Internet das coisas no Brasil: a consulta pública da Anatel sobre a regulamentação das aplicações de IoT e comunicação máquina a máquina

A internet das coisas é a infraestrutura de conexão física ou virtual entre objetos, mediada por dispositivos, baseados em tecnologia da informação e da comunicação. Esta rede possibilita a coleta, o processamento, o tratamento e o compartilhamento de dados referentes aos objetos físicos e/ou virtuais.¹

O artigo apresenta os desafios regulatórios na regulamentação do tema no Brasil, com o destaque à abertura pela Anatel de consulta pública, no mês de setembro de 2018, sobre questões relacionadas à IoT.

Em destaque, na consulta pública da Anatel, questões relacionadas à classificação das aplicações de IoT, regras de outorga e licenciamento, uso das frequências do espectro, tributação, entre outras, a frente analisadas.

Aplicações de IoT

Há aplicações de IoT nas casas e edifícios. Produtos de IoT para casas inteligentes – controle de temperatura, luz e segurança e consumo de energia elétrica - Alexa, assistente virtual, comercializada pela Amazon². Em edifícios, aplicações de Iot no âmbito da segurança, como controle biométrico da entrada de pessoas, bem como o controle de veículos, nas garagens.

Na indústria, há projetos de IoT de digitalização das fábricas e robotização, fabricação de carros autônomos, etc. A denominada indústria 4.0 utiliza sensores, com redes wireless, para melhorar a produtividade nas fábricas, controlando as condições de estoque, monitoramento do transporte dos produtos, bem como as condições ambientais de fabricação.

No setor do comércio, aplicações de IoT para o monitoramento de frota de veículos, rastreamento de containers em portos e navios entre outros, controle do estoque em centro de distribuição logística, entre outras.

Na agricultura, a irrigação inteligente, controle de equipamentos agrícolas, rastreamento de plantação, com drones, monitoramento das condições climáticas. Na agropecuária, monitoramento do gado no pasto.

Na saúde, o monitoramento remoto de pacientes crônicos, rastreamento de medicamentos de alto custo, sensores podem controlar temperaturas de equipamentos, tais como brocas cirúrgicas utilizadas em cirurgias de prótese de quadril, entre outras aplicações.

Nos governos, projeto de IoT de cidades inteligentes, redes de energia de iluminação pública com sensores inteligentes, semáforos baseados no tráfego, etc.

No setor financeiro, uma das aplicações da internet das coisas, são as comunicações máquina a máquina. Exemplo: empresas de pagamentos eletrônicos, por aplicativos de internet móvel, em pequenas máquinas.

Novos modelos de negócios de aplicações de IoT que realizam serviços financeiros, mediante comunicação máquina a máquina, demandam o conhecimento da regulação setorial, adotada pela Anatel. Isto porque o negócio pode depender de uma rede virtual de uma operadora de serviços de comunicação móvel ou não. Poder ser que o modelo de negócios de aplicação de IoT utilize ou não frequências do espectro.

Em outras palavras, as aplicações de IoT dependem da infraestrutura de rede de telecomunicações. Daí a necessidade de verificação do modelo de negócios de Iot para saber que ele precisará, inclusive, de uma outorga de serviço de valor adicionado à rede telecomunicações ou de autorização de espectro de frequências. Daí o papel regulatório da Anatel na clareza quanto ao marco regulatório incidente sobre as aplicações de Iot.

IoT: riscos à segurança e à privacidade

A internet das coisas tem o potencial de coletar dados pessoais de milhões de pessoas. Existem os possíveis riscos à segurança dos dados pessoais e à privacidade, com o monitoramento remoto por dispositivos tecnológicos de seus hábitos de consumo, sua localização, seus comportamentos, suas preferências, entre outros aspectos.

É importante que a sociedade tenha consciência dos riscos da hipervigilância causados pelas redes de IoT, bem como os possíveis riscos à liberdade digital. A partir daí, o legislador pode definir, em legislação adequada, os limites das aplicações de IoT.

Aplicações de IoT e a demanda por conectividade, mediante a utilização da infraestrutura de rede de telecomunicações

A internet das coisas demanda infraestrutura de redes digitais de comunicações. É essencial a existência de redes de transportes de dados e redes de acessos, em alta velocidade.

A rede de internet 5G, uma rede de alta velocidade (expectativa de velocidades de 100 Mbps para 10 Gbps), é fundamental para a IoT. Esta rede 5G depende de redes de antenas de telefonia celular e fibras óticas e soluções de softwares baseados na denominada nuvem (cloud computation).

