Na nossa coluna do último dia 20 de novembro, neste mesmo periódico ("LGPD, qual é a cor do meu sapato?"), vimos como os identificadores diretos (nome, endereço, e-mail, CPF, só para citar alguns) e os indiretos (nossas preferências na web) podem ser usados não só para rastrear nossos caminhos digitais, como também para criar perfis de consumo que podem ser usados para discriminar qualquer usuário da web. Hoje a web é um paraíso para estes stalkers virtuais que tiram o sono da LGPD.
Vamos aqui "pisar em ovos" e comentar sobre uma solução para este problema. Adianto que a solução está na identificação digital (eID) e, a expressão "pisar em ovos", vem para invocar as eventuais implicações, ou não, na liberdade individual que a escolha do modelo de eID pode trazer. Dai, con calma, piano piano.
Segundo o periódico O Estado de São Paulo, em sua edição de 29 de novembro de 2011, o Brasil tinha, há quase 10 anos, mais de 165 milhões de indivíduos cadastrados no CPF e, neste mesmo cadastro tínhamos 72.463 brasileiras chamadas Maria Jose' da Silva. Algumas delas irmãs, acreditem ou não. Talvez algumas até com a mesma mãe. Imagine só o problema destas pessoas na aquisição de crédito, ou na prova de identidade.
Um identificador único (ID), um número por exemplo, para cada indivíduo, ajuda a sanar esse problema. Essa é a base de um sistema de identificação. No entanto, quando esse número é atrelado a uma pessoa física diretamente, esse ID pode gerar situações inconvenientes. Voltemos ao caso do CPF. Ele é hoje nosso principal meio de identificação unívoca o qual associa um número, um ID, a uma única entidade física. Vejamos a seguinte situação: vou à farmácia e informo CPF para ganhar um desconto no medicamento X. Foi criado um registro que associa meu ID, o CPF, ao medicamento X. Também vou ao banco fazer um seguro de vida. Eles já têm o meu CPF, claro! O CPF é fundamental para a operação do banco. Fiz o seguro. Formou-se assim um registro que associa meu CPF ao seguro Y. No entanto, vejam o perigo da associação de registros. Por meio do CPF é possível associar o medicamento X ao seguro Y. Como a identificação pessoal permite acesso a quase todo o espectro de serviços e produtos online, sempre usamos os mesmos identificadores pessoais para qualquer atividade na web e no mundo real também. A conta no banco, a compra numa loja física ou de e-comerce, a matrícula na escola, o serviço de saúde, a conta de água, de luz, de telefone...enfim, todas as relações de saúde, comerciais, educacionais, trabalhistas, contratuais...envolvem um ID ligado a uma pessoa física. Esse relacionamento direto entre um identificador único e uma pessoa nos parece tão inquestionável que nem pensamos em outras alternativas. No entanto, essa associação direta entre ID e pessoa forma o mundo da entrega total da sua privacidade, não só ao Estado, mas a praticamente todas as entidades que você se relaciona. Veremos aqui que esse modelo antiquado de identificação não é o único e que temos opções mais sensatas e mais adequadas a realidade atual.
Embora a identificação civil não seja obrigatória no Brasil (como é, por exemplo, na Alemanha), a identificação abre as portas para inúmeros serviços e benefícios do Estado e alimenta uma sequência de outros documentos que liga o cidadão a demais bancos de dados. No Brasil embora a obrigatoriedade da identificação não existe, na prática não temos outra escolha. Hoje os bebês brasileiros já são associados a um identificador fiscal já no seu registro de nascimento. Com essa imposição de um identificador fiscal em tão tenra idade não há LGPD que aguente tanta associação direta de registros. É interessante destacar que a identificação civil compulsória nasceu na Alemanha em 23 de julho de 1938, durante o regime nazista. Quando criada, exigia que todo judeu solicitasse seu documento de identificação até o final daquele ano [GHDI]. Embora, no Brasil, a identificação civil traga uma série de benefícios do Estado, nos dias atuais, com a tecnologia que dispomos, a chave de identificação, o ID pessoal, não necessariamente precisa estar ligado à pessoa física, mas poderia estar ligada ao serviço ou aos dados que o serviço necessita. Por exemplo, segundo a lei 13.106/15 é proibida a venda de bebidas alcoólicas a menores de idade no Brasil. Com uma identificação digital, eID, quando solicitada para este fim, não seria necessário revelar o nome, o RG, e muito menos a delicada informação data de nascimento do portador da identidade, ou qualquer outro dado pessoal. Restaria a eID afirmar se o seu portador é ou não maior de idade. Só! A concepção de atrelar um identificador à totalidade de dados de uma pessoa não faz sentido a uma variedade enorme de serviços atuais, como por exemplo, suas compras diárias. O cerne de qualquer compra é a aquisição de uma coisa ou serviço mediante o pagamento pelo preço estipulado numa moeda ou meio de pagamento acordado. A priori, na grande maioria das compras bem sucedidas, além do intercâmbio coisa/serviço-moeda, é completamente dispensável qualquer outro dado, inclusive o nome do comprador, e às vezes, até seu endereço.
