Robert Steiner conta com mais de duas décadas de experiência no desenvolvimento de produtos em conformidade com os requisitos regulamentares e no estabelecimento de parcerias nos setores bancário, farmacêutico, industrial e de tecnologia empresarial — lidando com normas como PCI DSS, RGPD, GxP, SOX, PSD2, eIDAS e WCAG em ambientes multijurisdicionais, com equipas espalhadas pelos cinco continentes. Atualmente, ocupa o cargo de vice-presidente da COMPASS.

Pergunta: Qual é a missão da COMPASS?

Sr. Steiner: A Europa elabora boas leis, mas implementa-as mal. Entre a lei tal como é publicada no Jornal Oficial e a lei tal como é vivida por uma pessoa que clica em «Aceitar todos os cookies» às 7 da manhã, existe uma enorme lacuna. A COMPASS existe para colmatar essa lacuna.

A missão subjacente a tudo isto é simples: a tecnologia digital deve servir os seres humanos, e não o contrário. A regulamentação é o mecanismo e a experiência humana, a dignidade e a participação são o objetivo.»

Pergunta: Que tipo de trabalho realizam? E como é que a organização o leva a cabo?

Sr. Steiner: Quatro tipos de trabalho: monitorizamos a implementação — acompanhando a forma como regulamentos como a Lei da IA, o RGPD e a DSA se comportam assim que saem de Bruxelas e se deparam com a realidade. Publicamos análises independentes — os nossos artigos recentes abordam a votação do Omnibus da Lei da IA da UE, um guia prático sobre a Lei da IA e o mecanismo de consentimento de cookies como «teatro da privacidade». Traduzimos — a mesma informação tem de ser compreensível tanto para um responsável pela conformidade como para um adolescente de quinze anos, sem ser diluída para nenhum dos dois. E transmitimos o que descobrimos às pessoas que redigem e aplicam as regras. Se estiverem dispostas a ouvir, claro.

A forma como procedemos é tão importante para nós como o que fazemos. As afirmações que publicamos têm origem em fontes verificáveis, as conclusões são separadas das inferências e as correções são publicadas quando os factos assim o exigem. Construímos a infraestrutura de governação — política de conflito de interesses, ética de financiamento, proteção de dados desde a conceção — desde o primeiro dia, em vez de a adaptar posteriormente, e praticamos aquilo que defendemos, até ao ponto de termos um site sem «dark patterns», sem cookies — nem mesmo os funcionais — e sem publicidade ou scripts de perfilagem de qualquer tipo. As únicas análises que realizamos são isentas de cookies e agregadas.

Pergunta: O que motivou o início do COMPASS? Houve algum acontecimento específico?

Logótipo do COMPASS. Imagem: COMPASS

Sr. Steiner: Não foi tanto um evento isolado, mas sim um padrão que se recusava a deixar de se repetir. O exemplo mais revelador é aquele que todos os europeus conhecem intimamente — o consentimento para cookies. Uma lei concebida para proteger a privacidade que, devido a uma implementação deficiente, levou centenas de milhões de pessoas a clicar em «Aceitar tudo» — alcançando exatamente o oposto do que pretendia. Ninguém estava a monitorizar essa lacuna como parte das suas funções efetivas. As universidades eram demasiado grandes para serem suficientemente rápidas, os reguladores careciam de profundidade operacional, as empresas de conformidade comercial servem clientes pagantes e os ativistas são frequentemente descartados com demasiada facilidade como adversários pelas instituições que precisam de mudar. Pode não ser uma verdade agradável, mas, infelizmente, é a realidade.

Quando analisámos a Lei da IA a chegar a esse mesmo vazio, numa escala que faz com que o RGPD pareça mais fácil de gerir, a conclusão foi inevitável.

Fundámos a COMPASS por convicção pessoal — por amor tanto à tecnologia como à Europa — porque a alternativa era ver a história do banner de cookies repetir-se com muito mais em jogo. E tudo isto aconteceu antes do «Digital Omnibus» — certamente que não previmos isso.»

Pergunta: Que leis ou regulamentos da UE está atualmente a acompanhar mais de perto? E há alguma tendência ou questão emergente que gostaria de destacar?

Sr. Steiner: Acolho com maior atenção a Lei da IA da UE e o impacto que o «Omnibus Digital» está a ter sobre ela, o RGPD tal como é aplicado na prática e não tal como está escrito, a DSA e o «Chat Control» como a ameaça legislativa concreta à encriptação. Algo sobre o qual tem sido muito direto — e que nos deixou realmente orgulhosos por o termos escolhido.