Desafios da regulamentação das aplicações de IoT.

No Brasil, a internet das coisas não está ainda regulamentada.

É necessária a regulação, por lei e por decreto, acompanhada de medidas de autorregulação pelas empresas que ofereçam dispositivos de internet das coisas.

Para além da regulação, outra função do governo é fomentar a iniciativa privada quanto à realização de investimentos para construção da infraestrutura de rede de internet das coisas.³

Há, apenas, no Brasil, a menção da internet das coisas no decreto 9.319/18 que institui o sistema nacional de transformação digital.

Este decreto aborda temas como infraestruturas de redes de transporte de dados e acesso à internet, por banda larga fixa e móvel, transformação digital da economia, educação e capacitação profissional, economia baseada em dados, novos modelos de negócios.

O decreto 9.319/18 apenas menciona o seguinte: "ao reconhecer o potencial transformador das aplicações da internet das coisas, devem ser estabelecidos ações e incentivos destinados à contínua evolução e disseminação dos dispositivos e das tecnologias associadas".

Anatel: a consulta pública sobre a regulamentação das aplicações de IoT

Recentemente, a Anatel abriu consulta pública 31, de setembro de 2018, para a reavaliação da regulamentação para fins de expansão das aplicações IoT.

A agência reguladora apresenta como eixos temáticos para análise de impacto regulatório: a) a outorga dos serviços de IoT, a partir dos novos modelos de negócios; b) as regras de prestação dos serviços de IoT; c) a questão da tributação e licenciamento dos serviços de IoT; d) a numeração para atender a demanda dos dispositivos IoT (utilizado para endereçamento e identificação em qualquer rede no mundo); e) a segurança cibernética em dispositivos IoT (medidas de certificação e homologação dos dispositivos IoT); f) a faixa de espectro disponível para IoT (e, também, a realização de licitações não arrecadatórias para novas frequências); g) a infraestrutura de banda larga para suportar serviços IoT, h) acordos de roaming nacionais, considerando-se a oferta de serviços IoT baseadas em fornecedores de conectividade globais.

Como um dos fundamentos para a abertura da consulta pública, a Anatel cita o plano nacional de IoT, bem como a câmara de IoT, estabelecida na forma do decreto 8.234/14⁴. Este decreto, regulamenta o art. 38 da lei 12.715/12, o qual trata da tributação das comunicações máquina a máquina. Conforme este ato normativo o ministro das comunicações (atualmente, ministério de ciência, tecnológica, inovação e comunicação), criará câmara de gestão e acompanhamento do desenvolvimento dos sistemas de comunicação máquina a máquina. E, ainda, conforme o decreto, compete à Anatel regulamentar e fiscalizar as disposições do decreto.

Segundo a Anatel, a câmara de IoT tem a função de gerir e acompanhar o desenvolvimento de sistemas de comunicação máquina a máquina, para fins de aplicação do art. 38 da lei 12.715/12, que trata da tributação das aplicações máquina a máquina. Destaque-se que a lei se refere unicamente à questão da tributação das aplicações de IoT.

Conforme ainda a Anatel, alguns modelos de negócios para IoT/M2M (comunicação máquina a máquina) não estão enquadrados conforme as características típicas dos serviços de telecomunicações, na forma da regulamentação em vigor. Daí a necessidade de ajustes na regulamentação dos serviços de IoT/M2M.

Também, aponta para a falta de flexibilidade da regulamentação da exploração do serviço móvel pessoal (SMP), por meio da rede virtual para aplicações de IoT.

De acordo com a Anatel, algumas das aplicações de IoT utilizam como suporte os serviços de telecomunicações, na modalidade serviço móvel pessoal.

Acontece que o serviço de telecomunicações é regulamentado a partir de carga obrigacional baseada na comunicação entre pessoas, daí exigência de obrigações de proteção ao consumidor e de qualidade.

No entanto, estas obrigações consumeristas e de qualidade da regulamentação de telecom não têm sentido no campo das aplicações de IoT. Daí um dos possíveis caminhos seja estabelecer o regime diferenciado para as aplicações de IoT, inclusive com a possibilidade de a questão ser definida em regime contratual.

Também, no modelo de credenciamento por rede virtual (MNO – mobile network operator) exige-se a vinculação a um prestador de origem. Entretanto, tal exigência não faz sentido na aplicação de IoT. Dentre as alternativas, o estabelecimento de regime diferenciado para aplicação de IoT, por rede virtual, a partir do serviço móvel pessoal.⁵

Debate sobre a classificação jurídica das aplicações de IoT

Há o debate sobre a classificação jurídica da internet das coisas.

