Como Você É Rastreado
Um mapa dos registros produzidos por pagamentos, telecomunicações, redes, plataformas, deslocamentos e arquivos. Mostra as correlações que transformam eventos separados numa mesma pessoa.
A.R.C. Revisado em
O evento e o grafo
Rastreamento raramente depende de um registro perfeito. Ele funciona pela soma de registros incompletos. Uma compra informa valor, lugar e horário. A rede móvel situa um aparelho. Uma conta fornece email e telefone. Uma fotografia revela data, equipamento e cenário. Isolados, esses elementos podem ser ambíguos. Repetidos e ligados por identificadores comuns, formam um grafo com uma pessoa no centro.
A LGPD trata como dado pessoal a informação relacionada a uma pessoa identificada ou identificável. A lei também reconhece que perfis comportamentais podem dizer respeito a uma pessoa quando ela é identificada. Portanto, retirar o nome de uma tabela não torna automaticamente anônimo um conjunto que ainda contenha telefone, localização, horários, aparelho ou combinações singulares. [ref]
Há sete perguntas úteis para qualquer atividade: quem consegue observá-la, quais identificadores ela produz, a quais outros registros pode ser ligada, o que a criptografia protege, o que ela não protege, como reduzir a exposição de modo realista e qual risco continua existindo. O restante deste dossiê aplica esse método à vida comum.
Pagamentos e contas financeiras
No Pix, pagador e recebedor se comunicam por meio de instituições participantes. Elas processam a ordem, o Banco Central opera infraestruturas centrais e mecanismos de segurança analisam dados cadastrais, contas e dispositivos. O DICT vincula chaves a dados de conta e de titular. Uma chave aleatória reduz o dado que você entrega ao recebedor, mas não apaga o registro bancário da transação. [ref]
Cartão, boleto e conta em corretora ou exchange produzem arquiteturas diferentes, mas compartilham pontos de junção: identidade cadastral, instituição, conta, valor, contraparte, horário e, frequentemente, aparelho ou endereço de rede. Controles antifraude têm razão legítima para correlacionar sinais. A mesma capacidade que impede uma tomada de conta também torna falsa a ideia de que uma interface "sem nome público" equivale a uma operação sem identidade.
Criptografia protege a transmissão e a integridade dos dados contra terceiros no caminho. Ela não precisa ocultar a operação das instituições que devem executá-la, escriturá-la, prevenir fraude e cumprir obrigações legais. Reduzir exposição significa começar pela pergunta correta: de quem o pagamento precisa ser privado? Do vendedor casual, de um observador da rede, da instituição ou de uma investigação com acesso legal? Não existe uma única ferramenta que responda igualmente a todos esses observadores.
Leia o detalhamento em O Que o Pix Revela.
Ligações, SMS e dados móveis
Uma operadora precisa saber que um assinante ou aparelho se conectou à rede para prestar o serviço. Chamadas e mensagens geram dados operacionais como origem, destino, data, horário e duração. Relatórios detalhados disponibilizados ao próprio consumidor demonstram a existência de parte desses registros. [ref]
Criptografia de ponta a ponta num aplicativo pode esconder o conteúdo de mensagens do provedor do aplicativo e de intermediários. Ela não torna invisíveis, por si só, a conexão do aparelho à rede celular, o IP usado, o horário, o volume de tráfego, a existência da conta, notificações ou o grafo de contatos conhecido por outros meios. SMS e telefonia convencional também não adquirem as propriedades de um mensageiro ponta a ponta apenas porque a conexão ao site da operadora é cifrada.
O aparelho acrescenta outra camada. Identidade do assinante, identificadores do dispositivo, contas do sistema, instalações de aplicativos e tokens de notificação podem ter escopos e durações diferentes. A correlação nasce quando dois deles reaparecem juntos. Separar apenas o nome de usuário, mantendo o mesmo telefone, recuperação, aparelho e rotina, muda a etiqueta e preserva a entidade.
