O 5G, a localização e o erro de alvo do direito

Tue, 18 Aug 2026 00:00:00 +0000

Em 2011, a polícia de Detroit pediu a um operador móvel o histórico de ligação às antenas do telemóvel de Timothy Carpenter. Obteve 12 898 pontos de localização repartidos por 127 dias, cerca de cem por dia. Sete anos depois, o Supremo Tribunal dos Estados Unidos decidiu que esse pedido constituía uma busca e exigia um mandado.

Esses 12 898 pontos provinham de antenas de quarta geração, cada uma cobrindo um raio de vários quilómetros. O mesmo pedido, dirigido hoje a uma rede 5G urbana, não devolveria cem pontos por dia com uma margem de alguns quilómetros. Devolveria um volume muito superior, com uma margem de algumas dezenas de metros.

A tecnologia mudou de escala. O raciocínio jurídico ficou no mesmo ponto da cadeia.

Um bem jurídico que os juízes reconhecem dos dois lados do Atlântico

Existe um interesse que quase toda a gente admite e que quase nenhum texto protege eficazmente: o direito de estar em algum lugar sem que esse facto seja registado.

A jurisprudência europeia estabeleceu-o sem ambiguidade. No acórdão Digital Rights Ireland (processos apensos C-293/12 e C-594/12, 8 de abril de 2014) e depois em Tele2 Sverige e Watson (processos apensos C-203/15 e C-698/15, Grande Secção, 21 de dezembro de 2016), o Tribunal de Justiça da União Europeia declarou que esses dados, tomados no seu conjunto, permitem extrair conclusões muito precisas sobre a vida privada das pessoas: hábitos da vida quotidiana, locais de permanência, deslocações, atividades exercidas e relações sociais.

O Supremo Tribunal dos Estados Unidos chegou a uma conclusão próxima em Carpenter v. United States , 585 U.S. 296 (2018). Insistiu num ponto que a doutrina americana muito comentou: o carácter inelutável e automático dessa recolha. Ninguém consente em ficar ligado a uma antena: está-o porque tem um telemóvel ligado.

O bem jurídico existe, portanto, e é reconhecido pelos dois tribunais que contam nesta matéria. O problema está noutro lado.

O que o 5G mudou realmente

Uma confusão corrente consiste em tratar a localização como um dado que o telemóvel transmite, tal como uma mensagem ou uma fotografia. Não é o caso. A localização é uma consequência física do funcionamento da rede. O operador sabe a que antena o aparelho está ligado porque precisa de o saber para encaminhar uma chamada. Não existe nenhuma chave que permita cifrar essa informação, uma vez que não se trata de um conteúdo mas de uma propriedade da própria ligação.

É precisamente isso que torna o 5G significativo no plano jurídico, e não no plano técnico.

As arquiteturas anteriores assentavam em células largas. Uma antena 4G serve correntemente um raio de vários quilómetros, e a posição deduzida apenas da ligação contava-se em centenas de metros na cidade, por vezes em dezenas de quilómetros em zona rural. O 5G assenta numa densificação massiva: as células urbanas cobrem tipicamente algumas centenas de metros, e a literatura de engenharia trabalha com densidades da ordem de quarenta a cinquenta estações de base por quilómetro quadrado, contra quatro ou cinco na época do 3G.

A consequência é mecânica. Segundo o livro branco da Ericsson sobre o posicionamento 5G , a infraestrutura instalada apenas para a conectividade atinge uma precisão de vinte a cinquenta metros no exterior e de um a três metros no interior, descendo abaixo do metro em condições urbanas favoráveis. Não se trata de uma função de localização ativada algures, mas do que a rede sabe por construção, sem que nenhuma aplicação esteja instalada nem nenhuma permissão concedida. Detalhámos todos estes mecanismos, bem como as contramedidas que funcionam realmente, no nosso artigo sobre a geolocalização permanente do telemóvel .

A intrusão aumentou, portanto, várias ordens de grandeza. O quadro jurídico aplicável continua a ser o que foi pensado para o 2G e o 3G. Nenhuma adaptação normativa acompanhou essa mudança de escala.

O direito protege o acesso, não a geração

O direito europeu regula cuidadosamente quem pode aceder aos dados de localização, em que condições e sob que controlo. A Diretiva 2002/58/CE estabelece o princípio da confidencialidade das comunicações, e o Tribunal de Justiça decidiu, em La Quadrature du Net (processos apensos C-511/18, C-512/18 e C-520/18, Grande Secção, 6 de outubro de 2020), que o artigo 15.º, n.º 1, dessa diretiva, lido à luz dos artigos 7.º, 8.º, 11.º e 52.º, n.º 1, da Carta, se opõe a uma conservação generalizada e indiferenciada dos dados de tráfego e de localização a título preventivo. O Tribunal admitiu, contudo, derrogações enquadradas quando um Estado-Membro enfrenta uma ameaça grave para a segurança nacional que se revele real e atual ou previsível, sob reserva de um controlo efetivo.