Há a tendência em classificá-la como serviço de valor adicionado à rede de telecomunicações. O conceito de serviço de valor adicionado está presente na lei geral de telecomunicações, em seu art. 61.⁶ É, porém, distinto do conceito de serviço de telecomunicações, o qual engloba, tradicionalmente, o serviço de telefonia fixa e o serviço móvel pessoal.

Consequentemente, se classificada a internet das coisas, como serviço de valor adicionado haverá possivelmente a tributação municipal, por ISS.

Diversamente, se a internet das coisas for classificada como serviço de telecomunicações, haverá a incidência da tributação estadual por ICMS.

Propostas legislativa de isenção de tributação sobre comunicação máquina a máquina, para fomentar o desenvolvimento dos modelos de negócios de aplicações e IoT

Há alguns projetos de lei com o intuito de afastar a cobrança de taxas e contribuições sobre as estações de IoT. É o caso do projeto de lei 7.656/17.

O projeto de lei (substitutivo ao projeto de lei 7.656/17) atribui à Anatel a competência para definir o conceito de comunicação máquina a máquina, para fins de aplicação da regra que prevê a isenção da tributação da contribuição para o fomento da radiodifusão pública e da contribuição para o desenvolvimento da indústria cinematográfica.⁷

Ora, é complicado a delegar à agência reguladora a definição deste tipo de conceito de comunicação máquina a máquina, para fins de tributação. É a lei que deve definir este conceito. É o que impõe o princípio da estrita legalidade tributária. Caso contrário, cria-se cenário de incerteza e insegurança jurídica, na aplicação prática do conceito no âmbito da regulação setorial da internet das coisas, com riscos de judicialização do tema.

Na consulta pública da Anatel, há o registro do problema da incidência de taxas de licenciamento de estações (taxa de fiscalização de instalação – TF1 e taxa de fiscalização de funcionamento - TFF) que podem inviabilizar os modelos de negócios de internet das coisas (IoT/M2M).

Há o debate sobre as alternativas no sentido de isentar ou zerar as taxas de licenciamento de terminais IoT/M2M, com a dispensa do licenciamento de terminais IoT/M2M ou a tributação baseando-se em percentual da receita sobre os negócios e não por dispositivos.

Questão da neutralidade da rede

Outro desafio regulatório é a questão da neutralidade da rede, prevista no marco civil da internet. Com a implantação com as redes de IoT haverá possivelmente a demanda para a flexibilização da neutralidade da rede. Exemplo: a internet das coisas no âmbito de comunicação entre veículos, com a priorização dos serviços de ambulâncias, é citado, como demanda para flexibilizar a neutralidade da rede.

Por exemplo, nos Estados Unidos, diante da ambiguidade legal no communication act, há a controvérsia em torno da neutralidade da internet. Inicialmente a federal communication comission, sob o governo Obama, classificou os serviços de conexão à internet como serviços de telecomunicações, para fins de garantia das obrigações quanto à neutralidade da rede. Posteriormente, a agência reguladora, sob o governo Trump, afastou a neutralidade da rede.

Diversamente, aqui, o conceito de neutralidade da internet foi definido pelo marco civil da internet.

Frequências do espectro

Outra questão é a definição da faixa de espectro de frequências a ser utilizada pela IoT, a faixa licenciada e a não licenciada, a ser decidida pela Anatel. Por exemplo, a internet das coisas depende da rede de comunicação sem fio (wireless).

Padrões de segurança e privacidade das aplicações de IoT

Outro desafio para a regulação da IoT, é a definição de padrões de segurança e privacidade nos dados coletados através dos dispositivos fixos e móveis. Também, é indispensável a regulação para a proteção de dados pessoais dos usuários das aplicações de internet das coisas.

Neste aspecto, cumpre destacar que o Brasil aprovou, recentemente, a lei 13.709/18 que trata da proteção de dados pessoais, com regras para as empresas privadas e o setor público. Há, inclusive, regras sobre a transferência internacional de dados pessoais entre empresas.

Se a arquitetura da rede de IoT não for adequadamente realizada há sérios riscos à segurança e à privacidade dos dados, transportados pelas redes. Por razões de segurança, é fundamental a identificação digital dos objetos físicos e virtuais.

Panorama internacional sobre cibersegurança e IoT

O tema da internet das coisas está diretamente associado à questão da cybersegurança.

Neste aspecto, a consulta pública da Anatel coloca em debate as questões de certificação e homologação dos dispositivos de IoT.

