Proteção de dados on Arpokrat

SignalTrace: a Europa exporta a vigilância que não permite a si própria

Tue, 01 Sep 2026 00:00:00 +0000

Uma berlina cinzenta passa sob um pórtico de autoestrada a 110 km/h. A câmara fixada no mastro lê a matrícula, regista a hora, guarda-a. Nada de novo: este dispositivo existe há vinte anos, instalado às dezenas de milhares tanto na América do Norte como na Europa.

Mas se esse pórtico recebeu o módulo que o grupo italiano Leonardo comercializa desde junho de 2026, acabou de registar outra coisa. O iPhone do condutor. Os auriculares sem fios da passageira. O relógio ligado pousado no tablier. O autorrádio. O porta-chaves ligado no porta-luvas. Os sensores de pressão dos quatro pneus. O cartão de acesso esquecido num casaco. E, se um cão dorme atrás, o seu chip de identificação.

Uma dezena de identificadores, uma matrícula, uma posição, uma hora. Repita em cada pórtico da rede e já não está a seguir um carro: está a seguir pessoas, e sabe com quem se deslocam.

O que o dispositivo faz realmente

O produto chama-se SignalTrace. Vendido pela Leonardo US Cyber and Security Solutions, completa a gama ELSAG, uma das linhas de leitores automáticos de matrículas mais divulgadas no mercado norte-americano. A sua existência foi revelada a 8 de junho de 2026 por Joseph Cox na 404 Media, a partir de uma ficha de produto do fabricante.

O ponto decisivo cabe numa frase: não se trata de câmaras novas. O SignalTrace é um sensor de rádio acrescentado aos leitores de matrículas já instalados. O mastro não muda, a localização não muda, a silhueta do equipamento à beira da estrada não muda. O que muda é aquilo que o equipamento escuta.

O sensor regista os identificadores difundidos em claro pelos protocolos Bluetooth, Wi-Fi e RFID dos aparelhos presentes no veículo. Ponto técnico muitas vezes mal compreendido: nenhum aparelho é pirateado e nenhuma falha é explorada. Um aparelho Bluetooth ou Wi-Fi emite permanentemente tramas de descoberta, porque estes protocolos foram concebidos assim. Os seus auriculares anunciam a sua presença para serem encontrados pelo telemóvel, que por sua vez interroga o ar em redor à procura das redes que conhece. Estas emissões são públicas por construção, e qualquer recetor ao alcance ouve-as.

A Leonardo precisa aliás que o sistema funciona com ou sem leitor de matrículas, incluindo em interiores, e reconhece um veículo cuja matrícula esteja tapada ou retirada.

A adaptação do equipamento existente é a verdadeira questão política. Instalar uma nova rede de câmaras desencadeia uma votação, uma deliberação, por vezes um contencioso. Acrescentar uma placa eletrónica dentro de uma caixa já aprovada não desencadeia nada. A capacidade de vigilância muda de natureza sem debate público, porque materialmente não há nada de novo para ver.

Do veículo à pessoa, e da pessoa ao grupo

Um leitor de matrículas responde a uma pergunta: onde esteve este veículo. O SignalTrace acrescenta duas: quem ia lá dentro, e com quem.

A Leonardo não o esconde, é o argumento de venda. O sistema constitui aquilo a que a documentação chama uma impressão eletrónica, um conjunto de identificadores «frequentemente emitidos em conjunto». O exemplo do fabricante é explícito: numa cidade inteira, um único veículo associará um iPhone 13rev2, um autorrádio Audi, uns auscultadores Bose, um relógio Garmin, um localizador de chaves e a matrícula ABC-1234.

O produto não se limita a seguir veículos. Produz automaticamente um grafo de relações entre pessoas, sem que ninguém tenha tido de formular a mínima suspeita.

É aqui que se dá o salto qualitativo. Ao correlacionar os aparelhos que viajam regularmente juntos, o sistema constrói mecanicamente um grafo social. Dois telemóveis que se encontram todas as manhãs no mesmo carro são uma boleia partilhada, ou uma relação que nenhum dos dois deseja tornar pública. Cinquenta aparelhos captados no mesmo sítio à mesma hora são um ajuntamento: uma manifestação, um ofício religioso, uma reunião sindical ou uma fila à porta de uma clínica.

Nenhuma destas conclusões exige aceder ao conteúdo de uma comunicação. Deduz-se de uma tabela de proximidade, por defeito, sobre toda a população que circula e não sobre alvos designados. É culpa por associação, produzida industrialmente, a montante de qualquer investigação. Tom Bowman, jurista do Center for Democracy & Technology, resume o problema nas páginas do TechNewsWorld: aquilo que torna a ferramenta útil para seguir um verdadeiro suspeito torna-a igualmente capaz de seguir todos os outros automobilistas, nenhum dos quais consentiu que os seus aparelhos fossem registados.

A Leonardo opõe dois argumentos: o sistema não decifra nem lê o conteúdo das comunicações, e não identifica as pessoas por si próprio. Ambas as afirmações são exatas, e ambas estão ao lado da questão. A informação procurada nunca foi o conteúdo, está no metadado de posição, mais revelador do que uma mensagem. Quanto à identificação, o próprio fabricante reconhece que um investigador pode ligar uma assinatura eletrónica a uma matrícula e remontar depois ao titular através dos registos de matrícula.

Um direito norte-americano escrito para outra coisa

Nos Estados Unidos, existem leis estaduais que enquadram os leitores de matrículas, e algumas são exigentes quanto aos prazos de conservação e às finalidades de acesso. Mas todas foram redigidas em torno de um objeto preciso: a imagem de uma chapa de matrícula. Nenhuma antecipa a captação de identificadores de aparelhos pessoais pelo mesmo equipamento.

Este desfasamento não cria uma ilegalidade, mas uma zona cinzenta, mais cómoda para o vendedor. Um serviço de polícia pode sustentar, sem mentir, que o seu programa de leitores de matrículas está autorizado e é conforme, ao mesmo tempo que passa a recolher, ao abrigo do mesmo regime, dados de natureza inteiramente diferente. A Leonardo dispõe além disso de contratos federais, com o Special Operations Command e a General Services Administration, ou seja, uma via de aquisição que contorna em larga medida as aprovações locais.

