Privacidade Impossível de Verificar É Agora Cláusula Contratual, e a Multa Pode Vir Sem Tribunal
Uma promessa de privacidade que o cliente não consegue verificar deixou de ser apenas texto publicitário. Ao abrigo do direito do consumidor britânico, torna-se cláusula do contrato, e desde abril de 2025 o regulador pode aplicar coimas sem passar por tribunal.
Uma VPN que promete «sem registos» e um serviço de cópias de segurança que promete «encriptação de ponta a ponta» vendem o mesmo produto invulgar: uma promessa que o comprador nunca consegue verificar. Se os registos forem discretamente mantidos, ou as chaves discretamente guardadas em depósito, o serviço parece exatamente igual visto de fora. Essa assimetria era, até há pouco, uma curiosidade filosófica. No Reino Unido tornou-se um problema de conformidade com preço definido: as alegações de privacidade enganosas caem agora no âmbito do Digital Markets, Competition and Consumers Act 2024 e, desde abril de 2025, a Competition and Markets Authority (CMA) pode decidir por si própria que um operador enganou os consumidores e aplicar coimas até 10% do volume de negócios global, sem necessidade de qualquer processo em tribunal.
A exposição mais afiada vem de uma lei mais antiga que as equipas de engenharia raramente leem. Nos termos do artigo 50.º do Consumer Rights Act 2015, tudo o que seja dito ou escrito sobre um serviço e que o consumidor tenha em conta na decisão de compra passa a ser cláusula do contrato. O texto de marketing não está ao lado do produto: contratualmente, é o produto. Para funcionalidades comuns isto quase não importa, porque a falha é evidente: a aplicação bloqueia, o percurso está errado, e a reparação segue-se naturalmente. Uma funcionalidade de privacidade inverte essa lógica. O cliente não tem qualquer forma sensorial de detetar a falha, pelo que o único elemento que alguma vez tem nas mãos é a própria alegação. Essa alegação acaba por fazer o trabalho que normalmente cabe a uma especificação técnica, com a diferença de ter sido redigida pelo departamento de marketing e, ao contrário da especificação interna, ser juridicamente exequível.
O Private Relay da Apple, o serviço de proxy vendido com o iCloud+, é a demonstração ao vivo. Os investigadores Talal Haj Bakry e Tommy Mysk relatam que o endereço IP real de um utilizador pode ser exposto através do tráfego de autenticação por passkeys: quando um sítio usa pedidos WebAuthn de origem relacionada, o sistema operativo vai buscar o ficheiro de validação diretamente ao dispositivo em vez de o fazer através do proxy, enquanto o interruptor continua a mostrar-se ativo. Seja qual for a correção que venha a ser lançada, mantém-se o facto estrutural de que uma proteção de privacidade paga falhou sem que nada mudasse na superfície visível do produto, exatamente a condição em que é o anúncio, e não a arquitetura, que define o que foi vendido.
Porque é que as alegações de privacidade enganosas trazem mais risco jurídico do que outra publicidade?
Porque o teste legal olha para a expectativa do consumidor, não para a intenção do operador. O regime de práticas comerciais desleais da lei pergunta se uma prática enganaria o consumidor médio e o levaria a tomar uma decisão de transação que de outra forma não tomaria. Uma funcionalidade de privacidade que falha de forma invisível leva esse consumidor a continuar a pagar por uma proteção que não está a receber, e é difícil imaginar um encaixe mais limpo nesse teste. Já existe precedente para como estes casos se resolvem: o litígio sobre o modo de navegação anónima do Google terminou num acordo que obrigou a empresa a apagar milhares de milhões de registos e a reescrever as suas informações de privacidade, sem que a classe de consumidores recebesse qualquer indemnização monetária. A reparação foi a correção. Tribunais e reguladores tratam o marketing de privacidade como uma declaração que tem de ser posta em conformidade com a realidade, o que é apenas outra forma de dizer que a tratam como uma especificação.
Como provar que uma funcionalidade de privacidade está mesmo a funcionar?
Isto é um problema de observabilidade, e tem respostas de engenharia que quase ninguém que faz este tipo de alegações construiu. Uma superfície de verificação para uma promessa de privacidade tem três componentes reconhecíveis. O estado atestável dá ao cliente uma declaração assinada e verificável por terceiros sobre o percurso real do seu tráfego, em vez de um interruptor que apenas comunica intenção. As sondas-canário são pontos de observação independentes que vão buscar continuamente aquilo que o serviço realmente expõe (o IP de saída que um sítio vê, se o texto em claro é recuperável) e disparam um alarme perante qualquer desvio face à promessa. Os registos de transparência assinados, ao estilo do Certificate Transparency, dão a auditores externos um registo de acrescento apenas (append-only) que podem reproduzir para confirmar que o comportamento prometido se manteve ao longo do tempo. Nada disto é barato. Custa esforço de conceção, infraestrutura permanente e um compromisso operacional, e tem a propriedade incómoda de uma superfície de verificação honesta publicar as próprias falhas da empresa. Esse desconforto é precisamente o objetivo. O custo de tornar uma alegação verificável é o preço real dessa alegação, e se a verificação for demasiado cara para construir, isso é um forte indício de que a formulação era demasiado forte para ser publicada.
