Ontem, dia 28 de janeiro foi Dia da Proteção de Dados, matéria especialmente sensível, tanto mais quanto a dependência crescente que todos sentimos dos computadores 1e dessa rede global que é a internet. Em 2014, a popular “123456” continua a liderar o ranking das palavras-passe mais usadas no mundo, seguida da não menos popular “password” que mantém o segundo lugar. A novidade está na subida vertiginosa da inovadora “12345” que subiu 17 posições para o 3º lugar do podium. Por aqui já o leitor consegue aferir da importância que os utilizadores de computadores, contas de correio eletrónico, redes sociais e banca eletrónica, dão (ou não) à segurança das suas credenciais. Não é pois de estranhar que o número de roubos de palavras-passe, sequestro de contas e de dados e todo o tipo de estratagemas associados, tenha disparado ao ponto de o FBI ter um orçamento dedicado à cibercriminalidade superior ao do narcotráfico. Neste particular das palavras-passe as recomendações são simples de adoptar para prevenir problemas: as palavras-passe devem ser pessoais e secretas; evite usar a mesma palavra-passe para aceder a diferentes sites/serviços; use combinações de 14 carateres não sequenciais; não use palavras conhecidas qualquer que seja o idioma; use números, maiúsculas e minúsculas bem como caracteres especiais como cardinal, barra, parênteses, aspas, etc; O objetivo é dificultar os ataques de “força bruta” que através de milhões de tentativa/erro acabam em poucos segundos por encontrar a sua password. Outro aspeto importante é assegurar a transmissão de dados de autenticação, ou seja mesmo que tenha uma palavra-passe robusta, se não toma precauções quanto à credibilidade/idoneidade do site que está a usar, assegurando-se que este usa um protocolo de segurança para envio de dados, todo o esforço será inglório e a sua password poderá ser comprometida. Claro que estes considerandos são “pão com manteiga” para os especialistas mas para o comum dos mortais podem ser do mais relevante. Basta conferir o ranking antes citado. Outros âmbitos mais complexos existem, como os dados de videovigilância, sistemas que pululam nas nossas sociedades, desde as estradas e ruas de cidade, estações de serviço, bancos, ourivesarias, aeroportos, instalações desportivas, teatros e cinemas, centros comerciais e até nos autocarros, para além dos instalados por cônjuges desconfiados e mais recentemente a utilização de unidades de aeromodelismo com câmaras instaladas. A esmagadora maioria destes sistemas está em operação ilegal porque não cumprem a legislação em vigor, nomeadamente em matéria de proteção de dados, para já não falar na legitimidade moral ou ética. Os registos médicos são outro domínio de preocupação, não só pela questão da privacidade mas pior ainda, por ataques à integridade dos dados, potencial problema quando a password comprometida é a do médico. A questão transfere-se igualmente para os processos de prescrição médica (receita eletrónica). No domínio laboral, os incidentes têm sido abundantes e persistem situações ilegais, na maioria dos casos por ignorância dos prevaricadores e por ignorância das vítimas. Apresento alguns aspetos defendidos pela CNPD – Comissão Nacional de Proteção de Dados, que devem ser considerados. A qualquer mensagem ou comunicação que o trabalhador efetue através de contas de correio eletrónico, de redes sociais ou de quaisquer outras contas às quais o trabalhador aderiu a título pessoal, ainda que a elas aceda através do computador da empresa, está absolutamente vedada ao empregador qualquer forma de controlo do conteúdo da informação da área privativa do trabalhador. A escolha dos meios de controlo por parte do empregador tem de obedecer aos princípios da necessidade, da proporcionalidade e da boa-fé, devendo este demonstrar que escolheu as formas de controlo com menor impacto sobre os direitos fundamentais dos trabalhadores. O empregador deve – antes de iniciar o tratamento – informar o trabalhador sobre as condições de utilização dos meios da empresa para fins privados e a realização do seu controlo (formas e metodologias adotadas), sobre a existência do tratamento de dados que lhe está associado, suas finalidades, os dados tratados e o seu tempo de conservação, bem como sobre o grau de tolerância admitido e as consequências da má utilização ou utilização indevida dos meios de comunicação colocados à sua disposição. Os titulares dos dados pessoais têm o direito de acesso, retificação, apagamento ou bloqueio aos dados que lhes digam respeito, se os dados objeto de tratamento não cumprirem o disposto na lei. Direito que assiste igualmente ao titular dos dados cedidos no âmbito de transações comerciais, filiação partidária ou associativa. O empregador deve definir, com rigor, o grau de tolerância quanto à utilização dos telefones, fixos ou móveis, e as formas de controlo realizadas. É proibido o acesso ao conteúdo das comunicações, a utilização de qualquer dispositivo de escuta, armazenamento, interceção e vigilância de comunicações. E, desde logo, há atividades profissionais em que o sigilo ou confidencialidade são essenciais ao desempenho da profissão. É o caso, designadamente, do segredo médico, sigilo profissional de advogado ou de proteção de fontes, no caso de jornalistas. Nestas atividades, não é admissível qualquer tipo de controlo, designadamente através da análise da faturação detalhada ou da informação registada em centrais telefónicas por referência a extensões telefónicas ou códigos individuais de utilizador. Sejam quais forem as regras definidas para a utilização do correio eletrónico para fins privados, o empregador não tem o direito de abrir, automaticamente, o correio eletrónico dirigido ao trabalhador. Não é o facto de certas mensagens ficarem gravadas em servidores da propriedade do empregador que lhe dá o direito de aceder àquelas mensagens, as quais não perdem a sua natureza pessoal ou confidencial, mesmo quando esteja em causa investigar e provar uma eventual infração disciplinar. Deve ser exigida aos trabalhadores a criação de pastas próprias, devidamente identificadas, onde o trabalhador arquive os correios eletrónicos de conteúdo pessoal que constam da caixa de correio profissional. Quaisquer mecanismos adotados, relativamente à realização de cópias de segurança da informação contida nos computadores individuais atribuídos aos trabalhadores ou à centralização em arquivo geral de documentação profissional dispersa, devem garantir que não é acedida e copiada informação de natureza privada. Para este efeito, tais procedimentos devem prever a existência de uma separação inequívoca de pastas pessoais e profissionais, ser transparentes e claramente descritos aos trabalhadores, com prestação de informação e orientação prática quanto à forma correta de arquivar eventuais documentos privados. Na ressaca dos atentados de Paris ao Charlie Hebdo, reflete-se sobre se os serviços de informações de Estado deveriam ou não deter poderes mais alargados de vigilância das comunicações. Portugal, em desvantagem competitiva em relação aos seus parceiros e aos criminosos, é o único país da Europa que não permite a vigilância das comunicações eletrónicas pelos serviços de informações, faculdade que já provou a sua eficácia em conhecidos casos de tentativas goradas de atos terroristas por esse mundo fora. Esta é uma área de requer equilíbrio entre o valor da Privacidade e o valor da Segurança. É um equilíbrio ténue. Até onde está disposto a ceder?
Nuno Perry