Pela defesa do #logzero no #marcocivil

(Pela defesa do Logzero no Marco Civil)

FORAMATAÇÃO ORIGINAL EM: https://web.archive.org/web/20130528032543/http://www.rubens.net.br/pela...

Eu tenho uma crença semelhante à da Fundação Mozilla (http://www.mozilla.org/), de que a Internet deve ser pública, aberta e acessível a todos. De fato creio que o acesso à rede, na sociedade contemporânea se assemelha a um dos direitos humanos fundamentais. O acesso à rede Internet é, de certa forma, análogo aos seguintes direitos: educação, liberdade de expressão e a própria liberdade de pensamento. Justamente por isso tenho sincera aversão aos controles da rede, no meu entendimento os controles querem interferir ou eliminar estes direitos fundamentais dos seres humanos.

Dito isto esta é a razão do meu APOIO ao Marco Civil, mas como já mencionei anteriormente este não é um apoio incondicional, é um apoio colaborativo e crítico, um apoio que visa apontar o que parece dissonante com a liberdade, logo uma forma honesta de colaborar.

Vários pontos no Marco Civil me preocupam, mas vou tratar aqui apenas daquele que me parece o menos "popular" entre as pessoas que estão dialogando por mudanças e pela construção do Marco Civil, este ponto é a questão da manutenção dos logs. Para quem não tem certeza do que é o Marco Civil vai aqui um vídeo-resumo: http://www.youtube.com/watch?v=rhYQEspZ5xA

Peço desculpas pelo tem pessoal deste texto (cheio de "eu isso", "eu aquilo"), mas como já escrevi um texto anterior onde exponho os motivos pelos quais me oponho à obrigatoriedade da manutenção de logs no Marco Civil, neste texto vou tratar apenas das questões que foram suscitadas pelo debate do texto anterior, peço que o gentil leitor leia aquele primeiro texto caso tenha dúvidas sobre o que vier a ler aqui, pois estarei especialmente respondendo os questionamentos feitos.

As principais questões levantadas foram:

Que o Estado teria o "direito" de manter logs de acesso justamente por ser o Estado
Que a manutenção de logs só prejudica quem comete um crime ou uma infração na Internet
Que os logs que o Marco Covil pretende guardar não permitem a identificação do que o usuário estava fazendo, permitem apenas identificar os horários de acesso, sem especificar o que foi acessado.
Que NÃO é inconstitucional manter os logs.
Que sem os logs não há como combater o crime nem prender os criminosos

Algumas destas questões, é certo, já estão respondidas no texto anterior, mas aqui tentarei clarear a explicação para o caso de que algo tenha permanecido obscuro.

> O Estado tem o "direito" de manter logs de acesso justamente por ser o Estado.

É importante que esteja claro que não cabe ao Estado exercer o controle sobre a vida privada do cidadão, insisto na obviedade pois, de alguma forma, não parece claro, nem parece ser universalmente aceito por todos os debatedores deste assunto. É assustador ter que defender este princípio, mas as pessoas não podem ser consideradas como pertencentes ao Estado, é o Estado que pertence às pessoas, e isto não é um jogo de palavras bonitinho. O Estado é a delegação da sociedade para a produção normativa, mas não o é para o prévio controle dos indivíduos, pelo menos não nas democracias. O Estado está autorizado sim a exercer o controle da sociedade mas não pode fazer isso em nível individual, ao menos não enquanto o cidadão permanecer livre de uma investigação policial oficial, pois agir contrariamente a isso seria implementar novamente um Estado totalitário.

Então isso é um princípio. Não se deve dar ao Estado poder para atuar individual e preventivamente contra ninguém.

