Direitos

Cifrar uma mensagem é como selar um envelope. Ninguém, pelo caminho, consegue ler a carta. Toda a gente, pelo caminho, continua a conseguir ler a morada, o remetente, o carimbo dos correios, a data e a espessura do envelope. Essa camada exterior são os metadados, e não são um dado de segunda. São um dado de outra natureza, e em certos aspetos mais revelador.

A resposta jurídica, e porque surpreende

Saber se contam como dados pessoais tem uma resposta jurídica, não apenas filosófica. O **artigo 4.º(1) do RGPD** define dado pessoal como *«qualquer informação relativa a uma pessoa singular identificada ou identificável»*, e precisa que uma pessoa é identificável *«direta ou indiretamente, em especial por referência a um identificador, como por exemplo um nome, um número de identificação, dados de localização, um identificador por via eletrónica»*. Os dados de localização e os identificadores em linha são nomeados **explicitamente**. Os metadados não estão, portanto, isentos por natureza: são dados pessoais assim que possam ser ligados a alguém, o que acontece na maior parte das vezes.

Isto importa porque os metadados resistem à intuição que temos deles. Um conteúdo parece sensível porque se pode ler. Os metadados parecem inofensivos porque são apenas números e marcas temporais. A investigação diz o contrário.

O que 546 telefones revelaram sem uma única mensagem

Os investigadores de Stanford **Jonathan Mayer e Patrick Mutchler**, com **John C. Mitchell**, conduziram um estudo com uma aplicação chamada **MetaPhone**, recolhendo metadados de chamadas de **546 voluntários** a partir de **novembro de 2013**. Sem qualquer conteúdo de mensagens, e apoiando-se em fontes públicas para identificar os números contactados, conseguiram inferir doenças, posse de armas de fogo e filiação religiosa.

• Metadados - os dados sobre as suas comunicações, não o seu conteúdo: quem, quando, quanto tempo, de onde
• O artigo 4.º(1) do RGPD nomeia explicitamente «dados de localização» e «identificador por via eletrónica» entre os identificadores
• Estudo MetaPhone de Stanford: 546 voluntários, doenças e filiação religiosa inferidas apenas dos registos de chamadas
• Estruturados e legíveis por máquina, os metadados escalam para milhões de pessoas
• A cifragem protege o conteúdo, não o registo de que houve uma conversa

Um exemplo publicado merece uma leitura lenta. Um participante ligou para vários consultórios de neurologia locais, uma farmácia especializada, um serviço de gestão de doenças raras e uma linha farmacêutica dedicada à esclerose múltipla. Ninguém leu uma única palavra escrita por essa pessoa. A sequência das suas chamadas, por aquela ordem, contou a história na mesma.

É essa a propriedade que torna os metadados poderosos: não precisam de ser interpretados. Um conteúdo é ambíguo, irónico, numa língua que talvez não fale. Um registo de chamadas é estruturado, legível por uma máquina e completo. Escala para milhões de pessoas como ler as suas mensagens nunca poderia.

«Matamos pessoas com base em metadados»

A formulação mais crua veio de **Michael Hayden**, diretor da NSA de 1999 a 2005 e da CIA de 2006 a 2009. Num **debate de 2014 na Universidade Johns Hopkins**, respondendo a uma descrição do que os metadados revelam, disse: *«[Essa] descrição... está absolutamente correta. Matamos pessoas com base em metadados.»* Acrescentou de imediato: *«Mas não é isso que fazemos com estes metadados»*, traçando uma linha entre o alvo no estrangeiro e a recolha interna. Ambas as metades fazem parte da citação. A primeira diz quanto se acredita que valem os metadados; a segunda é a distinção em que ele insistiu.

O que isto não significa, e o que pode fazer

Nada disto torna a cifragem inútil, e essa seria a conclusão errada. Selar o envelope continua a impedir que alguém leia a carta, o que não é pouco. Significa apenas que o envelope não é todo o problema, e que um serviço pode cifrar o conteúdo na perfeição mantendo um registo abundante dos seus contactos, dos seus horários e dos seus lugares.

É exatamente por isso que, em qualquer comparação honesta de aplicações de mensagens, a pergunta não é apenas *«está cifrada de ponta a ponta?»* mas *«quanto guarda o operador sobre com quem falo?»*. Duas aplicações podem usar o mesmo protocolo de cifragem e divergir enormemente nessa segunda pergunta. A cifragem é a parte fácil de anunciar; a prática quanto aos metadados é a que exige confiar em quem opera o serviço.

Aquilo sobre que pode agir é mais estreito do que o problema, mas é real. Prefira serviços concebidos para reter poucos metadados em vez de serviços que se limitam a cifrar o conteúdo. Reduza o número de intermediários que veem passar o seu tráfego. Assuma que tudo o que não está cifrado de ponta a ponta tem os metadados conservados por omissão, e que apagar uma mensagem quase nunca apaga o registo de que foi enviada.