O debate constitucional, esse, acaba de mexer, e é preciso ser preciso porque o estado do direito mudou este verão. Em janeiro de 2026, um tribunal federal da Virgínia decidiu, no processo Schmidt v. City of Norfolk, que a rede de câmaras Flock da cidade não constituía uma busca na aceção da quarta emenda, por não cobrir a totalidade das deslocações dos habitantes. A decisão está em recurso no Quarto Circuito, onde a ACLU interveio.

Depois, a 29 de junho de 2026, o Supremo Tribunal proferiu o acórdão Chatrie v. United States. Por cinco votos contra quatro, pela pena da juíza Kagan, decidiu que a obtenção pela polícia dos dados de localização de um telemóvel constituía uma busca, mantendo o indivíduo uma expectativa razoável de privacidade sobre esses dados mesmo quando detidos por um terceiro e por um período curto. O acórdão prolonga Carpenter v. United States de 2018 e enfraquece a doutrina do terceiro detentor, como notou o CDT.

O alcance exato de Chatrie sobre o SignalTrace não está decidido, e seria imprudente afirmar o contrário: o acórdão incide sobre dados exigidos à Google, não sobre uma captação direta por um sensor policial no espaço público. Mas instala o raciocínio que conta, ou seja, que a sensibilidade de um dado de localização não depende de quem o detém.

A questão europeia, que é a verdadeira questão

É aqui que o processo se torna incómodo para a Europa. A Leonardo não é um fornecedor norte-americano, mas um grupo italiano cotado em Milão cujo primeiro acionista é o Ministério italiano da Economia e das Finanças, com cerca de 30 % do capital e o poder de designar a maioria do conselho de administração. O Estado italiano não é um acionista passivo deste produto.

O ponto técnico, primeiro

No direito europeu, um identificador de aparelho é um dado pessoal. Não é uma opinião doutrinal, mas a posição constante das autoridades. A CNIL trata explicitamente o endereço MAC como tal na sua doutrina sobre os dispositivos de medição de afluência, e só admite a sua recolha no espaço público em condições estreitas: anonimização em poucos minutos com uma elevada taxa de colisão entre indivíduos, ou pseudonimização fiável seguida de destruição em vinte e quatro horas, sem o que o consentimento se torna obrigatório. A mesma doutrina precisa que convidar as pessoas a desligar o Wi-Fi não é uma modalidade de oposição aceitável.

O Tribunal de Justiça da União Europeia precisou a 4 de setembro de 2025, no processo AEPD contra CUR (C-413/23 P), que o caráter pessoal de um dado pseudonimizado se aprecia à luz dos meios de reidentificação razoavelmente mobilizáveis. Ora, aqui o detentor é uma autoridade policial, que dispõe dos registos de matrícula. Os meios de reidentificação não são hipotéticos, estão no gabinete ao lado.

A nuance que muda tudo

Seria falso escrever que o SignalTrace «seria ilegal na Europa», e um leitor jurista notá-lo-ia de imediato. Um tratamento executado por uma autoridade competente para fins de prevenção e repressão penal não está abrangido pelo RGPD. Está abrangido pela Diretiva (UE) 2016/680, dita Diretiva Polícia-Justiça, transposta separadamente por cada Estado-Membro, em França no título III da lei de proteção de dados. A CNIL recorda que este regime é autónomo, com as suas próprias bases de licitude e os seus próprios direitos.

A boa pergunta não é, portanto, a da legalidade abstrata, mas a das condições. Sob este regime, tal dispositivo pressuporia uma base legal nacional expressa, finalidades determinadas, uma necessidade demonstrada, um prazo de conservação delimitado, uma avaliação de impacto e um controlo independente. Em França, os leitores de matrículas estão enquadrados assim: os artigos L233-1 e L233-1-1 do código de segurança interna fixam uma lista taxativa de infrações que abrem direito ao seu uso, e a conservação continua a ser das mais curtas da União, quinze dias em princípio, mesmo que um projeto de lei do Senado procure alargá-la.

É essa a diferença de fundo com a situação norte-americana. Nos Estados Unidos, a lei enquadra um objeto, a matrícula, e o silêncio sobre os identificadores de aparelhos vale como permissão. Na Europa, a lei enquadra finalidades e categorias de dados, e esse silêncio vale antes como proibição, na falta de base legal expressa. O vazio constatado do outro lado do Atlântico não existe aqui sob a mesma forma. Não porque a Europa seja mais virtuosa: a sua técnica jurídica é inversa.

Quanto vale então a proteção

Fica a pergunta que dá origem a este artigo. Quanto vale uma proteção regulamentar europeia quando uma empresa europeia, controlada por um Estado-Membro, vende fora da Europa uma capacidade que não poderia instalar em casa sem uma lei nova?

As objeções merecem ser levadas a sério. Um industrial não é responsável pelo quadro legal do seu cliente: cabe às autoridades norte-americanas decidir o que autorizam em casa. O produto não é vendido a uma ditadura, mas a um Estado de direito dotado de um supremo tribunal ativo, como o Chatrie acaba de recordar. E o argumento da soberania industrial é legítimo: se os grupos europeus se proibirem esses mercados, serão ocupados por fornecedores israelitas, norte-americanos ou chineses, sem que a vigilância recue um metro, e a Europa perderá a sua base tecnológica.

Estes argumentos são admissíveis. Não respondem ao problema.

Desde logo porque a União já reconheceu que a exportação de meios de vigilância não é um comércio como os outros. O Regulamento (UE) 2021/821 relativo aos produtos de dupla utilização introduziu no seu artigo 5.º uma cláusula abrangente que visa os produtos de cibervigilância, porque o legislador admitiu que uma ferramenta legal de fabricar pode ser ilegítima no destino. O seu limite é instrutivo: aciona-se perante um risco de repressão interna ou de violações graves dos direitos humanos, categorias pensadas para regimes autoritários. Uma venda a uma polícia municipal norte-americana não cabe aí. A grelha europeia examina a moralidade do cliente, nunca a natureza da capacidade vendida.

Depois porque um produto destes não é um stock que se escoa, mas uma capacidade que se mantém: financia investigação, forma engenheiros, acumula saber-fazer e cria uma base instalada. No dia em que um atentado grave levar um Estado-Membro a exigir essa capacidade, o debate já não incidirá sobre a oportunidade de a construir. Ela existirá, será europeia, será madura, e o seu fornecedor será parcialmente público. O argumento do «apenas seguimos o mercado» torna-se então circular, uma vez que o mercado interno terá sido preparado pela exportação.