Na prática, a eID já existe na Europa desde o início deste século. A eID está presente em países como na Bélgica, Alemanha, Itália, Malta, Holanda, Noruega, Espanha entre outros. Está presente também no México, Uruguai, Paquistão, Costa Rica, para citar alguns. A Comissão Europeia não só estimula o governo eletrônico oferecendo kits para implementação de identidades digitais, como outros serviços, incluindo infraestrutura de blockchain, nota fiscal eletrônica, assinatura eletrônica, entre outros serviços [CEF Digital]. Cabe explicar que embora todos esses países já tenham alguma forma de identificação digital, os modelos de eID não são necessariamente semelhantes entre esses países.
Antes de avançarmos e mostrarmos alguns exemplos de uso de eID, vejamos como essa identificação digital funciona.
Todas as informações individuais continuam armazenadas numa base de dados a qual é conectada por meio de um identificador, um número, por exemplo, semelhante a um CPF. Para certificar-se que a pessoa tem o direito de acessar alguma informação pessoal desta base de dados, alguns passos são necessários:
- Conectar o ID aos dados da base de dados. Procedimento esse que é feito por um certificado digital (de maneira análoga ao que ocorre hoje com os certificados digitais de muitos profissionais); e
- Conectar o ID às informações específicas e requeridas da base de dados.
Um dos formatos preferidos de eID é o tradicional cartão plástico de policarbonato, modelo ID-1 (ISO/IEC 7810), no formato de um cartão bancário que inclui um microchip com RFID (opera por aproximação, ISO/IEC 7816), semelhante aos chips de passaportes. O chip pode armazenar as informações dispostas nas faces do cartão (número do documento, foto e nome, por exemplo) entre outros dados tais como dados biométricos, tipo sanguíneo, nome da mãe ou números de outros documentos. O cartão pode ser usado como meio de identificação ou autenticação. Uma assinatura eletrônica pode ser armazenada quando proporcionada por uma empresa.
Certamente a eID não se limita a versão cartão e pode vir na forma de um arquivo ou de um aplicativo para smartphones.
Aliada a identificação, a eID pode também trazer o benefício da autenticação, ou seja, da confirmação de alguém como autêntico, que certifica a autoria e a pertinência do documento. A autenticação é de extrema relevância na proteção dos dados e gestão da informação, pois ela garante o acesso e a alteração de dados apenas às pessoas devidamente autorizadas.
Na grande maioria dos países que usam eID a identificação digital é proporcionada pelo estado, no entanto, na Suécia, na Finlândia e na Noruega as autoridades governamentais aceitam cartões bancários eletrônicos como forma de identificação. Esse é o caso do BankID. BankID é a maior empresa sueca de eID e responsável pela identificação de 94% de todos os usuários de smartphones na Suécia [BankID Company]. Não por acaso, a Suécia é um grande exemplo de uso de eID o qual, como é proporcionado por bancos, é um serviço sem taxas para seus usuários. Como já está subentendido, além do uso no sistema bancário, ele é aceito como cartão de saúde, aceitos pelos organismos governamentais e por mais de 600 web sites que incluem serviços e comércio. Na Noruega o sistema de eID também tem o mesmo nome, mas é um serviço distinto. Lá esse cartão é inclusive aceito com identificação nas Universidades. Tecnicamente difere do modelo sueco por usar um chip modelo SIM (o mesmo dos smartphones) e não um chip RFID. O custo de operação desta eID está incluído nas taxas bancárias.
