Uma berlina cinzenta passa sob um pórtico de autoestrada a 110 km/h. A câmara fixada no mastro lê a matrícula, regista a hora, guarda-a. Nada de novo: este dispositivo existe há vinte anos, instalado às dezenas de milhares tanto na América do Norte como na Europa.
Mas se esse pórtico recebeu o módulo que o grupo italiano Leonardo comercializa desde junho de 2026, acabou de registar outra coisa. O iPhone do condutor. Os auriculares sem fios da passageira. O relógio ligado pousado no tablier. O autorrádio. O porta-chaves ligado no porta-luvas. Os sensores de pressão dos quatro pneus. O cartão de acesso esquecido num casaco. E, se um cão dorme atrás, o seu chip de identificação.
Uma dezena de identificadores, uma matrícula, uma posição, uma hora. Repita em cada pórtico da rede e já não está a seguir um carro: está a seguir pessoas, e sabe com quem se deslocam.
O que o dispositivo faz realmente
O produto chama-se SignalTrace. Vendido pela Leonardo US Cyber and Security Solutions, completa a gama ELSAG, uma das linhas de leitores automáticos de matrículas mais divulgadas no mercado norte-americano. A sua existência foi revelada a 8 de junho de 2026 por Joseph Cox na 404 Media , a partir de uma ficha de produto do fabricante.
O ponto decisivo cabe numa frase: não se trata de câmaras novas. O SignalTrace é um sensor de rádio acrescentado aos leitores de matrículas já instalados. O mastro não muda, a localização não muda, a silhueta do equipamento à beira da estrada não muda. O que muda é aquilo que o equipamento escuta.
O sensor regista os identificadores difundidos em claro pelos protocolos Bluetooth, Wi-Fi e RFID dos aparelhos presentes no veículo. Ponto técnico muitas vezes mal compreendido: nenhum aparelho é pirateado e nenhuma falha é explorada. Um aparelho Bluetooth ou Wi-Fi emite permanentemente tramas de descoberta, porque estes protocolos foram concebidos assim. Os seus auriculares anunciam a sua presença para serem encontrados pelo telemóvel, que por sua vez interroga o ar em redor à procura das redes que conhece. Estas emissões são públicas por construção, e qualquer recetor ao alcance ouve-as.
A Leonardo precisa aliás que o sistema funciona com ou sem leitor de matrículas , incluindo em interiores, e reconhece um veículo cuja matrícula esteja tapada ou retirada.
A adaptação do equipamento existente é a verdadeira questão política. Instalar uma nova rede de câmaras desencadeia uma votação, uma deliberação, por vezes um contencioso. Acrescentar uma placa eletrónica dentro de uma caixa já aprovada não desencadeia nada. A capacidade de vigilância muda de natureza sem debate público, porque materialmente não há nada de novo para ver.
Do veículo à pessoa, e da pessoa ao grupo
Um leitor de matrículas responde a uma pergunta: onde esteve este veículo. O SignalTrace acrescenta duas: quem ia lá dentro, e com quem.
A Leonardo não o esconde, é o argumento de venda. O sistema constitui aquilo a que a documentação chama uma impressão eletrónica, um conjunto de identificadores «frequentemente emitidos em conjunto». O exemplo do fabricante é explícito: numa cidade inteira, um único veículo associará um iPhone 13rev2, um autorrádio Audi, uns auscultadores Bose, um relógio Garmin, um localizador de chaves e a matrícula ABC-1234.
O produto não se limita a seguir veículos. Produz automaticamente um grafo de relações entre pessoas, sem que ninguém tenha tido de formular a mínima suspeita.
É aqui que se dá o salto qualitativo. Ao correlacionar os aparelhos que viajam regularmente juntos, o sistema constrói mecanicamente um grafo social. Dois telemóveis que se encontram todas as manhãs no mesmo carro são uma boleia partilhada, ou uma relação que nenhum dos dois deseja tornar pública. Cinquenta aparelhos captados no mesmo sítio à mesma hora são um ajuntamento: uma manifestação, um ofício religioso, uma reunião sindical ou uma fila à porta de uma clínica.
