Vigilância em massa ou combate à desinformação: o dilema do rastreamento

A transformação digital criou novos espaços e métodos para a circulação de informações^[3] e um deles é sem dúvida o "serviço de mensageria privada" utilizado em larga escala pela população tanto para informação quanto para desinformação. O Projeto de Lei nº 2630/2020, em tramitação na câmara dos deputados, aborda o serviço em duas ocasiões: primeiramente em seu art. 5º inciso IX definindo o que seria "serviço de mensageria privada" e, em seu artigo 10, estabelecendo um dever de guarda de determinados dados. Esse é o ponto mais polêmico e mais criticado do PL em questão. Nota-se, entretanto, uma discrepância no debate público sobre o tema e o que realmente o artigo 10 regula e inova no ordenamento jurídico. Visando trazer mais informações para o debate, faz-se necessário observar a regra concreta do artigo 10, a tradição brasileira da guarda de dados e a prática do direito comparado. Assim, consegue-se separar o que é simples polêmica desinformativa do real potencial lesivo a direitos fundamentais e possível efetividade da regra em questão para o combate à desinformação.

Colocando apenas esses dois pontos iniciais, fica claro o quão deslocado está o debate em torno da rastreabilidade. Guardar dados de envio de contas com comportamento inautêntico violaria a privacidade do individuo? De fato o artigo 10 diz uma coisa e o debate público sobre ele diz outra.

Nesse ponto percebe-se também a marca central que ronda o espírito do PL das fake news: o combate a desinformação em escala industrial (e não individual). Duas são as condições específicas para a obrigação de armazenamento: (1) encaminhamento (2) em massa. Assim, estabelece-se uma importante distinção entre a comunicação interpessoal e a comunicação massiva com potencial de manipulação da formação da opinião pública, ou seja, da democracia. O dever de guarda recai sobre casos de encaminhamento e não de envio diferenciando assim o envio de mensagens individuais de autoria própria do encaminhamento massivo de mensagens não autorais.

 Em outras palavras, para fins do artigo 10, as mensagens que são criadas pelo remetente (mensagens autorais) não se submetem à regra do dever de guarda do PL 2630/2020^[4]. Ou seja, a privacidade do indivíduo continua inviolável, mesmo quanto aos registros de envio. Já a comunicação sobre-humana em escala industrial passa a deixar rastros legais imposta pela obrigação do artigo para uma posterior responsabilização legal, sem ser censurada previamente.

Mas o que há de novo no dever de guarda de registros de envio  imposto pelo art. 10 do PL frente ao atual regime posto pelo Marco Civil da Internet (Lei n 12.965/2014)? O Marco Civil da Internet, em seu artigo 10, dispõe sobre o tema do dever de guarda e disponibilização dos registros de conexão e de acesso a aplicações de internet, incluindo dados pessoais e conteúdo de comunicações, com a ressalva de que a intimidade, a vida privada, a honra e a imagem das partes direta ou indiretamente envolvidas devem ser preservadas. O mesmo artigo em seus parágrafos estabelece um regime diferenciado para o fornecimento de dados armazenados decorrentes da obrigação legal: dados cadastrais que informem qualificação pessoal, filiação e endereço podem ser fornecidos mediante requerimento de autoridade administrativa, desde que detenha competência legal para sua requisição. O restante dos dados exige decisão judicial^[5].

Em relação ao tempo de guarda, o Marco Civil da Internet, em seu artigo 15, impõe aos provedores de aplicação o dever de guarda dos registros eletrônicos pelo prazo de seis meses. Portanto, empresas de internet que oferecem aplicações, como o WhatsApp, já são obrigadas a guardar os registros de envio quanto ao nº IP, data, horário dos acessos aos serviços sob sua responsabilidade, porém de forma indistinta, e não condicionadas a determinadas circunstâncias comportamentais de quem utiliza a plataforma. Os registros eletrônicos de aplicações de que trata o Marco Civil levará a identificação do usuário da aplicação, após obtenção de dados complementares junto ao provedor de conexão atrelado a determinado IP (Internet Protocol).

Outros estatutos brasileiros também contem essa obrigação de guarda ou retenção de dados, como a Lei de Lavagem de Dinheiro (Lei nº 9.613/1998)^[6] e a Lei de Organizações Criminosas (Lei nº 12.850/2013)^[7], sendo essa última o dever de guarda pelo prazo de cinco anos às empresas de telefonia.   