Por exemplo, os Estados Unidos aprovou o internet of things (IoT) cybersecurity improvement act of 2017.

Este ato norte-americano apresenta padrões dos dispositivos de internet das coisas adquiridos pelas agências federais. Assim, os fornecedores e operadores de equipamentos de internet das coisas (exemplo: o desenho dos chips utilizados nas máquinas e redes) para o governo norte-americano e suas agências devem se adequar às diretrizes de cybersegurança.

Também, recentemente, o legislador da Califórnia aprovou projeto de lei (senate bill – SB 327) para a proteção da privacidade da informação em dispositivos conectados (IoT).

Conforme o projeto de lei, o fabricante de dispositivos conectados deve seguir padrões de razoável segurança, conforme os seguintes aspectos: apropriado conforme a natureza e função dos dispositivos tecnológicos, apropriado à informação coletada, armazenada e transmitida; desenhada para proteger o dispositivo e qualquer informação armazenada diante de acessos não autorizados, destruição, uso, modificação ou abertura, entre outras regras. O projeto de lei, se sancionado pelo governador da California, entrará em vigor em janeiro de 2020.

Segundo críticos, o projeto de lei é um primeiro passo, ainda que com definições superficiais e incompletas de segurança. Para os críticos, o projeto de lei não indica as medidas de segurança, tais como atestado de dispositivo, assinatura de código e auditoria de segurança em firmware, adquiridos de fornecedores de dispositivos IoT que compram de fornecedores no exterior. Também, o projeto de lei não definiria responsabilidade na hipótese de acesso não autorizado, mediante chaves de criptografia codificadas.⁸

Ou seja, o tema da internet das coisas está diretamente associado à questão da defesa cibernética nacional, diante de ameaças externas. Ataques cibernéticos em redes pública e privadas por hackers apresentam desafios quanto à defesa nacional.

Em síntese, nos Estados Unidos há regras para a segurança em IoT baixadas pelo Congresso Nacional a serem seguidas pela indústria. Lá, ainda, debate-se se deve haver a obrigatoriedade da certificação dos dispositivos de IoT.

Para compreender melhor o contexto, os Estados Unidos adotou medidas para impedir que a China comprasse companhias norte-americanas no setor de tecnologia (fabricantes de chips de computadores e telefones celulares). Para além da questão da competividade internacional, há alegações de riscos à segurança nacional. Daí a guerra comercial entre Estados Unidos e China neste campo da cibersegurança.

O tema deve ser analisado a partir do contexto da big Picture, caracterizado pelo cenário da guerra comercial entre Estados Unidos e China, em matéria de liderança tecnológica.

O programa de governo da China denominado made in china 2025 tem objetivos claros no sentido de buscar a sua autonomia tecnológica, mediante a fabricação de chips de aparelhos celulares, robôs, bem como a digitalização de sua indústria. Daí todo o debate internacional em torno de propriedade intelectual, transferência de tecnologias, cibersegurança, etc.

Oportunidades nas aplicações de IoT

A IoT apresenta imensas oportunidades para as empresas de telecomunicações, os provedores de conexão à internet, bem como para as empresas que exploram este tipo de negócios. Cria demandas para a criação de datacenters e implantação de mais redes de antenas celulares⁹. Há inclusive linhas de crédito para startups no segmento de IoT, no BNDES (via FINEP).

Há desafios e oportunidades imensos para as empresas fabricantes de dispositivos IOT, operadores de rede IoT, e as startups com novos modelos de negócios, baseados em IoT.

Em síntese, o tema da regulação da internet das coisas repercute, significativamente, no presente e no futuro próximo.

__________

1 Segundo definição da União Internacional de Telecomunicações, internet das coisas: "é uma infraestrutura global para a sociedade da informação, que habilita serviços avançados por meio da interconexão entre coisas (físicas e virtuais), com base nas tecnologias de informação e comunicação (TIC)".

2 Há o relato de problemas quanto à segurança e privacidade das pessoas, em razão da utilização de dispositivos tecnológicos que podem gravar toda as conversas realizadas próximas ao equipamento. Há casos, inclusive, de babás eletrônicas atacadas por hackers que monitoram as crianças e o ambiente da casa. Daí nos Estados Unidos movimentos dos consumidores para exigir medidas de proteção à segurança e à privacidade, em relação aos produtos de IoT.

