O Que um Celular Sabe Sobre Você
Como a identidade do assinante, o aparelho, a rede, a localização, as notificações, os aplicativos e a posse física formam um registro contínuo da vida cotidiana.
Não existe um único observador
Dizer que "o celular sabe" simplifica demais. Operadora, sistema, fabricante, lojas de aplicativos, serviços de notificação, aplicativos, sites, redes Wi-Fi e sensores veem pedaços diferentes da mesma rotina. O risco nasce quando identificadores estáveis ou rotinas permitem juntar esses pedaços.
Há dois estados radicalmente diferentes. Um aparelho desligado, cifrado e bloqueado deixa rastros muito diferentes de um aparelho aberto, conectado e com aplicativos em execução. Criptografia de disco é importante para apreensão ou perda. Ela não impede que o próprio aplicativo leia dados enquanto você o usa.
Assinante, linha e aparelho
Para funcionar na rede celular, o telefone se apresenta à operadora. Conta ou cadastro associam a linha ao assinante. O SIM ou eSIM representa a assinatura. O rádio e a rede lidam com identificadores técnicos, e o aparelho possui características próprias. GrapheneOS resume a limitação central: ao usar a rede celular, o telefone necessariamente se identifica para a operadora, e a rede pode estimar sua localização a partir das antenas com as quais o aparelho interage. [ref]
IMEI e outros identificadores de hardware não são equivalentes a um cookie apagável. O Android restringe o acesso de aplicativos comuns a identificadores imutáveis e recomenda que desenvolvedores usem identificadores de escopo mais estreito e reinicializáveis quando possível. [ref] A restrição reduz a coleta por aplicativos. Ela não elimina os identificadores necessários à própria rede ou disponíveis a componentes privilegiados.
Chamadas, SMS e uso de dados produzem registros operacionais. A Anatel informa que relatórios detalhados ao consumidor podem incluir números chamados, origem e destino de chamadas e mensagens, data, horário, duração e volume diário de dados, conforme o serviço. [ref] Isso demonstra por que conteúdo e metadados devem ser analisados separadamente.
Localização sem GPS
Desligar o GPS não tira o aparelho do mapa. A rede celular conhece as células necessárias para manter a conexão. Redes Wi-Fi próximas, endereços de pontos de acesso, Bluetooth e sensores de movimento também podem contribuir para localização ou reconhecimento de ambiente, conforme acesso e implementação.
GPS fornece uma estimativa precisa ao sistema e aos aplicativos autorizados. A rede celular fornece outra classe de localização à operadora. Um aplicativo pode inferir lugar por IP, Wi-Fi, fuso horário, fotografias ou check-ins. Portanto, "localização desativada" normalmente só desliga uma fonte de localização ou impede o acesso de um app a ela. O aparelho ainda produz sinais geográficos.
Modo avião desliga os rádios de comunicação por padrão, embora Wi-Fi e Bluetooth possam ser religados separadamente. Para um aparelho dedicado que não deve se conectar à rede celular, a ausência de SIM reduz o vínculo de assinatura, mas o modelo de ameaça ainda precisa considerar chamadas de emergência, configuração do rádio e a simples posse física. No Guia OpSec, a recomendação de GrapheneOS sem SIM busca separação operacional, sem prometer invisibilidade do hardware.
Contas, instalações e notificações
Uma conta do sistema conecta backups, compras, sincronização, contatos, fotos, histórico e recuperação. Mesmo sem uma conta ampla, cada aplicativo pode criar seu próprio identificador de instalação. As recomendações do Android distinguem identificadores por escopo e persistência: quanto mais amplo e duradouro o identificador, mais fácil é reconhecer o aparelho ao longo do tempo. Combinações de modelo do aparelho, horário e outros dados quase identificadores também podem ser correlacionadas. [ref]
Notificações passam por outro intermediário. No Firebase Cloud Messaging, por exemplo, um token de registro identifica uma instância de aplicativo para entrega de mensagens. O serviço recomenda que servidores mantenham tokens e datas de atualização. [ref] Quais dados ficam visíveis ao provedor dependem de como o aplicativo implementa a notificação e sua criptografia.
Uma prévia na tela bloqueada pode revelar remetente, assunto, código bancário ou evento de calendário a qualquer pessoa próxima. Desativar prévias sensíveis é uma das poucas medidas que melhora imediatamente a privacidade sem mudar de plataforma.
Aplicativos, SDKs e permissões
Dados de uso podem circular por código que não é do aplicativo principal. Bibliotecas usadas para registrar falhas, medir uso, exibir publicidade, fazer login e enviar notificações podem receber dados conforme a integração. Políticas e telas de permissão não substituem a pergunta técnica: quais dados saem do aparelho, para quais domínios, com quais identificadores e por quanto tempo?
Permissões controlam capacidades importantes, como câmera, microfone, contatos, localização e arquivos. A lista de permissões cobre apenas parte dos dados disponíveis. Um aplicativo com rede pode enviar o que o usuário digitou nele, características básicas do ambiente e eventos de uso permitidos pela plataforma. Um navegador pode revelar IP ao site mesmo sem permissão de localização. Uma fotografia escolhida pelo usuário pode carregar metadados ou elementos visuais que identifiquem a pessoa ou o lugar.
