O tempo do Covid-19 não é comparável com o da Peste Negra do século XIV ou da Gripe Espanhola no início do século XX, quando o combate às pandemias era feito de formas meramente físicas. Por outro lado, este é o tempo da informação, da ligação permanente entre dispositivos, do Big Data e da Internet e, por isso, uma parte das medidas de combate à pandemia têm passado por apostas em ferramentas digitais que permitam determinar quantas pessoas estão infetadas, onde foram infetadas, quem mais foi infetado, e que consigam prever a evolução da pandemia. Pelo seu potencial para responder a estas perguntas, as Apps (aplicações) de Rastreamento de Contacto (ARC) (Contact Tracing Apps, na sua expressão em inglês), têm estado em cima da mesa. No entanto, a sua adoção está longe de ser consensual, dada a sua potencialidade para responder não apenas às perguntas anteriores, mas também a muitas outras cujo interesse está para lá do combate à pandemia. Em todo o caso, as tão faladas apps parecem trazer mais questões do que respostas.
Mas o que são exatamente as ARC?
Num artigo publicado no início de abril pela Electronic Frontier Foundation, associação americana de defesa da liberdade de expressão e direitos digitais, são apresentadas diversas propostas para ARC com recurso a smartphone baseadas na tecnologia Bluetooth. Em geral, todas seguem a mesma abordagem: a aplicação instalada num dado dispositivo gera e comunica um identificador que será detetado pelos dispositivos nas imediações. Quando dois utilizadores se aproximam, a aplicação determina a distância entre estes usando a força do sinal Bluetooth e, caso se estime que estes se encontram a uma distância que permita uma infeção, durante um certo período de tempo, os dois dispositivos trocam os seus identificadores. Cada aplicação regista o historial de interações com outros identificadores e, no caso de um dos utilizadores ser identificado como infetado por Covid-19, os utilizadores com os quais este manteve proximidade são notificados do risco de infeção a que estão expostos. Estes sistemas permitem a monitorização em grande escala e a sua entrada em cena no âmbito do combate à pandemia deu origem a uma autêntica corrida às “armas” por parte de governos e empresas.
Em fevereiro deste ano, o Conselho de Estado da República Popular da China deu instruções à Alipay, um serviço de pagamentos online pertencente ao Alibaba Group, para desenvolver uma plataforma nacional para a prevenção da epidemia. De acordo com um artigo publicado no The New York Times no início de março, a China deu início a uma experiência em massa para regular as vidas dos cidadãos através do uso de dados, requerendo que estes usem software nos seus smartphones que dite se estes devem ser colocados em quarentena ou se estão autorizados a entrar em transportes coletivos, em centros comerciais ou noutros espaços públicos. Uma análise do código da app pelo mesmo jornal descobriu que o sistema faz mais do que simplesmente determinar o risco de contágio de uma dada pessoa: aparentemente, partilha informações com a polícia.
Em Moscovo, desde o passado dia 15 de abril, é necessária uma autorização eletrónica para sair de casa, na forma de um código QR, atribuído pelo site da https://staging2.shifter.pt/wp-content/uploads/2021/02/e03c1f45-47ae-3e75-8ad9-75c08c1d37ee.jpgistração da cidade após a introdução do nome, localização, destino e razão para a deslocação. De acordo com uma notícia da agência Reuters, no início de abril, as autoridades russas desenvolveram uma app para monitorizar os movimentos dos indivíduos residentes que tenham contraído o vírus. Noutros pontos do país a app servirá como forma de autorização eletrónica.
Em Singapura foi implementada a app TraceTogether, utilizando o BlueTrace, um protocolo de fonte aberta para rastreamento de contacto desenvolvido pelo governo. Este protocolo foi adotado na Austrália e está em análise na Nova Zelândia. Em Hong Kong, os visitantes estrangeiros são obrigados a usar uma pulseira com um código QR em coordenação com uma aplicação que determina a localização relativamente a uma zona de quarentena definida. Já em Portugal, a aplicação monitorCovid19.pt está atualmente a ser desenvolvida pelo INESC-TEC. Sem data prevista de lançamento, será de utilização voluntária e de funcionamento descentralizado.