A questão abrangente que gostaria de destacar é que a lacuna de implementação que fomos criados para monitorizar está agora a alargar-se de forma deliberada. O acordo do «Omnibus Digital» deste mês de maio adia as obrigações de alto risco da Lei da IA — as regras que abrangem a IA na contratação, na educação e nos serviços essenciais — de 2 de agosto de 2026 para 2 de dezembro de 2027. A UE já decidiu que estes sistemas são de alto risco; agora decidiu também que podem esperar dezasseis meses. Bem… «decidiu»… após um processo preparatório em que, dos 138 convidados para as cinco reuniões-chave «Reality Check» da Comissão, 114 representavam o mundo empresarial e nove representavam a sociedade civil — o Corporate Europe Observatory documentou isto em novembro de 2025.

O lobbying é e continua a ser um enorme desafio para a UE. Analisámos em pormenor a votação do «Omnibus» no Parlamento, e os números relativos às abstenções falam por si. Pode encontrar a fonte dos dados do «Reality Check» aqui.

O «Mapa do Défice Estrutural» mostra quais são os regulamentos digitais da UE que o COMPASS está a acompanhar. Captura de ecrã: COMPASS

Três tendências dentro desse contexto preocupam-nos mais. Em primeiro lugar, o «Chat Control» — a normalização da ideia de que a encriptação é negociável, algo que os vossos leitores conhecem melhor do que ninguém.

Em segundo lugar, o que os investigadores designam por «monoculturas algorítmicas» no recrutamento — um tema pelo qual temos estado ligeiramente obcecados e que mal tem sido mencionado, mesmo no LinkedIn, onde mais se esperaria que fosse abordado. Quando muitos empregadores utilizam os mesmos modelos de triagem por IA, o mesmo candidato é rejeitado em todo o lado com base no mesmo julgamento estatístico — um modo de falha que as obrigações de alto risco da Lei da IA foram concebidas para resolver — inicialmente daqui a duas semanas. Até dezembro de 2027, as únicas salvaguardas são regras que nunca foram concebidas para esse problema, e o pacote Omnibus não oferece nenhuma resposta provisória sobre como os europeus devem ser protegidos entretanto.

E, em terceiro lugar, uma questão cultural, se não mesmo de cultura popular — a partilha prolífica, quase semelhante a spam, nas redes sociais, de ferramentas e fluxos de trabalho de «vibe-coding», sem qualquer avaliação crítica dos riscos de privacidade ou segurança. Há influenciadores a recomendar ferramentas sem qualquer sentido de responsabilidade, caso alguém venha a sofrer efeitos adversos por seguir os seus conselhos. As ferramentas não são o problema; a falta de pensamento crítico e a adoção cega sem avaliação é que o são — credenciais coladas em prompts, código gerado enviado sem revisão, uma postura de segurança herdada de um tutorial. Não é, de facto, difícil copiar e colar uma política de privacidade em qualquer LLM e verificar se existem riscos — o problema é que não há consciência da necessidade de o fazer.

Pergunta: O que é importante para si no que diz respeito à comunicação por e-mail?

Sr. Steiner: Há muitos aspetos críticos que se podem ter em consideração ao selecionar um fornecedor de e-mail, especialmente para a sua organização. Só podemos partilhar o que considerámos mais crucial para a comunicação por e-mail — que seja segura e privada, que os rastreadores, endereços de e-mail suspeitos ou links sejam removidos ou destacados como um risco, que a interface do utilizador seja fácil de usar e que seja europeia.

Não poderíamos estar mais satisfeitos com a nossa escolha do Tuta. E isto vem da nossa experiência em gestão de produtos e de uma intensa dependência do e-mail, todos os dias, ao longo de vinte anos. O principal desafio que queríamos resolver era utilizar uma solução simples, intuitiva e segura para todos os nossos endereços de e-mail — uma solução europeia com uma reputação intocada em matéria de segurança e proteção de dados.»

Pergunta: Por que razão escolheram a Tuta Mail em vez de outro fornecedor de e-mail?

Sr. Steiner: Ao selecionar fornecedores — e o mesmo se aplica à hospedagem e a outros serviços —, escolhemos aqueles cujos valores se alinham verdadeiramente com os nossos. Fundámos a COMPASS por convicção pessoal, por amor tanto à tecnologia como à Europa, e valorizamos fornecedores que acreditam verdadeiramente no que fazem.

Pergunta: O que mais gosta no Tuta Mail e por que razão é isso importante?