Portanto, o dever de guarda não é novo no ordenamento jurídico brasileiro. O Projeto de Lei nº 2630, por sua vez, inova ao impor o dever de guarda especificamente dos metadados (não de conteúdo) relacionados ao registro de envio de reencaminhamentos em massa, sendo que tais dados somente podem ser revelados por ordem judicial^[8]. Parece uma medida proporcional frente ao objetivo da lei em combater a escala industrial de produção de desinformação preservando o âmbito da privacidade do individuo.

Ou seja, se for para usar o termo rastreabilidade (que em nenhum momento aparece no texto), o PL nº 2630 não inova ao trazer rastreabilidade de dados mas sim ao impor rastreabilidade de comportamento às plataformas de serviços de mensageria privada. Com isso, o legislador coloca as empresas digitais como protagonistas no combate às fake news, e mira o controle por via comportamental e não pelo conteúdo propriamente dito de forma proporcional e sem violar a privacidade dos indivíduos.

No Direito Comparado há também a figura da obrigação de guarda de dados em diversos estatutos com diversas finalidades. Importante notar, entretanto, que a Europa afastou-se do chamado Vorratsdatenspeicherung ou Data Retention com a anulação da Diretiva de Retenção de Dados (2006/24/CE) pelo Tribunal de Justiça Europeu em 2014. O Tribunal Constitucional Alemão também já havia julgado inconstitucional a implementação da mesma Diretiva na Alemanha, no ano de 2010^[9]. A tendencia europeia tem sido afastar-se da obrigação de guarda indiscriminada para a guarda seletiva e clara em seus objetivos. Isso ocorre por exemplo na recente reforma da lei de regulação de redes alemã (Netz-DG) aprovada pelo parlamento alemão^[10], que entrará em vigor nas próximas semanas. No seu §3a percebe-se um correlato do art. 10 brasileiro com algumas diferenças^[11].

Enquanto o artigo 10 do PL brasileiro obriga a guarda de registros de envio de encaminhamento de mensagens em massa diferenciando-o da comunicação individual, o §3a da lei alemã limita-se aos dados que já foram apagados ou bloqueados e que dão origem à suspeita de um dos crime especificados na lista do estatuto. O §3a da lei alemã obriga, por exemplo, a transmissão dos dados diretamente ao órgão público, enquanto o artigo 10 do PL brasileiro faz distinção entre armazenamento e recuperação pelas autoridades e coloca a recuperação sob condições próprias. A regra alemã também é mais vasta que a brasileira, na medida em que inclui na obrigação não somente os dados de tráfego, mas também o conteúdo das mensagens. Nesse ponto, a regra brasileira é mais protetora da privacidade.

Em conclusão, com uma leitura bastante atenta do artigo 10 do PL nº 2630/2020 fica claro que existe um enorme equívoco por parte dos críticos que afirmam que esse dispositivo trará uma condição de vigilância em massa aos cidadãos. Vigilância, quando interligado com a proteção de dados, sempre denota a possibilidade de formação de perfis individuais pelo Estado. O PL trata do dever de guarda dos registros de envio de encaminhamento de mensagens  massivas, o que em nenhuma hipótese abre caminho para a formação de perfis individuais. O PL, ademais, impõe o dever de guarda a uma parcela de dados muito menor das obrigações já existentes no ordenamento jurídico vigente. Também o argumento largamente ventilado de que a obrigação imposta pelo art. 10 do PL atingiria o modelo de negócio da criptografia ponta-a-ponta é infundado, na medida em que a criptografia protege o conteúdo e a obrigação do artigo 10 nao versa sobre conteúdo mas dados de tráfego, os quais as empresas já guardam como fim legítimo da atividade. O artigo do PL visa, assim, a identificar o comportamento artificial, em escala industrial diferenciando-o da comunicação no plano individual, intersubjetivo e privado. Condenável sim, legitimamente justificado pelo interesse público e proporcional em seus fins em tornar responsável juridicamente aqueles que usam a rede privada de serviços de mensageria instantanea, como o WhatsApp^[12] e outras que venham a surgir para fins de manipulação do mercado de ideias e informações que sustenta qualquer Estado democrático de direito.