O governo de Emmanuel Macron anunciou que está também a trabalhar numa app, inserida no projeto PEPP-PT (Pan-European Privacy-Preserving Proximity Tracing), uma iniciativa comum para harmonizar o desenvolvimento de ARC na Europa. No início de maio, a Euronews noticiou que a app francesa será lançada em 2 de junho e que o governo recusou as soluções digitais da Apple e da Google alegando questões de privacidade e de interconexão com o serviço nacional de saúde. No entanto, este modelo de app tem sido alvo de várias críticas. A associação francesa Quadrature du Net, coletivo que promove direitos digitais, alerta para os perigos que o uso compulsório destas aplicações acarreta para as liberdades individuais. Além disso, contestam a sua efetividade, que depende da utilização de pelo menos 60 por cento da população geral, num contexto em que menos de metade da população acima dos 70 anos tem smartphone.
Entretanto, diversos países abandonaram já o PEPP-PT, como é o caso da Alemanha, que irá desenvolver a sua própria app em conjunto com a Apple e a Google. Espanha e Suíça abandonaram também a iniciativa. O governo belga, inicialmente apologista do uso de ARC, opta agora por medidas de controlo tradicionais.
Se do lado dos governos existe uma falta de consenso sobre os planos de adoção das ARC nos seus países, da parte dos programadores, criptógrafos e engenheiros, o debate centra-se na arquitetura que uma ARC deve ter. Protocolos como o PEPP-PT ou o BlueTrace operam num servidor central, que aloja os dados recolhidos, mas têm surgido outras propostas que garantem uma operação descentralizada, com implicações na preservação da privacidade. É o caso do DP-3T (Decentralized Privacy-Preserving Proximity Tracing), um protocolo desenvolvido por uma equipa de cientistas e investigadores. Este protocolo difere de outros, pois não existe um servidor central onde se cruzem todos os dados. Esse cruzamento é feito de forma descentralizada, no aparelho de cada utilizador. A Google e a Apple garantem também optar pela solução descentralizada, mas, ao contrário do DP-3T, o seu código não é divulgado nem publicado, o que não permite a uma entidade externa auditar e identificar vulnerabilidades.
No artigo “Rastreamento anónimo, uma contradição perigosa”, vários especialistas franceses alertam para os perigos de ambas as abordagens. Sublinham que, embora não seja criada uma base de dados de pacientes infetados, os dados recolhidos não são verdadeiramente anónimos (são utilizados pseudónimos, que podem ser depois cruzados com outras informações, comprometendo o anonimato), o que abre caminho para determinar se uma pessoa está infetada ou não, levantando assim uma questão não só de privacidade, como de potencial discriminação. O artigo alerta ainda para a possibilidade de falsos alarmes e para as questões de segurança ligadas à utilização da tecnologia Bluetooth.
Direitos digitais em tempos de Covid-19
Em Portugal, a associação D3 – Defesa dos Direitos Digitais constituiu-se em 2017 com a missão de defender os direitos e as liberdades fundamentais no contexto digital, o direito à privacidade, bem como o acesso livre à informação, conhecimento e cultura. No início de abril deste ano, foi uma das signatárias de uma carta, juntamente com muitas outras organizações, com o intuito de dizer aos governos de todo o mundo que “a pandemia da Covid-19 não deve ser usada como desculpa para expandir a vigilância digital”.
Em entrevista ao jornal MAPA esclarecem a sua posição sobre as ARC.
Existem benefícios, no que toca à contenção da pandemia, decorrentes do uso de tecnologias de monitorização?
Essa é uma pergunta que deve ser colocada a quem propõe a implementação deste tipo de tecnologia. Medidas que restringem direitos fundamentais têm de respeitar a Constituição, que através do princípio da proporcionalidade impõe que esse tipo de medidas tenham de ser cumulativamente: adequadas a alcançar o fim pretendido; necessárias, no sentido de serem indispensáveis, por não existirem outras alternativas igualmente eficazes e menos lesivas; e proporcionais – não devem ir além daquilo que for estritamente necessário.
