Legislação sobre encriptação: Guia para a situação global das leis anti-encriptação.
Este estudo sobre as tendências globais da encriptação mostra por que razão a Europa - e especialmente a Alemanha - continua a ser o porto seguro para os serviços encriptados.
Neste estudo sobre tendências políticas, centramo-nos na legislação anti-encriptação a nível mundial, abrangendo leis ou propostas que visam enfraquecer ou quebrar a encriptação de ponta a ponta nos serviços de comunicação. Embora as comunicações seguras já estejam ameaçadas há muito tempo em países autocráticos como a Rússia e a China, estão agora cada vez mais sob pressão em países democráticos como os EUA, o Reino Unido e a União Europeia. Estas leis contra a encriptação tentam normalmente obrigar os fornecedores de comunicações a implementar uma porta traseira na sua encriptação para que as autoridades policiais possam filtrar os dados em busca de actividades suspeitas. Um excelente exemplo de uma backdoor deste tipo é a proposta de controlo das conversas, muito criticada, que ainda está a ser discutida na UE, mas agora sem qualquer requisito de backdoor.
O problema com estas backdoors é que criam uma grave vulnerabilidade de segurança. Uma vez que a backdoor existe, não é uma questão de SE a backdoor vai ser abusada, mas apenas uma questão de QUANDO. É por isso que temos de olhar para a legislação global sobre encriptação e verificar o estado atual nos países democráticos.
Situação da legislação sobre encriptação a nível mundial
A situação jurídica a nível mundial está a mudar, sobretudo no que diz respeito aos poderes de controlo e vigilância. As discussões sobre este tema, em particular na comunidade em linha, podem tornar-se muito acesas, uma vez que muitos especialistas em tecnologia acreditam firmemente no direito à privacidade e lutam apaixonadamente por ele. No entanto, os governos de todo o mundo estão a tentar enquadrar a discussão de forma a que a quebra da encriptação seja inevitável, por exemplo, para combater o terrorismo ou para proteger as crianças.
Este enquadramento da discussão é um esforço dos governantes para convencer os cidadãos de que a quebra da encriptação seria necessária e boa, e que poderia mesmo ser conseguida sem monitorizar toda a gente (por exemplo, introduzindo uma vigilância alimentada por IA). É claro que esta narrativa está errada, e discutimos isto extensivamente na nossa crítica actualizada sobre o controlo de conversação, mas vejamos o estado atual das leis de encriptação na UE, na Suíça, nos EUA, no Canadá, bem como na Austrália e no Reino Unido neste estudo de tendências globais de encriptação.
Estatuto jurídico na UE
Nos últimos três anos, a Europa tem assistido a uma forte luta sobre a questão de saber se deve ou não prejudicar a encriptação com a legislação relativa ao controlo de conversações ou, como a UE lhe chama, o Regulamento relativo aos abusos sexuais de crianças (CSAR). Apesar de o Conselho da UE - sob presidências diferentes - ter tentado repetidamente impor uma versão da lei com a obrigação de os fornecedores de comunicações, como os serviços de correio eletrónico e as aplicações de conversação, minarem ou contornarem a encriptação de ponta a ponta dos serviços, a forte reação dos cidadãos, organizações e empresas como a Tuta acabou por pressionar o Conselho da UE a chegar a acordo sobre um projeto de lei CSAR que afirma que a digitalização das comunicações dos utilizadores é voluntária e que não é necessário minar a encriptação de ponta a ponta. Este projeto tem agora de ser discutido com o Parlamento Europeu.
O facto de o controlo das conversas - apesar da tendência mundial para minar a encriptação - já não exigir a quebra da encriptação é uma grande vitória para a Europa e, em particular, para a Alemanha. A Alemanha é, historicamente, um país onde a comunidade de proteção da privacidade, especialmente entre as pessoas com conhecimentos tecnológicos, é muito forte. Isto não é surpreendente, dada a história alemã da Stasi e da GeStaPo, que controlavam os alemães e os prendiam por razões tão simples como ter uma visão política diferente da classe dominante. Na Alemanha, a sociedade apoia fortemente a encriptação de ponta a ponta, existe um forte envolvimento da sociedade civil na política digital e o quadro jurídico alemão considera a privacidade como um direito fundamental, o que também está consagrado na Constituição alemã.
Cinco Olhos e mais além: onde as coisas se complicam
O Reino Unido e a Austrália têm leis que obrigam a quebrar a encriptação.
Em contrapartida, os países dos Cinco Olhos, Reino Unido e Austrália, aprovaram recentemente alguns dos piores projectos de lei de vigilância da história, nomeadamente o UK Online Safety Act e o TOLA australiano.
