Opinião: A erosão do conceito de privacidade em tempos de pandemia

A utilização de instrumentos de contact tracing em aplicações como a STAYAWAY COVID, e as implicações que tem para a segurança e privacidade, são abordadas neste artigo de opinião de Daniel Bastos.

Por Daniel Bastos (*)

O seu smartphone acaba de vibrar. Normalmente seria a notificação de mais uma mensagem do seu grupo de Whatsapp preferido, de um gosto numa publicação que fez numa rede social ou de um novo vídeo que o seu YouTuber preferido acabou de publicar. Mas não desta vez. Desta vez é a notificação de que esteve recentemente em contacto próximo com uma pessoa que testou positivo para a Covid-19. O seu coração dispara enquanto os seus olhos ficam colados ao ecrã sem saber como reagir. “Contacto a minha família e amigos? O restaurante onde fui ontem jantar? Fecho-me em casa? Ignoro a notificação como se de um email de publicidade indesejada se tratasse?” (Nota: A resposta certa é ligar para a linha SNS24).

Já todos percebemos que a pandemia do Covid-19 tomou o mundo de assalto e alterou drasticamente a forma como vivemos. Os afetos desapareceram e deram lugar ao distanciamento social. Os sorrisos passaram a estar escondidos atrás de máscaras opacas. Muitas das atividades que tínhamos em família, com amigos, em trabalho ou em lazer deixaram de existir ou foram alteradas. Esta é uma realidade com a qual vivemos há já quase 8 meses, e o quanto mais tempo irá durar é para todos uma incógnita. Em Portugal, milhares de pessoas já contraíram a Covid-19, os números continuam a aumentar (não só cá como por toda a Europa). Voltar a uma situação de confinamento total parece não fazer parte dos planos das entidades governamentais, por todas as implicações socioeconómicas que uma situação dessas acarretaria para as pessoas e para as empresas. Mas entramos numa fase em que o crescente aumento dos casos de Covid-19 voltaram a exigir o regresso a mais algumas medidas mais apertadas, e algumas das quais mais polémicas e suscetíveis do que outras.

Vamos então diretos ao assunto e falar da aplicação STAYAWAY COVID (disponível para Android e iOS). Trata-se de um instrumento que foi desenvolvido e que está disponível com a finalidade de ajudar no chamado “contact tracing” - o rastreamento de pessoas que tenham estado expostas à doença. Depois de instalada, um utilizador que tenha testado positivo poderá inserir o código do teste na app e, depois da validação da Direção-Geral da Saúde (DGS), a app irá alertar outros utilizadores que tenham estado próximos do utilizador infetado durante 15 minutos ou mais. A app garante não revelar a identidade do utilizador infetado, os seus contactos ou os de outros utilizadores. De uma forma geral e simples é assim que funciona. A app introduz vigilância como método preventivo, passivamente utilizando os sensores Bluetooth embutidos nos nossos Smartphones de modo a descobrir com quem estivemos em contacto. E apesar das garantias de não identificação pelo sistema, dada a troca de informação aleatória e não atributável ao indivíduo possuidor do dispositivo, o objetivo não deixa de ser perceber como é que a doença se está a propagar e acompanhar as cadeias de transmissão. Isso só é possível identificando as pessoas que estiveram em contacto com um caso com teste positivo. E aqui entramos num paradigma que até agora era veemente rejeitado pelo mundo ocidental: a monitorização passiva das atividades do cidadão comum no seu dia a dia por uma entidade governamental, nomeadamente, com quem tem contacto mais próximo e onde, mas potencialmente outros dados como onde faz compras ou onde toma o seu café. O caso não é para menos, dada a gravidade da situação atual. Combater esta doença exige um esforço muito grande por parte de todos e desafia as nossas noções de responsabilidade social, entreajuda, ou bem-estar emocional. Desafia, também e particularmente, o conceito de privacidade e o quanto estamos dispostos a abdicar dela para garantir a nossa saúde e segurança física.