> A manutenção de logs só prejudica quem comete um crime ou uma infração na Internet

A simples sugestão de que se possa defender um tal controle com a idéia de que "quem não deve não teme", ou "quem nada faz, nada teme" é abjeta e não é passível de ser seriamente discutida. Trata-se justamente do argumento dos ditadores. Esta é uma fala que fica bem nos discursos de gente como Gerge W. Bush e Augusto Pinochet, aliás aqui está o Pinochet defendendo esta mesma idéia: http://www.youtube.com/watch?v=XEPLyvrZ2Bc

Privacidade é um direito humano fundamental, sem privacidade uma sociedade não pode impedir um governo de se tornar corrupto, não pode impedir seus direitos de serem atacados, e não pode se organizar para substituir um poder opressor.
Não é razoável que as pessoas sejam previamente consideradas culpadas. Para que o governo possa invadir a privacidade do indivíduo é necessário primeiro que forneça uma justificativa razoável e depois, só depois, o faça nos termos da lei. Sem isso o governo NÃO tem nenhum direito de invadir a privacidade de ninguém, e se o fizer comete um crime contra os direitos humanos.
A idéia de guardar preventivamente registros sobre o cidadão é justamente, como já foi dito, eliminar a presunção de inocência, é também suprimir a privacidade, e estas duas coisas são flagrantemente contrárias ao atual ordenamento jurídico brasileiro.

Além disso, qualquer pessoa que proponha que a simples manutenção dos logs não é equivalente às duas ilegalidades mencionadas, só pode ser compreendida como fazendo parte de um destes grupos:

GRUPO 1: As pessoas que desconhecem a simplicidade com que se pode efetuar um cruzamento de dados e o atual poder computacional disponível até mesmo para o cidadão comum.
GRUPO 2: As pessoas que agem de má fé, disseminando desinformação, justamente ansiando por fazer uso destes recursos para espionar e exercer poder e controle sobre outros.

A simples existência dos logs permite, com um esforço mínimo, a implementação de rotinas de monitoramento automático, avaliando em tempo real qualquer comportamento que seja julgado inadequado por quem exerce o monitoramento. Se você leu 1984, de George Orwell, pode imaginar como tal tecnologia seria bem-vinda ao Ministério do Amor que controlava e espionava a população. É uma tecnologia que temos hoje disponível e que já esta operacional em nossas democracias. Mais tarde teremos outro exemplo com Orwell.

Esta questão anterior está intimamente ligada a um argumento enervante, que eu tenho lido muito entre os defensores da manutenção preventiva de logs: que "os logs não permitem a identificação do que o usuário estava fazendo, permitem apenas identificar os horários de acesso, sem especificar o que foi acessado".
Eu tenho realmente dúvidas sobre as boas intenções ou sobre o conhecimento técnico de quem defende esta fala. De maneira muito, muito simples eu pensaria algo como: "Bom, se não permite identificar o que estava sendo feito, então não há motivo para armazenar log nenhum".

Defender a manutenção de logs alegando que eles ajudarão a pegar criminosos e ao mesmo tempo defender que estes logs não permitem identificar os usuários é esquizofrênico, não é necessário ser um técnico para perceber que há um buraco aqui. Na melhor das hipóteses tendo a pensar que estão tentando me enganar. Este é um argumento que pede uma explicação e um desenho.

Primeiro a explicação:

Entre servidores, protocolos, routers, roteadores, firewalls e toda sorte de aparato técnico físico ou de software, a Internet é uma rede muito complexa, ou como o Sérgio Amadeu (@samadeu) não se cansa de explicar por aí "é uma rede de controle". O anonimato, a liberdade e a neutralidade da rede são praticamente um acordo de cavalheiros, não há realmente uma obrigação para que a rede funcione assim, aliás, cada vez mais ela funciona assim em cada vez menos lugares.