Revogar acesso a contatos reduz a formação direta de uma rede de contatos. Ainda assim, outras pessoas podem ter enviado suas agendas, e números que conversam repetidamente desenham uma rede por atividade. A privacidade social depende de mais de uma pessoa.
Wi-Fi e endereço MAC
Redes Wi-Fi registram a conexão do aparelho, o horário e o volume de tráfego. Cadastro em portal, câmeras, pagamento e localização física podem ligar aquela sessão a uma pessoa. A randomização de endereço MAC reduz o uso do endereço de hardware como identificador estável na rede local.
GrapheneOS oferece randomização por conexão além do modo persistente por rede e descreve outras reduções de sondagem Wi-Fi. [ref] Em redes que controlam o acesso pelo endereço MAC ou usam portais recorrentes, isso pode exigir novo cadastro. O benefício desaparece se o usuário autenticar imediatamente numa conta civil ou se outro identificador do navegador for mais estável.
HTTPS impede que a rede Wi-Fi leia o conteúdo cifrado de uma sessão web corretamente protegida. Ela ainda vê que houve tráfego e os dados necessários ao transporte. O site continua recebendo a conexão. Tor faz o site ver um IP de saída, não o IP de origem, mas não impede que a rede local saiba que o aparelho ficou ativo nem corrige identificação por conta.
Fotografias, arquivos e sensores
Fotos podem conter modelo de câmera, data, orientação e coordenadas, além de informação que não está em metadados: rosto, reflexo, tela, rua, clima, interior de casa e padrões de edição. Capturas de tela expõem barra de status, idioma, horário, notificações, nome de arquivo e dimensões da tela ou da própria captura.
Microfone e câmera são riscos óbvios, mas acelerômetro, giroscópio, sensor de proximidade e padrões de digitação também podem produzir sinais sobre o comportamento. Isso, por si só, não identifica alguém. Uma avaliação séria confere permissões, telemetria e finalidade, em vez de procurar apenas a palavra "GPS".
Posse física e rotina
Um telefone acompanha sono, deslocamento, trabalho e relações. Quando dois aparelhos aparecem repetidamente nos mesmos lugares e horários, suas rotinas podem ser associadas. Um aparelho que passa noites em um endereço, dias em outro e se desloca com um segundo aparelho ajuda a formar esse vínculo. Horários de tela e de rede revelam rotina. Câmeras mostram quem segurava o dispositivo.
Separar perfis no sistema reduz a mistura entre aplicativos e contas. No GrapheneOS, perfis de usuário separam dados de forma concreta. [ref] Eles não tornam o mesmo telefone equivalente a dois aparelhos para a operadora, para quem o observa fisicamente ou para sistemas que usam identificadores fora do perfil.
O que a criptografia protege
Criptografia de ponta a ponta protege conteúdo entre participantes quando o protocolo e os endpoints são confiáveis. Ela não esconde necessariamente quem se conectou, quando, por quanto tempo, qual conta recebeu a mensagem ou qual notificação foi enviada. Cifra de armazenamento protege o aparelho bloqueado, mas não protege contra alguém que obtém a sessão aberta. HTTPS protege o trajeto entre aplicativo ou navegador e servidor, que ainda recebe o dado enviado.
Em todos os casos, o ponto fraco pode estar antes ou depois da criptografia. Um teclado malicioso vê antes da cifra. Uma captura de tela vê depois da decifragem. Um backup sem a mesma proteção pode reintroduzir o conteúdo em outro sistema.
Redução realista de exposição
Para a vida comum, mantenha sistema e aplicativos atualizados e remova o que não usa. Instale a partir de fontes verificáveis, revise permissões e negue acesso aos contatos e à localização quando a função não os exigir. Desative identificadores publicitários ou a personalização quando disponíveis, esconda prévias sensíveis e use bloqueio forte com backup testado. Trate a recuperação de conta como parte da segurança.
Crie perfis ou aparelhos separados apenas quando houver uma finalidade clara. Não misture contas, contatos, arquivos e notificações entre ambientes que deveriam permanecer separados. Quem precisa de anonimato tem de separar também forma de pagamento, localização, rede, horários, estilo e proximidade do aparelho pessoal. Uma segunda conta no mesmo perfil raramente é uma segunda identidade.
O risco que permanece
Mesmo bem configurado, o telefone continua ligado à operadora. Os aplicativos processam os dados necessários às funções que oferecem, contatos guardam mensagens e um aparelho aberto concentra acesso a muitas contas. Pessoas próximas veem posse e uso. Uma sequência repetida de lugares e horários pode identificar alguém mesmo sem nome.
Menos coleta melhora privacidade e segurança. Não torna o telefone anônimo. Para entender como esses sinais se juntam aos demais, leia Anatomia de uma Identidade Digital.
Fontes e limites
As capacidades variam por aparelho, versão, operadora e aplicativo. Este texto descreve classes de dados e fronteiras. Não afirma que todo componente coleta todos os sinais citados.