EUA processam homem por palavra-passe de coação na fronteira

Um cidadão americano está a ser processado por ter introduzido uma palavra-passe de coação no seu próprio telemóvel durante uma revista na fronteira, naquele que juristas e investigadores de privacidade consideram o primeiro caso do género. Samuel Tunick deu um código aos agentes no aeroporto Hartsfield-Jackson, em Atlanta, o ecrã apagou-se e o aparelho apagou-se a si próprio. O governo federal acusa-o agora ao abrigo de uma norma escrita para quem destrói bens para impedir a sua apreensão. Declarou-se inocente.

O que aconteceu em Hartsfield-Jackson

A 24 de janeiro de 2025, Tunick aterrou em Atlanta no regresso de uma viagem ao estrangeiro e foi desviado para inspeção secundária. Agentes da Alfândega e Proteção de Fronteiras (CBP) exigiram acesso ao telemóvel, alegando procurar imagens de exploração sexual de crianças. Segundo a defesa, nunca foi apresentado qualquer elemento que sustentasse essa suspeita.

Tunick forneceu um código. De acordo com as peças entregues em tribunal, o ecrã ficou preto, piscou várias vezes e o telemóvel pareceu reiniciar. Não estava a reiniciar. O código introduzido era uma palavra-passe de coação, e o aparelho estava naquele momento a apagar-se. Os agentes apreenderam o telemóvel mesmo assim e deixaram-no entrar no país. Dezoito meses depois, o caso transformou-se numa acusação federal.

Como funciona uma palavra-passe de coação

O telemóvel de Tunick corria GrapheneOS, uma alternativa ao Android focada em privacidade que se instala em hardware Google Pixel. Entre as suas funções está um segundo código de acesso, em tudo igual ao normal, mas que desencadeia um apagamento imediato em vez de desbloquear. Não há janela de aviso, nem pedido de confirmação, nem diferença visível no ecrã de bloqueio.

Não se trata de uma eliminação lenta de ficheiros que ferramentas forenses possam recuperar parcialmente. O sistema destrói as chaves de cifra que tornam legíveis os dados guardados e desliga o aparelho. Sem essas chaves, os bytes restantes são ruído. O desenho é deliberado: a função existe para jornalistas, ativistas e sobreviventes de violência doméstica, pessoas que podem ser fisicamente obrigadas a desbloquear um dispositivo. Um apagamento que pudesse ser interrompido a meio não lhes serviria de nada.

A acusação: uma norma sobre bens apontada a chaves de cifra

O Ministério Público recorreu ao 18 U.S.C. secção 2232(a), que abrange quem, antes, durante ou depois de uma busca ou apreensão por agente autorizado, destrói, danifica, dissipa, se desfaz ou transfere bens conscientemente para impedir a apreensão. A pena máxima é de cinco anos.

A norma foi escrita a pensar em provas físicas: despejar droga na sanita, queimar documentos, atirar uma arma de uma ponte. Aplicá-la aqui exige tratar os dados de um dispositivo pessoal, ou as chaves que os protegem, como o bem destruído. O telemóvel em si não sofreu qualquer dano. Os agentes levaram-no a funcionar perfeitamente.

• O ato imputado: digitar um código num aparelho pertencente ao arguido, depois de um agente lhe ter pedido um código.
• O bem alegadamente destruído: dados, não hardware. O telemóvel sobreviveu e foi apreendido intacto.
• O precedente em jogo: saber se uma função documentada e distribuída com o sistema operativo passa a ser crime no momento em que é usada perante um agente.

Bill Budington, da Electronic Frontier Foundation, e a investigadora de segurança Runa Sandvik afirmaram ambos nunca ter visto esta disposição aplicada desta forma.

O que argumenta a defesa

Tunick é representado por Matthew Dodge, defensor público federal adjunto. A defesa segue duas linhas em simultâneo. A primeira é processual: a paragem foi um pretexto, foi repetidamente negado a Tunick o acesso a um advogado e nunca foi informado dos seus direitos. A segunda ataca o próprio tipo penal: introduzir a própria palavra-passe no próprio telemóvel não é destruição de bens, e no momento em que a digitou não estava em curso qualquer apreensão legal.

É o segundo ponto que tem consequências para lá deste arguido. Se digitar uma palavra-passe conta como destruição sempre que há um agente a observar, então torna-se juridicamente arriscada qualquer função de segurança que, em caso de dúvida, feche em vez de abrir. Um tribunal federal de Atlanta deverá decidir sobre o pedido de exclusão de prova ainda este ano.

A fronteira é, por construção, uma zona de direitos reduzidos

Este caso só existe porque a proteção constitucional é muito ténue num ponto de entrada. A CBP reivindica o poder de revistar de forma básica dispositivos eletrónicos sem mandado e sem qualquer suspeita concreta, e os tribunais mantêm em larga medida a exceção de fronteira, enquanto os circuitos continuam a divergir quanto às análises forenses avançadas.

Os volumes aumentam. No ano fiscal de 2025 a CBP revistou 55.318 dispositivos eletrónicos, mais 17,6 por cento do que no ano anterior e contra 41.767 em 2023. Destes, 50.922 foram revistas básicas e 4.396 avançadas, com análise ou cópia dos conteúdos. Em 13.590 casos tratava-se de cidadãos americanos. Face a cerca de 419 milhões de viajantes, a probabilidade individual mantém-se abaixo de 0,01 por cento, mas há três anos que a curva aponta na mesma direção.

Esta é exatamente a categoria de exposição que uma VPN não cobre, e vale a pena ser preciso quanto ao motivo. Cifrar o tráfego protege os dados enquanto atravessam uma rede; uma revista na fronteira leva o próprio terminal, onde os dados estão decifrados por trás de um ecrã de bloqueio. A mesma distinção que analisámos a propósito dos identificadores de dispositivo que sobrevivem a qualquer túnel surge aqui em forma física. Privacidade de rede e privacidade do dispositivo são problemas distintos, e quem os confunde costuma proteger o errado. Para quem acompanha até onde pode ir o controlo de entrada nos EUA, analisámos também a proposta de exigir dez anos de histórico de redes sociais, e-mail e telefones.

Conclusão