Mas para o objetivo deste texto, buscando ilustrar meu ponto, eu creio ser possível resumir esta complexidade da rede a um brinquedo com 3 peças. Pelo menos os logs que nos interessam aqui podem ser entendidos em três partes:

LOG 1) Primeiro Registro, para acessar a Internet, você ou alguém precisa se cadastrar em um provedor de acesso. Ali estão registrados seu nome real, endereço, telefone e, eventualmente, CPF e os dados bancários.
LOG 2) Segundo Registro, quando você usa o provedor é gerado outro log. De acordo com o próprio texto do Marco Civil: "O log não traz em si nenhuma informação específica, mas sim a hora em que a pessoa pegou o IP e a hora que a pessoa deixou o IP", ou seja, para acessar a Internet e navegar por aí, a sua máquina, você no caso, recebe uma identificação única, um número, e são gravados a hora de início e de término de sua utilização. Algo como um CPF temporário.
É importante deixar claro que neste ponto, se quisesse ou se fosse autorizado, o provedor de acesso já poderia estar monitorando e gravando todos os seus passos (ou cliques), sem que você soubesse ou percebesse nada. De fato em redes empresariais isso é bem comum e perfeitamente dentro da lei (mesmo considerando que a empresa não seja um provedor de acesso). Mas para efeito deste exemplo vamos ficar com a proposta do Marco Civil que autoriza apenas IP, hora de início e hora de fim.

Até aí sem problemas, as coisas só ficam complicadas com o Terceiro Registro.

LOG 3) O Terceiro Registro são logs do Apache. Cada vez que você solicita uma página ou arquivo para um site, é o servidor Apache que lhe entrega o que foi solicitado. Quando faz isso ele gera o seu próprio log, um log cheio de detalhes, divertido para os técnicos, que para este exemplo destaco as três informações que são as mais relevantes: horário de acesso, IP e o que foi acessado.

Essa arquitetura faz a Internet perfeita. O provedor sabe quem é você e qual o seu IP, o servidor que lhe entrega os arquivos sabe qual é seu IP e quem é seu provedor, mas o provedor não sabe o que você acessou e o servidor não sabe quem é você. Isso é a Internet. Anônima e genial. (bom... pelo menos deveria ser).

O problema acontece se os logs forem mantidos pelo provedor, isso gera uma "chave" que permite, quando cruzada com os Logs do Apache, saber exatamente o que você estava vendo, lendo ou fazendo. Então, guardar os logs preventivamente, é fornecer ao Estado, à Polícia e a quem mais vier a ter acesso a estes registros a capacidade de voltar no tempo e investigar a sua vida.

Com o log do provedor é possível ao Estado ir atrás dos logs dos servidores e desvendar seus gostos, amigos, filiação política, orientação sexual. É possível saber se você esteve lendo sobre fabricação de bombas, manuseio de armas, produtos químicos, sexualidade, cultos e seitas, tudo. Aliás, tudo devidamente descontextualizado, deslocado no tempo e sem a menor probabilidade de que você possa provar se seu interesse era ou não legítimo, se era ou não legal. Notem que o exemplo está tratando apenas de páginas de Internet, ou seja, do protocolo HTTP. Já a proposta do Marco Civil prevê a gravação de todo o tráfego da rede, de todos os protocolos, o que inclui o bit-torrent, o FTP, SSH e o que mais o gentil leitor puder imaginar.

Como sei que esta explicação parece ser meio obscura, eu fiz e um desenho:

DESENHO

Além disso eu apontei, em uma mensagem do Twitter que a manutenção de logs seria inconstitucional para começo de conversa e fui instado a apontar o artigo. Não eu não sou advogado, sou professor. Mas acredito que a lei possa ser interpretada também pelo cidadão não bacharel, especialmente a constituição, afinal temos o bom senso e a língua portuguesa como patrimônios em comum.

Minha argumentação de que a guarda de logs é primeiramente inconstitucional está baseada na regulamentação do Art. 5o da Constituição, cujo caput segue abaixo:

Regulamenta a parte final do inciso XII do art. 5o da Constituição, altera o art. 581 do
Decreto-Lei no 3.689, de 3 de outubro de 1941 – Código de Processo Penal, e revoga
a Lei no 9.296, de 24 de julho de 1996, e dá outras providências.