O TOLA, na Austrália, e o Online Safety Act, no Reino Unido, permitem que as autoridades exijam que os prestadores de serviços utilizem uma porta traseira para a cifragem. E não se trata de uma ameaça teórica: em 2025, o departamento do Ministério do Interior do Reino Unido exigiu à Apple que removesse a encriptação na nuvem para todos os utilizadores. Embora a Apple pudesse tê-lo feito secretamente, em vez disso divulgou o pedido do governo britânico, o que levou a um enorme protesto público. No final, a Apple não foi forçada a quebrar a sua encriptação para todos os utilizadores. Mas ninguém pode saber se outros serviços de código fechado já cumpriram ordens semelhantes. Tendo em conta a legislação em matéria de encriptação, como a lei sobre segurança em linha no Reino Unido, é de supor que os serviços encriptados de fonte fechada já não são de confiança.
O TOLA não só permite que as autoridades exijam que a encriptação seja quebrada por razões de “interesse nacional”, como também podem emitir “avisos de capacidade técnica” com exigências de vigilância ainda mais amplas dirigidas aos fornecedores de serviços tecnológicos.
O projeto de lei canadiano C-2 pode permitir que o governo prejudique a encriptação.
O Canadá, outro país dos Cinco Olhos, também está a planear um projeto de lei que ameaça a encriptação de ponta a ponta: O projeto de lei C-2. Se for aprovado, corre o risco de obrigar à desencriptação através de “vulnerabilidades sistémicas” indefinidas e ameaçaria a conformidade com o RGPD europeu para os prestadores de serviços canadianos.
Legislação sobre encriptação nos EUA: risco de ordens secretas.
Nos EUA, a encriptação de ponta a ponta (ainda) não pode ser legalmente quebrada, no entanto, leis como a CLOUD Act e a FISA dão às autoridades direitos excessivos para pedidos de dados a fornecedores de tecnologia americanos, por vezes mesmo sem uma ordem judicial. É também por esta razão que as “nuvens soberanas” dos fornecedores americanos não passam de “lavagens soberanas” e não devem ser consideradas fiáveis. Embora estivesse prevista uma reforma da FISA em 2024, os direitos de privacidade não foram reforçados nessa altura. Pelo contrário, a FISA continua a dar à NSA e ao FBI um cheque em branco para a vigilância excessiva e abusiva. No entanto, o governo dos EUA não conseguiu aprovar propostas de lei como a Lei do Acesso Legal a Dados Encriptados devido à forte resistência da sociedade civil, que é muito forte nos EUA.
Suíça: não é tão segura como se poderia pensar.
Já em 2016, os próprios cidadãos suíços votaram a favor de mais vigilância, e agora o Bundesrat suíço está a discutir uma lei que poderá colocar a Suíça no mesmo patamar que a Austrália e o Reino Unido. O projeto de lei exige a quebra da encriptação de ponta a ponta, bem como o registo dos endereços IP dos fornecedores de comunicações e de VPN. Embora ainda não seja certo que esta lei venha a ser aprovada, é óbvio que a Suíça já não é o refúgio seguro para os fornecedores de serviços encriptados e que privilegiam a privacidade, como alguns fornecedores tentam fazer crer.
De facto, a privacidade suíça é uma ilusão - ou apenas uma boa manobra de marketing. Assim, agora, até o Protonmail, uma alternativa ao Tuta Mail, anunciou que vai mudar os servidores da Suíça para a Alemanha.
Privacidade: da Europa, para o mundo
No que diz respeito à legislação sobre encriptação e às tendências globais, a jurisdição é mais importante do que nunca para os fornecedores de comunicações seguras, como as aplicações de conversação encriptadas e os serviços de correio eletrónico como o Tuta Mail. É por isso que nós, na Tuta, acompanhamos de perto a situação legal em todo o mundo e mantê-lo-emos informado no nosso blogue e nos nossos canais sociais sobre as ameaças à encriptação de ponta a ponta, mas também sobre as vitórias para os direitos de privacidade.
Em 2025, juntámo-nos à acesa discussão sobre o Chat Control e deixámos claro que nós, na Tuta, nunca comprometeríamos a nossa encriptação. Na verdade, teríamos preferido processar a UE a quebrar a nossa encriptação. Isto já não é necessário, uma vez que o projeto de controlo do Chat que está agora a ser debatido não exige que se ponha em causa ou que se quebre a encriptação de ponta a ponta.
Este sucesso só foi possível devido a vários factores que estão presentes na UE, e particularmente na Alemanha:
- Protecções constitucionais da privacidade
- Legislação sólida em matéria de proteção de dados (RGPD)
- Elevado empenhamento da sociedade civil nos direitos digitais
- Elevada resistência às backdoors por parte da sociedade civil e das empresas
Em suma, na Tuta estamos muito satisfeitos por, apesar das tendências globais, a Europa se ter finalmente unido para construir a reputação que ganhou ao aprovar o Regulamento Geral sobre a Proteção de Dados: Respeito e proteção da privacidade dos cidadãos. Este é o passo certo, especialmente agora que a Europa está a tentar tornar-se digitalmente soberana. No entanto, não é certo que a Europa continue nesta via - mas nós vamos estar aqui para acompanhar as tendências globais da encriptação e os desenvolvimentos políticos, para garantir que a encriptação de ponta a ponta na Europa se mantém ininterrupta.
Vamos lutar juntos pela privacidade!