Eis quanto vale uma proteção regulamentar neste cenário: protege os europeus contra os usos, não contra a existência dos meios. Resolve a questão de saber quem tem o direito de carregar no botão, e deixa à indústria construí-lo, vendê-lo, melhorá-lo e depois esperar.

O que se pode fazer, sem contar histórias a nós próprios

A primeira resposta invocada é sempre a aleatorização do endereço MAC. Merece um exame honesto, nem promoção nem desdém. É real e funciona.

O Android desde a versão 10 e o iOS desde a versão 14 aleatorizam por defeito o endereço MAC usado em Wi-Fi, com um endereço distinto por rede. Em Bluetooth Low Energy, os aparelhos modernos difundem endereços privados resolúveis, que mudam periodicamente e só podem ser ligados ao aparelho real por um interlocutor que detenha a chave de resolução.

Os seus limites são igualmente reais.

O emparelhamento reabre a porta. A chave de resolução é transmitida no momento do emparelhamento. Um aparelho já emparelhado, ou explicitamente aprovado, reencontra a identidade estável por detrás do endereço rotativo. O mecanismo foi concebido para isso.
Muitos objetos não aleatorizam nada. Sensores de pressão dos pneus, cartões RFID, chips de identificação animal, autorrádios e periféricos baratos emitem identificadores fixos. A ficha de produto da Leonardo menciona exatamente estas categorias, o que não é por acaso.
A aleatorização desativa-se. Corta-se rede a rede, e está-o muitas vezes por comodidade, para uma filtragem MAC num router doméstico ou por política de empresa.
O grupo sobrevive à rotação dos identificadores. É o ponto menos intuitivo e o mais importante. O SignalTrace não procura um identificador, procura um conjunto de aparelhos que viajam juntos. Se um único membro do grupo emitir um identificador estável, o conjunto continua associável, seja qual for a disciplina dos outros.

A medida mais eficaz continua a ser a mais aborrecida: não emitir. Isso pressupõe desativar o Bluetooth e o Wi-Fi ao nível do sistema, nas definições, e não a partir do painel de atalhos. A distinção não é cosmética, tínhamo-la detalhado no nosso artigo sobre a geolocalização permanente do telemóvel: na maioria dos sistemas de grande consumo, o botão do painel rápido corta o emparelhamento visível mas deixa a pilha de software viva, e as análises de proximidade continuam. Esse artigo descrevia a varredura Bluetooth como um vetor teórico. O SignalTrace é o seu produto comercial, catalogado e pronto a entregar.

É preciso ser honesto quanto ao resultado: estas medidas reduzem a superfície de exposição, não a anulam. Um veículo continua a ser uma matrícula, e uma matrícula continua legível. A única forma de não emitir nada é não transportar nada, o que não é uma política pública.

O que isto diz das nossas opções de conceção

Na Arpokrat, foi este raciocínio que nos levou a tratar o Bluetooth ao nível do Core do ArpokratOS e não ao nível das definições. Um interruptor numa interface é uma preferência de utilizador: uma atualização, uma aplicação de sistema ou um serviço de localização podem contorná-la ou reativá-la, sem que o utilizador o saiba. Uma pilha ausente não se reativa.

Perante uma captação como a do SignalTrace, isto evidentemente não torna um aparelho indetetável, e não o pretendemos: um telemóvel continua numa rede móvel, e os outros objetos de um veículo emitem por sua própria conta. O que isto garante é que um vetor de emissão preciso está ausente por construção em vez de desativado por confiança. É a tese que defendíamos a propósito da 5G e do erro de alvo do direito: a proteção jurídica concentra-se no acesso aos dados quando deveria incidir sobre a própria existência da infraestrutura que os produz. O SignalTrace é a sua ilustração, com a diferença de que esta infraestrutura é construída na Europa.

Conclusão

O mais impressionante neste processo não é a capacidade técnica, que os investigadores descreviam há anos. É o método de implantação.

Não haverá nenhuma nova rede de câmaras a inaugurar, nenhuma deliberação municipal a contestar, nenhum concurso público identificável como uma mudança de natureza. Haverá módulos acrescentados a mastros existentes, ao abrigo de contratos existentes, em programas já autorizados. No dia em que o debate público se abrir, a infraestrutura estará instalada, amortizada e integrada nos procedimentos de investigação. O debate incidirá então sobre as condições de acesso a uma base que existe, nunca sobre a oportunidade de a ter constituído.

É a ordem habitual das coisas em matéria de vigilância, e não é acidental. Resta saber se a Europa considera ter alguma coisa a dizer quando os seus próprios industriais, apoiados pelos seus próprios Estados, constroem esta infraestrutura para outros. O direito europeu organizou cuidadosamente a resposta à questão de saber quem pode consultar estes dados entre nós. Nunca colocou a de saber quem tem o direito de fabricar a máquina.

O 5G, a localização e o erro de alvo do direito

Tue, 18 Aug 2026 00:00:00 +0000

Em 2011, a polícia de Detroit pediu a um operador móvel o histórico de ligação às antenas do telemóvel de Timothy Carpenter. Obteve 12 898 pontos de localização repartidos por 127 dias, cerca de cem por dia. Sete anos depois, o Supremo Tribunal dos Estados Unidos decidiu que esse pedido constituía uma busca e exigia um mandado.

Esses 12 898 pontos provinham de antenas de quarta geração, cada uma cobrindo um raio de vários quilómetros. O mesmo pedido, dirigido hoje a uma rede 5G urbana, não devolveria cem pontos por dia com uma margem de alguns quilómetros. Devolveria um volume muito superior, com uma margem de algumas dezenas de metros.

A tecnologia mudou de escala. O raciocínio jurídico ficou no mesmo ponto da cadeia.

Um bem jurídico que os juízes reconhecem dos dois lados do Atlântico

Existe um interesse que quase toda a gente admite e que quase nenhum texto protege eficazmente: o direito de estar em algum lugar sem que esse facto seja registado.

A jurisprudência europeia estabeleceu-o sem ambiguidade. No acórdão Digital Rights Ireland (processos apensos C-293/12 e C-594/12, 8 de abril de 2014) e depois em Tele2 Sverige e Watson (processos apensos C-203/15 e C-698/15, Grande Secção, 21 de dezembro de 2016), o Tribunal de Justiça da União Europeia declarou que esses dados, tomados no seu conjunto, permitem extrair conclusões muito precisas sobre a vida privada das pessoas: hábitos da vida quotidiana, locais de permanência, deslocações, atividades exercidas e relações sociais.