Na Bélgica, mesmo com a exigência de portar um documento de identificação a partir dos 12 anos de idade, existe uma eID para crianças (Kids ID) que pode ser adotada voluntariamente. Nesta eID podem conter os dados da criança, nomes de seus pais, telefones de contatos de parentes e informações sobre como proceder em caso de acidentes. O Kids-ID card permite a participação da criança nos clubes juvenis de chat usando esse documento como meio de entrada e evitando assim a participação de pedófilos. Na Alemanha o seu Personalausweis têm algumas características interessantes, dentre as quais o uso de pseudônimo. Depois de se registrar pela primeira vez com seu ID e criar um perfil de usuário, os titulares do novo cartão de identificação podem fazer novos acessos a vários serviços sem revelar dados privados. O sistema "reconhece" o usuário. O chip do novo cartão de identificação gera um pseudônimo que o titular pode usar para se identificar, mas que não fornece acesso a quaisquer dados pessoais. Junto com o PIN de 6 dígitos, este método é igual ao familiar procedimento de login, mas muito mais seguro. Outro serviço interessante é a verificação da idade. Alguns provedores de serviços online só precisam saber se um usuário atingiu uma determinada idade. Em casos como esses, o provedor de serviços pode usar a função de verificação de idade. Isto é usado, por exemplo, em máquinas de cigarro ou para serviços online com conteúdo adulto. Ao invés de transmitir a data completa de nascimento ao prestador de serviços, tudo o que o cartão de identificação transmite é se o seu titular atingiu a idade exigida. O mesmo procedimento da verificação de idade também pode ser usado quando um fornecedor oferece seus serviços em uma determinada região e, portanto, precisa saber se um usuário está registrado na área relevante. Também neste caso, a resposta é apenas "Sim" ou "Não". Ambas as funcionalidades são projetadas para assegurar e garantir que apenas os dados absolutamente necessários sejam divulgados [BENDER, 2012].
Um modelo de eID seguro é a única forma de proteção dos dados pessoais e de prevenção a fraudes, como o roubo de identidade. A proteção de dados pessoais, como garantida pela LGPD, é a base para uma sociedade que tira proveito das transações eletrônicas em que os cidadãos e as entidades precisam confiar que ambas as partes tratem os dados no rigor da lei.
No Brasil temos o Decreto 9.278, de 5 de fevereiro de 2018, que estabelece uma normativa para o novo Documento Nacional de Identificação, DNI, que será uma versão digitalizada da Carteira de Identidade [Decreto 9.278]. Essa nova versão também será fornecida na forma de um cartão bancário e poderá ter, opcionalmente, os números de vários outros documentos, como o CPF, Título de eleitor, Carteira de Trabalho, Certificado Militar, entre outros. Apesar do avanço, essa nova mídia ainda manterá o antigo modelo de associação direta do ID com a pessoa física e não seguirá os novos modelos em que a associação do ID com o serviço faz mais sentido do que modelo nacional atual. Com todos os números de documentos numa única mídia, perder esse DNI será como participar de um filme de terror. Essa LGPD terá muito trabalho com esse novo modelo. Em tempo, a partir de 1º de março de 2020, os órgãos de identificação estarão obrigados a adotar os padrões de Carteira de Identidade estabelecidos neste Decreto. (Redação dada pelo decreto 10.257, de 2020).
Enquanto isso, na Europa, na fila de uma padaria local, dois clientes conversam:
- "- Pode passar na frente, ainda vou pegar o pão", disse JB;
- "- Muita gentileza sua. Prazer, sou José da Silva.", disse JS;
- " - O prazer é meu. Sou Bond, James." disse JB.
E a fila anda. São apenas mais dois clientes da padaria.
Referências bibliográficas
GHDI, German History in Documents and Images. Disponível aqui. Última visita em 15 de dezembro de 2020.
CEF Digital. Choose your building block. Disponível aqui. Última visita em 15 de dezembro de 2020.
BankID Company. Dsponível aqui. Última visita em 15 de dezembro de 2020.
BENDER, Jens et al. Domain-specific pseudonymous signatures for the german identity card. In: International Conference on Information Security. Springer, Berlin, Heidelberg, 2012. p. 104-119.
Decreto 9.278.Regulamenta a lei 7.116, de 29 de agosto de 1983, que assegura validade nacional às Carteiras de Identidade e regula sua expedição. Disponível aqui. Última visita em 15 de dezembro de 2020.
*Evandro Eduardo Seron Ruiz é professor Associado do Departamento de Computação e Matemática, FFCLRP - USP, onde é docente em dedicação exclusiva. Atua também como orientador no Programa de Pós-graduação em Computação Aplicada do DCM-USP. Bacharel em Ciências de Computação pela USP, mestre pela Faculdade de Engenharia Elétrica da UNICAMP, Ph.D. em Electronic Engineering pela University of Kent at Canterbury, Grã-Bretanha, professor Livre-docente pela USP e estágios sabáticos na Columbia University, NYC e no Instituto de Estudos Avançados da USP (IEA-USP). Coordenador do Grupo de Pesquisa "Tech Law" do IEA-USP. Membro fundador do Instituto Avançado de Proteção de Dados - IAPD.