São proteções reais, e seria absurdo desvalorizá-las. Mas todas intervêm a posteriori. Pressupõem que o dado existe, que é conservado, e organizam depois as condições da sua exploração.

Ora, se a localização é um subproduto inevitável do funcionamento da rede, o ponto de intervenção pertinente não é a confidencialidade. É a persistência.

Uma posição instantânea, necessária ao encaminhamento de uma comunicação e apagada logo a seguir, não é um instrumento de vigilância. Um histórico de posições conservado durante meses é-o, quaisquer que sejam as garantias de acesso que o rodeiem.

A diferença entre as duas não é jurídica, é arquitetural. E o calendário europeu torna a questão urgente em vez de teórica. A Comissão retirou a proposta de regulamento ePrivacy em 2025, por falta de acordo entre colegisladores. Desde então trabalha num instrumento distinto sobre a conservação de dados para fins penais, anunciado para 2026 e destinado a harmonizar regimes nacionais que se tornaram díspares desde a anulação da diretiva de 2006. Por outras palavras, o texto que fixará durante uma década o regime dos metadados de localização está a ser escrito neste momento, com base num raciocínio concebido na época das células quilométricas.

O precedente que o próprio 5G criou

O aspeto mais interessante do dossiê é que a boa resposta já consta da norma técnica, mas aplicada a outro objeto.

Até ao 4G, o identificador permanente do assinante, o IMSI, circulava em claro na interface rádio durante a ligação. Foi isso que tornou possíveis os IMSI catchers, essas falsas estações de base que, segundo a descrição de referência da Electronic Frontier Foundation , emitem com mais potência do que as antenas legítimas para atrair os terminais e captar o seu identificador.

Desde a Release 15 das especificações 3GPP, publicada em 2019, o 5G traz uma resposta elegante. O identificador permanente, agora chamado SUPI, pode ser substituído na interface rádio pelo SUCI, um identificador dissimulado obtido cifrando a parte própria do assinante através de criptografia de curvas elípticas, com a chave pública do operador de origem. Só a rede de origem, que detém a chave privada correspondente, o pode decifrar. O resultado é único em cada cálculo, o que impede a correlação de uma sessão para a outra.

A lógica adotada merece ser sublinhada, porque é exatamente a que deveria guiar o legislador: não se cifra a posição, o que seria tecnicamente impossível, cifra-se a identidade. Uma posição desprovida de identidade atribuível tem um valor muito limitado para fins de vigilância individualizada.

A falha: uma proteção facultativa

Existe contudo uma reserva considerável, e é a nosso ver o ponto de intervenção mais concreto de todo o dossiê.

O livro branco NIST CSWP 36A , publicado em março de 2026 pelo National Institute of Standards and Technology, enuncia-o sem rodeios. Os terminais e as funções de rede conformes com a Release 15 ou posterior são obrigados a suportar o SUCI, mas a sua ativação continua a ser facultativa para o operador. Três condições devem estar reunidas: o fabricante do equipamento tem de o suportar, o operador tem de o ativar na sua rede, e o cartão SIM tem de conter os elementos necessários ao cálculo.

A isso acresce uma armadilha de configuração. A norma prevê um esquema de proteção nulo, no qual o formato SUCI é formalmente utilizado mas sem cifragem efetiva, de tal modo que o identificador circula em claro. O NIST escreve que é necessário que o operador configure a sua rede com um esquema de proteção não nulo, e recorda que um relatório do CSRIC, o órgão consultivo da Federal Communications Commission, recomendava já em 2021 reservar o esquema nulo apenas às chamadas de emergência efetuadas por um terminal desconhecido da rede.

A formulação merece ficar tal como está. A melhor proteção disponível contra o rastreio dos terminais móveis existe na norma técnica desde 2019. Assenta numa escolha de configuração deixada ao critério do operador. Uma agência federal americana julga útil publicar um documento em 2026 para lembrar que seria preciso ativá-la. E nenhum instrumento jurídico europeu a impõe.

Há que acrescentar que o SUCI não encerra o assunto. Os trabalhos apresentados sob o título 5G SUCI-catchers: still catching them all? documentam ataques de ligação que permitem recorrelacionar sessões apesar da cifragem, e a proteção cai por completo se o atacante forçar o terminal a passar para uma geração anterior. Uma obrigação jurídica não resolveria, portanto, tudo. Suprimiria contudo um desvio sem qualquer justificação defensável: o que separa o que a norma permite daquilo que as redes comerciais fazem.

Três intervenções coerentes

Se levarmos a sério a ideia de que a localização deve ser minimizada desde a conceção em vez de protegida a posteriori, três medidas impõem-se logicamente.