Sr. Steiner: Como profissional de produto, obrigar-me a escolher uma única funcionalidade favorita é como obrigar-me a escolher um sabor favorito de gelado — combinam tão bem que vou permitir-me escolher três. :) A minha favorita seria a opção de restringir a partilha de comunicações confidenciais com uma palavra-passe. É tão simples, tão elegantemente implementada e uma funcionalidade tão útil quando se partilha algo e se quer garantir essa camada extra de segurança e privacidade. Em segundo lugar, bem próximo, está o aviso prévio quando chega uma mensagem de um endereço de e-mail que não pôde ser verificado. Basta uma pequena distração no final de um dia particularmente intenso de e-mails, ou uma tentativa de fraude astuta e inteligente, e, numa fração de segundo, pode-se cometer um erro, independentemente do número de formações em cibersegurança que se tenha recebido — esse recurso simples é extremamente benéfico. E, por último, a tranquilidade de saber que a nossa comunicação nos pertence — que nenhum marketing está a ser personalizado com base nela, que nenhum modelo está a ser treinado com ela. É triste que isto seja tão único e importante em 2026, mas é assim, e estamos gratos por isso todos os dias.

Pergunta: Por que razão é importante para si que o Tuta Mail encripte de ponta a ponta todos os dados possíveis?

Sr. Steiner: Com a Meta a remover a encriptação de ponta a ponta das mensagens diretas do Instagram neste mês de maio, e o Chat Control a ameaçar comprometer uma funcionalidade que, até há pouco tempo, era simplesmente considerada o padrão de um serviço de alta qualidade, é essencial que fornecedores como a Tuta defendam as práticas e os valores que nunca pensámos ver postos em causa pelas mesmas instituições em que confiávamos para proteger a nossa privacidade. A razão apresentada pela Meta, aliás, foi que muito poucas pessoas estavam a optar por ativar essa funcionalidade — o que, para mim, é um argumento a favor de melhores predefinições, não da sua remoção.

Agora, mais do que nunca, a encriptação de ponta a ponta é essencial para a democracia, a liberdade de expressão, a participação cívica e a capacidade de comunicar livremente.»

Tal como muitos, a Andrea e eu costumávamos olhar para o que se passava noutras partes do mundo e sentir-nos afortunados por sermos europeus. Ver as instituições da UE a afastarem-se agora desse padrão — e a aproximarem-se da criação de um mercado legal para a análise das comunicações privadas dos europeus — é desanimador.

Pergunta: O Tuta Mail é frequentemente considerado como algo que confere aos clientes uma vantagem em termos de reputação devido à encriptação. É o mesmo no seu país? De que forma é que isto beneficia a COMPASS?

Sr. Steiner: Uma vez que o Tuta está alojado no nosso próprio domínio, os voluntários, as organizações e os políticos com quem comunicamos não sabem realmente quais os fornecedores que utilizamos — na verdade, esta entrevista é a nossa forma de o revelar publicamente, de propósito. À exceção, claro, daquele único comentário em que me deixei levar pelo orgulho no LinkedIn, ao ver-vos a lutar para preservar a E2EE. Diria que funciona ao contrário — é uma expectativa que a outra parte tem em relação a nós, devido às nossas políticas públicas e à nossa posição sobre privacidade e proteção de dados — e, com o Tuta, a nossa infraestrutura está à altura dessa expectativa. Uma coisa com que temos cuidado enquanto ONG — mantemo-nos totalmente independentes de todos os fornecedores e parceiros, independentemente de qualquer relação que possamos ter. Isso garante que continuamos a exigir que cumpram os vossos próprios padrões e que o nosso julgamento permaneça imparcial, caso alguma vez detetemos algo suspeito em relação a qualquer fornecedor ou parceiro.

Pergunta: O que diria a outra organização que esteja a pensar mudar para a Tuta?

Sr. Steiner: É incrivelmente simples e um prazer de utilizar. Penso que a maioria das organizações receia a ideia de mudar de fornecedor, esperando que seja complexo, demorado ou incrivelmente aborrecido — posso atestar que não é nada disso. Transferimos os nossos doze endereços de e-mail sem complicações, e a curva de aprendizagem é mínima, uma vez que a interface do utilizador é bastante intuitiva. Claro que, tal como com qualquer novo serviço, demora um ou dois dias a adquirir a memória muscular, mas a interface do utilizador torna tudo realmente simples.

Participe!

Abaixo, o Robert partilhou três formas de se envolver com o COMPASS, por ordem crescente de compromisso.

• Leia e partilhe o trabalho — é público, gratuito e escrito de forma a ser compreendido.

• Seja voluntário connosco — gerimos um programa de voluntariado em expansão a nível da UE, com funções concretas (investigação de políticas, redação, dados, design, subvenções) e um portal adequado, não uma caixa de entrada onde os currículos vão parar ao esquecimento.

• Apoie-nos — o COMPASS encontra-se na sua fase de fundação, independente por natureza e autofinanciado por necessidade, e todas as contribuições revertem diretamente para o próprio trabalho de monitorização e educação.