Proposto pela primeira vez em 2025 e parcialmente revisado devido às críticas contundentes de empresas de tecnologia e da sociedade civil, o Canadá Projeto de lei C-22 pode impor amplamente requisitos às empresas de tecnologia, incluindo aquelas fora do Canadá, para introduzir “capacidades técnicas” que permitam o acesso aos dados para fins de aplicação da lei. Tal como muitos desses projetos de lei, o C-22 diz que as empresas não terão de introduzir uma “vulnerabilidade sistémica” nos seus sistemas. Mas os oponentes apontaram que qualquer capacidade de acessar dados criptografados de ponta a ponta equivale a um backdoor que pode ser descoberto e abusado por qualquer pessoa. E este risco só aumenta ainda mais pela facilidade com que qualquer pessoa pode agora utilizar ferramentas de IA para engenharia inversa e mapeamento de sistemas.
“As empresas poderiam ser solicitadas a introduzir vulnerabilidades, construir backdoors, contornar, enfraquecer ou de outra forma derrotar a criptografia”, membros do Comitê Judiciário e de Relações Exteriores da Câmara dos EUA. disse em uma carta de maio às autoridades canadenses.
Além dos potenciais impactos na criptografia, o C-22 também inclui disposições que podem exigir que as empresas retenham metadados sobre a atividade do usuário, algo que muitos serviços focados na privacidade (incluindo serviços VPN da Psiphon e DuckDuckGo) evitam intencionalmente. Como resultado, dizem estas empresas, seriam forçadas a alterar os seus modelos de negócio para recolher dados que não precisam ou não querem recolher sobre os seus utilizadores. E os investigadores dizem que tais alterações nos produtos diminuiriam a confiança dos utilizadores, ao mesmo tempo que aumentariam o potencial de vigilância generalizada.
“Se estamos a pedir e a exigir esta mudança infraestrutural – que retenham metadados por padrão – estamos a criar uma capacidade de vigilância dentro de uma ferramenta que não a tinha”, afirma Afsaneh Rigot, fundador do De|Center, uma organização de investigação que visa reduzir o risco de danos tecnológicos. “Existem contextos como o Irão e outros contextos a nível mundial, sobre os quais tudo isto tem um efeito de gotejamento. Não vai ficar no Canadá porque estes tipos de leis são sempre copiados e colados em todo o mundo.”
À medida que mais países contemplam tais leis, os desenvolvedores focados em ferramentas de privacidade e anticensura estão cada vez mais procurando jurisdições seguras para operar. Mas isso ainda não resolve o problema de alcançar usuários em todos os países do mundo e, por enquanto, não há apostas seguras.
“Mudar sua sede não é exatamente um plano B quando a lei segue seus usuários, como faria o C-22”, diz Joseph Lorenzo-Hall, líder do portfólio de segurança da Internet Society. “A proteção mais forte é manter o mínimo possível de dados do usuário, mas ‘não os temos’ não é uma defesa se os governos puderem forçá-lo a começar a coletá-los. Um porto seguro precisa de mais do que ventos favoráveis em criptografia forte. Precisa de leis que permitam às empresas cumprir suas promessas de privacidade e defendê-las contra ameaças estrangeiras à confidencialidade e à integridade.”
Identificou algo que devemos incluir na próxima semana? Deixe-nos saber em (e-mail protegido). E fique seguro lá fora.
Compartilhe esta publicação
Ajude a levar esta informação adiante — publique no seu perfil.