O Supremo Tribunal dos Estados Unidos chegou a uma conclusão próxima em Carpenter v. United States, 585 U.S. 296 (2018). Insistiu num ponto que a doutrina americana muito comentou: o carácter inelutável e automático dessa recolha. Ninguém consente em ficar ligado a uma antena: está-o porque tem um telemóvel ligado.

O bem jurídico existe, portanto, e é reconhecido pelos dois tribunais que contam nesta matéria. O problema está noutro lado.

O que o 5G mudou realmente

Uma confusão corrente consiste em tratar a localização como um dado que o telemóvel transmite, tal como uma mensagem ou uma fotografia. Não é o caso. A localização é uma consequência física do funcionamento da rede. O operador sabe a que antena o aparelho está ligado porque precisa de o saber para encaminhar uma chamada. Não existe nenhuma chave que permita cifrar essa informação, uma vez que não se trata de um conteúdo mas de uma propriedade da própria ligação.

É precisamente isso que torna o 5G significativo no plano jurídico, e não no plano técnico.

As arquiteturas anteriores assentavam em células largas. Uma antena 4G serve correntemente um raio de vários quilómetros, e a posição deduzida apenas da ligação contava-se em centenas de metros na cidade, por vezes em dezenas de quilómetros em zona rural. O 5G assenta numa densificação massiva: as células urbanas cobrem tipicamente algumas centenas de metros, e a literatura de engenharia trabalha com densidades da ordem de quarenta a cinquenta estações de base por quilómetro quadrado, contra quatro ou cinco na época do 3G.

A consequência é mecânica. Segundo o livro branco da Ericsson sobre o posicionamento 5G, a infraestrutura instalada apenas para a conectividade atinge uma precisão de vinte a cinquenta metros no exterior e de um a três metros no interior, descendo abaixo do metro em condições urbanas favoráveis. Não se trata de uma função de localização ativada algures, mas do que a rede sabe por construção, sem que nenhuma aplicação esteja instalada nem nenhuma permissão concedida. Detalhámos todos estes mecanismos, bem como as contramedidas que funcionam realmente, no nosso artigo sobre a geolocalização permanente do telemóvel.

A intrusão aumentou, portanto, várias ordens de grandeza. O quadro jurídico aplicável continua a ser o que foi pensado para o 2G e o 3G. Nenhuma adaptação normativa acompanhou essa mudança de escala.

O direito protege o acesso, não a geração

O direito europeu regula cuidadosamente quem pode aceder aos dados de localização, em que condições e sob que controlo. A Diretiva 2002/58/CE estabelece o princípio da confidencialidade das comunicações, e o Tribunal de Justiça decidiu, em La Quadrature du Net (processos apensos C-511/18, C-512/18 e C-520/18, Grande Secção, 6 de outubro de 2020), que o artigo 15.º, n.º 1, dessa diretiva, lido à luz dos artigos 7.º, 8.º, 11.º e 52.º, n.º 1, da Carta, se opõe a uma conservação generalizada e indiferenciada dos dados de tráfego e de localização a título preventivo. O Tribunal admitiu, contudo, derrogações enquadradas quando um Estado-Membro enfrenta uma ameaça grave para a segurança nacional que se revele real e atual ou previsível, sob reserva de um controlo efetivo.

São proteções reais, e seria absurdo desvalorizá-las. Mas todas intervêm a posteriori. Pressupõem que o dado existe, que é conservado, e organizam depois as condições da sua exploração.

Ora, se a localização é um subproduto inevitável do funcionamento da rede, o ponto de intervenção pertinente não é a confidencialidade. É a persistência.

Uma posição instantânea, necessária ao encaminhamento de uma comunicação e apagada logo a seguir, não é um instrumento de vigilância. Um histórico de posições conservado durante meses é-o, quaisquer que sejam as garantias de acesso que o rodeiem.

A diferença entre as duas não é jurídica, é arquitetural. E o calendário europeu torna a questão urgente em vez de teórica. A Comissão retirou a proposta de regulamento ePrivacy em 2025, por falta de acordo entre colegisladores. Desde então trabalha num instrumento distinto sobre a conservação de dados para fins penais, anunciado para 2026 e destinado a harmonizar regimes nacionais que se tornaram díspares desde a anulação da diretiva de 2006. Por outras palavras, o texto que fixará durante uma década o regime dos metadados de localização está a ser escrito neste momento, com base num raciocínio concebido na época das células quilométricas.

O precedente que o próprio 5G criou

O aspeto mais interessante do dossiê é que a boa resposta já consta da norma técnica, mas aplicada a outro objeto.

Até ao 4G, o identificador permanente do assinante, o IMSI, circulava em claro na interface rádio durante a ligação. Foi isso que tornou possíveis os IMSI catchers, essas falsas estações de base que, segundo a descrição de referência da Electronic Frontier Foundation, emitem com mais potência do que as antenas legítimas para atrair os terminais e captar o seu identificador.

Desde a Release 15 das especificações 3GPP, publicada em 2019, o 5G traz uma resposta elegante. O identificador permanente, agora chamado SUPI, pode ser substituído na interface rádio pelo SUCI, um identificador dissimulado obtido cifrando a parte própria do assinante através de criptografia de curvas elípticas, com a chave pública do operador de origem. Só a rede de origem, que detém a chave privada correspondente, o pode decifrar. O resultado é único em cada cálculo, o que impede a correlação de uma sessão para a outra.

A lógica adotada merece ser sublinhada, porque é exatamente a que deveria guiar o legislador: não se cifra a posição, o que seria tecnicamente impossível, cifra-se a identidade. Uma posição desprovida de identidade atribuível tem um valor muito limitado para fins de vigilância individualizada.

A falha: uma proteção facultativa

Existe contudo uma reserva considerável, e é a nosso ver o ponto de intervenção mais concreto de todo o dossiê.

O livro branco NIST CSWP 36A, publicado em março de 2026 pelo National Institute of Standards and Technology, enuncia-o sem rodeios. Os terminais e as funções de rede conformes com a Release 15 ou posterior são obrigados a suportar o SUCI, mas a sua ativação continua a ser facultativa para o operador. Três condições devem estar reunidas: o fabricante do equipamento tem de o suportar, o operador tem de o ativar na sua rede, e o cartão SIM tem de conter os elementos necessários ao cálculo.

