Ah, o Canadá. O chamado Grande Norte Branco é o mais recente país a discutir uma legislação que poderia, essencialmente, exigir backdoors e ampliar a retenção de dados em serviços criptografados. As mudanças propostas levaram a empresa canadense anticensura Psiphon VPN (rede privada virtual), que mantém milhões de iranianos online durante bloqueios repressivos da internet, a afirmar que deixará o país caso o projeto seja aprovado. E a Psiphon não é a única.
O aplicativo de mensagens criptografadas Signal disse que deixaria o mercado canadense, porque a legislação exigiria mudanças inaceitáveis em seus projetos de código aberto. Apple e Meta criticaram o projeto, e DuckDuckGo e NordVPN afirmam que também considerariam retirar seus serviços. Mas, à medida que países ao redor do mundo discutem legislações semelhantes, surgem questões ainda maiores: quais estados ou regiões poderiam se diferenciar como refúgios seguros para serviços de privacidade, caso a hostilidade global à criptografia continue a crescer?
É exasperante e preocupante ver cada vez mais democracias propondo mudanças em suas leis de vigilância e coleta de dados, com o objetivo de dar à polícia e às agências de inteligência mais poder para acessar as informações das pessoas. Os governos já têm amplos poderes de vigilância digital e táticas investigativas para resolver crimes que envolvem dados criptografados, mas propostas legislativas quase inevitavelmente incluem dispositivos para ampliar ainda mais esse acesso, exigindo registros adicionais e o que equivale a backdoors ou falhas intencionais em produtos criptografados. Criptógrafos e engenheiros de segurança têm dito de forma consistente que esses recursos não podem ser construídos com segurança. Todos que entendem o assunto dizem isso há décadas. Ainda assim, os formuladores de políticas voltam repetidamente à ideia, de alguma forma esperando uma conclusão diferente ou um novo avanço que torne tudo possível.
“Sempre houve alguns funcionários em certas agências que tendem a ver a tecnologia como uma cena de crime em si, e isso se torna um foco de fixação míope em que o acesso é desejado”, afirma Kate Robertson, pesquisadora sênior do Citizen Lab, da Universidade de Toronto. “Mas esse tipo de pensamento compartimentado esquece que a tecnologia precisa ser a plataforma operacional segura para hospitais, bancos, agências de segurança nacional e para os próprios serviços policiais, para proteger vítimas que relatam informações privadas a eles.”
Nos últimos anos, o Reino Unido e a Austrália introduziram reformas de vigilância abrangentes que podem obrigar empresas a quebrar sua criptografia. Outras propostas que ameaçam a criptografia também surgiram na União Europeia, na França, na Índia, na Irlanda, na Espanha, na Suécia, na Suíça e em outros países. Embora nem todas as medidas tenham virado lei ou sido implementadas, a hostilidade é clara.
Apresentado pela primeira vez em 2025 e parcialmente revisado após duras críticas de empresas de tecnologia e da sociedade civil, o projeto C-22 do Canadá pode, de forma ampla, impor exigências a empresas de tecnologia, inclusive às que estão fora do país, para introduzir “capacidades técnicas” que permitam o acesso aos dados para fins de aplicação da lei. Como muitos projetos semelhantes, o C-22 afirma que as empresas não precisarão introduzir uma “vulnerabilidade sistêmica” em seus sistemas. Mas opositores apontaram que qualquer capacidade de acessar dados protegidos por criptografia de ponta a ponta equivale a uma backdoor que poderia ser descoberta e abusada por qualquer pessoa. Esse risco é ainda mais agravado pela facilidade com que qualquer pessoa pode hoje usar ferramentas de inteligência artificial (IA) para engenharia reversa e mapeamento de sistemas.
“Empresas poderiam ser instadas a introduzir vulnerabilidades, criar backdoors, contornar, enfraquecer ou de outra forma anular a criptografia”, afirmaram membros dos comitês de Justiça e de Relações Exteriores da Câmara dos Representantes dos EUA em uma carta de maio enviada a autoridades canadenses.
Além dos possíveis impactos sobre a criptografia, o C-22 também inclui dispositivos que poderiam exigir que as empresas retenham metadados sobre a atividade dos usuários, algo que muitos serviços focados em privacidade, incluindo os serviços de VPN da Psiphon e do DuckDuckGo, evitam intencionalmente. Como resultado, essas empresas afirmam que seriam forçadas a mudar seus modelos de negócios para coletar dados que não precisam ou não querem coletar sobre seus usuários. Pesquisadores afirmam que essas mudanças nos produtos reduziriam a confiança dos usuários e aumentariam o potencial de vigilância generalizada.
“Se você está pedindo e exigindo essa mudança de infraestrutura, que os serviços retenham metadados por padrão, isso cria uma capacidade de vigilância dentro de uma ferramenta que não a tinha”, afirma Afsaneh Rigot, fundadora do De|Center, organização de pesquisa que busca reduzir o risco de danos tecnológicos. “Há contextos como o Irã e outros lugares do mundo sobre os quais tudo isso tem um efeito cascata. Não vai ficar restrito ao Canadá, porque esses tipos de leis sempre são copiadas e replicadas pelo mundo.”
À medida que mais países discutem leis desse tipo, desenvolvedores focados em ferramentas de privacidade e anticensura buscam cada vez mais jurisdições seguras para operar. Mas isso ainda não resolve o problema de alcançar usuários em todos os países do mundo e, por enquanto, não há garantias.
“Mudar a sede não é um bom plano B quando a lei segue os usuários, como o C-22 faria”, afirma Joseph Lorenzo-Hall, líder da área de segurança na Internet Society. “A proteção mais forte é manter o mínimo possível de dados de usuários, mas o ‘não temos isso’ não é defesa se governos podem obrigar você a começar a coletá-los. Um refúgio seguro precisa de mais do que ventos favoráveis para a criptografia forte. Precisa de leis que permitam às empresas cumprir suas promessas de privacidade e defendê-las contra ameaças estrangeiras à confidencialidade e à integridade.”