Tornar obrigatória a dissimulação efetiva do identificador. Impor a ativação do SUCI e proibir os esquemas de proteção nulos nas redes comerciais, salvo o caso residual das chamadas de emergência. Não se trata de prescrever uma tecnologia nova, nem de financiar uma implantação, mas de exigir a ativação de uma função normalizada há sete anos e já presente nos equipamentos.
Tratar a conservação como a exceção, não como a regra por defeito. A posição necessária ao encaminhamento de uma comunicação deveria ser apagada logo que essa função esteja cumprida. A constituição de um histórico deveria exigir uma justificação específica. É a diferença entre uma rede que sabe onde está e uma rede que se lembra de onde esteve.
Fazer da guarda da chave o fator de conexão pertinente. A localização dos servidores na União não significa grande coisa se as chaves que permitem tornar os dados inteligíveis se encontrarem noutro lugar. O critério juridicamente significativo deveria ser o domínio efetivo dos meios de decifragem, questão que examinámos em detalhe a propósito do conflito entre o Data Act e o CLOUD Act .

O ângulo que a Arpokrat segue

Este raciocínio não é próprio do direito das telecomunicações. É o que aplicamos às nossas próprias escolhas de arquitetura, e cabe numa frase: o que não foi produzido não precisa de ser protegido.

É por isso que o ArpokratOS retira o GPS, o Bluetooth e o NFC ao nível do núcleo em vez de os desativar num menu. Um interruptor é uma política: pode ser contornado por um componente privilegiado, reativado por uma atualização, ignorado por um sistema comprometido. Retirar o caminho de código suprime a questão. É a transposição, à escala de um aparelho, do mesmo deslocamento que defendemos à escala do direito: intervir sobre a geração em vez de sobre o acesso.

Há que dizer desde já o que isso não faz. Nenhum sistema operativo subtrai um terminal à geometria da rede. Enquanto um cartão SIM estiver ativo, o operador conhece a célula de ligação, e encaminhar todo o tráfego pelo Tor não muda nada, uma vez que protege o conteúdo e o destino, não a camada rádio. É justamente por isso que o assunto é jurídico. Existe uma categoria de riscos que nenhuma configuração individual reduz, e para a qual a única variável disponível é a regra aplicável ao operador.

A mesma preocupação governa o resto do nosso trabalho. Um dado que não existe não pode ser requisitado, nem revendido, nem exfiltrado, nem decifrado daqui a dez anos por uma máquina de que hoje ninguém dispõe, questão que tratámos pelo ângulo da cifragem colhida agora e quebrada mais tarde .

Conclusão

O debate público sobre a vigilância móvel concentra-se quase exclusivamente no acesso: quem pode consultar os dados, com que fundamento, com que autorização. Esse debate é legítimo, e as decisões proferidas desde 2014 pelo Tribunal de Justiça produziram efeitos tangíveis. Mas intervém demasiado tarde na cadeia.

A questão anterior, e mais determinante, é saber se o histórico deve existir. Uma base constituída hoje por um motivo legítimo permanece disponível amanhã para outro, e as garantias que a rodeiam dependem de decisões políticas posteriores que ninguém domina no momento da recolha. É uma aposta na estabilidade das instituições, formulada por uma duração que ninguém fixa.

O 5G multiplicou a resolução desta informação sem que nenhuma adaptação normativa tenha ocorrido. Demonstrou simultaneamente, pelo mecanismo do SUCI, que a via praticável consiste em dissociar a posição da identidade em vez de tentar cifrar uma propriedade física da rede. A norma técnica forneceu a resposta sete anos antes de o direito colocar a pergunta.

O texto europeu sobre a conservação de dados está a ser escrito agora. Incidirá sobre os metadados, logo sobre a localização, logo sobre o que o 5G produz hoje com uma finura que os seus redatores não conheceram. Saber se se limitará a organizar o acesso a um histórico tido como adquirido, ou se ousará interrogar a necessidade desse histórico, é provavelmente a questão de privacidade mais importante dos próximos anos na Europa. E é uma questão que o setor técnico, por uma vez, já decidiu no bom sentido.

Fontes

Tribunal de Justiça da União Europeia, Digital Rights Ireland , processos apensos C-293/12 e C-594/12, 8 de abril de 2014
Tribunal de Justiça da União Europeia, Tele2 Sverige e Watson , processos apensos C-203/15 e C-698/15, Grande Secção, 21 de dezembro de 2016
Tribunal de Justiça da União Europeia, La Quadrature du Net e o. , processos apensos C-511/18, C-512/18 e C-520/18, Grande Secção, 6 de outubro de 2020
Supreme Court of the United States, Carpenter v. United States , 585 U.S. 296, 2018
National Institute of Standards and Technology, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI) , NIST CSWP 36A, março de 2026
Ericsson, 5G positioning: Locating devices anywhere
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all? , ACM WiSec, 2021
Electronic Frontier Foundation, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online, Data Retention: Commission to present proposal by mid-2026

Regulamentação Europeia on Arpokrat