No CAPÍTULO I das DISPOSIÇÕES GERAIS o Art. 1o determina do que trata a lei: "Esta Lei disciplina a quebra, por ordem judicial, do sigilo das comunicações telefônicas, para fins de investigação criminal ou instrução processual penal." E já no Parágrafo 1o deixa claro que: "O sigilo das comunicações telefônicas compreende o conteúdo de conversas, sons, dados e quaisquer outras informações transmitidas ou recebidas no curso das ligações telefônicas."

Creio que a lei aqui pode ser aplicada, por analogia, ao acesso à Internet, até por conta da maioria deste acesso acontecer por meio de linhas telefônicas. De qualquer forma o objetivo do legislador está bem claro quando ele declara que o sigilo compreende "conteúdo de conversas, sons, dados e quaisquer outras informações transmitidas ou recebidas" durante a ligação.

Isto posto, o Parágrafo 2o explica que "considera-se quebra do sigilo das comunicações telefônicas a interceptação, escuta, gravação, decodificação ou qualquer outro procedimento que permita a obtenção das informações e dados de que trata o Parágrafo 1o". E se isso não bastasse continua no Parágrafo 3o com o seguinte: "Aos registros de dados referentes à origem, destino, data e duração das ligações telefônicas aplicam-se, no que couber, as disposições desta Lei.". Ou seja, o legislador está falando sobre a manutenção de logs preventivos.

Mas será que podemos mesmo entender a comunicação via Internet como análoga uma comunicação via telefone? Bem, no Parágrafo 4o, só para deixar muito claro do que a lei trata, o legislador escreve o seguinte: "As disposições desta Lei também se aplicam ao fluxo de comunicações em sistemas de tecnologia da informação e telemática."

Ótimo! Se estamos de acordo sobre a validade desta lei para a questão dos logs, podemos ir para a questão do sigilo, de que trata o Art. 2o: "A quebra do sigilo das comunicações telefônicas não será admitida na investigação criminal ou instrução processual penal de crimes de menor potencial ofensivo, assim definidos em lei, salvo quando a conduta delituosa tiver sido realizada por meio dessa modalidade de comunicação." O que já, naturalmente, confere á polícia e a justiça os necessários instrumentos para solicitar que um certo IP, conexão ou cidadão, seja monitorado, isso claro APÓS o início da investigação e não antes (exatamente como sugeri no texto anterior).

Esse é o ponto fundamental do meu argumento. O Estado pode espionar e guardar logs, mas só DEPOIS que o procedimento for determinado pela justiça e NUNCA antes do início de uma investigação. Novamente visando preservar dois direitos fundamentais: a privacidade e a presunção de inocência.

Há ainda neste segundo Artigo da lei um Parágrafo único de fundamental importância e que creio vem sendo ignorado nas discussões sobre a Internet: "Em nenhuma hipótese poderão ser utilizadas as informações resultantes da quebra de sigilo das comunicações entre o investigado ou acusado e seu defensor, quando este estiver no exercício da atividade profissional".

Então, sem usar os argumentos muito válidos de que a manutenção de logs afronta dois direitos constitucionais: privacidade e presunção de inocência, eu suspeitaria que ela também está em desacordo com a regulamentação da parte final do inciso XII do Art. 5o da Constituição, ou seja, com a regulamentação sobre a quebra do sigilo das comunicações telefônicas.

Propositalmente deixei para o final o questionamento de que "sem os logs não há como combater o crime nem prender os criminosos", o que na minha opinião é o argumento mais insidioso de todos para a manutenção dos logs.

Primeiro é necessário distinguir os partidos aqui presentes apoiando esta formulação.

De um lado temos gente honesta, sinceramente preocupada com o bem estar de seus filhos e com a segurança de transações eletrônicas. Do outro lado temos a indústria do Copyrigth que pretende apenas fazer valer seus direitos, ou melhor seus privilégios, a todo custo, inclusive ao custo do benefício da sociedade em geral.