Muito se tem debatido à cerca da STAYWAY COVID, a sua eficácia e o seu impacto na privacidade dos cidadãos. Agora que estamos numa fase crítica e o governo se vê numa posição difícil procurando todos os meios para travar a segunda vaga e um possível segundo confinamento, discute-se se a sua instalação e utilização deve passar de “encorajada” a “obrigatória”. Isto seria uma medida autoritária altamente arriscada, portanto perceber qual o exato funcionamento desta app ganha novo fôlego e ainda maior relevância. A app recorre à tecnologia Bluetooth Low Energy (BLE), uma variante da tecnologia Bluetooth que se distingue pelo facto de estar direcionada para comunicações curtas mas a uma maior taxa de transmissão, podendo estar em “sleep mode” durante maior parte do tempo e salvando assim mais bateria. Baseada no sistema disponibilizado pela Google e Apple de nome “Notificação de Exposição Google-Apple” (GAEN), a app já passou pelo escrutínio da Comissão Nacional de Proteção de Dados (CNPD) que na altura do seu lançamento apontou riscos inerentes à proteção de dados, mas salientando a conformidade com os princípios do Regulamento Geral de Proteção de Dados (RGPD). Identificou, no entanto, a dependência de um sistema de código fechado controlado por empresas privadas como uma preocupação atual e futura dada a informação recolhida. A utilização de apps com o mesmo propósito em outros países tem obtido resultados mistos, em alguns exemplos devido à sua baixa adoção pela população, em outros pelas objeções quanto à privacidade e proteção de dados, e finalmente noutros simplesmente pela falta de resultados significativos na ajuda ao “contact tracing”.

Embora o código da aplicação seja público e esteja disponível na plataforma Github para quem o quiser analisar, a principal questão que tem sido levantada (e não vamos falar do recente aspeto da possível obrigatoriedade), está sobretudo relacionada com o facto da STAYAWAY COVID depender do tal sistema fechado, ou seja, recorre à API da Apple e da Google para poder funcionar, o que significa que interage com os sistemas operativos (iOS e Android) de uma forma que só a Apple e a Google controlam. Estas empresas podem assim aceder aos dados de instalação e utilização da app dado que controlam as “app stores” onde esta é disponibilizada e cada utilizador precisa de ter uma conta associada à app store. Outra questão relaciona-se com o necessário uso constante de sensores do smartphone e das suas implicações, porque apesar de o sensor de GPS não ter sido incluído por razões de privacidade o uso do sensor Bluetooth não elimina por completo desvantagens como o abuso do acesso ao sensor por todas as outras aplicações autorizadas (dado que este necessita de estar sempre ligado), exposição a comunicações indesejadas ou o impacto na bateria do smartphone. Além disso, o serviço Bluetooth de baixo consumo (BLE) está, no sistema operativo Android, ligado aos “Serviços de localização” pelo que os utilizadores têm de ligar o GPS para o utilizar.

Podemos ainda falar dos perigos a nível de segurança cibernética. A app está disponível para smartphones Android com versões bastante desatualizadas (5.0 quando a mais recente é a 11.0) o que aumenta a exposição do utilizador a ataques já conhecidos e, entretanto, mitigados nas novas versões. Smartphones mais antigos também não suportam as versões mais recentes da tecnologia Bluetooth o que pode trazer problemas semelhantes. No passado recente, vulnerabilidades conhecidas como BLURtooth, BlueBorne entre outras puseram em risco milhões de aparelhos, sujeitando os utilizadores a ataques que permitem a escuta ilegal de comunicações, impersonificação ou negação de serviço.

O direito à privacidade como lei data do ano 1890 e descreve a importância do afastamento do mundo que nos rodeia, possibilitando a solidão e retiro essenciais para defesa do nosso bem-estar psicológico. Bem-estar psicológico esse que, refere a lei “é sensível à publicidade que, através de invasões à privacidade, o mundo empresarial/comercial nos sujeita”. E enquanto a situação atual nada parece ter que ver com publicidade e os fins parecem justificar os meios utilizados, o que era talvez uma invasão de privacidade inaceitável deixou mais de o ser. Colocam-se então as questões: qual é o limite para a monitorização a que devemos sujeitar o comum cidadão? E para uma pessoa que testou positivo e as que estiveram em contacto próximo com ela? Talvez mais importante ainda, como será a nossa noção de privacidade pós-pandemia?

(*) Engineering Innovation Bosch Ovar