Nas últimas duas décadas, a União Europeia apresentou-se ao mundo como a grande potência reguladora dos direitos digitais. Enquanto os Estados Unidos tratavam os dados pessoais como matéria-prima comercial e a China construía uma arquitetura de vigilância estatal ao estilo 1989 de George Orwell, Bruxelas afirmava oferecer uma terceira via: A tecnologia subordinada aos direitos fundamentais, inovação com limites pelos direitos fundamentais e segurança sem abdicar da democracia.
Foi essa União que aprovou o Regulamento Geral sobre a Proteção de Dados. Foi essa Europa que obrigou multinacionais a explicar como recolhiam, processavam e conservavam informação pessoal. Foi essa Europa que declarou que a privacidade não era um luxo, mas um direito dos europeus.
No entanto, essa mesma União Europeia discute em que condições empresas privadas podem analisar as comunicações dos cidadãos. Esta ironia não podia ser mais perfeita e seria cómico se não fosse trágico.
O Parlamento Europeu aprovou a sua posição sobre a reativação da derrogação temporária às regras de confidencialidade das comunicações, frequentemente designada por Chat Control 1.0. O objetivo declarado é combater material de abuso sexual de crianças e o aliciamento de menores.
Ninguém sério contesta a necessidade de combater estes crimes. Mas a legitimidade dos fins não dispensa o escrutínio dos meios. A tentativa de transformar a gravidade do objetivo numa licença para ignorar os princípios que a própria União Europeia passou décadas a ensinar ao resto do mundo deve ser contestada.
Graças a emendas promovidas pelo Renew Europe e apoiadas por uma maioria transversal, as comunicações protegidas por encriptação ponta a ponta ficaram expressamente excluídas do mecanismo. É uma vitória importante. É também uma vitória que revela até que ponto o debate já se deslocou para território perigoso.
E estamos a celebrar o facto de a União Europeia ter decidido não incluir, por enquanto, as comunicações encriptadas num sistema de análise de conteúdo privado. Engraçado que há poucos anos, a possibilidade de inspeção generalizada de correspondência digital seria considerada incompatível com os valores europeus. Hoje, a exclusão parcial desse mecanismo é apresentada como uma grande conquista civilizacional. A fasquia desceu de forma impressionante.
Como alguém da área de cibersegurança, não consigo aceitar a ficção política de que é possível preservar a encriptação e, ao mesmo tempo, criar mecanismos técnicos destinados a observar sistematicamente aquilo que os utilizadores comunicam. A encriptação ponta a ponta não é um obstáculo administrativo que possa ser contornado com um considerando jurídico ou uma declaração de boas intenções. É uma propriedade técnica, e das duas uma: ou apenas o emissor e o destinatário conseguem aceder ao conteúdo, ou existe uma terceira entidade com capacidade para o observar. Não há uma solução intermédia criada apenas para pessoas virtuosas, utilizada exclusivamente por autoridades democráticas e imune a criminosos, governos hostis ou cibercriminosos.
Uma vulnerabilidade no sistema não verifica as credenciais morais de quem a explora. A Europa sabia isto. Foi por saber isto que defendeu a segurança desde a conceção, a proteção de dados por defeito, a minimização da informação recolhida e a proporcionalidade das medidas. Agora, quando esses princípios se tornam inconvenientes, Bruxelas começa a substituí-los por eufemismos.
Não se fala de vigilância. Fala-se de deteção.
Não se fala de inspeção de comunicações privadas. Fala-se de moderação de conteúdos.
Não se fala de cidadãos sem qualquer suspeita individual. Fala-se de utilizadores.
Não se fala de análise automatizada potencialmente massiva. Fala-se de medidas voluntárias adotadas pelos prestadores de serviços.
“Voluntárias” para quem?
Não é o cidadão que escolhe se uma fotografia, uma mensagem ou uma conversa privada será processada por um sistema de deteção. A decisão é da plataforma. O utilizador recebe apenas a liberdade habitual da economia digital: aceitar ou abandonar o serviço.
Esta inversão é especialmente hipócrita porque a União Europeia passou anos a criticar o poder excessivo das grandes plataformas tecnológicas. Multou-as, regulou-as e acusou-as de recolherem demasiados dados. Depois, perante um problema criminal complexo, considera entregar-lhes um novo poder: analisar comunicações privadas, interpretar resultados e decidir o que deve ser comunicado às autoridades.
A Europa que dizia querer limitar o poder das plataformas prepara-se para transformá-las em auxiliares de vigilância.
A Europa que exigia minimização de dados começa a legitimar a análise preventiva.
A Europa que afirmava que o consentimento devia ser livre e informado aceita mecanismos sobre os quais o cidadão não exerce qualquer controlo significativo.
A Europa que condenava a vigilância massiva tenta agora explicá-la como uma forma de proteção.
E é este o verdadeiro problema do Chat Control. Não se trata apenas de uma norma técnica. Trata-se da normalização de um princípio basilar: a ideia de que a confidencialidade das comunicações pode ser relativizada sempre que o objetivo invocado seja suficientemente grave.
Hoje, o fundamento é o combate ao abuso sexual de crianças.
Amanhã poderá ser o terrorismo, o extremismo, a desinformação, a propriedade intelectual, o discurso de ódio ou qualquer outra prioridade que reúna uma maioria política circunstancial.
As infraestruturas de vigilância raramente permanecem limitadas ao propósito que justificou a sua criação. Em cibersegurança, chamamos a isto expansão de superfície de ataque. Na política, chama-se mission creep. Em ambos os casos, o resultado é semelhante: uma capacidade inicialmente excecional torna-se progressivamente normal.
A exclusão da encriptação ponta a ponta (E2EE) deve, por isso, ser defendida sem hesitação. Mas não deve servir para absolver o restante modelo. Salvar a E2EE não torna aceitável a análise indiscriminada de comunicações não encriptadas. Não transforma plataformas em tribunais. Não resolve falsos positivos. Não compreende o contexto daquilo que analisa. Não distingue com segurança uma interação potencialmente criminosa de uma conversa familiar, médica, educativa, humorística ou até mesmo sátira.
Os sistemas automatizados não compreendem intenções. Calculam probabilidades. E, quando operam sobre comunicações privadas, os erros deixam de ser meros problemas estatísticos. Podem tornar-se acusações, investigações, danos reputacionais ou interferências graves na vida de pessoas inocentes.
A resposta ao abuso sexual de crianças deve ser firme e tecnicamente competente. Precisa de investigação criminal especializada, cooperação internacional, identificação de vítimas, equipas forenses treinadas, preservação rigorosa de prova, remoção rápida de material confirmado e atuação dirigida contra suspeitos concretos. O que não precisa é de uma arquitetura permanente de suspeição generalizada.
A União Europeia ainda gosta de se descrever como uma potência normativa. Mas uma potência normativa é julgada pela consistência dos seus próprios princípios quando os mesmos se tornam difíceis de defender, e não apenas quando ficam bem em discursos institucionais.
A Europa antiga dizia que os direitos fundamentais eram limites ao poder.
A Europa atual parece cada vez mais inclinada a tratá-los como obstáculos.
Retirar a encriptação ponta a ponta do alvo de análise foi uma decisão correta. Mas o simples facto de ter sido necessário travar essa possibilidade mostra a dimensão da regressão. A União Europeia não pode continuar a vender privacidade ao mundo e vigilância aos europeus.
Tem de escolher qual destas duas Europas pretende ser: Europa do RGPD, ou a Europa do Chat Control.