Cada qual merece uma resposta específica.

Primeiro a indústria do copyrigth. Para tratar deles seria preciso outro texto duas vezes maior do que este, mas posso sintetizar a idéia dizendo que não cabe a eles legislar sobre a tecnologia nem sobre a sociedade. As alegações (em geral falseadas) de que a pirataria acabou com a indústria fonográfica e ameaça outras tantas nem deveriam ser levadas em conta.

Creio ser possível construir uma alegoria para ilustrar melhor essa idéia. "A triste história do fabricante de carruagens":

"Em um certo reino, um fabricante de carruagens era rico, respeitado e admirado. Ele fazia as mais belas carruagens do reino e gerava centenas de empregos diretos e milhares de empregos indiretos.
Eram muitos empregos mesmo. Havia quem cuidasse dos cavalos, das cavalariças, das ferraduras e tudo relacionado aos animais. Havia um exército de marceneiros, artesãos, pintores, ferreiros e todo o pessoal que construía e dava manutenção nas carruagens. Havia até o pessoal que cuidava de educar os charreteiros, pedestres e - pasmem - os próprios cavalos.
Neste reino muitos dependiam da fábrica de carruagens que chegava até a exportar as suas belas peças. Mas em um dia sombrio, naquele reino, inventaram o automóvel e tudo aquilo terminou.
Simples assim. Não importou o tamanho do looby do fabricante na corte, não importaram as leis que eles aprovaram proibindo e restringindo os automóveis.
No final o povo queria mesmo era andar de carro, com o tempo a indústria automobilística acabou gerando muito mais empregos do que a antiga indústria de carruagens, e assim seria por um tempo, até alguém inventar asas portáteis e acabar com os carros.
Moral da história: Quem quiser se manter no mercado deve acompanhar as mudanças. Não há como combater o avanço tecnológico com leis protecionistas."

E esse é provavelmente o destino da indústria de copyrigth, eles podem até exercer o seu "Jus Esperniandi" e reclamarem de sua má sorte até ficarem roucos, mas para o bem ou para o mal, essa é uma indústria que vai desaparecer ou mudar muito. Não estou fazendo nenhuma futurologia aqui, estou apenas acompanhando as notícias e os balanços financeiros destas empresas. E por pior que isso possa parecer, na verdade não importa nem um pouco, o que importa é que a sociedade não pode fazer leis para proteger certas formas de negócio da evolução tecnológica. A indústria fonográfica tinha certeza que ia ser destruída pela fita K-7, e aí estão eles, firmes e fortes, sendo destruídos pelos MP3 Players.

Já as pessoas que alegam precisar manter os logs para pegar os criminosos, bom... pegar os criminosos deveria ser função da polícia, não dos provedores e servidores.

Acho que um primeiro marco importante neste debate seria deixar claro que há uma diferença entre os ilícitos penais. Crime e contravenção não podem ser tratados como sinônimos da maneira que se tem feito. Na lei de Introdução ao Código Panel o legislador frisa a diferfença entre crime e contravenção. A contravenção tem menor potencial ofensivo à sociedade e, justamente por isso, é punida de forma mais branda. Em geral uma multa.

Então acho que podemos concordar que piratria de conteúdos digitais, feita via Internet, não pode estar na mesma escala do tráfico de drogas. Download precisa ser tratado como contravenção, não como crime. Se for tratado como crime não haverá como punir todos os criminosos, não é possível fazer uma grade grande o bastante para dar a volta por todo o território brasileiro. Quem sabe se fôssemos um país menor...

Fraudes bancárias são outro problema da rede, mas não são um crime novo. Nem todos os esquemas de pishing e rouco de senhas. Estes são crimes sérios que devem ser investigados como crimes sérios, mas isso deve acontecer com um trabalho policial de investigação, não com a manutenção preventiva de logs. Mesmo por conta do simples fato que os criminosos poderiam facilmente despistar a polícia por multiplos logs se desejassem. O fundamental é que a geração de logs comece APÓS o início da investigação e não antes.