Além disso, é impossível discutir este assunto sem saber exatamente de que estamos a falar e o que o governo propõe. Quando falamos de apps de rastreamento de contactos (ARC), existem diferentes soluções em cima da mesa e diferentes países europeus têm abordagens distintas. Só analisando ao pormenor o funcionamento da ARC proposta é possível determinar se esta respeita os direitos fundamentais das pessoas.
Não somos especialistas em epidemiologia, mas este debate deve incluir toda a gente porque todos seremos afetados pelas decisões tomadas. Não deixamos de reparar nalgumas premissas problemáticas, como a menção repetida de que este rastreamento só será eficaz se 50 por cento da população portuguesa usar a ARC. Podemos comparar com Singapura, onde o uso de uma ARC desenvolvida pelo governo, que tem incentivado a sua utilização, teve uma adoção que se ficou pelos 20 por cento. Parece-nos manifestamente insuficiente a sustentação científica por trás da alegada necessidade imprescindível e imediata deste tipo de solução tecnológica.
Quem tem defendido o seu uso?
Há interesses de diversa natureza em jogo. Há quem pretenda realmente encontrar na tecnologia uma resposta para esta crise complexa. Mas há também quem veja uma oportunidade de negócio, quem tenha interesse nos dados pessoais que serão recolhidos, quem veja um pretexto para promover uma agenda securitária, etc. Existe um certo ecossistema de interesses cujas motivações não estão relacionadas com a defesa do bem comum, com o respeito pelos direitos fundamentais ou sequer com a eficácia prática da aplicação, e devemos ter consciência da existência e influência destes fatores.
Que dados estão a ser recolhidos pelas ARC?
As ARC estão a ser desenvolvidas de diversas formas, mas a grande maioria está a fazer uso do sinal de Bluetooth para detetar quais os dispositivos móveis que estiveram na proximidade do dispositivo de um utilizador, aferindo assim os possíveis contactos que cada pessoa teve.
Por exemplo, a ARC desenvolvida pelo governo de Singapura regista os identificadores dos telemóveis que estiveram próximos de uma pessoa e, quando essa pessoa testar positiva com Covid-19, a ARC faz upload desses identificadores para um servidor e dessa forma a autoridade governamental pode contactar os donos desses dispositivos. Para isso é necessário que os utilizadores registem os seus contactos pessoais na ARC e os submetam a esse servidor. Existem outras formas de atingir o mesmo objetivo sem que os contactos pessoais sejam registados. Por exemplo, a ARC poderá questionar o servidor regularmente para saber se algum dos identificadores com que esteve em contacto é de algum utilizador que tenha testado positivo com Covid-19. Um outro perigo é que o recurso às ARC levará a uma normalização da vigilância massiva. É por isso importante que, a ser utilizada uma ARC em Portugal, o deve ser em termos tão estritos quanto possível, e não ir além da duração da pandemia.
O que acontecerá aos dados recolhidos pelas apps quando a pandemia terminar?
Mais uma vez dependerá do tipo de ARC usado e do tipo de dados recolhidos. Partindo do princípio que é empregue uma ARC que respeita os princípios de privacidade previstos no RGPD [Regulamento Geral sobre a Proteção de Dados], os dados recolhidos serão à partida limitados. As informações relativas a contactos de proximidade só têm interesse durante alguns dias após o contacto. Depois desse período, os dados devem ser eliminados. Se optarmos por apps mais problemáticas, poderá haver alguma tentação por parte das entidades governamentais ou empresas do sector privado a manter os dados na sua posse ou a criar outras soluções para prevenir novas pandemias. É importante estarmos atentos a estas situações de forma a evitar situações abusivas.
Que perigos pode a sua adoção configurar não só para a nossa privacidade, mas também para a sociedade em geral?
É bastante difícil conseguir antever todos os perigos possíveis. A título de exemplo: acesso das seguradoras à informação sobre o estado de infeção das pessoas; possibilidades de desanonimização das pessoas; possíveis “fugas” de informação sobre o estado de infeção de alguém; normalização do uso de apps para monitorizar a saúde dos cidadãos e mediar a sua relação com o sistema de saúde; discriminação de diversos setores sociais (por exemplo: pessoas sem smartphone).
Pode o estado de emergência facilitar a implementação de sistemas de monitorização em massa pela ausência de processos de escrutínio público?
