É difícil imaginar algo de mais inusitado ocorrer em pleno Mês Europeu da Cibersegurança do que uma celeuma de privacidade envolvendo informáticos, médicos, juristas e políticos. Cumpriu-se o propósito (quase sempre incidental) de criar discussão, levando a debate como raríssimas vezes antes, a segurança informática, o critério da necessidade no tratamento dos dados pessoais, e o valor da privacidade numa sociedade datacêntrica.
As principais questões levantadas pela obrigatoriedade de utilização da aplicação de rastreamento de contactos, entre nós StayAway Covid, passam (1) pelo tratamento simultâneo de dados relativos à saúde e de localização dos titulares, (2) a ampla escala do tratamento, abrangendo potencialmente milhões de pessoas no cenário proposto, (3) e a efetividade da solução, desejavelmente evitando um número importante de novos contágios. Todas elas têm um enquadramento tecnológico e jurídico indissociável. Vejamos:
- Os dados relativos à saúde contendem com um dos aspetos mais íntimos da existência humana. O seu tratamento acarreta um potencial lesivo enorme para os titulares. Não se estranha assim que, desde o seu surgimento, o quadro legal da proteção de dados, e a concretização posteriormente dada pelas autoridades de controlo e tribunais, olhe para as operações de tratamento sobre estes dados com especialíssima cautela. Muito embora tenham sido adotados uma solução descentralizada de tratamento dos dados – conforme de resto às Diretrizes do Comité Europeu para a Proteção de Dados, em observância do princípio da minimização dos dados – e um processo robusto de pseudonimização, os quais mitigam parte dos riscos de trânsito e armazenamento, restam riscos importantes de exploração indevida de parte da informação gerada pela utilização da aplicação. Também a possibilidade de uso abusivo das capacidades de localização da tecnologia Bluetooth Low Energy (LTE) por outras apps e a opacidade do código informático utilizado pelo Google-Apple Exposure Notification (GAEN), constituem reservas assinaláveis – não esquecendo a partilha de certos dados de identificação do titular e do dispositivo através do Google Play Services.
- Conforme previsto no Regulamento Geral de Proteção de Dados (RGPD), escala e quantidade dos dados sujeitos a tratamento são condicionantes importantes da análise de conformidade. De resto, as experiências mais recentes com desastres cibernéticos, dos mega data breaches ao targetting abusivo para fins eleitorais, provam que a escala e quantidade dos dados tratados é relevante para o potencial lesivo que as operações de tratamento podem infligir. A obrigatoriedade da instalação é assim um elemento de entropia na conformidade da solução, uma vez que eleva, obrigatoriamente, à escala nacional o potencial danoso de uma violação de segurança da app.
- O princípio da proporcionalidade, trave-mestra do nosso edifício legal e alicerce maior do RGPD, proclama que uma determinada operação (ou conjunto de operações) de tratamento será conforme à lei (entre outras) se necessária, adequada e não excessiva face à finalidade que se propõe servir. Ora, não se encontra razoavelmente demonstrado que a utilização de uma solução de rastreamento de contacto nestes moldes, com os riscos identificados acima, resulte num benefício tal que justifique a lesão (efetiva ou potencial) do bem jurídico privacidade. Ainda, a solução de localização concretamente escolhida por representar menor risco de controlo abusivo, o BLE, apresenta fragilidades assinaláveis de efetividade, atingindo falsos positivos superiores a 90% na experiência de outros países. Também o facto de uma parte muito significativa da população ficar excluída da utilização da ferramenta (seja por não disporem de dispositivo compatível com a app, ou falta da literacia digital necessária) implica uma diminuição franca da sua efetividade, tornando difícil de compaginar riscos e benefícios numa análise que passe no crivo do quadro legal da proteção de dados.