Nenhuma destas conclusões exige aceder ao conteúdo de uma comunicação. Deduz-se de uma tabela de proximidade, por defeito, sobre toda a população que circula e não sobre alvos designados. É culpa por associação, produzida industrialmente, a montante de qualquer investigação. Tom Bowman, jurista do Center for Democracy & Technology , resume o problema nas páginas do TechNewsWorld : aquilo que torna a ferramenta útil para seguir um verdadeiro suspeito torna-a igualmente capaz de seguir todos os outros automobilistas, nenhum dos quais consentiu que os seus aparelhos fossem registados.
A Leonardo opõe dois argumentos: o sistema não decifra nem lê o conteúdo das comunicações, e não identifica as pessoas por si próprio. Ambas as afirmações são exatas, e ambas estão ao lado da questão. A informação procurada nunca foi o conteúdo, está no metadado de posição, mais revelador do que uma mensagem. Quanto à identificação, o próprio fabricante reconhece que um investigador pode ligar uma assinatura eletrónica a uma matrícula e remontar depois ao titular através dos registos de matrícula.
Um direito norte-americano escrito para outra coisa
Nos Estados Unidos, existem leis estaduais que enquadram os leitores de matrículas, e algumas são exigentes quanto aos prazos de conservação e às finalidades de acesso. Mas todas foram redigidas em torno de um objeto preciso: a imagem de uma chapa de matrícula. Nenhuma antecipa a captação de identificadores de aparelhos pessoais pelo mesmo equipamento.
Este desfasamento não cria uma ilegalidade, mas uma zona cinzenta, mais cómoda para o vendedor. Um serviço de polícia pode sustentar, sem mentir, que o seu programa de leitores de matrículas está autorizado e é conforme, ao mesmo tempo que passa a recolher, ao abrigo do mesmo regime, dados de natureza inteiramente diferente. A Leonardo dispõe além disso de contratos federais, com o Special Operations Command e a General Services Administration, ou seja, uma via de aquisição que contorna em larga medida as aprovações locais.
O debate constitucional, esse, acaba de mexer, e é preciso ser preciso porque o estado do direito mudou este verão. Em janeiro de 2026, um tribunal federal da Virgínia decidiu, no processo Schmidt v. City of Norfolk, que a rede de câmaras Flock da cidade não constituía uma busca na aceção da quarta emenda, por não cobrir a totalidade das deslocações dos habitantes. A decisão está em recurso no Quarto Circuito, onde a ACLU interveio.
Depois, a 29 de junho de 2026, o Supremo Tribunal proferiu o acórdão Chatrie v. United States . Por cinco votos contra quatro, pela pena da juíza Kagan, decidiu que a obtenção pela polícia dos dados de localização de um telemóvel constituía uma busca, mantendo o indivíduo uma expectativa razoável de privacidade sobre esses dados mesmo quando detidos por um terceiro e por um período curto. O acórdão prolonga Carpenter v. United States de 2018 e enfraquece a doutrina do terceiro detentor, como notou o CDT .
O alcance exato de Chatrie sobre o SignalTrace não está decidido, e seria imprudente afirmar o contrário: o acórdão incide sobre dados exigidos à Google, não sobre uma captação direta por um sensor policial no espaço público. Mas instala o raciocínio que conta, ou seja, que a sensibilidade de um dado de localização não depende de quem o detém.
A questão europeia, que é a verdadeira questão
É aqui que o processo se torna incómodo para a Europa. A Leonardo não é um fornecedor norte-americano, mas um grupo italiano cotado em Milão cujo primeiro acionista é o Ministério italiano da Economia e das Finanças, com cerca de 30 % do capital e o poder de designar a maioria do conselho de administração. O Estado italiano não é um acionista passivo deste produto.
O ponto técnico, primeiro
No direito europeu, um identificador de aparelho é um dado pessoal. Não é uma opinião doutrinal, mas a posição constante das autoridades. A CNIL trata explicitamente o endereço MAC como tal na sua doutrina sobre os dispositivos de medição de afluência , e só admite a sua recolha no espaço público em condições estreitas: anonimização em poucos minutos com uma elevada taxa de colisão entre indivíduos, ou pseudonimização fiável seguida de destruição em vinte e quatro horas, sem o que o consentimento se torna obrigatório. A mesma doutrina precisa que convidar as pessoas a desligar o Wi-Fi não é uma modalidade de oposição aceitável.
O Tribunal de Justiça da União Europeia precisou a 4 de setembro de 2025, no processo AEPD contra CUR (C-413/23 P), que o caráter pessoal de um dado pseudonimizado se aprecia à luz dos meios de reidentificação razoavelmente mobilizáveis. Ora, aqui o detentor é uma autoridade policial, que dispõe dos registos de matrícula. Os meios de reidentificação não são hipotéticos, estão no gabinete ao lado.