A isso acresce uma armadilha de configuração. A norma prevê um esquema de proteção nulo, no qual o formato SUCI é formalmente utilizado mas sem cifragem efetiva, de tal modo que o identificador circula em claro. O NIST escreve que é necessário que o operador configure a sua rede com um esquema de proteção não nulo, e recorda que um relatório do CSRIC, o órgão consultivo da Federal Communications Commission, recomendava já em 2021 reservar o esquema nulo apenas às chamadas de emergência efetuadas por um terminal desconhecido da rede.

A formulação merece ficar tal como está. A melhor proteção disponível contra o rastreio dos terminais móveis existe na norma técnica desde 2019. Assenta numa escolha de configuração deixada ao critério do operador. Uma agência federal americana julga útil publicar um documento em 2026 para lembrar que seria preciso ativá-la. E nenhum instrumento jurídico europeu a impõe.

Há que acrescentar que o SUCI não encerra o assunto. Os trabalhos apresentados sob o título 5G SUCI-catchers: still catching them all? documentam ataques de ligação que permitem recorrelacionar sessões apesar da cifragem, e a proteção cai por completo se o atacante forçar o terminal a passar para uma geração anterior. Uma obrigação jurídica não resolveria, portanto, tudo. Suprimiria contudo um desvio sem qualquer justificação defensável: o que separa o que a norma permite daquilo que as redes comerciais fazem.

Três intervenções coerentes

Se levarmos a sério a ideia de que a localização deve ser minimizada desde a conceção em vez de protegida a posteriori, três medidas impõem-se logicamente.

Tornar obrigatória a dissimulação efetiva do identificador. Impor a ativação do SUCI e proibir os esquemas de proteção nulos nas redes comerciais, salvo o caso residual das chamadas de emergência. Não se trata de prescrever uma tecnologia nova, nem de financiar uma implantação, mas de exigir a ativação de uma função normalizada há sete anos e já presente nos equipamentos.
Tratar a conservação como a exceção, não como a regra por defeito. A posição necessária ao encaminhamento de uma comunicação deveria ser apagada logo que essa função esteja cumprida. A constituição de um histórico deveria exigir uma justificação específica. É a diferença entre uma rede que sabe onde está e uma rede que se lembra de onde esteve.
Fazer da guarda da chave o fator de conexão pertinente. A localização dos servidores na União não significa grande coisa se as chaves que permitem tornar os dados inteligíveis se encontrarem noutro lugar. O critério juridicamente significativo deveria ser o domínio efetivo dos meios de decifragem, questão que examinámos em detalhe a propósito do conflito entre o Data Act e o CLOUD Act.

O ângulo que a Arpokrat segue

Este raciocínio não é próprio do direito das telecomunicações. É o que aplicamos às nossas próprias escolhas de arquitetura, e cabe numa frase: o que não foi produzido não precisa de ser protegido.

É por isso que o ArpokratOS retira o GPS, o Bluetooth e o NFC ao nível do núcleo em vez de os desativar num menu. Um interruptor é uma política: pode ser contornado por um componente privilegiado, reativado por uma atualização, ignorado por um sistema comprometido. Retirar o caminho de código suprime a questão. É a transposição, à escala de um aparelho, do mesmo deslocamento que defendemos à escala do direito: intervir sobre a geração em vez de sobre o acesso.

Há que dizer desde já o que isso não faz. Nenhum sistema operativo subtrai um terminal à geometria da rede. Enquanto um cartão SIM estiver ativo, o operador conhece a célula de ligação, e encaminhar todo o tráfego pelo Tor não muda nada, uma vez que protege o conteúdo e o destino, não a camada rádio. É justamente por isso que o assunto é jurídico. Existe uma categoria de riscos que nenhuma configuração individual reduz, e para a qual a única variável disponível é a regra aplicável ao operador.

A mesma preocupação governa o resto do nosso trabalho. Um dado que não existe não pode ser requisitado, nem revendido, nem exfiltrado, nem decifrado daqui a dez anos por uma máquina de que hoje ninguém dispõe, questão que tratámos pelo ângulo da cifragem colhida agora e quebrada mais tarde.

Conclusão

O debate público sobre a vigilância móvel concentra-se quase exclusivamente no acesso: quem pode consultar os dados, com que fundamento, com que autorização. Esse debate é legítimo, e as decisões proferidas desde 2014 pelo Tribunal de Justiça produziram efeitos tangíveis. Mas intervém demasiado tarde na cadeia.

A questão anterior, e mais determinante, é saber se o histórico deve existir. Uma base constituída hoje por um motivo legítimo permanece disponível amanhã para outro, e as garantias que a rodeiam dependem de decisões políticas posteriores que ninguém domina no momento da recolha. É uma aposta na estabilidade das instituições, formulada por uma duração que ninguém fixa.

O 5G multiplicou a resolução desta informação sem que nenhuma adaptação normativa tenha ocorrido. Demonstrou simultaneamente, pelo mecanismo do SUCI, que a via praticável consiste em dissociar a posição da identidade em vez de tentar cifrar uma propriedade física da rede. A norma técnica forneceu a resposta sete anos antes de o direito colocar a pergunta.

O texto europeu sobre a conservação de dados está a ser escrito agora. Incidirá sobre os metadados, logo sobre a localização, logo sobre o que o 5G produz hoje com uma finura que os seus redatores não conheceram. Saber se se limitará a organizar o acesso a um histórico tido como adquirido, ou se ousará interrogar a necessidade desse histórico, é provavelmente a questão de privacidade mais importante dos próximos anos na Europa. E é uma questão que o setor técnico, por uma vez, já decidiu no bom sentido.

Fontes

Tribunal de Justiça da União Europeia, Digital Rights Ireland, processos apensos C-293/12 e C-594/12, 8 de abril de 2014
Tribunal de Justiça da União Europeia, Tele2 Sverige e Watson, processos apensos C-203/15 e C-698/15, Grande Secção, 21 de dezembro de 2016
Tribunal de Justiça da União Europeia, La Quadrature du Net e o., processos apensos C-511/18, C-512/18 e C-520/18, Grande Secção, 6 de outubro de 2020
Supreme Court of the United States, Carpenter v. United States, 585 U.S. 296, 2018
National Institute of Standards and Technology, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI), NIST CSWP 36A, março de 2026
Ericsson, 5G positioning: Locating devices anywhere
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
Electronic Frontier Foundation, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online, Data Retention: Commission to present proposal by mid-2026

Data Act vs CLOUD Act: quem controla realmente os seus dados na cloud?