O estado de emergência não afasta a aplicação do Estado de Direito ou da Constituição, pelo contrário, representa a sua atuação em tempos de exceção. Os efeitos do estado de emergência limitam-se ao que é enunciado no próprio diploma. Não se trata de uma suspensão generalizada de direitos, liberdades e garantias. É claro que o estado de emergência faz com que as pessoas baixem a guarda, sejam menos exigentes em fazer valer os seus direitos, o que facilita a aceitação social deste tipo de medidas. As pessoas têm medo deste perigo invisível que não sabem como combater. Vemos aumentar os discursos do “quem não deve não teme”, “é preciso fazer alguma coisa”, etc. Infelizmente, quando alguém quer muito encontrar soluções, há sempre outros prontos a vendê-las, e torna-se muito difícil quebrar esse encontro de vontades. Nessas circunstâncias, a questão do mérito da solução tecnológica, que deveria ser a chave para debater esta questão, passa muitas vezes para segundo plano.
Têm surgido projetos com o objetivo de criar ferramentas digitais de combate à pandemia com maior foco na segurança do utilizador, na privacidade e nos direitos digitais?
Há projetos que tentam dar uma especial atenção à privacidade dos utilizadores, mas mesmo esses são problemáticos do ponto de vista da sua eficácia em preservar, de forma estanque, a privacidade das pessoas. Há demasiados riscos, buracos e possíveis “fugas” nas ARC que não dependem da implementação técnica; por exemplo, o sinal Bluetooth atravessa barreiras e identificará como positivos contactos que não existiram, e serão erradamente notificadas pessoas que não foram expostas.
Que papel as licenças abertas e o modelo Open Source têm tido no combate à pandemia?
Temos assistido desde cedo a iniciativas interessantes, por exemplo no movimento maker, de partilha de conhecimento e de conteúdos abertos com vista à produção de máscaras e de outros materiais, inclusivamente ventiladores. Nesse sentido, está a ser um período bastante positivo para o movimento Open Source. Em relação a apps, o acesso ao código é fundamental e nenhuma solução que não o preveja pode ser levada a sério. O âmbito das ARC é demasiado vasto para que o seu funcionamento se mantenha ocultado. E se se alega que estão asseguradas todas as salvaguardas de segurança e privacidade, então mais uma razão para publicar o código. Neste caso, podemos argumentar que quem não deve, não teme.
Uma solução meramente técnica?
No âmbito da luta contra a pandemia, tem surgido a ideia de que existe um conflito entre o respeito da privacidade e a saúde. Para a D3 essa é uma falsa dicotomia: “esse é um argumento que tem sido avançado por um ponto de vista ideológico solucionista, que propõe soluções exclusivamente técnicas para problemas complexos de ordem social e política e reduz o discurso aos pormenores de implementação, descartando qualquer consideração fora dessa esfera. Essa linha propõe uma dicotomia entre a app e o confinamento, entre a salvação e o marasmo. Antes estávamos conscientes que até à cura ou vacina não encontraríamos soluções mágicas. Agora, há uma solução mágica na forma de uma app, muitas vezes sem qualquer menção concreta das suas vantagens – as ARC são apresentadas como algo que tem de ser”. Numa publicação no Github, uma plataforma para o alojamento de código, onde se desenvolve o protocolo DP-3T, uma publicação assinada em nome do Institute for Technology in the Public Interest alerta para a necessidade de repensar a forma como a tecnologia é desenhada e implementada, porque as ARC “vão estabelecer condições normativas para a realidade e vão contribuir para as decisões sobre quem terá liberdade de decisão”. Questiona-se ainda o porquê de a vigilância se ter tornado a única possibilidade de ação contra a pandemia, salientando-se a necessidade de discutir publicamente de que forma as comunidades gerem os seus próprios cuidados e a exposição ao vírus, e a inclusão nesta discussão da arquitetura da app, como também a possibilidade de não a implementar.
–
Texto de Guilherme Luz e João Gabriel Ribeiro
(Nota: este texto foi originalmente publicado no Jornal Mapa, jornal de informação crítica, editado em papel, tendo sido aqui reproduzido com a devida autorização.)
