segunda questão são os perigos inerentes a qualquer tipo de tecnologia que usa dados pessoas: discriminação, exposição, levar a decisões erradas, por exemplo, se os dados estiverem errados. Tem vários riscos aí que qualquer atividade de tratamento de dados tem. Uma regulação de proteção de dados ataca esses riscos e minora esses riscos. 

O terceiro risco, que acho o mais importante nesse momento, é o risco do legado. Qual vai ser o legado que esse momento vai deixar pra frente? Vai ser o de que a gente, como sociedade, conseguiu fazer os combinados necessários para passar por isso de novo, ou vai ser um velho oeste em que quem for mais forte e chegar primeiro ganha? Eu gosto da primeira opção, a segunda me parece muito assustadora porque nós vamos criando “novos normais” de tratamento de dados e nesse momento está todo mundo vulnerável a aceitar muita coisa. Temos o risco de herdar uma sociedade muito vigiada e, por consequência, que controla demais a vida das pessoas. Uma sociedade em que você sabe o tempo todo para onde as pessoas vão, você consegue como Estado, com poder, controlar a vida delas.

Em um país com proporções como o nosso isso é perigoso.

E com um problema crônico de autoritarismo, de assimetrias de poder, de desigualdade, é um problema enorme. De certa forma, a atenção que esse tema tem tomado tem muito a ver com as pessoas também estarem com uma pulga atrás da orelha. Não é à toa que atores que não falavam de privacidade estão se utilizando desse tema politicamente para denunciar seus adversários políticos. Isso mexe com as pessoas, isso toca as pessoas. Pode não ser a questão mais importante porque muitas delas estão buscando seu sustento nesse momento, mas não deixa de ser uma questão.

Com relação à LGPD, você falou que ela seria importante, mas hoje não temos ela em vigor. Se a lei estivesse valendo, como funcionaria?

Um bom exemplo de como poderia ser é como acontece na Europa, até porque a LGPD tem muita inspiração européia. Lá as autoridades de proteção de dados, o Comitê Europeu de Proteção de Dados começou a soltar documentos dizendo quais eram os melhores caminhos em termos de práticas. Funciona assim: o Comitê fala o norte da coisa e aí as autoridades nacionais vão aplicando com força de lei, de regra, país por país.

Então, o Comitê diz que se for para compartilhar dados de geolocalização tem que ter tais requisitos. Se não tiver, tem que ter investigação, esse convênio não pode acontecer, isso não é recomendado e por aí vai.

Se a gente tivesse uma autoridade nacional de proteção de dados e a LGPD, para começar, daria o norte da coisa. Isso é a primeira coisa, ela iria coordenar a política. A segunda coisa, que diz mais respeito aos procedimentos, é que poderia se investigar e descobrir se cada um desses atores que estão compartilhando dados com o governo está fazendo do jeito certo ou do jeito errado. Ou seja, ela teria poderes de fiscalização.

Para pensar o caso da InLoco, por exemplo, ela estaria dentro da legalidade? 

O ponto da In Loco ou de qualquer empresa que está compartilhando esses dados é que, como a gente não tem uma autoridade para interpretar o que ela tá falando, é muito difícil a gente dizer se a prática está dentro ou fora da lei. Porque a gente não tem ninguém para aplicar a lei. Então a InLoco fala que eles estão dentro da lei, só que está dentro da LGPD? Não sei, porque ela não está em vigor. 

Há um limbo e um vazio institucional que se traduz em um vazio de proteção de direitos. Você fica dependendo da boa fé nas ações de diversos entes privados e públicos. Uns podem ter boas intenções e outros não. Pode ser que a Inloco seja realmente uma empresa muito preocupada com a privacidade de seus consumidores, e eu gosto de pensar assim. Mas quem garante que não haja outra empresa que funcione parecido, mas que não seja? Nada garante, nada pode garantir. Quem garante isso é a LGPD.

A In Loco disponibilizou o Índice de Isolamento Social para estados e governos no combate ao coronavírus. Isso é um modelo recorrente, o que isso diz sobre esse modelo de negócios?

Esse é um modelo recorrente no mundo que a gente está vivendo. A gente tem muita empresa que o grande negócio é produzir inteligência com base em tratamento de dados pessoais. A In Loco não apareceu agora, não é de hoje, nem surgiu em 2020. Nem ela, nem outras empresas. Tem outras empresas que não tratam dados de geolocalização, mas tratam dados pessoais. Por exemplo, a Serasa.

Não é simples ter uma empresa que o grande negócio é produzir inteligência com base aonde as pessoas estão indo, onde as pessoas estão se localizando. Explicar esse negócio a alguém, como essa empresa ganha dinheiro, não é simples no debate público. Isso porque a pessoa não está vendendo picolé na praia, ela está vendendo um serviço de alta complexidade e que trafega por uma zona que levanta questionamentos. Por exemplo, você sabe onde eu estou? Mas como? Esse é o grande questionamento.

Você pode até argumentar que a empresa está seguindo todos os passos e forçar os seus parceiros a obter consentimento de todos os usuários desses aplicativos. Mas a qualidade desse consentimento, que é basicamente colocar nos termos de uso do aplicativo que a pessoa está aceitando o nome da inLoco ou o nome da empresa, isso se discute.

Fato é que as pessoas não sabem que os seus dados estão sendo tratados e a empresa está coletando mesmo assim. Essa atividade não é fácil de explicar.