Fri, 19 Jun 2026 00:00:00 +0000

Durante anos, o mundo funcionou com base numa hipótese simples: os dados têm um local de residência físico. Se estivessem num servidor em Dublin, estavam sujeitos ao direito irlandês e europeu. Esta hipótese ruiu em 2018, quando os Estados Unidos adotaram o CLOUD Act, uma lei que confere às autoridades americanas acesso aos dados controlados por empresas americanas, independentemente do local onde esses dados estejam fisicamente armazenados no mundo. Vários anos depois, Bruxelas respondeu com o seu próprio mecanismo de proteção: o Data Act, agora plenamente aplicável, que tenta limitar o acesso extraterritorial de autoridades de países terceiros aos dados detidos na União Europeia.

Eis o que estes dois textos preveem na realidade, onde entram em colisão, e por que razão a única proteção verdadeiramente robusta face a este conflito continua a ser a impossibilidade técnica de acesso.

O CLOUD Act americano: um acesso baseado no controlo, não na localização

O CLOUD Act (Clarifying Lawful Overseas Use of Data Act), adotado em março de 2018, alterou o direito americano ao introduzir o artigo 18 U.S. Code § 2713. Este texto impõe a qualquer prestador de serviços de comunicação eletrónica ou de computação remota que preserve, salvaguarde ou divulgue o conteúdo de uma comunicação ou qualquer registo a ela relacionado, desde que esses dados estejam na sua posse, à sua guarda ou sob o seu controlo, independentemente de esses dados se encontrarem dentro ou fora dos Estados Unidos.

É precisamente esta última cláusula que muda tudo. O critério adotado já não é a localização física do servidor, mas o controlo exercido pela empresa-mãe sobre as suas filiais. Uma empresa americana que opera centros de dados na Europa permanece, portanto, sujeita a requisições americanas, mesmo para dados armazenados integralmente em solo europeu.

O Data Act europeu: uma barreira jurídica ao acesso extraterritorial

O Regulamento (UE) 2023/2854, designado Data Act, entrou em vigor a 11 de janeiro de 2024 e aplica-se plenamente desde 12 de setembro de 2025, com algumas disposições escalonadas até 2026 e 2027. O seu artigo 32.º regula diretamente a questão do acesso governamental internacional aos dados.

O texto estabelece uma regra clara: qualquer decisão ou sentença de um tribunal ou autoridade administrativa de um país terceiro que exija a um prestador de serviços de tratamento de dados que transfira ou dê acesso a dados não pessoais detidos na União Europeia só é reconhecida e executória se se basear num acordo internacional, como um tratado de auxílio judiciário mútuo (AJM), em vigor entre o país requerente e a União, ou entre esse país e o Estado-Membro em causa.

Na ausência de tal acordo, o artigo 32.º prevê uma segunda via, mas estritamente enquadrada: a decisão estrangeira só pode ser executada se o sistema jurídico do país terceiro exigir que o pedido seja fundamentado, proporcionado e suficientemente específico — por exemplo, estabelecendo uma ligação clara com pessoas ou infrações precisas — e se a objeção fundamentada do destinatário puder ser submetida ao controlo de um tribunal competente desse país terceiro.

Uma colisão jurídica direta

O problema é imediato: o CLOUD Act exige uma divulgação baseada no controlo exercido pela empresa-mãe, sem uma condição de proporcionalidade comparável à exigida pelo direito europeu. O Data Act, pelo contrário, subordina o reconhecimento de tal pedido à existência de um acordo internacional ou a garantias processuais precisas. Uma empresa americana que opera na Europa, intimada por uma autoridade americana a transmitir dados alojados na União, fica assim presa entre duas obrigações legais contraditórias: conformar-se com o mandato americano violando o direito da União, ou respeitar o Data Act expondo-se às consequências de uma recusa nos Estados Unidos.

Esta tensão não é teórica. Já foi documentada pelo Tribunal de Justiça da União Europeia (TJUE) em duas decisões maiores, Schrems I (2015) e Schrems II (2020). No acórdão Schrems II, o TJUE considerou que a vigilância americana conduzida ao abrigo da Secção 702 do FISA (Foreign Intelligence Surveillance Act) e da Executive Order 12333 não respeita as garantias mínimas exigidas pelo direito da União ao abrigo do princípio da proporcionalidade, e não pode, portanto, ser considerada como limitada ao estritamente necessário. O Tribunal assinalou igualmente a ausência de uma via de recurso jurisdicional efetiva para as pessoas em causa na União, em violação do artigo 47.º da Carta dos Direitos Fundamentais. Esta decisão invalidou o quadro do Privacy Shield, que até então organizava as transferências de dados entre a UE e os Estados Unidos.

O risco estrutural: Harvest Now, Decrypt Later

Para além do conflito de jurisdições, uma ameaça mais insidiosa pesa sobre os dados alojados em infraestruturas sujeitas ao direito americano: a estratégia denominada Harvest Now, Decrypt Later (HNDL). O princípio consiste, para um serviço de informações ou um ator estatal hostil, em intercetar e armazenar hoje dados cifrados, aguardando capacidades de computação quântica suficientes para os decifrar no futuro.

Esta estratégia transforma qualquer dependência prolongada de uma infraestrutura cloud americana numa dívida de segurança diferida: o que é confidencial hoje pode tornar-se legível daqui a dez ou quinze anos, sem que seja necessária qualquer ação adicional por parte do atacante — apenas tempo e paciência.

Por que razão apenas a impossibilidade técnica constitui uma verdadeira garantia

A análise jurídica converge para uma conclusão partilhada por muitos especialistas em conformidade: por mais sólido que seja o quadro legal do Data Act, permanece um texto que as relações de força geopolíticas e as pressões diplomáticas podem contornar, atrasar ou reinterpretar. A única proteção que não depende de nenhuma negociação futura é a impossibilidade técnica de execução.

Uma arquitetura zero knowledge, em que o prestador não detém nem a posse nem a guarda das chaves de decifração, torna uma requisição materialmente inoperante. Não se pode ser obrigado a entregar o que nunca se possuiu.