A nuance que muda tudo
Seria falso escrever que o SignalTrace «seria ilegal na Europa», e um leitor jurista notá-lo-ia de imediato. Um tratamento executado por uma autoridade competente para fins de prevenção e repressão penal não está abrangido pelo RGPD. Está abrangido pela Diretiva (UE) 2016/680 , dita Diretiva Polícia-Justiça, transposta separadamente por cada Estado-Membro, em França no título III da lei de proteção de dados. A CNIL recorda que este regime é autónomo, com as suas próprias bases de licitude e os seus próprios direitos.
A boa pergunta não é, portanto, a da legalidade abstrata, mas a das condições. Sob este regime, tal dispositivo pressuporia uma base legal nacional expressa, finalidades determinadas, uma necessidade demonstrada, um prazo de conservação delimitado, uma avaliação de impacto e um controlo independente. Em França, os leitores de matrículas estão enquadrados assim: os artigos L233-1 e L233-1-1 do código de segurança interna fixam uma lista taxativa de infrações que abrem direito ao seu uso, e a conservação continua a ser das mais curtas da União, quinze dias em princípio, mesmo que um projeto de lei do Senado procure alargá-la.
É essa a diferença de fundo com a situação norte-americana. Nos Estados Unidos, a lei enquadra um objeto, a matrícula, e o silêncio sobre os identificadores de aparelhos vale como permissão. Na Europa, a lei enquadra finalidades e categorias de dados, e esse silêncio vale antes como proibição, na falta de base legal expressa. O vazio constatado do outro lado do Atlântico não existe aqui sob a mesma forma. Não porque a Europa seja mais virtuosa: a sua técnica jurídica é inversa.
Quanto vale então a proteção
Fica a pergunta que dá origem a este artigo. Quanto vale uma proteção regulamentar europeia quando uma empresa europeia, controlada por um Estado-Membro, vende fora da Europa uma capacidade que não poderia instalar em casa sem uma lei nova?
As objeções merecem ser levadas a sério. Um industrial não é responsável pelo quadro legal do seu cliente: cabe às autoridades norte-americanas decidir o que autorizam em casa. O produto não é vendido a uma ditadura, mas a um Estado de direito dotado de um supremo tribunal ativo, como o Chatrie acaba de recordar. E o argumento da soberania industrial é legítimo: se os grupos europeus se proibirem esses mercados, serão ocupados por fornecedores israelitas, norte-americanos ou chineses, sem que a vigilância recue um metro, e a Europa perderá a sua base tecnológica.
Estes argumentos são admissíveis. Não respondem ao problema.
Desde logo porque a União já reconheceu que a exportação de meios de vigilância não é um comércio como os outros. O Regulamento (UE) 2021/821 relativo aos produtos de dupla utilização introduziu no seu artigo 5.º uma cláusula abrangente que visa os produtos de cibervigilância, porque o legislador admitiu que uma ferramenta legal de fabricar pode ser ilegítima no destino. O seu limite é instrutivo: aciona-se perante um risco de repressão interna ou de violações graves dos direitos humanos, categorias pensadas para regimes autoritários. Uma venda a uma polícia municipal norte-americana não cabe aí. A grelha europeia examina a moralidade do cliente, nunca a natureza da capacidade vendida.
Depois porque um produto destes não é um stock que se escoa, mas uma capacidade que se mantém: financia investigação, forma engenheiros, acumula saber-fazer e cria uma base instalada. No dia em que um atentado grave levar um Estado-Membro a exigir essa capacidade, o debate já não incidirá sobre a oportunidade de a construir. Ela existirá, será europeia, será madura, e o seu fornecedor será parcialmente público. O argumento do «apenas seguimos o mercado» torna-se então circular, uma vez que o mercado interno terá sido preparado pela exportação.
Eis quanto vale uma proteção regulamentar neste cenário: protege os europeus contra os usos, não contra a existência dos meios. Resolve a questão de saber quem tem o direito de carregar no botão, e deixa à indústria construí-lo, vendê-lo, melhorá-lo e depois esperar.
O que se pode fazer, sem contar histórias a nós próprios
A primeira resposta invocada é sempre a aleatorização do endereço MAC. Merece um exame honesto, nem promoção nem desdém. É real e funciona.