Auditar as alegações antes que o regulador o faça
O exercício prático é uma auditoria de alegações, e desenrola-se em quatro passos. Primeiro, extrair todas as alegações de confiança das páginas de marketing, dos planos de preços e do texto dentro do produto: privado, seguro, encriptado, anonimizado, nunca usado para treino. Segundo, classificar cada uma como observável pelo cliente, verificável por auditor ou infalsificável a partir de fora. Terceiro, submeter cada alegação infalsificável aos dois testes legais acima descritos: o consumidor teria isto em conta na compra, tornando-a cláusula ao abrigo do artigo 50.º, e o silêncio sobre um modo de falha conhecido induziria em erro? Quarto, decidir alegação a alegação se vale a pena construir a superfície de verificação, atenuar a formulação até corresponder ao que é possível provar, ou registar que a empresa está a assumir essa exposição de forma consciente. Tratar as alegações de marketing como se fossem requisitos de sistema, a correr pela arquitetura, é exatamente o exercício para que serve uma revisão de estratégia técnica.
A próxima vaga de promessas infalsificáveis já está a ser escrita. As subscrições de IA afirmam agora, por rotina, que os dados dos clientes nunca são usados para treino, que a inferência é privada, que os inquilinos estão isolados. São alegações com a forma do Private Relay: invisíveis em funcionamento e impossíveis de testar por quem compra, mas claramente do tipo que um comprador tem em conta. Já defendemos antes que as propriedades de segurança devem ser observáveis por conceção, a propósito de proteger sistemas agênticos e de manter humanos no controlo de implementações de IA, e a posição jurídica agora reforça a posição de engenharia. Os canais laterais vão continuar a aparecer, porque as plataformas complexas produzem-nos; não é possível prometer o problema para fora da existência. O que é possível fazer é escrever o anúncio como se fosse uma especificação, porque ao abrigo da lei britânica é exatamente isso que já é.
Perguntas frequentes
As alegações de marketing são juridicamente vinculativas ao abrigo do direito do consumidor britânico?
Para serviços, sim. O artigo 50.º do Consumer Rights Act 2015 estabelece que tudo o que seja dito ou escrito ao consumidor, pelo operador ou em seu nome, sobre o operador ou sobre o serviço, é cláusula do contrato se o consumidor o tiver em conta ao decidir comprar. Uma promessa de privacidade ou segurança numa página de preços não é, portanto, mera retórica publicitária: se o serviço não a cumprir, o operador está em incumprimento contratual, além de exposto ao abrigo das regras de proteção do consumidor.
Quais são as coimas por publicidade enganosa ao abrigo do DMCCA?
O Digital Markets, Competition and Consumers Act 2024 deu à Competition and Markets Authority poderes de execução direta a partir de abril de 2025. A CMA pode agora decidir por si própria que uma empresa violou a lei de proteção do consumidor, sem levar o caso a tribunal, e aplicar coimas até 10% do volume de negócios anual global. Isto transforma alegações enganosas de um risco de litígio que talvez nunca se materializasse numa exposição regulatória com um teto definido.
Os utilizadores receberam indemnização no processo sobre a privacidade do modo de navegação anónima do Google?
Não. Segundo a Associated Press, o acordo obrigou o Google a apagar milhares de milhões de registos, a reforçar as suas informações sobre o modo de navegação anónima e a limitar alguma recolha de dados, mas a classe representada não recebeu qualquer indemnização monetária. A reparação foi a correção e a transparência, não o pagamento, o que ilustra como tribunais tratam o marketing de privacidade: como uma declaração que tem de ser posta em conformidade com a realidade.
Relacionado
- No Ubuntu 26.04 LTS, o Coreutils Que Sustenta as Suas Compilações Já Não É GNU
- O Prêmio da Soberania: por que a IA soberana corporativa está vencendo pelo acesso, não pela velocidade
- Os Processos por Segredos Comerciais Ganham-se Anos Antes de Alguém se Demitir. Pergunte à Faccenda Chicken.
- Security & Trust
Escrito por uma persona editorial de IA do sistema editorial proprietário da Abyshire e revisto pela nossa equipa.