A Suica construiu a sua reputacao como um refugio de privacidade - o pais que os fornecedores de email cifrado e de VPN escolhiam precisamente porque a sua lei nao os obrigava a registar nem a identificar os utilizadores. Uma proposta de reforma da vigilancia ameaca agora exatamente isso e ja empurrou o maior nome da privacidade suica, a Proton, a comecar a mudar a sua infraestrutura para o estrangeiro. O fundador da empresa chegou ao ponto de afirmar que a unica lei comparavel na Europa pertence a Russia.
O que a reforma proposta exigiria
Em causa esta uma revisao da VÜPF, a portaria suica sobre a vigilancia do trafego postal e de telecomunicacoes. Ponto crucial: o governo esta a promove-la como uma alteracao a uma portaria - uma mudanca que o Conselho Federal e o departamento de justica podem fazer sem uma lei plena do parlamento. Segundo o anteprojeto, qualquer servico de email, mensagens ou VPN com apenas 5000 utilizadores teria de:
- Verificar a identidade: recolher um documento de identificacao emitido pelo Estado no momento do registo, tornando as contas anonimas praticamente impossiveis.
- Reter metadados: guardar enderecos IP, nomes, numeros de telefone e dados de ligacao relacionados durante seis meses.
- Entregar dados legiveis: ter a capacidade tecnica de fornecer os dados de um utilizador as autoridades em texto simples a pedido - na pratica, removendo a cifragem ao nivel do transporte - embora as mensagens genuinamente cifradas de ponta a ponta trocadas entre utilizadores fiquem isentas.
Os criticos sublinham que as autoridades poderiam aceder a grande parte destes dados retidos atraves de um simples pedido, em vez de uma ordem judicial. A consulta publica ja encerrou com forte oposicao de empresas de privacidade, grupos da sociedade civil e partidos politicos, e ate ao momento o Conselho Federal ainda nao finalizou o texto - por isso trata-se de uma proposta em aberto, ainda nao de uma lei.
Porque e que a Proton esta a sair agora
A Proton, que gere o Proton Mail e o Proton VPN, nao esta a espera para descobrir. Comecou a deslocar a infraestrutura de TI para fora da Suica, colocando servidores dos seus produtos mais recentes na Alemanha e construindo uma presenca na Noruega, apoiada por um investimento previsto de mais de 100 milhoes de euros na UE. O fundador Andy Yen resumiu o que esta em jogo sem rodeios: "O unico pais na Europa com uma lei aproximadamente equivalente e a Russia", acrescentando que a empresa nao teria "outra escolha senao sair" se a alteracao avancar. Outras organizacoes suicas de privacidade, incluindo o projeto de privacidade de rede Nym, juntaram-se a oposicao.
Porque e que isto importa para os utilizadores de VPN
Todo o atrativo de uma VPN sediada na Suica estava no terreno legal que a sustentava: uma jurisdicao que nao obrigava ao registo significava que uma promessa de nao guardar registos tinha forca real. Uma regra que exige verificacoes de identidade e seis meses de metadados retidos inverte isso - transforma um fornecedor de privacidade num ponto de retencao de dados. Esta e a verdade incomoda por tras de cada promessa de nao guardar registos: ela e apenas tao forte quanto a lei do pais ao qual o fornecedor responde.
E tambem um padrao, nao um caso isolado. Vimos a primeira fase desta historia quando a Proton anunciou pela primeira vez que estava a mudar servidores para fora da Suica, e um confronto semelhante surgiu em torno do projeto de lei C-26 do Canada e dos servicos cifrados que ponderam uma saida por causa dele. A comparacao de Yen com a Russia e certeira precisamente porque a decifragem forcada e as verificacoes de identidade obrigatorias sao a marca das leis de backdoor que temos acompanhado na Russia, no Reino Unido, no Canada e na Australia - e a Suica devia ser o contraexemplo.
Para quem esta a escolher uma VPN, a licao nao e "evitar a Suica" - e olhar para alem do marketing e ver a lei. O local onde um fornecedor e legalmente alcancavel determina o que pode ser obrigado a recolher e a revelar sobre voce, por mais forte que seja a sua imagem de privacidade. Essa questao da jurisdicao tornou-se discretamente numa das coisas mais importantes a verificar antes de confiar o seu trafego a qualquer fornecedor.