Leia o detalhamento em O Que um Celular Sabe Sobre Você.
Wi-Fi doméstico e público
Na rede doméstica, o provedor associa uma conexão ao contrato e observa os destinos de rede que ainda são visíveis no nível necessário ao roteamento. HTTPS protege o conteúdo da conversa com o site, mas não transforma o provedor em incapaz de saber que houve tráfego nem oculta do próprio site o endereço IP de origem. O Marco Civil define registros de conexão e registros de acesso a aplicações como categorias distintas e estabelece regimes de guarda para agentes específicos. [ref]
Uma rede pública troca o vínculo do contrato doméstico por outros possíveis vínculos: cadastro no portal, pagamento, câmera do local, endereço MAC, horário de presença e comportamento do navegador. Endereços MAC aleatórios reduzem a persistência de um identificador local, mas não neutralizam login, cookies, impressão do navegador ou o fato de alguém ter sido filmado usando aquela rede naquele horário.
Tor separa o endereço IP de origem do destino para o site e impede que um único ponto da rede veja ao mesmo tempo as duas extremidades, dentro do modelo do sistema. Ele não corrige login numa conta civil, arquivos identificáveis, escrita reconhecível, vigilância física ou um computador comprometido. A redução realista vem da combinação entre ferramenta, comportamento e ambiente.
Mensagens, buscas e visitas a sites
Uma busca pode ser vista pelo mecanismo de busca, pelo navegador ou conta sincronizada, pelo site aberto depois e por intermediários em graus diferentes. Cookies, armazenamento local, login, parâmetros de link, endereço IP e características do navegador oferecem chaves de ligação. O guia da ANPD sobre cookies explica que esses mecanismos podem sustentar autenticação, medição e publicidade, e que seu uso deve ser compreendido dentro das regras de proteção de dados. [ref]
Num mensageiro, o conteúdo, os metadados e o estado do aparelho são problemas diferentes. Criptografia ponta a ponta protege a mensagem entre os dispositivos participantes quando implementada corretamente. Ainda podem existir cadastro, horários, entregas, notificações, backups, denúncias de usuários e cópias no aparelho desbloqueado. Um contato que salvou seu número também pode reconstruir um vínculo que você não forneceu diretamente ao serviço.
As medidas mais eficazes para a vida comum não são teatrais. Incluem usar navegadores sem sincronização desnecessária, revisar permissões e sessões, evitar login quando ele não é necessário, separar perfis por finalidade, bloquear rastreadores e escolher serviços cuja operação exija menos dados. Para anonimato, essas medidas são insuficientes sem uma separação muito mais rigorosa de identidade e rede.
Deslocamentos e observação física
Corridas, entregas e cartões de transporte ligam origem, destino, horário e pagamento. Condomínios registram entradas, câmeras capturam aparência, companhia e direção, e leitores de placas ligam veículo, lugar e tempo. Nenhum desses sistemas precisa conhecer o conteúdo cifrado de uma conversa para inferir que duas pessoas se encontraram.
O identificador decisivo nem sempre está no sistema observado. Uma entrega paga por uma conta pode ser juntada à câmera da portaria. Um trajeto recorrente pode ser juntado ao endereço cadastral. Um telefone presente nos mesmos lugares e horários que outro estabelece uma relação provável. A precisão vem da repetição.
Reduzir essa exposição pode significar limitar históricos, desativar compartilhamentos permanentes de localização, evitar publicar deslocamentos em tempo real e não conceder a aplicativos acesso contínuo quando basta acesso durante o uso. O risco residual permanece porque prestação do serviço, segurança física e infraestrutura urbana produzem registros mesmo sem participação voluntária completa.
Fotografias, documentos e nuvem
Arquivos falam antes de serem abertos. Nome, formato, tamanho, datas, autor, software, histórico de revisão, miniaturas e metadados de câmera podem revelar proveniência. O conteúdo acrescenta cenário, reflexos, placas, telas, padrões de recorte e estilo de escrita. Ao passar por uma nuvem, o arquivo ganha ainda conta, IP, aparelho, horário, destinatários e histórico de compartilhamento.