É esta a lógica que estrutura ecossistemas como o Arpokrat:

Neutralização jurisdicional: a infraestrutura está alojada na Suíça, ao abrigo da lei federal sobre proteção de dados (LPD/FADP), fora do âmbito de aplicação direta da extraterritorialidade do CLOUD Act
Ausência de guarda: a arquitetura zero knowledge priva o prestador de qualquer capacidade para entregar chaves ou conteúdos que nunca detém
Redução da pegada identitária: ao suprimir a obrigação de registo por número de telefone ou endereço de e-mail — identificadores que a vigilância baseada na Secção 702 do FISA pode rastrear facilmente — o utilizador deixa de ser um assinante identificável para se tornar uma chave criptográfica anónima

A cadeia de custódia não termina na cifragem das mensagens

Um ponto frequentemente subestimado nas análises de conformidade: não basta cifrar o conteúdo de uma comunicação se o sistema operativo subjacente — seja Android ou iOS — continua a capturar metadados ou telemetria ao nível do kernel, com destino a servidores sujeitos à jurisdição americana. A proteção do segredo exige um encerramento completo da cadeia de custódia, do conteúdo até à própria infraestrutura de hardware.

É por esta razão que a soberania digital implica também uma reflexão sobre o sistema operativo utilizado, e não apenas sobre as aplicações de mensagens. Sistemas operativos desgoogalizados, onde módulos como o Bluetooth ou a geolocalização GNSS podem ser desativados diretamente ao nível do kernel, eliminam vetores de ataque físicos que nenhuma cifragem aplicativa consegue compensar.

A criptografia pós-quântica, um horizonte já em curso

Face à ameaça representada pela estratégia HNDL, a adoção de standards de criptografia pós-quântica (PQC) torna-se uma necessidade para quem pretenda garantir a confidencialidade de dados sensíveis a longo prazo — sejam segredos comerciais, correspondência profissional ou dados de saúde. Uma cifragem considerada robusta hoje segundo os standards clássicos não garante que resistirá às capacidades de computação quântica esperadas nos próximos quinze anos.

O conflito entre o Data Act e o CLOUD Act ilustra uma realidade mais ampla: a soberania digital já não pode ser construída exclusivamente sobre textos legislativos, por mais sólidos que sejam. Exige um encerramento da cadeia de custódia a cada nível — do protocolo de cifragem até à jurisdição de alojamento, passando pelo próprio sistema operativo. É esta abordagem por camadas, em vez de uma confiança assente num único quadro regulatório, que define hoje uma verdadeira soberania digital por conceção.

O fim da privacidade? Backdoors, Online Safety Act e a resposta dos ecossistemas soberanos

Wed, 10 Jun 2026 00:00:00 +0000

Londres tornou-se o epicentro de uma batalha global pelo futuro da privacidade digital. Com a adoção do Online Safety Act 2023 (OSA) e as recentes propostas de revisão do Investigatory Powers Act (IPA) — apelidado pelos seus detratores de “Carta dos Espiões” —, o governo britânico arroga-se o direito de impor obrigações de vigilância no coração mesmo das comunicações privadas. O ponto de rutura é o poder conferido ao regulador OFCOM para exigir que as plataformas implantem uma “tecnologia acreditada” para detetar conteúdos de abuso sexual infantil (CSEA) ou terrorismo, incluindo dentro de comunicações criptografadas de ponta a ponta.

Para as grandes plataformas digitais, a mensagem de Westminster é inequívoca: ou facilitam o acesso estatal às suas infraestruturas, ou expõem-se a multas que podem atingir 10% do seu volume de negócios mundial. A resposta foi imediata: serviços como o Signal e o WhatsApp ameaçaram publicamente retirar-se do mercado britânico, recusando-se a comprometer a segurança dos seus utilizadores para satisfazer uma única jurisdição. O argumento técnico é dificilmente contestável: não existe uma chave-mestra reservada apenas aos atores legítimos. Uma porta aberta para as forças da ordem é, por desenho, uma porta aberta para os cibercriminosos e para os serviços de inteligência estrangeiros.

O modelo económico das grandes plataformas: um obstáculo estrutural ao Zero-Knowledge

A resistência das grandes plataformas à adoção da criptografia do tipo Zero-Knowledge não se explica por uma incapacidade técnica, mas sim por uma incompatibilidade económica fundamental. Empresas como a Alphabet e a Meta baseiam-se em modelos de monetização fundados na recolha sistemática de dados comportamentais. Este modelo é, de resto, implicitamente reconhecido pelo Regulamento dos Mercados Digitais (DMA) da União Europeia, que qualifica estes “guardiões de acesso” (gatekeepers) como entidades cuja posição dominante é precisamente alimentada pela acumulação de dados a uma escala sem equivalente. Para estes atores, adotar uma arquitetura Zero-Knowledge equivaleria a privar os seus sistemas publicitários da identificação contínua dos utilizadores que constitui o seu combustível. Não se trata, portanto, de uma escolha técnica, mas de um compromisso entre la privacidade dos utilizadores e a viabilidade do seu modelo de negócio.

O risco estratégico: a ameaça “Harvest Now, Decrypt Later”

Para lá do debate sobre a privacidade, o enfraquecimento da criptografia levanta uma questão de segurança nacional de um alcance totalmente diferente. A estratégia conhecida como Harvest Now, Decrypt Later (HNDL) consiste, para os adversários estatais, em intercetar e armazenar hoje volumes massivos de comunicações criptografadas, na expectativa de futuras capacidades de decifração quântica. Ao fragilizar os padrões de criptografia atuais, o quadro legislativo britânico facilita objetivamente este tipo de operações contra comunicações governamentais, diplomáticas ou industriais.

É precisamente neste contexto de défice de confiança que ecossistemas como o da Arpokrat adquirem relevância operacional. Ao operar sob o regime da Lei Federal sobre a Proteção de Dados (LPD/FADP) suíça, com uma arquitetura que não recolhe quaisquer identificadores civis, a Arpokrat oferece uma rutura técnica com as infraestruturas sujeitas à jurisdição britânica — garantindo que o sistema permaneça inaudível face às injunções previstas pelo OSA.

O conflito de normas: OSA e IPA contra o direito europeu

A análise jurídica das novas prerrogativas estatais britânicas revela uma colisão direta com os fundamentos do direito europeu relativo à proteção de dados e à confidencialidade des comunicações.

OSA contra a proibição de vigilância generalizada

O artigo 121 do OSA introduz a possibilidade de o OFCOM emitir injunções que obrigam as plataformas a implementar uma verificação do lado do cliente (client-side scanning). Esta medida contravém frontalmente o princípio, derivado do direito europeu e integrado na jurisprudência do TJUE, que proíbe as obrigações gerais de vigilância. Ao impor uma “vulnerabilidade por design”, coloca igualmente as empresas numa situação de duplo vínculo: ao enfraquecerem a sua segurança para se conformarem com um mandato estatal, faltam à sua obrigação de garantir um nível de segurança adequado ao tratamento, consagrado pelo artigo 32 do RGPD.

