Chat Control e a encruzilhada da privacidade: o que a UE já pode vasculhar nas mensagens privadas

Por Marco Severini — Em um movimento que redesenha fronteiras invisíveis entre segurança pública e direitos digitais, a União Europeia já dispõe de instrumentos temporários que permitem a análise automatizada de mensagens privadas em plataformas não criptografadas. O debate em torno do Chat Control concentra-se menos na alegação simplista de que "a UE lê suas mensagens" e mais na distinção técnica e jurídica entre serviços com e sem criptografia ponta a ponta.

Atualmente, um regulamento temporário — renovado e válido até 2028 — autoriza plataformas a realizar, de forma voluntária, varredura de mensagens, fotos e vídeos em busca de material pedófilo, conhecido pelo acrônimo CSAM. A norma se aplica de modo muito diferente a serviços sem criptografia e a aplicações que protegem as mensagens com criptografia ponta a ponta, como WhatsApp ou Signal. Paralelamente, tramita um projeto permanente, apelidado de "Chat Control 2.0", cujo ponto crucial em negociação é se a fiscalização deverá penetrar também nas comunicações criptografadas.

Os instrumentos técnicos em uso baseiam-se essencialmente em duas abordagens. A primeira é o confronto por hash: imagens e vídeos são transformados em uma impressão digital única e comparados com bancos de dados de arquivos já identificados como ilegais. É um método rápido e eficaz para cópias idênticas ou quase idênticas, mas passível de evasão com pequenas alterações nos ficheiros.

A segunda estratégia recorre ao aprendizado de máquina para reconhecer conteúdos novos ou modificados e, de maneira mais controversa, para analisar textos em busca de padrões linguísticos associados ao aliciamento de menores. Essa técnica amplia a detecção para material inédito, porém aumenta o campo de erro e de interpretações ambíguas.

Patrick Breyer, ativista de direitos digitais, jurista e ex-eurodeputado, alerta que ambos os sistemas são menos confiáveis do que o discurso político reconhece. Segundo ele, o confronto por hash, apesar de ser o mais preciso, apresenta um "tamanho considerável de falsos positivos" — citando dados da Alemanha que apontam que mais de 50% das sinalizações não têm relevância penal.

Uma das raízes do problema, explica Breyer, está nos bancos de dados: frequentemente elaborados e validados fora da União Europeia, são alimentados por operadores cujo material não foi adequadamente avaliado à luz do direito penal europeu. Funcionários de provedores, em vários pontos do globo, inseririam conteúdo sem a devida verificação do elemento subjetivo — o mens rea — exigido para a tipificação criminal.

Do ponto de vista técnico, em plataformas não criptografadas a análise acontece nos servidores do fornecedor. Em serviços com criptografia ponta a ponta, o provedor não possui acesso às mensagens uma vez cifradas; qualquer detecção precisa ocorrer antes da cifragem, ao longo da cadeia, ou em um nível de hardware seguro. Esse mecanismo é conhecido como varredura no dispositivo (client-side scanning), e é objeto de intenso debate: representa um movimento decisivo no tabuleiro da segurança, mas também fragiliza os alicerces da criptografia e pode abrir portas a novos vetores de ataque.

Do ponto de vista da diplomacia informacional, estamos diante de uma tectônica de poder. Estados e instituições públicas colocam-se como defensores de crianças e de ordem pública; provedores e defensores da privacidade advertem que soluções intrusivas corroem a segurança geral de sistemas e minam a confiança. Entre esses polos, o legislador europeu tenta projetar uma arquitetura legal que seja ao mesmo tempo eficaz e proporcional — uma tarefa que exige habilidade estratégica à altura de uma partida de xadrez: cada movimento pode provocar reações em cadeia, remodelando alianças tecnológicas e jurídicas.

Enquanto Chat Control 2.0 segue em negociação, permanece a pergunta estratégica: até que ponto a União Europeia aceitará que a prevenção de crimes sirva de justificativa para penetrar camadas técnicas que, historicamente, foram construídas para proteger a confidencialidade? A resposta determinará os alicerces futuros da segurança digital na Europa e o desenho das fronteiras invisíveis entre salvaguarda e vigilância.