3 Google anunciou a realização de investimentos de U$ 140 milhões de dólares para expandir seu data center no Chile. É o primeiro data center do google na América Latina que servirá como infraestrutura para de oferta de serviços de computação em nuvem (cloud computation). A escolha do Chile foi motivada, segundo noticia a imprensa, pelo ambiente favorável à realização de investimentos estrangeiros, marco regulatório claro e fontes de energias renováveis. O Brasil perdeu a oportunidade de atrair este tipo de investimento de uma companhia global, para criar empregos e gerar renda no país. O fato atesta o atraso do país na construção de uma política para fomentar investimentos em data center em território nacional e, consequentemente, para competir no cenário internacional. Por sua vez, a India aprovou, recentemente, lei para obrigar empresas de tecnologia estrangeiras para armazenar dados pessoais dos usuários em seu território. A lei impacta as empresas Facebook, PayPal, Mastercard, entre outras.

4 Portaria 5.507, de 30 de novembro de 2016, do ministério da ciência, tecnologia, inovações e comunicações trata da organização da câmara de gestão e acompanhamento do desenvolvimento de sistemas de comunicação máquina a máquina e internet das coisas (câmara IoT), modificando a portaria 2.066, de 10 de maio de 2016. Esta portaria 2.006/16 dispõe, originariamente, o seguinte: "Art. 1º. fica criada a câmara de gestão e acompanhamento do desenvolvimento de sistemas de comunicação máquina a máquina e internet das coisas (câmara IoT) incentivados no âmbito do art. 38 da lei 12.715, de 17 de setembro de 2012, que terá como objetivos: I - acompanhar a evolução e o surgimento de novas aplicações máquina a máquina e internet das coisas resultantes da desoneração prevista no art. 38 da lei 12.715/12; II – subsidiar a formulação de políticas públicas que estimulem o desenvolvimento de sistemas de comunicação máquina a máquina e internet das coisas voltados para setores prioritários; e III – promover e coordenar a cooperação técnica entre prestadoras de serviços de telecomunicações fabricantes de equipamentos do setor de telecomunicações e entidades de ensino e pesquisa".

5 A Anatel, em julho de 2018, autorizou à empresa safra telecomunicações para explorar o serviços de operadora de rede virtual de telecomunicações (MVNO).

6 Conforme lei geral de telecomunicações: "Art. 61. Serviço de valor adicionado é a atividade que acrescenta, a um serviço de telecomunicações que lhe dá suporte e com o qual não se confunde, novas utilidades relacionadas ao acesso, armazenamento, apresentação, movimentação ou recuperação de informações. §1º. Serviço de valor adicionado não constitui serviço de telecomunicações, classificando-se seu provedor como usuário do serviço de telecomunicações que lhe dá suporte, com os direitos e deveres inerentes a essa condição".

7 Art. 38. O valor da taxa de fiscalização de instalação das estações móveis do serviço móvel pessoal, do serviço móvel celular ou de outra modalidade de serviço de telecomunicações, nos termos da lei 5.070, de 7 de julho de 1966, e suas alterações, que integrem sistemas de comunicação máquina a máquina, definidos nos termos da regulamentação a ser editada pelo Poder Executivo, fica fixado em R$ 5,68 (cinco reais e sessenta e oito centavos). (Regulamento) Parágrafo único. A taxa de fiscalização de funcionamento será paga, anualmente, até o dia 31 de março, e seus valores serão os correspondentes a 33% (trinta e três por cento) dos fixados para a taxa de fiscalização de instalação. Por sua vez, o decreto 8.234/14, regulamenta o art. 38 da lei 12.715/12, definindo o seguinte: "Art. 1º. Para fins do disposto no art. 38 da lei 12.715, de 17 de setembro de 2012, são considerados sistemas de comunicação máquina a máquina os dispositivos que, sem intervenção humana, utilizem redes de telecomunicações para transmitir dados a aplicações remotas com o objetivo de monitorar, medir e controlar o próprio dispositivo, o ambiente ao seu redor ou sistemas de dados a ele conectados por meio dessas redes".

8 A imprensa noticiou incidente de segurança na Amazon em que supostamente funcionários teriam vazados Código de acesso ao Sistema da empresa.

9 Recentemente, a imprensa noticiou a expansão do data center do google no Chile. A escolha para investir neste país deve-se à estabilidade política, ao marco regulatório para atrair investimentos privados e à estabilidade econômica.

__________

*Ericson M. Scorsim é advogado e consultor em Direito Público, especialista em Direito da Comunicação, com foco nas áreas de internet, telecomunicações, TV por radiodifusão e TV por assinatura. Sócio do escritório Meister Scorsim Advocacia.