A Diretiva ePrivacy e a confidencialidade das comunicações

A verificação das mensagens privadas entra em contradição direta com o artigo 5.º, parágrafo 1, da Diretiva 2002/58/CE (ePrivacy), que obriga os Estados-Membros a garantir a confidencialidade das comunicações eletrónicas e proíbe qualquer forma de interceção ou vigilância sem o consentimento explícito dos utilizadores envolvidos.

Os Technical Capability Notices e o bloqueio de atualizações de segurança

Sob o regime do IPA 2016, o governo britânico pretende agora utilizar os Technical Capability Notices (TCN) para se opor a atualizações de segurança antes da sua implementação. Este mecanismo cria um conflito insolúvel com a obrigação, estabelecida pelo artigo 32 do RGPD, de assegurar continuamente a segurança dos sistemas de tratamento — uma obrigação que exige precisamente a capacidade de aplicar correções (patches) sem atraso nem interferência externa.

Riscos de conformidade para as empresas que operam na Europa

As revisões do IPA visam obrigar as empresas a notificar o governo britânico de qualquer modificação técnica que afete a segurança, antes da sua implementação, conferindo-lhe assim um direito de veto sobre a evolução dos produtos. Esta ingerência cria uma insegurança jurídica considerável para os fornecedores que operam no mercado europeu: a adequação britânica ao direito europeu — já frágil — poderia ser posta em causa se o Reino Unido deixar de garantir uma proteção substancialmente equivalente à do RGPD. As transferências de dados para o Reino Unido sob este novo quadro seriam, portanto, suscetíveis de expor as empresas a sanções ao abrigo do RGPD.

A defesa pela impossibilidade técnica: o princípio Zero-Knowledge como escudo jurídico

A jurisprudência internacional, consolidada pelos acórdãos Schrems I and Schrems II do TJUE, estabeleceu um princípio determinante: a única salvaguarda robusta contra uma vigilância desproporcionada é a impossibilidade técnica de aceder aos dados. As arquiteturas Zero-Knowledge aplicam este princípio em três camadas de proteção:

Ausência de custódia: não detendo a plataforma as chaves de decifração, qualquer injunção de verificação das mensagens é tecnicamente inoperante;
Soberania do sistema operativo: o controlo do ArpokratOS elimina a telemetria que alimenta a recolha de informações ao nível do dispositivo;
Ancoragem jurisdicional suíça: ao alojar a sua infraestrutura na Suíça, a Arpokrat opera sob um regime legal que exige pedidos de assistência judiciária mútuo individualizados e fundamentados, neutralizando a execução automatizada das verificações em massa previstas pelo OSA.

Conclusão

As disposições do OSA e as revisões do IPA não constituem apenas uma ameaça para a privacidade dos indivíduos: representam uma quebra da segurança jurídica para todos os dados europeus que transitam por infraestruturas sujeitas à jurisdição britânica. Ao legitimarem o enfraquecimento da criptografia em nome da segurança pública, Londres expõe paradoxalmente os seus aliados e parceiros comerciais a riscos de espionagem industrial e estatal que as arquiteturas Zero-Knowledge são desenhadas precisamente para prevenir.

A integridade das comunicações profissionais e institucionais exige agora uma resposta estrutural: a migração para ecossistemas descentralizados que garantam a soberania digital, desde o nível do código até à ancoragem jurisdicional.

A Bomba-Relógio: Colete agora, descriptografe depois e o Imperativo Zero-Knowledge

Tue, 26 May 2026 00:00:00 +0000

A dependência dos governos europeus da infraestrutura em nuvem americana representa mais do que apenas um problema de interceptação imediata. A ameaça mais devastadora para as próximas décadas é a estratégia HNDL: “Harvest Now, Decrypt Later”.

Isso não é uma intrusão frontal, mas um roubo silencioso. Agências de inteligência interceptam e armazenam imensas quantidades de dados criptografados hoje, simplesmente porque o custo de armazenamento se tornou insignificante.

Eles esperam pacientemente pelo momento em que os saltos tecnológicos tornarão obsoletas as chaves criptográficas atuais. Um segredo de Estado protegido em 2026 pode se tornar um livro aberto em quinze anos.

Responsabilidade Retroativa e Risco Temporal

O modelo HNDL introduz um conceito novo: dano legal adiado. Com a coleta maciça de dados para descriptografia futura, a confidencialidade torna-se uma variável dependente do tempo.

O modelo científico HNDL define que a confidencialidade falha inevitavelmente quando a vida útil exigida do segredo excede o horizonte de descriptografia do adversário.

Se um Estado não garante a soberania absoluta de sua infraestrutura de hardware, está praticamente assinando uma renúncia de confidencialidade de longo prazo para seus cidadãos.

A interceptação de hoje é o comprometimento de amanhã. Transformar a dependência da nuvem em uma dívida de segurança nacional é uma aposta impossível de pagar.

A Antítese Arpokrat: Impossibilidade Legal por Código

A indústria responde criando ecossistemas radicais de soberania digital. O modelo Arpokrat opera em uma rede descentralizada, protegida pela rigorosa Lei Federal Suíça de Proteção de Dados (FADP).

A lógica central é o Privacy by Design absoluto. Ao remover a necessidade de um número de telefone, o usuário torna-se uma simples chave criptográfica.

Legalmente, se a arquitetura é fundamentalmente Zero-Knowledge, a empresa enfrenta uma impossibilidade técnica de cumprir mandados estrangeiros.

Trata-se de uma salvaguarda matemática e legal imparável: o que você não possui não pode ser divulgado.

Além da Criptografia: Desvalorizando os Dados Alvo

A verdadeira resposta no aplicativo Arpokrat não é apostar na matemática eterna, mas desvalorizar os próprios dados.

Sem metadados centrais para vincular uma mensagem a um indivíduo físico, o conteúdo criptografado perde seu valor estratégico porque se torna inatribuível.

No entanto, o software sozinho não pode fazer nada se o hardware o trair.

A segurança no século XXI exige a independência da própria máquina. A implantação de um SO soberano sem Google tornou-se um requisito absoluto de sobrevivência para quem lida com segredos de Estado.