Risco ou paranoia?

O que quase 4,2 milhões de publicações no Instagram tinham em comum nas últimas semanas? A hashtag #10yearchallenge (desafio dos dez anos). O "desafio" sugerido pela hashtag é postar uma foto do usuário hoje e dez anos atrás. E, claro, não poderia deixar de surgir brincadeiras no meio - gente adulta postando foto quando bebê, comparações entre modelos de carros ou smartphones e fotos de geleiras que derreteram, em uma evidente crítica ambiental. Tanto usuários comuns quanto pessoas famosas aderiram.

Mas a brincadeira chamou a atenção da especialista em estratégias digitais Kate O´Neill. Em um artigo publicado na revista Wired, ela alertou para a possibilidade de as fotos publicadas pelas pessoas no desafio serem utilizadas pelas empresas de tecnologia para "treinar" algoritmos de reconhecimento facial e entender melhor como as pessoas envelhecem. Algo que pode ser bom ou ruim.

Ela citou três casos de uso perfeitamente plausíveis para o reconhecimento facial: um respeitável, um mundano e outro arriscado. O respeitável é o seu uso na busca de crianças desaparecidas. O reconhecimento facial poderia ajudar a estimar a aparência de uma criança desaparecida há muito tempo, e isso inclusive aconteceu em Nova Délhi, onde a polícia reportou ter conseguido rastrear 3 mil crianças desaparecidas em apenas quatro dias usando a tecnologia.

O uso mundano do reconhecimento facial seria no marketing direcionado: ações de marketing que envolvam câmeras poderiam adaptar a mensagem a grupos etários levando em consideração os locais que essas pessoas frequentam e seus hábitos de consumo. Mas uma aplicação mais "sombria" do reconhecimento facial poderia estar na venda de seguros e planos de saúde. Se uma pessoa parece envelhecer mais rápido que as outras, ela pode representar um risco mais alto para as empresas de segurança ou planos de saúde, disse O´Neill. "Você pode ter que pagar mais ou ter a cobertura negada."

A especialista também lembrou o caso da Amazon, que em 2016 havia decidido investir no negócio de reconhecimento facial. O risco de que os dados da empresa fossem utilizados pela polícia para perseguir não só criminosos, mas também protestantes e outros que considere uma ameaça preocupou a União das Liberdades Civis Americanas, acionistas e empregados da Amazon, que pediram à companhia que abandonasse o negócio, também sob a alegação de que isso poderia manchar a reputação e diminuir o seu valor no mercado.

No artigo "Desafio dos 10 anos do Facebook é só um meme inofensivo - certo?", O´Neill deixa claro que o seu objetivo não foi causar pânico sobre o perigo da brincadeira. "Mas eu sabia que o cenário do reconhecimento facial era amplamente plausível e indicativo de uma tendência que as pessoas deveria estar alertas", ela continua. "Vale a pena considerar a profundidade e a amplitude dos dados pessoais que compartilhamos sem reservas."

Ou seja, brincadeira ou não, é bom sempre ficar atento ao que compartilhamos na web. A prova mais contundente disso foi o caso da Cambridge Analytica, que extraiu dados de 70 milhões de usuários dos EUA para uso e manipulação política através de um "inofensivo" teste de personalidade do Facebook.

"O usuário tem que ter consciência da dimensão e de onde está compartilhando suas informações pessoais", comentou Bruno Bioni, advogado do NIC.br (Núcleo de Informação e Coordenação do Ponto BR). Segundo ele, essas informações podem ser encontradas nos Termos e Condições das redes sociais - mas que, diga-se de passagem, pouquíssimos leem com atenção.

O analista sênior da Kaspersky Lab, Fabio Assolini, é enfático ao dizer que não recomenda participar de brincadeiras das redes sociais que pedem para o usuário postar ou ceder informações pessoais suas gratuitamente. "Concordo com o posicionamento de O´Neill quando ela diz que colocar uma grande quantidade de dados pessoais disponíveis facilmente nas redes sociais pode causar problemas direta ou indiretamente no futuro. O melhor exemplo é o do Cambridge Analytica." Ele lembra que, quando o usuário deu permissão de acesso a seus dados à Cambridge Analytica para poder fazer o teste de personalidade "thisisyourdigitallife" no Facebook, ele o fez de maneira permanente, até que a autorização fosse revogada. Mas são poucos aquele que se lembrar de fazer isso, ou que sequer se lembram de terem feito um teste no Facebook.