Ocorre que, num momento de pandemia, do nada esse serviço se tornou super importante e de interesse público porque ele tem uma função muito cara que é metrificar as políticas de isolamento social. Então, da perspectiva de relações públicas, abre-se uma enorme oportunidade para que a empresa se apresente como alguém bem intencionado e que quer colaborar nesse momento, respeitando a privacidade, a partir de determinado discurso. 

Você transiciona de um momento em que é difícil de explicar o modelo para o momento em que a pessoa vai dar graças a deus que existe essa empresa. Por um lado isso é interessante porque o modelo de negócio delas vai para discussão. Isso é legal porque a gente consegue discutir esse assunto com mais detalhe. Mas, ao mesmo tempo, vamos discutir isso no momento em que estão muito valorizados na perspectiva dos serviço que estão oferecendo.

No site deles [da InLoco] tem uma coisa que é interessante como boa prática. Eles falam que você pode sair da base de dados deles. É o opt-out. Mas, como é que você sabe que precisa fazer opt-out, se você não sabe se tem aplicativo com código? Sinceramente, isso é o que me faz pensar: as pessoas não sabem que eventualmente estão sendo monitoradas por essa empresa ou outras. O que não significa que a InLoco seja mal intencionada. Ou que não significa que não existam possibilidades jurídicas com a LGPD em vigor desse tipo de atividade ser lícita. É importante dizer isso. Mas parece que do lado da prática, em termos de tratamento de dados, a gente está hiper avançado, hiper desenvolvido e do lado da regulação e da proteção de direitos a gente está atrofiado.

Quais os riscos que temos hoje, no cenário em que as empresas já estão atuando, coletando e disponibilizando dados com relação à pandemia, num ano eleitoral? Essa colcha de retalhos jurídica, com municípios estabelecendo parcerias diretamente com empresas, e o fato de não sabermos como se dá cada parceria específica. Que perigos você poderia listar sobre uso político eleitoral?

Do mesmo jeito que suas informações podem ser utilizados para vender chocolate mais facilmente, elas podem ser usadas para te “vender” uma opção política, um candidato, uma candidata, mais facilmente. Se eu sei, por exemplo, uma manifestação que você foi, se você tem uma condição de saúde, se eu sei qual é exatamente a rua que você mora, tem vários modos de eu usar isso para tentar influenciar seu voto. Tem coisas que a gente talvez achasse OK, mas tem coisas que a gente achasse que é manipulação fora do razoável. 

Então o uso político eleitoral é tão possível quanto o comercial. Porque é útil mesmo para fins políticos e comerciais. Ajuda a tomar decisões, ajuda a influenciar a opinião das pessoas. E não há nada que me faça pensar que não existe uma atração para que esse tipo de iniciativa cresça cada vez mais, seja para fins comerciais, seja para candidatos políticos. No momento que você descobre que essa tecnologia existe, ela não só aumenta de tamanho porque ela está se legitimando, como ela se torna mais visível e, como as trocas em termos de banco de dados, o compartilhamento que se faz entre entes públicos e privados é maior, mais dinâmico. E como consequência a gente tem um cenário mais complicado pra frente porque a gente vai ter candidato cada vez mais municiado, ou buscando estar municiado desse tipo de informação.

O uso político e eleitoral é totalmente possível. Pode ser bem poderoso e a gente está totalmente no escuro quanto a isso sem a LGPD. Sem ela é muito difícil regrar essas atividades.

Não me surpreende que essas empresas acabem sendo extremamente assediadas por políticos e partidos políticos. E a gente, por falta de regulação por parte da Justiça Eleitoral, e de fiscalização, principalmente, temos ambiente com alto risco de abusos serem realizados. 

A LGPD fala especificamente sobre usos políticos eleitorais?

Isso é mais do direito eleitoral, que fala que você não pode vender ou ceder cadastro eletrônico para campanha. A gente fez um advocacia no TSE (Superior Tribunal Eleitoral) ano passado e foi emitida uma resolução que diz que não pode ceder e vender dados pessoais. Então vamos dizer que tem alguma coisa na Lei Eleitoral. Só que o problema especificamente dessas atividades nas eleições é que não temos um sistema de fiscalização adequado. 

E essa ponte entre o que é o direito eleitoral e a LGPD não está construída porque não existe LGPD e ANPD (Autoridade Nacional de Proteção de Dados). A gente pode ter até a hipótese de como enquadrar certa conduta lá na frente, mas a gente não sabe muito bem como monitorar, não sabe como isso teria que aparecer na prestação de contas, qual seria o papel da ANPD nisso.

Quando a gente fala do uso político, eu diria para não deixarmos de lembrar que eleição não é o único momento em que se faz uso político. Qualquer política pública baseada em dados pessoais pode potencialmente ter efeitos abusivos ou problemáticos. Pode cometer injustiça, pode acentuar desigualdades. Tudo isso com base em dados pessoais. Não dá para dizer que isso não é político. O que eu diria é que, no plano eleitoral, o velho oeste está ainda maior porque temos dúvida sobre qual é o papel dessa autoridade, não sabemos ainda como vai atuar nesse campo.

Pelo menos no campo comercial, com empresas como InLoco e as teles, por exemplo, a gente sabe que a ANPD vai ter total desenvoltura. No plano eleitoral, a gente não sabe se vai ter e não sabe nem se é bom ter. A gente vai ter que discutir com a Justiça Eleitoral qual é o melhor jeito de fazer isso, preservando a igualdade de chances entre os candidatos, que é coisa tão importante quanto a proteção de dados pessoais.