O Android desde a versão 10 e o iOS desde a versão 14 aleatorizam por defeito o endereço MAC usado em Wi-Fi, com um endereço distinto por rede. Em Bluetooth Low Energy, os aparelhos modernos difundem endereços privados resolúveis, que mudam periodicamente e só podem ser ligados ao aparelho real por um interlocutor que detenha a chave de resolução.
Os seus limites são igualmente reais.
- O emparelhamento reabre a porta. A chave de resolução é transmitida no momento do emparelhamento. Um aparelho já emparelhado, ou explicitamente aprovado, reencontra a identidade estável por detrás do endereço rotativo. O mecanismo foi concebido para isso.
- Muitos objetos não aleatorizam nada. Sensores de pressão dos pneus, cartões RFID, chips de identificação animal, autorrádios e periféricos baratos emitem identificadores fixos. A ficha de produto da Leonardo menciona exatamente estas categorias, o que não é por acaso.
- A aleatorização desativa-se. Corta-se rede a rede, e está-o muitas vezes por comodidade, para uma filtragem MAC num router doméstico ou por política de empresa.
- O grupo sobrevive à rotação dos identificadores. É o ponto menos intuitivo e o mais importante. O SignalTrace não procura um identificador, procura um conjunto de aparelhos que viajam juntos. Se um único membro do grupo emitir um identificador estável, o conjunto continua associável, seja qual for a disciplina dos outros.
A medida mais eficaz continua a ser a mais aborrecida: não emitir. Isso pressupõe desativar o Bluetooth e o Wi-Fi ao nível do sistema, nas definições, e não a partir do painel de atalhos. A distinção não é cosmética, tínhamo-la detalhado no nosso artigo sobre a geolocalização permanente do telemóvel : na maioria dos sistemas de grande consumo, o botão do painel rápido corta o emparelhamento visível mas deixa a pilha de software viva, e as análises de proximidade continuam. Esse artigo descrevia a varredura Bluetooth como um vetor teórico. O SignalTrace é o seu produto comercial, catalogado e pronto a entregar.
É preciso ser honesto quanto ao resultado: estas medidas reduzem a superfície de exposição, não a anulam. Um veículo continua a ser uma matrícula, e uma matrícula continua legível. A única forma de não emitir nada é não transportar nada, o que não é uma política pública.
O que isto diz das nossas opções de conceção
Na Arpokrat, foi este raciocínio que nos levou a tratar o Bluetooth ao nível do Core do ArpokratOS e não ao nível das definições. Um interruptor numa interface é uma preferência de utilizador: uma atualização, uma aplicação de sistema ou um serviço de localização podem contorná-la ou reativá-la, sem que o utilizador o saiba. Uma pilha ausente não se reativa.
Perante uma captação como a do SignalTrace, isto evidentemente não torna um aparelho indetetável, e não o pretendemos: um telemóvel continua numa rede móvel, e os outros objetos de um veículo emitem por sua própria conta. O que isto garante é que um vetor de emissão preciso está ausente por construção em vez de desativado por confiança. É a tese que defendíamos a propósito da 5G e do erro de alvo do direito : a proteção jurídica concentra-se no acesso aos dados quando deveria incidir sobre a própria existência da infraestrutura que os produz. O SignalTrace é a sua ilustração, com a diferença de que esta infraestrutura é construída na Europa.
Conclusão
O mais impressionante neste processo não é a capacidade técnica, que os investigadores descreviam há anos. É o método de implantação.
Não haverá nenhuma nova rede de câmaras a inaugurar, nenhuma deliberação municipal a contestar, nenhum concurso público identificável como uma mudança de natureza. Haverá módulos acrescentados a mastros existentes, ao abrigo de contratos existentes, em programas já autorizados. No dia em que o debate público se abrir, a infraestrutura estará instalada, amortizada e integrada nos procedimentos de investigação. O debate incidirá então sobre as condições de acesso a uma base que existe, nunca sobre a oportunidade de a ter constituído.
É a ordem habitual das coisas em matéria de vigilância, e não é acidental. Resta saber se a Europa considera ter alguma coisa a dizer quando os seus próprios industriais, apoiados pelos seus próprios Estados, constroem esta infraestrutura para outros. O direito europeu organizou cuidadosamente a resposta à questão de saber quem pode consultar estes dados entre nós. Nunca colocou a de saber quem tem o direito de fabricar a máquina.