BRECHAS
Por mais que, na época, o Facebook tenha endurecido suas regras sobre como terceiros podem explorar dados de seus usuários, Assolini avalia que a rede social sempre apresenta brechas que as empresas sabem explorar muito bem, como foi no caso da Cambridge Analytica. Falhas técnicas na plataforma também são frequentemente exploradas por cibercriminosos. Exemplo foi a brecha no código do Facebook relacionado ao recurso "Ver como", que mostra ao usuário como o perfil dele é exibido para outras pessoas e que expôs tokens de acesso de cerca de 50 milhões de usuários em setembro de 2018.

Além disso, de acordo com Assolini, é comum cibercriminosos utilizarem os famosos jogos do Facebook para ter acesso aos perfis dos usuários e disseminar ataques. Para jogar, o usuário precisa dar uma série de permissões para o desenvolvedor do jogo e não veem que, entre elas, pode estar até uma autorização para que o criminoso faça postagens em seu nome. A permissão pode ser utilizada para disseminar links maliciosos.

Como O´Neill encerrou seu artigo: "nós devemos exigir que negócios tratem nossos dados com o devido respeito, por todos os meios. Mas nós também precisamos tratar nossos próprios dados com respeito."

Tecnologia não é inimiga, diz CDO
Mas como esse vasto banco de dados de fotos de pessoas hoje e dez anos antes pode treinar algoritmos de reconhecimento facial? Para que um algoritmo saiba reconhecer um rosto, ele precisa antes "aprender" a encontrar padrões no rosto das pessoas. E para isso ele precisa de uma base gigantesca de dados que permita-lhe fazer comparações. No caso do #10yearchallenge, as fotos poderiam ajudar os algoritmos a reconhecer padrões de como as pessoas envelhecem ao redor do mundo.

Diego Nogari, Chief Data Officer da empresa de tecnologia Lambda3, opina que a tecnologia de reconhecimento facial não deve ser vista como inimiga em todos os cenários. "É importante destacar que o avanço deste tipo de tecnologia traz benefícios à sociedade como um todo, não apenas à comunidade tecnológica e/ou grandes companhias." É o caso do uso da tecnologia para reconhecer crianças desaparecidas em Nova Délhi. "Está todo mundo criando um terrorismo digital sobre isso, mas não necessariamente temos que nos preocupar. Não precisamos só ficar com medo da tecnologia, ela também traz produtos que facilitam a vida das pessoas."

Pela lei, dados estão protegidos
Para Bruno Bioni, advogado do NIC.br, as fotos dos usuários podem, sim, ter aplicação no treinamento de algoritmos de reconhecimento facial, mas isso não significa, necessariamente, que as empresas irão fazê-la. O Marco Civil da Internet já determina que, para uma empresa fazer uso de dados de usuários, como fotos das redes sociais, ela precisa do consentimento do titular. Além disso, precisa informar o titular sobre a finalidade do uso. Essa regra ficará ainda mais explícita com a Lei Geral de Proteção de Dados Pessoais, que entra em vigor em agosto de 2020.

Para algumas situações, no entanto, a autorização do usuário não é requerida. É o caso de uso de dados para cumprimento de contrato. Uma companhia aérea, por exemplo, está autorizada a compartilhar dados dos passageiros e tripulantes com aeroportos para que ela possa cumprir com o seu dever, de levar o passageiro a algum lugar. Uma companhia de telecom que compartilha antenas com outras operadoras pode compartilhar dados de seus usuários com outras telefônicas para prestar serviços aos seus clientes. Então, se uma empresa usa dados do LinkedIn, que é uma rede social profissional, para fins profissionais, não há problema algum.

O problema é quando a finalidade de uso é diversa daquela para a qual o usuário contratou o serviço, como para buscar informações sobre a estabilidade financeira de um usuário para a concessão de crédito, por exemplo. "Ou seja, postei uma foto minha no perfil que está público. Isso significa que terceiros podem coletar a foto e usar para treinar algoritmos? Ainda que seja pública, a foto não deixa de ser um dado pessoal. Se uma empresa vai usar, tem que se verificar para qual finalidade. Se for para a mesma finalidade, tudo bem. Se não, tem que buscar outros consentimentos."