Criptografar o arquivo antes do envio pode proteger seu conteúdo do serviço de transporte. Isso não apaga uma cópia anterior, os metadados externos necessários ao envio, a identidade das contas ou a versão decifrada nos dispositivos finais. Remover metadados é útil, mas não remove informação visual nem estilometria e não desfaz o rastro de criação já guardado por outro sistema.
Contas e recuperação
CPF, telefone e email de recuperação são pontes explícitas. IP, aparelho, método de pagamento, contatos e horários são pontes implícitas. Uma conta pseudônima deixa de ser compartimentada quando sua recuperação aponta para a identidade civil, quando é aberta no mesmo perfil sincronizado ou quando repete uma fotografia que já circulou com outro nome.
Proteções contra abuso podem aumentar a capacidade de ligação: alertas de login registram aparelho e localização aproximada, a recuperação verifica canais anteriores e a autenticação forte vincula uma credencial a uma conta. Segurança de conta e anonimato atendem a objetivos diferentes. Uma conta pode estar muito bem protegida contra invasão e ainda estar inequivocamente ligada ao titular.
Leia Anatomia de uma Identidade Digital para ver como essas pontes convergem.
O que a criptografia muda
Criptografia resolve problemas delimitados. HTTPS protege conteúdo em trânsito entre navegador e site. Criptografia ponta a ponta restringe quem pode ler uma mensagem. Cifra de disco protege dados em repouso quando o aparelho está desligado e a chave não está disponível. Assinaturas digitais permitem verificar autoria criptográfica e integridade.
Essas propriedades não produzem anonimato automaticamente. Quem opera uma extremidade vê o que precisa processar. Metadados necessários ao roteamento ou à entrega continuam existindo. O aparelho pode revelar o texto antes da cifra ou depois da decifragem. Contas e ambientes físicos continuam produzindo vínculos.
A pergunta útil é: "qual dado, contra qual observador, em qual trecho e enquanto estiver em qual estado?"
Redução realista de exposição
Comece pelo modelo de ameaça: o que precisa ser protegido, de quem, por quanto tempo e com qual consequência se houver falha. Depois reduza a coleta na origem. Não forneça CPF, telefone, contatos, localização contínua ou recuperação secundária quando eles não forem necessários. Revise permissões e retenções. Use credenciais únicas, autenticação forte e atualizações para impedir que um invasor transforme acesso a uma conta em acesso às demais.
Compartimentalize somente quando puder manter a separação. Isso inclui contas, perfis, dispositivos, rede, pagamentos, arquivos, contatos e hábitos. Uma separação parcial pode reduzir publicidade e vazamentos comuns. Ela não deve ser vendida como anonimato contra um adversário capaz de correlacionar muitos sistemas.
Exerça os direitos previstos na LGPD quando aplicáveis: confirmação de tratamento, acesso, correção e informação sobre compartilhamento estão entre os instrumentos descritos pela ANPD. [ref] A resposta pode esclarecer o que uma organização mantém, mas não elimina deveres legais de guarda nem dados já necessários para exercício regular de direitos.
O risco que permanece
Toda atividade deixa algum resíduo. A contraparte se lembra, um dispositivo é apreendido aberto, uma câmera registra presença, uma rotina se repete, uma instituição guarda o que a lei e a operação exigem, um contato sincroniza a agenda e uma falha futura expõe dados antigos.
OpSec consiste em decidir conscientemente quais fatos podem existir juntos. A medida de sucesso está em impedir que uma falha local revele mais do que precisava revelar.
Fontes e limites
Este dossiê descreve arquitetura e redução de exposição. Não fornece aconselhamento jurídico nem uma promessa de anonimato. Regras de guarda e capacidades técnicas variam conforme agente, serviço, contrato, jurisdição e atualização do sistema.