Dá mais trabalho? Sem dúvida, só que sem esse tranbalho começamos a entrar na distopia de George Orwell em 1984, nós não temos (ainda) uma câmera em cada esquina, em cada casa, em cada quarto, gravando tudo o tempo todo, para no caso de haver um crime, voltarmos as fitas em busca dos culpados. Isso acabaria, no processo, revelando um monte de coisas constrangedoras sobre gente inocente e seria um passo enorme dentro do totalitarismo.

Há ainda, é claro, a questão da pedofilia na Internet. Este é o argumento mais forte em favor da manutenção dos logs. Não há como convencer a todos sobre uma eventual necessidade de controle no acesso ao conhecimento e informações (ou downloads), sobre a necessidade de controle sobre as manifestações de opinião. Nem mesmo sobre o controle de acesso a pornografia é possível chegar a um consenso, afinal o que é ultrajante e degradante para uns é apenas diversão adualta para outros.

Mas a pedofilia não. Pedofilia é o inimigo absoluto. Um mínimo denominador comum sobre o qual todos concordam (e se eventualmente alguém discordar não terá coragem de se manifestar). O pedófilo é a barata da Internet, até existe quem goste de ratos e morcegos, mas ninguém tem simpatia pelas baratas.

Só que não podemos guardar logs só para pegar as baratas. Eu não quero abrir mão dos meus direitos civis por causa das baratas. O que ninguém menciona é que a pedofilia acontece dentro dos lares das famílias, acontece nas estradas do interior e nas praias de balneários turísticos. Combate a pedofilia não acontecerá na Internet, acontecerá no mundo físico e não adianta tentar disseminar o combate on-line. Os pedófilos tem que ser pesos e jogados na cadeia, no mundo real. O resto é conversa para boi dormir e tentativa vil de limitar a cidadania para pegar baratas.

Apenas imagine a insanidade que seria propor gravar, preventivamente, TODAS as ligações telefônicas por sabermos que criminosos tem usado o telefone para planejar seqüestros, tráfico de drogas e crimes ainda piores.

Um resumo deste pensamento todo está nesta frase, exaustivamente repetida e nem por isso menos verdadeira, atribuída ao presidente norte-americano Benjamin Franklin: "Aqueles que abrem mão da liberdade essencial por um pouco de segurança temporária não merecem nem liberdade nem segurança."

É isso.

Rubens Menezes

OBSERVAÇÕES ADICIONAIS:

Como de costume este texto pode ser encontrado aqui também: http://www.rbns.com.br e é Creative Commons Zero. (http://creativecommons.org/publicdomain/zero/1.0/deed.pt_BR) É claro que mesmo assim citar a fonte continua sendo boa educação.

Agradeço a Profa. Magali Rossi que me auxiliou com algumas definições técnicas.

Sobre a história em quadrinhos lá em cima vale ressaltar que:

No quadrinho 2, mesmo não mencionado o DNS, não há intenção de sugerir que o Apache resolva os nomes.
No quadrinho 3, vale destacar que atualmente os provedores guardam os acessos dos usuários por alegada "questão de segurança"
No quadrinho 4, o provedor utilizada um Proxy e um DNS, ele sabe exatamente quem você é e o que acessou no momento em que as páginas foram fornecidas pelo servidor Apache (esse é o tipo de coisa que precisa mudar por força de lei)
No quadrinho 5, Sobre os logs é bom notar que atualmente ocorre um geração de logs no servidor, por questões de controle. Estes logs são gerados através de ferramentas de monitoramento juntamente com o Proxy. Usualmente o administrador da rede altera o local de armazenamento destes logs, visando colocá-los fora de acesso, para que no caso de uma invasão eles não sejam acessados. Isso ajuda mas não torna o acesso desautorizado impossível (outro motivo para se evitar a geração de logs).